Encarregat del tractament

[pendiente: traducció al català de l'esborrany castellà. L'advocat l'ha de revisar juntament amb l'original abans de publicar-la; si hi ha diferències, val el text castellà fins que es validi.]

Última actualització: 9 de novembre de 2026.

En l'SPD, la farmàcia treballa amb dades de salut dels seus pacients. Quan les desa a Posofarma, nosaltres les tractem per compte de la farmàcia. Aquest contracte estableix com ho fem, tal com demanen l'article 28 del Reglament (UE) 2016/679 (RGPD) i l'article 33 de la Llei orgànica 3/2018 (LOPDGDD). Forma part de les condicions de contractació i la farmàcia l'accepta en donar-se d'alta.

1. Les parts

• Responsable del tractament: l'oficina de farmàcia que es dona d'alta a Posofarma, representada pel seu titular, amb les dades que consten en l'alta.
• Encarregat del tractament: Inpublici Continguts Publicitaris, S.L. (Posofarma), NIF B65821902, carrer de Sant Llorenç, 15 B, 08211 Castellar del Vallès (Barcelona). Delegat de protecció de dades: Rafael Corts Hernández, a info@posofarma.com.

2. Objecte i finalitat

Inpublici tracta les dades per prestar a la farmàcia el servei de l'app: desar els pacients de l'SPD i la seva medicació, preparar i registrar els blísters, imprimir les etiquetes, avisar de les capses que falten, fer les consultes d'inspecció i portar el registre d'activitat. Les tracta només per a això.

Les operacions són les que fa l'app: recollir les dades que introdueix la farmàcia (a mà o importades d'un Excel), desar-les, consultar-les, modificar-les, imprimir-les, fer-ne còpies de seguretat i, en acabar el contracte, retornar-les i esborrar-les.

3. Dades i persones afectades

Persones afectades:

• pacients de l'SPD de la farmàcia;
• persones de l'equip de la farmàcia que fan servir l'app;
• metges que prescriuen als pacients (només el nom).

Dades dels pacients: nom i cognoms, número de pacient, codi d'identificació personal (CIP), telèfon, metge, medicació i pauta, lots, caducitats i capses dels seus medicaments, blísters preparats i lliurats, observacions, consentiment per a l'SPD i per als avisos per WhatsApp. La medicació és una dada de salut, una categoria especial segons l'article 9 de l'RGPD.

Dades de l'equip de la farmàcia: nom, usuari, correu, rol i registre d'activitat (què va fer cadascú, quan i des de quina adreça IP).

4. El que correspon a la farmàcia

• Tenir una base legal per tractar les dades dels seus pacients, recollir-ne el consentiment per a l'SPD quan ho exigeixi la seva norma i informar-los del tractament.
• Introduir només les dades que necessita per al servei i mantenir-les correctes.
• Decidir qui de l'equip hi té accés, amb quin rol, i retirar-lo a qui deixa de treballar a la farmàcia.
• Incloure l'app en el seu registre d'activitats de tractament.
• Donar-nos per escrit les instruccions que no figurin en aquest contracte.

5. El que es compromet a fer Inpublici

• Tractar les dades només seguint les instruccions de la farmàcia, que són aquest contracte i la manera com la farmàcia fa servir l'app. Si una instrucció ens sembla contrària a la llei, li ho direm.
• No fer servir les dades per a res més: ni estadístiques pròpies, ni publicitat, ni entrenar programes. No les vendrem ni les cedirem a ningú, llevat que ho exigeixi la llei.
• Que les persones d'Inpublici que puguin accedir a les dades tinguin un compromís de confidencialitat, també després de deixar de treballar amb nosaltres.
• Entrar a les dades d'una farmàcia només per donar-li suport o resoldre una errada. L'accés de suport demana un motiu i deixa registrat tot el que es consulta o es canvia, i la farmàcia ho veu en el seu registre d'activitat.
• Aplicar les mesures de seguretat del punt 8.
• Avisar la farmàcia de qualsevol bretxa de seguretat que afecti les seves dades sense dilació indeguda i, com a màxim, en 48 hores des que en tinguem coneixement, amb la informació que tinguem perquè la pugui notificar a l'autoritat de control i, si cal, als pacients.
• Ajudar la farmàcia a respondre quan un pacient exerceixi els seus drets (accés, rectificació, supressió, oposició, limitació o portabilitat). Si la petició ens arriba a nosaltres, la farem arribar a la farmàcia en un màxim de cinc dies hàbils.
• Ajudar la farmàcia, amb la informació que tinguem, en l'avaluació d'impacte i en les consultes a l'autoritat de control que hagi de fer.
• Portar el registre d'activitats de tractament que fem com a encarregats (article 30.2 de l'RGPD).
• Donar a la farmàcia la informació que necessiti per demostrar que complim aquest contracte i permetre les auditories que demani, amb avís previ suficient i sense posar en risc les dades de les altres farmàcies.

