Este acuerdo hace parte de los Términos generales y aplica siempre que el servicio trate datos personales por cuenta tuya. Está escrito para cumplir el artículo 28 del RGPD y el artículo 25 del Decreto 1377 de 2013, que en Colombia exige que este contrato exista por escrito antes de que un responsable entregue datos a un encargado. La sección 17 lo mapea cláusula por cláusula.
Tú eres el responsable de los datos de tus pacientes. Nosotros somos el encargado. La única excepción es la sección 16, que no es una instrucción de tratamiento, y por eso esa sección está escrita como está.
| Elemento | Descripción |
|---|---|
| Objeto | Prestar el servicio descrito en los Términos generales |
| Duración | La del contrato, más el cierre de la sección 10 |
| Naturaleza | Alojamiento, transmisión, almacenamiento, derivación, visualización, supresión, la copia analítica en BigQuery descrita en Subencargados y, solo con la autorización propia del paciente, el envío de una fotografía suya a la API de Gemini de Google para el retrato de su ficha (sección 6.1) |
| Finalidad | Prestarte, mantener y asegurar el servicio para tu propio entorno, y resolver fallas. Esta finalidad no incluye desarrollar ni entrenar modelos, que se rige exclusivamente por la sección 16 |
| Titulares | Tus pacientes y los miembros de tu práctica |
| Categorías de datos | Identificadores, datos del dispositivo, escaneos intraorales, video de la cara del paciente durante la sesión, fotografía del paciente cuando se usa el retrato de ficha, cuadros de movimiento, notas clínicas, análisis derivados |
Lee dos veces la fila de finalidad. "Mejorar el servicio" es la frase que normalmente lleva un derecho de entrenamiento adentro. Aquí está cercada: mejorar es tu entorno, y entrenar tiene su propia sección, su propia base legal y su propia firma.
Solo tratamos los datos siguiendo tus instrucciones documentadas, que son: el contrato y este acuerdo; las opciones de configuración que eliges en el servicio; y cualquier otra instrucción escrita dentro del alcance del contrato. Si creemos que una instrucción viola una norma de protección de datos, te lo decimos.
Todo el que autorizamos a tratar estos datos está obligado a confidencialidad, por contrato o por deber profesional.
Aplicamos las medidas de Prácticas de seguridad, que describen lo que corre hoy y no lo que está planeado.
Autorizas a los subencargados listados en Subencargados. Nos comprometemos a mantener esa lista al día, avisarte con al menos 30 días antes de agregar uno que vaya a tratar material de pacientes, imponerle por escrito condiciones no menos protectoras que las de este acuerdo, y seguir respondiéndote por lo que haga. Puedes objetar por razones fundadas; si no lo resolvemos, puedes terminar la parte del servicio afectada.
Hay un solo camino por el que material de un paciente llega a un modelo generativo de un tercero, y va aquí porque es una cuestión de subencargados y no una nota al pie.
Cuando un profesional usa la función de retrato, la fotografía del paciente se envía a la API de
Gemini de Google (generativelanguage.googleapis.com, Estados Unidos) y vuelve la imagen
estilizada. Va solo la fotografía y la instrucción de estilo: ni el nombre, ni los
identificadores, ni los escaneos, ni el video.
Las condiciones, que no son negociables porque están puestas en el código:
| Base | La autorización propia del paciente, en una casilla aparte de la clínica y de la de entrenamiento, apagada por defecto |
| Comprobación | El servidor lee el último recibo antes de enviar nada. Sin la casilla en true no envía y borra la fotografía subida |
| Alcance | Un retrato para la ficha. Ni análisis, ni diagnóstico, ni entrenamiento nuestro |
| Lo que no controlamos | Qué conserva Google de su lado lo gobiernan los términos de esa API y no este contrato. Lo decimos en vez de callarlo |
Si prefieres que esto no ocurra nunca en tu práctica, no marques esa casilla con ningún paciente. Nada más del servicio cambia.
Te ayudamos a responder las solicitudes de los titulares, con medidas técnicas y organizativas apropiadas y teniendo en cuenta la naturaleza del tratamiento. Si un paciente nos escribe directamente, lo remitimos a ti, que eres su responsable, y te avisamos que escribió.
En Colombia los plazos son cortos —10 días hábiles para una consulta, 15 para un reclamo, cada uno prorrogable una vez— y respondemos tus pedidos de apoyo en un tiempo que te permita cumplir.
