MiDentis

Contrato de tratamiento de datos personales

Versión del contrato: 2026-10-12.1

entre el consultorio (administrador) y MiDentis (encargado del tratamiento)

Tres cosas que hay que saber antes de firmar

1. El Anexo B (medidas) separa lo verificado de lo pendiente. Lo verificado tiene señalado dónde se ve; lo pendiente está marcado y debe completarse o quitarse antes de firmar, no después.
2. Este documento cubre los datos de los pacientes del consultorio. Los datos de quienes escriben por el formulario del sitio van por otro camino: la política de privacidad publicada en midentis.com/privacidad.
3. Estado de los campos de identidad (§1 y Anexo A). El RUC de Ecoche E.A.S. Unipersonal ya está inscripto y activo: 80139651-4 (padrón DNIT, estado *Activo*, consultado el 12.10.2026; el dígito verificador cierra por el algoritmo del art. del RUC). El domicilio legal sigue sin dato: el padrón público de la DNIT no lo publica y no se inventa.

---

§ 1. Partes

Administrador (en la ley: *responsable del tratamiento*): [[ nombre del consultorio ]], [[ domicilio ]], RUC [[ … ]], representado por [[ nombre y apellido, función ]]. Persona designada para contactos: [[ nombre, correo, teléfono ]].

Encargado del tratamiento (en la ley: *encargado*): MiDentis, marca de Ecoche E.A.S. Unipersonal, [[ domicilio legal — en trámite ]], RUC 80139651-4 (padrón DNIT, estado *Activo* al 12.10.2026), representado por [[ nombre y apellido, función ]]. Persona designada para contactos: [[ nombre ]], el formulario de contacto del sitio.

⚠️ Quién es quién, y por qué no es un detalle. El consultorio decide para qué y cómo se tratan los datos de sus pacientes y responde ante ellos. MiDentis trata esos datos por su encargo y no adquiere ningún título propio sobre ellos. Encargarse del tratamiento sin un contrato previo es una infracción grave en la ley paraguaya (art. 45.12) — de ahí este documento, no una formalidad.

§ 2. Definiciones

Los términos con mayúscula inicial tienen el sentido del art. 4 de la Ley N° 7593/2025 — en particular *dato personal*, *dato personal sensible*, *tratamiento*, *responsable*, *encargado* y *subencargado*. «Ley» significa la Ley N° 7593/2025 de Protección de Datos Personales en la República del Paraguay. «Datos» son los datos personales de pacientes y de personas que contactan al Administrador, tratados en el Sistema.

§ 3. Objeto, tiempo, naturaleza y finalidad (art. 11)

1. El Administrador encarga al Encargado el tratamiento de los Datos en lo necesario para prestar el servicio de reservas de turnos online y panel del consultorio (el «Sistema»).
2. Tiempo: mientras dure el contrato de prestación y, después, solo por el período del § 13.
3. Naturaleza: recolección, registro, almacenamiento, organización, modificación, lectura, puesta a disposición en el panel y supresión.
4. Finalidad: que los pacientes reserven turno y que el Administrador lleve la agenda y la documentación de la atención.
5. Categorías de Datos y de personas: las del Anexo A, que es parte de este contrato.
6. Decisiones: las toma el Administrador. El Encargado ejecuta y no persigue finalidad propia.

§ 4. Obligaciones del Encargado

El Encargado cumple lo que exige el art. 11 de la Ley, en particular:

1. tratar los Datos únicamente por instrucción documentada del Administrador — también cuando se trate de transferirlos fuera del país, con lo dispuesto en el § 7;
2. que las personas autorizadas a tratar los Datos estén obligadas a guardar confidencialidad o sujetas a un deber legal de secreto (§ 8);
3. aplicar las medidas del Anexo B;
4. respetar las condiciones de contratación de subencargados (§ 6);
5. ayudar al Administrador — con medios técnicos y organizativos — a atender los pedidos de las personas en el ejercicio de sus derechos (§ 11);
6. ayudarlo a cumplir sus obligaciones ante violaciones de seguridad (§ 10);
7. al terminar el servicio, devolver o suprimir los Datos según la decisión del Administrador, y borrar las copias que existan, salvo que la ley obligue a conservarlos (§ 13);
8. poner a disposición del Administrador la información necesaria para demostrar el cumplimiento y permitir auditorías (§ 12).

⚠️ Instrucción contraria a la ley: si una instrucción del Administrador vulnerara la Ley, el Encargado se lo informa de inmediato y suspende su ejecución hasta que el Administrador la confirme por escrito.

