Política de Privacidad

Última actualización: 2026-08-11

Versión: 2.0

Esta Política describe cómo Luis_Alejandro_Rodriguez_Fernandez trata los datos personales relacionados con la plataforma Bookeeaa (la "Plataforma"), conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Describe el funcionamiento real de la Plataforma en su versión vigente. Cuando el tratamiento cambie de forma sustancial, se publicará una nueva versión de este documento con arreglo a la sección 18.

1. Responsable del tratamiento

• Nombre y apellidos: Luis_Alejandro_Rodriguez_Fernandez
• NIF: 49468717H
• Domicilio: Avenida_Mediterráneo_143,46520,Sagunto,Valencia,España
• Correo de contacto: bookeeaaadmin@gmail.com
• Contacto en materia de protección de datos: bookeeaaadmin@gmail.com

En adelante, el "Titular". Cuando el Titular no haya designado un Delegado de Protección de Datos por no concurrir ninguno de los supuestos del artículo 37.1 RGPD ni del artículo 34 LOPDGDD, la dirección indicada como contacto en materia de protección de datos es igualmente el canal válido y atendido para ejercer los derechos descritos en la sección 14.

2. Ámbito de aplicación y doble rol

La Plataforma es un servicio de software como servicio (SaaS) que los negocios contratan para gestionar sus reservas. Eso da lugar a dos tratamientos distintos, con responsables distintos:

| | Datos afectados | Papel del Titular | Papel del negocio (Tenant) |

|---|---|---|---|

| A. Cuenta y uso del servicio | Datos del negocio contratante, de sus usuarios administradores y empleados, y de la facturación de la suscripción | Responsable | Interesado / representante del interesado |

| B. Datos de la clientela del negocio | Datos de las personas que reservan una cita, compran o son dadas de alta como clientes por el negocio | Encargado del tratamiento | Responsable |

Las secciones 3 a 18 se refieren al tratamiento A salvo indicación expresa. El tratamiento B se rige por las condiciones de encargo del Anexo I, que forma parte de esta Política y del contrato entre el Titular y cada negocio a los efectos del artículo 28.3 RGPD.

Si usted es cliente de un negocio que usa la Plataforma y quiere ejercer sus derechos, diríjase a ese negocio: es quien decide qué datos suyos se tratan y para qué. El Titular, como encargado, le prestará la asistencia necesaria y le redirigirá al responsable si le escribe directamente.

3. Categorías de datos tratados

El Titular trata únicamente las categorías siguientes. No se tratan categorías especiales de datos del artículo 9 RGPD (salud, biometría, convicciones, afiliación sindical, orientación sexual, etc.); la Plataforma no dispone de campos destinados a ellas y su introducción en campos de texto libre está prohibida por los Términos y Condiciones.

3.1. Datos identificativos y de contacto de la cuenta

Nombre y apellidos, dirección de correo electrónico, teléfono, fotografía de perfil y descripción profesional del usuario administrador y de los empleados dados de alta; rol asignado y estado de actividad de la cuenta.

3.2. Datos del negocio contratante

Nombre comercial, identificador público (slug o subdominio), descripción, dirección postal, localidad, código postal, país, zona horaria, teléfono, correo electrónico, logotipo, imágenes de marca y galería.

3.3. Credenciales y datos de autenticación

Contraseña, almacenada exclusivamente como resumen criptográfico (hash bcrypt con coste 12); nunca en claro y sin posibilidad de recuperarla en claro. Tokens de sesión (identificador, nombre del dispositivo declarado, permisos, fecha de caducidad y fecha de último uso) y tokens de restablecimiento de contraseña.

3.4. Datos de facturación de la suscripción

Identificadores de cliente y de suscripción en Stripe, estado y periodo de la suscripción, e histórico de facturas (identificador, importe, divisa, estado, fecha de pago, periodo facturado y enlaces a la factura alojada por Stripe). El Titular no recibe ni almacena el número de tarjeta, su fecha de caducidad ni el código de seguridad: esos datos se introducen directamente en la pasarela de Stripe y no llegan a los sistemas de la Plataforma.

