Traducción de cortesía — solo el texto francés es vinculante. Esta traducción al español del contrato «Carnet», versión 2026-10-10 (en vigor desde el 10 de octubre de 2026), se ofrece únicamente para facilitar su lectura. Solo el texto francés (docs/contrat-lien.md) se acepta y hace fe; en caso de divergencia entre ambos textos, prevalece el texto francés. Las referencias a leyes suizas (CO, CPC, LAMal, LPD, LRFP, CP, etc.) remiten a su texto oficial publicado en Fedlex. Los textos de los botones están traducidos, con el texto francés entre paréntesis: lo que se acepta es el texto francés. El anexo MUNDO (venta por revendedor) tiene su propia traducción de cortesía (docs/courtoisie/es/annexe-monde-lien.md).

Contrato de edición y de servicio «Carnet» — Condiciones generales

Partes

• El Editor: David Lambrecht, editor del software «Carnet», Sierre (Valais), Suiza.
• El Cliente: el o la profesional de la salud autónomo/a usuario/a del software, que actúa en el marco de su actividad profesional (no consumidor en el sentido del art. 32 CPC [Código Procesal Civil suizo]).

Versión: 2026-10-10, en vigor desde el 10 de octubre de 2026 (sustituye a la versión 2026-10-09; identificador único compartido con la aplicación: la versión aceptada por el Cliente y el sello de tiempo de su aceptación quedan registrados por la aplicación y se transmiten como recibo al servidor; cf. sección 14).

Antes de aceptar — las cláusulas especialmente señaladas. Este contrato se acepta con un solo gesto, con sello de tiempo y vinculado a su versión (sección 14). Las cláusulas siguientes le comprometen más que las demás: cada una lleva, en el texto, la mención «cláusula especialmente señalada» y su contenido esencial está escrito en negrita. Son estas, en términos claros:

- Responsabilidad del Editor limitada: por culpa leve, como máximo el importe más alto entre las cuotas de los últimos doce meses y CHF 10'000.—, por evento y en total por año contractual, sin los daños indirectos; quedan a salvo el dolo, la culpa grave y las disposiciones imperativas (7.4, 7.5); - Reclamaciones de los pacientes y de terceros: usted mantiene indemne al Editor frente a las que nazcan de su uso, de sus datos o de sus decisiones de cuidados (7.7); - Ninguna recuperación sin sus secretos: si pierde todos sus medios de acceso (contraseña, clave de recuperación, Hoja de recuperación y el contacto de recuperación si lo ha activado), sus datos se pierden para siempre; el Editor no puede volver a abrirlos (7.9, 10.5, 10.6); - Tribunales competentes en Sierre (Valais): un litigio se juzga ante los tribunales de Sierre, sin perjuicio de los fueros imperativos (13.2); - Modificaciones del contrato: las menores se consideran aceptadas si usted no pone fin al contrato en los treinta días (12.1); una modificación sustancial espera su «Acepto (J'accepte)» o su «Rechazo (Je refuse)»; si no responde en los treinta días siguientes a su presentación, la sincronización espera su respuesta, y la aplicación sigue funcionando en su dispositivo (12.2); - Puerta de recuperación y depositarios: lo que el Editor conserva y en qué condiciones lo devuelve (10.8, 9.11); - Ningún seguro del Editor: en la fecha de esta versión, el Editor no ha contratado ningún seguro de responsabilidad civil y no promete ninguno; responde de sus compromisos con su patrimonio, dentro de los límites de la sección 7, y su responsabilidad legal (LRFP) permanece íntegra (3.5, 7.11); - Pacientes atendidos/as en Francia: usted declara no atenderlos con esta cuenta — ni con el servicio gestionado, ni con una función que deposite datos en el servidor (sustitución, recuperación, red de seguridad, transferencia entre dispositivos); si esta declaración es falsa, el Editor puede poner fin al contrato, y usted responde por sí solo/a de las consecuencias legales en Francia (4.1ter); - Ámbito cantonal (2.5), acceso anticipado — fase beta (3.8), IVA (5.5), solicitudes de autoridades (9.14), cesión del contrato (12.4); - solo en la suscripción: la suscripción de pago solo comienza con su confirmación, al término de la prueba gratuita de treinta días — sin confirmación, el servicio gestionado se detiene y el uso local continúa (5.1bis) —, la parte pagada por adelantado que conserva el Editor si pone fin al contrato por una culpa suya — en todos los demás casos, se le reembolsa a prorrata (5.2) —, remedios exclusivos en caso de indisponibilidad (3.2), retirada de una función por seguridad o conformidad (12.3), versión no instalada (7.12), cese del servicio con preaviso de 90 días (11.3) — y las condiciones de la propia suscripción (5.6).

Este recuadro resume; el texto de las cláusulas hace fe.

1. Situación inicial e intención de las partes

1.1 El Editor desarrolla y publica «Carnet», aplicación web progresiva (PWA) zero-knowledge (conocimiento cero) para llevar los registros de enfermería, planificar la ruta de visitas domiciliarias y facturar, destinada a los y las profesionales de la salud autónomos/as que ejercen en Suiza (en primer lugar en la Suiza francófona) — véase la cláusula 2.5 (ámbito cantonal).

1.2 El software se publica bajo la licencia libre GNU Affero General Public License versión 3 (AGPLv3). El código fuente es públicamente accesible y auditable en la dirección https://carnet.health/source/ (archivo de cada versión desplegada, etiquetas incluidas), durante toda la duración de la explotación del servicio. El Editor no vende una licencia de uso del código — libre por naturaleza — sino prestaciones de servicio (alojamiento de la sincronización ciega, soporte, servicio de depositario, copias de seguridad gestionadas).

1.3 «Carnet» se basa en una arquitectura zero-knowledge: la totalidad de los registros se cifra de extremo a extremo en el dispositivo del Cliente, mediante claves derivadas únicamente de su contraseña y de su clave de recuperación. El Editor no tiene ningún acceso a los datos en claro y no posee ninguna clave que le permita, solo o conjuntamente con el servidor, descifrar los datos del Cliente — ni contraseña de administración, ni puerta trasera. Solo posee la clave privada de custodia del mecanismo de recuperación (sección 10.5), que únicamente desprecinta una parte de dicho mecanismo, inoperante sin las 8 palabras de la Hoja de recuperación — o, si el Cliente ha activado expresamente un contacto de recuperación, sin el código entregado a dicho contacto —, secretos que el Editor nunca conoce y que nunca transitan por el servidor. Esta propiedad es verificable en el código fuente público (AGPLv3). La soberanía del Cliente sobre sus datos es una propiedad esencial y deseada del producto, y no un defecto.

1.4 Las partes convienen en que esta arquitectura conlleva consecuencias que el Cliente declara haber comprendido y aceptado, en particular: la custodia de la contraseña y de la clave de recuperación, la realización de las copias de seguridad y la conservación legal de los registros incumben exclusivamente al Cliente (secciones 4 y 10).

2. Objeto del contrato

2.1 El presente contrato regula la puesta a disposición del software «Carnet» y la prestación de los servicios asociados, así como el reparto de los derechos y de las responsabilidades entre las partes. Es un contrato innominado de duración que tiene por objeto servicios informáticos continuos (alojamiento, sincronización, copias de seguridad, soporte); las reglas de la compraventa (art. 197 y ss. CO [Código de Obligaciones suizo]) no se aplican a la entrega del software libre.

2.2 Prestaciones de servicio (facturadas, salvo la letra d): (a) alojamiento en Suiza del servicio de sincronización ciega entre los dispositivos del Cliente; (b) conservación de copias de seguridad cifradas; (c) soporte; (d) puesta a disposición del conector de envío a la red MediData (cláusula 9.7bis), programa libre instalado en el equipo del Cliente, que se utiliza sin suscripción (cláusula 5.1ter letra a); el Editor no encamina ninguna factura y no posee ni entrega ningún certificado de acceso a la red, ya que el Cliente obtiene el suyo de MediData en el marco de su propia conexión; (e) en su caso, servicio de depositario de la clave de recuperación.

2.3 Finalidad prevista del software (intended purpose). El Editor asigna al software la finalidad estricta y exclusivamente siguiente: (i) llevar y conservar los registros de enfermería bajo el control del o de la profesional; (ii) organizar las rutas de visitas, las planificaciones y los recordatorios administrativos; (iii) preparar y transmitir las facturas y los documentos administrativos (en particular OPAS [ordenanza del Departamento Federal del Interior sobre las prestaciones del seguro obligatorio de cuidados médicos]/MediData); (iv) poner a disposición del o de la profesional informaciones de referencia documentales que reproducen fuentes publicadas y citadas (fichas de referencias habituales por sustancia, baremos y consignas oficiales de los instrumentos de evaluación), sin aplicación automática a los datos de un paciente determinado; los controles del software se limitan a la calidad formal de las entradas y de los documentos (escritura de las dosis según las reglas ISMP, unidades que faltan, verosimilitud de lo tecleado). El software no está destinado ni a establecer un diagnóstico, ni a prescribir, ni a vigilar parámetros fisiológicos, ni a determinar o recomendar un tratamiento para un paciente determinado, ni a sustituir la apreciación clínica.

2.4 Posicionamiento respecto del derecho de los productos sanitarios. El software está destinado a llevar los registros de enfermería, a organizar las rutas de visitas y a la facturación. No se comercializa como producto sanitario: no ejecuta ninguna función de diagnóstico, prevención, vigilancia, predicción o tratamiento para un paciente determinado; sus controles se limitan a la calidad formal de las entradas y de los documentos, y las informaciones de referencia que muestra reproducen fuentes publicadas, citadas, sin aplicación automática a los datos de un paciente. A la vista de esta finalidad, de la funcionalidad efectiva del software y del árbol de cualificación de la guía MDCG 2019-11 Rev.1, el Editor considera que el software no persigue ninguna de las finalidades médicas enumeradas en el art. 3 de la Ordenanza sobre los productos sanitarios (ODim, RS 812.213) ni en el art. 2, punto 1, del Reglamento (UE) 2017/745 (MDR), y que por tanto no constituye un producto sanitario sujeto a evaluación de la conformidad. Las partes reconocen que la cualificación como producto sanitario es objetiva: corresponde a la apreciación de Swissmedic y, en su caso, del juez, y no al acuerdo de las partes. El presente contrato documenta el encuadre adoptado por el Editor; no califica el software de manera oponible a las autoridades. El Editor se reserva la facultad prevista en la sección 12 de adaptar, restringir o retirar una función en caso de evolución reglamentaria o de dictamen contrario de una autoridad competente.

2.5 Ámbito cantonal (cláusula especialmente señalada). El software está concebido para el ejercicio en la Suiza francófona: Valais, Vaud, Ginebra, Friburgo, Neuchâtel, Jura y cantón de Berna (Jura bernés). Los textos cantonales mostrados — autoridad de supervisión, enlaces de continuidad asistencial, líneas de urgencia, plazo de conservación de los registros y regla de sustitución — siguen el cantón del consultorio, deducido de su código postal o confirmado por el Cliente; citan la ley cantonal leída por el Editor, y un hecho que no ha podido verificar no se muestra. El directorio de localidades cubre toda Suiza. La liquidación de la financiación residual de los cuidados se prepara en el dispositivo del Cliente y sigue el cantón de domicilio de la persona asegurada el día del cuidado (art. 25a, apdo. 5, LAMal [Ley federal sobre el seguro de enfermedad]), según la dirección registrada en el expediente; un cuidado cuya dirección no designa un solo cantón no se atribuye a ninguno mientras no se precise. Para una persona asegurada domiciliada en el cantón del consultorio, la liquidación se prepara para el Valais (modelo oficial valesano, centros médico-sociales), Ginebra (modelo oficial), Friburgo (formulario oficial del Servicio de previsión social, para los cuidados prestados del 01.10.2026 al 31.03.2027; para los cuidados prestados a partir del 01.04.2027, dicho servicio exige que la liquidación de una enfermera autorizada en Friburgo sea establecida por un organismo de facturación que él reconozca, lo que el Editor no es y que el software no sustituye), Berna (totales que deben introducirse en el portal cantonal y hoja de prueba), el Jura y Neuchâtel (modelos oficiales). Para una persona asegurada domiciliada en un cantón distinto del del consultorio, el software prepara el documento que ese cantón solicita cuando el Editor conoce el procedimiento (Ginebra: liquidación detallada; Friburgo y Neuchâtel: su modelo); en su defecto, no calcula ningún importe, y el Cliente declara esos cuidados según las reglas del cantón o del municipio de domicilio. El Cliente presenta él mismo cada liquidación y verifica su contenido, tarifas aplicadas incluidas, antes de presentarla. Para Vaud, declara la financiación residual según las reglas del cantón, fuera del software, hasta que su cobertura se anuncie por escrito. En los demás cantones, los textos cantonales son neutros, y el Editor no garantiza la aptitud del software para el ejercicio en un cantón cuya cobertura no se haya anunciado por escrito. El resto del software — registros de enfermería, rutas de visitas, prescripciones OPAS, facturación al seguro obligatorio de enfermedad y transmisión MediData — se basa en derecho federal y en convenios nacionales, y no se ve afectado. Corresponde al Cliente verificar las exigencias de su propio cantón; el Editor le asiste a petición, sin responder de ello. Esta cláusula delimita la aptitud prometida; no restringe ningún derecho imperativo del Cliente.

