Contrato de Encargo de Tratamiento
Acuerdo de Tratamiento de Datos Personales conforme al Artículo 28 del Reglamento General de Protección de Datos (RGPD)
Última actualización: Septiembre de 2026
Índice
- 1. Identificación de las Partes
- 2. Objeto y Alcance
- 3. Descripción de Datos Personales
- 4. Obligaciones del Encargado del Tratamiento
- 5. Obligaciones del Responsable del Tratamiento
- 6. Medidas de Seguridad
- 7. Encargados del Tratamiento (Sub-procesadores)
- 8. Transferencias Internacionales de Datos
- 9. Derechos de los Interesados
- 10. Notificación de Brechas de Seguridad
- 11. Terminación y Gestión de Datos
- 12. Ley Aplicable y Jurisdicción
1. Identificación de las Partes
1.1 RESPONSABLE DEL TRATAMIENTO (Data Controller)
Definición: El profesional —psicólogo o psicóloga, psicoterapeuta, terapeuta, coach u otra persona que presta servicios de atención o acompañamiento psicológico o emocional— que crea y gestiona la cuenta en la plataforma Terapli y decide para qué y cómo se tratan los datos de las personas a las que atiende.
Condición profesional: Que el Responsable sea o no profesional sanitario conforme a la Ley 44/2003, de ordenación de las profesiones sanitarias, depende de su titulación y habilitación. El Responsable las declara y responde de ellas; Terapli no verifica titulaciones ni colegiación y este contrato no atribuye a nadie esa condición.
«Paciente»: En este contrato designa a toda persona atendida por el Responsable cuyos datos se tratan en la plataforma, se la llame paciente, cliente o consultante.
Datos de Contacto: Según información registrada en la plataforma Terapli.
Responsabilidades: Es responsable de cumplir la normativa RGPD respecto a sus pacientes y de proporcionar instrucciones válidas al Encargado del Tratamiento.
1.2 ENCARGADO DEL TRATAMIENTO (Data Processor)
Denominación: Karem Peña Marcano (Autónomo)
NIF: 35717628P
Domicilio: Calle Vereda del Prado 42, Ciempozuelos, Madrid, España
Correo Electrónico: hola@terapli.com
Contacto de protección de datos: hola@terapli.com
2. Objeto y Alcance del Contrato
2.1 Propósito del Tratamiento
El Encargado del Tratamiento actúa bajo la autoridad y las instrucciones del Responsable del Tratamiento exclusivamente para la prestación de los servicios de la plataforma Terapli, que constituyen un sistema de gestión de la agenda, los cobros, la documentación de las sesiones —incluida, cuando el Responsable es profesional sanitario, la historia clínica— y la comunicación segura entre el profesional y las personas a las que atiende.
2.2 Naturaleza del Tratamiento
El tratamiento comprende la recepción, almacenamiento, consulta, modificación, exportación y, bajo petición del Responsable, la supresión de datos personales de naturaleza especial (datos de salud) en formato digital.
2.3 Duración del Contrato
La duración de este contrato será equivalente a la duración de la suscripción del Responsable a los servicios de Terapli. Se renovará automáticamente en cada renovación de suscripción, y podrá ser terminado por cualquiera de las partes de conformidad con las condiciones estipuladas en la Sección 11.
3. Descripción de Datos Personales Tratados
3.1 Categorías de Datos
Conforme al Artículo 9 del RGPD, el tratamiento incluye categorías especiales de datos personales (datos de salud). Las categorías de datos tratados son:
a) Datos de Identificación
Nombre, apellidos, número de identidad (DNI/NIF/NIE), fecha de nacimiento.
b) Datos de Contacto
Correo electrónico, número de teléfono, dirección postal.
c) Datos de Salud (Categoría Especial - Art. 9 RGPD)
- Notas clínicas de sesiones terapéuticas
- Diagnósticos y evaluaciones clínicas
- Planes de tratamiento y objetivos terapéuticos
- Historial de sesiones y seguimiento terapéutico
- Información sobre condiciones de salud mental y física
- Medicaciones y tratamientos prescritos o consultados
- Antecedentes médicos y psiquiátricos
d) Datos de Gestión Administrativa
Información de citas, pagos, facturas, bonificaciones, historial de suscripción.
e) Datos de Comunicación
Mensajes entre profesional y paciente, anotaciones privadas, historial de comunicación dentro de la plataforma.
f) Datos de Seguimiento Emocional
Registros de estado emocional, diarios del estado de ánimo, escalas de bienestar y evaluaciones de síntomas.