3.5. Datos de la prueba de aceptación de los documentos legales

Tipo y versión del documento aceptado, fecha y hora de la aceptación, dirección IP y agente de usuario del navegador desde el que se aceptó. Se registran como prueba del consentimiento y de la aceptación contractual (art. 7.1 RGPD).

3.6. Registros técnicos y de seguridad

Registros de error generados por la aplicación (mensaje, código, traza técnica, URL solicitada y contexto de la petición, que puede incluir la dirección IP y un identificador de la cuenta afectada) y registro de las actuaciones realizadas por la administración de la Plataforma sobre las cuentas (autor, acción, objeto y fecha).

3.7. Datos de solicitud de información

Dirección de correo electrónico facilitada voluntariamente en el formulario de contacto o de solicitud de alta, junto con la fecha de la solicitud.

3.8. Datos de integración con calendarios externos

Credenciales OAuth (tokens de acceso y de actualización), identificador del calendario conectado, dirección de correo de la cuenta vinculada, permisos concedidos y fecha de la última sincronización. Detallado en la sección 17.

3.9. Datos de la clientela del negocio (tratamiento B)

Nombre, correo electrónico y teléfono de la persona que reserva; fecha, hora, servicio, empleado, estado, importe y notas de la reserva; indicación de si ha autorizado recibir avisos por WhatsApp y el número facilitado a tal efecto; pedidos de productos asociados. Estos datos los introduce el negocio, o la propia persona a través de la página pública de reservas del negocio, y se tratan por cuenta de aquel.

4. Origen de los datos

Los datos del tratamiento A proceden de la propia persona interesada, que los facilita al registrarse o al usar la Plataforma, y de la propia utilización del servicio (registros técnicos, tokens, aceptaciones).

En el tratamiento B, cuando los datos no proceden de la persona interesada, proceden del negocio que los introduce en su cuenta. El Titular no obtiene datos de fuentes públicas, de intermediarios de datos ni de redes sociales, y no enriquece los perfiles con información de terceros.

5. Finalidades y bases jurídicas

| Finalidad | Datos empleados | Base jurídica |

|---|---|---|

| Crear la cuenta del negocio, autenticar a los usuarios y prestar las funcionalidades contratadas | 3.1, 3.2, 3.3 | Ejecución del contrato — art. 6.1.b RGPD |

| Gestionar la suscripción, el cobro y la facturación | 3.1, 3.4 | Ejecución del contrato — art. 6.1.b RGPD |

| Enviar comunicaciones operativas del servicio: confirmaciones, recordatorios de cita, restablecimiento de contraseña, avisos de facturación o de incidencias | 3.1, 3.9 | Ejecución del contrato — art. 6.1.b RGPD |

| Enviar avisos de cita por WhatsApp a quien lo haya solicitado | 3.9 | Consentimiento de la persona destinataria — art. 6.1.a RGPD; art. 21 LSSI |

| Conservar la prueba de la aceptación de los Términos y de esta Política | 3.5 | Cumplimiento de una obligación legal — art. 6.1.c y art. 7.1 RGPD |

| Cumplir las obligaciones fiscales, contables y mercantiles | 3.2, 3.4 | Cumplimiento de una obligación legal — art. 6.1.c RGPD |

| Garantizar la seguridad de la Plataforma, detectar y depurar fallos, prevenir el fraude, el abuso y los accesos no autorizados | 3.3, 3.6 | Interés legítimo — art. 6.1.f RGPD (véase la sección 6) |

| Atender consultas y solicitudes de información previas a la contratación | 3.7 | Medidas precontractuales a petición de la persona interesada — art. 6.1.b RGPD |

| Sincronizar la agenda con un calendario externo | 3.8, 3.9 | Consentimiento del usuario que conecta la cuenta — art. 6.1.a RGPD |

| Atender el ejercicio de derechos y los requerimientos de autoridades competentes | Los necesarios en cada caso | Obligación legal — art. 6.1.c RGPD |

Los datos no se utilizan para publicidad, elaboración de perfiles, venta a terceros, creación de audiencias ni entrenamiento de modelos de inteligencia artificial.

