Anexo de Encargo de Tratamiento de Datos Personales

CN Global trata, por cuenta y bajo instrucciones del Responsable, los datos personales que el Responsable o las personas que autoriza introducen en la plataforma FarmaMetrik, con la única finalidad de prestar el servicio contratado (operación de punto de venta, inventario, consultorio médico y expediente clínico, reportes, y demás funciones del plan contratado). Este Anexo no aplica a los datos respecto de los cuales CN Global es Responsable directo frente al propio titular (datos de cuenta, facturación y soporte del propio Responsable, según se describe en el Aviso de Privacidad de FarmaMetrik, secciones 3 y 7).

El tratamiento comprende, según el uso que el Responsable haga de la plataforma: (a) datos de identificación y contacto de pacientes, incluyendo, cuando aplique, datos personales sensibles relativos a su estado de salud (antecedentes, alergias, medicamentos, signos vitales, diagnóstico, tratamiento y receta); (b) datos de identificación y contacto de clientes; (c) datos de identidad, relación laboral o profesional, horarios, asistencias y, cuando corresponda, remuneración del personal del Responsable. El detalle de estas categorías es el mismo descrito en las secciones 3 y 4 del Aviso de Privacidad de FarmaMetrik, que se incorpora por referencia.

CN Global tratará los datos objeto de este Anexo únicamente conforme a las instrucciones documentadas del Responsable, entendiéndose como tales, principalmente, la configuración y el uso que el propio Responsable hace de las funciones disponibles en la plataforma. CN Global no usará dichos datos para fines propios distintos de la prestación del servicio, ni los comunicará a terceros salvo lo previsto en este Anexo o por requerimiento de autoridad competente, en cuyo caso, cuando la ley lo permita, notificará al Responsable previamente.

CN Global se obliga a que el personal con acceso a los datos objeto de este Anexo esté sujeto a obligaciones de confidencialidad, y a limitar dicho acceso a lo estrictamente necesario para prestar el servicio.

CN Global mantiene, a la fecha de este Anexo, las siguientes medidas técnicas y organizativas, verificables en el diseño de la plataforma: (a) aislamiento lógico de la información de cada organización cliente respecto de las demás, aplicado a nivel de acceso a datos; (b) control de acceso basado en roles y permisos, que limita qué usuarios del Responsable pueden ver, capturar o modificar cada tipo de información según el rol que el propio Responsable les asigne; (c) un registro (bitácora) de acciones relevantes sobre información sensible, incluyendo el acceso y registro de información clínica y de consentimiento; (d) comunicación cifrada entre la aplicación y sus servidores. Estas medidas están sujetas a mejora continua; CN Global no garantiza un nivel de seguridad absoluto ni la ausencia total de incidentes.

Cuando un titular dirija a CN Global una solicitud de acceso, rectificación, cancelación u oposición respecto de datos objeto de este Anexo, CN Global la canalizará al Responsable y le brindará el apoyo razonable, mediante las funciones ya disponibles en la plataforma, para que el Responsable pueda atenderla directamente. CN Global no modificará ni eliminará unilateralmente información objeto de este Anexo por una solicitud recibida directamente, sin instrucción del Responsable, salvo obligación legal en contrario.

Si CN Global tiene conocimiento de un incidente de seguridad que afecte datos objeto de este Anexo, lo notificará al Responsable en un plazo razonable a partir de que lo confirme, con la información disponible en ese momento sobre su naturaleza y alcance, y colaborará razonablemente con el Responsable para su atención. CN Global no garantiza plazos específicos de notificación distintos a "razonable conforme a las circunstancias", ni un procedimiento formal de respuesta a incidentes certificado bajo un estándar particular.

CN Global tiene autorización general del Responsable para utilizar a Railway como subencargado, para efectos de alojamiento de la infraestructura de servidor y base de datos donde reside la información objeto de este Anexo. CN Global podrá sustituir o incorporar otros subencargados con esa misma función, informando al Responsable por un medio razonable (por ejemplo, actualización de esta cláusula con nueva fecha de vigencia) con antelación razonable cuando ello implique un cambio relevante en dónde o cómo se aloja la información. CN Global utiliza además otros proveedores tecnológicos (procesamiento de pagos, correo transaccional, medición publicitaria, asistente conversacional de su sitio público) que no tratan datos objeto de este Anexo, según se detalla en el Aviso de Privacidad de FarmaMetrik; dichos proveedores no están sujetos a esta cláusula de subencargo.

A la terminación de la relación contractual entre el Responsable y CN Global, cesa el tratamiento activo de los datos objeto de este Anexo para la prestación del servicio, sin perjuicio de lo previsto en la sección 10.

Mientras la cuenta del Responsable permanezca activa, el Responsable puede extraer copias de su información operativa mediante las funciones de exportación disponibles por módulo en la plataforma (por ejemplo, reportes), en el alcance y formato en que dicha función exista para cada módulo. CN Global no ofrece hoy una función de exportación estructurada de la totalidad de la información de la cuenta; mientras esa función no exista, el Responsable es responsable de resguardar por sus propios medios cualquier copia que considere crítica.

Fuera de los casos en que exista una obligación legal de conservación (por ejemplo, el plazo mínimo aplicable al expediente clínico conforme a la normativa sanitaria, u obligaciones de carácter fiscal), el Responsable puede solicitar la devolución o eliminación de la información objeto de este Anexo. CN Global evaluará y atenderá dichas solicitudes conforme a la normativa aplicable y a sus capacidades operativas vigentes al momento de recibirlas. CN Global no cuenta hoy con un procedimiento automatizado de purga de datos, y este Anexo no compromete un plazo determinado de eliminación ni un formato específico de devolución — el alcance y el tiempo concretos de cada solicitud se acordarán caso por caso, conforme a lo que resulte técnica y operativamente posible en ese momento.

El detalle de los plazos de conservación aplicables a cada categoría de datos se describe en la Política de Retención y Eliminación de Datos de FarmaMetrik.

Este Anexo está vigente durante todo el tiempo en que el Responsable mantenga una cuenta activa en FarmaMetrik bajo los Términos y Condiciones, y sus obligaciones de confidencialidad sobrevivirán a la terminación de la relación respecto de la información que CN Global hubiera tratado durante su vigencia.

Este Anexo se interpreta de forma conjunta con el Aviso de Privacidad y los Términos y Condiciones de FarmaMetrik. En caso de conflicto sobre la calificación de un dato como objeto de este Anexo, prevalece lo descrito en la sección 7 del Aviso de Privacidad.