Versión: 1.3 Fecha de entrada en vigor: 5 de junio de 2025 Última actualización: 16 de octubre de 2026
El presente Acuerdo de Encargo de Tratamiento (en adelante, "DPA") se celebra entre:
RESPONSABLE DEL TRATAMIENTO El profesional sanitario (terapeuta, psicólogo u otro profesional de la salud mental) que utiliza la plataforma Luara para gestionar su actividad profesional (en adelante, "el Responsable").
ENCARGADO DEL TRATAMIENTO Luara AI Sociedad Limitada, con domicilio social en Palma de Mallorca, carrer Pere Dezcallar i Net, número 11, 1, 3, CP 07003, CIF B26594663, titular y operadora de la plataforma Luara (en adelante, "el Encargado" o "Luara").
Conjuntamente denominadas "las Partes".
El Responsable es un profesional sanitario que utiliza la plataforma Luara para gestionar la relación con sus pacientes/clientes, incluyendo comunicaciones, gestión de sesiones y seguimiento terapéutico.
En el desarrollo de dicha actividad, el Responsable trata datos personales de sus pacientes/clientes, incluyendo datos de categoría especial relativos a la salud (artículo 9 del RGPD).
El Encargado proporciona la infraestructura tecnológica y presta los servicios necesarios para que el Responsable pueda llevar a cabo dicha actividad, actuando en todo momento bajo las instrucciones del Responsable.
El artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD) exige que el tratamiento por parte de un encargado se rija por un contrato vinculante celebrado por escrito.
En virtud de lo anterior, las Partes acuerdan suscribir el presente DPA, que forma parte integrante de los Términos y Condiciones de Servicio de Luara.
1.1 El presente DPA regula las condiciones bajo las cuales el Encargado tratará datos personales en nombre y por cuenta del Responsable, conforme al artículo 28 del RGPD y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
1.2 El Encargado tratará los datos personales exclusivamente para la prestación de los servicios contratados y según las instrucciones documentadas del Responsable.
1.3 El presente DPA prevalecerá sobre cualquier otro acuerdo previo en materia de protección de datos personales entre las Partes.
La conservación de la documentación clínica durante los plazos establecidos por la normativa sanitaria aplicable corresponde al Responsable del tratamiento.
Cuando finalice la prestación del servicio o el Responsable instruya la supresión o devolución de determinados datos, se aplicará lo establecido en las cláusulas 3.8 y 7.3 del presente DPA.
El Encargado se compromete a:
3.1 Instrucciones documentadas. Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, incluidas las relativas a la transferencia de datos a terceros países u organizaciones internacionales, salvo que esté obligado a ello por el Derecho de la Unión o de los Estados miembros. Además de garantizar que su personal tiene la alfabetización en IA necesaria para comprender los riesgos y limitaciones del sistema.
3.2 Confidencialidad. Garantizar que las personas autorizadas para tratar los datos personales se hayan comprometido a guardar confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.
3.3 Medidas de seguridad. Aplicar medidas técnicas alineadas con el Esquema Nacional de Seguridad (ENS) Nivel Alto/Medio, incluyendo:
3.4 Subencargados. No contratar a otro encargado sin autorización previa por escrito del Responsable (general o específica). En caso de autorización general, el Encargado informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al Responsable la oportunidad de oponerse.
3.5 Asistencia al Responsable. Ayudará al Responsable a responder al ejercicio de derechos (ARCO-POL). Si el paciente ejerce el derecho ante Luara, esta lo comunicará al Responsable en 48 horas.
3.6 Notificación de brechas. Notificar al Responsable, sin dilación indebida y, como máximo, en un plazo de 72 horas tras tener conocimiento de ella, cualquier violación de seguridad de los datos personales, con la información necesaria conforme al artículo 33.3 del RGPD.
3.7 Evaluación de impacto (EIPD). Asistir al Responsable en la realización de evaluaciones de impacto relativas a la protección de datos y en las consultas previas a la autoridad de control, cuando proceda.
