Contrato de Encargo de Tratamiento de Datos Personales (DPA)

Los términos no definidos en este DPA tendrán el significado que les asigne la Ley N° 19.628 vigente. Adicionalmente:

• a)Normativa de Protección de Datos: la Ley N° 19.628 y sus modificaciones, en particular la Ley N° 21.719; la Ley N° 20.584; el Decreto Supremo N° 41 de 2012 del Ministerio de Salud (Reglamento sobre Fichas Clínicas); la Ley N° 21.663 Marco de Ciberseguridad, en lo aplicable; y las instrucciones, reglamentos y resoluciones que dicte la Agencia de Protección de Datos Personales (la “Agencia”) u otra autoridad competente.
• b)Datos Personales del Centro: los datos personales que el Centro, sus usuarios o sus pacientes ingresan, cargan o generan en la Plataforma, o que Synapta trata por cuenta del Centro para prestar los Servicios.
• c)Datos Sensibles de Salud: los Datos Personales del Centro relativos a la salud física o mental de las personas, incluida la ficha clínica y la información derivada de la atención.
• d)Titular: la persona natural a quien se refieren los Datos Personales del Centro, principalmente pacientes, sus representantes o acompañantes.
• e)Usuario Autorizado: toda persona a quien el Centro otorga credenciales de acceso a la Plataforma (directores, profesionales de salud, personal administrativo).
• f)Subencargado: todo tercero contratado por Synapta que trate Datos Personales del Centro para la prestación de los Servicios.
• g)Incidente de Seguridad: toda vulneración de las medidas de seguridad que ocasione la destrucción, pérdida, alteración, comunicación o acceso no autorizado, accidental o ilícito, a Datos Personales del Centro. No constituyen Incidente de Seguridad los intentos fallidos que no comprometen la seguridad de los datos, tales como escaneos de puertos, ataques de denegación de servicio sin acceso a datos, o intentos de inicio de sesión rechazados.
• h)Funciones de IA: las funcionalidades de la Plataforma que emplean modelos de inteligencia artificial de terceros, descritas en el Anexo I.
• i)Instrucciones Documentadas: las instrucciones del Centro sobre el tratamiento, contenidas en (i) este DPA y el Contrato Principal; (ii) la configuración que el Centro o sus Usuarios Autorizados realicen en la Plataforma; y (iii) toda instrucción adicional escrita que las Partes acuerden por escrito.

2.1 Este DPA regula las condiciones bajo las cuales Synapta trata Datos Personales del Centro en calidad de encargado, por cuenta y bajo instrucciones del Centro.

2.2 La naturaleza, finalidad, duración, categorías de datos y de Titulares se describen en el Anexo I. Las medidas de seguridad, en el Anexo II. Los Subencargados autorizados, en el Anexo III. Los Anexos forman parte integrante de este DPA. Las finalidades, categorías de datos y Funciones de IA descritas en el Anexo I aplican solo en la medida en que el Centro haya contratado o activado el Servicio respectivo.

2.3 En caso de contradicción en materia de protección de datos, prevalecerá este DPA sobre el Contrato Principal, los Términos y Condiciones, la Política de Privacidad y cualquier versión pública del DPA publicada en synapta.cl. En todo lo demás, prevalecerá el Contrato Principal.

3.3 Synapta actúa como responsable independiente, sujeto a su Política de Privacidad y no a este DPA, respecto de: (a) datos de contacto, facturación y cobro del Centro y de sus representantes; (b) datos de cuenta y autenticación de los Usuarios Autorizados, en lo necesario para administrar el acceso, la seguridad y el soporte; (c) comunicaciones de soporte y comerciales con el Centro; y (d) datos técnicos y de uso de la Plataforma. Synapta podrá generar estadísticas agregadas del uso de la Plataforma siempre que estén anonimizadas de forma irreversible y no contengan Datos Sensibles de Salud ni permitan identificar al Centro ni a Titular alguno.

