CONTRATO DE ENCARGO DE TRATAMIENTO DE DATOS PERSONALES

Artículo 28 RGPD (UE) 2016/679 · Artículo 33 LOPDGDD 3/2018

Servicio: ConsentLex — Plataforma de documentación medicolegal veterinaria

Versión 2026.2 · Fecha: 24 de octubre de 2026

REUNIDOS

De una parte, la clínica veterinaria cuyos datos se identifican en el proceso de alta del servicio ConsentLex (nombre, CIF, domicilio y representante, tal como constan en el registro de la clínica), en adelante el RESPONSABLE DEL TRATAMIENTO o la Clínica.

De otra parte, VetLexis, SL, con NIF B26717116 y domicilio social en Carrer Goya, 1, 43830 Torredembarra (Tarragona), correo de contacto info@vetlexis.com, en adelante el ENCARGADO DEL TRATAMIENTO o VetLexis, titular y prestador del servicio ConsentLex. Actúa en su representación Alba Vallès Domènech, en calidad de administradora solidaria.

Ambas partes se reconocen capacidad legal suficiente para obligarse y

EXPONEN

I. Que VetLexis presta a clínicas veterinarias el servicio ConsentLex, una plataforma web (SaaS) para generar, personalizar, firmar (digitalmente o en papel), conservar y enviar consentimientos informados veterinarios, regulado por las Condiciones de uso del servicio.

II. Que para prestar dicho servicio VetLexis necesita acceder y tratar datos personales de los que la Clínica es responsable, por lo que se hace necesario formalizar este contrato conforme al artículo 28 RGPD.

III. Que la aceptación electrónica de este contrato por la Clínica en el proceso de alta (casilla específica, con registro de fecha, hora y versión) tiene valor de firma y obliga a las partes desde ese momento.

Por todo ello, acuerdan las siguientes

CLÁUSULAS

1. Objeto del encargo

1.1. Mediante este contrato se habilita a VetLexis, como encargado del tratamiento, para tratar por cuenta de la Clínica los datos personales necesarios para prestar el servicio ConsentLex.

1.2. El tratamiento consistirá en: recogida (introducida por la Clínica), registro, organización, estructuración, conservación, consulta, comunicación por transmisión (envío del documento al tutor por email), supresión y anonimización.

1.3. Cualquier tratamiento distinto del descrito, o para fines propios de VetLexis, queda excluido, salvo lo dispuesto en la cláusula 13.

2. Identificación de la información afectada

Los datos, categorías de interesados y finalidades se detallan en el Anexo I. Con carácter general: datos identificativos y de contacto de tutores/propietarios (y, en su caso, de su representante legal), datos identificativos de los animales y su historial de consentimientos, y datos de los usuarios de la Clínica.

3. Duración

3.1. El contrato tiene la misma duración que la relación de prestación del servicio y se extiende hasta que ésta finalice por cualquier causa (baja, cancelación de la suscripción o resolución).

3.2. A su finalización se aplicará lo dispuesto en la cláusula 11.

4. Obligaciones del encargado del tratamiento

VetLexis se obliga a:

a) Utilizar los datos personales únicamente para la finalidad del encargo y siguiendo las instrucciones documentadas de la Clínica (Anexo IV). Si considera que una instrucción infringe el RGPD u otra norma de protección de datos, informará inmediatamente a la Clínica.

b) No utilizar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados (cláusula 6) o por obligación legal, en cuyo caso informará previamente a la Clínica salvo prohibición legal.

c) Llevar por escrito un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de la Clínica (art. 30.2 RGPD).

d) Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad (también tras finalizar la relación) y han recibido la formación necesaria.

e) Mantener separados lógicamente los datos de cada clínica. La plataforma aplica aislamiento por clínica mediante políticas de seguridad a nivel de fila (Row Level Security) en la base de datos, de forma que ninguna clínica puede acceder a datos de otra.

f) Aplicar las medidas de seguridad descritas en el Anexo II.

g) Asistir a la Clínica en la respuesta al ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si el interesado se dirige directamente a VetLexis, éste lo trasladará a la Clínica en un plazo máximo de 5 días hábiles. La plataforma ofrece a la Clínica herramientas para ejercerlos directamente (exportación de datos de un tutor, anonimización, edición).

h) Notificar a la Clínica, sin dilación indebida y como máximo en 72 horas desde que tenga constancia, las violaciones de la seguridad de los datos personales, con la información disponible (naturaleza, categorías y número aproximado de afectados, posibles consecuencias y medidas adoptadas), para que la Clínica pueda cumplir con los artículos 33 y 34 RGPD.

i) Asistir a la Clínica en la realización de evaluaciones de impacto y consultas previas, cuando proceda.

j) Poner a disposición de la Clínica la información necesaria para demostrar el cumplimiento de sus obligaciones y permitir y contribuir a auditorías, incluidas inspecciones, realizadas por la Clínica o un auditor autorizado, con un preaviso razonable de 30 días naturales y sin perturbar la actividad ni la seguridad del servicio.

k) No se designa Delegado de Protección de Datos con carácter obligatorio, al no concurrir los supuestos del art. 37 RGPD. VetLexis designa como punto de contacto en materia de protección de datos a info@vetlexis.com.