2.6 El Cliente reconoce que puede ejecutar «Carnet» sin suscribir el servicio gestionado, ya que el código es libre; la cuota remunera exclusivamente el servicio, no el software.

3. Obligaciones del Editor (obligación de medios)

3.1 Naturaleza de la prestación. El Editor se compromete a proporcionar y mantener el software y los servicios con la diligencia exigible a un prestador de su sector (obligación de medios, no de resultado). No garantiza ni un resultado clínico, administrativo o financiero determinado, ni un funcionamiento ininterrumpido y exento de todo error, ya que tal ausencia total de defectos es técnicamente imposible para cualquier software.

3.2 El Editor pone a disposición actualizaciones correctivas y de seguridad y procura mantener la disponibilidad del servicio de sincronización. No se garantiza ningún nivel de servicio cuantificado (SLA); en cambio: una indisponibilidad del servicio de sincronización imputable al Editor (salvo la fuerza mayor de la cláusula 7.8) que exceda de diez (10) días consecutivos da derecho a un abono a prorrata en el siguiente vencimiento; más allá de treinta (30) días, el Cliente puede poner fin al contrato con reembolso a prorrata. (Cláusula especialmente señalada, 14.2 letra i:) Estos remedios excluyen cualquier otra pretensión por la misma causa, quedando a salvo los arts. 100 y 101 CO. Se recuerda al Cliente que la aplicación funciona en local para llevar los registros, la planificación, la impresión y la preparación de las facturas; la sincronización entre dispositivos depende, en cambio, del servicio. La transmisión de las facturas a la red MediData no depende de él: parte del conector instalado en el equipo del Cliente, bajo su propio certificado (9.7bis).

3.3 El Editor asegura una seguridad de los datos adecuada al riesgo (sección 9): cifrado de extremo a extremo (sin poseer ninguna clave), cifrado de los transportes (TLS), compartimentación y restricción de los accesos de administración, copias de seguridad cifradas fuera del sitio, alojamiento en Suiza. Los registros de acceso del servicio están desactivados (cláusula 9.3).

3.4 El Editor mantiene el código fuente de la versión oficial públicamente accesible — en la dirección https://carnet.health/source/, archivo de cada versión desplegada — durante toda la duración de la explotación comercial del servicio.

3.5 Seguro de responsabilidad civil del Editor — no se promete ninguno (cláusula especialmente señalada, 14.2 letra f bis).

(a) En la fecha de la presente versión, el Editor no ha contratado ningún seguro de responsabilidad civil que cubra su actividad de editor del software y de prestador del servicio gestionado. No promete contratar uno, ni en una fecha, ni con una condición de volumen o de cifra de negocios, ni para una extensión o una suma determinadas; ninguna cuota está supeditada a la existencia de tal seguro. Ninguna disposición legal impone este seguro al Editor para la actividad que describe el presente contrato.

(b) Lo que esto significa para el Cliente. El Editor es una persona física que ejerce como empresario individual: responde de sus compromisos, dentro de los límites de la sección 7, con la totalidad de su patrimonio, y no hasta el importe de una suma asegurada. El Cliente sabe por tanto, antes de aceptar, que un crédito de indemnización de daños y perjuicios contra el Editor no está garantizado por ningún asegurador. Esta información no amplía ni restringe la responsabilidad del Editor: el tope de la cláusula 7.4 se aplica esté o no asegurado el Editor, y queda sin efecto, como la cláusula 7.11, en caso de dolo o culpa grave y para la responsabilidad que el derecho imperativo pone a su cargo.

(c) El Cliente conserva la elección. Si considera que la ausencia de seguro no le conviene, puede rechazar la presente versión (cláusula 12.2) o poner fin al contrato (cláusula 11.1) con reembolso a prorrata de la fracción pagada por adelantado (cláusula 5.2), y conserva el uso local de su software y la exportación de sus datos (cláusula 8.4). Se le invita a asegurarse de que su propio seguro de responsabilidad civil profesional cubre el uso de herramientas informáticas para llevar los registros de enfermería.

(d) Si el Editor contrata un seguro más adelante, puede informar de ello al Cliente y publicar la extensión de la cobertura en la página de precios; esta información no es una modificación del contrato en el sentido de la sección 12, no crea ninguna obligación de mantenerlo y no limita ni amplía la responsabilidad del Editor más allá de lo que prevén la sección 7 y el derecho imperativo.

(e) Versiones anteriores. Lo que fue gratuito bajo una versión anterior del contrato, en particular porque el Editor se había comprometido a no cobrar ninguna cuota antes de estar asegurado, nunca se factura a posteriori. El Cliente que no ha aceptado la presente versión sigue rigiéndose por la versión que aceptó, incluido ese compromiso (cláusula 12.2, «Sin respuesta»).

3.6 Soporte. El Editor presta el soporte por correo electrónico (), con un plazo de respuesta indicativo de 48 horas hábiles; las anomalías de seguridad (6.3) se tratan con prioridad. El soporte está incluido en la cuota (5.1). Se presta en la lengua del Cliente, entre las que ofrece la aplicación: francés, inglés, alemán, italiano o español; en su defecto, en francés. La lengua del soporte no cambia la lengua que hace fe (el texto francés del contrato).

3.7 Conexión a MediData. La conexión directa a la red MediData funciona desde el 6 de agosto de 2026, mediante el conector instalado en el ordenador del Cliente. Para un Cliente en cuyo equipo aún no esté activada, el software produce los ficheros de facturación en el formato oficial (XML validado), que el propio Cliente presenta en el portal de su elección; el Editor lo indica lealmente antes de la suscripción.

3.8 Acceso anticipado — fase beta del servicio gestionado (cláusula especialmente señalada). El servicio gestionado está abierto en acceso anticipado, que es una fase beta en sentido técnico: el software evoluciona rápido, varias veces por semana, y son posibles interrupciones, regresiones y defectos. El Editor lo anuncia antes de cualquier suscripción, en la pantalla de suscripción y en el sitio web, en lugar de dejar que el Cliente lo descubra después.

Esta fase no reduce ninguna de las obligaciones del Editor: las copias de seguridad (3.3, 9.5), el servicio de recuperación (10.8), los remedios en caso de indisponibilidad (3.2), la exportación de los datos (11.4) y la durabilidad del formato siguen siendo íntegramente debidos, y la responsabilidad del Editor no se aligera en nada por el acceso anticipado.

Salida sin pérdida. Durante esta fase, como después, el Cliente puede poner fin al contrato en cualquier momento, con efecto inmediato, sin gastos ni justificación; la parte pagada por adelantado y no utilizada se le reembolsa a prorrata de los días restantes (cláusulas 5.2 y 11.1). El Editor anuncia el fin del acceso anticipado en la aplicación y en el sitio web, con al menos treinta (30) días de antelación; ese fin no cambia ni el precio ni las condiciones de salida.

4. Obligaciones del Cliente — deber de verificación

4.1 El Cliente es un o una profesional de la salud habilitado/a, único/a responsable de sus actos, de sus decisiones clínicas y de su conformidad con las reglas del arte, con la Ley federal sobre las profesiones sanitarias (LPSan, RS 811.21 — arts. 11 y ss. y 16), con la LPTh [Ley federal sobre los medicamentos y los productos sanitarios] y con sus obligaciones profesionales y deontológicas (Código deontológico del CIE para la profesión de enfermería).

4.1bis Garantía de habilitación. El Cliente garantiza que dispone de la autorización cantonal para ejercer requerida (arts. 11 y ss. LPSan) así como, para el uso de la facturación a cargo del seguro obligatorio de enfermedad y de la conexión a MediData, de un número RCC/ZSR válido. Informa al Editor sin demora de cualquier retirada o suspensión de estas habilitaciones. El Editor no asume ningún deber de verificación de estos elementos. Dado que la conexión a MediData es la del Cliente, establecida bajo su propio certificado (9.7bis letra d), el Editor no tiene ningún medio de suspenderla.

4.1ter Pacientes atendidos/as en Francia — declaración del Cliente (cláusula especialmente señalada). El derecho francés reserva el alojamiento de datos de salud por cuenta de un o una profesional a un proveedor de alojamiento certificado, que los almacena en la Unión Europea o en el Espacio Económico Europeo (art. L.1111-8 del Código de Salud Pública francés); el servicio gestionado, alojado en Suiza (9.7), no cumple estas condiciones. En consecuencia, el Cliente no utiliza, para pacientes que atiende en Francia, ni el servicio gestionado ni ninguna función que deposite datos en el servidor del Editor — sustitución (9.12), puerta de recuperación (10.5, 10.8), red de seguridad del modo sustitución (9.7 ④), relé de la transferencia entre dispositivos (9.7 ①) —, y hace la declaración siguiente:

Declaración del Cliente: «No atiendo a pacientes en Francia con esta cuenta.»

Esta declaración forma parte del presente contrato: el Cliente la hace al aceptarlo, con el mismo gesto, con sello de tiempo y vinculado a la versión aceptada — en la suscripción al servicio gestionado (5.6 letra c bis) y en cada nueva aceptación de una versión del contrato (12.2) mientras utilice el servicio gestionado o alguna de esas funciones. No requiere ningún gesto separado. El uso local de la aplicación, sin ninguna de esas funciones, no está contemplado.

Declaración inexacta. Si la declaración es o llega a ser inexacta, el Editor puede poner fin al contrato por este motivo, que constituye una causa justificada en el sentido de la cláusula 11.2. El Cliente responde por sí solo de las consecuencias legales en Francia del uso que haya hecho del servicio gestionado o de esas funciones para pacientes que atiende allí, frente a esos pacientes, a las autoridades y a cualquier tercero; la cláusula 7.7 se aplica a las reclamaciones que de ello nacieran contra el Editor. La terminación no priva al Cliente ni de sus datos, que permanecen en su dispositivo, ni de su exportación (8.4), ni del uso local del software (8.7).

4.2 Deber de verificación (fundamento del art. 44 CO). Antes de utilizarlos, compartirlos, imprimirlos o transmitirlos a un tercero (paciente, aseguradora, autoridad, red MediData), el Cliente verifica la exactitud, la exhaustividad y la verosimilitud de todo dato, dosis, cálculo, referencia o documento producido o mostrado por el software. Las referencias del software no dispensan en ningún caso de esta verificación, del recurso al juicio profesional y a las fuentes oficiales (información sobre el medicamento, Compendium, ordenanzas federales aplicables).

4.3 El incumplimiento de este deber de verificación constituye una culpa concurrente del Cliente que, en el sentido del art. 44, apdo. 1, CO, reduce o suprime la responsabilidad del Editor en la medida en que haya contribuido a la producción o al agravamiento del daño.

4.4 Custodia de los secretos y copias de seguridad (cargas). El Cliente conserva su contraseña y su clave de recuperación de manera segura, separada y duradera; realiza y verifica regularmente sus copias de seguridad cifradas (.carnet) y, en su caso, recurre al mecanismo de depositario (sección 10).

4.5 Actualizaciones. El Cliente instala sin demora las actualizaciones señaladas como correctivas o de seguridad y utiliza la última versión disponible del software.

4.6 Uso conforme. El Cliente utiliza el software de conformidad con la finalidad prevista (sección 2.3) y con el derecho aplicable. Funda sus decisiones de cuidados en su propio juicio y no únicamente en las referencias del software.

4.7 Salidas en papel y ficheros exportados. Todo documento impreso o exportado fuera de la aplicación (plan de medicación, ficha OPAS, expediente de transmisión, formularios legales, ficheros PDF/ODT/DOCX, ficheros de facturación) sale nominativo y en claro y abandona el perímetro cifrado. Su custodia, su transporte, su archivo y su destrucción son responsabilidad exclusiva del Cliente, en virtud del secreto profesional (art. 321 CP [Código Penal suizo]) y de la seguridad de los datos (art. 8 LPD [Ley federal de protección de datos]). La supresión efectuada en Carnet no afecta a esas copias. Cuando un documento se marca como enviado en Carnet, se conserva una copia cifrada del ejemplar en el archivador del paciente, dentro del perímetro cifrado; no sustituye a la custodia del ejemplar que ha salido.

5. Costes y cuotas

5.1 Precio. El servicio gestionado — presentado en el sitio web y en la aplicación con el nombre de «consultorio gestionado» — se factura según una tarifa plana mensual o anual, a elección del Cliente en el momento de la suscripción: CHF 69.— al mes, o CHF 690.— al año (es decir, diez mensualidades), por puesto (cláusula 5.1ter letra d), todo incluido: sincronización entre varios dispositivos, copias de seguridad cifradas gestionadas, sustitución (cláusula 9.12), soporte, servicio de depositario y actualizaciones. La cuota remunera el servicio, no una licencia de uso del código (libre). No se pacta de antemano ninguna tarifa de lanzamiento ni ninguna subida: el Editor solo puede adaptar este precio según el procedimiento de la sección 12. Fuera de Suiza, en cada país en que la venta esté abierta y solo desde su apertura (la página de precios indica qué países lo están), el precio es el que esa página publica para el país del Cliente, sin impuestos, en la moneda de ese país (al mes, o al año por diez mensualidades), y el servicio gestionado es vendido por un revendedor: el que nombran, en el momento de la venta, las condiciones del servicio gestionado fuera de Suiza y la página de pago (9.6). Este cobra el precio, le añade el impuesto del país y entrega su recibo. El Editor presta el servicio. Mientras la venta no esté abierta en su país, el Cliente no se suscribe allí y no debe nada.

