Tratamiento de datos (RGPD)

1. Quién es quién

Cuando registra a sus clientes, sus citas y sus pagos en PontoAgendado, es su negocio quien decide por qué y para qué. Por eso su negocio es el responsable del tratamiento.

Nosotros guardamos y tratamos esos datos por su cuenta, para prestarle el servicio. Somos el encargado del tratamiento.

Este documento se acepta en el momento del registro y vale como el contrato escrito exigido por el artículo 28 del Reglamento General de Protección de Datos.

2. Objeto, duración y finalidad

El objeto es el tratamiento necesario para operar la agenda, la ficha de cliente, los servicios prestados, la facturación interna, las comisiones y la reserva online de su negocio.

La duración es la de su suscripción, más el periodo de conservación indicado en el punto 8.

La finalidad es exclusivamente la prestación del servicio. No usamos estos datos para fines propios, no los analizamos para publicidad y no los cedemos a nadie.

3. Qué datos y de quién

• Interesados: los clientes finales de su negocio y los profesionales de su equipo.
• Datos de los clientes: nombre, teléfono, correo electrónico, número de documento cuando lo rellena, historial de citas, servicios realizados e importes pagados.
• Datos de los profesionales: nombre, contacto, servicios que prestan, comisiones y pagos.
• Observaciones libres: los campos de notas pueden contener lo que escriba en ellos. Recomendamos no registrar información de salud ni otras categorías especiales de datos sin base legal para ello.

4. Sus instrucciones

Tratamos los datos únicamente conforme a sus instrucciones documentadas, que se dan mediante el uso normal del servicio y las solicitudes que nos envíe por escrito.

Si una instrucción suya nos parece contraria al RGPD, se lo decimos antes de cumplirla.

Si la ley nos obliga a tratar los datos de otra forma, le informamos antes, salvo que la propia ley lo prohíba.

5. Confidencialidad y seguridad

Quien, por nuestra parte, tiene acceso a los datos está obligado a secreto, y ese acceso se limita a lo estrictamente necesario.

Las medidas de seguridad incluyen cifrado en tránsito, aislamiento entre negocios aplicado en el servidor, autenticación con token, contraseñas guardadas solo de forma cifrada, limitación de solicitudes y copias de seguridad.

6. Otros encargados

Nos autoriza, de forma general, a recurrir a los proveedores siguientes, todos vinculados a obligaciones equivalentes a las de este documento.

• Supabase: autenticación, base de datos y almacenamiento de los archivos que sube.
• Hetzner: servidores de la aplicación, en Alemania.
• Vercel: alojamiento del sitio web y del panel.
• Stripe: pagos de la suscripción, sin acceso a los datos de sus clientes.
• Resend: envío de los correos electrónicos, incluidos los avisos a sus clientes.

7. Cambios en la lista

Si queremos añadir o sustituir un proveedor, avisamos por correo electrónico con al menos 30 días de antelación.

Si se opone de forma fundada, buscamos una alternativa. De no haberla, puede cancelar la suscripción sin penalización, con devolución de la parte no utilizada del periodo ya pagado.

8. Devolución y supresión

Mientras la cuenta esté activa puede exportar los datos en cualquier momento desde el panel.

Terminada la suscripción, guardamos los datos durante 30 días para permitir la recuperación de la cuenta y después los eliminamos, incluidas las copias de seguridad en el siguiente ciclo de rotación.

Si prefiere que se supriman de inmediato, basta con pedirlo por escrito.

9. Solicitudes de los interesados e incidentes

Si un cliente suyo nos contacta directamente para ejercer sus derechos, le remitimos la solicitud y no respondemos en su nombre, salvo instrucción suya.

Le damos la asistencia razonable para responder a esas solicitudes y para cumplir las obligaciones de seguridad, evaluación de impacto y consulta previa.

Si hay una violación de datos que le afecte, se lo comunicamos sin dilación indebida, con la información de que dispongamos, para que pueda cumplir el plazo de 72 horas ante la autoridad de control.

10. Demostración y auditoría

Ponemos a disposición la información necesaria para demostrar el cumplimiento de estas obligaciones.

Puede solicitar, con aviso previo razonable y como máximo una vez al año, información adicional sobre las medidas de seguridad aplicadas, salvo que un incidente justifique una solicitud extraordinaria.