Acord d'Encarregat del Tractament (DPA)

Aquest Acord d'Encarregat del Tractament («Acord») regula el tractament de dades personals que MiEspacio fa per compte del teu negoci en prestar-te la Plataforma. Dona compliment a l'article 28 del Reglament (UE) 2016/679 (RGPD) i a la Llei Orgànica 3/2018 (LOPDGDD).

Responsable del tractament: el negoci titular del compte (el «Responsable»). Tu decideixes quines dades introdueixes a la Plataforma i amb quina finalitat.

Encarregat del tractament:

• Denominació: Bohdan Hordiychuk
• NIF: Y9939706V
• Domicili: Alicante, España
• Contacte en matèria de protecció de dades: privacy@miespacio.app

Aquest Acord forma part dels Termes d'Ús i s'accepta en crear el compte. Preval sobre els Termes en tot allò relatiu al tractament de dades personals.

Objecte: prestació de la Plataforma de gestió de reserves, clients, personal, cobraments i comunicacions.

Durada: mentre el compte estigui actiu, més el període de conservació descrit a la clàusula 10.

Naturalesa i finalitat: allotjar, organitzar, consultar, comunicar i suprimir les dades personals que introdueixes, amb l'única finalitat de prestar-te el servei i complir les obligacions legals que ens vinculen.

No tractem les teves dades per a finalitats pròpies. No les venem, no les cedim a tercers amb finalitats comercials i no les utilitzem per entrenar models d'intel·ligència artificial.

Tractem les dades personals únicament seguint les teves instruccions documentades. Són instruccions documentades: aquest Acord, els Termes d'Ús i les accions que fas dins la Plataforma (crear una reserva, enviar un recordatori, exportar la teva base de clients, anonimitzar una fitxa).

Si considerem que una instrucció teva infringeix el RGPD o la LOPDGDD, t'ho comunicarem sense dilació i podrem suspendre'n l'execució fins que la confirmis o la modifiquis.

Quan una obligació legal ens exigeixi tractar les dades d'una altra manera, t'informarem abans del tractament llevat que la mateixa norma ho prohibeixi per raons d'interès públic.

Les persones autoritzades per tractar dades personals per la nostra part estan subjectes a un deure de confidencialitat exprés i de durada indefinida, que subsisteix després del final de la seva relació amb nosaltres.

L'accés intern a dades d'un negoci es limita al que és estrictament necessari per resoldre una incidència concreta, i queda registrat.

Apliquem, com a mínim, les mesures tècniques i organitzatives següents:

• Xifratge en trànsit: TLS 1.2 o superior en totes les connexions.
• Xifratge en repòs a nivell de camp per a les categories més sensibles: notes mèdiques del client, contingut dels xats, cos dels SMS, secrets de doble factor, claus d'accés (passkeys) i tokens de dispositiu.
• Aïllament entre negocis: cada registre està associat a un identificador d'empresa i tota consulta es filtra per aquest; un intent d'accés a dades d'un altre negoci es resol com a «no trobat».
• Control d'accés basat en rols amb permisos per empleat, de manera que cada persona del teu equip vegi només allò que necessita.
• Registre d'auditoria immutable: les entrades d'auditoria no admeten modificació ni esborrat; la restricció s'aplica a la mateixa base de dades.
• Còpies de seguretat diàries conservades 30 dies, amb còpies setmanals i mensuals posteriors, i xifratge de l'arxiu de còpia.
• Limitació d'intents en autenticació i en els punts d'exportació massiva.

Aquestes mesures poden evolucionar; no reduirem el nivell de seguretat ofert.

Ens autoritzes de manera general a recórrer als subencarregats enumerats a l'Annex II. Amb cadascun mantenim un contracte que imposa obligacions de protecció de dades equivalents a les d'aquest Acord.

T'informarem de la incorporació o substitució de qualsevol subencarregat amb una antelació mínima de 30 dies. Durant aquest termini pots oposar-t'hi per motius raonables relacionats amb la protecció de dades; si no trobem una alternativa, podràs resoldre el servei sense penalització.

Responem davant teu del compliment de les obligacions dels nostres subencarregats.

Les dades s'allotgen a la Unió Europea.

Alguns subencarregats de l'Annex II estan establerts fora de l'EEE. Quan sigui així, la transferència s'empara en una decisió d'adequació de la Comissió Europea o en les Clàusules Contractuals Tipus, amb les mesures complementàries que escaiguin.

Els proveïdors d'intel·ligència artificial només reben dades quan actives expressament una funció d'IA, i únicament el fragment necessari per a aquella funció.

T'assistim, mitjançant funcions disponibles a la mateixa Plataforma, perquè puguis atendre els drets dels interessats i les teves obligacions dels articles 32 a 36 del RGPD:

• Accés i portabilitat: exportació completa de la teva base de clients i de l'historial de cites en format llegible per màquina, en qualsevol moment i sense cost mentre l'accés al teu compte estigui actiu. Quan finalitzi el servei, pots sol·licitar la devolució de les dades mitjançant el nostre contacte de privacitat, subjecta als terminis de conservació de la clàusula 10.
• Supressió: anonimització de la fitxa d'un client, que elimina les dades identificatives i conserva únicament el registre comptable exigit per la normativa fiscal.
• Retirada del consentiment i gestió de les preferències de comunicació.
• Rectificació i limitació: edició i desactivació de fitxes des del panell.

Si rebem directament una sol·licitud d'un interessat teu, no l'atendrem pel nostre compte: te la traslladarem sense dilació perquè la resolguis tu, com a responsable.

Et notificarem sense dilació indeguda des que tinguem coneixement d'una violació de la seguretat que afecti dades personals tractades pel teu compte.

La notificació inclourà, en la mesura que en disposem: la naturalesa de la violació, les categories i el nombre aproximat d'interessats i de registres afectats, les conseqüències probables, les mesures adoptades o proposades i un punt de contacte. Si no podem facilitar tota la informació alhora, te l'anirem remetent de manera gradual.

La notificació a l'autoritat de control i, si escau, als interessats correspon a tu com a responsable.

En finalitzar la prestació del servei, i a la teva elecció, et retornarem o suprimirem les dades personals tractades pel teu compte.

Pots exercir la devolució tu mateix en qualsevol moment mitjançant l'exportació descrita a la clàusula 8.

Terminis aplicables llevat d'instrucció diferent per part teva:

• Paperera: els elements eliminats es conserven 30 dies abans del seu esborrat definitiu, per permetre la recuperació d'un esborrat accidental.
• Còpies de seguretat: les dades poden persistir en còpies durant el cicle de retenció descrit a la clàusula 5; queden aïllades i s'eliminen en vèncer aquest cicle.
• Conservació legal: conservarem les dades la conservació de les quals ens imposi el Dret de la Unió o espanyol, en particular la documentació amb efectes fiscals, durant el termini legalment exigit i amb accés restringit.

El període de conservació general és configurable pel teu negoci dins dels límits legals.

Posarem a la teva disposició la informació necessària per demostrar el compliment de les obligacions d'aquest Acord i de l'article 28 del RGPD.

Permetrem i contribuirem a la realització d'auditories, incloses inspeccions, per part teva o d'un auditor que designis i que no sigui competidor nostre, amb un preavís raonable, en horari laboral, amb una periodicitat màxima anual —llevat que una autoritat de control o una violació de seguretat justifiquin una altra cosa— i sota compromís de confidencialitat.

Categories d'interessats: clients finals del teu negoci; persones que reserven sense registrar-se; membres del teu equip amb accés a la Plataforma; si escau, tutors legals de menors.

Categories de dades personals:

• Identificació i contacte: nom, telèfon en format internacional, correu electrònic, data de naixement, adreça.
• Activitat: historial de cites, serveis prestats, assistència i absències, preferències, notes internes, etiquetes, programa de fidelització.
• Comunicacions: contingut i estat dels missatges SMS, WhatsApp, correu electrònic i xat intercanviats a través de la Plataforma.
• Imatges: fotografies que pugis associades a una fitxa o a un servei.
• Transaccionals: imports, conceptes, estat de cobrament i documents fiscals. No emmagatzemem dades completes de targeta: les introdueix el client directament al proveïdor de pagament.
• Dades de l'equip: identificació, credencials d'accés, jornada i registre horari, absències i permisos (incloses les baixes per malaltia), saldos de vacances, documents de l'empleat i les seves signatures, llistes d'incorporació i sortida, dates d'aniversari i aniversaris de feina que cada persona decideixi compartir, respostes a les enquestes internes de l'equip (s'esborren en tancar cada enquesta; l'informe del grup es conserva 24 mesos), permisos d'accés i, quan l'utilitzis, dades de comissions i nòmina.

Categories especials (art. 9 RGPD). La Plataforma disposa de camps per a al·lèrgies, contraindicacions, notes mèdiques, historial de proves de sensibilitat i formularis de consentiment. Són dades relatives a la salut. Només es tracten si tu decideixes introduir-les, i la base jurídica —normalment el consentiment explícit de l'interessat— és responsabilitat teva. Aquests camps s'emmagatzemen xifrats. Les absències registrades com a baixa per malaltia revelen dades de salut del teu equip; la seva base jurídica (normalment l'article 9.2.b del RGPD, obligacions en l'àmbit laboral) és responsabilitat teva.

Menors. Si la teva activitat implica menors, et correspon recollir i conservar el consentiment del titular de la pàtria potestat o tutela conforme a l'article 7 de la LOPDGDD.

Els proveïdors següents poden tractar dades personals pel nostre compte. Els marcats com a opcionals només intervenen si actives la funció corresponent.

• Infraestructura i emmagatzematge (allotjament de l'aplicació, base de dades, arxius i còpies de seguretat) — Unió Europea.
• Correu electrònic transaccional (confirmacions, recordatoris, avisos).
• SMS — Twilio, LabsMobile, SMSPubli (segons el proveïdor configurat).
• WhatsApp — Twilio o Meta Platforms (opcional).
• Videoconsulta — Twilio (opcional).
• Notificacions push — Google Firebase (opcional).
• Sincronització de calendari — Google Calendar, Microsoft Outlook (opcional).
• Perfil de negoci i ressenyes — Google (opcional).
• Funcions d'intel·ligència artificial — OpenAI, Anthropic (opcional; només el fragment necessari per a la funció activada).
• Geocodificació — Geoapify (opcional).
• Targetes a wallet — Apple, Google (opcional).
• Monitoratge d'errors — Sentry, amb depuració de dades personals als informes.

No són subencarregats nostres:

• Redsys i Stripe quan cobres els teus clients. El cobrament es liquida al teu propi compte i tu ets el comerç davant l'entitat; nosaltres no som receptors d'aquests diners. La teva relació amb el proveïdor de pagament és directa.
• L'Agència Tributària (AEAT). La remissió de documentació fiscal respon a una obligació legal, no a un encàrrec de tractament.
• El proveïdor de facturació de la teva subscripció a MiEspacio, respecte del qual actuem com a responsables i no com a encarregats.

La llista vigent es publica en aquesta pàgina. Qualsevol canvi es comunica conforme a la clàusula 6.

Aquest Acord es regeix pel Dret espanyol i pel Dret de la Unió Europea. Per a qualsevol controvèrsia, les parts se sotmeten als jutjats i tribunals que corresponguin conforme a la normativa aplicable.

Aquest document es publica en diversos idiomes. En cas de discrepància, preval la versió en castellà.

Si alguna clàusula fos declarada nul·la, la resta conservarà la seva validesa.