Anexo de Tratamiento de Datos Personales

Son partes de este anexo el Cliente —el centro terapéutico o el especialista independiente que contrata el servicio— y NEXUM PM E.I.R.L., con Registro Único de Contribuyentes N.º 20613566491 y domicilio en Jirón Lima 515, Florida Baja, Chimbote, provincia del Santa, departamento de Áncash, Perú (el Proveedor).

El objeto es fijar las condiciones bajo las cuales el Proveedor trata datos personales por cuenta del Cliente al prestar CODI App, conforme a la Ley N.º 29733 del Perú, a la Ley N.º 31814, Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país, y su Reglamento, aprobado por el Decreto Supremo N.º 115-2025-PCM en lo relativo al tratamiento mediante sistemas basados en IA, y a la normativa equivalente de los países listados en la sección 17.

• Objeto: alojamiento y procesamiento de la información necesaria para la gestión asistencial y el seguimiento terapéutico de los pacientes del Cliente.
• Duración: la de la suscripción, más la ventana de exportación de la sección 12.
• Naturaleza: recogida, registro, estructuración, conservación, consulta, cálculo de indicadores, generación de documentos, transmisión y supresión.
• Finalidad: exclusivamente la prestación del servicio contratado. El Proveedor no cede los datos, no los comercializa y no los utiliza para entrenar modelos de inteligencia artificial.

El Proveedor trata los datos únicamente conforme a las instrucciones documentadas del Cliente, que son: los Términos del Servicio, este anexo, la configuración que el Cliente establece en la aplicación y las instrucciones adicionales que remita por escrito al canal de contacto.

Si una instrucción del Cliente infringiera de forma manifiesta la normativa de protección de datos, el Proveedor lo comunicará sin demora y podrá suspender su ejecución. Si una norma obliga al Proveedor a un tratamiento distinto, lo informará al Cliente antes de ejecutarlo, salvo que esa misma norma lo prohíba por razones de interés público.

El Proveedor garantiza que toda persona autorizada para tratar los datos está sujeta a un deber de confidencialidad expreso y de duración indefinida, recibe formación en protección de datos y accede únicamente a lo estrictamente necesario para su función. El acceso administrativo a datos clínicos está sometido a un procedimiento excepcional, motivado, temporal y auditado.

El Proveedor implementa las medidas técnicas y organizativas descritas en el Anexo II de este documento, apropiadas al riesgo que supone tratar datos de salud de personas menores de edad, y las revisa periódicamente.

El Cliente autoriza de forma general la contratación de los subencargados relacionados en el Anexo III. El Proveedor les impone por contrato obligaciones de protección equivalentes a las de este anexo y responde ante el Cliente de su actuación.

Toda incorporación o sustitución de subencargado se comunicará con treinta (30) días naturales de antelación. El Cliente puede oponerse de forma motivada dentro de ese plazo; si la objeción no puede resolverse, podrá resolver la suscripción sin penalidad y con reembolso proporcional del periodo no consumido.

El Proveedor asistirá al Cliente, en la medida en que este no pueda hacerlo por sí:

• en la atención de las solicitudes de acceso, rectificación, cancelación, oposición y portabilidad que reciba de los titulares;
• en la acreditación del cumplimiento, mediante la información técnica que obre en su poder;
• en el análisis de riesgos o evaluaciones de impacto que el Cliente deba realizar;
• en las consultas o inspecciones de la autoridad de control.

Si un titular dirige al Proveedor una solicitud relativa a datos tratados por cuenta del Cliente, el Proveedor no la resolverá por su cuenta: la trasladará al Cliente sin demora indebida y se lo comunicará al titular.

El Proveedor notificará al Cliente toda violación de la seguridad de los datos personales dentro de las setenta y dos (72) horas siguientes a que tenga conocimiento de ella, por correo electrónico a la dirección de contacto registrada, con la siguiente información en la medida en que esté disponible:

• naturaleza del incidente, categorías y volumen aproximado de datos y titulares;
• consecuencias probables;
• medidas adoptadas o propuestas, incluidas las de mitigación;
• punto de contacto para obtener más información.