6. Ponderación del interés legítimo

El único tratamiento amparado en el interés legítimo es la seguridad y el mantenimiento correctivo de la Plataforma. El Titular ha valorado que:

• Interés perseguido: proteger las cuentas y los datos alojados frente a accesos no autorizados, abusos y fallos, e identificar la causa de los errores para corregirlos. Es un interés reconocido expresamente en el considerando 49 RGPD.
• Necesidad: no existe una alternativa menos intrusiva; sin registros de error y de acceso no es posible reconstruir un incidente ni acreditar su alcance.
• Impacto en la persona interesada: limitado. Los registros se generan de forma automática, no se usan para adoptar decisiones sobre las personas, no se cruzan con otras fuentes, el acceso está restringido al personal técnico autorizado y se suprimen a los 30 días (sección 7).
• Expectativas razonables: cualquier usuario de un servicio en línea espera que su proveedor registre los fallos y los intentos de acceso indebido.

Puede oponerse a este tratamiento en los términos de la sección 14. Puede solicitar una copia de esta ponderación escribiendo a bookeeaaadmin@gmail.com.

7. Plazos de conservación

| Datos | Plazo |

|---|---|

| Datos de la cuenta y del negocio (3.1, 3.2) | Mientras la relación contractual esté vigente. Tras la baja, quedan bloqueados durante los plazos de prescripción indicados abajo y se suprimen después |

| Tokens de sesión (3.3) | Caducan automáticamente a los 30 días de su emisión y se invalidan al cerrar sesión |

| Tokens de restablecimiento de contraseña (3.3) | 1 hora desde su emisión, o hasta su primer uso si es anterior |

| Enlaces de confirmación de reserva | Hasta la fecha de caducidad configurada por el negocio para confirmar la cita |

| Datos de facturación y facturas (3.4) | 6 años desde el último asiento, conforme al art. 30 del Código de Comercio, y 4 años a efectos tributarios, conforme al art. 66 de la Ley General Tributaria |

| Prueba de aceptación de los documentos legales (3.5) | Mientras la relación esté vigente y, después, durante el plazo de prescripción de las acciones derivadas del contrato (5 años, art. 1964.2 del Código Civil) |

| Registros de error (3.6) | 30 días. Un proceso automático los elimina cada día a las 03:00 UTC |

| Registro de actuaciones administrativas (3.6) | 3 años desde la actuación, como prueba de la trazabilidad de los accesos |

| Solicitudes de información (3.7) | 1 año desde el último contacto, si no se formaliza la contratación |

| Credenciales de calendarios externos (3.8) | Hasta que se desconecte la integración o se revoque el acceso desde la cuenta del proveedor, momento en el que se eliminan |

| Datos de la clientela del negocio (3.9) | Los determina el negocio como responsable. El Titular los conserva mientras dure el encargo y actúa conforme al Anexo I al terminar |

Cuando un registro se elimina desde la Plataforma, se marca como suprimido y deja de ser accesible y de tratarse para las finalidades ordinarias. Se mantiene bloqueado, con acceso restringido, a la exclusiva disposición de jueces, tribunales, el Ministerio Fiscal y las administraciones competentes para atender las posibles responsabilidades nacidas del tratamiento, conforme al artículo 32 LOPDGDD, y se suprime definitivamente una vez transcurridos los plazos de prescripción aplicables.

8. Carácter obligatorio de los datos

Los datos marcados como obligatorios en los formularios de registro y de reserva son necesarios para celebrar y ejecutar el contrato o, en el caso de las reservas, para gestionar la cita solicitada. No facilitarlos impide crear la cuenta o completar la reserva; no tiene ninguna otra consecuencia.

Los datos opcionales (fotografía, descripción, teléfono adicional, número para avisos de WhatsApp) pueden omitirse sin que ello afecte a la prestación del servicio, más allá de la funcionalidad concreta que dependa de ellos.

9. Decisiones automatizadas y elaboración de perfiles

El Titular no adopta decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre las personas interesadas o les afecten significativamente de modo similar, en el sentido del artículo 22 RGPD.

Las comprobaciones automáticas que realiza la Plataforma —validar que un horario está libre, verificar que una suscripción está activa o que un token no ha caducado— son ejecución de reglas del propio contrato y no valoran aspectos personales del interesado.

