Versió 1.0 · 19 de setembre de 2026

Contracte de servei i d'encàrrec de tractament

Esborrany redactat per ser operatiu des del primer dia. Abans de fer-lo servir amb clients, l'ha de validar un advocat i s'hi han de completar les dades d'Infocloud marcades entre claudàtors.

1. Parts

Infocloud [raó social, NIF, domicili social, dades registrals], titular de la plataforma cocat·ai, d'ara endavant «el Proveïdor».

El professional identificat al formulari d'alta amb nom o raó social, NIF, domicili, correu i telèfon, que contracta en l'exercici de la seva activitat professional o empresarial, d'ara endavant «el Client».

2. Objecte

El Proveïdor presta al Client: (a) la plataforma cocat·ai d'agenda, reserva, cobrament i avisos, amb els extres contractats; (b) una o més llicències de Microsoft 365, que el Proveïdor subministra i administra com a proveïdor de llicències; (c) el registre i la gestió tècnica d'un domini a nom del Client; (d) suport. Les condicions econòmiques són les de la pàgina Condicions del servei vigents en el moment de l'alta, que formen part d'aquest contracte.

3. Com es forma el contracte

3.1. El contracte es perfà electrònicament quan el Client marca la casella d'acceptació al formulari d'alta i fa el primer pagament. No cal signatura manuscrita.

3.2. El Proveïdor conserva com a prova la data i l'hora, l'adreça IP, el correu verificat, la versió del contracte i la referència del pagament, i envia al Client una còpia íntegra en suport durador (PDF per correu) en el mateix moment.

3.3. Les parts reconeixen plena validesa a aquesta forma de contractació d'acord amb la Llei 34/2002, de serveis de la societat de la informació, i amb el Reglament (UE) 910/2014. Per als extres que impliquin un risc superior, el Proveïdor pot demanar signatura electrònica avançada.

3.4. El Client declara que actua com a professional o empresari, de manera que no li és aplicable la normativa de consumidors i usuaris ni el dret de desistiment que s'hi preveu.

4. Durada, preu i pagament

4.1. Durada mínima de sis mesos sobre la quota base des de l'alta. Després es renova mes a mes i el Client pot donar-se de baixa amb efecte a final del període pagat. Els extres s'activen i es desactiven mensualment. No hi ha pauses de quota. Si el Client es dona de baixa i torna a contractar, la reactivació té el cost de l'alta vigent.

4.2. L'alta i totes les quotes es paguen per avançat. Si un cobrament falla, el Proveïdor avisa el Client i ho reintenta. Si l'impagament persisteix set dies naturals, el Proveïdor pot suspendre la web de reserves i el panell. Durant la suspensió es conserven les dades i es mantenen les visites ja pagades pels clients finals. Passats seixanta dies d'impagament, el Proveïdor pot resoldre el contracte aplicant la clàusula 11.

5. Protecció de dades: qui és qui

5.1. El Client és el responsable del tractament de les dades dels seus pacients o clients. El Proveïdor és l'encarregat del tractament, d'acord amb l'article 28 del Reglament (UE) 2016/679 (RGPD) i l'article 33 de la Llei orgànica 3/2018.

5.2. Dades tractades: identificatives i de contacte, data de naixement, reserves, estat dels pagaments i, si es contracten els extres corresponents, missatges i trucades gestionades per l'assistent. Interessats: pacients o clients del Client i persones que hi contacten.

5.3. La plataforma no és una història clínica. El Client s'obliga a no introduir-hi diagnòstics, tractaments ni cap altra informació clínica, tampoc al camp de notes. Si ho fa, n'assumeix la responsabilitat.

5.4. El Proveïdor és responsable del tractament només de les dades del Client necessàries per gestionar aquest contracte (facturació i contacte).

6. Obligacions del Proveïdor com a encarregat

• Tractar les dades només seguint les instruccions documentades del Client, que són aquest contracte i la configuració que el Client fa al seu panell.
• Garantir que el personal amb accés als sistemes ha signat un compromís de confidencialitat.
• Aplicar les mesures de seguretat de l'annex III.
• Recórrer només als subencarregats de l'annex II, que el Client autoritza. Qualsevol canvi s'avisa amb trenta dies perquè el Client s'hi pugui oposar o donar-se de baixa.
• Ajudar el Client a atendre els drets dels interessats i les obligacions dels articles 32 a 36 del RGPD.
• Notificar al Client qualsevol violació de seguretat que afecti les seves dades sense dilació i, com a màxim, en quaranta-vuit hores des que en tingui coneixement, amb la informació de l'article 33.3 del RGPD.
• En acabar el contracte, retornar les dades i suprimir-les segons la clàusula 11.
• Posar a disposició del Client la informació necessària per demostrar el compliment i permetre auditories raonables, amb un preavís de quinze dies.