El Centro declara, garantiza y se obliga a:

• a)Contar con una base de licitud válida conforme a la Normativa de Protección de Datos para todo tratamiento que encomienda a Synapta, incluido el tratamiento de Datos Sensibles de Salud, y obtener y conservar los consentimientos que sean exigibles (entre otros, para comunicaciones por WhatsApp u otros canales, envío de recordatorios y, si se contratan, grabación de consultas). Tratándose de niños, niñas y adolescentes, el Centro obtendrá la autorización de sus padres o representantes legales cuando la ley lo exija y velará por su interés superior.
• b)Informar a los Titulares, en su política de privacidad o por otro medio idóneo, que utiliza proveedores tecnológicos que tratan sus datos por su cuenta, incluyendo la existencia de transferencias internacionales y el uso de Funciones de IA.
• c)Ingresar en la Plataforma solo datos exactos, pertinentes y limitados a lo necesario para las finalidades de la atención de salud, y abstenerse de cargar datos obtenidos ilícitamente.
• d)Administrar las cuentas de sus Usuarios Autorizados: otorgar y revocar accesos oportunamente, definir sus perfiles y permisos, velar por que custodien sus credenciales, y hacer que cumplan los deberes de reserva y confidencialidad que les impone la ley. Todo acceso realizado con credenciales válidas del Centro se entenderá efectuado por el Centro.
• e)Cumplir las obligaciones de conservación de la ficha clínica (plazo mínimo legal de quince años o el que establezca la normativa vigente) y, en consecuencia, exportar y resguardar sus datos antes del término del Contrato Principal según la cláusula Décimo Cuarta. Synapta no asume la custodia legal de la ficha clínica más allá de la vigencia del Contrato Principal.
• f)Atender las solicitudes de los Titulares y efectuar las notificaciones a la Agencia y a los Titulares que correspondan al responsable del tratamiento.
• g)Impartir únicamente instrucciones lícitas y compatibles con las funcionalidades de la Plataforma.

• •5.1 Tratamiento conforme a instrucciones. Synapta tratará los Datos Personales del Centro exclusivamente según las Instrucciones Documentadas. Si Synapta estima que una instrucción infringe la Normativa de Protección de Datos, lo informará al Centro sin dilación y podrá suspender su ejecución hasta que el Centro la confirme, modifique o retire, sin que ello constituya incumplimiento.
• •5.2 Tratamiento exigido por ley. Si Synapta estuviere obligada por ley o resolución de autoridad competente a tratar o comunicar Datos Personales del Centro, informará previamente al Centro, salvo que la ley o la autoridad lo prohíba, y comunicará solo lo estrictamente requerido.
• •5.3 Prohibiciones. Synapta no podrá: (a) tratar los Datos Personales del Centro para fines propios o distintos de los Servicios; (b) venderlos, cederlos o comunicarlos a terceros, salvo a Subencargados conforme a la cláusula Séptima; (c) utilizarlos, ni permitir que sus proveedores los utilicen, para entrenar o mejorar modelos de inteligencia artificial; (d) combinarlos o cruzarlos con datos de otros clientes de Synapta; ni (e) utilizarlos con fines de publicidad o elaboración de perfiles comerciales de los Titulares.
• •5.4 Confidencialidad. Synapta garantizará que las personas autorizadas para tratar Datos Personales del Centro —trabajadores, contratistas y socios— estén sujetas a una obligación de confidencialidad escrita o legal, que subsistirá indefinidamente tras el término de su relación con Synapta, y que accedan a los datos solo en la medida necesaria (principio de mínimo privilegio), como para prestar soporte, corregir fallas o cumplir obligaciones legales.
• •5.5 Acceso de soporte. El personal de Synapta accederá a Datos Sensibles de Salud solo cuando sea necesario para resolver una solicitud del Centro, un incidente o una falla, o para cumplir la ley. El Centro autoriza dichos accesos para esos fines.
• •5.6 Seguridad. Synapta implementará las medidas técnicas y organizativas descritas en el Anexo II, conforme a la cláusula Sexta.
• •5.7 Asistencia. Synapta asistirá razonablemente al Centro, considerando la naturaleza del tratamiento y la información de que dispone, en el cumplimiento de sus obligaciones sobre derechos de los Titulares, seguridad, notificación de Incidentes, evaluaciones de impacto y consultas a la Agencia, conforme a las cláusulas Novena, Décima y Undécima.

6.1 Synapta adoptará medidas técnicas y organizativas apropiadas al riesgo, considerando el estado de la técnica, los costos de implementación, la naturaleza sensible de los datos de salud y la escala de los Servicios, con el fin de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los Datos Personales del Centro. Las medidas vigentes se describen en el Anexo II.

6.2 Synapta podrá actualizar las medidas del Anexo II a lo largo de la vigencia del DPA, siempre que dichas actualizaciones no disminuyan el nivel global de seguridad.

