Contrato de Encargado del Tratamiento

Versión v2026.6 — Última actualización: 14 de octubre de 2026

1. Partes

Responsable del tratamiento: el usuario titular de la cuenta (el «Cliente»), identificado con los datos fiscales que consten en su perfil de la Plataforma.

Encargado del tratamiento: Adrián Pérez Antón, NIF 74371512T, con domicilio en Calle del Olivo 97, 03680 Aspe (Alicante), España, que opera bajo el nombre comercial Zantry.es («Zantry»).

2. Objeto, duración, naturaleza y finalidad

Objeto. Zantry trata los datos personales que el Cliente incorpora a la Plataforma con la única finalidad de prestarle el servicio SaaS de gestión empresarial contratado.

Duración. El tratamiento se extiende durante toda la vigencia de la suscripción y, después, durante los plazos de conservación y devolución previstos en la cláusula 12.

Naturaleza y finalidad. Alojamiento, almacenamiento, estructuración, consulta, modificación, generación de documentos (facturas, presupuestos, albaranes, nóminas), cálculo de nóminas, comunicación a la AEAT en el marco del sistema de facturación, envío de comunicaciones transaccionales por cuenta del Cliente, copia de seguridad y supresión. Incluye también la recogida de datos por cuenta del Cliente en las páginas públicas que este active: reserva online de citas y de mesas, confirmación y cancelación de citas y reservas, aceptación de presupuestos, firma de resguardos y partes de órdenes de trabajo, firma de mandatos de domiciliación SEPA, firma de consentimientos informados y carta digital. En esas páginas el responsable sigue siendo el Cliente y Zantry actúa como su encargado. Cuando el Cliente usa las cuotas con domiciliación, Zantry prepara los ficheros de adeudo SEPA para que el Cliente los presente a su banco; Zantry no presenta esos ficheros ni accede a ninguna cuenta. Si el Cliente activa el módulo «Historia clínica», el tratamiento incluye además la llevanza y custodia de la historia clínica de sus pacientes y la recogida de su consentimiento informado.

3. Tipo de datos personales

Categorías especiales de datos (art. 9 RGPD). Fuera de los casos que se indican a continuación, no se tratan categorías especiales de datos ni datos relativos a condenas e infracciones penales, y el Cliente se obliga a no introducirlos en la Plataforma, ni datos de menores, salvo acuerdo previo y por escrito que documente las garantías adicionales aplicables, sin perjuicio de lo previsto para la historia clínica. Los casos admitidos son estos:

1. Datos laborales de los empleados descritos en la tabla anterior (grado de discapacidad y bajas por incapacidad temporal), con la base del artículo 9.2.b del RGPD.
2. Alergias e intolerancias de los comensales. Solo la que el propio comensal comunica para su pedido, anotada en la línea de la comanda para que se prepare con seguridad. No se incorpora a ninguna ficha de cliente ni se usa para otra finalidad. Corresponde al Cliente recabarla con el consentimiento explícito del comensal (art. 9.2.a RGPD) y no anotar más de lo necesario.
3. Negocios del ámbito de la salud. La agenda, las citas y las facturas de un negocio sanitario o de bienestar pueden revelar, por sí mismas, que una persona recibe un servicio de salud. Zantry trata esos datos únicamente para gestionar la cita y su cobro. Fuera de la historia clínica, el Cliente no debe anotar diagnósticos, lesiones, tratamientos, medicación ni otros datos de salud en las fichas, notas, campos personalizados, comentarios ni motivos de pausa de una cuota, y la reserva online de estos negocios no pide ningún comentario al paciente.
4. Historia clínica. Solo si el Cliente activa el módulo «Historia clínica» y acepta su aviso, Zantry trata por su cuenta datos de salud de sus pacientes, con la base del artículo 9.2.h del RGPD en relación con su artículo 9.3, el artículo 9.2 y la disposición adicional decimoséptima de la LOPDGDD y la Ley 41/2002, básica reguladora de la autonomía del paciente: datos tratados con finalidad exclusivamente asistencial por profesionales sanitarios sujetos al deber de secreto o bajo su responsabilidad. Corresponde al Cliente: que solo accedan los profesionales sanitarios habilitados que designe en la Plataforma; informar a sus pacientes; atender su derecho de acceso (la Plataforma genera la copia sin las anotaciones subjetivas de los profesionales, art. 18.3 de la Ley 41/2002); conservar la historia como mínimo cinco años desde el alta de cada proceso asistencial (art. 17.1) o el plazo mayor que fije su comunidad autónoma; y, cuando proceda, realizar la evaluación de impacto y designar un delegado de protección de datos (art. 34.1.l de la LOPDGDD). En la historia clínica pueden figurar datos de menores, que el Cliente trata con la intervención de sus representantes legales cuando corresponda.

