Documento en revisión. Este texto está pendiente de validación jurídica y puede cambiar antes de su versión definitiva.

Política de Privacidad — Agendia Citas

Versión: 0.1-borrador · Última actualización: [FECHA] · Idioma: ES (pendiente GL/CA si aplica CCAA)

Capa 1 — Resumen (información básica, art. 11 LOPDGDD)

Responsable	[RAZÓN SOCIAL] (marca «Agendia»), NIF [NIF], [DOMICILIO], [EMAIL DE CONTACTO], [DPO si aplica]
Finalidad	Prestarte el servicio de la plataforma Agendia Citas (cuenta, panel de gestión, reservas) y, si nos reservas cita en un salón, gestionar esa reserva por cuenta del salón.
Legitimación	Ejecución de contrato (tu cuenta / tu reserva), interés legítimo (seguridad y mejora del servicio) y consentimiento (comunicaciones comerciales, cuando lo prestes).
Destinatarios	Proveedores tecnológicos que nos prestan servicio (subencargados — ver lista). No vendemos tus datos. No hay transferencias internacionales sin garantías.
Derechos	Acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas. Cómo ejercerlos: ver capa 2 §8.
Información adicional	Esta capa 2 completa.

Capa 2 — Información completa

1. Quién es el responsable y en qué condición trata tus datos

Agendia Citas es una plataforma de reservas para salones de belleza y peluquería operada por [RAZÓN SOCIAL] («Agendia», «nosotros»). Según quién eres, tratamos tus datos en una condición distinta:

Si eres un salón (o su personal) que contrata Agendia → somos responsables de los datos de tu cuenta y de la facturación de tu suscripción.
Si eres una clienta que reserva cita en un salón que usa Agendia → el salón es el responsable de tus datos; nosotros los tratamos como encargado (art. 28 RGPD), solo siguiendo sus instrucciones, para hacer funcionar la reserva. Para ejercer tus derechos sobre esos datos, dirígete al salón; nosotros te ayudaremos a canalizar la solicitud (§8).

2. Qué datos tratamos

a) Usuarios del panel (cuentas de salón) — responsables: nosotros

Identificativos: nombre, dirección de correo electrónico.
De acceso: contraseña (almacenada cifrada con hash, nunca en claro), rol dentro del salón.
De uso y seguridad: registros de inicio de sesión (fecha/hora, resultado), dirección IP, y un registro de auditoría de acciones de autenticación (login, logout, cambio/restablecimiento de contraseña).

b) Clientas del salón — responsable: el salón; nosotros como encargado

Identificativos y de contacto: nombre, teléfono, correo electrónico (opcional).
De la reserva: servicio, fecha/hora, profesional, sede, estado, señal/pago y su estado.
Preferencias de comunicación: consentimientos para WhatsApp / SMS / email y para marketing (cada uno independiente, no premarcado).
Opcionales que el salón decida guardar: notas, etiquetas, foto.

No solicitamos ni necesitamos categorías especiales del art. 9 (salud, etc.). Una cita de peluquería no es un dato de salud. Si un salón añadiese notas clínicas o de estética médica, sería su responsabilidad y activaría obligaciones adicionales (informar a Agendia — el tratamiento no está previsto para ello).

c) Facturación de la suscripción del salón — responsables: nosotros

Datos fiscales del salón y datos de pago procesados por Stripe (nosotros no almacenamos números de tarjeta; los gestiona Stripe como subencargado).

3. Con qué finalidad y base jurídica

Finalidad	Base jurídica (art. 6 RGPD)
Crear y mantener tu cuenta del panel; prestarte el servicio	Ejecución de contrato (art. 6.1.b)
Gestionar la reserva que haces en un salón	Encargo del salón (el salón se ampara en 6.1.b — su relación contigo)
Enviar confirmaciones y recordatorios de tu cita	Ejecución/interés en la prestación (comunicación transaccional, no marketing)
Enviarte comunicaciones comerciales	Consentimiento (art. 6.1.a), revocable en cualquier momento
Seguridad, prevención de fraude y abuso, registro de auditoría	Interés legítimo (art. 6.1.f)
Facturación de la suscripción y obligaciones contables/fiscales	Obligación legal (art. 6.1.c)

4. Comunicaciones comerciales y consentimiento

Las comunicaciones transaccionales (confirmación y recordatorio de tu cita) forman parte del servicio y se envían por el canal para el que has dado consentimiento (WhatsApp, SMS o, en su defecto, email). Las comunicaciones de marketing requieren tu consentimiento expreso, que prestas por acción afirmativa (casilla no premarcada) y puedes retirar en cualquier momento sin que ello afecte a la licitud del tratamiento previo. Guardamos prueba de qué aceptaste, cuándo y con qué texto.

