Encargo de Tratamiento (DPA) — LevelCast Clínicas

LevelCast actúa como Encargado del Tratamiento (art. 28 RGPD) para hospitales, clínicas y residencias. El Responsable (el centro) decide finalidades y plazos; LevelCast solo trata datos de glucosa para prestar el panel multi-paciente.

1. Objeto y datos

Lecturas CGM, eventos de paciente y metadatos de sincronización vinculados mediante consentimiento explícito del paciente (`patientAssignment` con `consentAt`, finalidad y caducidad). Sin consentimiento vigente no hay acceso.

2. Obligaciones

  • Tratar solo según instrucciones documentadas del centro.
  • Cifrado en tránsito (TLS) y control de acceso por rol (owner/admin/clinician/viewer).
  • Registro de accesos (quién vio qué paciente y cuándo) visible en la sección Cumplimiento de tu organización.
  • Revocación inmediata: el paciente puede desvincular su centro en cualquier momento.
  • Borrado o devolución al finalizar el encargo, según elija el centro.

3. Subencargados y transferencias

Alojamiento UE. Sin transferencias fuera del EEE sin garantías del capítulo V RGPD. La lista vigente de subencargados se publica en la documentación.

4. Aceptación

El DPA se acepta en el alta de la clínica (pestaña «Clínica» del registro) y queda registrado con versión, fecha e IP en `clinic_dpa_acceptance`. Cada cambio de versión requiere re-aceptación en la sección Cumplimiento de tu organización.

Contacto DPO/privacidad: contacto@mikelgranero.com