10. Destinatarios y encargados del tratamiento

Para prestar el servicio, el Titular recurre a los proveedores siguientes, que actúan como encargados del tratamiento con arreglo a un contrato que cumple el artículo 28 RGPD:

| Proveedor | Finalidad | Ubicación del tratamiento |

|---|---|---|

| Stripe Payments Europe, Ltd. y Stripe, Inc. | Pasarela de pago, gestión de suscripciones y emisión de facturas | Irlanda / Estados Unidos |

| Resend, Inc. | Envío de correo electrónico transaccional | Estados Unidos |

| Cloudflare, Inc. (Cloudflare R2) | Almacenamiento de las imágenes y archivos subidos a la Plataforma | Red global, con posibilidad de almacenamiento fuera del EEE |

| Meta Platforms Ireland Ltd. (WhatsApp Business Platform) | Envío de avisos de cita por WhatsApp a quien los haya solicitado | Irlanda / Estados Unidos |

| Google Ireland Ltd. | Sincronización con Google Calendar, únicamente si el usuario conecta su cuenta | Irlanda / Estados Unidos |

| Cloudways | Alojamiento de la aplicación y de la base de datos | Según lo indicado por el proveedor |

Además, los datos podrán comunicarse a la Administración tributaria, a las fuerzas y cuerpos de seguridad, a los juzgados y tribunales y a otras autoridades competentes cuando exista una obligación legal de hacerlo, así como a asesores y auditores del Titular sujetos a deber de secreto, en la medida imprescindible.

Fuera de estos supuestos, el Titular no cede, vende, alquila ni comparte datos personales con terceros.

La lista de encargados se mantiene actualizada en esta sección. La incorporación o sustitución de un encargado que trate datos del tratamiento B se comunicará a los negocios afectados conforme al apartado 8 del Anexo I.

11. Transferencias internacionales

Algunos de los proveedores de la sección 10 tratan datos fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Dichas transferencias se amparan en:

• la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 relativa al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), cuando el proveedor esté certificado en él, o
• las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, junto con las medidas complementarias que resulten necesarias tras la evaluación de impacto de la transferencia, cuando no lo esté.

Puede solicitar información sobre el mecanismo aplicado a un proveedor concreto, y copia de las garantías adoptadas, escribiendo a bookeeaaadmin@gmail.com.

12. Medidas de seguridad

En aplicación del artículo 32 RGPD, y atendiendo al estado de la técnica y a los riesgos del tratamiento, el Titular aplica, entre otras, las medidas siguientes:

• Cifrado de las comunicaciones mediante TLS en todos los accesos a la Plataforma.
• Almacenamiento de las contraseñas mediante función de derivación de clave con sal (bcrypt, coste 12). Las contraseñas no se almacenan ni se transmiten en claro y no son recuperables.
• Cifrado en base de datos de las credenciales OAuth de los calendarios conectados.
• Aislamiento lógico entre cuentas: toda consulta a datos de negocio se filtra por el identificador del negocio, de modo que una cuenta no puede acceder a los datos de otra.
• Control de acceso mediante tokens con caducidad, permisos delimitados y revocación inmediata al cerrar sesión.
• Limitación de la frecuencia de peticiones y cabeceras de seguridad HTTP para mitigar ataques automatizados.
• Restricción de los accesos administrativos por dirección IP y secreto adicional, y registro de toda actuación administrativa sobre las cuentas.
• Registro y revisión de los errores de la aplicación, con supresión automática a los 30 días.
• Acceso del personal limitado a lo necesario para sus funciones y sujeto a deber de confidencialidad.
• Copias de seguridad periódicas de la base de datos.

Ninguna medida de seguridad ofrece una protección absoluta. El Titular no garantiza que la Plataforma sea invulnerable, sino que aplica y mantiene medidas apropiadas al riesgo y que actúa conforme a la sección 13 si se produce un incidente.

13. Violaciones de la seguridad de los datos

Si se produce una violación de la seguridad que afecte a datos personales, el Titular la notificará a la autoridad de control competente sin dilación indebida y, de ser posible, en el plazo de 72 horas desde que tenga constancia de ella, conforme al artículo 33 RGPD, salvo que sea improbable que la violación constituya un riesgo para los derechos y libertades de las personas.

Cuando la violación entrañe un alto riesgo, se comunicará también a las personas interesadas conforme al artículo 34 RGPD. Si la violación afecta a datos del tratamiento B, el Titular la notificará al negocio responsable sin dilación indebida, en los términos del apartado 9 del Anexo I.

