Acuerdo de tratamiento de datos

ID del documento: O-02
Versión del acuerdo: 2026-08-22.1
Versión y fecha: 2026-08-22.1 - 22 de agosto de 2026 Encargado del tratamiento: FlowDule ApS, CVR 46273397, Syrenvænget 8, 8362 Hørning
Contacto: privacy@flowdule.com - las violaciones de la seguridad se comunican de inmediato a través del canal de seguridad indicado

Función del acuerdo: El presente acuerdo cumple los requisitos contractuales mínimos del artículo 28, apartados 3 y 4, del RGPD. Solo adquiere carácter específico para el cliente y plenitud operativa junto con el Anexo A del cliente cumplimentado, el anexo TOMS vinculado a versión y la lista de subencargados aceptada.

1. Partes, entrada en vigor y base contractual

El acuerdo se celebra entre la empresa o el profesional autónomo que se suscribe a FlowDule («el responsable del tratamiento») y FlowDule ApS («el encargado del tratamiento»). Forma parte integrante del contrato del cliente sobre FlowDule y rige desde la aceptación documentada o desde la fecha posterior que figure en el Anexo A del cliente.

Únicamente una persona con facultad documentada para obligar al responsable del tratamiento podrá aceptar el acuerdo y sus anexos. FlowDule registra como mínimo el cliente, el aceptante, la facultad, las versiones, el hash del documento, el método y el momento. Los cambios sustanciales se comunican conforme al apartado 16 y podrán aceptarse de forma activa en la plataforma o mediante el uso continuado tras la entrada en vigor.

El acuerdo regula exclusivamente el tratamiento que FlowDule realiza por cuenta del responsable del tratamiento. El tratamiento que FlowDule realiza para sus propios fines contractuales, de facturación, de administración de usuarios, de soporte, de seguridad y de cumplimiento legal se describe en la política de privacidad de FlowDule y queda fuera del ámbito de este acuerdo.

2. Objeto y duración del tratamiento

FlowDule pone a disposición una plataforma SaaS multiinquilino con los módulos que el responsable del tratamiento elija, por ejemplo reservas, administración de clientes, historial y documentación, comunicación, pagos, tienda en línea y eventos, informes y asistencia de IA opcional.

El tratamiento se extiende mientras FlowDule preste el servicio, así como durante el periodo controlado de exportación, devolución, supresión y copias de seguridad posterior a la finalización. Las finalidades, los módulos, los interesados, las categorías de datos, los lugares de tratamiento y la conservación se determinan en el Anexo A del cliente.

3. Naturaleza y finalidad del tratamiento

El tratamiento puede comprender la recogida, el registro, la estructuración, la conservación, la búsqueda, la visualización, la adaptación, la transmisión conforme a la instrucción, la limitación, la exportación y la supresión. La finalidad es únicamente prestar, proteger, mantener y dar soporte a las funciones que el responsable del tratamiento haya solicitado e instruido.

FlowDule no podrá utilizar los datos de clientes o de historiales del responsable del tratamiento con fines de comercialización, de análisis general de producto, de entrenamiento de modelos ni con otros fines secundarios propios. La telemetría operativa solo podrá utilizarse para los fines propios de seguridad y operación de FlowDule cuando no implique reutilización del contenido del cliente y el tratamiento cuente con una base jurídica independiente.

4. Interesados y datos personales

La delimitación definitiva se realiza en el Anexo A del cliente. El cliente no podrá activar una categoría o un grupo de interesados que no esté comprendido en la instrucción aceptada.

5. Instrucción documentada

FlowDule trata los datos personales únicamente siguiendo instrucciones documentadas del responsable del tratamiento, inclusive en lo relativo a las transferencias a terceros países. La instrucción está formada por el presente acuerdo, el Anexo A del cliente, las configuraciones aceptadas por el cliente y las indicaciones escritas posteriores que FlowDule haya aceptado.

• Si el Derecho de la Unión o el Derecho danés exigen un tratamiento fuera de la instrucción, FlowDule informará al cliente de dicha exigencia antes del tratamiento, salvo que la ley prohíba la información por razones importantes de interés público.

• FlowDule informará de inmediato al cliente si, a su juicio, una instrucción infringe el RGPD u otra normativa de protección de datos, y podrá suspender la actuación afectada mientras las partes aclaran la cuestión.