§ 5. Datos de salud — la base por la que se tratan

1. Los Datos incluyen datos relativos a la salud: son *datos personales sensibles* según el art. 4 num. 7 de la Ley, y su tratamiento está prohibido salvo excepción (art. 20).
2. La base no es el consentimiento del paciente, sino el ejercicio de la profesión. Las partes se remiten al art. 20.8 — diagnóstico, asistencia o tratamiento sanitario — y al art. 5.7, cuando el tratamiento lo realiza un profesional de la salud o se hace bajo su responsabilidad. El Encargado trata los Datos por encargo de ese profesional y dentro de ese encargo, no fuera de él.
3. Por eso el Encargado no pide consentimiento al paciente por su cuenta y no lo usa para nada distinto de la prestación. Si en algún caso hiciera falta una base distinta, la pone el Administrador.
4. Secreto profesional: los datos de salud del paciente están además amparados por el Código Sanitario (Ley 836/1980) y por el Código Penal (Ley 1160/1997, art. 147, revelación de un secreto de carácter privado). El Encargado trata esos datos como secreto, no solo como dato.

§ 6. Subencargados

1. El Administrador presta conformidad con los subencargados del Anexo C.
2. El Encargado informa al Administrador de todo cambio (agregar o reemplazar) con 30 días de anticipación, para que pueda oponerse.
3. El Encargado impone al subencargado las mismas obligaciones que tiene él, en particular las de los § 5, 7 y 8.
4. El Encargado responde por los subencargados como por sus propios actos.

§ 7. Transferencia de Datos fuera del Paraguay (art. 19)

1. Las partes toman conocimiento de que los Datos se almacenan y procesan fuera del país (el Anexo C indica dónde), y que la transferencia se rige por el art. 19 de la Ley.
2. Al fecha de este contrato no hay lista pública de países considerados adecuados por la autoridad, porque la reglamentación de la Ley todavía no se había dictado. Por eso la transferencia se ampara en las garantías del art. 19 num. 8 —las obligaciones de este contrato, que el Encargado cumple y hace cumplir— sin renunciar a la excepción del art. 19.6 cuando la transferencia sea necesaria para la prestación asistencial encargada por el Administrador.
3. ⚠️ Cuando la autoridad publique la lista o la reglamentación, las partes revisan este § y ajustan la base si hace falta. La revisión se hace por escrito y no cambia el resto del contrato.
4. ⚠️ No se agrega un subencargado fuera del Anexo C sin cumplir el § 6.

§ 8. Confidencialidad

1. El Encargado garantiza que solo acceden a los Datos las personas autorizadas y en lo necesario para su tarea.
2. Esas personas están obligadas a guardar confidencialidad y el Encargado lleva el registro de quienes son; lo pone a disposición del Administrador cuando lo pida.
3. ⚠️ El registro incluye personas fuera del Paraguay. Es justamente el dato que decide cuánto hay que describir en el Anexo B.

§ 9. Seguridad

1. El Encargado aplica las medidas técnicas y organizativas del Anexo B.
2. ⚠️ Lo que dice el Anexo B obliga y debe corresponder a la realidad. Cambiarlo para reducir el nivel de protección requiere la conformidad del Administrador.
3. Los Datos son datos de salud; el Encargado les aplica las restricciones del § 5.

§ 10. Violaciones de seguridad (art. 17)

1. El Encargado avisa al Administrador dentro de las 72 horas de tomar conocimiento de una violación de seguridad que afecte los Datos.
2. El aviso contiene al menos: descripción, categorías y número aproximado de personas y registros, consecuencias posibles, medidas tomadas y propuestas, y persona de contacto.
3. El Encargado no informa por su cuenta a las personas ni a la autoridad, salvo orden del Administrador o deber legal propio.
4. El Encargado documenta todas las violaciones y lo que se hizo.

§ 11. Derechos de las personas (art. 26 a 33)

El Encargado ayuda al Administrador a atender los pedidos de acceso, rectificación, supresión, oposición, portabilidad y revisión de decisiones automatizadas. Los pedidos que lleguen directamente al Encargado se derivan al Administrador y no se contestan por cuenta propia, salvo instrucción escrita en contrario. Los plazos son los de la Ley: 30 días calendarios para la respuesta en general.

§ 12. Auditoría

1. El Administrador puede auditar al Encargado y a sus subencargados en lo necesario para demostrar el cumplimiento.
2. La auditoría se hace como máximo una vez cada 12 meses, con 30 días de aviso, en día hábil, y no puede afectar la prestación ni exponer datos de otros administradores.
3. El Encargado puede cumplir el requisito poniendo a disposición certificados, informes de auditoría o un cuestionario completo, cuando respondan al pedido.

