Data processing terms / Términos de tratamiento de datos

Last updated / Última actualización: 26 Oct 2026. This is a plain-language summary of how Cúspide Online handles data. It is not legal advice. A signed data processing agreement is available on request: cuspide593@gmail.com. / Es un resumen en lenguaje claro de cómo Cúspide Online trata los datos. No es asesoría legal. Hay un acuerdo firmado de tratamiento de datos si se solicita.

English

• Roles. The dental practice decides why and how patient data is used (controller). Fonendo Labs provides the software and stores data on the practice’s behalf (processor).
• Encryption. Patient names, phones, emails, dates of birth, allergies, notes, odontograms, periodontal charts, treatment descriptions, appointment reasons and consent texts and signatures are encrypted in the browser (AES-256-GCM) with a key derived from the practice’s password (PBKDF2-SHA-256). Fonendo Labs never receives the password or the key. Booking requests from patients are encrypted with the practice’s public key (RSA-OAEP) so only the practice can open them. Data is also protected in transit (TLS).
• What Fonendo Labs can see. Practice name and email, subscription status, appointment dates and times, durations and statuses, amounts of charges and payments, counts of records, and technical logs. It cannot see patient identities, clinical notes or descriptions.
• Sub-processors. Cloudflare, Inc. (hosting, database and delivery network) and Dodo Payments (billing: practice email and name only). Dental literature searches go to PubMed (U.S. National Library of Medicine) through our server and contain only the search words typed.
• Location. Data is stored on Cloudflare’s global infrastructure; a specific country or region is not guaranteed. International transfers can be covered by standard contractual clauses on request.
• Retention and deletion. Data is kept while the account is active. The practice can download everything and delete the account at any time, which deletes the stored data. Provider backups may persist for a limited period afterwards.
• Security incidents. Fonendo Labs will notify affected practices without undue delay after becoming aware of an incident affecting their data.
• Practice responsibilities. The practice keeps its password and recovery code safe (lost credentials cannot be recovered by Fonendo Labs), obtains any consent it needs from patients, and follows the privacy and health-data rules of its country (for example HIPAA in the United States and GDPR in the European Union). Cúspide Online is not HIPAA-certified and does not currently sign business associate agreements.
• Requests from patients. Because Fonendo Labs cannot read patient data, access, correction and deletion requests from patients must be handled by the practice using the tools in the app (edit, delete, download).

Español

• Roles. El consultorio decide para qué y cómo se usan los datos de sus pacientes (responsable). Fonendo Labs ofrece el programa y guarda los datos por cuenta del consultorio (encargado).
• Cifrado. Nombres, teléfonos, correos, fechas de nacimiento, alergias, notas, odontogramas, perfiles periodontales, descripciones de tratamientos, motivos de cita y textos y firmas de consentimientos se cifran en el navegador (AES-256-GCM) con una clave derivada de la contraseña del consultorio (PBKDF2-SHA-256). Fonendo Labs nunca recibe la contraseña ni la clave. Las solicitudes de cita de los pacientes se cifran con la clave pública del consultorio (RSA-OAEP) para que solo él las abra. Los datos también viajan protegidos (TLS).
• Lo que Fonendo Labs puede ver. Nombre y correo del consultorio, estado de la suscripción, fechas, horas, duraciones y estados de las citas, montos de cobros y abonos, cantidad de registros y registros técnicos. No puede ver identidades de pacientes ni notas o descripciones clínicas.
• Subencargados. Cloudflare, Inc. (alojamiento, base de datos y red de entrega) y Dodo Payments (cobro: solo correo y nombre del consultorio). Las búsquedas de literatura van a PubMed (Biblioteca Nacional de Medicina de EE. UU.) a través de nuestro servidor y contienen solo las palabras escritas.
• Ubicación. Los datos se guardan en la infraestructura global de Cloudflare; no se garantiza un país o región concretos. Las transferencias internacionales pueden cubrirse con cláusulas contractuales tipo si se solicitan.
• Conservación y borrado. Los datos se conservan mientras la cuenta esté activa. El consultorio puede descargar todo y borrar la cuenta cuando quiera, lo que elimina los datos guardados. Las copias de respaldo del proveedor pueden persistir un tiempo limitado.
• Incidentes de seguridad. Fonendo Labs avisará a los consultorios afectados sin demora indebida tras tener conocimiento de un incidente que afecte a sus datos.
• Responsabilidades del consultorio. Guardar la contraseña y el código de recuperación (Fonendo Labs no puede recuperar credenciales perdidas), obtener los consentimientos que necesite de sus pacientes y cumplir las normas de privacidad y de datos de salud de su país (por ejemplo HIPAA en EE. UU. y RGPD en la Unión Europea). Cúspide Online no está certificado en HIPAA y por ahora no firma acuerdos de socio comercial (BAA).
• Solicitudes de pacientes. Como Fonendo Labs no puede leer los datos, las solicitudes de acceso, corrección y borrado de los pacientes las atiende el consultorio con las herramientas de la app (editar, borrar, descargar).