6.3 Las Partes reconocen que ningún sistema es infalible. La obligación de seguridad de Synapta es una obligación de medios, que se entiende cumplida con la implementación y mantención diligente de las medidas del Anexo II y de aquellas que exija la Normativa de Protección de Datos.

6.4 El Centro es responsable de las medidas de seguridad bajo su control, incluidas la gestión de credenciales de sus Usuarios Autorizados, la seguridad de sus dispositivos y redes, y la configuración de permisos dentro de la Plataforma.

7.1 Autorización general. El Centro otorga a Synapta autorización general para contratar Subencargados. Por este acto, el Centro autoriza expresamente a los Subencargados listados en el Anexo III.

7.2 Condiciones. Synapta impondrá a cada Subencargado, mediante contrato o mediante la aceptación de sus términos de servicio y de procesamiento de datos, obligaciones de protección de datos que ofrezcan un nivel de protección sustancialmente equivalente al de este DPA, considerando la naturaleza del servicio prestado.

7.3 Cambios. Synapta notificará al Centro, por correo electrónico o mediante aviso en la Plataforma, la incorporación o reemplazo de un Subencargado con al menos treinta (30) días corridos de anticipación, salvo que por razones de seguridad o continuidad del servicio se requiera un plazo menor, en cuyo caso notificará tan pronto como sea posible.

7.4 Objeción. El Centro podrá objetar el cambio por escrito y de forma fundada, dentro del plazo de aviso, en razón de riesgos concretos para la protección de datos. Las Partes buscarán de buena fe una solución. Si no la alcanzan, el Centro podrá poner término al Contrato Principal respecto de los Servicios afectados sin penalidad y con reembolso proporcional de lo pagado por períodos no utilizados. Este será el único y exclusivo remedio del Centro ante la objeción.

7.5 Funcionalidades opcionales. Los Subencargados vinculados a funcionalidades que el Centro active voluntariamente (por ejemplo, mensajería por WhatsApp o pagos en línea) solo tratarán datos si el Centro activa dicha funcionalidad. La activación importa la aceptación de ese Subencargado y, cuando corresponda, de los términos del proveedor respectivo.

7.6 Synapta responderá frente al Centro por el cumplimiento de sus Subencargados de las obligaciones de este DPA, en los términos y con los límites de la cláusula Décimo Quinta.

8.1 El Centro reconoce y autoriza que, por la naturaleza de la infraestructura de nube utilizada, Datos Personales del Centro sean almacenados o tratados fuera de Chile, en los países indicados en el Anexo III.

8.2 Synapta realizará dichas transferencias al amparo de alguna de las bases que contemple la Normativa de Protección de Datos, incluyendo, según corresponda, países con nivel adecuado de protección declarado por la Agencia, cláusulas contractuales tipo o modelos de contrato aprobados por la Agencia, o garantías contractuales adecuadas suscritas con el Subencargado. Cuando la Agencia apruebe cláusulas tipo, Synapta adoptará las medidas razonables para incorporarlas dentro del plazo que fije la normativa.

8.3 Corresponde al Centro informar a los Titulares sobre dichas transferencias, conforme a la cláusula Cuarta, letra b).

9.1 Las Funciones de IA se describen en el Anexo I. Synapta solo transmitirá al proveedor de IA los datos estrictamente necesarios para ejecutar la función solicitada.

9.2 Synapta declara que su proveedor de IA, bajo sus condiciones comerciales para uso por API, no utiliza los datos enviados para entrenar sus modelos. Synapta no activará funciones de IA que impliquen entrenamiento con Datos Personales del Centro.

9.3 Carácter de apoyo. Los resultados de las Funciones de IA (resúmenes, borradores de notas clínicas, informes, respuestas del asistente de agendamiento) son sugerencias de apoyo que pueden contener errores u omisiones. No constituyen diagnóstico, indicación terapéutica ni acto médico. El profesional de salud del Centro debe revisar, corregir y validar todo contenido antes de incorporarlo a la ficha clínica o de utilizarlo en decisiones de atención. Las decisiones clínicas y su responsabilidad corresponden exclusivamente al Centro y a sus profesionales.

9.4 El asistente de agendamiento no entrega orientación clínica a pacientes y está configurado para derivar al Centro toda consulta de salud. El Centro es responsable del contenido que configure en él.

9.5 El Centro podrá solicitar la desactivación de las Funciones de IA disponibles en su plan, sin que ello afecte el precio pactado.

