¿Quién guarda los datos, y con qué contrato?
Si el programa está en la nube, ese proveedor trata datos de tus pacientes por cuenta tuya. El RGPD exige que esa relación se rija por un contrato que vincule al proveedor con la clínica (artículo 28.3). En los planes gratuitos a veces está publicado y a veces no aparece por ningún lado, y eso último ya te dice algo.