De una parte
Titular: Daniel Cuns García
NIF: 02282190S
Nombre comercial: PideTurno
Actividad: Plataforma SaaS de gestión de citas
Domicilio: Calle Fuente Santa 19, 28590 Villarejo de Salvanés (Madrid), España
Teléfono: +34 618 266 169
Contacto: admin@pideturno.pro
Y, de otra parte
El Negocio registrado a través de la Web pideturno.pro.
En adelante, PIDETURNO y el Negocio registrado serán referidos conjuntamente como las “Partes” y cualquiera de ellos, separadamente, como una “Parte”.
Ambas Partes, de mutuo acuerdo y reconociéndose recíprocamente capacidad legal suficiente para celebrar el presente contrato de prestación de servicios (en adelante, el “Contrato”), al efecto
Que PIDETURNO es propietario de una Plataforma de gestión de citas para la gestión de citas principalmente de centros estéticos y peluquerías (en adelante “Plataforma de gestión de citas”) por la que se agendan citas con los clientes.
Que los servicios mencionados en el expositivo anterior están destinados tanto a personas físicas como a personas jurídicas, actuando PIDETURNO como propietario de la Plataforma de gestión de citas.
Que el Negocio registrado está interesado en contratar y PIDETURNO está interesado en prestar, tanto el acceso a la Plataforma de gestión de citas.
Que de acuerdo con los expositivos anteriores las Partes formalizan el presente Contrato de Acceso al Software de Plataforma de gestión de citas de acuerdo con las siguientes,
ENTRADA EN VIGOR, DURACIÓN Y TERMINACIÓN DEL CONTRATO.
El presente Contrato entrará en vigor en la fecha de registro del Negocio usuario a través de la Web pideturno.pro.
El Contrato se mantendrá en vigor, salvo que alguna de las Partes comunique su voluntad de darlo por finalizado.
Para la terminación del servicio PIDETURNO y el Negocio registrado deberán cumplir con lo acordado en la presente clausula para la terminación del Contrato.
Además, cualquiera de las Partes podrá resolver el Contrato en cualquier momento mediante comunicación a la otra Parte, si esta última incurriera en cualquiera de los casos siguientes:
Incumplimiento de las obligaciones derivadas de este Contrato.
Imposibilidad de cumplimiento del Contrato, legal o de facto, por razones no imputables a la Parte que resuelve el Contrato.
Declaración de concurso o liquidación, así como pérdida o suspensión de autorización legal para operar.
Inmediatamente por cualquiera de las Partes, si alguna garantía dada por la otra resulta ser falsa o engañosa en cualquier aspecto material en el momento en que se hizo o se dio;
Dicha resolución, tendrá efecto a inmediato al recibo de la notificación por la entidad destinataria.
En caso de terminación, por cualquier causa, y de acuerdo con lo establecido en el punto anterior, ambas Partes se comprometen a prestar la máxima colaboración para definir y acometer el traspaso de la información sobre los servicios pendientes de prestación a los Clientes Finales del Negocio Registrado o cualquier tercero designado por ésta.
PIDETURNO podrá retener la información necesaria para el cumplimiento de sus obligaciones legales y regulatorias, así como para acreditar la prestación del servicio y por motivos de respaldo tecnológico de la información (back-up) siempre y cuando la legislación vigente lo permita y únicamente por el tiempo establecido en la misma.
En aquellos casos en los que el contenido del presente contrato resulte contradictorio o contrario a las cláusulas establecidas en los Términos y Condiciones de la Web, el contenido establecido en el presente contrato y sus posteriores modificaciones prevalecerá sobre los Terminos y Coniciones de la Web.
OBLIGACIONES DE LAS PARTES.
PIDETURNO se obliga a:
Proporcionar los Servicios de conformidad con lo provisto en el presente Contrato.
