1. Contexto de responsable y encargado del tratamiento

Respecto de los datos del espacio de trabajo clínico, el cliente es normalmente el responsable del tratamiento y Psychiatry Ink Ltd es normalmente el encargado del tratamiento. Los proveedores indicados a continuación pueden actuar como subencargados del tratamiento en función de las funciones que utilice el cliente.

Respecto de los datos de cuenta, facturación, sitio web y administración empresarial, algunos proveedores pueden actuar como responsables del tratamiento independientes o como encargados del tratamiento, según su función y su contrato.

2. Subencargados del tratamiento actuales

Google Cloud — alojamiento, infraestructura, registro, despliegue, almacenamiento y computación. Categorías de datos: datos de la aplicación, registros, metadatos y, cuando proceda, contenido cifrado. Lugar de tratamiento: Unión Europea (despliegue restringido por región, p. ej. Fráncfort, cuando esté configurado). Garantías: DPA en vigor; despliegue restringido por región cuando esté configurado.

Supabase — base de datos, autenticación, almacenamiento y servicios backend. Categorías de datos: datos de cuenta, datos de la aplicación, metadatos y, cuando proceda, contenido cifrado. Lugar de tratamiento: Unión Europea (Fráncfort). Garantías: DPA en vigor; región de producción confirmada en la UE.

Stripe — pagos, suscripciones, facturación, facturas y metadatos fiscales. Categorías de datos: datos de contacto de facturación, metadatos de pago y datos de facturas. Lugar de tratamiento: global / controlado por el proveedor. Garantías: Stripe puede actuar como responsable del tratamiento independiente para determinados procesos de pago.

Google Workspace — correo electrónico corporativo, buzón de soporte y comunicación administrativa. Categorías de datos: correos electrónicos, mensajes de contacto y archivos adjuntos facilitados voluntariamente. Lugar de tratamiento: Unión Europea / controlado por el proveedor. Garantías: los datos de pacientes no deben enviarse por correo electrónico salvo autorización.

Resend (operado por Resend, Inc.) — envío de correos electrónicos transaccionales y del sistema (por ejemplo, confirmación de cuenta, restablecimiento de contraseña y correos de notificación). Categorías de datos: direcciones de correo electrónico de los destinatarios, contenido y asuntos de los correos, y metadatos de entrega. Lugar de tratamiento: Estados Unidos (transferencia a un tercer país); infraestructura operada en Amazon Web Services (AWS). Garantías: DPA en vigor; las transferencias a los EE. UU. están amparadas por las Cláusulas Contractuales Tipo de la UE (y, cuando proceda, por el Marco de Privacidad de Datos UE-EE. UU.).

3. Subencargados de IA específicos por función

Estos proveedores se utilizan únicamente cuando la función, el modelo o el modo de IA correspondiente está activado. En todos los casos, las categorías de datos son las instrucciones (prompts), el texto seleccionado, los resultados generados y los metadatos del modelo; los identificadores deben minimizarse antes del tratamiento.

OpenAI — redacción de borradores, resumen, edición, transcripción y apoyo a textos clínicos con IA. Lugar de tratamiento: UE, Reino Unido, EE. UU. u otros países, según el proveedor y la configuración. Garantías: se utiliza únicamente con una configuración de API/DPA adecuada.

Google / Gemini — redacción de borradores, generación, resumen y apoyo a textos con IA. Lugar de tratamiento: UE, Reino Unido, EE. UU. u otros países, según el proveedor y la configuración. Garantías: se utiliza únicamente con una configuración de API/DPA adecuada.

DeepSeek — redacción de borradores con IA o modo de modelo económico. Lugar de tratamiento: depende del proveedor y la configuración. Garantías: no se activa para datos clínicos de producción salvo que se hayan aprobado la transferencia, el DPA y la evaluación de riesgos.

Mistral AI — tratamiento con modelos de IA, cuando esté activado. Lugar de tratamiento: UE, Reino Unido, EE. UU. u otros países, según el proveedor y la configuración. Garantías: proveedor opcional; se utiliza únicamente con una configuración de API/DPA adecuada.

4. Proveedores opcionales o previstos

Las siguientes categorías no están actualmente activas en producción. Solo trasladaremos un proveedor a la sección «Subencargados del tratamiento actuales» cuando esté activo en producción.

• Infraestructura de videoconsulta o chat de voz: opcional y específica por país; actualmente no activa en producción.
• Supervisión de errores y diagnóstico: actualmente no activa en producción.
• Análisis del sitio web: actualmente ninguno activo en producción.

5. Cambios en los subencargados del tratamiento

Podemos actualizar esta página cuando cambien los proveedores. Cuando lo exija el Acuerdo de Encargo de Tratamiento, notificaremos los nuevos subencargados sustanciales y permitiremos que los clientes se opongan por motivos razonables de protección de datos dentro del plazo de oposición indicado.

6. Responsabilidad del cliente

Los clientes deben revisar esta lista antes de utilizar datos clínicos de producción y asegurarse de que el uso de Psiquiatria.Ink, los proveedores de IA seleccionados, la configuración de país y las garantías de transferencia de datos sean compatibles con sus propias obligaciones legales e institucionales.