14. Derechos de las personas interesadas

Puede ejercer en cualquier momento los siguientes derechos:

• Acceso (art. 15): obtener confirmación de si se tratan datos suyos y, en su caso, copia de ellos.
• Rectificación (art. 16): corregir los datos inexactos o completar los incompletos.
• Supresión (art. 17): solicitar la eliminación de sus datos cuando ya no sean necesarios, retire el consentimiento o se oponga al tratamiento, sin perjuicio de los plazos de conservación legalmente exigibles de la sección 7.
• Limitación del tratamiento (art. 18): solicitar que los datos se conserven sin tratarlos mientras se resuelve una impugnación.
• Portabilidad (art. 20): recibir en formato estructurado, de uso común y lectura mecánica los datos que haya facilitado y que se traten por consentimiento o para ejecutar el contrato, y transmitirlos a otro responsable.
• Oposición (art. 21): oponerse al tratamiento basado en el interés legítimo, por motivos relacionados con su situación particular.
• Retirada del consentimiento (art. 7.3): retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento previo. Los avisos por WhatsApp y la conexión con calendarios externos pueden desactivarse directamente desde la Plataforma.

Cómo ejercerlos. Escriba a bookeeaaadmin@gmail.com indicando el derecho que ejerce y aportando los datos que permitan identificarle. El ejercicio es gratuito. El Titular responderá en el plazo de un mes desde la recepción de la solicitud, prorrogable en dos meses más si la complejidad o el número de solicitudes lo justifica, informándole en tal caso de la prórroga y de sus motivos (art. 12.3 RGPD). Si no atendiera su solicitud, le informará de los motivos y de la posibilidad de reclamar, a más tardar en el plazo de un mes.

Reclamación ante la autoridad de control. Puede presentar una reclamación ante la Agencia Española de Protección de Datos, especialmente si considera que no ha obtenido satisfacción en el ejercicio de sus derechos:

Agencia Española de Protección de Datos (AEPD)

C/ Jorge Juan, 6 — 28001 Madrid

Sede electrónica: https://sedeagpd.gob.es — https://www.aepd.es

Con carácter previo y potestativo, puede dirigirse al contacto en materia de protección de datos indicado en la sección 1.

Si sus datos los gestiona un negocio que usa la Plataforma (tratamiento B), dirija su solicitud a ese negocio, que es el responsable. Si nos la remite a nosotros, se la trasladaremos sin dilación y le informaremos de ello.

15. Menores de edad

La Plataforma no está dirigida a menores de 14 años y no está previsto el registro de cuentas a su nombre. Conforme al artículo 7 LOPDGDD, el tratamiento de datos de un menor de 14 años requiere el consentimiento de quien ostente su patria potestad o tutela; corresponde al negocio, como responsable del tratamiento B, recabarlo cuando gestione citas de menores de esa edad.

Si el Titular tiene conocimiento de que ha registrado datos de un menor de 14 años sin dicho consentimiento en el tratamiento A, los suprimirá sin dilación.

16. Cookies y tecnologías similares

La API de la Plataforma es sin estado: la autenticación se realiza mediante un token que la aplicación cliente envía en cada petición, no mediante cookies, y no se emplean cookies de análisis, publicidad, seguimiento ni de terceros.

Las páginas web servidas directamente por la Plataforma —como la versión pública de estos documentos legales— pueden establecer una cookie técnica de sesión y una cookie de protección frente a falsificación de peticiones. Ambas son estrictamente necesarias en el sentido del artículo 22.2 de la Ley 34/2002 (LSSI) y están exceptuadas del deber de consentimiento previo.

Las aplicaciones y sitios web que consumen la Plataforma son responsables de su propia política de cookies, que debe informarse en el sitio correspondiente.

17. Integración con calendarios externos (Google Calendar)

La Plataforma permite a los usuarios conectar de forma voluntaria su cuenta de Google Calendar para sincronizar la agenda. La integración no es necesaria para usar el servicio y puede desconectarse en cualquier momento. Esta sección describe el tratamiento de los datos de usuario de Google conforme a la Política de Datos de Usuario de los Servicios de API de Google.