5.1bis Prueba de treinta días y, después, suscripción previa confirmación (cláusula especialmente señalada, 14.2 letra g). La suscripción al servicio gestionado abre una prueba gratuita de treinta (30) días, sustitución incluida, que corre desde el día de la primera sincronización de la cuenta del Cliente, es decir, el primer envío de datos cifrados que el servidor acepta; mientras el Cliente no haya sincronizado, la prueba no ha comenzado. El Editor constata estas fechas sin ver nada de los datos y las comunica al Cliente a petición. No se debe ninguna cuota por la prueba.

(a) La suscripción solo comienza si el Cliente la confirma, por cualquier medio escrito o electrónico, eligiendo la fórmula mensual o anual (cláusula 5.1). No se debe ni se factura ninguna cuota sin esta confirmación. El primer periodo pagado comienza al día siguiente del término de la prueba, o el día de la confirmación si esta se produce más tarde; la suscripción corre después por periodos sucesivos, pagaderos por adelantado, hasta que una de las partes le ponga fin (sección 11).

(b) A falta de confirmación, el servicio gestionado se pone en pausa por sí mismo al término de la prueba, en lo que respecta a la sincronización entre dispositivos, las copias de seguridad gestionadas y la apertura de nuevos accesos de sustitución (cláusula 9.12). Un acceso de sustitución ya abierto no se retira, y el uso local del software continúa, gratuitamente y sin límite de duración (cláusula 5.1ter letra a). Los bloques cifrados del Cliente se conservan al menos noventa (90) días; no se produce ninguna supresión sin un preaviso escrito de treinta (30) días. El Cliente puede confirmar la suscripción en cualquier momento durante este plazo: el servicio gestionado se reanuda desde su confirmación.

(c) La prueba solo se abre una vez por Cliente; la confirmación de suscripción (cláusula 5.6 letra d) indica su fecha de fin, o la regla que la fija si el Cliente aún no ha sincronizado. El Cliente que ya tenía acceso al servicio gestionado antes del 9 de octubre de 2026, sin beneficiarse de la gratuidad de la cláusula 5.1ter letra e, dispone de una prueba de treinta días a contar desde el día en que acepta por primera vez la versión del 9 de octubre de 2026 o una versión posterior; no se le debe ninguna cuota antes de su confirmación. El fin de la prueba, pactado de antemano, no constituye una modificación en el sentido de la sección 12.

5.1ter Hecho generador, puesto, nivel consultorio.

(a) Lo que es gratuito. La ejecución estrictamente local del software — llevar los registros, planificación, impresión, preparación de las facturas, exportación del fichero de facturación que el propio Cliente presenta y envío de las facturas a la red MediData mediante el conector instalado en su ordenador, bajo su propio certificado (cláusula 9.7bis) — es gratuita y sin límite de duración: no requiere ninguna suscripción, ya que el código es libre (cláusula 2.6). Ninguna función está limitada en ella, ningún dato queda retenido. La exportación completa de los datos del Cliente (cláusula 8.4bis) le sigue abierta en cualquier momento y gratuitamente, haya suscrito o no, durante la prueba, la suscripción o una suspensión (cláusula 5.4) como después del fin del contrato.

(b) Lo que se factura. La cuota se debe por el servicio gestionado, desde la confirmación de la suscripción que sigue a la prueba (cláusula 5.1bis), y únicamente por ese servicio: sincronización entre dispositivos, copias de seguridad gestionadas, sustitución (cláusula 9.12), soporte, servicio de depositario. En la práctica, el Cliente solo necesita suscribir en el momento en que quiera estas prestaciones — es decir, cuando vincule un segundo dispositivo, confíe un mandato de sustitución o deposite una puerta de recuperación. El envío de las facturas a la red MediData no forma parte de ellas (letra a). Ninguna de estas prestaciones es un requisito previo para el uso local, que permanece íntegro y gratuito (letra a). La cuota es una tarifa plana fija, nunca un porcentaje del volumen de negocio del Cliente, y el Editor no mide ni verifica el volumen de actividad del Cliente, que de todos modos le es imposible observar (arquitectura zero-knowledge). Una vez confirmada la suscripción, la cuota corre según la periodicidad pactada, con independencia del número de facturas efectivamente transmitidas.

(c) Puesto. Un puesto es el uso del servicio gestionado por una persona física determinada, profesional de la salud, con su propia cuenta de sincronización. La cuenta es personal y no compartida.

El acceso abierto a una persona sustituta en un mandato de sustitución (cláusula 9.12) es personal — su enlace, su token y su clave de firma solo le pertenecen a ella, y el Cliente puede retirarlo por separado del de los demás —, mientras que el expediente del mandato es común a las personas sustitutas que el Cliente haya llamado a él. En su dispositivo, una contraseña única abre el conjunto de los accesos que tiene en él, incluidos los confiados por otros/as profesionales de enfermería; le pertenece exclusivamente, y la retirada de un acceso por el Cliente sigue siendo plenamente efectiva sea cual sea el estado de ese dispositivo.

Hasta cinco (5) accesos simultáneos abiertos por el Cliente, todas las sustituciones en conjunto, no constituyen puestos adicionales y no se facturan. Más allá, cada acceso simultáneo adicional es un puesto en el sentido de la presente cláusula y de la cláusula 5.1. La tarifa plana se aprecia sobre el conjunto de los mandatos abiertos por el Cliente, y no mandato por mandato: un Cliente que lleva tres sustituciones a la vez dispone de cinco accesos gratuitos en total, no de quince. Un acceso retirado libera su plaza: solo cuenta la simultaneidad, nunca el número de personas que se han sucedido. La aplicación avisa al Cliente de que supera ese umbral antes de que abra el acceso; nunca lo deniega.

Alcance precisado el 20.09.2026. La redacción anterior contaba los cinco accesos por mandato; como nada limita el número de mandatos de un mismo Cliente, la tarifa plana se multiplicaba sin límite. La corrección se produce antes de cualquier cobro basado en esta cláusula y no retira ningún derecho ejercido: ningún Cliente ha abierto más de cinco accesos simultáneos hasta la fecha.

(d) Un solo precio, por puesto. La cuota de la cláusula 5.1 se aplica a cada puesto, sea cual sea el número de puestos y sea cual sea su adscripción, salvo pacto escrito particular. No existe ninguna tarifa de grupo: el nivel consultorio de dos a cuatro puestos (CHF 109.—/mes), que figuraba aquí, se suprimió el 06.09.2026 y nunca se ha facturado a nadie.

(e) Gratuidad prometida por escrito. El Cliente a quien el Editor prometió por escrito, antes del 9 de octubre de 2026, la gratuidad del servicio gestionado la conserva, en las condiciones y por la duración de esa promesa: el presente contrato no la retira ni la reduce, y no se le debe la cuota de la cláusula 5.1. Su cuenta nunca se suspende por falta de pago (cláusula 5.4). El presente contrato no concede ninguna otra gratuidad ni ningún precio garantizado de por vida.

5.2 Pago y reembolso a prorrata. Las cuotas son pagaderas por adelantado según la periodicidad pactada. Cuando el contrato o el servicio gestionado termina antes del vencimiento del periodo pagado, la fracción pagada por adelantado y no utilizada se reembolsa al Cliente a prorrata de los días restantes, sin recálculo ni gastos, en particular en caso de: (a) terminación por el Cliente, en cualquier momento (cláusula 11.1); (b) terminación por el Editor mediante preaviso (cláusula 11.1); (c) causas justificadas imputables al Editor (cláusula 11.2), rechazo de una modificación (cláusulas 12.1 y 12.2), cese del servicio gestionado (cláusula 11.3) o cesión del contrato (cláusula 12.4). (Cláusula especialmente señalada, 14.2 letra h:) Única excepción: en caso de terminación por causas justificadas imputables al Cliente (cláusula 11.2), la fracción pagada por adelantado queda en poder del Editor, quedando a salvo las disposiciones imperativas. En Suiza, el Editor reembolsa él mismo, por transferencia a la cuenta que indique el Cliente. Allí donde la venta está abierta fuera de Suiza, el reembolso lo ejecuta el revendedor (9.6), en el medio de pago utilizado cuando sea posible, impuesto correspondiente incluido: el Editor lo decide y hace que se ejecute; la deuda de reembolso sigue siendo suya frente al Cliente.

5.3 El Editor puede adaptar sus tarifas conforme al procedimiento de modificación de la sección 12.

5.4 Retraso en el pago y suspensión. En caso de cuota impagada, el Editor envía un recordatorio con un plazo de pago de veinte (20) días; vencido este sin resultado, puede suspender, previo aviso, el servicio gestionado únicamente en lo que respecta a la sincronización entre dispositivos, las copias de seguridad gestionadas y la sustitución (cláusula 9.12); un acceso de sustitución ya abierto no se retira por la suspensión. La suspensión nunca afecta a: el acceso local del Cliente a sus datos y al software, la exportación .carnet, el mecanismo de recuperación, el envío de las facturas a la red MediData — que parte del conector instalado en el equipo del Cliente, bajo el certificado propio del Cliente, que el Editor no posee (cláusula 9.7bis) —, ni los derechos conferidos por la AGPLv3. Los bloques cifrados del Cliente se conservan al menos noventa (90) días después de la suspensión; no se produce ninguna supresión sin un preaviso escrito de treinta (30) días. Allí donde la venta está abierta fuera de Suiza, el Editor no dirige al Cliente ninguna solicitud de pago: el revendedor (9.6) reintenta el cobro y se lo recuerda; sus recordatorios hacen las veces del recordatorio, y la suspensión no se produce antes de veintiocho (28) días después del fin del periodo pagado. Cuando el Cliente ha confirmado allí la suscripción (cláusula 5.1bis letra a) sin pagar nunca su primer periodo, el revendedor no tiene nada que recordar: el Editor le envía el enlace de pago mediante un correo que fija un vencimiento, como mínimo veinte (20) días después de ese envío y del inicio de ese primer periodo, y que indica la consecuencia; a falta de pago en ese vencimiento, el servicio gestionado se suspende por sí solo, sin otro aviso, y un pago recibido después levanta la suspensión. Sin ese correo, no se produce ninguna suspensión por este motivo. Las garantías de la presente cláusula se mantienen íntegras.

5.5 Impuesto sobre el valor añadido (cláusula especialmente señalada). Los precios indicados en el presente contrato se entienden sin impuesto sobre el valor añadido. A día de hoy, el Editor no está sujeto al IVA: su volumen de negocio imponible sigue siendo inferior al umbral legal de sujeción, no se factura ningún IVA y no se deduce ningún impuesto soportado; las facturas del Editor no llevan por tanto ningún número de IVA. Si el Editor pasa a estar sujeto, el IVA al tipo legal se añade de pleno derecho a los precios pactados desde la fecha de sujeción, mediante un preaviso de treinta (30) días; esta adición no constituye una modificación sustancial en el sentido de la sección 12 y no abre ningún derecho de terminación extraordinaria, ya que el Editor no hace más que ingresar un impuesto que está legalmente obligado a percibir. Se advierte al Cliente, que ejerce una actividad de cuidados excluida del ámbito del impuesto, de que ese IVA constituirá para él una carga definitiva (sin deducción del impuesto soportado).

5.6 Suscripción — condiciones previas a cualquier cuota (cláusula especialmente señalada). El presente contrato se acepta una primera vez en la creación del almacén cifrado, que es gratuita y puramente local. No se debe ninguna cuota por este solo hecho. El Editor no cobra ninguna cuota antes de que el Cliente, en una pantalla de suscripción distinta, haya:

• (a) tomado conocimiento del precio aplicable (por puesto), de la periodicidad, de la duración, de las modalidades de terminación y del destino de las sumas pagadas por adelantado (cláusula 5.2);
• (b) sido informado de la prueba de treinta días, de que la suscripción solo comienza con su confirmación (cláusula 5.1bis), del importe de la cuota que entonces se deberá y de lo que ocurre sin confirmación;
• (c) aceptado expresamente el presente contrato, mediante un gesto distinto de la primera aceptación (14.1 letra b), presentándole la pantalla, destacadas, las cláusulas onerosas de naturaleza económica enumeradas en la cláusula 14.2, letras (g) a (l);
• (c bis) declarado, con esa misma aceptación, no atender a ningún/a paciente en Francia con esta cuenta, reproduciéndose de forma destacada en la pantalla de suscripción la declaración de la cláusula 4.1ter;
• (d) recibido una confirmación por correo electrónico que recoja estos elementos, la fecha del fin de la prueba (o, si aún no ha sincronizado, la regla que la fija) y la versión del contrato aceptada.

Mientras este mecanismo no esté en servicio, el uso del servicio gestionado es gratuito y no se envía ninguna factura al Cliente.

