Acuerdo de Encargado del Tratamiento (DPA)

0. Partes

• Responsable del tratamiento («el Psicólogo»): persona física o jurídica registrada en el servicio Little Helper como psicólogo/psicoterapeuta en ejercicio, que determina los fines y medios del tratamiento de los datos personales de sus clientes.
• Encargado del tratamiento («Little Helper»): Yury Bastrikov, actuando como autónomo, con NIE Y8723537L, con domicilio en España — forma jurídica definitiva de Little Helper; no está prevista la constitución de una sociedad mercantil separada (la cláusula de subrogación siguiente se mantiene como mecanismo de respaldo por si esta decisión cambiara).

El contrato se acepta por el psicólogo al activar por primera vez la función de análisis por IA o al registrarse en el servicio (el mecanismo técnico de aceptación se detalla en la sección 6 bis).

Cláusula de subrogación. El presente Contrato se celebra inicialmente por Yury Bastrikov, con NIE Y8723537L, en calidad de profesional autónomo y promotor del proyecto Little Helper. El Responsable del Tratamiento otorga desde este momento su consentimiento expreso e irrevocable para que, en el momento de la constitución de la sociedad mercantil que asumirá la explotación del servicio Little Helper, dicha entidad se subrogue de pleno derecho en la posición contractual del Encargado del Tratamiento, quedando el promotor liberado de las obligaciones contractuales a partir de la fecha de notificación de la subrogación. Little Helper notificará al psicólogo dicha subrogación y actualizará los datos identificativos de esta sección.

1. Objeto y ámbito de aplicación

El presente contrato regula el tratamiento de datos personales de los clientes del psicólogo que Little Helper realiza por encargo del psicólogo en el marco de la prestación del servicio — en particular (sin carácter exhaustivo): almacenamiento de datos de clientes y citas, integración con calendarios y videollamada (Zoom), función opcional de análisis por IA de la sesión terapéutica, entrega de los archivos resultantes al almacenamiento en la nube elegido por el psicólogo.

El contrato no cubre el tratamiento por Little Helper de los datos de la propia cuenta del psicólogo (correo electrónico, identificadores técnicos) — en esa parte Little Helper actúa como responsable independiente (véase 07-dpia-final-es.md, sección 0).

2. Duración

El contrato permanece vigente durante todo el periodo de uso del servicio por el psicólogo y se extingue automáticamente al eliminar la cuenta, sin necesidad de resolución expresa, sin perjuicio de la sección 14 (destino de los datos tras la finalización).

3. Naturaleza y finalidad del tratamiento

El tratamiento tiene carácter técnico y auxiliar: almacenamiento, estructuración, transmisión y (para la función de análisis por IA) tratamiento automatizado del texto de la transcripción de la sesión para generar material de apoyo a la reflexión profesional. Little Helper no determina los fines del tratamiento de los datos de los clientes — el fin y la base jurídica los determina el psicólogo como responsable.

Relación completa de funciones de tratamiento que afectan a datos personales de clientes: ficha del cliente, agenda y citas, notas del psicólogo, integración de videollamada (Zoom), análisis opcional por IA de la sesión (07-dpia-final-es.md — evaluación de riesgo de referencia específica para esta función), entrega de archivos al almacenamiento en la nube del psicólogo.

4. Categorías de datos e interesados

Interesados: clientes del psicólogo registrados en el servicio (adultos y, si el psicólogo trabaja con menores, también menores — esto exige al psicólogo una verificación adicional de la base jurídica conforme al derecho español, fuera del alcance de este contrato).

Categorías de datos: - Datos identificativos del cliente (nombre o seudónimo — véase más abajo; datos de contacto, si el psicólogo los introduce). - Datos de citas (fechas, estado). - Notas del psicólogo sobre el cliente (texto libre, introducido por el psicólogo). - Para la función de análisis por IA — transcripción del contenido de la sesión terapéutica y el texto estructurado derivado de ella; categoría especial de datos conforme al art. 9.1 RGPD (datos relativos a la salud, incluida la salud mental).

