Contrato de encargo del tratamiento de datos personales

Artículo 28 del Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD). Versión v2.0 · 16 de octubre de 2026

Responsable del tratamiento

El titular de la cuenta

Psicólogo/a o centro que usa moodo

Encargado del tratamiento

moodo

HUBBIE TECHNOLOGIES S.L. · B22972384

Parte I — Identificación de las partes

1.1 El Responsable del Tratamiento (cliente de moodo)

El Responsable es el profesional o entidad que contrata los servicios de moodo para gestionar su consulta de psicología o salud mental y que acepta este Contrato al crear su cuenta.

Sus datos identificativos (nombre o razón social, NIF, domicilio, correo electrónico y, en su caso, número de colegiado y datos del centro) son los que figuran en su cuenta de moodo, y el Responsable se compromete a mantenerlos actualizados. moodo conserva un registro de la aceptación de este Contrato con la fecha, la hora y la versión aceptada.

1.2 El Encargado del Tratamiento (moodo)

En adelante, la parte descrita en el apartado 1.1 se denominará «el Responsable» o «el Cliente», y la descrita en el apartado 1.2, «el Encargado» o «moodo». Conjuntamente, «las Partes».

Parte II — Objeto y marco contractual

Cláusula 1. Objeto

Este Contrato establece los términos en que moodo, como Encargado del Tratamiento, tratará datos personales por cuenta del Responsable, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

Este documento forma parte de los Términos y Condiciones de uso de moodo aceptados por el Responsable al contratar el servicio. En caso de contradicción, prevalece este Contrato en todo lo relativo a la protección de datos personales.

El tratamiento abarca todos los datos personales que el Responsable introduzca, cargue o genere en la plataforma en el marco de su actividad profesional, incluyendo: agenda clínica, historial de pacientes, facturación electrónica (Veri∗factu / TicketBAI), recordatorios automáticos por WhatsApp o email y asistencia con inteligencia artificial (esta última solo si el Responsable la activa).

Parte III — Descripción del tratamiento

Cláusula 2. Finalidades del tratamiento

moodo tratará los datos exclusivamente para:

• ✓Gestionar la agenda y las citas de los pacientes del Responsable.
• ✓Almacenar, consultar y actualizar el historial clínico y las notas de sesión.
• ✓Emitir y enviar facturas conforme a la normativa Veri∗factu (Real Decreto 1007/2023) y, en su caso, TicketBAI.
• ✓Enviar recordatorios automatizados de cita (WhatsApp y/o correo electrónico).
• ✓Recoger y almacenar formularios de información clínica previa (anamnesis, consentimientos).
• ✓Generar estadísticas e informes de gestión para el propio Responsable.
• ✓Prestar soporte técnico al Responsable, lo que puede requerir acceso puntual y controlado a datos de su cuenta.
• ✓Asistir al Responsable con IA generativa en la redacción de notas clínicas y documentación (solo si ha activado este módulo).

Cláusula 3. Categorías de datos personales tratados

Cláusula 4. Categorías de interesados

• ✓Pacientes o clientes del Responsable: personas físicas que reciben o han recibido atención psicológica o de salud mental.
• ✓Familiares o tutores legales de pacientes menores de edad, en su caso.
• ✓Terceros cuyos datos el Responsable introduzca con finalidad clínica justificada (p. ej., contacto de emergencia).

Parte IV — Instrucciones y obligaciones de las partes

Cláusula 5. Instrucciones del Responsable

moodo tratará los datos única y exclusivamente conforme a las instrucciones documentadas del Responsable recogidas en este Contrato (incluido el Anexo II) y en los Términos y Condiciones. No los tratará para fines propios ni ajenos a los aquí convenidos. En particular, moodo tiene prohibido:

• ✓Usar los datos de los pacientes para fines propios, incluido el entrenamiento o ajuste (fine-tuning) de modelos de IA, sin instrucción expresa y por escrito del Responsable.
• ✓Comunicar, ceder o transferir los datos a terceros no autorizados, salvo obligación legal o instrucción del Responsable.
• ✓Conservar los datos en formato identificable más allá de los plazos de la Cláusula 13.
• ✓Elaborar perfiles comerciales de los pacientes del Responsable.
• ✓Usar los datos para comunicaciones de marketing propias de moodo.

Si moodo, por imposición legal, tuviera que tratar datos de forma distinta a lo instruido, informará previamente al Responsable salvo que la ley lo prohíba.