5. Obligaciones del responsable del tratamiento

La Clínica se obliga a:

a) Entregar a VetLexis los datos necesarios y garantizar que cuenta con base jurídica para el tratamiento y que ha informado debidamente a los tutores (art. 13 RGPD), incluida la política de privacidad propia de la Clínica.

b) Obtener y registrar, en cada consentimiento, la aceptación del tutor de la información sobre protección de datos exigida por la plataforma.

c) Velar, antes y durante el tratamiento, por el cumplimiento del RGPD por parte del encargado, y supervisar el tratamiento.

d) Atender los derechos de los interesados, en su condición de responsable.

e) Mantener la confidencialidad de las credenciales de acceso de sus usuarios y hacer un uso adecuado de los roles de la plataforma.

f) Introducir únicamente los datos necesarios para la finalidad del servicio.

6. Subencargados del tratamiento

6.1. La Clínica autoriza con carácter general la contratación de los subencargados relacionados en el Anexo III.

6.2. VetLexis informará a la Clínica de cualquier cambio previsto (alta o sustitución de subencargados) con al menos 30 días naturales de antelación, mediante aviso en la plataforma o correo electrónico al administrador de la Clínica, permitiéndole oponerse en ese plazo. Si la Clínica se opone por motivos fundados y no se alcanza una solución, podrá resolver el contrato sin penalización.

6.3. Los subencargados quedarán sujetos a las mismas obligaciones de protección de datos que este contrato. VetLexis seguirá siendo plenamente responsable frente a la Clínica del cumplimiento por el subencargado.

7. Transferencias internacionales

7.1. Los datos se alojan en la Unión Europea (región West EU (Ireland) de Supabase, con servidores ubicados en Irlanda). VetLexis no transferirá datos a terceros países u organizaciones internacionales salvo que lo exija el Derecho de la Unión o de un Estado miembro, o se base en garantías adecuadas.

7.2. Cuando algún subencargado (Anexo III) implique tratamientos fuera del Espacio Económico Europeo, se ampararán en cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución 2021/914) o, en su caso, en la Decisión de Adecuación para el Marco de Privacidad de Datos UE-EE. UU. (2023), adoptando las medidas complementarias que fueran necesarias.

8. Seguridad

VetLexis aplicará medidas técnicas y organizativas apropiadas (art. 32 RGPD), teniendo en cuenta el estado de la técnica, el coste, la naturaleza y los riesgos del tratamiento, incluidas, como mínimo, las del Anexo II. La Clínica declara conocerlas y considerarlas adecuadas al riesgo.

9. Derechos de los interesados y colaboración

Ambas partes colaborarán para facilitar el ejercicio de los derechos. VetLexis no responderá directamente a las solicitudes de los interesados, salvo instrucción expresa de la Clínica.

10. Violaciones de seguridad

Se estará a lo dispuesto en la cláusula 4.h. La notificación a la autoridad de control (AEPD) y, en su caso, a los interesados, corresponde a la Clínica como responsable, sin perjuicio de la colaboración de VetLexis.

11. Destino de los datos a la finalización del servicio

11.1. Finalizada la prestación del servicio, VetLexis, según indique la Clínica, devolverá o suprimirá los datos personales y las copias existentes, salvo lo previsto en 11.2 y 11.3.

11.2. Exportación. Durante la vigencia del servicio la Clínica puede descargar, desde la propia plataforma, un archivo con los datos de tutores, pacientes y consentimientos, y los documentos PDF firmados.

11.3. Documentos firmados. Los documentos de consentimiento ya firmados (PDF), su hash de integridad y el registro de actividad asociado tienen valor probatorio y se conservan durante un plazo de 10 años desde la fecha de firma, aunque la Clínica cancele su suscripción, con el único fin de permitir su verificación y la defensa de reclamaciones. Durante este periodo el acceso se limita a lo imprescindible para dicha finalidad.

11.4. Anonimización. Transcurridos 12 meses desde la cancelación de la suscripción, VetLexis anonimizará de forma automática los datos identificativos de los tutores en las tablas de la base de datos (nombre, apellidos, DNI, teléfono, email y datos del representante legal), manteniendo los documentos firmados conforme a 11.3. Los PDF ya firmados, por su naturaleza de documento cerrado, conservan los datos que contienen a efectos probatorios.

11.5. VetLexis podrá conservar, debidamente bloqueados, los datos durante el plazo de prescripción de las acciones derivadas de la relación (con carácter general, 5 años conforme al art. 1964 CC), para atender posibles responsabilidades.

12. Responsabilidad

Cada parte responderá de los daños y perjuicios derivados del incumplimiento de este contrato o del RGPD en los términos del artículo 82 RGPD. Si VetLexis destinara los datos a otra finalidad, los comunicara o utilizara incumpliendo el contrato, será considerado también responsable del tratamiento y responderá de las infracciones en que hubiera incurrido. La responsabilidad total de VetLexis derivada de este contrato queda limitada al importe de las cuotas efectivamente abonadas por la Clínica durante los 12 meses anteriores al evento causante del daño, salvo en caso de dolo o culpa grave.