Little Helper no verifica ni puede verificar técnicamente si el psicólogo introduce en las notas o en la transcripción datos que permitan la identificación directa del cliente — esto sigue siendo responsabilidad del psicólogo como responsable (minimización de datos, art. 5.1.c RGPD). La función de análisis por IA utiliza un seudónimo del cliente (client_pseudonym) en la solicitud al modelo, lo que reduce pero no elimina este riesgo si el propio texto de la transcripción nombra al cliente durante la conversación.

5. Obligaciones de Little Helper como encargado (art. 28.3 RGPD)

Little Helper se compromete a:

(a) Tratar los datos únicamente siguiendo instrucciones documentadas del psicólogo, inclusive en lo relativo a las transferencias internacionales de datos, salvo que esté obligado a ello por el Derecho de la Unión o de un Estado miembro que se aplique a Little Helper; en tal caso, Little Helper informará al psicólogo de esa exigencia antes del tratamiento, salvo que ese Derecho lo prohíba por razones importantes de interés público. La propia funcionalidad del servicio (qué se trata, con qué fines, mediante qué integraciones) constituye en sí misma el alcance de la instrucción — la activación por el psicólogo de una función concreta (por ejemplo, iniciar el análisis por IA de una sesión determinada) constituye una instrucción para ese tratamiento puntual dentro de dicho alcance.

(b) Garantizar la confidencialidad — las personas autorizadas para tratar los datos (en la práctica, en la escala actual del servicio, la persona indicada en la sección 0) se comprometen a la confidencialidad mediante contrato o quedan sujetas a una obligación legal de confidencialidad.

(c) Aplicar las medidas de seguridad del art. 32 RGPD — véase la sección 8 de este contrato.

(d) Respetar las condiciones para la subcontratación (art. 28.2 y 28.4 RGPD) — véase la sección 9. El psicólogo otorga por el presente una autorización general para recurrir a los subencargados enumerados en la sección 9, siempre que Little Helper informe al psicólogo de cualquier cambio en dicha lista (incorporación o sustitución de un subencargado), dando al psicólogo la posibilidad de oponerse en un plazo razonable (14 días naturales desde la notificación) antes de que el cambio surta efecto. Little Helper sigue siendo plenamente responsable ante el psicólogo del cumplimiento de las obligaciones por parte del subencargado en la misma medida que si el propio Little Helper realizara el tratamiento.

(e) Asistir al psicólogo, mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para el cumplimiento de su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición — capítulo III RGPD). En la práctica: la funcionalidad del servicio permite al psicólogo consultar, rectificar y eliminar por sí mismo los datos del cliente; si una solicitud llega directamente a Little Helper desde un cliente del psicólogo, Little Helper la reenvía al psicólogo y no la responde en cuanto al fondo por sí mismo, al no ser responsable de esos datos.

(f) Asistir al psicólogo en garantizar el cumplimiento de las obligaciones de los art. 32 a 36 RGPD (seguridad del tratamiento, notificación de violaciones de seguridad de los datos personales, evaluación de impacto relativa a la protección de datos, consulta previa a la autoridad de control), teniendo en cuenta la naturaleza del tratamiento y la información de que dispone Little Helper — en particular, facilitando al psicólogo la EIPD de referencia (06-dpia-final-ru.md / 07-dpia-final-es.md) para la función de análisis por IA e información necesaria para la notificación de violaciones de seguridad (sección 12).

(g) A elección del psicólogo — suprimir o devolver todos los datos personales de los clientes al finalizar la prestación del servicio (cierre de la cuenta del psicólogo) y suprimir las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación — véase la sección 14.

(h) Poner a disposición del psicólogo la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD, y permitir y contribuir a la realización de auditorías (incluidas inspecciones) realizadas por el psicólogo o por un auditor autorizado por él — véase la sección 13.

6. Instrucciones documentadas

Se considera instrucción del psicólogo: (1) la configuración y el uso de las funciones del servicio por el propio psicólogo (activación de integraciones, inicio del análisis por IA, elección del almacenamiento en la nube para los archivos resultantes); (2) instrucciones expresas por escrito remitidas por el psicólogo a través de los canales de soporte previstos por el servicio. Little Helper debe informar al psicólogo si, a su juicio, una instrucción infringe el RGPD u otra normativa de protección de datos aplicable, y puede suspender su ejecución hasta recibir confirmación del psicólogo o una instrucción modificada.