Cláusula 6. Obligaciones de moodo como Encargado

• ✓(a) Tratar los datos solo conforme a las instrucciones documentadas del Responsable.
• ✓(b) Garantizar que las personas autorizadas a acceder a los datos han asumido compromisos de confidencialidad o están sujetas a una obligación legal equivalente.
• ✓(c) Aplicar y mantener las medidas de seguridad de la Cláusula 8.
• ✓(d) Respetar las condiciones para recurrir a subencargados de la Cláusula 9.
• ✓(e) Asistir al Responsable en la atención de los derechos de los interesados (arts. 15 a 22 RGPD), conforme a la Cláusula 11.
• ✓(f) Asistir al Responsable en sus obligaciones de seguridad (art. 32), notificación de brechas (arts. 33 y 34) y evaluaciones de impacto (art. 35 RGPD).
• ✓(g) Suprimir o devolver al Responsable todos los datos personales cuando finalice el servicio, conforme a la Cláusula 13.
• ✓(h) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Contrato y colaborar en auditorías conforme a la Cláusula 15.
• ✓(i) Informar inmediatamente al Responsable si, en su opinión, una instrucción infringe la normativa de protección de datos.
• ✓(j) Mantener un registro de las actividades de tratamiento realizadas por cuenta del Responsable (art. 30.2 RGPD), cuyo modelo figura en el Anexo I.

Cláusula 7. Obligaciones del Responsable

• ✓Licitud: garantizar que los datos se han recabado con base jurídica válida (arts. 6 y 9 RGPD).
• ✓Información: haber facilitado a sus pacientes la información de los arts. 13 y 14 RGPD antes de incorporar sus datos a moodo.
• ✓Exactitud y minimización: introducir solo datos exactos y estrictamente necesarios para la finalidad terapéutica.
• ✓Consentimientos: obtener y conservar los consentimientos informados cuando sean exigibles, incluido el consentimiento expreso para las funciones de IA si las activa.
• ✓Seguridad de acceso: custodiar sus credenciales con diligencia y no compartirlas con personas no autorizadas.
• ✓Registro de actividades: mantener su propio registro (art. 30.1 RGPD), incluyendo el tratamiento realizado a través de moodo.
• ✓Incidencias: comunicar a moodo de inmediato cualquier incidencia de seguridad que detecte.

Parte V — Medidas de seguridad

Cláusula 8. Medidas técnicas y organizativas (art. 32 RGPD)

moodo aplica y mantiene de forma continua las siguientes medidas, teniendo en cuenta el estado de la técnica, los costes y la naturaleza de los datos tratados (incluidos datos de salud):

moodo revisará y actualizará estas medidas periódicamente y, en todo caso, ante cambios significativos en los riesgos o en el estado de la técnica. La versión vigente se publica en moodo.ai/seguridad.

Parte VI — Subcontratación y transferencias internacionales

Cláusula 9. Subencargados del tratamiento

El Responsable otorga a moodo autorización general previa para subcontratar los servicios necesarios para operar la plataforma (art. 28.2 RGPD), con estas condiciones:

• ✓Los subencargados quedan sujetos a las mismas obligaciones de protección de datos que las de este Contrato, mediante contrato o acto jurídico equivalente.
• ✓moodo informará al Responsable de cualquier incorporación o sustitución de subencargados con un preaviso mínimo de 30 días, durante los cuales el Responsable podrá oponerse. Si no se opone, se entenderá prestado el consentimiento. Si se opone de forma justificada y no se alcanza una solución, podrá resolver el contrato sin penalización.
• ✓Si un subencargado incumple sus obligaciones, moodo seguirá siendo plenamente responsable ante el Responsable.

Subencargados vigentes (lista actualizada en moodo.ai/subencargados):

Cláusula 10. Transferencias internacionales (Capítulo V RGPD)

Varios subencargados tienen su sede en Estados Unidos, lo que puede implicar transferencias internacionales. Se amparan en:

• ✓Marco de Privacidad de Datos UE-EE. UU. (DPF): reconocido por la Comisión Europea como decisión de adecuación (art. 45 RGPD) desde julio de 2023. moodo verifica el estado de certificación de cada proveedor en dataprivacyframework.gov.
• ✓Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914 (art. 46.2.c RGPD), incorporadas en el DPA de cada subencargado como garantía alternativa o complementaria.
• ✓Supabase: la base de datos principal está en Fráncfort, Alemania (región eu-central-1), por lo que los datos clínicos en reposo no salen del EEE. Solo componentes de gestión del proveedor pueden implicar servidores en EE. UU., bajo DPF y/o CCT.
• ✓OpenAI: además de las CCT/DPF, la API se usa bajo un DPA que prohíbe el uso de los datos para entrenar modelos. OpenAI mantiene una retención técnica mínima por monitorización de abusos. El contenido se seudonimiza antes de enviarse, en la medida técnicamente posible (ver Anexo III).
• ✓Verifacti: proveedor ubicado en España, sin transferencia internacional. La comunicación de datos fiscales a la Administración tributaria se ampara en obligación legal (art. 6.1.c RGPD).