El registro de jornada no captura geolocalización ni datos biométricos.

4. Obligaciones del Encargado

Zantry se obliga a:

1. Instrucciones documentadas. Tratar los datos únicamente siguiendo las instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales, salvo obligación legal, en cuyo caso informará al Cliente antes del tratamiento salvo prohibición legal. La configuración y el uso que el Cliente hace de la Plataforma constituyen sus instrucciones documentadas.
2. No utilización para fines propios. No emplear los datos para finalidades distintas de la prestación del servicio, ni cederlos a terceros salvo en los supuestos previstos en este contrato o por obligación legal. En particular, Zantry no utiliza el contenido del Cliente para entrenar modelos de inteligencia artificial ni para elaborar perfiles comerciales.
3. Confidencialidad. Mantener el deber de secreto, que subsiste tras la terminación del contrato, y garantizar que toda persona autorizada a tratar los datos se haya comprometido a respetarla.
4. Seguridad. Aplicar las medidas técnicas y organizativas del artículo 32 del RGPD descritas en la cláusula 7.
5. Subencargados. Respetar el régimen de la cláusula 6.
6. Asistencia en derechos. Asistir al Cliente, mediante medidas técnicas y organizativas apropiadas, para atender las solicitudes de ejercicio de derechos de los interesados. Si un interesado se dirige directamente a Zantry, esta le remitirá al Cliente y se lo comunicará sin dilación.
7. Asistencia en cumplimiento. Ayudar al Cliente a cumplir las obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información disponible.
8. Notificación de violaciones. Comunicar al Cliente, sin dilación indebida y en todo caso dentro de las 48 horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos, con la información necesaria para que el Cliente pueda notificar a la autoridad de control en el plazo de 72 horas del artículo 33.
9. Supresión o devolución. A la terminación, actuar conforme a la cláusula 12.
10. Información y auditoría. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías en los términos de la cláusula 11.
11. Advertencia de ilegalidad. Informar al Cliente de inmediato si, en su opinión, alguna instrucción infringe el RGPD, la LOPDGDD u otra norma de protección de datos.
12. Registro de actividades. Mantener el registro de las categorías de actividades de tratamiento efectuadas por cuenta del Cliente conforme al artículo 30.2 del RGPD.