• Los nuevos módulos, casos de uso de IA, categorías de datos, regiones o finalidades no quedan comprendidos de forma automática. Exigen una instrucción actualizada y, cuando el cambio sea sustancial, una nueva aceptación.

6. Obligaciones del responsable del tratamiento

El responsable del tratamiento determina los fines y los medios esenciales y responde de la licitud de la instrucción y del tratamiento. Ello comprende, entre otros aspectos, la base jurídica conforme a los artículos 6 y 9, las bases del Derecho nacional, el deber de información, los derechos, los requisitos profesionales de documentación clínica y conservación, la gestión de usuarios y los eventuales consentimientos.

El cliente deberá elegir el perfil profesional correcto. Un psicoterapeuta autónomo no queda sujeto, por el solo hecho de su título, a las normas de historial clínico aplicables a los profesionales sanitarios autorizados. Si el cliente es un profesional sanitario autorizado o está sujeto a normas especiales, el perfil pertinente y la conservación deberán documentarse antes de la puesta en producción.

7. Confidencialidad y acceso

FlowDule garantiza que las personas con acceso a los datos personales están sujetas a una obligación de confidencialidad adecuada y que solo los tratan conforme a la instrucción. El acceso se concede en función de la necesidad derivada del trabajo, del principio de mínimo privilegio y de la identidad personal, y se revisa con regularidad.

El acceso de soporte al contenido del cliente exige un caso concreto u otra necesidad documentada, una aprobación adecuada y su registro. El acceso de emergencia deberá estar limitado en el tiempo, ser objeto de control posterior y cerrarse inmediatamente una vez cesada la necesidad.

8. Seguridad del tratamiento

FlowDule aplica y mantiene medidas técnicas y organizativas adecuadas conforme al artículo 32, atendiendo a la naturaleza, el alcance, el contexto, los fines y el riesgo del tratamiento. Las medidas vinculantes figuran en el anexo TOMS vinculado a versión y hash que se acepta con el Anexo A del cliente.

• control de acceso, autenticación, gestión de roles y privilegios, así como registro y control posterior

• cifrado en tránsito y, cuando proceda, en reposo, gestión de claves y secretos, y separación de entornos

• gestión de vulnerabilidades, cambios, parches y proveedores

• copias de seguridad, recuperación, continuidad, supresión y controles documentados

• respuesta ante incidentes y verificación y evaluación periódicas de la eficacia de las medidas

Los objetivos internos de copia de seguridad, RPO, RTO o tiempos de respuesta no constituyen garantías frente al cliente, salvo que se hayan incorporado expresamente a un SLA aceptado o al Anexo A del cliente. FlowDule no podrá describir un control como implantado antes de que el registro de evidencias demuestre que funciona efectivamente en producción.

9. Asistencia al responsable del tratamiento

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, FlowDule asiste al cliente en el cumplimiento de las obligaciones derivadas de los artículos 12 a 23 y 32 a 36.

• Derechos de los interesados: búsqueda, acceso, exportación, rectificación, limitación y supresión, en la medida en que la plataforma y la ley lo permitan. FlowDule no responde directamente al interesado sin instrucción del cliente.

• Seguridad y violaciones: información técnica pertinente, datos del incidente y medidas correctoras conforme al apartado 11.

• Evaluación de impacto y consulta previa: información de producto, seguridad, proveedores y tratamiento que el cliente necesite razonablemente. La evaluación de impacto de producto de FlowDule no sustituye a la evaluación propia del cliente.

• Solicitudes de las autoridades: FlowDule informa al cliente, salvo que esté legalmente prohibido, y solo comunica datos sobre una base jurídica válida y de la forma más restringida posible.

La asistencia ordinaria y razonable está incluida. Los trabajos especiales de alcance desproporcionado podrán facturarse previa información y aceptación, salvo que la necesidad derive de un incumplimiento de FlowDule.

10. Subencargados del tratamiento

El cliente otorga autorización general por escrito para los subencargados que figuran en la lista aceptada. La lista indica como mínimo la entidad jurídica, el servicio o la finalidad, las categorías de datos, los países de tratamiento, las eventuales transferencias a terceros países y su base.