Proporcionar al Negocio registrado y a sus usuarios acceso al área dedicada con las siguientes funcionalidades: equipo, tus servicios, tu horario, tus servicios, conecta con Google calendar, conecta con WhatsApp; así como cualquier otro que se implemente por PIDETURNO y que sea necesario para la prestación de los servicios.
El Negocio registrado se obliga a:
Satisfacer la Retribución en la forma y cuantía establecida.
Colaborar con PIDETURNO facilitando toda la información necesaria para la prestación de los Servicios que se encuentre a su alcance y que se haya especificado como necesaria por PIDETURNO; y aquella que sea necesaria para que este pueda cumplir con las obligaciones que, en su caso, le resulten de aplicación de acuerdo con la legislación vigente. PIDETURNO no será responsable de ninguna pérdida, daño o deficiencia en los Servicios que se deba al uso de cualquier información y/o materiales inexactos, incompletos o defectuosos, que el Negocio registrado o los Clientes Finales hayan suministrado.
Poner en conocimiento de PIDETURNO cualesquiera circunstancias relativas a los Clientes Finales que sean relevantes a efectos de la correcta prestación de los Servicios.
Mantener indemne a PIDETURNO frente a cualquier reclamación de terceros, ya se trate de autoridades u organismos públicos o no, que pudieran serle formuladas por el incumplimiento de las obligaciones que son propias del Negocio registrado teniendo en cuenta que se trata de un empresario independiente.
Las Partes quedarán exentas de responsabilidad alguna por cualquier incumplimiento de sus obligaciones contenidas en el presente Contrato que se deba a un caso fortuito o de fuerza mayor entendiendo como tal, a modo ilustrativo, inundación, incendio, guerra, acciones terroristas o cualquier desastre de la naturaleza. En estos supuestos, la Parte afectada vendrá obligada a notificar tal circunstancia a la otra Parte tan pronto como sea posible y siempre dentro de un plazo de quince (15) días desde el inicio de tal circunstancia. Una vez finalizado el caso fortuito o la fuerza mayor, la Parte afectada vendrá obligada al cumplimiento de sus obligaciones derivadas del presente Contrato.
RESPONSABILIDAD DE LAS PARTES.
INDEPENDENCIA DE LAS PARTES.
Las Partes reconocen que la relación contractual establecida para la prestación de los Servicios será la propia de contratistas independientes. Asimismo, se trata de una relación de carácter mercantil cuyo contenido es exclusivamente el pactado en este Contrato y, por lo tanto, no crea ningún tipo de relación laboral, societaria, de agencia o de franquicia, de hecho, o de derecho entre las Partes, no pudiendo ninguna de ellas actuar o presentarse ante terceros como si tal fuera el caso.
En caso de que cualquier cliente interponga una reclamación ante cualquier administración pública o juzgado civil relacionada con los Servicios Incluidos en la Plataforma de gestión de citas, PIDETURNO se compromete a intervenir y colaborar directamente en la resolución de dicha reclamación.
RETRIBUCIÓN.
El acceso al servicio de Bot, será de pago, cuyo abono corresponderá al Negocio registrado de acuerdo con los siguientes paquetes de facturación, en función del número de personas/empleados dependientes del negocio registrado que pueden acceder al área privada:
- Plan 1: Para aquellos Negocios registrados que tengan una única persona/empleado.
- Plan 3: Para aquellos Negocios registrados que tengan hasta tres personas/empleados.
- Plan 7: Para aquellos Negocios registrados que tengan hasta siete personas/empleados.
Para aquellos Negocios registrados que necesiten dar de alta a más de siete personas/empleados, deberán ponerse en contacto con PideTurno en la dirección de email admin@pideturno.pro para poder gestionar las necesidades de usuarios adicionales.
Las cantidades correspondientes a cada uno de los paquetes descritos estarán a disposición del Negocio registrado en la sección de precios, y será el Negocio registrado quién deberá elegir que paquete necesita contratar para su negocio.