5. Quién recibe tus datos (destinatarios)

Para prestar el servicio nos apoyamos en subencargados (proveedores tecnológicos) que tratan datos por cuenta nuestra bajo contrato art. 28: pagos, envío de email/SMS/WhatsApp, sincronización de calendario y alojamiento. La lista completa, actualizada y versionada está publicada en la lista de subencargados / [URL PÚBLICA]. No vendemos ni cedemos tus datos a terceros para sus propios fines.

6. Transferencias internacionales

Nuestra infraestructura y proveedores están en la Unión Europea siempre que es posible. Algunos subencargados (p. ej. Stripe, Google, Meta) pueden implicar tratamiento por sus matrices en EE.UU.; en esos casos la transferencia se ampara en el Data Privacy Framework y/o Cláusulas Contractuales Tipo (SCC). El detalle por proveedor está en la lista de subencargados.

7. Cuánto tiempo conservamos tus datos

Conservamos los datos el tiempo necesario para la finalidad y según los plazos de nuestra política de retención (resumen): mientras exista la relación de servicio; los datos con relevancia fiscal, el plazo legal aplicable; los registros de seguridad, el plazo de auditoría; y los backups, su plazo de retención. Al expirar, se bloquean y después se suprimen.

8. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones individuales automatizadas:

Si tus datos son de tu cuenta del panel (responsable = Agendia): escríbenos a [EMAIL DERECHOS] o usa el mecanismo del panel. Resolveremos en el plazo legal de 1 mes (ampliable a 2 más si la complejidad lo justifica, informándote).
Si eres clienta de un salón (responsable = salón): dirígete al salón. Si nos contactas a nosotros, trasladaremos tu solicitud al salón responsable y te informaremos.
Procedimiento detallado: Procedimiento de derechos ARCO+.
Tienes derecho a reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras que no hemos atendido correctamente tu solicitud.

9. Almacenamiento en tu dispositivo (cookies y almacenamiento local)

Agendia Citas no utiliza cookies de analítica, publicidad ni seguimiento de terceros. Solo usamos:

Cookie de sesión (__Secure-better-auth.session_token): estrictamente necesaria para mantener tu sesión iniciada. Es de primera parte, HttpOnly y Secure. Exenta de consentimiento (art. 22.2 LSSI).
Almacenamiento local del navegador (localStorage): estrictamente funcional — recuerda el salón activo, el tema visual y el estado del panel. No se comparte con terceros. Exento de consentimiento.

Por ello no mostramos banner de cookies (no hay tratamiento no esencial que consentir). Las fuentes tipográficas se sirven desde nuestro propio servidor: tu navegador no se conecta a Google ni a otros terceros para cargarlas. Si tu navegador envía la señal Global Privacy Control (GPC), la tratamos como una negativa a cualquier tratamiento no esencial (al reservar, no se registra consentimiento de marketing).

10. Menores de edad

El servicio de reserva está dirigido a personas mayores de 14 años (art. 7 LOPDGDD). Si eres menor de 14, necesitas el consentimiento de tu madre, padre o tutor. Si detectamos que hemos tratado datos de un menor de 14 sin ese consentimiento, los suprimiremos.

11. Seguridad

Aplicamos medidas técnicas y organizativas del art. 32: aislamiento de datos entre salones en tres capas (filtro de aplicación + seguridad a nivel de fila en la base de datos + pruebas automatizadas de aislamiento), cifrado en tránsito (TLS/HTTPS con HSTS), cifrado de las credenciales de terceros, control de acceso por roles y registro de auditoría. El detalle está en el Anexo TOMs del DPA.

12. Cambios en esta política

Podemos actualizar esta política. Publicaremos la versión vigente con su fecha; los cambios sustanciales se comunicarán por los medios habituales.