Contrato de encargo del tratamiento

1. Partes y objeto

Este contrato se celebra conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y forma parte de los Términos y condiciones. Lo acepta el negocio al darse de alta en Citeri.

• Responsable del tratamiento: el negocio titular de la cuenta (en adelante, «el negocio»).
• Encargado del tratamiento: Gonzalo García Aranda, NIF 08002374F, con domicilio en Calle Don Cristian 19, 3.º A, Málaga (España), que presta el servicio con el nombre comercial «Citeri» (en adelante, «Citeri»). Contacto: datos@citeri.es.

El objeto del encargo es prestar al negocio el servicio de gestión de citas, clientas, cobros, comunicaciones y demás funciones de Citeri que el negocio decida usar. Citeri trata los datos solo para prestar ese servicio.

2. Datos tratados e interesados

• Interesados: clientas y clientes del negocio, su personal y las personas de contacto que el negocio registre.
• Datos: identificación y contacto (nombre, teléfono, correo), citas e historial de visitas, servicios, notas que escriba el negocio, fotos de referencia, mensajes, reseñas, datos de cobro (sin el número completo de tarjeta, que trata la pasarela de pago) y facturas; del personal, sus datos de contacto, horarios y registro de jornada.
• Operaciones: recogida, registro, organización, conservación, consulta, modificación, comunicación a las clientas por los canales que active el negocio, copia de seguridad y supresión.

Citeri no necesita categorías especiales de datos (como datos de salud) para prestar el servicio. Si el negocio decide anotarlas, es responsable de contar con una base legítima para ello.

3. Obligaciones de Citeri

Citeri se compromete a:

• tratar los datos solo siguiendo las instrucciones documentadas del negocio, que son las que resultan de la configuración y del uso que haga del servicio, salvo obligación legal, que se le comunicará cuando la ley lo permita;
• no usar los datos para fines propios ni cederlos a terceros, salvo a los subencargados del Anexo I;
• garantizar que las personas autorizadas a acceder a los datos se han comprometido a respetar su confidencialidad;
• aplicar las medidas de seguridad del Anexo II, adecuadas al riesgo según el artículo 32 del RGPD;
• ayudar al negocio, en la medida de lo posible, a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad de sus clientas, y avisarle si recibe alguna directamente;
• ayudar al negocio a cumplir sus obligaciones de seguridad, notificación de brechas y, en su caso, evaluaciones de impacto, teniendo en cuenta la información de la que dispone Citeri;
• notificar al negocio sin dilación indebida, y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos, con la información disponible para documentarla y comunicarla;
• poner a disposición del negocio la información necesaria para demostrar el cumplimiento de este contrato y permitir las auditorías razonables que solicite, con aviso previo y sin afectar a la seguridad de otros negocios.

4. Subencargados

El negocio autoriza de forma general a Citeri a recurrir a los subencargados del Anexo I. Citeri les impone por contrato las mismas obligaciones de protección de datos que asume en este documento y responde ante el negocio de su cumplimiento.

Citeri avisará al negocio de cualquier alta o sustitución de un subencargado actualizando el Anexo I y comunicándolo por correo o desde el panel con al menos 15 días de antelación. El negocio podrá oponerse por motivos razonables relacionados con la protección de datos; si no se encuentra una solución, podrá dar de baja el servicio.

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU.) o en las cláusulas contractuales tipo aprobadas por la Comisión.

Los servicios que el negocio conecte por su cuenta (su pasarela de pago, su programa de facturación electrónica, su calendario o su cuenta de mensajería) los contrata el propio negocio y no son subencargados de Citeri.

5. Obligaciones del negocio

• Contar con una base jurídica para tratar los datos de sus clientas y personal e informarles conforme a los artículos 13 y 14 del RGPD.
• Usar el servicio conforme a la normativa y a la Política de uso aceptable, y custodiar las credenciales de su cuenta y las de su personal.
• Dar las instrucciones a través de la configuración del servicio o por escrito a datos@citeri.es.

6. Duración y fin del encargo

Este contrato dura lo mismo que la cuenta del negocio. Mientras la cuenta exista, el negocio puede exportar desde el panel sus clientas, cobros y registro de jornada, y pedir una copia completa de sus datos a datos@citeri.es. Al darse de baja, Citeri suprimirá los datos del negocio, salvo los que la ley obligue a conservar bloqueados. Los datos que queden en las copias de seguridad cifradas se eliminarán cuando esas copias caduquen, como máximo a los 12 meses.

Este contrato se rige por la legislación española. Para cualquier controversia serán competentes los Juzgados y Tribunales de Málaga, salvo norma imperativa en contrario.

Anexo I · Subencargados

• Contabo GmbH (Alemania): alojamiento de los servidores y de la base de datos.
• BulkGate (República Checa): envío de SMS (códigos de verificación y avisos).
• Google Ireland Limited / Google LLC (UE y EE. UU.): notificaciones en Android, verificación de teléfono, «Entrar con Google», Google Pay y Google Wallet.
• Apple Distribution International Ltd. / Apple Inc. (Irlanda y EE. UU.): notificaciones en iPhone, Apple Wallet y mapas de la app.
• Cloudflare, Inc. (EE. UU.): verificación antiabuso, DNS y protección de accesos.
• Mixpanel, Inc. (datos en la UE): analítica de uso con identificadores seudónimos.
• OpenAI, L.L.C. (EE. UU.): asistente Ciria de la app y comprensión de búsquedas.
• Anthropic, PBC (EE. UU.): interpretación de las respuestas de las clientas a los recordatorios de cita.
• Proveedores de mensajería instantánea: envío de los recordatorios y avisos que el negocio active.
• Solo si el negocio contrata el asistente de mensajería con IA: OpenAI, L.L.C. (EE. UU.), Anthropic, PBC (EE. UU.), Google LLC (Gemini, EE. UU.) y NVIDIA Corporation (EE. UU.; también transcribe notas de voz), para entender y responder los mensajes de las clientas; y Telegram, para avisar al equipo del negocio cuando una conversación necesita a una persona.

Anexo II · Medidas de seguridad

• Conexiones cifradas (HTTPS/TLS) en la web, la app y las comunicaciones entre servidores, que se hacen por una red privada.
• Claves de pasarelas e integraciones de cada negocio guardadas cifradas (AES-256-GCM).
• Copias de seguridad automáticas, cifradas, en más de una ubicación y con caducidad máxima de 12 meses.
• Acceso de cada negocio limitado a sus propios datos, con permisos por función para su personal.
• Acceso administrativo a los servidores solo con clave criptográfica, sin contraseñas, y bloqueo automático de intentos de intrusión.
• Registro de los cambios relevantes (por ejemplo, en citas) para poder reconstruir quién hizo qué.
• Vigilancia continua de los servidores con avisos automáticos ante caídas o anomalías.
• Contraseñas guardadas con función resumen y comprobadas contra listas de contraseñas filtradas.