Parte VII — Derechos de los interesados y brechas de seguridad

Cláusula 11. Ejercicio de derechos (arts. 15 a 22 RGPD)

Los pacientes del Responsable pueden ejercer ante el Responsable los derechos de acceso, rectificación, supresión, limitación, portabilidad, oposición y a no ser objeto de decisiones automatizadas.

Si moodo recibe directamente una solicitud de un interesado:

• ✓No le dará curso sin instrucción del Responsable.
• ✓La remitirá al Responsable en un plazo máximo de 5 días hábiles.
• ✓Prestará la asistencia técnica necesaria para que el Responsable responda en el plazo de un mes (prorrogable dos meses) del art. 12 RGPD.

Los interesados pueden reclamar ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid — www.aepd.es.

Cláusula 12. Notificación de brechas de seguridad (arts. 33 y 34 RGPD)

Ante una brecha que afecte a datos tratados por cuenta del Responsable, moodo:

• ✓Notificará al Responsable sin dilación indebida, con el objetivo de hacerlo en 24 horas y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento de ella, para que el Responsable pueda cumplir el plazo de 72 horas del art. 33.1 RGPD.
• ✓Incluirá, en la medida en que la conozca: naturaleza de la brecha, categorías y número aproximado de interesados y registros afectados, consecuencias probables, medidas adoptadas o propuestas y punto de contacto. Si no puede facilitar toda la información a la vez, la dará de forma gradual.
• ✓Adoptará de inmediato las medidas para contener la brecha y minimizar su impacto.
• ✓Colaborará con el Responsable en la notificación a la AEPD (art. 33 RGPD) y, si procede, a los interesados (art. 34 RGPD).
• ✓Documentará toda brecha, incluidas las que no supongan riesgo para los interesados (art. 33.5 RGPD).

Parte VIII — Conservación, evaluación de impacto y auditorías

Cláusula 13. Conservación, supresión y certificado de destrucción

Plazos mínimos de referencia según la normativa española aplicable a la psicología y la salud mental:

Fin del servicio. En un máximo de 30 días naturales desde la solicitud del Responsable o desde la resolución del contrato principal, moodo realizará, a elección del Responsable: (i) la devolución de todos los datos en formato estructurado y de uso común (p. ej., CSV o JSON), incluidos historial clínico, agenda y facturas; (ii) la supresión segura y definitiva de los datos, incluidas las copias de seguridad en cuanto expire su ciclo de rotación; o (iii) la transferencia a un nuevo encargado designado por el Responsable.

Certificado. Si el Responsable lo solicita, moodo emitirá un certificado escrito de la devolución o destrucción, con fecha, alcance, método empleado y confirmación sobre las copias de seguridad.

Bloqueo por obligación legal. Cuando exista una obligación legal de conservación, moodo bloqueará los datos y limitará su acceso a lo que exija dicha obligación hasta que pueda suprimirlos. moodo mantendrá el deber de confidencialidad incluso tras finalizar la relación.

Cláusula 14. Evaluación de impacto (art. 35 RGPD)

Dado que el tratamiento incluye datos de salud y puede implicar IA, el Responsable valorará la necesidad de una EIPD, por ejemplo si trata datos a gran escala o comparte acceso con varios profesionales de una misma organización. moodo le facilitará la información técnica sobre el tratamiento y los subencargados que necesite.

Cláusula 15. Auditorías e inspecciones

moodo pondrá a disposición del Responsable la documentación necesaria para demostrar el cumplimiento de este Contrato (documentación de seguridad, registro de actividades como encargado e informes o certificaciones de sus principales subencargados). Si esta documentación no fuera suficiente, el Responsable, o un auditor designado por escrito que no sea competidor de moodo, podrá realizar una auditoría con un preaviso mínimo de 15 días hábiles, en horario laboral y sin comprometer la seguridad ni la confidencialidad de otros clientes. Los costes serán a cargo del Responsable, salvo que la auditoría revele incumplimientos materiales imputables a moodo.

Parte IX — Vigencia, responsabilidad y disposiciones finales

Cláusula 16. Vigencia y resolución

Este Contrato entra en vigor con su aceptación por el Responsable (firma o aceptación de los Términos y Condiciones) y tiene la misma vigencia que el contrato de servicio de moodo. Cualquiera de las Partes podrá resolverlo por incumplimiento grave y persistente, previa notificación fehaciente con un plazo de subsanación de 15 días hábiles.

Cláusula 17. Responsabilidad (art. 82 RGPD)

El Responsable responderá de los daños causados en cualquier operación de tratamiento en que participe que no cumpla el RGPD. moodo, como Encargado, solo responderá cuando no haya cumplido las obligaciones del RGPD dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del Responsable, y quedará exento si demuestra que no es responsable del hecho que haya causado el daño (art. 82.3 RGPD). Si el Responsable hubiera abonado una indemnización íntegra, podrá reclamar a moodo la parte que corresponda a su responsabilidad (art. 82.5 RGPD).