13. Datos de los usuarios de la Clínica y de facturación

Respecto de los datos de los propios usuarios (veterinarios, ATV, administradores: nombre, email, número de colegiado, rol) y de los datos de facturación y gestión de la cuenta, VetLexis actúa como responsable del tratamiento, conforme a su Política de privacidad. Este contrato no regula dichos tratamientos.

14. Datos del tutor en el momento del consentimiento

La plataforma recoge, en cada consentimiento, la confirmación de que el tutor ha sido informado y acepta la política de privacidad de la Clínica, junto con la marca temporal. Esta información forma parte del documento firmado y de su registro de actividad.

15. Duración, modificación y comunicaciones

15.1. Las modificaciones de este contrato se publicarán como nueva versión; la aceptación electrónica de cada versión queda registrada. VetLexis notificará los cambios sustanciales con al menos 30 días naturales de antelación mediante aviso en la plataforma y correo electrónico al administrador de la Clínica.

15.2. Las comunicaciones entre las partes se harán a las direcciones de correo electrónico de contacto de cada una (para la Clínica, la registrada en el alta; para VetLexis, info@vetlexis.com).

16. Legislación y jurisdicción

Este contrato se rige por la legislación española y el RGPD. Para cualquier controversia, las partes, con renuncia expresa a cualquier otro fuero que pudiera corresponderles, se someten a los juzgados y tribunales de Tarragona, sin perjuicio del fuero imperativo que en su caso corresponda al interesado como consumidor.

ANEXO I — Descripción del tratamiento

ANEXO II — Medidas de seguridad técnicas y organizativas

Descripción basada en la arquitectura actual del servicio. El asesor/DPO debe validar que refleja la realidad y completarla con las medidas organizativas.

1. Control de acceso: autenticación individual por email y contraseña con indicador de fortaleza; roles diferenciados (administrador de clínica, veterinario, ATV/recepcionista); posibilidad de cerrar todas las sesiones activas desde el perfil. La autenticación multifactor (MFA) está prevista en la hoja de ruta del servicio.
2. Aislamiento entre clínicas: Row Level Security (RLS) en la base de datos PostgreSQL (Supabase); los documentos firmados residen en almacenamiento privado con políticas de acceso por clínica. Ninguna clínica puede acceder a datos de otra.
3. Cifrado: todas las comunicaciones cifradas en tránsito mediante HTTPS/TLS 1.2 o superior; cifrado en reposo proporcionado por Supabase (AES-256) para base de datos y almacenamiento de ficheros.
4. Integridad de documentos: cálculo de hash SHA-256 de cada documento firmado y de la firma digital; contenido congelado (snapshot) en el momento de la firma; verificación pública de autenticidad mediante el hash, sin exposición de datos personales.
5. Trazabilidad: registro de auditoría (audit_log) de acciones relevantes con marca temporal y usuario: firma, anulación, aceptación de protección de datos, envíos, cambios de configuración.
6. Inmutabilidad probatoria: los documentos firmados no pueden ser modificados ni borrados por los usuarios de la clínica. Los usuarios autorizados de la Clínica (administrador o veterinario) pueden anularlos indicando un motivo por escrito, con registro de fecha y autor; el PDF original firmado se conserva siempre.
7. Copias de seguridad: backups diarios automáticos gestionados por Supabase, con retención mínima de 7 días, almacenados en la misma región UE.
8. Gestión de claves y secretos: variables de entorno separadas por entorno (desarrollo/producción); sin credenciales en el código fuente; rotación de claves de API según las recomendaciones del proveedor.
9. Accesos privilegiados: el acceso con permisos globales (soporte técnico) está limitado al personal autorizado de VetLexis.
10. Medidas organizativas: cláusula de confidencialidad en los contratos del personal con acceso a datos; procedimiento interno de gestión de incidentes y brechas de seguridad; política de contraseñas fuertes para el personal de VetLexis.

ANEXO III — Subencargados autorizados

Nota: el envío por WhatsApp se realiza mediante un enlace que abre la aplicación del dispositivo de la Clínica; VetLexis no interviene en esa comunicación ni la almacena.

ANEXO IV — Instrucciones documentadas del responsable

1. Tratar los datos exclusivamente para prestar las funcionalidades del servicio ConsentLex tal como se describen en las Condiciones de uso.
2. No acceder a los datos de la Clínica salvo para: prestar soporte a petición de la Clínica, resolver incidencias técnicas, cumplir una obligación legal o aplicar la política de conservación y anonimización.
3. Aplicar la anonimización de los datos de tutores a petición de la Clínica (derecho de supresión) sin afectar a los documentos firmados.
4. Atender solicitudes de exportación de datos de la Clínica en formato descargable (CSV + ZIP de PDFs).
5. Enviar el documento firmado al tutor únicamente por los canales y a los destinatarios que la Clínica indique en cada consentimiento (email y/o enlace de WhatsApp).
6. Las instrucciones adicionales se darán por escrito (correo electrónico a info@vetlexis.com) y se consideran parte de este anexo desde su confirmación por VetLexis.