El art. 25 dispone que, cuando por cuenta de terceros se presten servicios de tratamiento de datos personales, los datos no pueden aplicarse a un fin distinto al que figure en el contrato de servicios ni cederse a otras personas, y que al cumplirse la prestación deben destruirse, salvo que quien contrató el servicio autorice expresamente conservarlos cuando razonablemente se presuma la posibilidad de ulteriores encargos; en ese caso pueden almacenarse hasta dos años con las debidas condiciones de seguridad. Como la base de la clínica no ingresa a JAG, no hay datos de pacientes que conservar ni que destruir.