Acuerdo de Encargado del Tratamiento (DPA)

Este Acuerdo de Encargado del Tratamiento («Acuerdo») regula el tratamiento de datos personales que MiEspacio realiza por cuenta de tu negocio al prestarte la Plataforma. Da cumplimiento al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

Responsable del tratamiento: el negocio titular de la cuenta (en adelante, «tú» o «el Responsable»). Tú decides qué datos introduces en la Plataforma y con qué finalidad.

Encargado del tratamiento:

• Denominación: Bohdan Hordiychuk
• NIF: Y9939706V
• Domicilio: Alicante, España
• Contacto en materia de protección de datos: privacy@miespacio.app

Este Acuerdo forma parte de los Términos de Uso y se acepta al crear la cuenta. Prevalece sobre los Términos en todo lo relativo al tratamiento de datos personales.

Objeto: prestación de la Plataforma de gestión de reservas, clientes, personal, cobros y comunicaciones.

Duración: mientras la cuenta esté activa, más el periodo de conservación descrito en la cláusula 10.

Naturaleza y finalidad: alojar, organizar, consultar, comunicar y suprimir los datos personales que introduces, con la única finalidad de prestarte el servicio y cumplir las obligaciones legales que nos vinculan.

No tratamos tus datos para finalidades propias. En particular, no los vendemos, no los cedemos a terceros con fines comerciales y no los utilizamos para entrenar modelos de inteligencia artificial.

Tratamos los datos personales únicamente siguiendo tus instrucciones documentadas. Constituyen instrucciones documentadas: este Acuerdo, los Términos de Uso y las acciones que realizas dentro de la Plataforma (crear una reserva, enviar un recordatorio, exportar tu base de clientes, anonimizar una ficha).

Si consideramos que una instrucción tuya infringe el RGPD o la LOPDGDD, te lo comunicaremos sin dilación y podremos suspender su ejecución hasta que la confirmes o la modifiques.

Cuando una obligación legal nos exija tratar los datos de otro modo, te informaremos antes del tratamiento salvo que la propia norma lo prohíba por razones de interés público.

Las personas autorizadas para tratar datos personales por nuestra parte están sujetas a un deber de confidencialidad expreso y de duración indefinida, que subsiste tras el fin de su relación con nosotros.

El acceso interno a datos de un negocio se limita a lo estrictamente necesario para resolver una incidencia concreta, y queda registrado.

Aplicamos, como mínimo, las siguientes medidas técnicas y organizativas:

• Cifrado en tránsito: TLS 1.2 o superior en todas las conexiones.
• Cifrado en reposo a nivel de campo para las categorías más sensibles: notas médicas del cliente, contenido de los chats, cuerpo de los SMS, secretos de doble factor, claves de acceso (passkeys) y tokens de dispositivo.
• Aislamiento entre negocios: cada registro está asociado a un identificador de empresa y toda consulta se filtra por él; un intento de acceso a datos de otro negocio se resuelve como «no encontrado».
• Control de acceso basado en roles con permisos por empleado, de modo que cada persona de tu equipo vea solo lo que necesita.
• Registro de auditoría inmutable: las entradas de auditoría no admiten modificación ni borrado; la restricción se aplica en la propia base de datos.
• Copias de seguridad diarias conservadas 30 días, con copias semanales y mensuales posteriores, y cifrado del archivo de copia.
• Limitación de intentos en autenticación y en los puntos de exportación masiva.

Estas medidas pueden evolucionar; no reduciremos el nivel de seguridad ofrecido.

Nos autorizas de forma general a recurrir a los subencargados enumerados en el Anexo II. Con cada uno mantenemos un contrato que impone obligaciones de protección de datos equivalentes a las de este Acuerdo.

Te informaremos de la incorporación o sustitución de cualquier subencargado con una antelación mínima de 30 días. Durante ese plazo puedes oponerte por motivos razonables relacionados con la protección de datos; si no encontramos una alternativa, podrás resolver el servicio sin penalización.

Respondemos ante ti del cumplimiento de las obligaciones de nuestros subencargados.

Los datos se alojan en la Unión Europea.

Algunos subencargados del Anexo II están establecidos fuera del EEE. Cuando así sea, la transferencia se ampara en una decisión de adecuación de la Comisión Europea o en las Cláusulas Contractuales Tipo, con las medidas complementarias que procedan.

Los proveedores de inteligencia artificial solo reciben datos cuando activas expresamente una función de IA, y únicamente el fragmento necesario para esa función.

Te asistimos, mediante funciones disponibles en la propia Plataforma, para que puedas atender los derechos de los interesados y tus obligaciones de los artículos 32 a 36 del RGPD:

• Acceso y portabilidad: exportación completa de tu base de clientes y del historial de citas en formato legible por máquina, en cualquier momento y sin coste mientras el acceso a tu cuenta esté activo. Al finalizar el servicio, puedes solicitar la devolución de los datos mediante nuestro contacto de privacidad, sujeta a los plazos de conservación de la cláusula 10.
• Supresión: anonimización de la ficha de un cliente, que elimina los datos identificativos y conserva únicamente el registro contable exigido por la normativa fiscal.
• Retirada del consentimiento y gestión de las preferencias de comunicación.
• Rectificación y limitación: edición y desactivación de fichas desde el panel.

Si recibimos directamente una solicitud de un interesado tuyo, no la atenderemos por nuestra cuenta: te la trasladaremos sin dilación para que la resuelvas tú, como responsable.

Te notificaremos sin dilación indebida desde que tengamos conocimiento de una violación de la seguridad que afecte a datos personales tratados por tu cuenta.

La notificación incluirá, en la medida en que dispongamos de ello: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. Si no podemos facilitar toda la información a la vez, te la iremos remitiendo de forma gradual.

