1. Partes, objeto y aceptación electrónica
Este anexo de encargo de tratamiento, versión 2026-08-11, regula el tratamiento de datos personales que Ordesia realice por cuenta de la farmacia participante durante el programa beta y mientras permanezcan datos sujetos a este encargo. La persona titular acepta esta versión en /beta/aceptar, después de autenticarse y completar los datos de la farmacia responsable. La solicitud pública de beta solo acredita la lectura de este anexo; no lo acepta ni autoriza a introducir datos de pacientes.
El anexo desarrolla el artículo 28 del Reglamento (UE) 2016/679 (RGPD). El texto oficial puede consultarse en EUR-Lex, Reglamento (UE) 2016/679. La AEPD describe la necesidad de formalizar esta relación y el contenido del contrato en sus materiales sobre responsable y encargado.
Identificación del encargado
Denominación: David Noya Hervás
NIF/CIF: 44829616V
Domicilio: Sa Plaça, 17, 07510 Sineu, Illes Balears
Contacto de privacidad: ladirecciondeldeivi33@gmail.com
Responsable: la farmacia participante cuyos datos de razón social o nombre, NIF/CIF, domicilio profesional y email de privacidad quedan consignados en la aceptación electrónica. Esos datos forman parte del registro de aceptación y no se sustituyen por una identidad genérica publicada en esta página.
2. Objeto, duración, naturaleza y finalidad
El objeto es permitir que Ordesia aloje y procese, por cuenta de la farmacia, la información necesaria para organizar el servicio de Sistemas Personalizados de Dosificación: fichas de pacientes, tratamientos, pautas, preparación, lotes, caducidades, revisiones, documentos, firmas, entregas, incidencias y evidencias de auditoría.
El tratamiento puede comenzar únicamente después de la aceptación electrónica de este anexo y de la configuración de acceso de la farmacia. La fase beta tiene una duración prevista de 56 días desde la activación, pero el encargo se mantiene mientras los datos permanezcan en Ordesia para prestar el servicio o para cumplir una obligación legal de conservación. Al terminar la relación, se aplicará la sección 10.
La naturaleza del tratamiento incluye recogida por la farmacia, registro, organización, consulta, modificación, trazabilidad, generación documental, conservación, recuperación, exportación o devolución y supresión conforme a las instrucciones de la farmacia. La finalidad queda limitada a prestar y asegurar el servicio contratado. No se autoriza el uso para publicidad, perfiles comerciales, venta de datos o entrenamiento de modelos.
3. Personas interesadas y categorías de datos
Las categorías de personas interesadas pueden incluir:
- Pacientes de la farmacia que reciben o valoran recibir el servicio SPD.
- Representantes, personas cuidadoras y personas autorizadas para la entrega o recogida.
- Profesionales y personal de la farmacia que intervienen en la preparación, revisión o entrega.
Las categorías de datos pueden incluir, según lo que la farmacia decida incorporar:
- Identificación, contacto, CIP u otra referencia interna y datos de entrega.
- Datos de salud y de tratamiento necesarios para la prestación farmacéutica SPD, incluidos medicamentos, pautas, tomas, ciclos y observaciones profesionales.
- Datos de trazabilidad de producto, lote, caducidad, preparación, revisión, documentos, firmas, incidencias y auditoría.
- Datos de cuenta, rol, permisos y actividad de las personas usuarias de la farmacia.
La farmacia debe aplicar minimización, exactitud y limitación de acceso. Ordesia no decide la idoneidad clínica de un medicamento ni convierte una extracción o sugerencia de datos en una decisión farmacéutica.
4. Instrucciones documentadas y confidencialidad
Ordesia tratará los datos únicamente siguiendo instrucciones documentadas de la farmacia responsable. Las instrucciones pueden constar en la configuración del espacio, los roles y permisos, las operaciones realizadas por personas autorizadas, la documentación del servicio o solicitudes identificables del titular. Si una instrucción cambia la finalidad o amplía las categorías de datos, la farmacia debe documentarla y revisar antes la base jurídica y las condiciones del encargo.
Las personas autorizadas por Ordesia o por sus subencargados solo accederán a los datos cuando sea necesario para la finalidad autorizada y estarán sujetas a confidencialidad, contractual o legal, antes de acceder a ellos. La farmacia es responsable de autorizar y revisar a su propio equipo, asignar roles adecuados y retirar accesos que ya no procedan.
5. Medidas de seguridad conforme al artículo 32 RGPD
Considerando el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los riesgos del tratamiento, las partes aplicarán medidas técnicas y organizativas adecuadas al riesgo conforme al artículo 32 RGPD. En la fecha de aceptación, y según el entorno efectivamente contratado, Ordesia mantendrá como mínimo los siguientes controles aplicables al tratamiento; su documentación de seguridad precisará sus límites y las variaciones que puedan resultar necesarias:
- Control de acceso por farmacia, usuario y rol, con principio de mínimo privilegio y medidas reforzadas para cuentas privilegiadas.
- Aislamiento de espacios y políticas de autorización a nivel de aplicación y base de datos para evitar accesos entre farmacias.
- Conexiones HTTPS/TLS y mecanismos de protección de secretos; el cifrado en reposo depende de las capacidades configuradas en la infraestructura contratada.
- Registros de auditoría operativa, gestión de sesiones, revisión de cambios y procedimientos de continuidad, copia y recuperación sujetos al entorno de servicio.