5. Obligaciones del Cliente

1. Disponer de base legal para el tratamiento de los datos que introduce y haber informado a los interesados conforme a los artículos 13 y 14 del RGPD.
2. Velar por la exactitud de los datos y por que su tratamiento sea lícito, leal y limitado a lo necesario.
3. Gestionar las cuentas de usuario de su organización, asignando los roles mínimos necesarios y revocándolos cuando corresponda.
4. Custodiar sus credenciales y comunicar a Zantry cualquier acceso no autorizado.
5. Realizar, cuando proceda, la evaluación de impacto y la consulta previa de los artículos 35 y 36 del RGPD.
6. Si activa páginas públicas (reserva online, enlaces de cita, presupuesto u orden de trabajo, carta digital), mantener correctos los datos identificativos que en ellas se muestran (nombre o razón social, NIF, dirección y contacto) y completar, si su actividad lo requiere, la información del artículo 13 del RGPD que se ofrece a los interesados.
7. Recabar el consentimiento de sus clientes para los avisos por WhatsApp y respetar su retirada, y no utilizar los campos personalizados, las notas ni los comentarios para datos de las categorías especiales no admitidas en la cláusula 3: los datos clínicos van solo en la historia clínica.
8. Si cobra cuotas por domiciliación, disponer del mandato SEPA firmado por el titular de la cuenta y conservarlo mientras esté vigente y, como mínimo, durante el plazo en que el deudor puede pedir la devolución de los adeudos.
9. Si activa la historia clínica: designar como profesionales sanitarios solo a personas con titulación sanitaria habilitante, retirar el permiso cuando dejen de prestarle servicio, revisar periódicamente el registro de accesos y revisar las plantillas de consentimiento informado antes de usarlas.

6. Subencargados

El Cliente autoriza de forma general a Zantry a recurrir a los subencargados enumerados a continuación, con los que Zantry ha suscrito contratos que imponen las mismas obligaciones de protección de datos que las de este documento:

Cambios. Zantry comunicará al Cliente cualquier incorporación o sustitución de subencargado con una antelación mínima de 30 días. Durante ese plazo el Cliente podrá oponerse por motivos razonables relacionados con la protección de datos; si la oposición no puede resolverse, el Cliente podrá resolver la suscripción sin penalización y con reembolso de la parte proporcional no consumida.

7. Medidas de seguridad

Atendiendo al estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento, Zantry aplica las siguientes medidas:

• Cifrado. Comunicaciones cifradas con TLS. Contraseñas almacenadas con función de derivación de clave (bcrypt), nunca en claro ni de forma reversible. Datos cifrados en reposo por el proveedor de base de datos. Además, el contenido de la historia clínica se cifra en la propia aplicación, campo a campo, con AES-256-GCM y una clave distinta para cada Cliente, protegida a su vez por una clave maestra que no se guarda en la base de datos ni en las copias de seguridad.
• Control de acceso. Autenticación mediante credenciales individuales, autorización basada en roles, aislamiento lógico entre empresas y verificación de propiedad de los recursos en cada petición. A la historia clínica solo acceden los usuarios que el Cliente designa como profesionales sanitarios; los administradores que no lo son gestionan los permisos sin ver el contenido clínico.
• Gestión de sesiones. Tokens de acceso de vigencia limitada, renovación controlada y cierre automático de sesión por inactividad.
• Trazabilidad. Registro de auditoría de accesos y de operaciones sobre datos fiscales, con encadenamiento criptográfico que permite detectar alteraciones. En la historia clínica se registra cada acceso (usuario, fecha y hora, historia y acción: ver, crear, modificar, exportar, imprimir o firmar), también los intentos denegados, en un registro encadenado que solo admite añadir entradas y que el Cliente puede consultar y verificar. Las anotaciones clínicas no se borran: cada corrección genera una versión nueva y conserva la anterior.
• Disponibilidad. Copias de seguridad diarias, cifradas antes de salir de Zantry con una clave que no tiene quien las almacena, conservadas 7 días y con pruebas de restauración documentadas. El contenido de la historia clínica viaja en ellas cifrado también por la aplicación.
• Minimización. Los registros técnicos no incluyen contenido de datos personales del Cliente más allá de lo necesario para la operación del servicio.
• Gestión de secretos. Las credenciales de los sistemas se gestionan fuera del código fuente, mediante variables de entorno, y se rotan periódicamente.

Zantry podrá actualizar estas medidas siempre que el nivel de seguridad resultante no sea inferior al aquí descrito.

8. Personal autorizado

Únicamente accede a los datos el personal de Zantry cuya intervención sea necesaria para la prestación del servicio, el soporte técnico o la resolución de incidencias, sujeto a compromiso de confidencialidad y bajo el principio de mínimo privilegio. Los accesos de soporte que impliquen visualización de datos del Cliente quedan registrados.