3.2 Categorías de Interesados
Los interesados cuyos datos son tratados son los pacientes del Responsable del Tratamiento: las personas que solicitan o aceptan sus servicios de psicología, terapia o coaching.
3.3 Volumen de Datos
El volumen de datos es variable según el número de pacientes del Responsable y la duración de su relación terapéutica. El Encargado del Tratamiento está preparado para escalar el almacenamiento según sea necesario.
3.4 Base Legal para el Tratamiento
El Responsable del Tratamiento garantiza que posee una base legal válida para el tratamiento de los datos personales (art. 6 RGPD) y, para los datos de salud y demás categorías especiales, una de las excepciones del art. 9.2 RGPD. Cuando el Responsable es profesional sanitario sujeto a secreto profesional, esa excepción es la prestación de asistencia sanitaria (art. 9.2.h y 9.3 RGPD). En los demás casos —por ejemplo, un coach o un terapeuta sin habilitación sanitaria— es el consentimiento explícito del paciente (art. 9.2.a RGPD), que el Responsable debe recabar antes de registrar esos datos, poder demostrar y dejar de tratar si se retira. Determinar cuál le corresponde es obligación del Responsable, no del Encargado.
4. Obligaciones del Encargado del Tratamiento
4.1 Procesamiento conforme a Instrucciones
El Encargado del Tratamiento procesará datos personales únicamente conforme a las instrucciones documentadas del Responsable del Tratamiento. Estas instrucciones incluyen:
- El objeto, naturaleza, propósito y duración del tratamiento
- El tipo de datos y categorías de interesados
- Las acciones a ejecutar sobre los datos (almacenamiento, acceso, modificación, exportación, supresión)
- Cualquier instrucción adicional comunicada por escrito
4.2 Obligaciones de Confidencialidad
El Encargado del Tratamiento garantiza que todas las personas autorizadas para acceder a datos personales están comprometidas por obligaciones de confidencialidad o son objeto de una obligación legal equivalente de confidencialidad.
4.3 Asistencia en Derechos de Interesados
El Encargado del Tratamiento asistirá al Responsable en el cumplimiento de sus obligaciones de respuesta a solicitudes de los interesados relativas a:
- Derecho de acceso a datos personales
- Derecho de rectificación de datos inexactos
- Derecho al olvido (supresión)
- Derecho a la limitación del tratamiento
- Derecho a la portabilidad de datos
- Derecho a oposición al tratamiento
El Encargado proporcionará la información necesaria al Responsable en un plazo máximo de 10 días hábiles desde la solicitud.
4.4 Asistencia en Evaluaciones de Impacto (DPIA)
El Encargado del Tratamiento asistirá al Responsable en la realización de Evaluaciones de Impacto sobre la Protección de Datos (DPIA) cuando sea necesario, proporcionando información detallada sobre las medidas de seguridad implementadas y cómo se procesan los datos.
4.5 Asistencia en Consultas Previas
Cuando el tratamiento presenta un alto riesgo para los derechos de los interesados, el Encargado proporcionará toda la información necesaria al Responsable para permitir la consulta previa a la Autoridad de Control competente, según requiere el Artículo 36 del RGPD.
4.6 Auditoría y Transparencia
El Encargado del Tratamiento se compromete a:
- Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de este contrato y de la normativa RGPD
- Permitir auditorías e inspecciones por el Responsable o sus auditores designados, con un aviso previo mínimo de 5 días hábiles
- Cooperar plenamente con las Autoridades de Control en inspecciones sobre tratamiento de datos
- Mantener registros de tratamiento actualizados conforme al Artículo 30 del RGPD
4.7 Seguridad Física y Lógica
El Encargado garantiza que implementa y mantiene medidas técnicas y organizativas de seguridad según se detalla en la Sección 6 de este contrato.