§ 13. Fin del contrato — devolución o supresión

1. Al terminar, el Encargado devuelve o suprime los Datos según la decisión del Administrador, y borra las copias, dentro de 30 días.
2. ⚠️ La decisión es del Administrador y queda escrita acá: el Administrador elige ☐ devolución / ☐ supresión. No se supone la decisión por él. La documentación clínica se conserva por el plazo que corresponda según el Código Civil paraguayo (art. 659, prescripción decenal); borrarla podría chocar con un deber del Administrador.
3. Si la ley obliga a conservar, el Encargado guarda los Datos solo para eso, limita el acceso y no los trata para ningún otro fin.

§ 14. Responsabilidad

1. El Encargado responde ante el Administrador por el daño causado por un tratamiento incompatible con este contrato, con la Ley o con una instrucción del Administrador.
2. ⚠️ Ante las personas y ante la autoridad responde el Administrador; el encargo no le traslada esa responsabilidad. El Administrador tiene contra el Encargado acción de repetición en la medida en que el daño venga de un incumplimiento del Encargado.
3. La responsabilidad compartida frente a las personas se rige por la Ley y no se limita por este contrato.

§ 15. Duración y resolución

1. El contrato dura mientras dura la prestación del servicio.
2. Cualquiera de las partes puede rescindirlo con 30 días de aviso.
3. ⚠️ Rescindir no libera de las obligaciones del § 7 sobre los Datos ya transferidos: siguen vigentes hasta la devolución o supresión del § 13.
4. ⚠️ Si la autoridad declara inadecuado el país donde se almacenan los Datos, el Administrador puede rescindir de inmediato y pedir la devolución.

§ 16. Disposiciones finales

1. Forma: escrita, en instrumento privado. El Código Civil (art. 304) admite la forma escrita por instrumento público o privado, y este contrato no está entre los que exigen escritura pública (art. 700). ⚠️ Lo firman las dos partes: en el instrumento privado la fuerza está en la firma (Código Civil, arts. 404 y 407).
2. ⚠️ La firma NO tiene que ser de puño y letra. La firma digital vale igual que la manuscrita — Ley N° 4017/2010, art. 7: «los actos y contratos suscritos por medio de firma digital … serán válidos de la misma manera y producirán los mismos efectos que los celebrados por escrito y en soporte de papel»; y su art. 6 dice que el requisito de forma escrita queda satisfecho con un mensaje de datos firmado digitalmente. Sin firma digital el mensaje sigue siendo válido si su autenticidad e integridad se pueden determinar «por algún medio inequívoco». ⚠️ La Ley 4017 no rige para testamentos, actos de familia ni actos con formalidades incompatibles (art. 21) — este contrato no está en esa lista. ⚠️ Por qué la forma escrita no es un detalle: art. 45.12 de la Ley N° 7593/2025 castiga como falta grave «encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito formalmente apropiado».
3. Cambios requieren forma escrita.
4. Ley aplicable: la Ley N° 7593/2025 y, en lo que no se oponga, el derecho de la República del Paraguay.
5. Tribunales: los de Asunción.
6. Idioma: español. Las traducciones son solo informativas.
7. Anexos A, B y C son parte de este contrato.

---

Anexo A — Datos, personas y finalidad

Anexo B — Medidas técnicas y organizativas

⚠️⚠️ ESTO SEPARA LO VERIFICADO DE LO PENDIENTE, Y NO ES UNA FORMALIDAD. Lo que no está implementado está marcado como pendiente y se completa o se borra antes de firmar. Una medida escrita que no existe es peor que su ausencia, porque parece cubierta.

Anexo C — Subencargados

⚠️ Que el proveedor sea conocido no lo convierte en parte paraguaya. Google está fuera del país: es una transferencia con base propia, encuadrada en el § 7, y no alcanza con nombrarla acá. ⏳ Pendiente: confirmar por escrito con el proveedor la base del tratamiento.

---

Firmas

Administrador: [[ ciudad ]], [[ fecha ]] · [[ nombre y apellido, función ]] · firma: ..........................

Encargado del tratamiento: [[ ciudad ]], [[ fecha ]] · [[ nombre y apellido, función ]] · firma: ..........................

⚠️ Antes de la primera firma: completar los [[…]], completar o quitar las medidas pendientes del Anexo B, y llevar el documento a revisión de un abogado paraguayo.