Plantilla DPA para psicólogos
Acuerdo de Encargado de Tratamiento conforme RGPD/AEPD. Listo para firmar con cualquier proveedor de software clínico que procese datos de tus pacientes (VRET, Amelia, C2Care, gestor de citas, etc.).
Revisado por nuestra asesoría legal externa. No sustituye a tu DPO; es base sólida que él/ella ajusta a tu contexto.
- 12 cláusulas estándar conforme art. 28 RGPD
- Procedimiento de brecha paso a paso (notificación ≤72h)
- Lista de sub-encargados con derecho a oposición
- Medidas técnicas y organizativas detalladas
- Anexo de auditoría ejecutable por el Responsable
Lo que vas a encontrar dentro
12 cláusulas operativas, sin relleno. Cada una indica la referencia al artículo RGPD aplicable y un comentario práctico para tu DPO.
- 01Identificación de Responsable y Encargado del Tratamiento
- 02Objeto y finalidad del encargo (categorías de datos, sujetos, duración)
- 03Obligaciones del Encargado conforme art. 28 RGPD
- 04Medidas técnicas: encriptación at-rest + in-transit, RLS, backups
- 05Medidas organizativas: control de accesos, formación, registro de actividad
- 06Lista de sub-encargados (cloud, email, monitoring) con derecho a oposición
- 07Procedimiento de notificación de brecha de seguridad (≤72h)
- 08Asistencia al Responsable en derechos ARCO + portabilidad
- 09Retención y devolución/destrucción al cierre del contrato
- 10Auditoría: derecho del Responsable a auditar al Encargado
- 11Régimen de responsabilidad y indemnización
- 12Jurisdicción y ley aplicable (RGPD + LOPDGDD)
Preguntas frecuentes
¿Necesito firmar un DPA si soy psicólogo autónomo?
Si tu software clínico (VRET, Amelia, C2Care) procesa datos de tus pacientes, sí. RGPD art. 28 obliga a tener un acuerdo con cada encargado de tratamiento. La AEPD ha sancionado a clínicas privadas por no tenerlo. Plantilla gratis aquí, lista para firmar.
¿Quién es Responsable y quién es Encargado?
El Responsable del Tratamiento es tu consulta o clínica (decide qué datos se tratan y para qué). El Encargado es el proveedor de software (procesa los datos solo según tus instrucciones). Tú firmas como Responsable; VRET firma como Encargado.
¿Esta plantilla sustituye a mi DPO?
No. Es una base sólida que tu DPO ajusta a tu contexto específico (volumen, datos especiales, sub-tratamientos internos en tu clínica). Si no tienes DPO, conforme LOPDGDD lo recomendable es contratar uno externo o asumir el rol con formación adecuada — no firmar a ciegas.
¿VRET firma esta misma plantilla?
Firmamos plantilla equivalente con cláusulas similares, ajustadas a nuestra arquitectura técnica concreta (Supabase EU, Auth0, Sentry, Stripe, R2). En cualquier plan Clinic+ y Enterprise el DPA se firma como anexo al contrato sin coste adicional.
¿Qué pasa si tengo brecha de seguridad?
RGPD obliga a notificar a la AEPD en ≤72h y, si hay alto riesgo para los afectados, también a los pacientes. La plantilla incluye el procedimiento operativo paso a paso: detección → evaluación → notificación → mitigación → registro interno. Es la sección que más usa cualquier clínica que tenga un incidente.
Esta plantilla es base operativa, no asesoramiento jurídico individualizado. Antes de firmar consúltala con tu DPO o asesoría legal de cabecera.