4.8 Gestión de Sub-procesadores
El Encargado del Tratamiento no contratará ningún sub-procesador sin autorización previa por escrito del Responsable. La autorización para los sub-procesadores listados en la Sección 7 se considera concedida mediante la aceptación de este contrato, incluyendo la autorización para cambios futuros bajo los términos especificados.
5. Obligaciones del Responsable del Tratamiento
5.1 Base Legal para el Tratamiento
El Responsable del Tratamiento es responsable de asegurar que tiene una base legal válida para recopilar y procesar datos personales, particularmente datos de salud —bajo el art. 9.2.h RGPD si es profesional sanitario sujeto a secreto profesional, o bajo el consentimiento explícito del art. 9.2.a RGPD en los demás casos, como se detalla en la cláusula 3.4—, y que ha cumplido todas las obligaciones de transparencia antes de recopilar datos.
5.2 Información a Interesados
El Responsable del Tratamiento debe informar a los pacientes sobre:
- Que sus datos serán almacenados en la plataforma Terapli
- La identidad del Encargado del Tratamiento (Karem Peña Marcano / Terapli)
- El propósito del tratamiento (gestión de historiales clínicos)
- La duración del almacenamiento
- Los derechos que tienen respecto a sus datos
- El procedimiento para ejercer sus derechos
5.3 Respuesta a Derechos de Interesados
El Responsable es responsable de responder a las solicitudes de los interesados de ejercer sus derechos RGPD. El Encargado proporcionará asistencia según se describe en la Sección 4.3.
5.4 Instrucciones de Tratamiento
El Responsable comunicará al Encargado cualquier instrucción relacionada con el tratamiento de datos o cambios en sus requisitos de procesamiento. Estas instrucciones deben ser documentadas por escrito a través del correo electrónico hola@terapli.com o del formulario de contacto disponible en la plataforma.
5.5 Consentimiento para Sub-procesadores
La aceptación de este contrato constituye consentimiento previo para el uso de los sub-procesadores listados en la Sección 7. El Responsable puede revocar este consentimiento para ciertos sub-procesadores, pero esto puede afectar la disponibilidad de ciertos servicios.
5.6 Seguridad de Credenciales
El Responsable es responsable de mantener la seguridad de sus credenciales de acceso (usuario y contraseña) a la plataforma Terapli y de autorizar únicamente a usuarios autorizados para acceder a los datos.
6. Medidas Técnicas y Organizativas de Seguridad
Conforme al Artículo 32 del RGPD, el Encargado del Tratamiento implementa medidas de seguridad apropiadas para el nivel de riesgo, considerando la naturaleza especial de los datos de salud tratados:
6.1 Medidas de Cifrado
- En tránsito (in transit): Todos los datos se transmiten utilizando TLS 1.3, proporcionando cifrado de punto a punto entre el cliente y los servidores.
- En reposo (at rest): Los datos se cifran usando AES-256 en la base de datos de Supabase, asegurando que los datos almacenados sean ilegibles sin las claves criptográficas apropiadas.
- Contenido clínico: Las notas y los datos clínicos de la ficha se cifran además en el dispositivo del Responsable, con una clave que solo él conoce. El Encargado no puede leerlos ni recuperarlos.
- Gestión de claves: Las claves criptográficas se gestionan de forma segura con acceso limitado a personal autorizado únicamente.
6.2 Control de Acceso
- RBAC (Role-Based Access Control): La plataforma implementa control de acceso basado en roles para asegurar que solo el profesional titular de la cuenta puede acceder a los datos de sus pacientes.
- RLS (Row-Level Security): Las políticas de Row Level Security en la base de datos garantizan que los datos de cada paciente solo son accesibles por el profesional responsable.
- Entrada a la cuenta: Se entra con un código de un solo uso enviado al correo del usuario. La sesión se cierra tras quince minutos sin actividad.
