Legal
Acuerdo de encargo de tratamiento
Versión 2 · 9 de noviembre de 2026
1. Partes
Responsable del tratamiento: el Negocio que usa citaky, identificado con la razón social, el NIF o CIF, la dirección fiscal y el representante que indica al dar de alta su negocio.
Encargado del tratamiento: Sandra Ruiz Villavicencio, con NIF 51038504D y domicilio en Montes Albers 6, 2.º B, 28031 Madrid (España). Email: sandraruiz@citaky.com. Teléfono: 624 615 183.
Este acuerdo se acepta electrónicamente, junto con las Condiciones del servicio, en el paso «Revisa y acepta» del registro (o del alta del primer negocio). citaky guarda la versión aceptada, la fecha y la hora, y quién la aceptó.
2. Objeto y duración
El Encargado trata datos personales por cuenta del Responsable para prestarle el servicio de reservas de citaky, mientras dure el contrato y durante el tiempo necesario para devolver o suprimir los datos después.
3. Qué tratamientos incluye
Recoger datos desde la página de reservas y desde el panel, guardar y alojar las citas y las fichas de los clientes, permitir al Negocio consultarlas y cambiarlas, enviar las comunicaciones que el Negocio active u ordene, importar y exportar clientes, y suprimir los datos.
4. Datos e interesados
Datos: nombre, email, teléfono, fecha de nacimiento si el Negocio la registra, notas, servicio, profesional, fecha, hora, estado y pagos de las citas, preferencias de comunicación y consentimientos.
Interesados: los clientes del Negocio y las personas de su equipo que usan el panel.
Datos de salud: en los negocios sanitarios y de estética, una cita puede revelar información de salud. El Responsable solo introducirá los datos imprescindibles para gestionar la cita (sin historias clínicas ni diagnósticos) y el Encargado aplicará a esos datos las mismas medidas de seguridad descritas abajo.
5. Instrucciones
El Encargado solo tratará los datos siguiendo las instrucciones documentadas del Responsable, que son este acuerdo y lo que el Responsable configure u ordene en el panel. No los usará para fines propios, salvo la excepción del apartado siguiente. Si cree que una instrucción infringe la normativa, avisará al Responsable.
6. Copia de citaky de los datos básicos
Al aceptar este acuerdo, el Responsable autoriza que citaky guarde, como responsable independiente, una copia del nombre, el teléfono y el email de los clientes que reservan en su página de reservas o que el Responsable importa a citaky. citaky la usa para reconocer a esas personas si reservan con citaky en otro negocio, ofrecerles en el futuro un área de cliente y hacer estadísticas propias, como explica su Política de privacidad.
Los clientes importados quedan marcados como importados y sin consentimiento para publicidad: citaky no les envía comunicaciones propias. La copia no da a ningún otro negocio acceso a los clientes del Responsable.
7. Confidencialidad y seguridad
Las personas autorizadas por el Encargado para tratar los datos están obligadas a guardar secreto. El Encargado aplica medidas adecuadas al riesgo, entre ellas:
- Separación de los datos de cada negocio en la base de datos: cada negocio solo puede ver los suyos.
- Permisos por papel: el equipo del Negocio solo ve lo que el dueño le permite.
- Conexiones cifradas (HTTPS) y contraseñas que no se guardan en claro.
- Acceso de citaky al panel de un Negocio solo con su autorización y con doble factor para la administración de la plataforma.
- Registro de los cambios de citas, clientes y ajustes.
8. Subencargados
El Responsable autoriza al Encargado a usar estos subencargados, a los que impone las mismas obligaciones de protección de datos:
| Proveedor | Para qué |
|---|---|
| Supabase | Base de datos, inicio de sesión y archivos (logos y fotos). |
| Hostinger | Alojamiento de la web y del servidor que envía los emails y los avisos. |
| Resend | Envío de los emails (confirmaciones, recordatorios y avisos). |
| Google (Firebase Cloud Messaging) | Avisos en el móvil de la app de citaky. |
| Servicios de avisos de los navegadores (Google, Mozilla, Apple, Microsoft) | Avisos en el navegador, solo si se activan. |
| Cloudflare (Turnstile) | Comprobar que quien reserva no es un robot. |
| Sentry | Registro de errores de la app. Los datos personales se eliminan antes de enviarlos. |
Cuando estén disponibles los avisos por WhatsApp, se añadirá Meta (WhatsApp Business Platform). El Encargado avisará al Responsable de cualquier cambio en esta lista, y el Responsable podrá oponerse.
9. Ayuda al Responsable
El Encargado ayudará al Responsable a atender las peticiones de derechos de sus clientes y a cumplir sus obligaciones de seguridad y, si corresponde, de evaluación de impacto. Si recibe una petición sobre datos del Responsable, se la trasladará sin demora.
10. Brechas de seguridad
Si el Encargado detecta una violación de la seguridad de los datos del Responsable, se lo notificará sin dilación indebida, con la información de que disponga.
11. Auditorías
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar que cumple este acuerdo y permitirá auditorías proporcionadas, con aviso previo, confidencialidad y medidas que protejan los datos de otros clientes.
12. Transferencias internacionales
Si algún subencargado trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo de la Comisión Europea.
13. Al terminar el servicio
Cuando termine el contrato, el Responsable tendrá 30 días para exportar sus datos desde el panel. Después, el Encargado los suprimirá, salvo los que la ley le obligue a conservar. Las copias de seguridad se borran según los ciclos de su proveedor.