9.6 Las funcionalidades de grabación o transcripción de consultas no forman parte de los Servicios cubiertos por este DPA. Su eventual habilitación requerirá un anexo específico, previa evaluación de impacto y regulación del consentimiento de los Titulares.

10.1 La atención de las solicitudes de acceso, rectificación, supresión, oposición, portabilidad, bloqueo y demás derechos que la ley reconoce a los Titulares corresponde al Centro.

10.2 Si Synapta recibe directamente una solicitud de un Titular relativa a Datos Personales del Centro, la remitirá al Centro dentro de cinco (5) días hábiles y no la responderá por sí misma, salvo para indicar al Titular que su solicitud fue derivada al Centro o que así lo instruya el Centro por escrito.

10.3 Synapta pondrá a disposición del Centro las herramientas de la Plataforma que le permitan consultar, rectificar y exportar los datos de los Titulares. Cuando la solicitud no pueda ser atendida con dichas herramientas, Synapta prestará asistencia razonable. Si la asistencia requerida excede lo razonable o se vuelve recurrente, Synapta podrá cobrarla a las tarifas de servicios profesionales vigentes, previa aprobación del Centro.

10.4 La supresión de datos que formen parte de la ficha clínica queda sujeta a los plazos legales de conservación. El Centro es responsable de evaluar su procedencia antes de instruirla.

11.1 Notificación al Centro. Synapta notificará al Centro todo Incidente de Seguridad que afecte Datos Personales del Centro sin dilaciones indebidas y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes a que Synapta haya confirmado su ocurrencia, al correo electrónico de contacto de protección de datos informado por el Centro.

11.2 Contenido. La notificación incluirá, en la medida en que la información esté disponible: (a) la naturaleza del Incidente; (b) las categorías y el número aproximado de Titulares y registros afectados; (c) sus consecuencias probables; (d) las medidas adoptadas o propuestas para mitigarlo; y (e) un punto de contacto. Si la información no está disponible de inmediato, Synapta la entregará de forma gradual y sin dilación.

11.3 Contención y cooperación. Synapta adoptará sin dilación las medidas razonables para contener el Incidente, mitigar sus efectos e investigar su causa, y cooperará con el Centro para que este cumpla sus obligaciones de notificación a la Agencia, a los Titulares y, cuando corresponda, al Equipo Nacional de Respuesta a Incidentes de Seguridad Informática (CSIRT) bajo la Ley N° 21.663.

11.4 Notificaciones a terceros. Corresponde al Centro, en su calidad de responsable, notificar a la Agencia y a los Titulares. Synapta no efectuará notificaciones a Titulares, a la Agencia ni a medios de comunicación en nombre del Centro, salvo instrucción escrita del Centro u obligación legal propia.

11.5 Sin reconocimiento de responsabilidad. La notificación o gestión de un Incidente por parte de Synapta no importa reconocimiento de culpa ni de responsabilidad.

11.6 El Centro notificará a Synapta, dentro del mismo plazo, todo Incidente del que tome conocimiento que se origine en sus Usuarios Autorizados, credenciales o dispositivos y que pueda afectar la Plataforma.

Synapta proporcionará al Centro la información razonablemente disponible sobre los Servicios que el Centro requiera para realizar evaluaciones de impacto en protección de datos o atender requerimientos de la Agencia u otra autoridad. Synapta podrá cumplir esta obligación mediante documentación estándar (descripción técnica, Anexos de este DPA, certificaciones o informes de sus Subencargados). La asistencia adicional podrá cobrarse según la cláusula 10.3.

13.1 Synapta pondrá a disposición del Centro, a su solicitud escrita, la información necesaria para demostrar el cumplimiento de este DPA, preferentemente mediante cuestionarios de seguridad, documentación técnica y certificaciones o informes de auditoría de sus Subencargados.

13.2 Si dicha información fuere razonablemente insuficiente, el Centro podrá realizar una auditoría, directamente o a través de un auditor independiente que no sea competidor de Synapta, bajo las siguientes condiciones: (a) aviso escrito con al menos treinta (30) días corridos de anticipación y un plan de auditoría; (b) máximo una (1) vez por año calendario; (c) en horario hábil, sin afectar la operación de los Servicios; (d) sujeta a un acuerdo de confidencialidad previo; (e) limitada a los sistemas y registros relativos a los Datos Personales del Centro, sin acceso a datos de otros clientes ni a la infraestructura de los Subencargados, respecto de los cuales se estará a sus certificaciones; y (f) a costo exclusivo del Centro, incluido el tiempo del personal de Synapta a las tarifas vigentes.