Te avisamos sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a que tengamos conocimiento de una violación de datos que afecte a los datos personales del cliente. El aviso dice lo que sepamos en ese momento: qué pasó, qué categorías y aproximadamente cuántos registros y titulares, las consecuencias probables y qué hemos hecho.
Recuerda que en Colombia el reporte a la Superintendencia de Industria y Comercio le corresponde al responsable, es decir a ti, y nuestro aviso está pensado para que llegues a tiempo.
Te damos ayuda razonable con una evaluación de impacto o con una consulta previa a una autoridad de control, según los artículos 35 y 36 del RGPD.
Cuando termina el contrato eliges: te devolvemos los datos por exportación o los borramos. Donde la ley nos obligue a conservar algo, lo mantenemos confidencial y dejamos de tratarlo para cualquier otra cosa.
El borrado alcanza el almacenamiento activo, los volúmenes del proveedor de cómputo GPU y la copia en BigQuery descrita en Subencargados. Los tres no ocurren a la misma velocidad, y preferimos darte los números reales antes que uno solo que tranquilice:
| Dónde | Cómo | Cuándo |
|---|---|---|
| Firestore y almacenamiento de archivos | Automático, desde la app | De inmediato |
| Copia analítica en BigQuery | Automático, un trabajo programado que recorre todas las tablas del conjunto, verifica contando filas y reintenta | Hasta 24 horas |
| Volúmenes del proveedor de cómputo GPU | Un paso de operador, no automático. Queda en cola y con seguimiento, no a la memoria de alguien | Dentro de 30 días |
No operamos un respaldo restaurable propio, así que no hay copia de respaldo que esperar a que venza. Ver Prácticas de seguridad, sección 7.
Te damos la información necesaria para que demuestres que cumples este acuerdo. Cuando existan informes de auditoría independiente, esos satisfacen la obligación. Mientras tanto, puedes auditar una vez al año —o más seguido tras una violación o si lo exige una autoridad— a tu costa, avisando con 30 días y bajo condiciones razonables de confidencialidad.
Todo se trata en Estados Unidos. La región de la base de datos y la de las funciones quedaron fijas al crear el proyecto y no se pueden mover.
Donde eso implique sacar datos del Espacio Económico Europeo, el Reino Unido o Suiza, nos apoyamos en las cláusulas contractuales tipo (módulo dos, responsable-a-encargado) más cifrado en tránsito y en reposo, y firmamos las cláusulas y el anexo de país que se necesite. En Colombia, entregar datos a un encargado en el exterior es una transmisión según el artículo 3 del Decreto 1377, cubierta por este contrato bajo el artículo 25, y no una transferencia del artículo 26 de la Ley 1581.
Si tu autoridad exige que el dato se quede en Europa, hoy no podemos atenderte. Preferimos perder el cliente antes que escribir una frase sobre anclaje regional que no es cierta.
La responsabilidad bajo este acuerdo se sujeta a los límites de los Términos generales, salvo donde la ley no permita limitarla.
Si este acuerdo contradice los Términos generales, este acuerdo prevalece en todo lo relativo al tratamiento de datos personales.
Los datos personales del cliente incluyen datos de salud de los pacientes. En Colombia son datos sensibles según el artículo 5 de la Ley 1581; en la Unión Europea son categoría especial del artículo 9 del RGPD. Tú garantizas que tienes una base válida para el tratamiento que nos instruyes: en la práctica, la autorización expresa del paciente, que es la única que el artículo 6 de la Ley 1581 ofrece para esto.
No aceptamos clientes que sean Covered Entities bajo HIPAA, porque todavía no tenemos un Business Associate Agreement con cada subencargado que tocaría información de salud protegida. No hagas pasar PHI por el servicio.
Esta sección es la única puerta por la que el material de un paciente puede usarse para desarrollar o entrenar modelos. Nada más en este acuerdo, en el contrato o en una opción de la app lo autoriza.
Donde —y solo donde— un paciente haya dado una autorización separada, específica, escrita y revocable para que su material se use en el desarrollo o entrenamiento de modelos, y tú hayas registrado esa autorización en el servicio, el material cubierto por ella se transfiere a Toothprint como responsable independiente de su propia finalidad.
