Contrato de encargado del tratamiento

Este contrato regula cómo trata Growthie los datos de tus pacientes cuando usas la aplicación. Cumple el artículo 28 del Reglamento General de Protección de Datos (RGPD). Forma parte de los términos del servicio y lo aceptas con ellos, al marcar la casilla de la aplicación.

Versión 2026-11-02.1, del 2 de noviembre de 2026.

Partes

• Responsable del tratamiento: tú, el profesional que acepta este contrato, con los datos de tu cuenta.
• Encargado del tratamiento: Rocío Infante Artero, profesional autónoma, NIF 48949172C, con domicilio en Avenida Pablo Rada, n.º 2, 6.º, 21004 Huelva (España), titular de Growthie. Contacto: contacto@growthie.app.

Objeto y duración

Growthie trata los datos de tus pacientes solo para prestarte el servicio de la aplicación. El contrato dura lo mismo que tu uso de Growthie. Algunas obligaciones, como la confidencialidad, siguen después.

Qué datos y de quién

Personas afectadas: tus pacientes y clientes, los tutores legales de los pacientes menores de edad, los contactos de emergencia que anotas en una ficha de psicología, y quienes piden cita o se apuntan a tu lista de espera.

Datos:

• De identificación y contacto: nombre, correo, teléfono y dirección.
• De las citas: fechas, tarifas, estado y notas.
• De seguimiento nutricional: medidas, peso, alergias, planes (con sus días de entreno o descanso, que el paciente puede cambiar), comidas registradas y revisiones semanales. También la entrevista inicial (anamnesis) que rellenas tú: salud, medicación, hábitos, actividad física, historia de peso, lo que come en un día normal, gustos y un cribado orientativo de su relación con la comida.
• Fotos de progreso (frente, perfil y espalda): la foto inicial y la foto actual, que suben el paciente o tú, y las de las revisiones: el paciente en sus revisiones semanales, y él o tú en las revisiones de la consulta. Solo las veis el paciente y tú. Las fichas de menores de edad no tienen fotos.
• De seguimiento psicológico: motivo de consulta, estado de ánimo, temas para la sesión, resúmenes, notas privadas y reflexiones del paciente tras cada sesión con su comprobación semanal. También tareas (con sus preguntas, respuestas, fecha límite y frecuencia de recordatorio), y objetivos terapéuticos y retos, también los que propone el paciente, con cada intento: malestar de 0 a 10 antes y después, emociones, qué pasó y qué aprendió.
• Del registro diario del paciente, solo dentro de una ficha de psicología activa: ánimo de 1 a 5, emociones, nota libre, momentos de malestar (emoción, con qué lo relaciona, cómo lo gestionó y qué le ayudaría) y «algo bueno del día». También «Lo que me ayuda», los recursos propios del paciente, que tú no ves.
• De bienestar, de todo paciente que active Mente: actividades agradables planeadas o hechas, sus ideas propias y las pausas que hace.
• De movimiento, de todo paciente: pasos, entrenos (tipo, minutos, cómo se sintió y una nota), días de descanso, cómo durmió (horas, calidad, lo que pasó por la noche y una nota), su objetivo de movimiento y los retos (del catálogo, propios o propuestos por su profesional) con su progreso.
• De los tutores legales de un paciente menor de edad, que introduces tú: nombre, correo y parentesco (madre, padre o tutor legal), y si les hemos enviado la invitación.
• Del contacto de emergencia de un paciente de psicología, que introduces tú: nombre, relación con el paciente y teléfono.
• De los documentos que firman: el documento firmado, con las respuestas a las preguntas que añadas, la firma y los datos de la firma (cuándo, por qué canal, la dirección IP y el navegador).
• De avisos: si el paciente se ha dado de baja de los recordatorios por email, y si le has pedido una reseña en Google y cuándo.
• De cobros: importes, fechas y forma de pago. Growthie no guarda números de tarjeta.

Muchos son datos de salud, una categoría especial del artículo 9 del RGPD.

Qué hace Growthie con ellos

Alojarlos, guardarlos, ordenarlos, mostrártelos a ti y a cada paciente lo suyo, enviar los correos de la aplicación (invitaciones para entrar en la app, confirmaciones, recordatorios de cita, avisos de la lista de espera, recordatorios de tareas y retos pendientes y las peticiones de reseña que decidas enviar, estos sin contenido clínico), hacer copias de seguridad y borrarlos.

Tutores legales de menores. Cuando das de alta a un paciente menor de edad, introduces los datos de sus tutores legales. Growthie les envía la invitación para crear su cuenta y los correos de las citas del menor y sus recordatorios, sin datos clínicos. Dentro de la aplicación, cada tutor ve las citas del menor a su cargo y firma en su nombre sus documentos, como representante legal. En una ficha de nutrición, si lo decides, ve también el plan de comidas y la lista de la compra. Nunca ve lo demás que el menor registra ni lo que trabajáis en las sesiones. Cuando el paciente cumple 18 años, los tutores dejan de ver sus citas y de recibir sus correos; los datos de los tutores y las firmas se conservan en la ficha.

