Encargado del tratamiento

Última actualización: 9 de noviembre de 2026.

En el SPD, la farmacia trabaja con datos de salud de sus pacientes. Cuando los guarda en Posofarma, nosotros los tratamos por cuenta de la farmacia. Este contrato fija cómo lo hacemos, como pide el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones de contratación y la farmacia lo acepta al darse de alta.

1. Las partes

• Responsable del tratamiento: la oficina de farmacia que se da de alta en Posofarma, representada por su titular, con los datos que constan en el alta.
• Encargado del tratamiento: Inpublici Continguts Publicitaris, S.L. (Posofarma), NIF B65821902, calle Sant Llorenç, 15 B, 08211 Castellar del Vallès (Barcelona). Delegado de protección de datos: Rafael Corts Hernández, en info@posofarma.com.

2. Objeto y finalidad

Inpublici trata los datos para prestar a la farmacia el servicio de la app: guardar los pacientes del SPD y su medicación, preparar y registrar los blísters, imprimir las etiquetas, avisar de las cajas que faltan, hacer las consultas de inspección y llevar el registro de actividad. Los trata solo para eso.

Las operaciones son las que hace la app: recoger los datos que introduce la farmacia (a mano o importados de un Excel), guardarlos, consultarlos, modificarlos, imprimirlos, hacer copias de seguridad y, al terminar el contrato, devolverlos y borrarlos.

3. Datos y personas afectadas

Personas afectadas:

• pacientes del SPD de la farmacia;
• personas del equipo de la farmacia que usan la app;
• médicos que prescriben a los pacientes (solo el nombre).

Datos de los pacientes: nombre y apellidos, número de paciente, código de identificación personal (CIP), teléfono, médico, medicación y pauta, lotes, caducidades y cajas de sus medicamentos, blísters preparados y entregados, observaciones, consentimiento para el SPD y para los avisos por WhatsApp. La medicación es un dato de salud, una categoría especial según el artículo 9 del RGPD.

Datos del equipo de la farmacia: nombre, usuario, correo, rol y registro de actividad (qué hizo cada uno, cuándo y desde qué dirección IP).

4. Lo que corresponde a la farmacia

• Tener una base legal para tratar los datos de sus pacientes, recoger su consentimiento para el SPD cuando lo pida su norma e informarles del tratamiento.
• Introducir solo los datos que necesita para el servicio y mantenerlos correctos.
• Decidir quién del equipo tiene acceso, con qué rol, y quitarlo a quien deja de trabajar en la farmacia.
• Incluir la app en su registro de actividades de tratamiento.
• Darnos por escrito las instrucciones que no estén en este contrato.

5. Lo que se compromete a hacer Inpublici

• Tratar los datos solo siguiendo las instrucciones de la farmacia, que son este contrato y la forma en que la farmacia usa la app. Si una instrucción nos parece contraria a la ley, se lo diremos.
• No usar los datos para nada más: ni estadísticas propias, ni publicidad, ni entrenar programas. No los venderemos ni los cederemos a nadie, salvo cuando lo obligue la ley.
• Que las personas de Inpublici que puedan acceder a los datos tengan un compromiso de confidencialidad, también después de dejar de trabajar con nosotros.
• Entrar en los datos de una farmacia solo para darle soporte o resolver un fallo. El acceso de soporte pide un motivo y deja registrado todo lo que se consulta o se cambia, y la farmacia lo ve en su registro de actividad.
• Aplicar las medidas de seguridad del punto 8.
• Avisar a la farmacia de cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y, como máximo, en 48 horas desde que la conozcamos, con la información que tengamos para que pueda notificarla a la autoridad de control y, si hace falta, a los pacientes.
• Ayudar a la farmacia a responder cuando un paciente ejerza sus derechos (acceso, rectificación, supresión, oposición, limitación o portabilidad). Si la petición nos llega a nosotros, se la pasaremos a la farmacia en un máximo de cinco días hábiles.
• Ayudar a la farmacia, con la información que tengamos, en la evaluación de impacto y en las consultas a la autoridad de control que tenga que hacer.
• Llevar el registro de actividades de tratamiento que hacemos como encargados (artículo 30.2 del RGPD).
• Dar a la farmacia la información que necesite para demostrar que cumplimos este contrato y permitir las auditorías que pida, avisando con tiempo y sin poner en riesgo los datos de las demás farmacias.

