Contrato de encargado del tratamiento (DPA)
Versión 2026-08-06 · el mismo texto para todas las organizaciones, se acepta desde Ajustes → Cumplimiento
Regula cómo Trazo trata los datos personales de tus pacientes por tu cuenta e instrucción, como encargado del tratamiento frente a la LFPDPPP.
1. Objeto y partes
Este contrato regula el tratamiento de datos personales que la organización (en adelante, "el Responsable") encarga a la plataforma Trazo (en adelante, "el Encargado") con motivo de la prestación del servicio de expediente clínico digital, transcripción y documentación asistida.
El Responsable es quien decide qué datos se tratan, con qué finalidad y bajo qué consentimiento del titular (su paciente). El Encargado trata esos datos únicamente por cuenta e instrucción del Responsable, nunca para fines propios.
2. Instrucciones documentadas
El Encargado solo trata los datos personales conforme a las instrucciones documentadas del Responsable, incluidas las que resultan de la configuración del servicio (módulos activos, permisos por rol, retención configurada). Si una instrucción del Responsable infringe la LFPDPPP u otra ley aplicable, el Encargado lo informa de inmediato antes de ejecutarla.
El Encargado no trata los datos para fines propios, no los vende, no los usa para entrenar modelos de terceros ni los combina con datos de otras organizaciones.
3. Confidencialidad
El Encargado garantiza que las personas autorizadas a tratar los datos personales (su propio personal, en su caso) se han comprometido a guardar confidencialidad o están sujetas a una obligación legal de confidencialidad.
4. Medidas de seguridad
El Encargado aplica medidas técnicas y organizativas razonables conforme al estado de la técnica, entre ellas: cifrado en reposo de los campos más sensibles del expediente clínico (transcripciones, notas, identificadores del paciente), llaves de cifrado independientes por organización, control de acceso basado en roles, y registro de auditoría de acciones administrativas.
Ninguna medida de seguridad es absoluta. El Encargado revisa y ajusta estas medidas conforme evoluciona el servicio.
5. Subencargados
El Encargado puede apoyarse en subencargados para partes específicas del servicio (por ejemplo, alojamiento de base de datos, transcripción de audio, o modelos de lenguaje para el procesamiento asistido), siempre bajo un contrato que les imponga obligaciones de protección de datos equivalentes a las de este documento.
El Responsable puede solicitar en cualquier momento la lista de subencargados vigentes escribiendo al correo de soporte de la plataforma.
6. Colaboración en derechos ARCO e incidentes
El Encargado apoya al Responsable, mediante las herramientas del propio servicio o por solicitud directa, a atender las solicitudes de derechos ARCO que reciba de sus pacientes, y a cumplir con sus obligaciones de seguridad de datos personales.
7. Notificación de vulneraciones de seguridad
Si el Encargado detecta una vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de los titulares cuyos datos trata para el Responsable, se lo notifica sin dilación indebida, conforme al protocolo interno de notificación de incidentes de la plataforma.
La notificación al Responsable no sustituye la obligación de éste de notificar, cuando proceda, al INAI y a los titulares afectados.
8. Destino de los datos al término de la relación
Al terminar la relación con el Responsable, el Encargado deja de tratar los datos personales para las finalidades de este contrato y, a elección del Responsable, se los devuelve en un formato exportable o los suprime de forma segura, salvo que una disposición legal exija su conservación por un plazo mayor (por ejemplo, la conservación mínima del expediente clínico que exige la NOM-004-SSA3-2012).
9. Vigencia y legislación aplicable
Este contrato entra en vigor al aceptarlo desde la organización y permanece vigente mientras exista una suscripción activa al servicio, salvo que una versión posterior lo sustituya. Se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento.