Evaluación de impacto de la transferencia (TIA)

Exportador: profesional o entidad responsable del tratamiento, establecido en la UE. Importador: Penndulo LLC, encargado establecido en Estados Unidos (Delaware).

Datos: ficha y contacto de pacientes, datos de salud e historia clínica, citas, facturación, consentimientos, portal de cliente y datos de los profesionales. Frecuencia: continua. Alojamiento de producción en la Unión Europea: Convex (Frankfurt) para base de datos y backend, y Hetzner (eu-central) para archivos de pacientes. El importador, como operador del servicio, puede acceder a esos datos para prestar el SaaS. Esa puesta a disposición es una transferencia del capítulo V del RGPD aunque el disco esté en Frankfurt.

Módulo 2 de las cláusulas contractuales tipo de la Decisión (UE) 2021/914, con anexos en /legal/cct. No existe decisión de adecuación general para Estados Unidos aplicable a Penndulo LLC. Algunos subencargados pueden estar certificados en el Data Privacy Framework; eso no cubre por sí solo al importador.

El importador está sujeto al derecho estadounidense. En particular, el CLOUD Act permite a autoridades de EE.UU. exigir a una empresa estadounidense datos bajo su control aunque estén almacenados en la UE. Otros regímenes (FISA 702, orden ejecutiva 12333) pueden ser relevantes para proveedores de comunicaciones o de nube estadounidenses.

No hay notificación previa garantizada al exportador en todos los supuestos. Las CCT (cláusula 15) obligan al importador a impugnar requerimientos ilegales y a informar al exportador cuando sea legalmente posible.

Penndulo no vende datos de pacientes ni los usa para publicidad. El tratamiento se limita a la prestación del SaaS bajo instrucciones del profesional. El cifrado de campo (AES-256-GCM) protege el contenido en reposo frente a accesos no autorizados a la base de datos, pero las claves están bajo control del importador: un requerimiento dirigido a la LLC podría incluir también esas claves. Ese límite se declara de forma expresa.

La base de datos y el backend de producción se alojan en Convex, región Frankfurt (Unión Europea). Esta TIA no afirma que todo el soporte o el personal del importador o de Convex esté exclusivamente en la UE. El establecimiento del importador en Estados Unidos y el CLOUD Act siguen siendo relevantes aunque los datos residan en Frankfurt.

• Alojamiento de producción en la UE: Convex (Frankfurt) y archivos de pacientes en Hetzner (eu-central).
• Cifrado AES-256-GCM de PII clínica y mensajes del portal; TLS 1.3 en tránsito.
• HMAC para búsqueda; aislamiento por workspace; RBAC.
• Proxy de ficheros; OTP y sesiones hasheadas en el portal.
• Auditoría de accesos a historia clínica.
• Lista de subencargados con funciones opcionales bajo instrucción del responsable.

El detalle operativo está en el Anexo II de las CCT.

Con las CCT módulo 2, el CET y las medidas complementarias, la transferencia al encargado se considera permitida para la prestación del servicio. El riesgo residual asociado al CLOUD Act no es cero, en particular respecto de datos de salud. El profesional debe tenerlo en cuenta al informar a sus pacientes (arts. 13 y 14 RGPD).

Esta TIA se revisará al menos una vez al año, o antes si cambia el derecho estadounidense relevante, la región de alojamiento, un subencargado crítico o el establecimiento del importador.

Si el importador recibe un requerimiento de una autoridad de un tercer país que sea incompatible con las CCT o con el RGPD, informará al profesional responsable sin demora indebida cuando sea legalmente posible, impugnará el requerimiento si procede y documentará el incidente a efectos del art. 28 del RGPD.