PideTurno facturará los importes correspondientes de manera mensual y los detalles de este estarán también disponibles en el área dedicada de cada Negocio registrado.
Están retribuciones se verán incrementadas, en su caso, por el impuesto sobre el valor añadido correspondiente.
PROPIEDAD INTELECTUAL E INDUSTRIAL.
Sin perjuicio de lo regulado entre las partes en la cláusula de Licencia y Uso de la Plataforma de gestión de citas, las Partes acuerdan que los derechos de propiedad intelectual e industrial, esto es, las marcas y nombres comerciales, patentes, know-how (técnico o tecnológico, operativo o de organización y funcionamiento), derechos de autor, programas informáticos y cualesquiera otros derechos de propiedad industrial y/o intelectual, registrados o no (en adelante, los “Derechos de PI”), de los que cada Parte es titular con anterioridad al Contrato seguirán siendo propiedad de dicha Parte, salvo que acuerden un régimen distinto.
La utilización de los Derechos de PI propiedad de alguna de las Partes estará sujeta a la autorización expresa y por escrito de la Parte correspondiente, y dicha autorización solamente se entenderá concedida en la medida y por el tiempo que estrictamente resulten necesarios para la ejecución del Contrato.
Sin perjuicio de lo señalado en el párrafo anterior, el Negocio registrado autoriza a PIDETURNO a utilizar sus Derechos de PI que sean necesarios para la correcta prestación de los Servicios, en concreto y cuando así se acuerde por las Partes, para la configuración de la Plataforma de gestión de citas de acuerdo con los logos, marcas y elementos distintivos propuestos por el Negocio registrado.
Las Partes garantizan que la ejecución de los Servicios y del Contrato no constituye ninguna infracción de Derechos de PI de un tercero.
En relación con la Plataforma de gestión de citas, PIDETURNO garantiza que la Plataforma de gestión de citas y el uso de la misma por parte del Negocio registrado no supone el incumplimiento o la infracción de los Derechos de PI de ningún tercero.
En caso de que alguna de las Partes resultase denunciada por infringir Derechos de PI de terceros como consecuencia del Contrato, notificará de manera inmediata a la otra Parte cualquier reclamación o demanda para que ésta pueda hacerse parte del proceso para la defensa, conciliación o compromiso respecto de los incumplimientos que se hayan alegado.
Las Partes se comprometen a no utilizar los Derechos de PI propios de la otra Parte en forma alguna que pueda resultar perjudicial para su distintividad o reputación en el mercado, o en forma distinta a lo que se determine en cada momento por ambas Partes.
El incumplimiento por alguna de las Partes de estas obligaciones de propiedad intelectual e industrial facultará a la otra Parte para resolver el Contrato y, además, exigir los daños y perjuicios que se le hubieren ocasionado.
LICENCIA DE USO DE LA PLATAFORMA DE GESTIÓN DE CITAS.
PIDETURNO garantiza que es el propietario de la Plataforma de gestión de citas y de todos y cada uno de sus componentes.
PIDETURNO otorga al Negocio registrado, que acepta, una licencia no exclusiva, intransferible, no sublicenciable y por el tiempo de duración del presente Contrato, en virtud de la cual los Clientes finales del Negocio registrado tendrán derecho a acceder y utilizar la Plataforma de gestión de citas en todo el territorio español en calidad de Usuarios (la “Licencia”).
El Negocio registrado reconoce y acepta que no permitirá a terceros que no sean sus empleados/usuario, acceder, utilizar o visualizar la Plataforma de gestión de citas, sin realizar un registro adicional para cada uno de ellos.
El Negocio registrado no podrá:
Ceder, arrendar, licenciar, vender, poner a disposición o distribuir la totalidad o parte de la Plataforma de gestión de citas a terceros;
Utilizar la Plataforma de gestión de citas para operar en un entorno de multipropiedad, externalización, oficina de servicios, proveedor de servicios de software o proveedor de servicios gestionados (MSP);
Copiar la Plataforma de gestión de citas en cualquier red pública o distribuida;
Cambiar cualquier aviso de derechos de propiedad que aparezca en la Plataforma de gestión de citas;
Modificar la Plataforma de gestión de citas; o
Aplicar ingeniería inversa a la Plataforma de gestión de citas.