- Medidas de minimización en registros técnicos y procedimientos para detectar, contener, investigar y responder a incidentes.
Esta descripción no es una certificación, homologación, acreditación ni garantía de riesgo cero. Las medidas pueden actualizarse por razones de seguridad o evolución técnica sin reducir las obligaciones aplicables. La versión vigente de las medidas y sus límites debe revisarse junto con la documentación de seguridad de Ordesia antes de la aceptación.
6. Subencargados, cambios y oposición
La farmacia autoriza con carácter general la utilización de subencargados que sean necesarios para prestar la infraestructura, autenticación, almacenamiento, seguridad, correo transaccional, soporte o pagos del servicio, siempre que el tratamiento concreto esté cubierto por la finalidad de este anexo. Ordesia seleccionará subencargados que ofrezcan garantías suficientes y les impondrá obligaciones de protección de datos no menos protectoras que las de este anexo, sin liberar a Ordesia de sus responsabilidades frente a la farmacia.
Ordesia comunicará con antelación la incorporación o sustitución de un subencargado que pueda tratar datos por cuenta de la farmacia, indicando su identidad o categoría, ubicación, función y fecha prevista. La farmacia podrá oponerse por motivos razonables relacionados con la protección de datos antes de la fecha efectiva indicada en el aviso. Las partes intentarán resolver la objeción con medidas alternativas; si no existe una solución razonable, la farmacia podrá dejar de utilizar la función afectada o resolver el tratamiento afectado conforme a las condiciones contractuales aplicables.
7. Ubicación y transferencias internacionales
Ordesia documentará los proveedores y ubicaciones relevantes para el tratamiento. Cuando un proveedor o subencargado implique una transferencia fuera del Espacio Económico Europeo, se utilizará una decisión de adecuación o un mecanismo válido, como las cláusulas contractuales tipo, junto con las medidas suplementarias que procedan. La ubicación de un proveedor no permite asumir que todas las peticiones, registros o servicios auxiliares permanezcan en la Unión Europea; la farmacia debe consultar la información vigente antes de aceptar cambios relevantes.
8. Asistencia al responsable
Teniendo en cuenta la naturaleza del tratamiento y la información disponible para Ordesia, Ordesia asistirá razonablemente a la farmacia para responder solicitudes de ejercicio de derechos, aplicar medidas de seguridad, documentar y notificar incidentes, realizar análisis de riesgos o evaluaciones de impacto relativas a protección de datos y, cuando proceda, realizar consultas previas a la autoridad de control. La farmacia seguirá siendo responsable de decidir la respuesta, verificar la identidad de la persona solicitante y cumplir los plazos que le correspondan.
Si Ordesia tiene conocimiento de una violación de seguridad que afecte a datos tratados por cuenta de la farmacia, lo comunicará sin dilación indebida a la farmacia por el canal de contacto operativo disponible, con la información razonablemente disponible y sin incluir en comunicaciones innecesarias más datos personales de los precisos.
9. Información, comprobaciones y auditorías
Ordesia pondrá a disposición de la farmacia la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones de este encargo y permitirá auditorías o inspecciones razonables solicitadas por la farmacia o por la autoridad competente, con preaviso suficiente, alcance limitado al tratamiento encargado y medidas para proteger la confidencialidad y la seguridad de otras farmacias. Podrán utilizarse informes o evidencias de terceros cuando estén disponibles; este anexo no implica que Ordesia disponga de una certificación u homologación concreta.
10. Devolución, supresión y conservación legal
Al finalizar la prestación relativa al tratamiento, la farmacia indicará si desea recibir la información en un formato razonablemente disponible y después suprimirla, o si desea su supresión directa. Ordesia suprimirá o devolverá los datos y las copias existentes cuando corresponda, salvo que una norma de la Unión o del Estado miembro exija conservarlos. En ese caso, los datos quedarán bloqueados para la finalidad ordinaria y solo se tratarán para cumplir la obligación legal, con acceso limitado y durante el plazo aplicable.
Las copias de seguridad se eliminarán o quedarán fuera de uso operativo de acuerdo con el ciclo de conservación y recuperación del entorno contratado. La farmacia debe conservar por su cuenta los documentos y evidencias que la normativa farmacéutica le exija mantener.
11. Instrucciones ilícitas
Ordesia informará inmediatamente a la farmacia si considera que una instrucción infringe el RGPD o cualquier otra disposición de protección de datos de la Unión o de los Estados miembros. Ordesia podrá suspender la ejecución de la instrucción afectada hasta recibir una instrucción lícita, salvo que una obligación legal exija actuar de otra forma. La farmacia no utilizará el servicio para introducir datos sin base jurídica ni para eludir derechos, deberes de información o controles profesionales.
12. Prevalencia, versión y contacto
Para el tratamiento de datos personales por cuenta de la farmacia, este anexo prevalece sobre cualquier descripción general del producto que resulte incompatible con él. La versión aplicable es 2026-08-11; la aceptación electrónica en /beta/aceptar conserva esa versión, la identidad del responsable consignada por la persona titular y la identidad del encargado publicada en esta página en el momento de la aceptación.
Las consultas sobre este encargo se dirigirán al contacto de privacidad del encargado: ladirecciondeldeivi33@gmail.com. Si un dato de identidad aparece como pendiente, debe completarse por el titular antes de utilizar el anexo para datos reales. Esta página no atribuye a Ordesia una certificación, homologación o garantía regulatoria que no se haya acreditado expresamente.