Acuerdo de Encargo de Tratamiento (DPA)
Acuerdo de tratamiento de datos personales conforme al RGPD
Versión 1.2 | 13 de octubre de 2026
1Introducción y Partes
El presente Acuerdo de Encargo de Tratamiento (en adelante, el "Acuerdo" o "DPA") forma parte integrante de las Condiciones de Contratación que regulan el uso de la plataforma TherapyRecap. La aceptación electrónica de dichas Condiciones de Contratación por parte del Usuario implica la aceptación plena y sin reservas del presente Acuerdo.
Este Acuerdo detalla las obligaciones y condiciones bajo las cuales TherapyRecap trata datos personales por cuenta del Usuario en la prestación de sus servicios, en estricto cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la normativa española aplicable.
Encargado del Tratamiento
TherapyRecap
Therapy Recap S.L.
info@therapyrecap.com
Responsable del Tratamiento
El Usuario
El profesional de la psicología que contrata la licencia de uso de TherapyRecap
2Objeto, Naturaleza y Finalidad del Tratamiento
2.1. Objeto: El objeto del presente Acuerdo es regular el tratamiento de datos personales que el Encargado realizará por cuenta del Responsable para la correcta prestación del servicio de la plataforma TherapyRecap.
2.2. Naturaleza y Finalidad: El tratamiento consistirá en la recogida, registro, estructuración, conservación, consulta, utilización, comunicación por transmisión y supresión de los datos de los pacientes del Responsable. La finalidad exclusiva es la prestación de los servicios de transcripción de las sesiones de terapia mediante modelos de inteligencia artificial (IA), la generación de notas clínicas estructuradas y la puesta a disposición de herramientas de consulta de referencia del manual DSM-5 que el propio Responsable utiliza para registrar su diagnóstico y tratamiento profesional. TherapyRecap no emite diagnósticos ni recomendaciones clínicas.
2.3. Tipología de Datos Personales:
- •Datos Identificativos: Nombre, apellidos, etc., revelados durante las sesiones.
- •Datos de Voz: Voz de los intervinientes, contenida en la grabación de audio de las sesiones.
- •Categorías Especiales (Art. 9 RGPD): Datos relativos a la salud (específicamente salud mental), origen étnico, opiniones políticas, convicciones religiosas, vida u orientación sexual.
- •Otros Datos: Características personales, circunstancias sociales, detalles de empleo, hábitos y comportamientos.
2.4. Categorías de Interesados: Los datos tratados corresponderán exclusivamente a los pacientes del Responsable del Tratamiento.
3Duración
El presente Acuerdo tendrá la misma duración que el contrato de prestación de servicios suscrito entre las partes (las Condiciones de Contratación), incluyendo sus eventuales prórrogas. La finalización del servicio principal conllevará la resolución automática del presente Acuerdo.
4Obligaciones del Encargado del Tratamiento
4.1. Instrucciones del Responsable
Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable. No tratará los datos con un fin distinto al de la prestación del Servicio. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, informará inmediatamente al Responsable.
4.2. Deber de Confidencialidad
Garantizar que las personas autorizadas para tratar los datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria.
4.3. Medidas de Seguridad
Implementar y mantener las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el artículo 32 del RGPD:
a) Medidas Organizativas
- Confidencialidad del personal por vía contractual
- Programas de formación en protección de datos
- Gestión y evaluación de subencargados
- Políticas internas y procedimientos de brechas de seguridad
b) Protección de Datos desde el Diseño
- • Seudonimización: El modelo de transcripción recibe el audio de la sesión y el modelo de lectura recibe los documentos tal como se suben; después, los datos identificativos del texto se sustituyen por marcas antes de indexarlo o enviarlo al asistente
- • Limitación del plazo: Supresión inmediata al eliminar un paciente o la cuenta; las copias de seguridad expiran en un máximo de 7 días
- • Acceso seguro: Resultados solo accesibles mediante autenticación en plataforma
c) Medidas Técnicas de Seguridad
- • Cifrado en tránsito: HTTPS/TLS para todas las comunicaciones
- • Cifrado en reposo: Cifrado en reposo de Google Cloud (Cloud Storage y Cloud SQL) y de MongoDB Atlas; la tabla que permite deshacer las marcas se cifra además con una clave propia en Cloud KMS
- • Control de acceso: Principio de mínima necesidad (RBAC)
- • Infraestructura: Google Cloud, cuya infraestructura cuenta con certificación ISO 27001 (certificación de Google Cloud, no de TherapyRecap)
- • Copias de seguridad: Copias automáticas diarias de las bases de datos, conservadas un máximo de 7 días
4.4. Subcontratación (Subencargados del Tratamiento)
El Responsable autoriza expresamente al Encargado a subcontratar los servicios de las siguientes entidades:
| Subencargado | Servicio |
|---|---|
| Google Cloud Speech-to-Text | Transcripción del audio de las sesiones, en la ubicación europea de Google Cloud. |
| Google Cloud Sensitive Data Protection (DLP) | Sustitución de nombres y otros datos identificativos por marcas en el texto de transcripciones y documentos, en una ubicación de la Unión Europea. |
| Google Cloud Key Management Service (KMS) | Cifrado, con una clave propia de TherapyRecap, de la tabla que permite deshacer las marcas, en una región de la Unión Europea. |
| Google Cloud Vertex AI (Gemini) | Análisis de las sesiones, borradores de notas y asistente sobre el texto con marcas, y lectura del texto de los documentos subidos como imagen o PDF, en regiones europeas de Google Cloud. |
| Google Cloud Vertex AI (text-embedding-005) | Representación vectorial del texto con marcas para buscar en el historial del paciente, en una región de la Unión Europea. |
| Google Cloud Vertex AI Search (Ranking API) | Ordenación por relevancia de los fragmentos con marcas que el asistente recupera del historial, en la ubicación europea de Google Cloud. |
| Google Search (búsqueda de evidencia) | Búsqueda de evidencia científica a partir de una consulta genérica (por ejemplo, el nombre de un diagnóstico), sin datos que identifiquen al paciente. |
| Google Cloud Storage | Almacenamiento del audio de las sesiones hasta su transcripción y de los documentos subidos, en una región de la Unión Europea. |
| Google Cloud SQL y Cloud Run | Base de datos de cuentas y pacientes y ejecución de la aplicación, en una región de la Unión Europea. |
| MongoDB Atlas | Base de datos de sesiones, transcripciones, análisis e índice de búsqueda. |
| LangSmith (LangChain) | Trazas técnicas de las llamadas del asistente, para diagnosticar errores, sin el contenido de los mensajes ni datos de pacientes (se ocultan las entradas y las salidas), en su instancia europea. |
| Sentry | Registro de errores técnicos, en su región de datos de la Unión Europea. |
| Resend | Envío de correos electrónicos, desde su región europea. |
| Stripe | Procesamiento de pagos. |
Los datos clínicos de los pacientes se tratan exclusivamente en ubicaciones de la Unión Europea. Sentry y LangSmith prestan su servicio desde sus regiones de la Unión Europea. Stripe y Resend pertenecen a grupos con sede en EE. UU. y no reciben datos clínicos. Cualquier transferencia internacional que implique el servicio de un subencargado se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en Cláusulas Contractuales Tipo.
4.5. Derechos de los Interesados
Asistir al Responsable para que este pueda cumplir con su obligación de responder a las solicitudes de ejercicio de derechos de los interesados.
4.6. Apoyo al Responsable
Ayudar al Responsable en materia de seguridad (Art. 32 RGPD), notificación de violaciones (Arts. 33 y 34 RGPD) y evaluaciones de impacto (Arts. 35 y 36 RGPD). El Encargado notificará al Responsable, sin dilación indebida, cualquier violación de la seguridad de los datos personales.
4.7. Destino de los Datos
Finalizada la prestación del Servicio, el Responsable puede recuperar los datos descargando en formato JSON los datos de cada paciente desde la aplicación, y después eliminar la cuenta, lo que suprime de inmediato los datos clínicos de las bases de datos activas. Si el Responsable lo solicita por escrito, el Encargado le devolverá o suprimirá los datos en un plazo máximo de 30 días. En todos los casos, las copias de seguridad expiran en un máximo de 7 días tras la supresión.
4.8. Auditorías y Transparencia
Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del presente Acuerdo, así como permitir y contribuir a la realización de auditorías.
5Obligaciones del Responsable del Tratamiento
5.1. Determinar la base de legitimación de cada finalidad del tratamiento de los datos de sus pacientes (con carácter general, la asistencia sanitaria del artículo 9.2.h) del RGPD) y, cuando proceda, recabar el consentimiento informado del paciente para la grabación de la sesión y su tratamiento con herramientas de inteligencia artificial. El Encargado no decide la base de legitimación.
5.2. Proporcionar a sus pacientes la información requerida por los artículos 13 y 14 del RGPD, incluyendo la relativa al uso de TherapyRecap.
5.3. Realizar su propia Evaluación de Impacto (EIPD) si procede, para lo cual el Encargado prestará la colaboración necesaria.
5.4. Atender las solicitudes de ejercicio de derechos de sus pacientes.
6Responsabilidad
Ambas partes responderán de los daños y perjuicios que, por incumplimiento de la normativa de protección de datos o de las cláusulas del presente Acuerdo, causen a la otra parte o a terceros, de acuerdo con lo establecido en el artículo 82 del RGPD.
7Legislación y Jurisdicción
El presente Acuerdo se rige por la legislación española y la normativa europea de aplicación. Para la resolución de cualquier controversia, las partes se someten a la jurisdicción de los Juzgados y Tribunales de Albacete, con renuncia expresa a cualquier otro fuero.
Versión
Versión 1.2 - Fecha de última actualización: 13 de octubre de 2026
- • 1.2 (13 de octubre de 2026): se añaden el Ranking API de Vertex AI Search, en la ubicación europea, y la búsqueda de evidencia en Google Search, que solo recibe consultas genéricas. Se precisa que los datos clínicos se tratan solo en la UE, cómo se recuperan y suprimen los datos al finalizar el servicio, el plazo de las copias de seguridad y que la base de legitimación la determina el Responsable.
- • 1.1 (13 de octubre de 2026): la lista de subencargados refleja la cadena actual: Speech-to-Text transcribe el audio, DLP sustituye los datos identificativos por marcas, Cloud KMS cifra la tabla que las deshace y Gemini trabaja sobre el texto con marcas y lee los documentos subidos. Se añaden Cloud SQL, Cloud Run, LangSmith y Sentry.
- • 1.0 (14 de diciembre de 2025): versión inicial.
¿Tienes alguna pregunta sobre nuestras condiciones?