Tus obligaciones como responsable

• Tener una base legal para tratar los datos y, para los de salud, la excepción del artículo 9 que corresponda.
• Informar a tus pacientes (y a los tutores legales, si son menores) y, cuando haga falta, pedirles su consentimiento explícito.
• Darnos instrucciones lícitas. Usar la aplicación según los términos del servicio cuenta como tus instrucciones.
• Guardar el secreto profesional.

Obligaciones de Growthie como encargado

• Seguir tus instrucciones. Growthie trata los datos solo según tus instrucciones documentadas, también en lo que toca a transferencias fuera de la Unión Europea. Si una instrucción nos parece contraria al RGPD, te avisaremos.
• No usarlos para nada más. No los usa para fines propios, no los vende y no los cede, salvo obligación legal. Si una ley nos obliga a darlos, te avisaremos antes, salvo que la misma ley lo prohíba.
• Confidencialidad. Quien acceda a los datos por parte de Growthie está obligado a guardar secreto, también después.
• Seguridad. Growthie aplica las medidas del artículo 32 del RGPD que se describen abajo.
• Ayudarte con los derechos de tus pacientes. Si un paciente nos pide acceder, rectificar, suprimir, oponerse, limitar o llevarse sus datos, te pasamos la solicitud sin responderla nosotros. Te ayudamos a atenderla.
• Ayudarte con tus obligaciones. Te damos la información que necesites para la seguridad, la evaluación de impacto o la consulta previa a la autoridad de control.
• Brechas de seguridad. Si sufrimos una brecha que afecta a los datos de tus pacientes, te avisaremos sin dilación indebida y como máximo en 48 horas desde que la conozcamos. Te contaremos lo que sepamos para que puedas notificarla a la autoridad y a los afectados si hace falta.
• Registro. Growthie lleva el registro de actividades de tratamiento como encargado (artículo 30.2 del RGPD).
• Demostrar el cumplimiento. Te damos la información que necesites para comprobar que cumplimos este contrato. Puedes auditarlo tú o un auditor que elijas, con un aviso razonable, a tu cargo y una vez al año como mucho, salvo que haya habido una brecha.

Medidas de seguridad

• La base de datos se aloja en un servidor de OVHcloud en España (Madrid). Los documentos que firman tus pacientes y las plantillas que subes se guardan cifrados en Microsoft Azure, en España (región Spain Central), y la aplicación no permite borrar lo firmado; una plantilla que nadie ha firmado sí la puedes borrar. Las fotos de progreso se guardan igual, cifradas en Azure; esas sí se pueden borrar, y Azure conserva una copia recuperable durante 30 días antes de eliminarlas.
• Todas las conexiones van cifradas (HTTPS).
• El acceso exige iniciar sesión y cada usuario tiene un rol. Cada profesional solo ve sus pacientes, cada paciente solo ve lo suyo y cada tutor solo ve lo que le corresponde del menor a su cargo.
• Hacemos una copia de seguridad diaria de la base de datos y guardamos las de los últimos 14 días.
• Revisamos estas medidas cuando cambian los riesgos o la aplicación.

Subencargados

Autorizas de forma general a Growthie a usar estos proveedores, que tratan datos por su cuenta:

• OVHcloud: aloja la aplicación y su base de datos en España (Madrid), y recibe el correo de growthie.app.
• Microsoft (Azure): guarda en España (región Spain Central) los documentos que firman tus pacientes, las plantillas que subes y las fotos de progreso.
• Auth0 (Okta): el inicio de sesión. Trata el correo y los datos de acceso de cada usuario en su región de la Unión Europea.
• Mailjet: envía los correos de la aplicación. Trata la dirección del destinatario y lo que dice el mensaje, como el nombre, el día y la hora de la cita, y los guarda en la Unión Europea.
• Google (Gmail): el buzón de contacto, solo si tú o tus pacientes nos escribís.

Cada subencargado firma con Growthie obligaciones de protección de datos iguales a las de este contrato. Growthie responde ante ti de lo que hagan.

Si añadimos o cambiamos un subencargado, te avisaremos con al menos 30 días. Si no estás de acuerdo, puedes oponerte. Si no encontramos una solución, puedes darte de baja antes de que el cambio se aplique.

Transferencias fuera de la Unión Europea

Los datos de tus pacientes se guardan en la Unión Europea: la base de datos en OVHcloud y los documentos y las fotos en Microsoft Azure, en España, y los correos de la aplicación en Mailjet. Solo salen de ella para el soporte técnico: Okta, Microsoft y Google, empresas de Estados Unidos, pueden acceder a los datos desde fuera de la Unión Europea para dar soporte. Están adheridas al Marco de Privacidad de Datos UE-EE. UU. y sus contratos incluyen además las cláusulas contractuales tipo.

Si esto cambia, te avisaremos como con los subencargados.

Al terminar

Cuando dejes Growthie, tienes 30 días para pedirnos una copia de los datos de tus pacientes en un formato de uso común. La copia incluye los documentos firmados, que la ley te obliga a conservar. Pasado ese plazo, o antes si nos lo pides, los borramos. Las copias de seguridad se borran solas en 14 días.

Solo guardaremos lo que una ley nos obligue a conservar, bloqueado y durante el plazo que marque.

Responsabilidad

Cada parte responde de sus incumplimientos según el artículo 82 del RGPD y los términos del servicio.