6. Colaboración y soporte

6.1 El Editor presta soporte por vía electrónica en una medida razonable, con el fin de ayudar al Cliente a utilizar el servicio. El soporte nunca constituye un consejo clínico ni sustituye el juicio profesional del Cliente.

6.2 El Cliente colabora de buena fe, señala sin demora cualquier disfunción y proporciona la información necesaria para tramitar sus solicitudes. No debe transmitirse al Editor ningún dato nominativo de paciente en el marco del soporte; en su caso, el Cliente anonimiza sus solicitudes.

6.3 Anomalías de seguridad de la información. El Editor mantiene un canal de notificación dedicado () para cualquier anomalía de seguridad de la información que afecte al software o al servicio. Trata estas notificaciones de manera prioritaria y, con la diligencia de una obligación de medios, publica una corrección o neutraliza la función afectada (cláusula 12.3) e informa a los Clientes cuando la anomalía les concierne (cláusula 12.1). La presente cláusula no crea ningún plazo de corrección garantizado.

7. Responsabilidad

Sección especialmente señalada (cláusulas onerosas). Las cláusulas 7.4 (limitación y tope), 7.5 (daños indirectos), 7.7 (indemnidad frente a terceros) y 7.9 (irreversibilidad zero-knowledge) limitan o reparten la responsabilidad en detrimento del Cliente. Están destacadas en el texto, recordadas en el recuadro situado al principio del contrato y presentadas en la pantalla de aceptación antes del gesto que lo acepta (sección 14); el Cliente declara haber tomado conocimiento de ellas.

7.1 Culpa exigida. La responsabilidad contractual del Editor presupone una falta de diligencia (art. 97, apdo. 1, CO). El Cliente sigue siendo el único responsable de sus decisiones profesionales, de los cuidados que presta, de la exactitud de los datos que introduce y de los documentos que establece, imprime o transmite mediante el software.

7.2 Informaciones de referencia — documentación no vinculante. Las informaciones de referencia proporcionadas por el software (fichas documentales de referencias habituales por sustancia, aviso administrativo de una entrada duplicada, baremos citados de los instrumentos de evaluación, límites convenidos en el plan de cuidados INTRODUCIDOS por el Cliente) constituyen una documentación genérica o una configuración del Cliente, indicativas y no vinculantes, destinadas a un o una profesional que conserva el pleno dominio de su juicio. Ninguna de estas informaciones es bloqueante; ninguna constituye un dictamen médico, un diagnóstico, una prescripción o una decisión automatizada oponible (art. 21 LPD). Una ficha ausente (la lista de sustancias cubiertas es corta y cerrada), un aviso no activado, incompleto o erróneo no pueden, por sí solos, constituir un defecto: el nivel de seguridad legítimamente esperado de estas funciones se aprecia a la luz de su carácter puramente documental.

7.3 Errores de visualización o de impresión. Los errores, inexactitudes, omisiones o defectos de maquetación en las informaciones mostradas, calculadas o impresas por el software se rigen por el régimen de la cláusula 7.4 (quedan a salvo el dolo, la culpa grave y el art. 100, apdo. 2, CO). Queda a salvo el deber de verificación del Cliente (sección 4.2): su incumplimiento constituye una culpa concurrente (art. 44, apdo. 1, CO).

7.4 Limitación y tope (culpa leve) — cláusula especialmente señalada (14.2 letra a). Sin perjuicio de las disposiciones imperativas — en particular el art. 100, apdo. 1, CO (dolo y culpa grave), el art. 100, apdo. 2, CO (facultad de apreciación del juez cuando la responsabilidad resulta del ejercicio de una actividad sujeta a autorización o cuando el acreedor está al servicio del deudor) y la LRFP (RS 221.112.944) [Ley federal sobre la responsabilidad por productos defectuosos], cuyo art. 8 prohíbe excluir o limitar de antemano la responsabilidad por productos —, la responsabilidad del Editor derivada de una culpa leve queda limitada, por cada evento dañoso, al más alto de los dos importes siguientes: (a) el importe de las cuotas efectivamente abonadas por el Cliente en los doce meses anteriores al hecho dañoso; o (b) un mínimo fijo de CHF 10'000.—. Este mínimo tiene por objeto descartar cualquier reproche de exclusión encubierta. Varios daños que procedan de una misma causa o de hechos conexos forman un solo evento, que se atribuye al año contractual en que se produce el primer hecho dañoso. Tope anual. Además, para el conjunto de los eventos de un mismo año contractual, la responsabilidad del Editor queda limitada al mismo importe, calculado el día del primer hecho dañoso del año: el total de las indemnizaciones debidas por ese año no puede superarlo, y los dos topes no se suman. Se entiende por año contractual cada periodo de doce meses que comienza con la aceptación del contrato por el Cliente y después en cada uno de sus aniversarios. Estos topes valen solo para la culpa leve: no limitan ni el dolo, ni la culpa grave (art. 100, apdo. 1, CO), ni la responsabilidad que la LRFP (art. 8) u otra disposición imperativa pone a cargo del Editor, y los daños de esa naturaleza no se imputan a ellos.

7.5 Daños indirectos — cláusula especialmente señalada (14.2 letra a). En la misma medida y con las mismas reservas, el Editor no responde de los daños indirectos o consecuenciales, en particular del lucro cesante, de la pérdida de clientela, del daño de explotación, del daño resultante de un retraso, de un rechazo o de un error de facturación, ni de la pérdida o corrupción de datos no imputable al Editor.

7.6 Auxiliares y subcontratistas (art. 101, apdos. 2 y 3, CO). La responsabilidad del Editor por sus auxiliares y subcontratistas (en particular el proveedor de alojamiento, el prestador de sincronización ciega y el depositario) queda, conforme al art. 101, apdo. 2, CO, limitada en la misma medida que su responsabilidad propia y excluida por su culpa leve. Las partes reconocen que, conforme al art. 101, apdo. 3, CO, el juez conserva la facultad de apreciar la validez de esta exclusión cuando la responsabilidad resulta del ejercicio de una actividad sujeta a autorización. Quedan a salvo el dolo y la culpa grave.

7.7 Reclamaciones de terceros (pacientes) — indemnidad delimitada (art. 41 CO) — cláusula especialmente señalada (14.2 letra b). Los terceros, en particular los pacientes, no son parte del presente contrato. El Cliente garantiza al Editor y lo mantiene indemne frente a cualquier reclamación formulada por un tercero (paciente, allegado, aseguradora, autoridad, empleador) en relación con el uso que el Cliente hace del software, sus decisiones de cuidados, los datos que introduce o los documentos que establece, transmite o conserva, incluidos los gastos de defensa razonables. Esta indemnidad no opera en ningún caso — ni siquiera en caso de culpa leve del Editor — respecto de la responsabilidad que la LRFP u otra disposición imperativa pone a cargo del Editor (en particular muerte y lesiones corporales), ni respecto del dolo o la culpa grave del Editor, ni respecto de un defecto propio del software. La indemnidad se limita a las reclamaciones nacidas del hecho, del uso, de los datos o de las decisiones del Cliente.

7.8 Fuerza mayor e impedimento no culposo (arts. 97, 103, 119 CO). El Editor no es responsable del incumplimiento o del retraso resultante de un acontecimiento que no podía razonablemente prever ni superar (interrupción de la red o de la electricidad, fallo de un proveedor de alojamiento o de un servicio tercero, ciberataque, decisión de una autoridad, epidemia, catástrofe). Durante un impedimento no culposo de este tipo, el Editor no incurre en mora (art. 103, apdo. 2, CO) y las obligaciones afectadas quedan suspendidas.

7.9 Carácter zero-knowledge — pérdida de datos no culposa — cláusula especialmente señalada (14.2 letra c). El Cliente reconoce y acepta que el Editor no puede ni leer ni restaurar los datos, ni restablecer una contraseña. La pérdida simultánea de la contraseña y de la clave de recuperación conlleva la pérdida definitiva e irreversible de los datos. El Editor no responde de esta pérdida cuando resulta de la negligencia del Cliente en la custodia (pérdida, olvido o divulgación de su contraseña o de su clave de recuperación), quedando a salvo la culpa grave y el dolo del Editor en la concepción del mecanismo de clave de recuperación o de depositario. Las partes convienen en que la inaccesibilidad para el Editor es una propiedad deseada del producto, no un defecto en el sentido del art. 4 LRFP o de la garantía contractual.

7.10 Garantía por defectos. Al ser el contrato un contrato innominado de duración que tiene por objeto servicios informáticos continuos (sección 2.1), la responsabilidad se rige por los arts. 97, 100 y 101 CO. El software se proporciona «tal cual»; el Editor no garantiza que esté exento de todo error ni que sea adecuado para un uso particular no pactado, salvo los compromisos de corrección previstos en el presente contrato. Quedan a salvo en todo caso los arts. 100 (apdos. 1 y 2) y 101 CO, la LRFP y — en la medida en que no obstante se aplicara el régimen de la compraventa — el art. 199 CO (nulidad de la exclusión en caso de ocultación fraudulenta de un defecto).

7.11 Responsabilidad por productos defectuosos — reserva y transparencia (cláusula especialmente señalada, 14.2 letra f bis). Se informa al Cliente de que la responsabilidad del Editor por un daño resultante de la muerte o de lesiones corporales causado por un defecto del producto se rige por la LRFP (RS 221.112.944), que no puede derogarse por convenio (art. 8 LRFP). Ninguna estipulación del presente contrato puede excluir ni limitar esta responsabilidad, ni la derivada de dolo o culpa grave (art. 100, apdo. 1, CO). La LRFP solo cubre la muerte, las lesiones corporales y los daños a cosas de uso privado (franquicia de CHF 900.—, art. 6 LRFP); el perjuicio patrimonial propio del Cliente sigue rigiéndose por las secciones 7.4 y 7.5. Al no estar asegurado el Editor en la fecha de la presente versión (cláusula 3.5), este daño corre a cargo de su patrimonio; asegurado o no, sigue a su cargo en toda la medida que prevé la LRFP, sin limitación al tope de la cláusula 7.4.

7.12 Actualizaciones y riesgo de desarrollo (art. 5 LRFP) — cláusula especialmente señalada (14.2 letra k). El Editor no responde de los daños resultantes del uso de una versión obsoleta, de un defecto ya corregido por una actualización puesta a disposición y no instalada, o de una modificación del software o de su entorno de ejecución no autorizada por el Editor, dentro de los límites permitidos por el derecho imperativo.

7.13 Cláusula de salvaguarda (reducción a la medida lícita). Si una cláusula del presente contrato, en particular una limitación o exclusión de responsabilidad o de garantía, fuera declarada nula, inválida o inaplicable, no se suprimiría, sino que el juez la reduciría al alcance máximo admitido por el derecho imperativo, sin que ello afecte a la validez de las demás cláusulas. Toda limitación prevista en el presente contrato se aplica en la mayor medida permitida por la ley.

8. Propiedad intelectual y licencia AGPLv3

8.1 Titularidad (arts. 2, apdo. 3, y 10 LDA [Ley federal sobre el derecho de autor]). El software «Carnet» (código fuente y objeto, interfaces, documentación, elementos gráficos originales) es una obra protegida. El Editor sigue siendo su único titular de los derechos de autor, sin perjuicio de los derechos de los terceros contribuyentes; las contribuciones de terceros se rigen por la política de contribución publicada con el repositorio (CONTRIBUTING.md: DCO, presentación bajo AGPL-3.0-or-later). El presente contrato no conlleva ninguna cesión de estos derechos; ni la firma, ni el pago de las cuotas, ni el uso fundan en favor del Cliente derecho alguno de propiedad intelectual sobre el software.

8.2 Licencia libre. «Carnet» se publica bajo AGPLv3. El Cliente disfruta libre y gratuitamente de los derechos que confiere esta licencia (ejecución, estudio, modificación, redistribución del código, en las condiciones de la AGPLv3, en particular su art. 13). El presente contrato no restringe, ni suspende, ni condiciona estos derechos; en caso de contradicción, la AGPLv3 prevalece en lo que respecta al uso del código (conforme a la prohibición de «restricciones adicionales» de la AGPLv3 §10).

8.3 Ausencia de puerta trasera. El Editor garantiza que «Carnet» está concebido según una arquitectura de conocimiento cero: el Editor no dispone de ningún acceso de administrador global, contraseña maestra, puerta trasera o medio técnico que le permita, solo o conjuntamente con el servidor, leer, descifrar o transmitir a un tercero los datos del Cliente (la clave de custodia del mecanismo de recuperación, inoperante por sí sola, se describe en las secciones 1.3 y 10.5). El servidor de sincronización solo aloja bloques cifrados ininteligibles. El carácter libre del código permite al Cliente, o a cualquier tercero de su elección, verificar esta ausencia de puerta trasera.

8.4 Control y reversibilidad de los datos del Cliente. Los datos introducidos, generados o importados por el Cliente, incluidos el registro cifrado y los datos nominativos de los pacientes, permanecen bajo el control exclusivo del Cliente, responsable del tratamiento en el sentido de la LPD (RS 235.1). Las partes emplean deliberadamente el término control y no el de propiedad: el derecho suizo no conoce un derecho de propiedad sobre los datos, y las personas interesadas conservan en todo caso sus derechos propios (derecho de acceso, art. 25 LPD; obligación de rendir cuentas del mandato, art. 400, apdo. 1, CO). El Editor no adquiere sobre estos datos ningún derecho de uso, análisis, explotación o cesión.