13.3 El límite de frecuencia de la letra (b) no aplicará cuando la auditoría sea exigida por la Agencia u otra autoridad competente, o tras un Incidente de Seguridad que haya afectado Datos Personales del Centro.

14.1 Durante la vigencia. El Centro podrá exportar en todo momento sus datos mediante las herramientas de la Plataforma o solicitando a Synapta una exportación en formato estructurado y de uso común (CSV o JSON), la que se entregará dentro de quince (15) días hábiles desde la solicitud.

14.3 Avisos previos. Synapta enviará al Centro al menos dos avisos escritos antes de la supresión definitiva: uno al inicio del período de devolución y otro con no menos de diez (10) días corridos de anticipación a su vencimiento.

14.4 Supresión. Vencido el período de devolución, o antes si el Centro confirma por escrito haber recibido conforme la exportación y solicita la supresión, Synapta suprimirá de forma segura los Datos Personales del Centro de sus sistemas productivos. Las copias contenidas en respaldos se eliminarán conforme al ciclo automático de rotación de respaldos descrito en el Anexo II, permaneciendo entretanto protegidas y sin uso activo. A solicitud del Centro, Synapta emitirá un certificado de supresión.

14.5 Deber de conservación del Centro. El Centro reconoce que la obligación legal de conservar la ficha clínica le corresponde exclusivamente y que es su responsabilidad exportar y resguardar sus datos dentro del período de devolución. Synapta no será responsable por la pérdida de datos que resulte de la supresión efectuada conforme a esta cláusula.

14.6 Conservación por obligación legal. Synapta podrá conservar los datos que deba mantener por mandato legal o para el ejercicio o defensa de reclamaciones, bloqueados y solo por el tiempo que la ley exija o por el plazo de prescripción de las acciones respectivas.

14.7 Reactivación. Si el Centro reactiva los Servicios dentro del período de devolución, sus datos serán restaurados.

15.1 Responsabilidad por hecho propio. Cada Parte responderá por los daños que cause a la otra o a terceros por el incumplimiento de sus propias obligaciones bajo este DPA y la Normativa de Protección de Datos. Synapta responderá como encargado solo por los daños causados por el incumplimiento de las obligaciones que la ley impone específicamente a los encargados o por haber actuado al margen o en contra de las Instrucciones Documentadas lícitas del Centro.

15.2 Indemnidad a favor de Synapta. El Centro mantendrá indemne a Synapta frente a reclamos, sanciones, multas, costas y gastos razonables de defensa que se originen en: (a) la falta de base de licitud o de consentimiento para el tratamiento encomendado; (b) instrucciones ilícitas del Centro; (c) el uso indebido de la Plataforma o de credenciales por Usuarios Autorizados; (d) la exactitud o licitud de los datos cargados por el Centro; (e) decisiones clínicas adoptadas sobre la base de resultados de Funciones de IA no revisados por un profesional; o (f) el incumplimiento del deber de conservación de la ficha clínica.

15.3 Multas y sanciones. Cada Parte soportará las multas y sanciones administrativas que le sean impuestas en razón de su propia conducta. Si una sanción impuesta a una Parte se origina, total o parcialmente, en el incumplimiento de la otra, esta la reembolsará en la proporción que le sea imputable, con el límite de la cláusula 15.4.

15.5 Daños excluidos. En la máxima medida permitida por la ley, ninguna Parte responderá por lucro cesante, pérdida de ingresos, de clientela o de oportunidades de negocio, ni por daños indirectos o imprevistos.

15.6 Excepciones. Las limitaciones de las cláusulas 15.4 y 15.5 no se aplicarán a los daños causados con dolo o culpa grave, ni a las obligaciones de indemnidad del Centro establecidas en la cláusula 15.2.

15.7 Requisito de reclamo. Toda reclamación deberá notificarse por escrito a la otra Parte, con descripción razonable de los hechos, dentro de los noventa (90) días corridos siguientes a que la Parte reclamante haya tomado conocimiento de ellos, sin perjuicio de los plazos de prescripción legales.