9. Transferencias internacionales

Las transferencias fuera del Espacio Económico Europeo son las relativas a: (a) Stripe, Inc., amparada en las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, complementadas con las medidas suplementarias ofrecidas por dicho proveedor; y (b) Twilio, solo cuando el Cliente contrata el envío automático de avisos por WhatsApp, amparada en sus Normas Corporativas Vinculantes aprobadas y en el Marco de Privacidad de Datos UE-EE. UU.; y (c) Anthropic, PBC, solo cuando el Cliente contrata la lectura de albaranes con IA, amparada en las Cláusulas Contractuales Tipo incluidas en su acuerdo de tratamiento de datos. Zantry no realizará otras transferencias internacionales sin instrucción o autorización previa del Cliente.

10. Asistencia en el ejercicio de derechos

La Plataforma permite al Cliente atender por sí mismo, sin coste adicional y en cualquier plan, las solicitudes de acceso, rectificación, supresión y portabilidad de sus interesados, mediante las funciones de consulta, edición, eliminación y exportación de datos.

Cuando una solicitud no pueda atenderse con esas funciones, Zantry prestará asistencia razonable previa petición del Cliente a soporte@zantry.es.

11. Auditoría

Zantry pondrá a disposición del Cliente, previa solicitud razonada, la información y la documentación necesarias para acreditar el cumplimiento de este contrato.

El Cliente podrá realizar auditorías, por sí o mediante auditor independiente sujeto a confidencialidad, con un preaviso mínimo de 30 días, un máximo de una vez al año —salvo que exista requerimiento de una autoridad de control o una violación de seguridad acreditada—, en horario laboral y sin afectar a la operativa del servicio ni a la confidencialidad de otros clientes. Los costes de la auditoría son de cuenta del Cliente, salvo que revele un incumplimiento sustancial imputable a Zantry.

12. Terminación: devolución y supresión

A la finalización de la relación, el Cliente dispone de un plazo de 30 días para exportar íntegramente sus datos desde la Plataforma, en formato estructurado y de uso común. Transcurrido ese plazo, Zantry suprimirá o anonimizará de forma irreversible los datos del Cliente, incluidas las copias existentes.

Se exceptúan los datos cuya conservación venga impuesta por la normativa fiscal, mercantil o laboral, señaladamente las facturas y registros de facturación (4 años, ampliables a 6) y el registro de jornada (4 años). Dichos datos quedarán bloqueados conforme al artículo 32 de la LOPDGDD: se conservarán únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, sin acceso operativo, hasta la prescripción de las responsabilidades correspondientes, momento en el que se suprimirán.

Las historias clínicas, que el Cliente debe conservar como mínimo cinco años desde el alta de cada proceso asistencial (art. 17.1 de la Ley 41/2002), se exceptúan también de la supresión a los 30 días: Zantry las pondrá a disposición del Cliente en un formato legible y, a petición de este, las conservará bloqueadas y cifradas, sin acceso operativo, hasta que el Cliente confirme que las ha recibido o venza ese plazo, momento en que se suprimirán, incluida la clave que las protege.

Zantry acreditará por escrito la supresión a solicitud del Cliente.

13. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de sus obligaciones conforme al artículo 82 del RGPD. La limitación de responsabilidad prevista en los Términos y Condiciones no se aplica a las sanciones o indemnizaciones derivadas del incumplimiento por Zantry de las obligaciones que le impone directamente el RGPD como encargado.

14. Vigencia, modificación y contacto

Este contrato entra en vigor con la aceptación de los Términos y Condiciones y permanece vigente mientras dure el tratamiento. Cualquier modificación sustancial se notificará con 30 días de antelación y requerirá nueva aceptación.

Canal de contacto en materia de protección de datos: soporte@zantry.es.