Cláusula 18. Confidencialidad

Toda la información a la que moodo acceda en la prestación del servicio es estrictamente confidencial. Esta obligación se extiende a todo el personal de moodo y a sus subencargados y subsiste indefinidamente tras la finalización del Contrato.

Cláusula 19. Modificaciones

moodo podrá proponer modificaciones motivadas por cambios normativos o por la evolución de la plataforma, notificándolas al Responsable con al menos 30 días de antelación. Si el Responsable no se opone en ese plazo, se entenderán aceptadas. En caso de oposición justificada sin acuerdo, el Responsable podrá resolver el contrato sin penalización. Las versiones anteriores están disponibles a petición.

Cláusula 20. Ley aplicable y jurisdicción

Este Contrato se rige por la legislación española, en particular el RGPD, la LOPDGDD, la Ley 41/2002 básica reguladora de la autonomía del paciente, la Ley 34/2002 (LSSI), el Real Decreto 1007/2023 y la demás normativa sectorial aplicable. Las Partes se someten a los Juzgados y Tribunales del domicilio del Responsable.

Aceptación

El Responsable acepta este Contrato por medios electrónicos al marcar la casilla correspondiente durante el registro en moodo, lo que constituye su celebración por escrito en formato electrónico conforme al artículo 28.9 RGPD. moodo registra la fecha y hora de la aceptación, la versión aceptada y el usuario que la realiza.

Si el Responsable necesita una copia firmada por ambas Partes, puede usar la versión para firma o solicitarla a privacidad@moodo.ai. Su contenido es idéntico al de este Contrato.

Anexo I — Registro de actividades del tratamiento (art. 30.2 RGPD)

Anexo II — Instrucciones documentadas del Responsable (art. 28.3.a RGPD)

• ✓Los datos de los pacientes solo podrán ser accedidos por el Responsable y por las personas que este autorice en la configuración de la plataforma.
• ✓Queda prohibido usar datos identificables de pacientes para entrenar, ajustar o mejorar modelos de IA de moodo o de terceros, salvo instrucción contraria por escrito del Responsable.
• ✓Cualquier estadística o análisis realizado por moodo con datos de la cuenta del Responsable se hará con datos anonimizados o seudonimizados.
• ✓Cualquier nueva funcionalidad que implique tratar datos de salud de forma distinta se comunicará al Responsable con al menos 30 días de antelación antes de activarse automáticamente.
• ✓El Responsable autoriza a moodo a usar los datos estrictamente necesarios para prestar el soporte técnico solicitado, dejando registro de cada acceso.
• ✓El Responsable podrá añadir instrucciones por escrito a privacidad@moodo.ai, que se incorporarán como adenda a este Anexo.

Anexo III — Condiciones específicas para el uso de inteligencia artificial

Este Anexo solo aplica si el Responsable activa las funciones de IA de moodo, que usan la API de OpenAI, L.L.C. (EE. UU.) para (i) transcribir audios de sesión y (ii) redactar de forma asistida notas clínicas.

A. Información y consentimiento del paciente

• ✓El Responsable informará a sus pacientes del uso de IA en la gestión de su información clínica (art. 13 RGPD) y obtendrá su consentimiento explícito para ese tratamiento (art. 9.2.a RGPD).
• ✓El Responsable informará al paciente de que sus datos pueden procesarse en servidores de EE. UU. con las garantías de la Cláusula 10.

B. Garantías de moodo con OpenAI

• ✓DPA y CCT: moodo tiene suscrito con OpenAI un DPA que incorpora las CCT (Decisión (UE) 2021/914).
• ✓Sin entrenamiento: OpenAI no usa los datos enviados por la API para entrenar ni mejorar sus modelos. Mantiene una retención técnica mínima por monitorización de abusos. moodo tampoco usa los datos del Responsable para mejorar modelos propios.
• ✓Seudonimización: moodo elimina, en la medida técnicamente posible, los datos directamente identificativos del paciente antes de enviar el contenido.
• ✓Cambio de proveedor: moodo notificará cualquier cambio de proveedor de IA con al menos 30 días de antelación.

C. Naturaleza y límites de la asistencia de IA

Las transcripciones y textos generados son herramientas de asistencia. El Responsable conserva en todo momento la responsabilidad clínica y deontológica. La IA de moodo no toma decisiones clínicas ni genera diagnósticos, y el Responsable debe revisar y validar todo el contenido antes de incorporarlo al historial.

Control de versiones

Contrato de encargo del tratamiento · v2.0 · 16 de octubre de 2026 · HUBBIE TECHNOLOGIES S.L.