Permisos solicitados y datos a los que se accede. Se solicita únicamente el permiso https://www.googleapis.com/auth/calendar.events, y se utiliza exclusivamente sobre el calendario que el usuario designe al conectar la cuenta:

• Lectura de los eventos existentes (fecha, hora de inicio y fin, título e identificador del evento), con el fin de marcar como ocupadas en la Plataforma las franjas ya comprometidas y evitar reservas solapadas.
• Escritura de los eventos correspondientes a las reservas creadas en la Plataforma, y actualización o eliminación de esos mismos eventos cuando la reserva cambia o se cancela.

No se solicita acceso a la lista de calendarios, a su configuración ni a sus permisos de acceso, no se crean ni se eliminan calendarios, y no se modifican ni se borran eventos que no haya creado la propia Plataforma.

Limitación de uso. Los datos de Google se utilizan exclusivamente para prestar y mejorar la funcionalidad de sincronización de agenda descrita arriba. En particular, el Titular no:

• vende ni cede datos de usuario de Google a terceros;
• los utiliza con fines publicitarios, de perfilado, de marketing o de generación de audiencias;
• los emplea para entrenar modelos de inteligencia artificial generalizados ni los transfiere a terceros con esa finalidad;
• permite que personas accedan a ellos, salvo (i) con el consentimiento expreso del usuario, (ii) cuando resulte necesario por motivos de seguridad o para resolver una incidencia de soporte, (iii) cuando se hayan agregado y anonimizado de forma que no permitan identificar a nadie, o (iv) por obligación legal.

Almacenamiento. Se conservan cifrados en la base de datos los tokens de acceso y de actualización necesarios para mantener la conexión, junto con el identificador del calendario, la dirección de correo de la cuenta vinculada, los permisos concedidos y los identificadores de los eventos creados por la Plataforma. El contenido de los eventos leídos se emplea para calcular la disponibilidad y no se replica más allá de lo necesario para esa función.

Conservación y supresión. El usuario puede desconectar la integración en cualquier momento desde la Plataforma: al hacerlo se eliminan las credenciales OAuth y cesa toda sincronización. Igualmente puede revocar el acceso desde la configuración de seguridad de su cuenta de Google. Al suprimirse la cuenta de la Plataforma se eliminan también las credenciales asociadas.

Cumplimiento de los requisitos de uso limitado. El uso y la transferencia por parte de la Plataforma de la información recibida de las API de Google se ajustan a los Requisitos de Uso Limitado de los Servicios de API de Google, incluidos dichos requisitos de Uso Limitado.

18. Cambios en esta Política

El Titular podrá actualizar esta Política para reflejar cambios normativos, técnicos o del propio servicio. Cada versión se identifica con un número y una fecha de última actualización en el encabezado.

Cuando el cambio sea sustancial —una nueva finalidad, una nueva base jurídica, una nueva categoría de datos o un nuevo destinatario—, se publicará una nueva versión y se requerirá una nueva aceptación para seguir utilizando la Plataforma. Las correcciones formales que no alteren el tratamiento no requieren nueva aceptación.

Las versiones anteriores y la fecha en que cada negocio aceptó cada una de ellas quedan registradas y pueden solicitarse al Titular.

19. Contacto

Para cualquier cuestión relativa a esta Política o al tratamiento de sus datos personales puede contactar en bookeeaaadmin@gmail.com.

Anexo I — Condiciones del encargo del tratamiento (art. 28 RGPD)

Este Anexo regula el tratamiento que el Titular (el "Encargado") realiza por cuenta de cada negocio usuario de la Plataforma (el "Responsable") sobre los datos personales de su clientela. Se acepta junto con esta Política y con los Términos y Condiciones, y produce efectos entre las partes en los términos del artículo 28.3 RGPD.

1. Objeto, naturaleza y finalidad. El Encargado aloja y procesa los datos personales de la clientela del Responsable con la única finalidad de prestarle las funcionalidades de la Plataforma: gestión de reservas, citas, clientes, empleados, servicios, productos, pedidos, página pública de reservas y las notificaciones asociadas.

2. Duración. El encargo se extiende a toda la vigencia de la relación contractual y termina con ella, sin perjuicio de lo previsto en el apartado 11.