3.8 Supresión o devolución. A elección y conforme a las instrucciones documentadas del Responsable, devolver o suprimir los datos personales tratados por cuenta del Responsable cuando finalice la prestación de los servicios o cuando el Responsable así lo solicite durante la relación contractual, siempre que dicha solicitud sea compatible con la prestación de los servicios que permanezcan activos.
Cuando exista una obligación legal de conservación que corresponda al Responsable, los datos serán devueltos o puestos a disposición del Responsable para que este pueda garantizar su conservación durante el plazo legalmente exigible.
La existencia de una obligación legal de conservación de documentación clínica a cargo del Responsable no obligará por sí misma al Encargado a conservar una copia adicional de dicha documentación una vez que haya sido devuelta al Responsable y este haya ordenado su supresión.
El Encargado suprimirá asimismo las copias existentes de los datos, salvo:
a) cuando una norma de Derecho de la Unión Europea o de los Estados miembros obligue directamente al Encargado a conservar determinados datos;
b) cuando determinados datos deban permanecer temporalmente en copias de seguridad sujetas a ciclos ordinarios de rotación o mecanismos técnicos de recuperación ante desastres, en cuyo caso permanecerán fuera del uso ordinario y serán eliminados conforme al ciclo de retención aplicable; o
c) cuando el Encargado pueda conservar determinados datos debidamente bloqueados durante el tiempo en que puedan derivarse responsabilidades de su relación con el Responsable, conforme a la normativa aplicable.
Los datos conservados en virtud del apartado anterior permanecerán bloqueados y no podrán ser tratados para la prestación ordinaria del servicio ni para finalidades distintas de la atención de las responsabilidades que justifican su conservación, salvo obligación legal.
4.1 Garantía de "Zero Training".. El Encargado garantiza que no utilizará los datos clínicos ni las transcripciones de las sesiones para entrenar sus propios modelos de IA o los de terceros, salvo anonimización irreversible validada técnicamente.
4.2 Transparencia algorítmica. El Encargado informará de las limitaciones del sistema (posibles "alucinaciones" o sesgos) y etiquetará claramente todo contenido generado o asistido por IA.
4.3 Supervisión Humana. El sistema se diseñará para que el Responsable mantenga siempre el control y la validación final de cualquier contenido generado por IA.
El Responsable se compromete a:
5.1 Proporcionar instrucciones claras, documentadas y conformes con la normativa vigente en materia de protección de datos.
5.2 Garantizar que dispone de una base jurídica legítima para el tratamiento de los datos personales de sus pacientes/clientes, incluyendo el consentimiento explícito cuando sea necesario para el tratamiento de datos de salud.
5.3 Informar a los interesados (pacientes/clientes) del tratamiento de sus datos conforme a los artículos 13 y 14 del RGPD.
5.4 Cumplir con las obligaciones que le corresponden como Responsable del tratamiento, incluyendo el principio de responsabilidad proactiva (accountability).
5.5 Notificar al Encargado de forma inmediata cualquier solicitud de ejercicio de derechos que reciba de los interesados y que afecte a datos tratados a través de la plataforma.
5.6 Activar los recordatorios, los avisos de cita y la petición de confirmación de asistencia solo respecto de los pacientes/clientes para los que disponga de base jurídica y a los que haya informado conforme a la cláusula 5.3; declarar en la plataforma el consentimiento del paciente/cliente para el envío por SMS o por WhatsApp únicamente cuando lo haya obtenido; y atender las solicitudes de los pacientes/clientes que no deseen recibirlos, desactivándolos en su ficha. La configuración de estos envíos en la plataforma constituye una instrucción documentada del Responsable a efectos de la cláusula 1.2.