Este DPA entra en vigor en la fecha de su firma o, si fuere anterior, en la fecha en que Synapta comience a tratar Datos Personales del Centro, y se mantendrá vigente mientras dure el Contrato Principal y, posteriormente, mientras Synapta conserve Datos Personales del Centro. Las cláusulas Quinta (5.3 y 5.4), Décimo Cuarta, Décimo Quinta y Décimo Octava subsistirán a su término.

17.1 Las modificaciones a este DPA constarán por escrito y firmadas por ambas Partes, salvo lo dispuesto en las cláusulas 6.2, 7.3 y 17.2.

17.2 Synapta podrá modificar este DPA cuando sea necesario para ajustarlo a cambios en la Normativa de Protección de Datos, a instrucciones o cláusulas tipo de la Agencia, o a cambios en sus Subencargados, notificando al Centro con treinta (30) días corridos de anticipación. Si la modificación disminuye materialmente la protección de los Datos Personales del Centro, este podrá poner término al Contrato Principal sin penalidad dentro de dicho plazo.

18.1 Este DPA se rige por las leyes de la República de Chile.

18.2 Las Partes mantendrán la confidencialidad de los términos de este DPA y de la información técnica y de seguridad que intercambien en su virtud, salvo requerimiento legal o de autoridad.

18.3 Toda controversia derivada de este DPA se someterá a la competencia de los tribunales ordinarios de justicia de la ciudad y comuna de Santiago, para lo cual las Partes fijan domicilio en dicha comuna.

18.4 Si alguna disposición de este DPA fuere declarada nula o inaplicable, las demás mantendrán plena vigencia, y las Partes la reemplazarán por una válida que se aproxime en lo posible a su intención original.

Las comunicaciones relativas a este DPA, incluidas las notificaciones de Incidentes de Seguridad, se efectuarán por correo electrónico a las siguientes direcciones, que cada Parte deberá mantener actualizadas:

El presente DPA se firma en dos ejemplares de igual tenor, quedando uno en poder de cada Parte, o mediante firma electrónica conforme a la Ley N° 19.799.

A. Control de acceso y aislamiento

1. Aislamiento lógico entre centros mediante políticas de seguridad a nivel de fila (Row Level Security) en la base de datos, que restringen cada consulta a los datos de la clínica del usuario autenticado.
2. Credenciales individuales e intransferibles por Usuario Autorizado; perfiles y permisos definidos por el Centro; cambio obligatorio de contraseña en el primer acceso.
3. Validación de sesión y pertenencia a la clínica del lado del servidor para operaciones administrativas.
4. Acceso del personal de Synapta a producción restringido a personal autorizado, con mínimo privilegio. Autenticación multifactor (MFA) obligatoria en todas las cuentas de administración de infraestructura (base de datos, hosting, repositorios de código, proveedores de IA y correo) y protección contra contraseñas filtradas en la autenticación de Usuarios Autorizados.

B. Cifrado

5. Cifrado en tránsito mediante TLS en todas las comunicaciones con la Plataforma.
6. Cifrado en reposo de la base de datos y respaldos, provisto por la infraestructura del Subencargado de base de datos.
7. Cifrado adicional a nivel de aplicación (AES-256) de credenciales de integración con terceros; verificación de firma (HMAC) de los webhooks entrantes.

C. Integridad y trazabilidad

8. Bloqueo de modificación de notas clínicas una vez firmadas, preservando la integridad de la ficha.
9. Registro de eventos de aplicación y monitoreo de errores, con configuración orientada a excluir datos clínicos de los registros.

D. Disponibilidad y continuidad

10. Respaldos automáticos diarios de la base de datos, con retención de siete (7) días y rotación automática.
11. Infraestructura en nube con alta disponibilidad provista por los Subencargados.

E. Protección perimetral y desarrollo seguro

12. Firewall de aplicación web (WAF) y límites de tasa (rate limiting) en los puntos de acceso públicos.
13. Separación de ambientes de desarrollo, prueba y producción; pruebas con datos sintéticos, sin datos reales de pacientes.
14. Revisiones periódicas de seguridad de la base de datos (advisors de seguridad) y corrección priorizada de hallazgos.

F. Organizativas

15. Compromisos de confidencialidad de todo el personal con acceso a datos.
16. Procedimiento documentado de gestión de Incidentes de Seguridad conforme a la cláusula Undécima.
17. Minimización de datos enviados a proveedores de IA y a servicios de monitoreo.

Synapta mantendrá esta lista actualizada y la notificará conforme a la cláusula 7.3.