El Negocio registrado reconoce y acepta que sólo podrá utilizar los datos que obtenga de la Plataforma de gestión de citas Digital y de los prestadores de los servicios contenidos en la misma de conformidad con lo establecido en el presente Contrato.
NOTIFICACIONES.
Toda notificación entre las Partes relativa al presente Contrato deberá hacerse por escrito y ser remitida a través de un medio que permita dejar constancia de la fecha y contenido de la notificación dirigido en el caso de PIDETURNO a la siguiente dirección de email admin@pideturno.pro y por parte del Negocio registrado a la dirección de email que figure en el alta del mismo en la Web pideturno.pro.
Toda notificación enviada a las direcciones establecidas en el apartado anterior se entenderá correctamente efectuada.
Se considerará como fecha de entrega de la notificación (a) en caso de remisión de la misma a través de un medio que permita dejar constancia de la fecha y contenido de la notificación, la fecha de entrega y (b) en todos los demás supuestos, la fecha de remisión de la notificación.
CESIÓN.
Los derechos y obligaciones con origen en este Contrato no podrán ser transmitidos o cedidos por las Partes sin el consentimiento previo y por escrito de la otra Parte.
No obstante, lo anterior, en aquellos casos en los que la cesión se realice a empresas que pertenezcan al grupo de alguna de las Partes (entendiendo por grupo la definición del artículo 42 del Código de Comercio Español) no se requerirá el consentimiento de la otra Parte, pero la Parte cedente vendrá obligada a notificar la cesión a la otra Parte.
MODIFICACIONES Y RENUNCIAS.
Cualquier renuncia a derechos dimanantes del Contrato será comunicada por PideTurno y actualizada en el área dedicada del Negocio. El Negocio registrado deberá aceptar las modificaciones a través de una nueva casilla de aceptación que se pondrá a disposición del mismo una vez que haya leído las nuevas condiciones.
La renuncia a alguno de los derechos contenidos en el Contrato no podrá interpretarse como la renuncia a cualquier otro derecho con origen en el mismo, aun cuando sean similares.
BUENA FE.
Ambas Partes manifiestan su compromiso de cumplir de buena fe los pactos contenidos en este Contrato.
Cada una de las cláusulas del presente Contrato deber ser interpretada de forma independiente y separada de las demás. Si cualquiera de ellas es declarada, total o parcialmente, nula o ineficaz, tal nulidad o ineficacia afectará tan solo a dicha cláusula o a la parte de la misma que resulta nula o ineficaz, subsistiendo el Contrato en todo lo demás y teniéndose por nula tal cláusula o la parte de la misma que resultase afectada.
RESOLUCIÓN DE CONFLICTOS.
Las Partes intentarán resolver cualquier conflicto de forma amistosa.
En tanto sea razonablemente posible, las Partes seguirán cumpliendo con sus respectivas obligaciones derivadas del Contrato hasta que se resuelva el conflicto.
LEY APLICABLE Y JURISDICCIÓN.
El presente Contrato se rige por el derecho común español.
Para todas aquellas cuestiones que pudieran derivarse de la interpretación o del cumplimiento de las cláusulas del presente Contrato, las Partes, con renuncia expresa de cuantos fueros pudieran corresponderles, acuerdan someterse a la Jurisdicción y Competencia de los Tribunales de Madrid Capital.
Y en prueba de conformidad con cuanto antecede, el Negocio registrado acepta el presente Contrato por vía electrónica, marcando la casilla correspondiente en el formulario de registro. De esa aceptación queda constancia de la fecha y la hora en que se produjo, de la versión aceptada y de una huella del texto íntegro vigente en ese momento; el Negocio registrado puede consultar esos tres datos en cualquier momento desde su panel.
