Acuerdo de encargo del tratamiento

Este documento es el acuerdo de encargo del tratamiento previsto en el artículo 28 del RGPD. Lo acepta el titular de un centro o consulta con plan Terapeuta (el responsable) al completar la configuración del centro o al pulsar la aceptación en el panel.

El encargado es Casa Numa (casanuma.biz), titular de Luma Grid. Contacto: contacto@lumagrid.app.

El objeto es prestar la plataforma Luma Grid (tableros AAC, cuentas de pacientes, equipo, plantillas, informes y funciones de voz o Escucha que el centro active) para que el responsable gestione a las personas que da de alta.

El encargo dura mientras el centro tenga una cuenta de organización activa en Luma Grid y, tras la baja, el tiempo técnico de copias de seguridad (orientativamente hasta 30 días, salvo obligación legal).

Naturaleza: tratamiento automatizado en un servicio SaaS. Finalidad: alojar y operar los datos que el responsable introduce o genera al usar el plan Terapeuta, según las instrucciones documentadas que resultan de este acuerdo, de la política de privacidad y de la configuración que el propio centro hace en el producto.

Según lo que el centro use, pueden tratarse:

• Identificadores de cuenta (correo, nombre o etiqueta, preferencias).
• Tableros, símbolos, frases, audio de celda e imágenes subidas.
• Notas internas, informes clínicos y registro de acceso del profesional a la cuenta del paciente.
• Eventos de uso, enunciados y navegación, si el centro o la cuenta tienen activa la opción de compartir uso.
• Datos de voz (texto a sintetizar; muestras si se clona una voz) y audio de Escucha enviado a transcribir.

Interesados: pacientes o usuarios finales que el centro da de alta, profesionales del equipo e, indirectamente, familiares si aparecen en el contenido del tablero. El contenido AAC puede revelar o permitir inferir datos de salud o discapacidad (categoría especial, art. 9 RGPD). El responsable garantiza la base jurídica frente a esas personas.

Casa Numa se compromete a:

• Tratar los datos solo para prestar Luma Grid y según este acuerdo, salvo obligación legal.
• Garantizar que las personas autorizadas se han comprometido a confidencialidad.
• Aplicar medidas de seguridad razonables (HTTPS, control de acceso, cifrado de secretos 2FA, copias de la base de datos del hosting).
• Ayudar al responsable, en la medida en que el producto lo permita, a atender derechos de los interesados (acceso, rectificación, supresión, portabilidad) y a notificar brechas cuando proceda.
• A elección del responsable, suprimir o devolver los datos personales al terminar el encargo, y suprimir las copias existentes salvo conservación legal o copias de seguridad con retención limitada.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este artículo 28, dentro de lo razonable y sin revelar secretos de terceros o de seguridad.

El centro o profesional:

• Decide qué pacientes da de alta, qué notas e informes guarda y quién de su equipo accede.
• Garantiza que tiene base jurídica (incluido el consentimiento del tutor si el usuario tiene menos de 14 años) y, cuando corresponda, el art. 9 RGPD.
• No pide a Casa Numa que trate datos ajenos a la finalidad del servicio.
• Informa a las familias o tutores según los arts. 13 y 14 RGPD en lo que corresponda a su consulta.

El responsable autoriza de forma general a Casa Numa a recurrir a subencargados necesarios para prestar el servicio. La lista actual, según el despliegue, incluye entre otros: alojamiento y base de datos (p. ej. Vercel / Railway u otro Postgres gestionado), Stripe (pagos), OpenAI (Escucha / Whisper), ElevenLabs (voz), Google (inicio de sesión), Resend (correo transaccional), Cloudflare R2 (imágenes) y Umami (analítica de marketing, solo en páginas públicas y con consentimiento de cookies).

Casa Numa informará de cambios relevantes de subencargados a través de la política de privacidad o del producto. El responsable puede oponerse por escrito a contacto@lumagrid.app por motivos fundados de protección de datos; si no hay alternativa técnica, puede resolverse el plan.

Algunos subencargados pueden tratar datos fuera del EEE (en particular OpenAI, ElevenLabs, Google o Stripe). Se aplican las garantías del RGPD (cláusulas contractuales tipo u otras adecuadas) en la medida en que el proveedor las ofrezca. El centro puede no usar Escucha ni voces en la nube.

Ningún sistema es infalible. Si ocurre una brecha de datos personales, Casa Numa avisará al responsable sin dilación indebida para que este pueda cumplir, en su caso, los arts. 33 y 34 RGPD.

La casilla de aceptación en el onboarding o en el panel del centro deja constancia de la fecha (dpaAcceptedAt). No sustituye un contrato firmado con firma electrónica avanzada si el centro lo exige internamente; en ese caso, escríbenos a contacto@lumagrid.app.

El detalle del tratamiento para usuarios particulares está en la política de privacidad.