La notificación a la autoridad de control y, en su caso, a los interesados corresponde a ti como responsable.

Al finalizar la prestación del servicio, y a tu elección, te devolveremos o suprimiremos los datos personales tratados por tu cuenta.

Puedes ejercer la devolución tú mismo en cualquier momento mediante la exportación descrita en la cláusula 8.

Plazos aplicables salvo instrucción distinta por tu parte:

• Papelera: los elementos eliminados se conservan 30 días antes de su borrado definitivo, para permitir la recuperación de un borrado accidental.
• Copias de seguridad: los datos pueden persistir en copias durante el ciclo de retención descrito en la cláusula 5; quedan aislados y se eliminan al vencer ese ciclo.
• Conservación legal: conservaremos los datos cuya conservación nos imponga el Derecho de la Unión o español, en particular la documentación con efectos fiscales, durante el plazo legalmente exigido y con acceso restringido.

El periodo de conservación general es configurable por tu negocio dentro de los límites legales.

Pondremos a tu disposición la información necesaria para demostrar el cumplimiento de las obligaciones de este Acuerdo y del artículo 28 del RGPD.

Permitiremos y contribuiremos a la realización de auditorías, incluidas inspecciones, por tu parte o por un auditor que designes y que no sea competidor nuestro, con un preaviso razonable, en horario laboral, con una periodicidad máxima anual —salvo que una autoridad de control o una violación de seguridad justifiquen otra— y bajo compromiso de confidencialidad.

Categorías de interesados: clientes finales de tu negocio; personas que reservan sin registrarse; miembros de tu equipo con acceso a la Plataforma; en su caso, tutores legales de menores.

Categorías de datos personales:

• Identificación y contacto: nombre, teléfono en formato internacional, correo electrónico, fecha de nacimiento, dirección.
• Actividad: historial de citas, servicios prestados, asistencia e inasistencias, preferencias, notas internas, etiquetas, programa de fidelización.
• Comunicaciones: contenido y estado de los mensajes SMS, WhatsApp, correo electrónico y chat intercambiados a través de la Plataforma.
• Imágenes: fotografías que subas asociadas a una ficha o a un servicio.
• Transaccionales: importes, conceptos, estado de cobro y documentos fiscales. No almacenamos datos completos de tarjeta: los introduce el cliente directamente en el proveedor de pago.
• Datos del equipo: identificación, credenciales de acceso, jornada y registro horario, ausencias y permisos (incluidas las bajas por enfermedad), saldos de vacaciones, documentos del empleado y sus firmas, listas de incorporación y salida, cumpleaños y aniversarios que cada persona decida compartir, respuestas a las encuestas internas del equipo (se borran al cerrar cada encuesta; el informe del grupo se conserva 24 meses), permisos de acceso y, cuando lo utilices, datos de comisiones y nómina.

Categorías especiales (art. 9 RGPD). La Plataforma dispone de campos para alergias, contraindicaciones, notas médicas, historial de pruebas de sensibilidad y formularios de consentimiento. Son datos relativos a la salud. Solo se tratan si tú decides introducirlos, y la base jurídica —normalmente el consentimiento explícito del interesado— es responsabilidad tuya. Estos campos se almacenan cifrados. Las ausencias registradas como baja por enfermedad revelan datos de salud de tu equipo; su base jurídica (normalmente el artículo 9.2.b del RGPD, obligaciones en el ámbito laboral) es responsabilidad tuya.

Menores. Si tu actividad implica a menores, te corresponde recabar y conservar el consentimiento del titular de la patria potestad o tutela conforme al artículo 7 de la LOPDGDD.

Los siguientes proveedores pueden tratar datos personales por nuestra cuenta. Los marcados como opcionales solo intervienen si activas la función correspondiente.

• Infraestructura y almacenamiento (alojamiento de la aplicación, base de datos, archivos y copias de seguridad) — Unión Europea.
• Correo electrónico transaccional (confirmaciones, recordatorios, avisos).
• SMS — Twilio, LabsMobile, SMSPubli (según el proveedor configurado).
• WhatsApp — Twilio o Meta Platforms (opcional).
• Videoconsulta — Twilio (opcional).
• Notificaciones push — Google Firebase (opcional).
• Sincronización de calendario — Google Calendar, Microsoft Outlook (opcional).
• Perfil de negocio y reseñas — Google (opcional).
• Funciones de inteligencia artificial — OpenAI, Anthropic (opcional; solo el fragmento necesario para la función activada).
• Geocodificación — Geoapify (opcional).
• Tarjetas en wallet — Apple, Google (opcional).
• Monitorización de errores — Sentry, con depuración de datos personales en los informes.

No son subencargados nuestros:

• Redsys y Stripe cuando cobras a tus clientes. El cobro se liquida en tu propia cuenta y tú eres el comercio ante la entidad; nosotros no somos receptores de ese dinero. Tu relación con el proveedor de pago es directa.
• La Agencia Tributaria (AEAT). La remisión de documentación fiscal responde a una obligación legal, no a un encargo de tratamiento.
• El proveedor de facturación de tu suscripción a MiEspacio, respecto del cual actuamos como responsables y no como encargados.

La lista vigente se publica en esta página. Cualquier cambio se comunica conforme a la cláusula 6.

Este Acuerdo se rige por el Derecho español y por el Derecho de la Unión Europea. Para cualquier controversia, las partes se someten a los juzgados y tribunales que correspondan conforme a la normativa aplicable.

Este documento se publica en varios idiomas. En caso de discrepancia, prevalece la versión en español.

Si alguna cláusula fuese declarada nula, el resto conservará su validez.