8.4bis Dos herramientas distintas — no confundirlas. El software ofrece dos exportaciones, que no tienen ni el mismo destinatario ni el mismo uso:

(a) La copia de seguridad «.carnet» — solo para el Cliente. En cualquier momento y gratuitamente, el Cliente exporta la totalidad de su almacén cifrado en un archivo .carnet. Este archivo está cifrado con su propia clave maestra: solo se restaura en su propia cuenta, mediante su contraseña, su clave de recuperación o su Hoja de recuperación, y el software del Editor es hoy el único capaz de volver a leerlo (su formato está descrito en el código fuente público, lo que permite a cualquiera escribir un lector, pero dicho lector aún está por escribir). Contiene los expedientes de todos los pacientes del Cliente. Constituye por tanto su copia de seguridad íntegra y, respecto del Editor, su restitución completa — ya que el Editor no tiene nada más que restituir que pueda leer. Este archivo no está destinado a un paciente ni puede entregársele: entregárselo sería a la vez inútil (no puede abrirlo) y constitutivo de una violación del secreto profesional respecto de todos los demás pacientes.

(b) El «Dossier complet du patient — droit d'accès (art. 25 LPD)» [Expediente completo del paciente — derecho de acceso] — para el o la paciente. El software produce, por paciente y previa selección de los apartados, un documento legible — PDF, ODT o DOCX — titulado «Dossier complet du patient — droit d'accès (art. 25 LPD)», que comprende el historial completo y, opcionalmente, las fotografías de heridas. Es esta exportación la que el Cliente entrega a una persona que ejerce sus derechos.

8.4ter Derecho de acceso de los pacientes — reparto de funciones. El Cliente sigue siendo el obligado por el derecho de acceso de sus pacientes: el responsable del tratamiento que recurre a un encargado sigue obligado a facilitar la información solicitada (art. 25, apdo. 4, LPD). La imposibilidad técnica del Editor no crea por tanto ninguna laguna — la obligación nunca ha abandonado al Cliente, que es el único que puede descifrar. Las partes recuerdan que nadie puede renunciar de antemano al derecho de acceso (art. 25, apdo. 5, LPD), que la información es en principio gratuita y se facilita en un plazo de treinta (30) días (art. 25, apdos. 6 y 7, LPD), y que los datos de salud pueden, con el consentimiento del interesado, comunicársele por medio de un o una profesional de la salud que él designe (art. 25, apdo. 3, LPD) — facultad útil ante una solicitud delicada. El derecho a la entrega o a la transmisión de los datos (art. 28 LPD) se ejerce igualmente ante el Cliente, el único en condiciones de atenderlo.

8.5 Signos distintivos e integridad de la versión oficial. El logotipo y los demás elementos gráficos originales del Editor son obras protegidas por el derecho de autor; no están cubiertos por la AGPLv3 (reservas de la sección 7, letras d y e, de dicha licencia, relativas al uso de los nombres con fines publicitarios y a las marcas) y siguen siendo propiedad del Editor. La denominación «Carnet» la utiliza el Editor como signo distintivo de su producto; a día de hoy, no hay ninguna marca registrada y el Editor no reivindica ningún derecho de marca. El Cliente puede emplear estos signos para designar el software tal como se proporciona. Quien modifique y redistribuya el código debe señalar sus modificaciones y no puede presentar una versión modificada como la versión oficial ni utilizar los signos distintivos de un modo que induzca a confusión. El Editor no responde ni del funcionamiento, ni de la seguridad, ni de la conformidad de una versión modificada o distribuida por un tercero.

8.6 Reparto de la carga reglamentaria en caso de modificación. Conforme a las libertades de la AGPLv3, el Cliente puede modificar el código. Quien modifica el software y le confiere una finalidad médica en el sentido del art. 3 ODim / art. 2, punto 30, MDR se convierte él mismo en fabricante y asume por sí solo el conjunto de las obligaciones reglamentarias. La presente cláusula no prohíbe la modificación (derecho garantizado por la AGPLv3); reparte la responsabilidad reglamentaria que de ella se deriva.

8.7 Perdurabilidad mediante el código fuente. Debido a la publicación bajo AGPLv3, el Cliente conserva, con independencia de la supervivencia del Editor o de la continuación del servicio gestionado, el derecho a ejecutar, hacer alojar y hacer mantener «Carnet» por sí mismo o por cualquier tercero, a partir del código fuente publicado. La extinción del contrato, sea cual sea su causa, no extingue este derecho.

8.8 Garantía «tal cual» y reserva imperativa. Al proporcionarse el software bajo licencia libre, se pone a disposición «tal cual», sin garantía de calidad o de adecuación a un uso particular, dentro de los límites permitidos por el derecho aplicable (AGPLv3, secciones 15 a 17). Quedan expresamente a salvo el art. 100, apdos. 1 y 2, CO, el art. 101 CO, la LRFP (art. 8, inderogable) y el derecho del Cliente a la información necesaria para la interoperabilidad (art. 21 LDA). Por lo demás, la responsabilidad vinculada al software se rige por la sección 7.

9. Protección de datos (contrato de encargo integrado — LPD RS 235.1, OPDo RS 235.11)

9.1 Funciones. El Cliente es el único responsable del tratamiento (art. 5 letra j LPD) de los datos de sus pacientes: determina sus fines y medios, responde de su licitud (arts. 6 y 8 LPD) y sigue siendo el titular del secreto profesional (art. 321 CP).

9.2 Encargo del tratamiento sobre los bloques cifrados. Únicamente para el servicio de sincronización y de conservación de copias de seguridad, el Editor interviene como encargado del tratamiento (arts. 5 letra k y 9 LPD), exclusivamente sobre bloques cifrados de extremo a extremo que no puede descifrar. Por diseño, no tiene ningún acceso a los datos de salud en claro ni a las identidades de los pacientes. Esta calificación de encargado se adopta por precaución y solo se extiende a estas operaciones sobre datos cifrados.

9.3 Responsable autónomo de los metadatos técnicos. Para los metadatos y datos que le son propios — sellos de tiempo y volúmenes de sincronización, datos de vinculación y datos de facturación del Cliente — el Editor actúa como responsable autónomo del tratamiento, sobre la base legal de la ejecución del contrato y de la seguridad del sistema (art. 31 LPD). Estos tratamientos no están sujetos al régimen de la mera instrucción del Cliente; el Cliente queda informado de ellos por el presente contrato. Estos datos no comprenden ningún dato de paciente. Los registros de acceso de los servidores están desactivados: la dirección IP solo se trata en memoria volátil, con el único fin de limitar el caudal, y no se registra. Única excepción, el servicio de recuperación de cuenta: cada una de sus etapas — puesta en marcha, cambio del número de verificación, adición o revocación de un contacto de recuperación, desactivación del servicio, solicitud, veto, entrega — se consigna con una huella con clave secreta de la dirección (desde el 23.09.2026; antes, la propia dirección) y la fecha, en un registro que nada puede modificar ni borrar, como protección frente a una solicitud fraudulenta. Se rigen por el mismo régimen los datos tratados en el procedimiento de liberación de la recuperación (cláusula 9.11): número de teléfono de verificación, elementos de verificación de identidad presentados el día de la solicitud y registro del procedimiento — tratamientos propios del Editor, necesarios para la protección del propio Cliente.

9.4 Instrucciones y confidencialidad. Sobre los bloques cifrados, el Editor solo trata los datos según instrucción documentada del Cliente y únicamente para los fines del servicio (art. 9, apdo. 1, LPD). El Editor, sus órganos y sus auxiliares están sujetos a confidencialidad, también sobre los metadatos; esta obligación sobrevive al contrato. El Editor se prohíbe cualquier intento de descifrado, correlación o reidentificación de los datos conservados, así como cualquier uso para fines propios.

9.5 Seguridad (art. 8 LPD, arts. 1 a 4 OPDo). El Editor asegura una seguridad adecuada al riesgo: cifrado de extremo a extremo (sin poseer ninguna clave), TLS, compartimentación y restricción de los accesos de administración, copias de seguridad cifradas fuera del sitio, alojamiento descrito en la cláusula 9.7. Mantiene estas medidas conforme al estado de la técnica. El Cliente reconoce que la solidez de la protección depende de manera determinante de la confidencialidad de su contraseña y de su clave de recuperación, que solo él posee.

9.6 Subencargo (art. 9, apdo. 3, LPD). El Cliente da una autorización general para recurrir a subencargados (alojamiento, infraestructura), a condición de que cada uno esté sujeto a obligaciones equivalentes. El Editor informa al Cliente, en soporte duradero, de toda adición o sustitución antes de su puesta en práctica, de modo que el Cliente pueda oponerse por causas justificadas; en caso de oposición fundada no resuelta, el Cliente puede poner fin al servicio afectado. El Editor responde del correcto cumplimiento de las obligaciones del subencargado como de las suyas propias.

Prestador de pago. Allí donde la venta está abierta fuera de Suiza, el precio del servicio gestionado lo vende y lo cobra un revendedor («merchant of record»), que nombran en el momento de la venta las condiciones del servicio gestionado fuera de Suiza y la página de pago (en la fecha de la presente versión, el revendedor es Paddle.com Market Limited, Londres, en los países fuera de Suiza que la página de precios indica como abiertos): vende en su propio nombre, percibe el impuesto del país del Cliente, renueva, reclama los pagos y reembolsa. Para los datos de pago que el propio Cliente le facilita, este prestador actúa como responsable del tratamiento independiente, según sus propias condiciones; no es un subencargado de los datos de los pacientes y no recibe ni bloque cifrado, ni dato de paciente. El Editor solo le comunica el identificador opaco de la cuenta de sincronización del Cliente, para vincular un pago a esa cuenta, y los reembolsos que decide. El régimen de información y de oposición del primer párrafo se aplica a este prestador como a un subencargado: el Editor informa al Cliente, en soporte duradero, de toda sustitución del prestador de pago o de toda adición de un segundo prestador, antes de su puesta en práctica; el Cliente puede oponerse por causas justificadas y, a falta de solución, poner fin al servicio gestionado, reembolsándosele a prorrata la fracción pagada por adelantado y no utilizada (5.2). En Suiza, el Editor vende él mismo, sin prestador de pago.

9.7 Localización. Los bloques cifrados confiados al Editor se alojan en infraestructuras situadas en Suiza. Ningún dato de paciente — cifrado o en claro — se comunica al extranjero, salvo eventuales copias de seguridad cifradas replicadas hacia un Estado con protección adecuada (art. 16, apdo. 1, LPD) o mediante una garantía del art. 16, apdo. 2, LPD, siendo el Cliente informado previamente. Las identidades nominativas de los pacientes nunca son legibles por el Editor ni por el servidor, y no son objeto de ninguna sincronización continua. Solo circulan por cuatro canales sellados, todos cifrados de extremo a extremo y opacos tanto para el Editor como para el servidor: ① la transferencia puntual de dispositivo a dispositivo que el Cliente desencadena, sellada hacia el único dispositivo destinatario, con verificación humana; ② la puerta de recuperación — propuesta al activar la sincronización, formulando la aplicación la pregunta sin activar nada sin elección expresa, rechazable y revocable en cualquier momento, conservándose esa elección — que deposita en el servidor un sobre SOBRESELLADO (cifrado con la clave maestra del Cliente y después sellado hacia la clave de recuperación), descifrable exclusivamente en el dispositivo del Cliente mediante la recombinación de sus 8 palabras de recuperación y de la parte que posee el Editor, liberada solo tras un plazo de carencia; el servidor solo posee bloques inertes; ③ la sustitución («modo sustitución», cláusula 9.12), que sella hacia los dispositivos de la persona sustituta designada las identidades y los expedientes de los pacientes que el propio Cliente haya seleccionado; ④ la red de seguridad del modo sustitución, que deposita en el servidor únicamente las identidades de los pacientes confiados, cifradas con una clave derivada de la llave de acceso de la persona sustituta — que el servidor no puede reconstituir —, limitadas al fin del mandato y destruidas por la retirada de su acceso así como por el cierre. Existe para que una persona sustituta que pierda su dispositivo en plena sustitución recupere los expedientes confiados sin que el Cliente tenga que volver a empezar todo.

Un flujo escapa a estos canales y no está ni sellado ni es opaco: la factura al seguro, que sale EN CLARO. El art. 42 LAMal impone al proveedor de servicios sanitarios entregar a la aseguradora una factura detallada; esta contiene necesariamente el nombre, el apellido, la fecha de nacimiento, el sexo, el número AVS y la dirección de la persona asegurada, las prestaciones facturadas, la identidad y la dirección del médico prescriptor, así como una indicación médica en texto libre (hasta 350 caracteres). Esta transmisión la impone la ley y se dirige a la aseguradora, a su vez sujeta al secreto. El Cliente la desencadena ÉL MISMO desde su propio dispositivo, con destino a la red MediData; el contenido del campo de indicación médica depende únicamente de su apreciación y de su deber de proporcionalidad.