FlowDule comunica toda incorporación o sustitución prevista con al menos 30 días de antelación a su entrada en vigor. El cliente podrá formular, dentro del plazo, una oposición motivada por razones de protección de datos. Las partes buscarán una solución razonable; si no se alcanza ninguna solución, el cliente podrá resolver el servicio afectado desde la fecha del cambio y obtener el reembolso proporcional del pago anticipado no utilizado correspondiente a esa parte.

FlowDule celebra un contrato escrito que impone al subencargado, como mínimo, las mismas obligaciones pertinentes de protección de datos, y FlowDule sigue siendo plenamente responsable ante el cliente del cumplimiento de dichas obligaciones por parte del subencargado.

11. Violaciones de la seguridad de los datos personales

FlowDule informa al cliente sin dilación indebida tras tener conocimiento de una violación que afecte a los datos personales del cliente. El objetivo es que la primera notificación se produzca a más tardar 24 horas después de la confirmación interna; este objetivo no limita la exigencia de notificar sin dilación indebida.

La notificación se facilitará de manera escalonada si resulta necesario e incluirá, en la medida de lo posible, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. FlowDule documenta el incidente y coopera en su contención e investigación.

Corresponde al cliente, como responsable del tratamiento, decidir sobre la notificación a la autoridad de control danesa (Datatilsynet) y la comunicación a los interesados. FlowDule no realiza dicha notificación por cuenta del cliente sin instrucción escrita expresa.

12. Transferencias a terceros países y acceso de las autoridades

Con carácter general, el tratamiento se realiza en la UE o el EEE, en las regiones que figuran en el Anexo A del cliente y en la lista de subencargados. El acceso remoto desde un tercer país constituye igualmente una transferencia y deberá estar comprendido en la instrucción.

Toda transferencia sin decisión de adecuación exige una base válida conforme al capítulo V del RGPD, normalmente las cláusulas contractuales tipo vigentes de la Comisión Europea, así como una evaluación documentada del impacto de la transferencia y las medidas complementarias necesarias. FlowDule no podrá conformarse con un texto contractual genérico cuando la cadena efectiva de proveedores, soporte o acceso no haya sido verificada.

Si FlowDule o un subencargado reciben una solicitud de una autoridad, se examinarán su validez y su alcance, se informará al cliente cuando sea lícito y solo se comunicará lo necesario. FlowDule documenta la solicitud e impugna las exigencias desproporcionadas o ilícitas cuando exista un fundamento razonable.

13. Auditoría, documentación y supervisión

FlowDule pone a disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 y permite y contribuye a la realización de auditorías, incluidas las inspecciones, llevadas a cabo por el cliente o por un auditor independiente autorizado por el cliente.

El control se realiza con un enfoque basado en el riesgo y comienza normalmente con las TOMS actualizadas, el material sobre proveedores y controles, los resultados de las pruebas y los informes independientes pertinentes. El cliente podrá realizar auditorías adicionales una vez al año y, además, tras una violación, un requerimiento de una autoridad o una sospecha concreta y documentada de incumplimiento sustancial.

Las auditorías se comunican normalmente con al menos 30 días de antelación, se limitan al tratamiento del cliente y se realizan sin acceso a datos de otros clientes, credenciales o detalles que generen un nuevo riesgo de seguridad. El cliente soporta los costes razonables específicos, salvo que la auditoría revele un incumplimiento sustancial por parte de FlowDule. Las limitaciones no podrán impedir una auditoría necesaria ni las facultades de la autoridad competente.

14. Devolución, exportación y supresión

A la finalización, FlowDule suprimirá o devolverá, a elección del cliente, todos los datos personales y las copias existentes, salvo que el Derecho de la Unión o el Derecho danés exijan su conservación. La elección del cliente y las eventuales excepciones se documentan.

• El cliente podrá exportar durante la vigencia del acuerdo y durante al menos 30 días naturales después del periodo de transición acordado. Los formatos, las categorías de datos, las relaciones y los metadatos siguen lo dispuesto en los Términos de servicio y en la descripción de exportación vigente.

• Una vez transcurrido el periodo de extracción, los datos de producción se suprimen de forma controlada. FlowDule emite un justificante de supresión con el cliente, la instrucción y su versión, las categorías, el momento, el responsable, la caducidad de las copias de seguridad y las eventuales excepciones lícitas - sin el contenido suprimido.