Este anexo regula el tratamiento de datos personales que PideTurno realiza como encargado de tratamiento del Negocio registrado para prestar el servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).
El presente Anexo se acepta junto con los Términos y Condiciones en el momento del registro y forma parte integrante de ellos.
El Negocio registrado (titular de la cuenta) es el Responsable del tratamiento de los datos de sus clientes finales. PideTurno es el Encargado del tratamiento, que trata esos datos únicamente para prestar el servicio y siguiendo las instrucciones del Negocio registrado.
Las instrucciones del Negocio registrado para el tratamiento de los datos de los clientes finales, se recogen en el presente documento, en el que se establecen las instrucciones recibidas por el mismo para la correcta prestación de los Servicios por parte de PideTurno.
Objeto y finalidad. El objeto del tratamiento de los datos de los clientes finales será: la gestión de citas y agenda, envío de recordatorios y avisos, comunicación con los clientes finales por WhatsApp.
La prestación de estos servicios implica que PideTurno realizará los siguientes tratamientos recogida, registro, almacenamiento, consulta, y comunicación a los subencargados descritos en el presente Anexo de los datos de los clientes finales por medios automatizados. Duración: mientras esté vigente la relación contractual entre el Negocio y PideTurno.
Categorías de interesados: los clientes finales del Negocio. Tipos de datos: datos identificativos y de contacto (nombre y número de teléfono) y datos de las citas (fecha, hora, servicio, notas y, en su caso, importes cobrados) datos de bot de WhatsApp.
No se solicitan categorías especiales de datos.
Tratar los datos solo según las instrucciones documentadas del Negocio registrado (incluidas las que resultan del uso del propio servicio), salvo obligación legal.
Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
Aplicar medidas técnicas y organizativas apropiadas de seguridad (art. 32 RGPD): cifrado en tránsito (HTTPS), copias de seguridad cifradas y fuera del servidor, control de acceso y aislamiento de datos entre negocios.
Asistir al Negocio registrado para atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, etc.).
Asistir al Negocio registrado en el cumplimiento de sus obligaciones de seguridad y de notificación de brechas.
Asistir al Negocio registrado, cuando sea necesario, en la realización de evaluaciones de impacto de privacidad y en la consulta previa a la Agencia Española de Protección de Datos, cuando proceda, así como asistir al Responsable del Tratamiento para que éste pueda cumplir con la obligación de dar respuesta a las solicitudes de ejercicio de derechos.
Notificar al Negocio sin dilación indebida cualquier violación de seguridad de la que tenga conocimiento.
A la finalización del servicio, suprimir o devolver al Negocio los datos, a su elección, salvo obligación legal de conservarlos.
Poner a disposición del Negocio la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este Anexo y permitir auditorías razonables.
Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del Responsable del Tratamiento.
Cooperar con la Agencia Española de Protección de Datos u otra Autoridad de Control, a solicitud de ésta, en el cumplimiento de sus atribuciones.
Para la ejecución del Servicio, el Negocio registrado como responsable del tratamiento se compromete a poner a disposición de PideTurno, únicamente los datos personales y/o la información necesaria para el adecuado tratamiento de los mismos para la prestación de los Servicios.
El Negocio registrado autoriza expresamente a PideTurno a recurrir a los siguientes proveedores (subencargados), sujetos a las mismas obligaciones de protección de datos:
Hetzner — alojamiento del servidor (UE).
Backblaze — copias de seguridad cifradas de la base de datos (UE, Ámsterdam).
Meta Platforms — envío y recepción de mensajes por la API de WhatsApp Business.
Anthropic — modelo de IA que asiste en la conversación del bot.
DonDominio — dominio y correo del servicio.
Groq— transcripción de las notas de voz de los clientes finales del bot a texto.