Es una transferencia a un nuevo responsable, no una instrucción a un encargado. Lo registramos así porque llamarlo de otra manera describiría mal lo que pasa.
| Destinatario | Toothprint, el responsable identificado en la Política de privacidad |
| Finalidad | Desarrollar, entrenar y evaluar nuestros propios modelos de registro sin marcadores, segmentación y predicción de movimiento |
| Base legal | La autorización expresa del paciente: artículo 6 literal a) de la Ley 1581 de 2012 en Colombia; artículo 9.2.a del RGPD en la Unión Europea y el Reino Unido |
| Estatus bajo este acuerdo | Ese material deja de ser dato tratado por cuenta tuya y pasa a ser responsabilidad nuestra como responsables |
Todo lo que el paciente no haya autorizado para esta finalidad se queda exactamente donde estaba: tú sigues siendo su responsable y nosotros tu encargado bajo el resto de este acuerdo.
Que la autorización se obtuvo antes de capturar el material; que fue separada del consentimiento clínico y de la aceptación de este contrato; que fue de marcación voluntaria, nunca premarcada y nunca amarrada a otra cosa; que al paciente se le dijo que negarse no cambia nada en su atención; y que conservas el formato firmado y lo muestras si se pide.
Si el paciente es menor de edad, la autorización de esta sección la da su representante legal, y tú garantizas que verificaste esa representación. Al llegar a la mayoría de edad, el titular puede revocarla por sí mismo, con los efectos de la sección 16.3.
A la fecha de esta versión, ningún modelo se ha entrenado, ajustado ni evaluado con material de pacientes. Lo decimos aquí porque es de esas afirmaciones que solo valen algo cuando se hacen antes de que dejen de ser ciertas.
El artículo 25 del Decreto 1377 de 2013 exige un contrato entre responsable y encargado con contenido específico. Este acuerdo es ese contrato. Dónde está cada cosa:
| Lo que exige el artículo 25 | Dónde está |
|---|---|
| El alcance y las finalidades del tratamiento | Sección 2 |
| Las actividades que el encargado realizará por cuenta del responsable | Sección 2, y sección 2 de los Términos generales |
| Las obligaciones del encargado frente al titular y al responsable | Secciones 3 a 12 |
| Que el encargado dé aplicación a la política de tratamiento del responsable | Sección 5 y Prácticas de seguridad |
| Que el encargado mantenga la información bajo reserva | Sección 4 |
Dos cosas más que la ley colombiana hace explícitas y que preferimos escribir antes que dejar implícitas. Tratar datos de salud de un paciente tiene aquí una sola base legal, y es la autorización previa, expresa e informada del titular: el artículo 6 de la Ley 1581 no tiene excepción médica, y la Ley 1581 no contiene "interés legítimo". Y la historia clínica tiene sus propias reglas de retención —Resolución 1995 de 1999 y Resolución 839 de 2017— que son tuyas y no nuestras; nada de la sección 10 releva tu deber de conservar la historia clínica el tiempo que esas normas exigen.
Vigente desde el 11 de septiembre de 2026 · Versión 1.2
La versión 1.0 reemplaza los borradores no publicados de mayo de 2026. Qué cambió: el producto se nombra en sus tres superficies, se declara la copia en BigQuery, se quitó la afirmación de anclaje regional porque no era cierta, se cerró la vía de HIPAA en vez de prometerla, y la sección 17 mapea el documento contra la ley colombiana.
Versión 1.1, modificada el 12 de septiembre de 2026. La versión 1.0 se publicó el 11 de septiembre y contenía afirmaciones que una revisión contra el sistema real demostró falsas. Se corrigen aquí en vez de editarse en silencio, porque un documento publicado que cambia sin decirlo vale menos que uno que reconoce que cambió: una página que decía que ningún tercero hacía inferencia de IA sobre material de pacientes, mientras una función de foto mandaba caras a un modelo generativo; una página de seguridad que afirmaba recuperación a un punto en el tiempo y respaldos de 12 meses que nunca se configuraron; una promesa de borrado con un solo plazo para tres destinos que no van a la misma velocidad; y una promesa de destrucción a tres años sin nada debajo.
Versión 1.2, modificada el 12 de septiembre de 2026. La exportación analítica a BigQuery dejó de llevar la colección cruda de sesiones —que lleva adentro identificadores de paciente y enlaces de descarga, y un enlace de descarga es una credencial— y pasa a llevar una colección derivada sin nada identificable. La historia ya exportada se conserva aparte, seudonimizada. Se escribe aquí porque la versión 1.1 describía la exportación anterior y describirla mal, después de arreglarla, sería el mismo error de la versión 1.0 al revés.