6 bis. Mecanismo de aceptación del contrato

Conforme al art. 28.9 RGPD, este contrato debe formalizarse por escrito, incluido en formato electrónico — un simple checkbox genérico dentro de las Terms of Service generales (click-wrap sin separación de consentimientos) no es suficiente. El mecanismo previsto se compone de tres obligaciones separadas:

1. Aceptación mediante acción afirmativa independiente. Casilla independiente (clickwrap independiente, no premarcada), presentada al psicólogo la primera vez que activa una función de tratamiento de datos de clientes cubierta por este contrato (en particular, el análisis de sesión por IA), separada de la aceptación de las Terms of Service generales. Texto de la casilla: «He leído y acepto el Acuerdo de Encargado de Tratamiento (DPA) para el procesamiento de datos de mis pacientes conforme al art. 28 RGPD». 2. Registro de metadatos técnicos. La plataforma registra el consentimiento en la tabla consent_events (mismo mecanismo ya usado para los consentimientos de los clientes): como mínimo user_id, timestamp, ip_address y dpa_version (por ejemplo, v1.0) — evidencia necesaria frente a la AEPD en caso de inspección al psicólogo. 3. Reaceptación al cambiar de versión. Si el contenido de este contrato cambia de forma sustancial (por ejemplo, al pasar de la versión v1.1 a una v2.0 por incorporación de nuevos subencargados), la interfaz solicitará al psicólogo la aceptación de la nueva versión antes de permitirle seguir usando las funciones cubiertas por este contrato; el registro de consent_events conserva el historial de todas las versiones aceptadas.

No implementado técnicamente en la fecha de este documento — requiere una tarea de desarrollo aparte antes de poder publicar y ofrecer este contrato a los psicólogos (véase TASKS.md).

7. Confidencialidad

Todas las personas que tengan acceso a los datos personales de los clientes del psicólogo en el marco de la actividad de Little Helper están obligadas a guardar confidencialidad respecto de dichos datos de forma permanente, incluso tras el cese de la actividad correspondiente.

8. Medidas de seguridad (art. 32 RGPD)

Teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, Little Helper aplica:

• Cifrado en reposo de los datos de clientes y citas; para las transcripciones y el texto del análisis por IA — AES-256-GCM (implementado, 07-dpia-final-es.md, sección 7.1).
• Cifrado de los tokens OAuth de las integraciones (Google, Microsoft, Zoom) con el mismo mecanismo.
• Limitación del plazo de conservación del texto cifrado del análisis por IA — supresión automática inmediatamente después de la entrega confirmada del archivo final a la nube del psicólogo (implementado en el código, desplegado en producción el 2026-08-24 — session-analysis-confirmation.ts, zoom-webhook/index.ts, session-analysis-archive/index.ts).
• Restricción de permisos sobre el PDF final del análisis (sin contraseña de apertura, pero sin permiso de edición, copia, anotación ni reensamblaje del documento, a nivel de permisos PDF).
• Seudonimización del nombre del cliente en la solicitud al modelo de análisis por IA.
• Alojamiento de la infraestructura en proveedores (Supabase, Vercel) con certificaciones de seguridad propias — región y base de transferencia verificadas directamente el 2026-08-24, véase sección 9 y sección 10.
• Procedimiento de notificación de violaciones de seguridad de los datos — sección 12.

El psicólogo es responsable por sí mismo de las medidas de seguridad fuera del control de Little Helper — en particular, de la protección de sus propias credenciales de acceso (contraseña y, cuando esté disponible, autenticación de doble factor) y del contenido del almacenamiento en la nube al que se entregan los archivos finales del análisis tras su descarga.