9.7bis El conector de envío — compromiso de arquitectura (cláusula esencial).

(a) Regla. La factura de un paciente nunca transita por una infraestructura del Editor. Las partes convienen en que esta regla es una característica esencial del producto, y no una modalidad técnica: es ella la que hace que el Editor nunca se encuentre en presencia del contenido de una factura nominativa. El Editor se compromete a mantenerla; solo podría apartarse de ella con el consentimiento expreso y previo del Cliente, recabado según el procedimiento de las modificaciones sustanciales (cláusula 12.2), sin que el silencio valga nunca como aceptación.

(b) Cómo funciona. El envío directo a la red MediData se realiza mediante un conector, pequeño programa libre proporcionado por el Editor e instalado en el ordenador del Cliente. Por orden del Cliente, el software le entrega la factura mediante una interfaz propia de ese ordenador; el conector la transmite directamente a la red y devuelve al software la respuesta de la aseguradora. El Cliente puede además designarle expresamente una carpeta local desde la que el conector envía las facturas que se depositen en ella; a falta de tal designación, no se vigila ninguna carpeta. La exportación manual del fichero oficial, que el propio Cliente presenta en el portal de su elección, permanece disponible de forma permanente: si el conector o la red se detienen, la facturación nunca queda bloqueada.

(c) Lo que el Editor llega a saber. Nada. El conector no se comunica con ningún servidor del Editor: el Editor no sabe ni que se ha iniciado, ni que ha salido una factura, ni ninguna factura, ningún paciente, ningún importe, ninguna dirección IP.

(d) El certificado de acceso a la red. MediData autentica el conector mediante el certificado de cliente propio del Cliente, que este obtiene él mismo de MediData en el marco de su propia conexión, bajo su identificador de conexión. Este certificado y su clave privada permanecen en el ordenador del Cliente; ni se transmiten al Editor ni este los conserva, y el Editor no posee ningún certificado que le permita enviar una factura en nombre del Cliente o leer las respuestas que le están destinadas. De ello se sigue que: (i) el Cliente se autentica mediante un secreto que le es propio; (ii) el Editor no puede ni suspender ni interrumpir el envío directo, al que no alcanza la suspensión de la cláusula 5.4; (iii) la renovación del certificado a su vencimiento incumbe al Cliente, ante MediData, y el conector le indica la fecha de vencimiento.

9.8 Violación de la seguridad (art. 24 LPD). El Editor notifica al Cliente sin demora y a más tardar en las cuarenta y ocho (48) horas desde que tiene conocimiento de ella, toda violación que afecte a los datos confiados; la notificación se dirige a la dirección de correo electrónico comunicada por el Cliente y, en su defecto, mediante un aviso en la aplicación; se puede contactar con el Editor a este respecto en la dirección . La notificación indica como mínimo la naturaleza de la violación, las categorías y el orden de magnitud de los datos afectados, las consecuencias probables y las medidas adoptadas o propuestas, así como un punto de contacto; se completa a medida que se conocen los hechos si no todo se conoce de entrada — un hecho incompleto no justifica esperar. La obligación del Editor frente al Cliente se deriva del art. 24, apdo. 3, LPD. Se recuerdan dos protecciones en favor del Cliente: una notificación basada en el art. 24 LPD solo puede utilizarse en un procedimiento penal contra quien notifica con su consentimiento (art. 24, apdo. 6, LPD) — lo que importa al Cliente, sujeto al secreto profesional (art. 321 CP); y el Cliente puede restringir, aplazar o renunciar a informar a los interesados cuando un deber de secreto lo exija (art. 24, apdo. 5, LPD). El cifrado de extremo a extremo de los bloques constituye un factor pertinente en la apreciación del riesgo para los interesados — apreciación que sigue siendo casuística y que incumbe en última instancia al Cliente (responsable del tratamiento), al que el Editor presta una asistencia razonable. El Editor documenta cada violación y las medidas adoptadas y conserva esta documentación al menos dos (2) años (art. 15 OPDo).

9.9 Derechos de los interesados, registro. Las solicitudes de los pacientes (arts. 25 y ss. LPD) las tramita el Cliente, el único en condiciones de descifrar e identificar los datos; el Editor, carente de acceso al contenido, no está obligado a ello y transmite sin demora al Cliente cualquier solicitud recibida. El Editor proporciona al Cliente, a petición, la información necesaria para su registro (art. 12 LPD). Se advierte al Cliente, que trata datos de salud (art. 5 letra c, punto 2, LPD), de que le incumbe llevar su propio registro, ya que la exención del art. 24 OPDo puede no serle aplicable.

9.10 Supresión al final del contrato. El Editor suprime o anonimiza los bloques cifrados que conservaba en un plazo razonable tras el fin del contrato, sin perjuicio de los plazos técnicos estrictamente necesarios (registros, copias de seguridad en rotación) y de sus propias obligaciones legales. Dado que la supresión recae sobre datos ya ininteligibles para el Editor, no afecta a la capacidad del Cliente de disponer de sus datos mediante su exportación. A petición, el Editor certifica por escrito la supresión.

9.11 Servicio de recuperación y de depositario (cláusula especialmente señalada, 14.2 letra f). Cuando la puerta de recuperación está activa (propuesta al activar la sincronización, sin opción premarcada, rechazable y revocable — sección 10.5), el Editor conserva por cuenta del Cliente: la parte criptográfica sellada del mecanismo, el sobre sobresellado (identidades incluidas) y el número de teléfono de verificación; el servidor solo posee bloques ininteligibles, que ningún elemento en poder del Editor permite, solo o conjuntamente con el servidor, descifrar. El procedimiento de liberación comprende, por principio: un plazo de carencia de setenta y dos (72) horas por defecto, sobre un mínimo irreducible de veinticuatro (24) horas inscrito de forma fija en el código del servidor — ninguna configuración puede reducirlo, solo alargarlo —, la notificación a los dispositivos activos del Cliente con facultad de veto, una verificación de identidad antes de cualquier liberación (videollamada únicamente al número registrado en la puesta en marcha, documento de identidad presentado o encuentro en persona), y el mantenimiento de un registro inalterable (solo de adición) de cada etapa. El registro del procedimiento se conserva diez (10) años; en caso de revocación (opt-out), los elementos conservados se destruyen y el Editor lo certifica por escrito a petición. Este servicio se describe desde el punto de vista de los datos en la política de privacidad (sección 2).

9.12 Sustitución («modo sustitución») — comunicación de datos amparados por el secreto profesional. El término «sustitución» (en francés, «relève») designa aquí la sustitución profesional; no guarda relación con la indemnidad frente a terceros de la cláusula 7.7 (designada en francés con la misma palabra).

(a) Lo que hace el software. Cuando el Cliente confía la totalidad o parte de su ruta de visitas a una persona sustituta, el software le transmite, en forma sellada hacia sus dispositivos, el expediente de únicamente los pacientes que el Cliente haya designado, identidades incluidas, mientras el acceso que el Cliente le haya abierto siga abierto — acceso que puede ampliar, limitar o revocar en cualquier momento, y que se extingue con el cierre de la sustitución, con la retirada de ese acceso por sí solo, con su revocación o, por sí mismo, 90 días después del fin previsto del mandato (red de seguridad contra el olvido; un mandato sin fin no la tiene).

El Cliente puede llamar a varias personas sustitutas a un mismo mandato. La cuenta de sincronización queda entonces dedicada al mandato; cada una recibe en ella un acceso personal — enlace, token y clave de firma propios — que el Cliente puede retirar por separado sin cortar el de las demás. El expediente del mandato es común: cada una lee y alimenta lo que escriben las demás, y cada escritura lleva el nombre y la firma de su autora. Solo el Cliente llama a una persona sustituta a un mandato; una persona sustituta no puede llamar a nadie a él. La persona sustituta lleva en él el expediente de esos pacientes como lo lleva el Cliente, y cada una de sus escrituras lleva su nombre y su firma; la declaración de cuidados a la aseguradora (OPAS 7) sigue correspondiendo al Cliente, que responde del mandato: la persona sustituta la consulta y puede imprimirla, sin poder modificarla. El Editor crea con este fin una cuenta de sincronización dedicada a la persona sustituta y aloja los bloques cifrados correspondientes.

(b) El cifrado no exime del secreto. Esta transmisión es una comunicación de datos amparados por el secreto profesional (art. 321 CP). El cifrado protege los datos durante su transporte y su conservación; no exime en nada al Cliente de su secreto respecto de la persona sustituta, ni de su deber de apreciar, paciente por paciente, lo que es necesario y proporcionado transmitir. El Cliente sigue siendo responsable del tratamiento (cláusula 9.1) de los expedientes así confiados.

(c) Gestiones a cargo del Cliente. El Cliente recaba el consentimiento de sus pacientes para compartir su expediente con los y las profesionales que intervienen en su atención — fundamento de la comunicación (art. 321, punto 2, CP; art. 36, apdo. 2, LS/VS [Ley de salud del Valais]) —, lo deja registrado e informa a sus pacientes del recurso a una persona sustituta. La aplicación le señala cualquier oposición de un/a paciente y la registra en su expediente; no retira ningún expediente en su lugar: la decisión de confiar o no un expediente pese a una oposición — y su justificación, en particular en caso de urgencia — depende únicamente de la apreciación y de la responsabilidad del Cliente. Este se asegura de que la persona sustituta está habilitada para ejercer.

(d) El Editor no verifica nada y no puede hacerlo. El Editor no tiene ningún medio de verificar estas gestiones y no las verifica: no conoce ni la identidad de los pacientes afectados, ni el contenido transmitido (bloques cifrados), ni el hecho de que se haya dado una información o recabado una oposición. Su prestación se limita al mecanismo descrito en (a).

(e) Compromiso de la persona sustituta, en la aplicación. Antes de cualquier visualización nominativa, la persona sustituta debe aceptar unas «Condiciones de uso del modo sustitución» versionadas, de manera bloqueante en el primer acceso; la aceptación queda registrada con sello de tiempo. Cuando estas condiciones cambian durante el mandato, se le solicita la nueva aceptación en su siguiente entrada en la aplicación, sin interrumpir un cuidado en curso: entretanto nada se cierra y nada desaparece — el expediente sigue llegándole, ya que la seguridad de los cuidados lo exige, y sus escrituras siguen llegando al Cliente; un aviso le pide aceptar la nueva versión. Estas condiciones cubren: el fundamento del acceso — el consentimiento de los pacientes para compartir su expediente, recabado y registrado por el Cliente —, el secreto profesional (art. 321 CP), el acceso limitado a los cuidados de los pacientes confiados mientras el acceso concedido esté abierto, el carácter personal del ACCESO — enlace, token y clave de firma — y el carácter COMÚN del expediente del mandato, que todas las personas sustitutas llamadas por el Cliente leen y alimentan, la prohibición de comunicar estos expedientes a terceros — sin que las demás personas sustitutas del mismo mandato sean terceros en el sentido de esta cláusula —, lo que conserva tras la retirada de su acceso: el resumen de sus propios actos, y solo este, la extinción del acceso en su cierre, en la retirada de ese acceso por sí solo o en su revocación, y la supresión del compartimento, la responsabilidad de su propia documentación, el carácter personal y no compartido del acceso, la notificación sin demora de una pérdida, un robo o un acceso no autorizado, la prohibición de comunicar estos expedientes a terceros y de hacer copias fuera de Carnet, y el recordatorio de que la información a los pacientes incumbe al Cliente. No existe ningún documento en papel: el compromiso se asume en la aplicación. Estas condiciones vinculan a la persona sustituta frente al Cliente; no crean ninguna obligación del Editor en cuanto al comportamiento de la persona sustituta.

9.13 Secreto profesional y licitud del encargo del tratamiento (art. 9, apdo. 1, letra b, LPD; art. 321 CP). La ley solo permite confiar un tratamiento a un encargado si ninguna obligación legal o contractual de guardar secreto lo prohíbe. Las partes convienen en la construcción siguiente:

(a) Con carácter principal — no hay revelación. El Cliente sigue siendo el titular del secreto. Lo que confía al Editor está cifrado de extremo a extremo: el Editor recibe bloques ininteligibles, sin identidad ni contenido, que ningún elemento en su poder permite abrir (secciones 1.3 y 8.3). Confiar un contenido que el destinatario no puede leer no es revelárselo; el secreto no queda por tanto en entredicho, y se cumple la condición del art. 9, apdo. 1, letra b, LPD.

(b) Con carácter subsidiario y sin reconocimiento — la condición de auxiliar. Para el caso de que una autoridad o un juez considerara no obstante que existe una revelación, las partes convienen en que el Editor interviene como auxiliar del Cliente en el sentido del art. 321, punto 1, CP: está sujeto al mismo secreto, por la misma duración, también tras el fin del contrato (cláusula 9.4), y lo extiende a sus propios auxiliares. Esta estipulación es subsidiaria y no conlleva ningún reconocimiento de que la arquitectura descrita en (a) sería insuficiente.

(c) Lo que, en cambio, sale en claro — la factura a la aseguradora (cláusula 9.7) — nunca transita por una infraestructura del Editor (cláusula 9.7bis): el Editor no es por tanto en ningún momento su depositario.