5.7 Respecto del canal de WhatsApp, la autorización es del paciente/cliente y puede constar en la plataforma por dos vías: declarada por el Responsable en la ficha —igual que la del canal SMS— o recogida directamente del interesado en el portal de firma de sus documentos, en su área personal o en la página del enlace de confirmación de asistencia. Cuando la declare, el Responsable garantiza que ha obtenido previamente esa autorización del interesado y que le ha informado conforme a la cláusula 5.3, en particular de la intervención de Meta Platforms Ireland Limited como subencargado y del contenido de los mensajes. En ambos casos el Responsable se obliga a mantener actualizado el teléfono de contacto de la ficha —al que se dirigen los mensajes en cada momento— y a atender de inmediato cualquier petición de baja que reciba directamente, retirando la autorización en la ficha; el interesado puede además retirarla por sí mismo respondiendo BAJA a cualquiera de esos mensajes o desde su área personal, en cuyo caso el Encargado cierra el canal y cancela los envíos pendientes sin necesidad de intervención del Responsable, con independencia de quién hubiera registrado la autorización.
6.1 El Responsable otorga al Encargado autorización general para subcontratar los servicios con los siguientes proveedores de infraestructura, que actúan como subencargados:
6.2 Ubicación. Los datos se alojarán preferentemente en el Espacio Económico Europeo. Cualquier transferencia fuera del EEE se amparará en Cláusulas Contractuales Tipo o el Data Privacy Framework. En particular, Meta Platforms Ireland Limited está establecida en el EEE, si bien la prestación del servicio de mensajería puede implicar el acceso de Meta Platforms, Inc. desde Estados Unidos, amparado en la decisión de adecuación del EU-US Data Privacy Framework, al que dicha entidad está adherida, y subsidiariamente en las Cláusulas Contractuales Tipo incorporadas a los términos de tratamiento de datos de Meta.
6.3 El Encargado informará al Responsable con al menos 30 días de antelación de cualquier cambio en esta lista.
7.1 El presente DPA entra en vigor en la fecha de aceptación por el Responsable durante el proceso de registro en la plataforma y permanecerá vigente mientras dure la relación contractual.
7.2 La resolución del contrato de servicios principal conllevará automáticamente la terminación del presente DPA.
7.3 Destino de los datos tras la terminación. Tras la terminación del contrato de servicios principal, el Encargado, a elección del Responsable, devolverá o suprimirá los datos personales tratados por su cuenta.
Luara pondrá a disposición del Responsable mecanismos razonables para obtener una copia de los datos antes de su supresión cuando ello resulte necesario para que el Responsable pueda cumplir sus propias obligaciones legales, incluida la conservación de documentación clínica.
Salvo que las Partes acuerden otro plazo o sea necesario un período inferior por razón de las instrucciones del Responsable, la devolución o supresión se completará en un plazo máximo de 90 días desde la terminación.
No obstante lo anterior:
a) los datos cuya conservación venga exigida directamente al Encargado por una obligación legal podrán conservarse durante el plazo legalmente aplicable;
b) el Encargado podrá conservar datos debidamente bloqueados mientras puedan derivarse responsabilidades de su relación con el Responsable; y
c) los datos contenidos en copias de seguridad podrán mantenerse hasta su eliminación conforme al ciclo ordinario de rotación, permaneciendo durante ese período fuera del tratamiento ordinario.
Una vez transcurridos los plazos que justifiquen dicha conservación, los datos serán eliminados de forma segura.
8.1 Cada Parte será responsable frente a la otra de los daños y perjuicios causados por incumplimiento de las obligaciones establecidas en el presente DPA.
8.2 El Encargado no será responsable de los daños derivados del incumplimiento por parte del Responsable de sus obligaciones como Responsable del tratamiento.
8.3 Límite económico. La responsabilidad total del Encargado se limita a las cuotas pagadas en los últimos 12 meses, salvo en casos de dolo, negligencia grave o infracción de derechos fundamentales.
9.1 El presente DPA se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa española y europea aplicable en materia de protección de datos.
9.2 Para la resolución de cualquier controversia derivada del presente DPA, las Partes se someten a los Juzgados y Tribunales de Palma de Mallorca, con renuncia expresa a cualquier otro fuero que pudiera corresponderles.