PideTurno regulará la nueva relación contractual con estos subencargados de forma que el nuevo subencargado de Tratamiento quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad, etc.) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas.
La transferencia de datos del PideTurno a los Subencargados tendrá como causa única y límite inexcusable la subcontratación de todos o alguno de los Servicios contratados por el Negocio registrado al Encargado de Tratamiento, restringiéndose, en todo caso, a aquellos datos personales estrictamente necesarios para la realización de los servicios subcontratados. Asimismo, la transferencia no supondrá, en ningún caso, menoscabo o disminución de las obligaciones y responsabilidades asumidas por el Encargado de Tratamiento mediante el presente Anexo.
La autorización conferida por el Negocio registrado a PideTurno no podrá extenderse a actuaciones diferentes a las señaladas y no dará lugar, en ningún caso, a que PideTurno pueda actuar como representante, agente o mandatario del Negocio registrado, ni a que sus actos y omisiones puedan dar lugar a vínculos de cualquier índole que obliguen al Negocio registrado frente a terceros.
En todo caso, PideTurno asume, de manera directa y plena, en todo caso, la responsabilidad derivada de cualquier incumplimiento por el Subencargado de la normativa sobre protección de datos personales, manteniendo indemne al Negocio registrado de cualesquiera consecuencias derivadas de las acciones de los Subcontratistas. El Negocio registrado podrá repetir, contra el Encargado de Tratamiento, por el importe de cualesquiera sanciones o multas por actuaciones infractoras de la normativa sobre datos personales derivadas, directa o indirectamente, de acciones u omisiones del Subcontratista.
Algunos subencargados pueden tratar datos fuera del Espacio Económico Europeo; en tal caso, las transferencias se amparan en las garantías previstas por el RGPD (p. ej. cláusulas contractuales tipo). PideTurno informará al Negocio de cualquier cambio previsto en la lista de subencargados, dándole la posibilidad de oponerse.
En caso de violación de la seguridad de los datos, PideTurno lo comunicará al email del Negocio registrado sin dilación indebida, con la información disponible para que el Negocio registrado pueda cumplir, en su caso, con su deber de notificación a la autoridad de control y a los interesados.
En la medida de lo posible PideTurno comunicará al Negocio registrado la información siguiente:
La descripción de la naturaleza de la violación de los datos personales incluyendo, si es posible, las categorías y el número aproximado de titulares de datos afectados, así como las categorías y el número aproximado de registros de datos personales en cuestión.
El nombre y los contactos del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse información.
Descripción de las probables consecuencias de la violación de datos personales.
Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.
Cuando no sea posible proporcionar toda la información al mismo tiempo, podrá ser proporcionada por fases, sin retrasos injustificados.
PideTurno se obliga a asistir al Negocio registrado en la respuesta al ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles).
En el caso de que los afectados ejercitasen sus derechos ante PideTurno o Subencargado autorizado, éstos deberán dar traslado de la solicitud, de forma inmediata, al Negocio registrado y, en ningún caso, en un plazo mayor de 72 horas desde la recepción de la solicitud, juntamente, en su caso, con otras informaciones que puedan ser relevantes para resolver la solicitud, para que el Negocio registro resuelva debidamente dicha solicitud. PideTurno no responderá al interesado salvo que cuente con la autorización previa del Negocio registrado.
PideTurno y/o el Subencargado, deberá adoptar las medidas necesarias para garantizar dicho traslado al Negocio registrado, en los tiempos expuestos, así como la información requerida, para dar contestación efectiva a los derechos ejercitados.
El deber de secreto y confidencialidad que se deriva del presente Anexo obliga a PideTurno durante la vigencia de la relación mantenida con el Negocio registrado y se extenderá, en función de la tipología de información de que se trate, durante los plazos máximos previstos en la legislación vigente que resulte de aplicación. En particular, respecto al tratamiento de datos de carácter personal, el deber de confidencialidad tendrá una duración indefinida, incluso una vez extinguida la relación entre las Partes.