- Registro de cambios: Los cambios en fichas, notas, citas y consentimientos quedan registrados, con su autor y su fecha.
6.3 Copias de Seguridad y Recuperación
- Se realiza una copia de seguridad automática cada día, dentro de la Unión Europea.
- Las copias de seguridad se cifran con los mismos estándares que los datos en producción.
- La prueba de restauración completa está pendiente; se documentará cuando se realice.
6.4 Registro y avisos
- Los cambios en datos de salud se registran con marca temporal y el usuario que los hizo.
- El registro de cambios se conserva durante quince años.
- El Encargado recibe un aviso por correo cuando el sistema registra un evento de seguridad.
6.5 Protección frente a ataques
- La infraestructura la operan proveedores especializados (Supabase y Vercel), que aplican sus propias protecciones de red.
- El servidor rechaza las peticiones que llegan desde otros sitios y limita los intentos de acceso.
- El Encargado recibe alertas de fallos conocidos en el código de terceros que utiliza.
6.6 Acceso a la cuenta
- El acceso habitual es con un código de un solo uso enviado al correo del usuario.
- Las contraseñas de las cuentas que aún las usan se guardan como una huella irreversible.
- Las peticiones de acceso tienen un límite de intentos.
- Se recomienda proteger el correo con una contraseña única y con la verificación en dos pasos del propio proveedor de correo.
6.7 Referencias
Las medidas de seguridad se alinean con:
- Buenas prácticas de seguridad en la nube para proveedores como Supabase y Vercel
- Requisitos específicos de protección de datos de salud bajo la normativa sanitaria española, cuando resulte aplicable al Responsable
7. Encargados del Tratamiento (Sub-procesadores)
Conforme al Artículo 28(2) y 28(4) del RGPD, el Encargado del Tratamiento utiliza los siguientes sub-procesadores autorizados para la prestación de servicios. La aceptación de este contrato constituye consentimiento previo para utilizar estos sub-procesadores.
| Sub-procesador | Localización | Función | Tipo de Datos |
|---|---|---|---|
| Supabase | Irlanda (eu-west-1) | Base de datos, almacenamiento, autenticación | Todos los datos personales incluidos datos de salud |
| Vercel | Europa (Edge Network) | Hosting de aplicación, distribución de contenido | Datos en tránsito, metadatos de acceso |
| Stripe | Estados Unidos (con SCCs) | Procesamiento de pagos | Datos de pago, información de suscripción |
| Twilio | Estados Unidos (con SCCs) | Envío de avisos por WhatsApp (a través de la plataforma de WhatsApp de Meta) y SMS | Nombre y teléfono del paciente, fecha y hora de la cita, nombre de la profesional y la respuesta del paciente (confirmo / necesito cambiarla). Ningún dato clínico |
| Resend | Estados Unidos (con SCCs) | Envío de correos electrónicos | Nombre y correo del paciente, fecha y hora de la cita, enlaces y códigos para firmar documentos, y las facturas o recibos que la profesional decide enviar. Ningún dato clínico |
| Google (API de Gemini) | Estados Unidos (con SCCs, Data Processing Addendum de Google) | Redacción de borradores de mensajes y resúmenes que la profesional revisa antes de enviar | Fecha y hora de citas, nombre y datos públicos de la profesional, recuentos agregados. Nunca el nombre ni ningún dato del paciente: el borrador lleva un hueco que rellena Terapli |
| BeeL | España (Unión Europea) | Emisión de facturas con Veri*Factu, solo si la profesional activa esa vía | Facturas: nombre, NIF y dirección del receptor, concepto e importes. Ningún dato clínico |
| Upstash | Unión Europea o Estados Unidos (con SCCs), según la región de la base de datos configurada por Terapli | Límite de peticiones a la aplicación (protección frente a abuso) | Dirección IP del navegador y contador de peticiones, conservados unos minutos. Ningún dato de pacientes |
7.1 Cambios a Sub-procesadores
El Encargado del Tratamiento notificará al Responsable con un mínimo de 30 días de anticipación sobre cualquier cambio relacionado con sub-procesadores (adición o sustitución). El Responsable tiene el derecho de:
- Solicitar información adicional sobre el nuevo sub-procesador
- Objetar razonablemente la incorporación de un nuevo sub-procesador
- Rescindir el contrato sin penalización si objeta en las primeras 2 semanas
7.2 Obligaciones de Sub-procesadores
El Encargado del Tratamiento garantiza que todos los sub-procesadores están vinculados por:
- Contratos que imponen las mismas obligaciones de protección de datos
- Cláusulas contractuales que incluyen Cláusulas Contractuales Estándar (SCCs) cuando corresponda
- Acuerdos de confidencialidad
- Obligaciones de cooperación con autoridades de control
7.3 Información Pública sobre Sub-procesadores
Se mantiene una lista actualizada de sub-procesadores y sus funciones disponible en https://www.terapli.com/legal o mediante solicitud a hola@terapli.com.
