Lista de subencargados

Esta lista es el anexo III del contrato de encargo del tratamiento: recoge los proveedores (subencargados) a los que Oclivo recurre para prestar el servicio y que pueden tratar datos de las clínicas. Versión 0.10 de 29 de octubre de 2026 (la 0.10 añade LabsMobile, para los SMS, y Meta, para el WhatsApp que cada clínica contrata directamente; la 0.9 fue la primera que se publicó: reúne los subencargados de las clínicas, los proveedores de Oclivo como responsable y los terceros que reciben datos como responsables independientes).

Todos los datos de las clínicas se alojan en la Unión Europea. Cuando un proveedor está establecido fuera del Espacio Económico Europeo o puede acceder a los datos desde fuera de él, se indica la garantía del capítulo V del RGPD que ampara la transferencia. Cualquier alta o sustitución se comunica a las clínicas con 30 días de antelación, con derecho a oponerse (cláusula 6 del contrato de encargo).

1. Subencargados que tratan datos por cuenta de las clínicas

Hetzner Online GmbH

Servicio: alojamiento de la aplicación, de sus bases de datos, de los ficheros y de las copias de seguridad.
Datos: todos los de la plataforma, en discos cifrados; las notas clínicas, las transcripciones, los ficheros y otros datos sensibles, además, cifrados por la aplicación con claves de cada clínica.
Ubicación: Alemania (Unión Europea). Sede: Industriestr. 25, 91710 Gunzenhausen, Alemania.
Garantías: contrato de encargo de Hetzner. No hay transferencia internacional.

Cloudflare, Inc.

Servicio: red de protección delante de la aplicación: cortafuegos, protección contra ataques de denegación de servicio y límites de peticiones. No guarda en caché ni almacena el contenido.
Datos: el tráfico de la aplicación en tránsito, que se descifra en su red para inspeccionarlo; registros técnicos con la dirección IP, el navegador y la dirección de la página (las direcciones no llevan datos de pacientes).
Ubicación: red global. Sede en Estados Unidos (101 Townsend St., San Francisco, CA 94107).
Garantías: contrato de encargo incluido en sus condiciones de servicio; Cloudflare, Inc. está adherida al Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795).

Proveedores de modelos de lenguaje (inteligencia artificial)

Servicio: los modelos que usan el escriba de la consulta, los asistentes y la lectura de documentos, directamente o a través de una pasarela de acceso a modelos.
Datos: el texto de la consulta o del documento, después de que el servidor de Oclivo haya sustituido los datos que identifican al paciente.
Ubicación: con datos reales, el tratamiento se hace solo en la Unión Europea.
Garantías: contrato de encargo con retención cero de los datos y sin uso para entrenar modelos. Si la entidad contratante está establecida fuera del Espacio Económico Europeo (como la pasarela de acceso), cláusulas contractuales tipo de la Comisión (Decisión de Ejecución (UE) 2021/914). Ningún dato real de salud se envía a proveedores de países sin decisión de adecuación ni garantías del capítulo V del RGPD.

Proveedor de transcripción de voz (inteligencia artificial)

Servicio: convertir en texto, en el momento, el audio de la consulta que dicta el profesional.
Datos: el audio de la consulta, que no se conserva, y el texto transcrito que devuelve.
Ubicación: punto de acceso y tratamiento en la Unión Europea.
Garantías: contrato de encargo sin retención del audio ni uso para mejorar sus modelos. Si la entidad contratante está establecida fuera del Espacio Económico Europeo, cláusulas contractuales tipo de la Comisión.

Resend, Inc.

Servicio: envío de correos electrónicos de la clínica a sus pacientes y tutores (recordatorios, avisos y códigos de acceso al portal del paciente) y de los correos de la plataforma al personal.
Datos: dirección de correo, nombre de la clínica, fecha y hora de la cita, enlaces y códigos. Nunca datos de salud ni ficheros adjuntos.
Ubicación: envío desde la Unión Europea; el contenido y los registros de los envíos se guardan principalmente en Estados Unidos.
Garantías: cláusulas contractuales tipo de la Comisión, incorporadas a su contrato de encargo; además, Resend, Inc. está adherida al Marco de Privacidad de Datos UE-EE. UU.

LabsMobile

Servicio: envío de los SMS de la clínica a sus pacientes y tutores (recordatorios, avisos, respuestas «SÍ», «NO» y «BAJA» y códigos de acceso al portal del paciente) y recepción de los avisos de entrega y de las respuestas.
Datos: teléfono del paciente, texto del mensaje (nombre de la clínica, fecha y hora, enlace o código; nunca datos de salud), estado de entrega y texto de las respuestas. Las operadoras de telefonía por las que pasa el SMS lo transportan.
Ubicación: España (Unión Europea).
Garantías: contrato de encargo del tratamiento (artículo 28 RGPD) con LabsMobile. No hay transferencia internacional por su parte.

La identidad de los proveedores de inteligencia artificial y de transcripción se facilita a la clínica que la pida, con deber de confidencialidad.

2. Proveedores que cada clínica contrata directamente

No son subencargados de Oclivo: la clínica los contrata por su cuenta y Oclivo actúa como proveedor tecnológico, enviando en su nombre con la credencial que la clínica le concede. Figuran aquí para que la clínica sepa qué pasa con los datos de sus pacientes. Si algún día los contratase Oclivo (por ejemplo, con la línea de crédito de un socio de Meta), se revisaría su papel y se comunicaría a las clínicas con 30 días de antelación.