PideTurno asegura que las personas a su cargo autorizadas a tratar los datos personales responsabilidad del Negocio registrado, asumirán un compromiso de confidencialidad y que estarán sujetas a adecuadas obligaciones legales de confidencialidad, incluso después de la terminación del presente Anexo, así como del Contrato de Prestación de Servicios.
PideTurno se compromete a permitir el acceso a dichos datos únicamente a aquellos empleados que deban conocerlos para la correcta ejecución de sus funciones.
A. 10. Obligación a la terminación de los servicios.
Una vez cumplida la prestación de los Servicios del Contrato del que este documento es Anexo, a la terminación/resolución del mismo por cualquier causa, o bien cuando el Negocio registrado lo considere necesario, PideTurno tiene implementado un mecanismo de descarga de toda la información que contenga datos de carácter personal de la Plataforma con motivo de la prestación del Servicio.
La descarga solicitada por el Negocio Registrado se realizará en formato JSON y permitiría acceder a todos los datos personales de los clientes finales del Negocio.
Asimismo, en caso de que el Negocio registrado así lo requiriera, Pideturno deberá expedir certificado acreditativo de la entrega y/o destrucción confidencial, así como de la ausencia de copias de los mismos en el plazo máximo de veintidós (22) días laborables a contar desde la solicitud.
PideTurno podrá conservar determinados datos durante un periodo de tiempo para acreditar el cumplimiento de los servicios prestados, éstos deberán permanecer bloqueados, no pudiendo ser utilizados con otras finalidades, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas, transcurrido el cual deberá procederse a la cancelación.
Medidas técnicas y organizativas aplicadas por el encargado del tratamiento
Este apéndice describe las medidas realmente implantadas a la fecha indicada en la presente política.
En tránsito: todo el tráfico va por HTTPS/TLS. El certificado se renueva de forma automática y su caducidad está vigilada: el sistema avisa al responsable del servicio si quedan menos de 14 días.
Secretos en base de datos: las credenciales de terceros asociadas a cada negocio (token y PIN de su cuenta de WhatsApp Business, token de Google Calendar) se guardan cifradas con AES-256-GCM. No existe copia en claro de ninguna de ellas: lo que no se descifra, no se recupera.
Contraseñas: nunca se almacenan; se guarda su resumen criptográfico con bcrypt.
Copias de seguridad: se cifran con GPG (AES-256) antes de salir del servidor, de modo que el proveedor de almacenamiento no puede leerlas.
Seudonimización de los registros técnicos: los registros de funcionamiento (logs) no contienen el número de teléfono del cliente final. Se sustituye por un identificador derivado que permite seguir una misma conversación con fines de diagnóstico sin identificar a la persona. El contenido de los mensajes y de las notas de voz no se escribe en los registros.
Alcance del cifrado, con precisión: están cifradas las credenciales de terceros dentro de la base de datos y la totalidad de las copias de seguridad.
Aislamiento entre negocios: la plataforma es multiempresa sobre una base de datos común y toda consulta filtra por el identificador del negocio. Existen pruebas automáticas específicas que verifican ese aislamiento y que fallan si una consulta nueva lo omite.
Continuidad del servicio: la aplicación corre bajo un supervisor de procesos que la reinicia automáticamente ante una caída, y se vigila desde fuera del servidor por un servicio independiente.
Integridad del cambio: ninguna modificación llega a producción sin superar una batería de más de dos mil pruebas automáticas. El despliegue se detiene si alguna falla.
Copia de la base de datos cada hora, consistente (incluye el diario de escritura), comprimida, cifrada y subida fuera del servidor.
Copia adicional diaria al puesto del encargado, verificada en tamaño contra el origen.
Retención: 7 días en el propio servidor y aproximadamente 22 días en el almacenamiento externo.
Procedimiento de restauración escrito y probado, con comprobación de integridad de la base restaurada.