8. Transferencias Internacionales de Datos
8.1 Política General
El Encargado del Tratamiento procesa la mayoría de datos dentro del Espacio Económico Europeo (EEA), donde se aplica la protección de datos RGPD. Sin embargo, ciertos datos pueden ser transferidos a terceros países en los siguientes casos:
8.2 Transferencias a EEA (Permisibles sin Restricción)
Supabase (Irlanda, eu-west-1): Los datos de salud se almacenan principalmente en la infraestructura de Supabase ubicada en Irlanda, que está dentro del EEA. Esta transferencia está permitida bajo el RGPD sin necesidad de mecanismos de salvaguarda adicionales.
Vercel (Europa): El hosting y distribución de contenido se realiza a través de la red de Edge de Vercel ubicada en Europa, sin transferencias a terceros países.
8.3 Transferencias a Estados Unidos (con Salvaguardas)
Stripe (Procesamiento de Pagos): Stripe procesa información de pagos en los Estados Unidos. Este flujo de datos está protegido por:
- Cláusulas Contractuales Estándar (SCCs) ejecutadas con Stripe
- Cifrado end-to-end de datos sensibles de pago
- Cumplimiento de Stripe con estándares PCI DSS
- Los datos de pago no incluyen información de salud del paciente
Twilio y Resend (avisos por WhatsApp, SMS y correo): reciben solo lo necesario para cada envío —nombre, teléfono o correo, fecha y hora de la cita, y en el caso del correo los documentos que la profesional envía al paciente—, nunca notas ni historia clínica. Las transferencias están cubiertas por las Cláusulas Contractuales Tipo de la Comisión Europea incluidas en su contrato de tratamiento de datos.
Google (API de Gemini): redacta borradores de mensajes y resúmenes a partir de la fecha y la hora de las citas y de los datos públicos de la profesional; el nombre y cualquier dato del paciente no salen de Terapli (el borrador lleva un hueco que Terapli rellena después). La transferencia está cubierta por las Cláusulas Contractuales Tipo incluidas en el Data Processing Addendum de Google.
Lo que no es subencargado de este contrato: la analítica de la web pública de Terapli (no interviene en el tratamiento de datos de pacientes; se rige por la Política de Privacidad y la de Cookies); Google Calendar, cuando la profesional conecta su propia cuenta de Google (es un proveedor elegido y autorizado por ella, y decide si el nombre del paciente viaja o solo «Sesión de terapia»); y los servicios de inteligencia artificial que Terapli usa para su propia actividad comercial, que no reciben datos de pacientes.
8.4 Restricción de Transferencias
El Encargado del Tratamiento se compromete a:
- No transferir datos a terceros países que no posean una decisión de adecuación de la Comisión Europea, excepto cuando esté vinculado por SCCs u otros mecanismos legales válidos
- Informar al Responsable de cualquier cambio en los mecanismos de transferencia
- Permitir que el Responsable obtenga cópias de los SCCs o documentación relevante
8.5 Derecho a Rescindir por Transferencias
Si el Responsable considera que una transferencia internacional de datos es inapropiada o incumple la legislación de protección de datos, puede solicitar por escrito que se detenga la transferencia o rescindir este contrato sin penalización, con 30 días de aviso previo.