7. Administració de les llicències i límits d'accés

7.1. Rol del Proveïdor. Com a proveïdor de les llicències de Microsoft 365, el Proveïdor té el rol d'administrador de l'entorn on s'allotja el compte del Client. Aquest rol és imprescindible per prestar el servei.

7.2. Operacions permeses. El Proveïdor pot, sense accedir a cap contingut: crear, modificar, suspendre i eliminar usuaris i llicències; restablir la contrasenya i els mètodes de doble factor; configurar el domini, el DNS, les polítiques de seguretat i el correu brossa; consultar dades tècniques i de facturació (estat del compte, ús de llicència, registres tècnics sense contingut).

7.3. Canvi de contrasenya. El Proveïdor només restableix la contrasenya del Client (a) a petició del Client, verificada segons l'annex IV, o (b) per contenir un incident de seguretat, segons la clàusula 7.6. La contrasenya és temporal, d'un sol ús i s'ha de canviar en el primer inici de sessió. El Client rep un avís automàtic de cada restabliment al correu alternatiu i al telèfon que ha registrat. El Proveïdor no inicia sessió amb el compte del Client en cap cas.

7.4. Prohibició d'accés al contingut. El Proveïdor s'obliga a no accedir al contingut del Client: bústia de correu, calendari, fitxers, xats i reunions de Teams, agenda de cocat·ai, fitxes de pacients o clients i enregistraments o transcripcions de trucades. En particular, s'obliga a no assignar-se permisos de delegació, d'accés complet a bústies ni de suplantació, i a no exportar contingut.

7.5. Garanties. Les parts reconeixen que un administrador té capacitat tècnica sobre l'entorn. Per fer efectiva la prohibició, el Proveïdor: (a) manté activat el registre d'auditoria de Microsoft 365 i el conserva almenys cent vuitanta dies; (b) utilitza comptes d'administrador nominals, amb doble factor i mínim privilegi, i no comparteix credencials; (c) lliura al Client, a petició seva i en un termini de deu dies, l'extracte del registre d'auditoria de les operacions administratives fetes sobre el seu compte; (d) respon de qualsevol accés no autoritzat del seu personal com a incompliment greu del contracte.

7.6. Excepcions. El Proveïdor només pot accedir a contingut: (a) amb instrucció escrita i específica del Client; (b) per requeriment d'una autoritat judicial o administrativa competent, que comunicarà al Client llevat que la llei ho prohibeixi; (c) per contenir un incident de seguretat greu i en la mesura mínima imprescindible, informant-ne el Client en vint-i-quatre hores. Tot accés excepcional queda registrat amb data, persona, motiu i abast.

8. Assistència remota

8.1. Quan calgui veure la pantalla del Client per resoldre un dubte o una incidència, es fa sempre mitjançant una sessió remota que el Client demana o accepta expressament.

8.2. La sessió s'inicia des de l'equip del Client, amb una eina que mostra un avís de consentiment a la pantalla. El Client hi és present tota l'estona, veu el que fa el tècnic i pot tallar la connexió en qualsevol moment.

8.3. El tècnic només veu el que el Client té obert. El Proveïdor recomana tancar les fitxes de pacients abans de començar. Les sessions no es graven, llevat d'acord exprés.

8.4. El Proveïdor registra la data, el tècnic, el motiu i la durada de cada sessió. Qualsevol dada vista durant la sessió queda subjecta al deure de confidencialitat i a aquest encàrrec de tractament.

9. Obligacions del Client

• Informar els seus pacients o clients del tractament de dades i disposar de base jurídica per fer-lo.
• Custodiar les seves credencials, mantenir el doble factor activat i registrar un correu alternatiu i un telèfon per a la verificació de l'annex IV.
• Configurar sota la seva responsabilitat els preus, els terminis de devolució, l'acceptació de menors i el text d'assistència que dona l'assistent en una urgència.
• No fer servir el servei per a finalitats il·lícites ni per enviar comunicacions comercials no consentides.