9.3 La autoridad de control competente en España es la Agencia Española de Protección de Datos (AEPD), con sede en Madrid.
El Encargado podrá actualizar el presente DPA para reflejar cambios normativos o técnicos. Notificará al Responsable de los cambios entren en vigor. El uso continuado de la plataforma tras dicha notificación implicará la aceptación de las modificaciones.
El tratamiento incluye datos de categoría especial (datos relativos a la salud) conforme al artículo 9 del RGPD, los cuales requieren medidas de seguridad reforzadas.
Continua, durante toda la vigencia de la relación terapéutica.
Recogida, registro, organización, estructuración, conservación, adaptación, modificación, consulta, comunicación, difusión, supresión y destrucción.
Los datos personales serán tratados por Luara durante el tiempo necesario para prestar los servicios contratados y conforme a las instrucciones documentadas del Responsable.
El registro de los recordatorios y avisos de cita enviados a los pacientes/clientes se conserva generalmente durante 90 días desde el envío —incluido el estado de entrega devuelto por WhatsApp (enviado, entregado, leído o fallido)—, para que el Responsable pueda consultar su historial, y se elimina en todo caso al eliminarse la ficha del paciente/cliente. Las respuestas de confirmación de asistencia se conservan mientras exista la ficha del paciente/cliente; la dirección IP y el navegador asociados a cada respuesta se eliminan a los 12 meses. Los enlaces personales de confirmación se eliminan una vez caducados.
El registro técnico de las notificaciones recibidas del proveedor de WhatsApp, que no contiene ni el contenido del mensaje ni el número de teléfono —únicamente una huella criptográfica irreversible del identificador de cada notificación— y cuya única finalidad es descartar los reenvíos de una misma notificación, se conserva 30 días desde su recepción. Ese mismo registro anota, para limitar cada uno de esos acuses automáticos a uno por cada periodo de doce horas y número, una huella irreversible del número remitente calculada con una clave secreta, de la que el número no puede deducirse; esas anotaciones se conservan 2 días.
La conservación de la documentación clínica durante los períodos establecidos por la legislación sanitaria corresponde al Responsable del tratamiento. Con carácter general, la legislación estatal establece un período mínimo de conservación de cinco años desde la fecha del alta de cada proceso asistencial, sin perjuicio de los plazos superiores o requisitos adicionales que puedan resultar aplicables conforme a la normativa autonómica, sanitaria, profesional o sectorial correspondiente.
Cuando el Responsable solicite la eliminación de una ficha o de otros datos que formen parte de la documentación asistencial, Luara facilitará previamente su devolución o puesta a disposición cuando resulte necesario para que el Responsable pueda cumplir sus obligaciones de conservación.
Una vez realizada dicha devolución, Luara procederá a la supresión conforme a las instrucciones del Responsable, sin que la obligación sanitaria de conservación que corresponda al Responsable implique por sí misma una obligación equivalente de conservación para Luara.
Sin perjuicio de lo anterior, podrán mantenerse:
Los datos conservados por alguno de estos motivos no se utilizarán para continuar prestando servicios asistenciales ni para finalidades incompatibles con aquellas que justificaron su conservación.
Al marcar la casilla correspondiente durante el proceso de registro en la plataforma Luara, el Responsable declara:
Se dejará constancia de la aceptación mediante registro técnico que incluirá: fecha y hora UTC, dirección IP del dispositivo, identificador de usuario, versión del DPA aceptada y user-agent del navegador.
Luara es una plataforma tecnológica para profesionales de la salud mental. Para cualquier consulta sobre este DPA, contacta con nosotros en soporte@luara.ai.
Usamos cookies propias necesarias para que la plataforma funcione y, si nos das tu permiso, cookies de analítica y publicidad en nuestra web pública. Nunca usamos cookies publicitarias dentro de la aplicación. Puedes consultar los detalles en la Política de Cookies y en la Política de Privacidad.