Datos y seguridad
Lo que tu delegado de protección de datos va a preguntar.
Esta página está escrita para que la reenvíes tal cual. Si tu DPO necesita algo que no esté aquí, escríbeme y lo añado.
01
Los datos llegan ya anonimizados
No recibo identificadores directos: ni nombres, ni DNI, ni correos, ni números de historia clínica. El vínculo entre el código de participante y la persona se queda siempre en vuestro lado, porque sois vosotros quienes enviáis los informes. Si el conjunto que me mandáis contiene identificadores, paramos y los quitáis antes de que yo abra el archivo.
02
Mi papel jurídico es el de encargado del tratamiento
Vosotros seguís siendo los responsables. Firmo el contrato de encargado de tratamiento del artículo 28 del RGPD antes de recibir ningún dato, no después. Trato los datos únicamente para generar los informes acordados y bajo vuestras instrucciones.
03
Transferencia y almacenamiento
Cifrado en tránsito y en reposo, y almacenamiento dentro de la Unión Europea. Nada de adjuntos por correo: uso un enlace de subida cifrado y de un solo uso que os paso al empezar.
04
Borrado a los 30 días
Treinta días naturales después de la entrega final, borro los datos de origen y los intermedios, y os confirmo el borrado por escrito. Si vais a hacer otra oleada y os interesa que conserve las plantillas y la estructura, se acuerda por escrito y se refleja en el contrato.
05
Subprocesadores, con nombre
Os entrego la lista de los servicios que intervienen, con su función y su ubicación, antes de firmar. Si cambia alguno, os aviso antes del cambio y podéis oponeros. Sin letra pequeña y sin "proveedores de confianza" sin nombre.
06
Vuestros datos no entrenan ningún modelo
Ni míos ni de terceros. El análisis se hace con R y Python sobre vuestro conjunto y nada de lo que me enviáis se usa para mejorar ningún sistema, ni se envía a ningún servicio de inteligencia artificial de terceros.
Y si aparece algo preocupante en los datos
Puede pasar: una puntuación de ideación suicida por encima del umbral, un patrón que sugiere riesgo. En ese caso te aviso a ti, nunca al participante, con el código de participante y el criterio concreto que ha saltado, y decidís vosotros con vuestro comité según el protocolo que ya tengáis aprobado.
Yo no tengo la identidad de esa persona ni relación asistencial con ella, así que no me corresponde contactarla. Lo que sí hago es no dejar pasar el hallazgo en silencio, y diseñar el informe para que ese caso tenga siempre una salida visible hacia vuestros recursos de apoyo.
¿Te falta algún documento para poder empezar?
Dímelo y te lo mando: contrato de encargado de tratamiento, lista de subprocesadores o el texto de devolución para la hoja de información al participante.