9.14 Solicitudes de autoridades (cláusula especialmente señalada). El Editor puede recibir un requerimiento, una solicitud de presentación de documentos o un secuestro (en particular art. 265 CPP [Código Procesal Penal suizo]).

(a) Lo que puede entregar: bloques cifrados ininteligibles, los metadatos técnicos descritos en la cláusula 9.3 y — si la puerta de recuperación está activa — la parte de custodia, que es matemáticamente insuficiente por sí sola (cláusula 10.8). No puede entregar ni el contenido de un expediente, ni la identidad de un paciente, ni un historial de conexiones, que no existe (cláusula 9.3).

(b) Lo que hará: salvo prohibición legal de hacerlo, el Editor informa al Cliente sin demora de cualquier solicitud que le concierna, antes de cualquier entrega si el plazo lo permite, para que pueda hacer valer sus derechos — en particular su secreto profesional; se limita a lo estrictamente exigido por la resolución, exige un título escrito e invoca el carácter protegido de los datos cuando el derecho lo permite.

(c) Lo que no hará: el Editor no tiene puerta trasera y se compromete a no crearla, ni a debilitar el cifrado, ni a modificar el software para captar un secreto del Cliente — ya sea por iniciativa propia o a petición de un tercero. Toda evolución que hiciera inexacto este compromiso constituiría una modificación sustancial (cláusula 12.2), sujeta al consentimiento expreso del Cliente. El carácter libre del código permite verificar este compromiso en cada versión publicada.

10. Zero-knowledge, conservación legal, copias de seguridad y clave de recuperación

10.1 Imposibilidad técnica y jurídica de conservar por cuenta del Cliente. Al no tener el Editor ningún acceso a los datos en claro, le es imposible garantizar la conservación, el archivo o la restitución del contenido de los expedientes: estas obligaciones incumben exclusivamente al Cliente.

10.2 Obligación legal de conservación. El Cliente, profesional de la salud autónomo, sigue siendo el único obligado a conservar el expediente de cada paciente durante el plazo exigido por el derecho aplicable — es decir, salvo disposición que imponga un plazo más largo, veinte (20) años a contar desde la última anotación (hipótesis segura: arts. 128a y 60, apdo. 1bis, CO — prescripción de las lesiones corporales; deberes profesionales del art. 16 LPSan; ordenanza sobre la historia clínica electrónica (DEP); el Valais impone al menos 20 años, art. 32, apdo. 2, LS-VS). Conserva igualmente, durante diez (10) años como mínimo, los justificantes de facturación y de contabilidad (art. 958f CO, Olico [Ordenanza sobre la llevanza y la conservación de los libros de cuentas]). El Cliente se encarga personalmente del respeto de estos plazos: le incumbe exportar regularmente sus expedientes (cláusula 10.3) y conservar estas exportaciones durante todo el plazo legal, incluso después del fin del presente contrato. El Editor no garantiza esta conservación y no está técnicamente en condiciones de hacerlo, al no tener ningún acceso a los datos en claro: «Carnet» no es un servicio de archivo legal y no puede exigirse responsabilidad al Editor por este concepto.

10.3 Copias de seguridad (carga). El Cliente realiza, bajo su exclusiva responsabilidad y con una frecuencia adecuada (como mínimo mensual y tras cualquier entrada significativa), copias de seguridad completas mediante la exportación cifrada «.carnet», y conserva al menos una copia fuera del dispositivo de trabajo. Verifica periódicamente la legibilidad y la posibilidad de restauración de sus copias de seguridad.

10.4 Sincronización ≠ copia de seguridad ≠ archivo. La sincronización ciega tiene como única finalidad la replicación entre los dispositivos del Cliente de datos ya cifrados; no constituye ni una copia de seguridad, ni un archivo legal, y no dispensa de las cargas de la cláusula 10.3.

10.5 Irreversibilidad (cláusula especialmente señalada, 14.2 letra c). La recuperación del acceso solo es posible mediante la clave de recuperación, mediante la Hoja de recuperación (8 palabras, recombinadas en el dispositivo del Cliente con la parte de custodia que posee el Editor — sección 1.3) o, si el Cliente lo ha activado, mediante el contacto de recuperación. El Cliente comprende y acepta expresamente que la pérdida simultánea de la contraseña, de la clave de recuperación Y de la Hoja de recuperación conlleva la pérdida definitiva e irreversible del acceso al conjunto de los datos — no existe ningún procedimiento de restablecimiento y el Editor por sí solo no puede recuperar nada. El Cliente conserva por tanto estos elementos de manera segura, separada y duradera.

10.6 Exclusión correlativa (cláusula especialmente señalada, 14.2 letra c). El Editor no responde de la pérdida de acceso o de datos resultante de la pérdida, el olvido o la divulgación por el Cliente de su contraseña o de su clave de recuperación, ya que esta imposibilidad de recuperación es la contrapartida inherente y deseada de la protección zero-knowledge, puesta en conocimiento del Cliente antes de la celebración del contrato. Quedan a salvo el dolo y la culpa grave del Editor, en particular en la concepción del mecanismo de clave de recuperación o de depositario.

10.7 Información recibida. El Cliente declara haber sido claramente informado, antes de la celebración del contrato, de que la custodia duradera del expediente, de los secretos y de las copias de seguridad es de su exclusiva responsabilidad, y de que «Carnet» es una herramienta para llevar los registros y no un servicio de archivo legal explotado por cuenta suya por el Editor.

10.8 Puerta de recuperación y depositarios (cláusula especialmente señalada). El contrato emplea el término «depositario» en dos sentidos distintos, que la presente cláusula delimita: (a) el depositario de confianza que el Cliente puede designar libremente (cláusula 10.5) es un tercero elegido por el Cliente; el Editor no recibe nada y no interviene en esta relación; (b) la puerta de recuperación se basa en dos partes: la parte «8 palabras» (Hoja de recuperación), que posee únicamente el Cliente, y una parte criptográfica que posee el Editor, conservada sellada fuera del servidor y matemáticamente insuficiente por sí sola; la recombinación se efectúa exclusivamente en un dispositivo del Cliente; (c) la parte que posee el Editor solo se entrega resellada hacia un dispositivo del Cliente, al término del procedimiento verificado de la cláusula 9.11 — nunca en claro, y nunca a herederos o terceros fuera del procedimiento. Las partes precisan expresamente que un certificado de defunción, un certificado de heredero o la condición de causahabiente no dan ningún derecho a la entrega de la parte de custodia: el secreto profesional del Cliente no se transmite por sucesión, y la apertura del almacén cifrado entregaría los expedientes del conjunto de sus pacientes. El destino de los expedientes en caso de fallecimiento del Cliente se rige por las reglas de la profesión y de la autoridad cantonal competente, no por el presente contrato; (d) en caso de secuestro o de requerimiento (art. 265 CPP), los elementos embargables en poder del Editor no permiten, por sí solos, el descifrado de los datos del Cliente — propiedad técnica verificable en el código fuente público.

11. Duración, terminación y cese del servicio gestionado

11.1 Duración y terminación. El contrato se celebra por tiempo indefinido. El Cliente puede poner fin al servicio gestionado, o al contrato, en cualquier momento, por cualquier medio escrito o electrónico, sin gastos ni justificación, con efecto inmediato o en la fecha que indique; la fracción pagada por adelantado y no utilizada se le reembolsa a prorrata (cláusula 5.2). El Editor puede poner fin al contrato para el final de un periodo de suscripción en curso, mediante un preaviso de treinta (30) días, por cualquier medio escrito o electrónico.

11.2 Causas justificadas. Cada parte puede poner fin al contrato con efecto inmediato por causas justificadas, en particular en caso de incumplimiento grave de una obligación esencial que no haya sido subsanado en un plazo razonable tras un requerimiento.

11.3 Cese del servicio gestionado por el Editor (cláusula especialmente señalada, 14.2 letra l). El Editor puede cesar la totalidad o parte del servicio gestionado mediante un preaviso de noventa (90) días. Gracias al carácter local y libre del software (8.7) y a la exportación (8.4), el Cliente sigue en condiciones de acceder a sus datos y de conservarlos. El cese no afecta ni al control del Cliente sobre sus datos (8.4), ni a su obligación de conservación, y no da derecho a ninguna indemnización distinta, en su caso, del reembolso de la fracción de suscripción pagada por adelantado y no utilizada, quedando a salvo los arts. 100, apdos. 1 y 2, y 101 CO.

11.4 Deber persistente. La terminación no pone fin a la obligación legal de conservación (10.2): incumbe al Cliente, antes de cualquier terminación o cese de uso, proceder a la exportación completa de sus expedientes y garantizar su conservación durante los plazos legales restantes. Tras el fin del contrato, el Editor no conserva ningún dato explotable y no asume ninguna obligación de restitución posterior.

11.5 Continuidad en caso de fallecimiento o incapacidad del Editor. (a) No obstante lo dispuesto en el art. 405, apdo. 1, CO, el fallecimiento o la incapacidad duradera del Editor no pone fin al contrato de pleno derecho; el contrato continúa según el régimen de cese de la cláusula 11.3, corriendo el preaviso de noventa (90) días desde la notificación a los Clientes. (b) El Editor designa un mandatario técnico contractual (instrucciones selladas conservadas con la copia física de la clave de custodia), complementado con directrices al albacea testamentario; este mandatario se encarga de notificar a los Clientes en un plazo de treinta (30) días, de mantener la sincronización en modo lectura y la exportación durante el plazo de preaviso (alojamiento provisionado), y después de entregar o destruir los elementos de custodia levantando acta — nunca transmisión a la masa hereditaria fuera del procedimiento. (c) Los secretos de explotación (acceso al proveedor de alojamiento, token de administración, sobre de custodia) quedan depositados en secuestro con este fin; no permiten ninguna lectura de los datos de los Clientes (arquitectura zero-knowledge). (d) La conexión a MediData, contrato de terceros, no está garantizada más allá de la notificación. La presente cláusula se estipula en favor del Cliente; en todo caso, subsisten los derechos de las cláusulas 8.4 (exportación) y 8.7 (perdurabilidad mediante el código).

12. Modificaciones del contrato y del servicio

12.1 Modificaciones menores (cláusula especialmente señalada, 14.2 letra e). El Editor puede adaptar las presentes condiciones por motivos menores (precisiones, evoluciones técnicas que no afecten al equilibrio del contrato). Toda modificación menor se comunica al menos treinta (30) días antes de su entrada en vigor, mediante un aviso en la aplicación o por vía electrónica; a falta de terminación antes de esa fecha, se considera aceptada. El Cliente que rechace una modificación menor puede, no obstante lo dispuesto en la cláusula 11.1, poner fin al contrato por escrito antes de su entrada en vigor, con efecto en esa fecha y reembolso a prorrata de la fracción pagada por adelantado. Las modificaciones no se aplican retroactivamente a las prestaciones ya ejecutadas.

12.2 Modificaciones sustanciales — aceptación expresa. Toda modificación sustancial — en particular del precio, del régimen de responsabilidad, de la protección de datos o de los tribunales competentes — requiere la aceptación expresa del Cliente. El Editor se la presenta en la aplicación, y por correo electrónico al Cliente que haya suscrito el servicio gestionado, en una sola comunicación que comprende:

• (a) la mención de que las condiciones han cambiado, con el identificador de la nueva versión;
• (b) un resumen de lo que cambia, cláusula por cláusula;
• (c) el acceso al texto completo de la nueva versión, en el que las cláusulas especialmente señaladas siguen destacadas (14.2), y que el Cliente puede guardar o imprimir (PDF) antes de responder;
• (d) la elección entre aceptar y rechazar, y lo que conlleva el rechazo (véase más abajo).

El Cliente acepta mediante un gesto único («Acepto (J'accepte)»), con sello de tiempo y vinculado a la versión; no hay ninguna casilla que marcar. El silencio no vale como aceptación de una modificación sustancial. Una modificación sustancial que el resumen (letra b) omitiera no es oponible al Cliente.

Sin respuesta (cláusula especialmente señalada, 14.2 letra e). Mientras el Cliente no haya aceptado ni rechazado, siguen aplicándose las condiciones anteriores. Durante treinta (30) días desde la comunicación, el Editor le recuerda la modificación, en la aplicación y, si ha suscrito el servicio gestionado, por correo electrónico, sin interrumpir nada. Al vencer este plazo, la sincronización de su cuenta espera su respuesta; se reanuda en cuanto acepta. La respuesta dada en uno de sus dispositivos vale para su cuenta, y por tanto para todos sus dispositivos. Esta espera solo se aplica al Cliente que ya haya aceptado una versión del contrato que la prevea: en la modificación que la introduce, el recordatorio continúa sin interrumpir nada hasta su respuesta. Esta espera no es ni una suspensión en el sentido de la cláusula 5.4, ni una terminación: el uso de la aplicación en su dispositivo continúa, y nunca afecta al acceso local del Cliente a sus datos, a la exportación .carnet, al mecanismo de recuperación ni a los derechos conferidos por la AGPLv3; los bloques cifrados ya confiados siguen conservándose. Los días de espera de un Cliente que ha suscrito no se facturan: se le abonan a prorrata en el periodo siguiente, o se le reembolsan si el contrato termina (5.2).