• Las copias de seguridad se suprimen mediante rotación documentada. Hasta su caducidad permanecen aisladas y sujetas a la misma protección y no podrán reintroducirse en la operación ordinaria. En caso de restauración se vuelven a aplicar el registro de supresión y las retenciones legales válidas antes de abrir el entorno.

• La obligación contable de FlowDule puede comprender sus propios datos de facturación y contabilidad, pero no constituye por sí sola una base para conservar los datos de clientes o de historiales del cliente.

15. Funciones de IA

Las funciones de IA solo podrán tratar datos personales cuando el caso de uso concreto, el modelo o proveedor, las categorías de datos, la región y la conservación estén activados en el Anexo A del cliente. El resultado es un borrador que un usuario competente deberá revisar y aprobar activamente antes de su almacenamiento, comunicación o uso profesional.

La IA no podrá realizar por sí sola diagnósticos, triaje, decisiones de tratamiento, decisiones de acceso u otras decisiones individuales automatizadas. Los datos de clientes y de historiales del cliente no podrán utilizarse para el entrenamiento de modelos generales. FlowDule deberá poder documentar las condiciones del proveedor, el flujo de datos, la conservación y la supresión antes de la activación en producción.

16. Modificaciones y orden de prelación

FlowDule podrá proponer modificaciones ante cambios legales, de seguridad o de producto. Una modificación no podrá ampliar unilateralmente las finalidades, las categorías de datos, los casos de uso de IA, las regiones o las transferencias, ni reducir el nivel de protección. Los cambios sustanciales se comunican con al menos 30 días de antelación a su entrada en vigor. El responsable del tratamiento podrá aceptar el cambio en la plataforma antes de esa fecha u oponerse a él. Si el responsable del tratamiento continúa utilizando la plataforma después de esa fecha, dicho uso continuado se considerará aceptación de la nueva versión, y la aceptación se registra con la versión, el hash del documento y el momento del aviso. Si el responsable del tratamiento no desea quedar vinculado, podrán resolverse las partes afectadas del acuerdo con efecto desde el momento en que el cambio habría entrado en vigor.

Una instrucción posterior solo prevalece dentro de su alcance expreso y no podrá obligar a FlowDule a actuar de forma ilícita. En caso de conflicto sobre el tratamiento de datos personales, el presente acuerdo y sus anexos prevalecen sobre los términos de servicio.

17. Responsabilidad, terminación y legislación aplicable

La responsabilidad de las partes se rige por el artículo 82 del RGPD y por el Derecho imperativo. Las eventuales limitaciones contractuales se rigen por los Términos de servicio, pero no podrán limitar los derechos de los interesados o de las autoridades ni excluir una responsabilidad que no pueda limitarse lícitamente.

El acuerdo termina cuando FlowDule deje de tratar datos personales por cuenta del cliente y se hayan cumplido todas las obligaciones de devolución, supresión y documentación. Las disposiciones sobre confidencialidad, auditoría, responsabilidad y documentación subsisten en la medida en que su finalidad lo exija.

El acuerdo se rige por el Derecho danés. El fuero se rige por los Términos de servicio, sin que ello limite las facultades de Datatilsynet o de otras autoridades competentes.

Anexo A - instrucción documentada específica del cliente

El anexo se cumplimenta y acepta por cliente como parte del onboarding y se conserva junto con la prueba de aceptación del cliente. A continuación se muestran los campos de la plantilla. Un campo que no haya sido cumplimentado y confirmado para el cliente significa que el tratamiento correspondiente no está aprobado para producción.

Anexo B - medidas técnicas y organizativas

El anexo TOMS aceptado se identifica mediante título, versión y hash del documento en el Anexo A. El anexo se entrega al cliente al aceptar el acuerdo y puede solicitarse en cualquier momento a través de privacy@flowdule.com. La Descripción de seguridad pública tiene carácter meramente informativo; en caso de discrepancia prevalece el anexo TOMS aceptado.

Anexo C - subencargados y transferencias

La lista pública de subencargados aceptada se identifica mediante versión y hash en el Anexo A. Antes de su uso, FlowDule deberá verificar la entidad jurídica efectiva, el servicio, la finalidad, los datos, la región, el acceso de soporte, el contrato o DPA, la base de la transferencia, la TIA y las medidas complementarias pertinentes. La falta de evidencia implica que el proveedor o la función no podrá activarse con datos personales.