10. Abast del servei i responsabilitat

10.1. cocat·ai és una eina de gestió. El Proveïdor no presta serveis sanitaris, jurídics ni de cap altra professió regulada. L'assistent automàtic gestiona cites i informació pràctica i no dona consell professional.

10.2. El Proveïdor presta el servei amb la diligència d'un professional del sector i no garanteix la disponibilitat ininterrompuda dels serveis de tercers (Microsoft, passarel·les de pagament, operadors, Meta). Els cobraments de les visites es liquiden directament entre el client final i el compte del Client.

10.3. Llevat de dol o culpa greu i de les responsabilitats que la llei no permet limitar, la responsabilitat total del Proveïdor per any natural queda limitada a l'import de les quotes pagades pel Client en els dotze mesos anteriors al fet causant.

11. Fi del contracte i portabilitat

11.1. El domini, la bústia, la llista de pacients o clients i les reserves són del Client. En acabar el contracte, i durant trenta dies, el Proveïdor facilita: l'exportació de pacients i reserves en CSV; la transferència del domini al registrador que indiqui el Client; i la migració o l'exportació de la bústia.

11.2. Passats els trenta dies, el Proveïdor suprimeix les dades del Client dels seus sistemes i en certifica la supressió a petició, llevat de les que hagi de conservar bloquejades per obligació legal.

12. Canvis, llei aplicable i jurisdicció

12.1. El Proveïdor pot modificar aquest contracte avisant per correu amb trenta dies d'antelació. Si el Client no hi està d'acord, pot donar-se de baixa sense penalització abans de l'entrada en vigor, encara que no hagi passat el termini mínim.

12.2. Aquest contracte es regeix per la llei espanyola. Per a qualsevol controvèrsia, les parts se sotmeten als jutjats i tribunals de [ciutat del domicili d'Infocloud].

Annex I · Descripció del tractament

Finalitat: gestió d'agenda, reserves, cobraments, avisos i atenció de contactes del Client. Durada: la del contracte més trenta dies. Naturalesa: recollida, registre, conservació, consulta, comunicació als subencarregats i supressió. Categories especials: cap de prevista; vegeu la clàusula 5.3.

Annex II · Subencarregats autoritzats

• Microsoft Ireland Operations Ltd. — Microsoft 365 i Azure (allotjament a la Unió Europea).
• Stripe Payments Europe Ltd. — cobrament de quotes i, si el Client ho contracta, passarel·la de les seves visites.
• 10dencehispahard, S.L. (cdmon) — registre de dominis i DNS.
• Només amb l'extra corresponent: Meta Platforms Ireland Ltd. (WhatsApp) i el servei d'IA d'Azure a la Unió Europea (assistent de xat i de veu).

Annex III · Mesures de seguretat

• Accés del Client amb compte de Microsoft i doble factor; accés dels clients finals amb codi d'un sol ús.
• Dades xifrades en trànsit i en repòs, allotjades a la Unió Europea.
• Comptes d'administrador nominals, amb doble factor i mínim privilegi; registre d'auditoria activat.
• Cap dada de targeta passa pels sistemes del Proveïdor.
• Còpies de seguretat periòdiques de les dades de la plataforma i procediment de restauració provat.
• Compromís de confidencialitat signat per tot el personal amb accés.

Annex IV · Procediments àgils

Canvi de contrasenya (objectiu: menys de quinze minuts en horari d'atenció).

1. El Client ho demana per telèfon o des del correu alternatiu registrat.
2. El tècnic envia un codi de sis xifres a l'altre canal registrat (si truca, al correu alternatiu; si escriu, per SMS) i el Client l'hi diu.
3. El tècnic genera una contrasenya temporal d'un sol ús. El Client entra, la canvia i rep l'avís automàtic del restabliment.

Sessió remota.

1. El Client la demana o l'accepta per escrit (correu o xat).
2. El Client obre l'eina i dona el codi de sessió; a la pantalla apareix l'avís de consentiment.
3. En acabar, el tècnic tanca la sessió i envia un resum del que s'ha fet.

Acceptació: en marcar la casella del formulari d'alta i fer el primer pagament, el Client declara que ha llegit aquest contracte i els seus annexos i que els accepta íntegrament.