9. Derechos de los Interesados y Procedimientos de Ejercicio
9.1 Descripción General
Los pacientes cuyos datos se procesan en Terapli disponen de los derechos reconocidos en el Capítulo III del RGPD. El Responsable del Tratamiento es responsable de facilitar el ejercicio de estos derechos.
9.2 Derechos y Procedimientos
a) Derecho de Acceso (Art. 15 RGPD)
El paciente puede solicitar acceso a copia de sus datos. El Responsable debe proporcionar esta información en un plazo de 30 días. El Encargado asistirá proporcionando datos en formato legible.
b) Derecho de Rectificación (Art. 16 RGPD)
El paciente puede solicitar corrección de datos inexactos. El Responsable puede realizar rectificaciones a través de la plataforma Terapli.
c) Derecho al Olvido / Supresión (Art. 17 RGPD)
El paciente puede solicitar la supresión de sus datos bajo ciertas circunstancias (consentimiento retirado, datos no necesarios, objeción). La documentación clínica debe conservarse durante el plazo legal (Ley 41/2002, art. 17.1: mínimo cinco años desde el alta); cuando esa ley no es aplicable al Responsable, los datos se conservan bloqueados para atender las responsabilidades que pudieran derivarse del servicio prestado. En ambos casos la supresión se ejecuta mediante el bloqueo previsto en el art. 32 de la LOPDGDD: el Responsable bloquea al paciente desde la plataforma, sus datos dejan de estar accesibles para él y se conservan, sin tratarse, a disposición exclusiva de jueces, tribunales y autoridades competentes durante el plazo de conservación que el Responsable haya fijado en su cuenta (nunca inferior a cinco años). Transcurrido ese plazo, el Encargado anonimiza los datos en su revisión mensual.
d) Derecho a la Limitación del Tratamiento (Art. 18 RGPD)
El paciente puede solicitar que sus datos no se procesen activamente (aunque se mantengan almacenados). El Encargado respetará estas restricciones marcando datos como "restringidos".
e) Derecho a la Portabilidad de Datos (Art. 20 RGPD)
El paciente puede solicitar que sus datos se le entreguen en un formato estructurado, comúnmente utilizado y legible por máquina (ej: CSV, JSON). El Encargado proporciona esta exportación dentro de 30 días.
f) Derecho de Oposición (Art. 21 RGPD)
El paciente puede objetar al procesamiento de sus datos. El Responsable debe cesar el tratamiento a menos que exista una base legal imperativa.
9.3 Procedimiento de Solicitud
Los pacientes pueden ejercitar sus derechos mediante:
- Solicitud directa a través de la plataforma Terapli
- Correo electrónico al profesional responsable
- Correo físico a la dirección del Responsable del Tratamiento
9.4 Asistencia del Encargado
El Encargado del Tratamiento asistirá al Responsable en responder a las solicitudes de derechos, proporcionando datos o funcionalidades para ejecutar las acciones solicitadas en un plazo máximo de 10 días hábiles desde recibir la solicitud del Responsable.
10. Notificación de Brechas de Seguridad
10.1 Obligación de Notificación
Conforme al Artículo 33.2 del RGPD, el Encargado del Tratamiento notificará al Responsable sin dilación indebida, y a más tardar en 24 horas, después de tomar conocimiento de una brecha de seguridad que afecte a datos personales almacenados o procesados. Este plazo de 24 horas es el del aviso del Encargado al Responsable y lo fija este contrato; es distinto del plazo de 72 horas que el Artículo 33.1 del RGPD da al Responsable para notificar a la Autoridad de Control (véase la cláusula 10.5).