Derecho a rechazar. El Cliente puede rechazar la modificación, mediante un gesto único («Rechazo (Je refuse)»), con sello de tiempo y vinculado a la versión. La aplicación transmite el rechazo al Editor, que conserva un recibo con sello de tiempo (versión rechazada, fecha del rechazo, fecha de efecto elegida) y se lo muestra al Cliente.

• (a) El Cliente que ha suscrito el servicio gestionado y rechaza la modificación pone fin al servicio gestionado, sin gastos ni indemnización. La terminación surte efecto, a su elección, inmediatamente o al final del periodo de suscripción en curso — a falta de periodo pagado en curso, al final del mes natural siguiente al rechazo, y no antes del final del trigésimo día siguiente al rechazo —, pero nunca antes de que el Editor haya recibido el rechazo — mediante el recibo de la aplicación o mediante una solicitud escrita a ; hasta entonces, siguen aplicándose las condiciones anteriores y la sincronización continúa. La fracción pagada por adelantado y no utilizada se le reembolsa a prorrata (5.2 letra c). En la fecha de efecto, se encuentra en la situación de la letra (b).
• (b) El Cliente que no ha suscrito el servicio gestionado conserva el uso local del software en su dispositivo, en las condiciones anteriores, sin sincronización. Sus datos permanecen en su dispositivo y su exportación (8.4) le sigue abierta. Puede aceptar la nueva versión más tarde, desde la aplicación; la sincronización vuelve entonces a estar a su alcance, en las condiciones de la nueva versión.

El rechazo no priva al Cliente ni de sus datos ni de su exportación; le corresponde conservar sus expedientes durante los plazos legales (10.2, 11.4).

El fin de la prueba (cláusula 5.1bis), pactado de antemano, no es una modificación en el sentido de la presente sección.

12.3 Evolución del software y reserva reglamentaria (cláusula especialmente señalada, 14.2 letra j). El Editor puede hacer evolucionar las funcionalidades, añadir otras o retirarlas, por motivos de seguridad, de conformidad o de mejora, siempre que las funciones esenciales pactadas sigan sustancialmente garantizadas. Si una autoridad competente, una evolución legislativa o una nueva versión de la guía MDCG llegara a calificar de producto sanitario la totalidad o parte de una función, el Editor puede modificarla, restringirla o retirarla para preservar la conformidad, sin que ello constituya un incumplimiento. El carácter libre (AGPLv3) garantiza al Cliente la disponibilidad duradera de las versiones anteriores. Quedan a salvo las disposiciones imperativas (en particular la LRFP).

12.4 Cesión del contrato y cambio de control (cláusula especialmente señalada). El Editor posee una parte de clave de recuperación y, cuando la puerta está activa, un sobre que contiene las identidades sobreselladas de los pacientes del Cliente: la identidad de quien posee estos elementos es determinante para el Cliente. En consecuencia:

(a) el Editor no puede ceder el presente contrato, su empresa o el servicio gestionado, ni transferir el control de este a un tercero, sin informar de ello al Cliente por escrito con al menos sesenta (60) días de antelación, indicando la identidad, el domicilio social y la jurisdicción del adquirente;

(b) el Cliente puede entonces poner fin al contrato sin gastos con efecto en la fecha de la transferencia, reembolsándosele a prorrata la fracción de cuota pagada por adelantado;

(c) el Cliente puede, en cualquier caso y sin poner fin al contrato, exigir la destrucción certificada de los elementos de custodia que le conciernen (parte criptográfica, sobre sobresellado, número de verificación) en lugar de su transferencia al adquirente; el Editor procede a ello antes de la transferencia y lo certifica por escrito. La puerta de recuperación queda entonces desactivada, consecuencia que asume el Cliente (cláusula 10.5);

(d) el adquirente está obligado a asumir la totalidad de las obligaciones del presente contrato, incluido el compromiso de arquitectura de la cláusula 9.7bis y la ausencia de puerta trasera (cláusula 9.14 letra c).

El fallecimiento o la incapacidad del Editor se rige por la cláusula 11.5, no por la presente cláusula.

13. Ley aplicable y tribunales competentes

13.1 Ley aplicable. El presente contrato se rige exclusivamente por el derecho suizo, con exclusión de las normas de conflicto de leyes y de la Convención de las Naciones Unidas sobre los contratos de compraventa internacional de mercaderías (CISG).

13.2 Tribunales competentes (cláusula especialmente señalada, 14.2 letra d). El Cliente que actúa en el marco de su actividad profesional es un no consumidor (no se aplica el art. 35 CPC). Las partes convienen en que los tribunales exclusivamente competentes son los del domicilio del Editor, en Sierre (cantón del Valais), para una y otra parte, sin perjuicio de los fueros imperativos. En concreto: un litigio nacido del presente contrato se lleva ante los tribunales de Sierre, y no ante los del domicilio del Cliente, sea cual sea la parte que ejercite la acción. Esta cláusula, onerosa para el Cliente, está destacada en el texto, recordada en el recuadro situado al principio del contrato y presentada en la pantalla de aceptación (14.2). Su aceptación, con sello de tiempo y vinculada a una versión cuyo texto íntegro se conserva (14.4), constituye el «medio que permite acreditarla por un texto» del art. 17, apdo. 2, CPC.

14. Celebración, aceptación y atención especial a las cláusulas onerosas

14.1 Formación del contrato — dos momentos distintos. (a) En la creación del almacén cifrado, gratuita y puramente local, el Cliente acepta las presentes condiciones mediante un gesto único en la aplicación — la pulsación del botón «Crear la cuenta (Créer le compte)», precedido inmediatamente de la frase «Al pulsar «Crear la cuenta (Créer le compte)», usted declara: «Acepto el contrato, incluidas las cláusulas especialmente señaladas (J'accepte le contrat, y compris les clauses spécialement signalées)»» (14.2 cifra 4) —, después de que se le hayan presentado el texto completo y sus cláusulas especialmente señaladas (14.2); la versión aceptada y el sello de tiempo de la aceptación quedan registrados como prueba. Esta aceptación no genera ninguna obligación de pago: regula el uso, no la suscripción. (b) En la suscripción al servicio gestionado, el Cliente acepta además, en una pantalla distinta y mediante un nuevo gesto único, con sello de tiempo y vinculado a la versión, los elementos económicos del contrato, sus cláusulas onerosas de naturaleza económica y la declaración de la cláusula 4.1ter (cláusula 5.6). Las cláusulas de naturaleza económica — precio, prueba y confirmación de la suscripción, destino de las sumas pagadas por adelantado, duración y terminación — solo son oponibles a partir de esta segunda aceptación. Lo mismo ocurre con la cláusula de tribunales competentes (13.2): quien nunca ha suscrito se rige por los fueros legales ordinarios. Las cláusulas relativas a la responsabilidad y a la irreversibilidad zero-knowledge se aplican, en cambio, desde la primera aceptación, ya que el uso gratuito también se proporciona «tal cual» (cláusula 8.8).

14.2 Atención especial a las cláusulas onerosas (regla de las cláusulas insólitas). Las partes reconocen que el Cliente no es experto en el derecho de las licencias ni de la responsabilidad del software. Las cláusulas onerosas siguientes no quedan por tanto diluidas en una aceptación global: el Editor llama especialmente la atención del Cliente sobre cada una de ellas, y lo hace por cuatro medios acumulados:

• (1) en el texto, cada una lleva la mención «cláusula especialmente señalada» y su contenido esencial está escrito en negrita;
• (2) un recuadro situado al principio del contrato las enumera y expone su alcance en lenguaje corriente;
• (3) la pantalla de aceptación presenta ese mismo recuadro, y da acceso al texto completo, antes del botón de aceptación, de modo que no se puede aceptar sin haberlo tenido a la vista; también permite, antes de ese botón, guardar o imprimir el contrato (PDF);
• (4) el botón de aceptación, o la frase que lo precede inmediatamente, las nombra: «Acepto el contrato, incluidas las cláusulas especialmente señaladas (J'accepte le contrat, y compris les clauses spécialement signalées)».

El Cliente acepta el contrato, cláusulas señaladas incluidas, mediante este gesto único, con sello de tiempo y vinculado a la versión; no hay ninguna casilla que marcar. Lo mismo ocurre en cada nueva aceptación de una versión modificada (12.2). La jurisprudencia del Tribunal Federal suizo considera que se ha llamado suficientemente la atención cuando la cláusula está redactada de forma clara, inequívoca y destacada mediante procedimientos tipográficos como la negrita (TF 4A_372/2022 de 11.07.2023, consid. 3.3; véanse también ATF 138 III 411 consid. 3.1 y 3.5; ATF 135 III 1 consid. 2.1).

Primer grupo — en la creación del almacén cifrado, en la aplicación:

• (a) limitación de responsabilidad y tope (7.4) y exclusión de los daños indirectos (7.5);
• (b) indemnidad frente a terceros / hold harmless (7.7);
• (c) irreversibilidad zero-knowledge y pérdida de datos (7.9, 10.5, 10.6);
• (d) tribunales competentes del domicilio del Editor (13.2);
• (e) modificación por silencio para las modificaciones menores (12.1), y espera de la sincronización a falta de respuesta a una modificación sustancial en los treinta días (12.2);
• (f) puerta de recuperación y depositarios (10.8, 9.11);
• (f bis) ausencia de seguro del Editor: no se ha contratado ni se promete ningún seguro de responsabilidad civil; el Editor responde con su patrimonio, dentro de los límites de la sección 7; la responsabilidad legal (LRFP) permanece íntegra (3.5, 7.11);
• (m) ámbito cantonal: la aptitud del software no está garantizada fuera de los cantones y de los trámites que la cláusula nombra (2.5);
• (n) acceso anticipado — fase beta: interrupciones, regresiones y defectos posibles; salida en cualquier momento con reembolso a prorrata, durante esta fase como después (3.8);
• (o) pacientes atendidos/as en Francia: la declaración del Cliente y sus consecuencias — terminación por el Editor, y responsabilidad exclusiva del Cliente por las consecuencias legales en Francia (4.1ter);
• (p) solicitudes de autoridades: lo que el Editor puede entregar, lo que hará y lo que no hará (9.14);
• (q) cesión del contrato y cambio de control (12.4).

Las letras (m) a (q) se añadieron en la versión del 8 de octubre de 2026, después de las letras existentes, para que las remisiones del contrato a 14.2 letras a a l (3.2, 3.5, 5.1bis, 5.2, 9.11, 10.5, 11.3, 12.1, 12.3, 13.2) sigan siendo exactas. Estas cinco cláusulas ya llevaban la mención «cláusula especialmente señalada» y figuraban en el recuadro inicial; faltaban en esta lista, que fundamenta su oponibilidad.

Segundo grupo — en la suscripción al servicio gestionado (cláusula 5.6), en la pantalla de suscripción:

• (g) detención del servicio gestionado al término de la prueba de treinta días, a falta de confirmación (5.1bis): la sincronización, las copias de seguridad gestionadas y la apertura de nuevas sustituciones se detienen, los bloques cifrados se conservan al menos noventa días (5.1bis);
• (h) parte pagada por adelantado que queda en poder del Editor en caso de terminación por causas justificadas imputables al Cliente — única excepción al reembolso a prorrata (5.2);
• (i) carácter exclusivo de los remedios en caso de indisponibilidad: abono a prorrata más allá de 10 días, terminación más allá de 30 días, con exclusión de cualquier otra pretensión por la misma causa (3.2);
• (j) facultad de retirar o restringir una función por motivos de seguridad o de conformidad, sin que ello constituya un incumplimiento (12.3);
• (k) pérdida de derechos en caso de versión no instalada: el Editor no responde de los daños resultantes del uso de una versión obsoleta o de un defecto ya corregido por una actualización no instalada (7.12);
• (l) cese del servicio gestionado mediante un preaviso de 90 días (11.3), y adición de pleno derecho del IVA en caso de sujeción del Editor (5.5).

Una cláusula de esta lista que no se hubiera presentado al Cliente de la manera descrita anteriormente antes de su aceptación le es inoponible, y el resto del contrato sigue en vigor.

14.3 Alcance del dispositivo. El Cliente reconoce que el presente contrato no es más que un nivel de un dispositivo de protección que comprende también el encuadre en la aplicación «ayuda, no producto sanitario, no decisional» y la obtención, en su caso, de un dictamen escrito de cualificación de Swissmedic.

14.4 Firmas / aceptación electrónica.

Por el Editor: ____________________ Fecha: __________

El Cliente declara haber leído, comprendido y aceptado el presente contrato, incluidas las cláusulas onerosas especialmente señaladas en la cláusula 14.2 y, si utiliza el servicio gestionado, la declaración de la cláusula 4.1ter. Al no estar el contrato sujeto a ninguna forma legal (art. 11 CO), la aceptación electrónica basta para celebrarlo; el Editor conserva el texto íntegro de cada versión aceptada, y lo adjunta a la confirmación de suscripción (5.6 letra d):

Nombre / apellido: ____________________ Fecha y sello de tiempo: __________ Versión aceptada: __________