Registro de actividades de tratamiento (RAT)

Mantenido por el encargado del tratamiento conforme al art. 30(2) RGPD — edición: 2026-05-26

Encargado del tratamiento

Project Line (קו פרויקטים), n.º 310333984 (D-U-N-S 532247086), Keren ha-Yesod 23/9, Ashdod 7740412, distrito Sur, Israel. Delegado de protección de datos (DPO) / contacto: support@projectlineil.com.

Responsables del tratamiento

Cada clínica que firma el Acuerdo de Tratamiento de Datos (DPA) es un responsable del tratamiento independiente. La lista de responsables y sus datos de contacto se mantienen en el CRM interno de Project Line y se facilitan a la autoridad de control previa solicitud.

Actividades de tratamiento

N.º	Operación	Categorías de datos	Categorías de destinatarios	Conservación	Transferencia fuera de la UE
1	Alta de la clínica	Razón social de la clínica, identidad del titular, dirección de facturación	Azure (alojamiento), subencargados de pago/facturación (ver página Subencargados)	Duración del contrato + 7 años	Azure Israel Central — adecuado
2	Almacenamiento de historiales de pacientes	Nombre, fecha de nacimiento, contacto, historia clínica, recetas	Azure (almacenamiento), subencargados de pago/facturación (ver página Subencargados)	Conservación legal (7–30 años según el país)	Región Azure por clínica
3	Agente de voz con IA	Número del llamante, intención de la llamada, datos de la cita (sin audio ni transcripción)	OpenAI (en tránsito), Twilio (encaminamiento de llamada)	Solo metadatos de la llamada (número, hora, duración); ni audio ni transcripción conservados	OpenAI: CCT + API sin retención; Twilio: CCT EE. UU.–UE
4	Recordatorios salientes (SMS / WhatsApp)	Teléfono, nombre, hora de la cita	Twilio (SMS), Meta (WhatsApp Cloud API)	Registro de envíos: 1 año	Meta: CCT; Twilio: CCT
5	Cargo automático con tarjeta guardada	Medio de pago tokenizado (pm_…), nunca el PAN	Stripe (tarjeta guardada — solo mediante Stripe)	Conforme al DPA de Stripe; eliminado al desvincular la clínica	Stripe: CCT + DPF
6	Registro de auditoría	Acción + identificador de tenant + marca de tiempo	Azure SQL (intra-tenant)	6 años	Misma región que la clínica
7	Copia de seguridad / recuperación ante desastres	Instantánea cifrada de la BD	Azure Backup (intra-región)	PITR rotativo de 7 días	Misma región

Medidas de seguridad

TLS 1.2+ en todo el transporte; AES-256 en reposo (Azure SQL TDE + Azure Storage SSE)
Ámbito de autorización por tenant (acceso entre clínicas técnicamente imposible)
Registro de auditoría en cadena hash, infalsificable
Auditoría HTTP saliente + presupuesto diario por clínica
Secretos en Azure App Service Configuration (cifrados en reposo)
MFA hoy opcional, obligatoria en el futuro para roles clínicos
Pruebas de penetración anuales previstas

Actualizaciones

Se revisa al añadir/sustituir un subencargado (véase subencargados) o al iniciar una nueva actividad de tratamiento. Los cambios sustanciales se anuncian a todas las clínicas con preaviso de 30 días (art. 28(2) RGPD).