9. Subencargados

El psicólogo otorga autorización general para recurrir a los subencargados enumerados a continuación (vigente en la fecha del documento; fuente: 01-product-and-data-overview.md):

| Subencargado | Función | Categoría de datos tratados | Región | |---|---|---|---| | Supabase | Alojamiento de la base de datos, autenticación | Todos los datos de la cuenta y de los clientes | UE — Irlanda (`eu-west-1`), verificado directamente el 2026-08-24 en ambos proyectos (staging y producción) vía supabase projects list. Supabase Pte. Ltd. es una entidad de Singapur; su DPA aplica SCC (Módulo 2) para cualquier acceso fuera de la región elegida por el cliente — no aplicable a los datos en reposo, que permanecen en la UE. | | Vercel | Alojamiento de la aplicación web y de las funciones Edge | Datos en el marco del procesamiento de solicitudes | EE. UU. — Washington D.C. (`iad1`), verificado directamente el 2026-08-24 (región por defecto del plan actual; no está configurada una región UE en vercel.json). Base de transferencia: Vercel Inc. es participante activo del EU-U.S. Data Privacy Framework (verificado directamente en dataprivacyframework.gov el 2026-08-24, incluye «Non-HR Data»), y su DPA incorpora adicionalmente SCC (Decisión 2021/914, Módulos 1/2/3) como base subsidiaria. Véase sección 10. | | Zoom | Videollamada; origen de la transcripción VTT para el análisis por IA | Token OAuth, identificadores de reunión, transcripción (si se activa el análisis) | Infraestructura global de Zoom | | Anthropic (Claude API) | Tratamiento de la transcripción mediante modelo de IA para la función de análisis | Texto de la transcripción de la sesión (categoría especial de datos) | EE. UU. — sobre la base de las SCC (Anthropic no es participante DPF, verificado el 2026-08-23), véase la sección 10 | | Google (Calendar, Drive) | Integración de calendario; almacenamiento en la nube a elección del psicólogo | Tokens OAuth, eventos de calendario; si se elige Drive, archivos finales del análisis | Infraestructura global de Google | | Microsoft (Outlook/365, OneDrive) | Análogo a Google | Análogo a Google | Infraestructura global de Microsoft | | Dropbox / Yandex.Disk | Almacenamiento en la nube a elección del psicólogo (alternativa a Google/Microsoft) — opcional, bajo responsabilidad explícita del Responsable | Archivos finales del análisis (solo si el psicólogo los elige) | Dropbox — infraestructura global; Yandex.Disk — Federación Rusa, sin decisión de adecuación de la Comisión Europea (véase nota) |

Nota sobre el almacenamiento en la nube. Zoom y Google/Microsoft/Dropbox/Yandex.Disk se conectan por el propio psicólogo como destinatarios del archivo final (Zoom, como origen de la grabación; el resto, según la elección del psicólogo de a dónde enviar el resultado) — en esta parte, el psicólogo efectivamente elige por sí mismo al subencargado dentro de la lista ofrecida por Little Helper. Si el psicólogo elige Yandex.Disk, la transferencia internacional se produce fuera del EEE hacia una jurisdicción sin decisión de adecuación de la Comisión Europea — el psicólogo, como Responsable del Tratamiento, asume dicha transferencia bajo las Cláusulas Tipo (SCC) o las excepciones del art. 49 RGPD. La interfaz debe mostrar, al elegir esta opción, una advertencia expresa (texto acordado con el abogado): «Atención: El uso de Yandex.Disk implica la transferencia internacional de datos fuera del EEE a un país sin decisión de adecuación de la UE. Al activar esta opción, usted como Responsable del Tratamiento asume la responsabilidad de dicha transferencia bajo las Cláusulas Tipo (SCC) o excepciones del art. 49 RGPD.» — no implementada técnicamente en la fecha de este documento, registrada como tarea de desarrollo en TASKS.md.

Little Helper notifica al psicólogo la incorporación o sustitución prevista de un subencargado con al menos 14 días naturales de antelación a su entrada en vigor (sección 5.d). La lista actualizada se mantiene en 01-product-and-data-overview.md y debe estar disponible para el psicólogo previa solicitud.

10. Transferencias internacionales de datos

Anthropic (EE. UU.) — contenido de la sesión. La transferencia de la transcripción a Anthropic para la función de análisis por IA se basa en las Cláusulas Contractuales Tipo (Decisión de Ejecución (UE) 2021/914 de la Comisión, Módulo 2/3), incorporadas al Data Processing Addendum comercial de Anthropic; verificado directamente el 2026-08-23 (análisis completo en 07-dpia-final-es.md, secciones 3.4 y 7.1). Anthropic PBC no es participante del EU-U.S. Data Privacy Framework (verificado directamente en el registro oficial, sin resultados), por lo que las SCC son la única base aplicable.