10.2 Contenido de la Notificación
La notificación incluirá:
- Descripción de la naturaleza de la brecha
- Categorías y número aproximado de interesados afectados
- Categorías y número aproximado de registros de datos afectados
- Consecuencias probables de la brecha
- Medidas tomadas o propuestas para remediar la brecha y mitigar daños
- Un punto de contacto en el que obtener más información
10.3 Investigación de Incidentes
El Encargado llevará a cabo una investigación inmediata para:
- Contener la brecha y prevenir daños adicionales
- Restaurar la integridad de los sistemas
- Recopilar evidencia para análisis forense
- Determinar el alcance de los datos comprometidos
- Documentar el incidente de forma completa
10.4 Comunicación a Interesados
El Responsable es responsable de notificar a los interesados si la brecha presenta un riesgo alto para sus derechos. El Encargado proporcionará toda la información necesaria para que el Responsable cumpla esta obligación.
10.5 Notificación a Autoridades
Conforme al Artículo 33.1 del RGPD, el Responsable notificará a la Autoridad de Control competente (como la AEPD en España) sin dilación indebida y, a más tardar, en las 72 horas siguientes a tener constancia de la brecha, salvo que sea improbable que constituya un riesgo para los derechos y libertades de los interesados. El Encargado proporcionará asistencia con documentación técnica si es requerido.
11. Terminación y Gestión de Datos
11.1 Terminación del Contrato
Este contrato termina automáticamente con la conclusión de la prestación de servicios de Terapli. Cualquiera de las partes puede rescindir este contrato con 30 días de aviso previo, salvo en caso de incumplimiento grave donde se requiere 5 días para remediación.
11.2 Obligaciones Post-Terminación
Tras la terminación del contrato, el Encargado del Tratamiento:
- Exportación de datos: Pondrá a disposición del Responsable todos los datos en un formato estándar legible (CSV, JSON) dentro de 15 días hábiles
- Supresión segura: Eliminará de forma segura todos los datos personales de los sistemas de producción dentro de 30 días hábiles mediante métodos criptográficos o destrucción física certificada
- Eliminación de copias: Garantizará la eliminación de todos los datos de las copias de seguridad dentro de 90 días hábiles
- Certificación: Proporcionará un certificado de eliminación de datos firmado digitalmente confirmando la supresión
- Notificación a sub-procesadores: Informará a todos los sub-procesadores sobre la terminación y les instructará que ejecuten las mismas obligaciones post-terminación
11.3 Excepción para Obligaciones Legales
Si la ley española o, cuando sean aplicables al Responsable, las regulaciones sanitarias requieren la retención de datos por un período más largo, el Encargado del Tratamiento puede mantener los datos únicamente por el tiempo requerido por ley, bajo las mismas medidas de seguridad.
11.4 Continuidad de Confidencialidad
Las obligaciones de confidencialidad del Encargado del Tratamiento y sus sub-procesadores continuarán vigentes después de la terminación del contrato.
12. Ley Aplicable y Resolución de Controversias
12.1 Ley Aplicable
Este contrato se rige por la ley española, particularmente por:
- Reglamento General de Protección de Datos (RGPD) - Reglamento UE 2016/679
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de Derechos Digitales (LOPDGDD)
- Código Civil Español
- Ley 34/1988, de 11 de noviembre, de Publicidad
- Normativa sanitaria española (Ley 41/2002 de autonomía del paciente, Ley 44/2003 de ordenación de las profesiones sanitarias, etc.), cuando resulte aplicable al Responsable
12.2 Jurisdicción
Los tribunales competentes son los Juzgados y Audiencias Provinciales de Madrid (España), con exclusión expresa de cualquier otro fuero que pudiera corresponder a las partes.