6. Subencargados

La farmacia autoriza a Inpublici a usar estos proveedores, que tratan los datos solo para el servicio y con las mismas obligaciones de este contrato:

Si añadimos o cambiamos un subencargado, lo avisaremos por correo con al menos 30 días de antelación. Si la farmacia no está de acuerdo, puede oponerse y, si no encontramos otra solución, darse de baja sin coste antes de que el cambio se aplique.

La app funciona y guarda los datos en el servidor de los Países Bajos. La copia de seguridad cifrada se guarda en Google Drive. Según los términos de Google Workspace, si la cuenta no tiene fijada una región de datos, Google puede guardar y tratar los datos en cualquier país donde él o sus subencargados tengan instalaciones, con las garantías de su anexo de tratamiento de datos (Cloud Data Processing Addendum). [pendiente: si la cuenta de Google tiene la región de datos en Europa; si no, la garantía de la transferencia (cláusulas contractuales tipo o Marco de Privacidad de Datos UE-EE. UU.)]

7. Duración y final del contrato

Este contrato dura lo mismo que el servicio. Cuando termina, la farmacia puede exportar sus datos durante 30 días: una exportación completa de la farmacia, con los datos y las etiquetas, y el CSV de Inspección con los registros del SPD. Pasado ese plazo, los datos quedan bloqueados, sin ningún uso. Quince días antes de que se cumplan 12 meses desde la baja, la app avisa por correo a la persona administradora de la farmacia, con copia al administrador de la plataforma, de que se borrará toda la información. Cumplido el plazo, el administrador de la plataforma hace el borrado definitivo a mano: elige la farmacia y lo confirma. De las copias de seguridad, los datos desaparecen como máximo 30 días después.

La norma de algunas comunidades obliga a la farmacia a guardar los registros del SPD un tiempo (en Cataluña, un año desde el final del servicio a cada paciente, artículo 33 del Decreto 15/2025). Por eso los 12 meses de bloqueo. Lo más seguro es que la farmacia exporte sus registros en los primeros 30 días.

8. Medidas de seguridad

Hay más detalle en seguridad y datos. Las medidas son estas:

• Conexión cifrada (HTTPS) para entrar en la app.
• Un usuario por persona, con contraseña guardada cifrada y un segundo factor obligatorio para entrar (código de una app del móvil, código enviado al correo o código de emergencia de un solo uso).
• Bloqueo del usuario durante una hora después de cinco intentos fallidos seguidos, y cierre de la sesión después de 30 minutos sin uso.
• Cada farmacia ve solo sus datos.
• Registro de actividad de cada consulta y cada cambio, que la farmacia puede revisar, incluido el acceso de soporte.
• La base de datos no es accesible desde fuera del servidor.
• El servidor solo admite la administración con clave, tiene cortafuegos y recibe actualizaciones de seguridad.
• Copia de seguridad diaria de la base de datos y de los documentos adjuntos, cifrada con una clave que no está en el servidor, en el propio servidor y fuera de él (véase el punto 6). Cada copia se guarda 30 días y después se borra.

Revisaremos estas medidas cuando cambie la app o el riesgo, y avisaremos a la farmacia de los cambios importantes.

9. Responsabilidad

Si Inpublici usa los datos para otra finalidad, los comunica a terceros o incumple este contrato, será considerada responsable del tratamiento en lo que haya hecho y responderá de las infracciones en que haya incurrido personalmente.