Vercel (EE. UU.) — alojamiento de la aplicación. La infraestructura de ejecución (funciones Lambda que procesan las solicitudes de la aplicación, incluidos datos de clientes y citas en tránsito) se ejecuta por defecto en la región iad1 (Washington D.C., EE. UU.) — verificado directamente el 2026-08-24 vía la API de Vercel; no hay una región UE configurada en el proyecto. La base jurídica de esta transferencia es doble y verificada directamente el 2026-08-24: (1) Vercel Inc. es participante activo del EU-U.S. Data Privacy Framework, incluyendo la categoría «Non-HR Data» (verificado en dataprivacyframework.gov); y (2), de forma subsidiaria y para transferencias desde el Reino Unido, su Data Processing Addendum incorpora las SCC (Decisión 2021/914, Módulos 1/2/3) más el UK IDTA. A diferencia de Anthropic, para Vercel no hace falta recurrir únicamente a las SCC — el DPF cubre la transferencia de forma directa. Esta es la corrección factual al supuesto inicial de que los subencargados principales se ubicarían «en la Unión Europea»: eso es cierto para Supabase (sección 9), pero no para Vercel por defecto: la mitigación aquí no es la localización, sino la base jurídica ya vigente en el contrato de Vercel.

Supabase — sin transferencia de contenido. Los datos de clientes y citas se almacenan en la región eu-west-1 (Irlanda), dentro del EEE (sección 9) — no constituye una transferencia internacional en el sentido del capítulo V RGPD. El propio DPA de Supabase Pte. Ltd. (entidad de Singapur) prevé SCC (Módulo 2) únicamente como base para un eventual acceso soporte/administrativo fuera de la región elegida, no para el almacenamiento en sí.

Little Helper se compromete a notificar al psicólogo si cambia la base de cualquiera de las transferencias anteriores (por ejemplo, si se revoca la decisión de adecuación de la Comisión Europea, o si Vercel pierde su certificación DPF) y a adoptar medidas para restablecer una base lícita de transferencia o interrumpirla.

Pueden producirse transferencias internacionales adicionales únicamente por elección del propio psicólogo al conectar un almacenamiento en la nube fuera del EEE (véase la nota de la sección 9) — en esa parte, la responsabilidad de evaluar la base de la transferencia recae en el psicólogo como responsable que decide a dónde enviar el archivo final.

11. Notificación de violaciones de seguridad de los datos (art. 33 RGPD)

Little Helper notifica al psicólogo sin dilación indebida después de tener conocimiento de una violación de la seguridad de los datos personales de los clientes del psicólogo, y en todo caso en un plazo que permita al psicólogo cumplir su propia obligación de notificación a la autoridad de control en el plazo de 72 horas (art. 33.1 RGPD). La notificación incluye, como mínimo: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros de datos afectados, las consecuencias probables, y las medidas adoptadas o propuestas para poner remedio a la violación y mitigar sus posibles efectos negativos. Si no se dispone de toda la información de inmediato, se facilita de manera gradual sin más dilación indebida.

12. Asistencia en materia de EIPD y consultas a la autoridad de control

Little Helper facilita al psicólogo una evaluación de impacto relativa a la protección de datos de referencia para la función de análisis por IA de la sesión (06-dpia-final-ru.md / 07-dpia-final-es.md) como apoyo para el cumplimiento de su propia obligación conforme al art. 35 RGPD (véase su sección 0 — el documento no sustituye la evaluación propia del psicólogo si su práctica difiere sustancialmente del caso típico). A solicitud motivada del psicólogo, Little Helper facilita información técnica adicional necesaria para la evaluación del riesgo o para una consulta previa a la AEPD, en la medida de la información de que realmente disponga.