Meta Platforms Ireland Limited (WhatsApp)

Servicio: WhatsApp Business: envío de los mensajes de la clínica a sus pacientes y recepción de los estados de entrega y de las respuestas, con el número y la cuenta de WhatsApp Business de la propia clínica. La clínica acepta las condiciones de Meta y pone su forma de pago en la ventana de registro integrado de Meta, desde «Ajustes › Comunicaciones › Canales».
Datos: teléfono del paciente, nombre de pila y texto de la plantilla (fecha, hora, sede, clínica, profesional, teléfono de la clínica y enlace; nunca datos de salud), estados de entrega y respuestas. De la cuenta de la clínica, los identificadores de su cuenta y de su número, el nombre visible, la calidad, el límite de envío y el estado de sus plantillas. Oclivo no pide el historial de chats ni los contactos del móvil.
Ubicación: Irlanda; Meta Platforms Ireland puede tratar los datos en Meta Platforms, Inc. (Estados Unidos). En los números nuevos se pide el almacenamiento local en Alemania: el contenido de un mensaje puede pasar hasta 60 minutos por centros de datos de Meta fuera de esa región y después solo se guarda en Alemania. En el número de la aplicación WhatsApp Business no hay almacenamiento local.
Garantías: condiciones de WhatsApp Business y su anexo de tratamiento de datos, por el que Meta actúa como encargado de la clínica; Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795) y cláusulas contractuales tipo de ese anexo. La credencial de la clínica se guarda cifrada con su clave y los avisos de Meta solo se aceptan con su firma verificada.

3. Proveedores de Oclivo como responsable (sin datos de pacientes)

Estos proveedores tratan datos de los que Oclivo es responsable, nunca datos de pacientes. Figuran aquí para que la clínica sepa qué pasa con los datos de su personal.

HubSpot Ireland Limited

Servicio: gestión comercial (CRM), solo con fines comerciales.
Datos: el contacto de quien pide una demostración o da de alta la clínica, las respuestas del alta y los consentimientos comerciales. Nunca datos de pacientes ni datos clínicos.
Ubicación: centro de datos de la Unión Europea. Sede: One Sir John Rogerson's Quay, Dublín 2, Irlanda; matriz HubSpot, Inc., en Estados Unidos.
Garantías: contrato de encargo de HubSpot; para cualquier acceso de la matriz, HubSpot, Inc. está adherida al Marco de Privacidad de Datos UE-EE. UU.

PostHog, Inc.

Servicio: analítica de uso de la aplicación por el personal, solo de quien lo acepta: pantallas, clics, encuestas y grabaciones de la sesión.
Datos: un código que no identifica a la persona ni a la clínica, el rol, el tamaño aproximado de la clínica y su plan; las grabaciones aparecen con todo lo escrito, los datos de los pacientes y las zonas clínicas tapados. Sin nombres, correos ni dirección IP. Nunca datos de pacientes.
Ubicación: su nube de la Unión Europea (Fráncfort, Alemania). Sede en Estados Unidos.
Garantías: contrato de encargo de PostHog; para cualquier acceso desde fuera del Espacio Económico Europeo, cláusulas contractuales tipo de la Comisión.

Resend, Inc.

Servicio: correos de las cuentas (acceso, invitaciones, avisos de seguridad y de documentos legales).
Datos: correo y nombre de la persona usuaria. Nunca datos de pacientes.
Garantías: las del apartado 1.

4. Terceros que reciben datos como responsables independientes

No son subencargados: reciben un dato para prestar su propio servicio y lo tratan bajo su responsabilidad. Oclivo se lo comunica por instrucción de la clínica (anexo IV del contrato de encargo) o porque la persona usuaria lo elige.

Google (Google Ireland Limited y Google LLC)

Sugerencias de direcciones: solo el texto que se escribe en un campo de dirección, un identificador aleatorio de la búsqueda y la provincia de la clínica, enviados desde el servidor de Oclivo, sin ningún nombre ni identificador ni la dirección IP del dispositivo.
Inicio de sesión con Google: solo la identidad de la persona usuaria que lo elige (identificador de la cuenta de Google, correo y nombre). Nunca datos de pacientes ni de la clínica.
Ficha de Google de la clínica, si la clínica la conecta: las respuestas a reseñas que la clínica escribe y confirma y la lectura de su ficha. Nunca datos de pacientes.
Mapa de la sede y «Cómo llegar»: solo la dirección pública de la sede; se carga cuando la persona pulsa «Ver mapa» o el enlace.
Ubicación y garantías: Estados Unidos; Google LLC está adherida al Marco de Privacidad de Datos UE-EE. UU.

CartoCiudad (Instituto Geográfico Nacional, España)

Servicio: sugerencias de direcciones cuando Google no está activado.
Datos: el texto escrito en el campo de dirección y la provincia de la clínica.
Ubicación: España.

5. Cambios en esta lista

Cada versión nueva se publica en esta página y en la aplicación. Si añade o sustituye un subencargado del apartado 1, se comunica a la persona propietaria de cada clínica con 30 días de antelación a su fecha de efecto, dentro de la aplicación y por correo electrónico, y la clínica puede oponerse de forma motivada en ese plazo.