3. Categorías de interesados y de datos. Interesados: la clientela del Responsable, actual y potencial. Datos: los descritos en el apartado 3.9 de esta Política. El Responsable se abstendrá de introducir en la Plataforma categorías especiales de datos del artículo 9 RGPD.

4. Instrucciones. El Encargado tratará los datos únicamente conforme a las instrucciones documentadas del Responsable, que son las que resultan de esta Política, de los Términos y Condiciones y de las operaciones que el Responsable ejecuta a través de la Plataforma. El Encargado informará al Responsable si, en su opinión, una instrucción infringe la normativa de protección de datos. Si una obligación legal le exige tratar los datos de otro modo, informará previamente al Responsable salvo que dicha norma lo prohíba por razones de interés público.

5. Confidencialidad. El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal, obligación que subsiste tras el fin de la relación.

6. Seguridad. El Encargado aplica las medidas técnicas y organizativas descritas en la sección 12 de esta Política, que las partes consideran apropiadas al riesgo del tratamiento a los efectos del artículo 32 RGPD.

7. Ausencia de uso propio. El Encargado no tratará los datos de la clientela del Responsable para finalidades propias, no los cederá a terceros salvo obligación legal o lo previsto en el apartado 8, y no los empleará para publicidad, elaboración de perfiles ni entrenamiento de modelos de inteligencia artificial.

8. Subencargados. El Responsable autoriza de forma general al Encargado a recurrir a los subencargados enumerados en la sección 10 de esta Política, con los que el Encargado ha suscrito contratos que imponen las mismas obligaciones de protección de datos. El Encargado informará de cualquier alta o sustitución de subencargado con una antelación razonable, y el Responsable podrá oponerse por motivos fundados; si la oposición impide prestar el servicio, cualquiera de las partes podrá resolver el contrato sin penalización. El Encargado responde plenamente frente al Responsable del cumplimiento por parte de sus subencargados.

9. Violaciones de seguridad. El Encargado notificará al Responsable, sin dilación indebida desde que tenga constancia de ella, cualquier violación de la seguridad que afecte a los datos objeto del encargo, facilitándole la información de que disponga sobre su naturaleza, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Corresponde al Responsable notificar, en su caso, a la autoridad de control y a los interesados.

10. Asistencia al Responsable. Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, el Encargado asistirá al Responsable: (i) en la atención de las solicitudes de ejercicio de derechos, poniendo a su disposición las funcionalidades de consulta, modificación, exportación y supresión de la Plataforma, y trasladándole sin dilación las solicitudes que reciba directamente; y (ii) en el cumplimiento de las obligaciones de los artículos 32 a 36 RGPD, incluidas la seguridad, la notificación de violaciones y, en su caso, la evaluación de impacto y la consulta previa.

11. Devolución o supresión al finalizar. A la terminación del encargo, y a elección del Responsable, el Encargado le devolverá los datos en un formato estructurado y de uso común o los suprimirá, junto con las copias existentes, salvo que el Derecho de la Unión o el Derecho español exija su conservación. El Responsable dispone de un plazo de 30 días naturales desde la terminación para descargar sus datos; transcurrido dicho plazo sin instrucción en contrario, el Encargado procederá a la supresión conforme a la sección 7 de esta Política.

12. Registro de actividades y auditoría. El Encargado lleva un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable en los términos del artículo 30.2 RGPD, y pondrá a disposición de este toda la información necesaria para demostrar el cumplimiento de las obligaciones de este Anexo. Permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor mandatado por él, previo aviso razonable, en horario laboral, sin interrumpir la prestación del servicio y con sujeción a las obligaciones de confidencialidad y de seguridad del resto de clientes.

13. Transferencias internacionales. El Encargado solo transferirá datos fuera del Espacio Económico Europeo en el marco de los subencargados de la sección 10 y con las garantías del artículo 46 RGPD descritas en la sección 11.

14. Obligaciones del Responsable. El Responsable garantiza que dispone de una base jurídica válida para el tratamiento de los datos de su clientela y para su incorporación a la Plataforma, que ha facilitado a los interesados la información exigida por los artículos 13 y 14 RGPD, y que atenderá el ejercicio de sus derechos.