13. Auditoría y verificación del cumplimiento

El derecho de auditoría del psicólogo (art. 28.3.h RGPD) se ejerce en dos fases:

Primera fase — autoevaluación. Previa solicitud escrita, Little Helper facilita al psicólogo, en un plazo razonable, un cuestionario/informe de cumplimiento cumplimentado y la documentación acreditativa de las medidas de la sección 8 (incluidos este contrato, 06/07 y certificados de los subencargados principales cuando existan). Dada la escala de Little Helper como entidad de muy reducido tamaño, esta fase constituye el mecanismo ordinario de verificación y no requiere justificación adicional por parte del psicólogo.

Segunda fase — auditoría presencial. Si la información de la primera fase resulta insuficiente para que el psicólogo verifique el cumplimiento, este tiene derecho a realizar una auditoría, incluida una inspección, por sí mismo o por un auditor independiente de su elección sujeto a confidencialidad. Esta auditoría se realiza: a costa del psicólogo que la solicita; con un preaviso de al menos 30 días hábiles; sin más de una auditoría presencial por año natural, salvo investigación de un incidente concreto; y sin acceso a información, sistemas o datos de otros clientes de Little Helper ni a información que comprometa su confidencialidad frente a terceros. Little Helper permite y contribuye razonablemente a esta auditoría conforme al art. 28.3.h RGPD.

Las auditorías presenciales o inspecciones no podrán realizarse más de una vez cada 12 meses, salvo indicación expresa de la AEPD, y deberán llevarse a cabo sin interferir en la operativa normal del Encargado ni poner en riesgo la confidencialidad de los datos de otros clientes.

14. Destino de los datos tras la finalización del servicio

Al cerrarse la cuenta del psicólogo, Little Helper, a elección del psicólogo, o bien suprime todos los datos personales de sus clientes (incluidas las copias de seguridad, en un plazo razonable y técnicamente justificado), o bien los devuelve al psicólogo en un formato estructurado antes de suprimirlos — salvo aquellos datos cuya conservación exija expresamente el Derecho de la Unión o de un Estado miembro aplicable a Little Helper (por ejemplo, datos necesarios para cumplir obligaciones fiscales o contables, si procede). En defecto de elección expresa del psicólogo en un plazo razonable tras el cierre de la cuenta, se aplica la supresión.

Esta disposición no sustituye la política ya implementada en el código de supresión inmediata del texto cifrado del análisis por IA tras la entrega confirmada del archivo final (sección 8) — esa medida opera de forma independiente y anterior, durante el funcionamiento normal del servicio, no solo al finalizar el contrato.

15. Responsabilidad

Frente a los interesados (clientes del psicólogo) y frente a la AEPD, tanto el psicólogo como Little Helper responden en los términos del art. 82 RGPD, incluida la responsabilidad solidaria prevista en sus apartados 2 y 4 — este contrato no limita ni puede limitar dicha responsabilidad externa frente a terceros, conforme al Derecho aplicable.

Límite de responsabilidad entre las partes (inter partes). En las relaciones internas entre el psicólogo y Little Helper (por ejemplo, una acción de repetición tras una sanción o indemnización pagada por el psicólogo derivada de un incumplimiento imputable a Little Helper), la responsabilidad de Little Helper frente al psicólogo se limita a la mayor de las siguientes cantidades: (a) el importe total abonado por el psicólogo a Little Helper por el servicio en los 12 meses anteriores al hecho que origina la responsabilidad, o (b) 3.000 €. [Cifra propuesta para confirmación del abogado — rango orientativo del abogado: 1.000– 5.000 €.] Este límite no se aplica en caso de dolo o negligencia grave por parte de Little Helper, ni a la responsabilidad externa descrita en el párrafo anterior. Esta limitación opera exclusivamente inter partes (entre el Responsable y el Encargado) y no afectará a los derechos de los interesados ni a las sanciones administrativas que pudieran ser impuestas por las autoridades de control conforme al RGPD.

Nota. Mientras Little Helper actúe como persona física (sección 0), la ausencia de un límite de responsabilidad inter partes expondría el patrimonio personal del titular; esta cláusula es, por tanto, una protección directa para él, no solo una condición comercial estándar.

16. Ley aplicable y jurisdicción

Este contrato se rige por el Derecho español. Las controversias que deriven de él se someten a los tribunales competentes del domicilio de Little Helper, sin perjuicio de las normas imperativas de competencia establecidas en favor del consumidor u otra parte, cuando resulten aplicables.