Última actualización: 24 de agosto de 2026
Cláusulas contractuales tipo (módulo 2)
Las presentes cláusulas forman parte del Contrato de Encargo de Tratamiento. El clausulado oficial no se modifica: se incorpora por referencia el texto de la Decisión de ejecución (UE) 2021/914 de la Comisión, módulo 2 (responsable a encargado). Este documento completa únicamente los anexos.
1. Incorporación del módulo 2
Quedan incorporadas al contrato entre el profesional (exportador, responsable del tratamiento, establecido en la UE) y Penndulo LLC (importador, encargado del tratamiento, establecido en Estados Unidos (Delaware)) las cláusulas contractuales tipo del módulo 2 de la Decisión de ejecución (UE) 2021/914.
- Cláusula 17 (ley aplicable): derecho de un Estado miembro de la UE — España.
- Cláusula 18 (foro): tribunales de España; las partes se someten a los juzgados y tribunales de Madrid.
En caso de contradicción entre el CET y estas CCT en materia de transferencias internacionales, prevalecen las CCT. La evaluación de impacto de la transferencia está en /legal/tia.
Anexo I.A — Lista de partes
Exportador (responsable)
El profesional o entidad que acepta los Términos de Penndulo, establecido en la Unión Europea, que determina los fines y medios del tratamiento de los datos de sus pacientes o clientes. Actividades pertinentes: uso de la plataforma SaaS de gestión clínica y facturación.
Importador (encargado)
| Nombre | Penndulo LLC |
| Dirección | 2093 Philadelphia Pike #7581, Claymont, DE 19703, Estados Unidos |
| Establecimiento | Estados Unidos (Delaware) |
| Contacto | privacidad@penndulo.com |
| Actividades pertinentes | Prestación del SaaS Penndulo como encargado: almacenamiento, organización, consulta y gestión de datos del Responsable, incluido dato de salud. |
Anexo I.B — Descripción de la transferencia
| Interesados | Pacientes o clientes del profesional; menores y tutores o representantes legales; profesionales y miembros del workspace. |
| Categorías de datos | Identidad y contacto; datos de salud y documentación clínica; citas; facturación; consentimientos informados; comunicaciones del portal; datos técnicos de acceso. |
| Datos sensibles (art. 9) | Sí: datos de salud cuando el profesional los introduce o genera en la plataforma. |
| Frecuencia | Continua, mientras dure la suscripción y el encargo. |
| Naturaleza y finalidad | Prestación del servicio SaaS de gestión de consulta, portal de cliente, facturación y funciones que el Responsable active. |
| Plazo de conservación | El previsto en el CET (durante el servicio y destino de los datos al finalizar). |
| Destinatarios | Subencargados del Anexo III / CET §5, según funciones activadas. |
Anexo I.C — Autoridad de control competente
Agencia Española de Protección de Datos (AEPD), www.aepd.es.
Anexo II — Medidas técnicas y organizativas
Medidas aplicadas por el importador (sin afirmar rotación de claves ni pentests si no están documentados en el producto):
- Cifrado en tránsito mediante TLS 1.3.
- Cifrado de campo AES-256-GCM para PII de pacientes, historia clínica, notas privadas, perfiles de facturación, reservas y mensajes del portal (`clientMessages`).
- Búsqueda de pacientes mediante tokens HMAC, no texto en claro.
- Aislamiento multi-tenant por workspace y control de acceso basado en roles.
- Base de datos y backend de producción en Convex, región Frankfurt (Unión Europea). Archivos de pacientes en Hetzner (UE, eu-central), servidos por proxy sin exponer la URL de almacenamiento al navegador.
- Portal de cliente con OTP; tokens de sesión almacenados como hash HMAC.
- Registro de accesos a entradas de historia clínica.
- Claves de cifrado en secretos de entorno; acceso del personal según necesidad.
El cifrado de campo está bajo control del importador: un requerimiento dirigido a Penndulo LLC podría alcanzar también las claves. Ese límite se evalúa en la TIA.
Anexo III — Subencargados
Lista idéntica a la del CET. Los subencargados opcionales solo intervienen si el Responsable activa la función.
| Proveedor | Finalidad | País de la entidad | Dónde se alojan los datos | Activación |
|---|---|---|---|---|
| Convex | Base de datos, autenticación y backend de la aplicación. Operador establecido en Estados Unidos. | Estados Unidos | Unión Europea (Convex, Frankfurt). | Obligatorio para prestar el servicio |
| Hetzner | Almacenamiento de documentos y archivos de pacientes. | Alemania | Unión Europea (Object Storage, región eu-central). | Obligatorio para prestar el servicio |
| Stripe | Pagos de la suscripción del profesional. Penndulo Pay (cobro a pacientes) solo cuando el Responsable lo active. | Estados Unidos / Irlanda | Infraestructura de Stripe (Data Privacy Framework y/o CCT, según el servicio). | Obligatorio para prestar el servicio |
| Resend | Correo transaccional: OTP del portal, recordatorios, consentimientos y avisos operativos (puede incluir datos de pacientes). | Estados Unidos | Infraestructura de Resend (CCT o DPF, según el encargo vigente). | Obligatorio para prestar el servicio |
| OAuth de la cuenta del profesional e integración de Google Calendar / Google Meet. | Estados Unidos | Infraestructura de Google (DPF y CCT del Cloud Data Processing Addendum). Se recomienda Google Workspace, no cuentas de consumidor. | Solo si el Responsable activa la función | |
| Firma.dev | Firma electrónica de consentimientos informados. | Según el DPA del proveedor | Según el DPA y la región contratada con Firma.dev. | Solo si el Responsable activa la función |
| Verifacti / AEAT | Comunicación de registros de facturación y cumplimiento Verifactu. | España | España (UE). La AEAT actúa por obligación legal del profesional. | Solo si el Responsable activa la función |
| Meta (WhatsApp Cloud API) | Recordatorios de cita por WhatsApp (teléfono, identificador, fecha y hora). | Irlanda / Estados Unidos | Infraestructura de Meta (DPA Business y CCT/DPF). | Solo si el Responsable activa la función |
| PostHog | Analítica de producto y eventos operativos (identificadores de usuario/workspace; sin reenviar ficha clínica). | Estados Unidos / UE, según instancia | La región efectiva es la configurada en POSTHOG_HOST en producción (nube UE o EE.UU.). | Obligatorio para prestar el servicio |
| Novu (self-hosted) | Orquestación de notificaciones en infraestructura gestionada por Penndulo. | N/A (operado por Penndulo) | Infraestructura gestionada por Penndulo. | Obligatorio para prestar el servicio |
| Sentry (self-hosted) | Detección de errores y seguridad operativa. | N/A (operado por Penndulo, si la instancia es propia) | Infraestructura gestionada por Penndulo cuando el DSN apunta a instancia propia. Si se usara Sentry Cloud, sería subencargado en tercer país. | Obligatorio para prestar el servicio |
| Chatwoot (self-hosted) | Soporte al usuario cuando el widget está habilitado. | N/A (operado por Penndulo) | Infraestructura gestionada por Penndulo. | Solo si el Responsable activa la función |
| Vercel (u otro host del front) | Alojamiento de la aplicación web y del portal (IP, cookies de sesión, peticiones HTTPS). | Estados Unidos | Edge y región del proyecto contratado. | Obligatorio para prestar el servicio |
| Nylas | Sincronización de calendario legado para conexiones no migradas a Google directo. | Estados Unidos | Infraestructura de Nylas (CCT/DPF). | Solo si el Responsable activa la función |