6. Subencarregats

La farmàcia autoritza Inpublici a fer servir aquests proveïdors, que tracten les dades només per al servei i amb les mateixes obligacions d'aquest contracte:

Si afegim o canviem un subencarregat, ho avisarem per correu amb almenys 30 dies d'antelació. Si la farmàcia no hi està d'acord, s'hi pot oposar i, si no trobem una altra solució, donar-se de baixa sense cost abans que el canvi s'apliqui.

L'app funciona i desa les dades al servidor dels Països Baixos. La còpia de seguretat xifrada es desa a Google Drive. Segons els termes de Google Workspace, si el compte no té fixada una regió de dades, Google pot desar i tractar les dades a qualsevol país on ell o els seus subencarregats tinguin instal·lacions, amb les garanties del seu annex de tractament de dades (Cloud Data Processing Addendum). [pendiente: si el compte de Google té la regió de dades a Europa; si no, la garantia de la transferència (clàusules contractuals tipus o Marc de privacitat de dades UE-EUA)]

7. Durada i final del contracte

Aquest contracte dura el mateix que el servei. Quan acaba, la farmàcia pot exportar les seves dades durant 30 dies: una exportació completa de la farmàcia, amb les dades i les etiquetes, i el CSV d'Inspecció amb els registres de l'SPD. Passat aquest termini, les dades queden bloquejades, sense cap ús. Quinze dies abans que es compleixin 12 mesos des de la baixa, l'app avisa per correu la persona administradora de la farmàcia, amb còpia a l'administrador de la plataforma, que s'esborrarà tota la informació. Complert el termini, l'administrador de la plataforma fa l'esborrament definitiu a mà: tria la farmàcia i ho confirma. De les còpies de seguretat, les dades desapareixen com a màxim 30 dies després.

La norma d'algunes comunitats obliga la farmàcia a conservar els registres de l'SPD durant un temps (a Catalunya, un any des del final del servei a cada pacient, article 33 del Decret 15/2025). Per això els 12 mesos de bloqueig. El més segur és que la farmàcia exporti els seus registres en els primers 30 dies.

8. Mesures de seguretat

Hi ha més detall a seguretat i dades. Les mesures són aquestes:

• Connexió xifrada (HTTPS) per entrar a l'app.
• Un usuari per persona, amb contrasenya desada xifrada i un segon factor obligatori per entrar (codi d'una app del mòbil, codi enviat al correu o codi d'emergència d'un sol ús).
• Bloqueig de l'usuari durant una hora després de cinc intents fallits seguits, i tancament de la sessió després de 30 minuts sense ús.
• Cada farmàcia veu només les seves dades.
• Registre d'activitat de cada consulta i cada canvi, que la farmàcia pot revisar, inclòs l'accés de suport.
• La base de dades no és accessible des de fora del servidor.
• El servidor només admet l'administració amb clau, té tallafoc i rep actualitzacions de seguretat.
• Còpia de seguretat diària de la base de dades i dels documents adjunts, xifrada amb una clau que no és al servidor, al mateix servidor i fora d'aquest (vegeu el punt 6). Cada còpia es conserva 30 dies i després s'esborra.

Revisarem aquestes mesures quan canviï l'app o el risc, i avisarem la farmàcia dels canvis importants.

9. Responsabilitat

Si Inpublici fa servir les dades per a una altra finalitat, les comunica a tercers o incompleix aquest contracte, serà considerada responsable del tractament pel que fa a allò que hagi fet i respondrà de les infraccions en què hagi incorregut personalment.