El Proveedor cumplirá además sus propias obligaciones de notificación a la autoridad peruana dentro de las 48 horas siguientes a la detección o a la aparición de indicios, y cooperará con el Cliente para que este cumpla las suyas.

Las ubicaciones regionales verificadas de los principales recursos de infraestructura son: App Hosting: us-east4 (Virginia del Norte, Estados Unidos); Firestore ceditran-v2: southamerica-east1 (São Paulo, Brasil); bucket Firebase Storage general: us-east1 (Carolina del Sur, Estados Unidos); bucket privado de fotos: us-east4 (Virginia del Norte, Estados Unidos). El Cliente, como responsable, queda informado de que estos recursos están fuera del Perú y de que el flujo transfronterizo es inherente a la prestación del servicio; autoriza expresamente dicha transferencia.

Las garantías aplicadas son el contrato de tratamiento suscrito con el proveedor de infraestructura, con cláusulas de protección equivalentes a las exigidas por la normativa peruana; el cifrado en tránsito y en reposo; la segregación por proyecto; y el compromiso del subencargado de notificar y, cuando proceda, oponerse a los requerimientos de autoridades extranjeras.

El tratamiento del subencargado de inteligencia artificial no queda comprendido en esas ubicaciones. Sus condiciones admiten que las entradas y salidas se almacenen de forma transitoria o en caché en cualquier país en el que el proveedor o sus agentes mantengan instalaciones, por un periodo limitado y con la sola finalidad de prevenir usos prohibidos y atender requerimientos legales. El Cliente queda informado de ese alcance al aceptar este anexo.

Es carga del Cliente informar de esta circunstancia a los titulares y, cuando su normativa lo exija, recabar su consentimiento expreso.

El Proveedor pondrá a disposición del Cliente la información necesaria para acreditar el cumplimiento de este anexo. El Cliente podrá solicitar, con un preaviso razonable y como máximo una vez al año —salvo requerimiento de autoridad o incidente de seguridad acreditado—, una auditoría documental. Las auditorías se realizarán en horario laboral, sin interferir en la operación, con obligación de confidencialidad y sin acceso a datos de otros clientes.

Terminada la prestación, el Cliente dispone de noventa (90) días naturales en modo de solo lectura para exportar los datos en formato estructurado y de uso común. Concluida esa ventana, el Proveedor suprimirá o anonimizará los datos en un plazo máximo de treinta (30) días adicionales, y las copias de respaldo caducarán por rotación en un plazo no superior a treinta y cinco (35) días.

El Proveedor podrá conservar la información mínima que una norma le obligue a retener, durante el plazo estrictamente exigido y con acceso restringido.

Cada parte responde de sus propios incumplimientos. Si el Proveedor tratara datos al margen de las instrucciones del Cliente y determinara por su cuenta finalidades o medios, será considerado responsable respecto de ese tratamiento concreto y asumirá las consecuencias.

Los límites de responsabilidad pactados en los Términos del Servicio se aplican a este anexo, con la salvedad expresa de los supuestos que la normativa imperativa de protección de datos no permita limitar.

Las siguientes medidas están implementadas en el servicio, no son un catálogo de intenciones:

• Cifrado en tránsito y en reposo en toda la infraestructura, con transporte obligatorio por HTTPS declarado mediante política de seguridad de transporte estricta.
• Atestación de aplicación en todo el tráfico de cliente a servidor: distingue la aplicación legítima de cualquier cliente arbitrario.
• Sesión endurecida: cookie inaccesible desde JavaScript, transmitida solo por conexión cifrada, restringida frente a peticiones cruzadas, con caducidad corta, verificada antes del primer byte de respuesta y reforzada con comprobación de origen en toda mutación.
• Autorización basada en reclamaciones firmadas de rol y organización, escritas únicamente desde servidor. Ningún documento de base de datos concede permisos, y todo cambio de rol revoca de inmediato las sesiones vigentes.
• Identidad verificada en el alta: se exige correo verificado antes de crear una organización, aceptar una invitación o emitir sesión completa, y las respuestas de acceso y recuperación no permiten enumerar cuentas existentes.
• Envoltorio único de autorización por el que pasa toda operación sin excepción: atestación, sesión, rol, coincidencia de organización, alcance, derecho de plan, límite de frecuencia, validación de entrada, ejecución, validación de salida y auditoría.
• Aislamiento estricto entre organizaciones: todo recurso lleva organización y un recurso sin ella se rechaza; la ausencia nunca se interpreta como acceso global.
• Escritura exclusivamente desde servidor, con denegación global de escritura en las reglas de la base de datos y lectura limitada a la superficie mínima, resuelta contra reclamaciones sin consultas encadenadas.
• Validación de esquema en entrada y en salida: lo que no está declarado no se escribe, y una respuesta que se desvíe del contrato se bloquea antes de salir, para que una deriva no se convierta en fuga.
• Almacenamiento de archivos sin enlaces permanentes: descargas mediante enlaces firmados de vida corta, rutas opacas, verificación del tipo real del archivo, rechazo de contenido activo y nombres generados.
• Cabeceras de seguridad y política de contenido con valor único por petición, bloqueo de incrustación en marcos, prohibición de inferir tipos y desactivación de cámara, micrófono y geolocalización. Cuando el dictado de peticiones se habilite, el micrófono se permitirá únicamente en el propio origen de la aplicación y seguirá denegado a todo contenido de terceros.
• Secretos fuera del código: gestionados por el servicio de secretos de la plataforma; prohibida la lectura de credenciales desde el directorio de la aplicación, con verificación automatizada en la integración continua.
• Trabajos internos autenticados mediante identidad federada del planificador o, en su defecto, firma con marca temporal, valor de un solo uso, comparación en tiempo constante y un secreto distinto por punto de entrada.
• Webhook de pagos verificado por firma con ventana temporal, libro de idempotencia y reconsulta al procesador: el aviso nunca es la fuente de verdad.
• Contención de la inteligencia artificial: el modelo no recibe ni controla organización ni rol, el filtro de inquilino vive dentro de la herramienta, hay tope de documentos por consulta, seudonimización previa y presupuesto con corte automático.
• Cuarentena de la administración global: el rol de administración de plataforma gestiona el negocio y no accede a la clínica; se asigna solo fuera de la aplicación, con doble factor y auditoría, y el acceso de emergencia es motivado, temporal y registrado.
• Auditoría que solo admite adición de toda operación, incluidas las fallidas, con identificador de solicitud correlacionable.
• Verificación continua en integración: pruebas unitarias, de reglas de base de datos, de integración y de extremo a extremo, revisión de dependencias y análisis de secretos como puerta de despliegue.
• Respaldos gestionados por la plataforma, cifrados y con rotación no superior a treinta y cinco (35) días.

Estas medidas se alinean, en lo pertinente, con los estándares que recomienda el Art. 33 del Reglamento de la Ley N.º 31814, Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país, y su Reglamento, aprobado por el Decreto Supremo N.º 115-2025-PCM: NTP-ISO/IEC 42001:2025 (sistema de gestión de IA), ISO/IEC 38507:2022 (gobernanza de IA por las organizaciones), NTP-ISO/IEC 27002:2022 y NTP-ISO/IEC 27005:2022 (gestión de riesgos de seguridad de la información). La clasificación de riesgo del uso de IA descrito en este anexo, y el estado de la consulta voluntaria en trámite ante la SGTD, se declaran en el apartado 7.7 de la Política de Privacidad; esta sección de medidas técnicas no varía según esa clasificación, porque las mismas salvaguardas rigen con independencia de ella.

Además de la ley peruana, el Proveedor reconoce la aplicación de la normativa local siguiente respecto de los titulares situados en cada territorio:

Esta tabla identifica el marco aplicable; no sustituye el asesoramiento local que cada Cliente deba obtener sobre sus propias obligaciones como responsable.

Cualquier comunicación derivada de este anexo se dirigirá a soporte@codiapp.org. Este anexo entra en vigor con la aceptación de los Términos del Servicio y permanece vigente mientras el Proveedor trate datos por cuenta del Cliente. Publicación 1.3.1.

Documentos relacionados: Términos del Servicio · Política de Privacidad · Aviso para apoderados