12.3 Resolución de Controversias
Antes de acudir a los tribunales, las partes se comprometen a intentar resolver las controversias mediante:
- Negociación directa entre las partes (mínimo 15 días)
- Mediación ante un mediador profesional (voluntaria, máximo 30 días)
- Si no se alcanza acuerdo, acción ante los tribunales españoles competentes
12.4 Procedimiento para Notificaciones Legales
Todas las notificaciones legales deben enviarse a:
Para el Encargado del Tratamiento (Terapli/Karem Peña Marcano):
Calle Vereda del Prado 42, Ciempozuelos, Madrid, España
Correo: hola@terapli.com
Para el Responsable del Tratamiento:
Datos registrados en la cuenta de Terapli
13. Cláusulas Adicionales
13.1 Enmiendas al Contrato
Terapli puede modificar este contrato para:
- Adaptar a cambios en la normativa de protección de datos
- Mejorar la seguridad o funcionalidad de la plataforma
- Cambiar sub-procesadores conforme a los procedimientos descritos
El Responsable será notificado de cambios materiales con un mínimo de 30 días de anticipación. Si el Responsable objeta, puede rescindir sin penalización.
13.2 Severabilidad
Si alguna cláusula se considera nula o ineficaz, las demás cláusulas permanecerán en vigor. Las partes sustituirán la cláusula inválida por una que logre el propósito original conforme a la ley aplicable.
13.3 Contrato Íntegro
Este contrato, junto con los Términos de Servicio de Terapli y la Política de Privacidad, constituye el acuerdo íntegro respecto al tratamiento de datos personales y reemplaza cualquier acuerdo anterior.
13.4 No Renuncia de Derechos
La falta de ejercicio de cualquier derecho por una de las partes no constituye renuncia a ese derecho.
Aceptación de Términos
PARA EL ENCARGADO DEL TRATAMIENTO:
Karem Peña Marcano (Autónomo) - Terapli
NIF: 35717628P
Calle Vereda del Prado 42, Ciempozuelos, Madrid
Este contrato entra en vigor cuando un Responsable del Tratamiento acepta los términos de servicio de Terapli o accede a la plataforma.
PARA EL RESPONSABLE DEL TRATAMIENTO:
Al crear una cuenta en Terapli o continuar usando la plataforma después de la publicación de actualizaciones a este contrato, el Responsable del Tratamiento acepta y se vincula por todos los términos y condiciones establecidos en este Contrato de Encargo de Tratamiento.
Este Contrato de Encargo de Tratamiento es un documento legal vinculante conforme al Artículo 28 del Reglamento General de Protección de Datos (RGPD). Las partes lo aceptan como evidencia de cumplimiento normativo en materia de protección de datos personales.
Versión: 1.4 (anunciada el 5 de octubre de 2026: se añaden a la lista de subencargados Google (API de Gemini), BeeL y Upstash, que ya intervenían, y se aclara qué proveedores no lo son —la analítica de la web pública, Google Calendar conectado por la propia profesional y la inteligencia artificial de uso comercial de Terapli—; la sección 8.3 describe la transferencia a Google). Versión 1.3, anunciada el 19 de septiembre de 2026: el contrato deja de llamar «profesional sanitario» a todo Responsable —Terapli admite psicólogos, terapeutas y coaches—, la base jurídica de los datos de salud distingue la asistencia sanitaria del art. 9.2.h del consentimiento explícito del art. 9.2.a; la sección 6 de medidas de seguridad recoge solo las que existen hoy; y el contrato deja de mencionar un delegado de protección de datos, que Terapli no tiene designado: el contacto es hola@terapli.com). Versión 1.2, anunciada el 11 de septiembre de 2026: se añaden Twilio y Resend a la lista de subencargados; la supresión se ejecuta mediante bloqueo; plazos de brecha precisados
Fecha de Entrada en Vigor: lo anunciado en la versión 1.2, el 11 de octubre de 2026; lo anunciado en la versión 1.3, el 19 de octubre de 2026; lo anunciado en la versión 1.4, el 5 de noviembre de 2026 (versión 1.0: marzo de 2026)
Próxima Revisión: Marzo de 2027
Responsable de Mantenimiento: Terapli (hola@terapli.com)
Información de Contacto
Para cualquier pregunta, solicitud o preocupación relacionada con este Contrato de Encargo de Tratamiento, contáctenos:
Contacto Principal
Email: hola@terapli.com
Dirección: Calle Vereda del Prado 42, Ciempozuelos, Madrid
Responsable de Protección de Datos
Nombre: Dieter José Lorenzo Molina
Email: hola@terapli.com