Simulacro mensual de restauración, con recordatorio automático: se restaura de verdad una copia y se comprueba que los datos cuadran. Cubre las dos copias (base de datos y registros de trabajo).
La frase de cifrado de las copias está guardada en dos lugares independientes del servidor, de modo que una pérdida total de la máquina no impide recuperarlas.
Auditoría automática semanal de dependencias, que falla ante vulnerabilidades de gravedad alta o crítica.
Revisión periódica de las conversaciones y del estado del sistema, con informe de incidencias. La revisión incluye una búsqueda activa de indicios de acceso no autorizado —intentos de acceso repartidos entre varias direcciones contra una misma cuenta, accesos a negocios nunca atendidos y sesiones que superan los plazos máximos— y no solo la lectura de los avisos automáticos.
Simulacro mensual de restauración (apartado 3).
Control negativo obligatorio: cada medida de protección nueva se valida rompiéndola a propósito y comprobando que la prueba automática correspondiente se pone en rojo. Una prueba que sigue pasando con la protección desactivada no prueba nada, y no se da por buena.
Acceso con usuario y contraseña (bcrypt).
Segundo factor de autenticación (TOTP) en el acceso del encargado a la consola de administración.
Bloqueo por intentos fallidos.
Sesión: cookie marcada `HttpOnly` (no accesible desde scripts), `SameSite` (protección contra peticiones cruzadas) y exclusiva de HTTPS en producción. La sesión se cierra a los 30 minutos de inactividad; mantenerla abierta exige consentimiento explícito mediante una casilla no marcada por defecto, y dura entonces 7 días para el negocio y 12 horas para la consola de administración. Toda sesión caduca en todo caso a los 90 días de su creación.
Dos ámbitos separados: el negocio solo accede a sus propios datos; el encargado dispone de acceso técnico, y ese acceso queda registrado. El negocio puede obtener ese registro en cualquier momento dentro de la copia de sus datos, sin intervención del encargado (apartado 17).
HTTPS obligatorio en toda la plataforma.
Política de seguridad de contenidos estricta: la página no puede ser enmarcada por terceros y, con carácter general, no carga recursos de terceros: los formularios y las peticiones de datos solo pueden dirigirse al propio dominio
Las copias de seguridad viajan ya cifradas desde el origen.
La base de datos reside en el servidor y no está expuesta a internet: no acepta conexiones externas.
Las credenciales de terceros se guardan cifradas (apartado 1).
Acceso administrativo al servidor restringido a una sola persona, mediante clave SSH.
Servidor: Hetzner Online GmbH, centro de datos en Alemania (Unión Europea), con certificación ISO/IEC 27001. Contrato de encargado de tratamiento suscrito el 17 de septiembre de 2026.
Copias de seguridad: Backblaze B2, cubo alojado en región de la Unión Europea.
Puesto de trabajo del encargado: equipo con cifrado completo de disco activado (FileVault), bajo su control físico exclusivo.
Existe un canal de avisos automáticos que notifica al encargado, por correo y por una sonda externa independiente, los sucesos relevantes: caídas del servicio, fallos de entrega de mensajes, errores de las tareas programadas y bloqueos por intentos de acceso fallidos.
Existe un registro de accesos del encargado a la cuenta de cada negocio (apartado 16).
Existe un libro de incidentes de seguridad consultable —fecha, hecho, afectados, medidas adoptadas y comunicaciones realizadas—, que genera además el texto de notificación al responsable previsto en el apartado A.7 del anexo de encargo y advierte del plazo de 72 horas del artículo 33.1 RGPD mientras una violación siga sin notificar.
Cabeceras de seguridad aplicadas por defecto a todas las respuestas.
Cookies restrictivas por defecto (apartado 5).
La web pública no utiliza analítica de terceros ni cookies publicitarias.
Despliegue automatizado y reproducible: nada se instala ni se configura a mano en producción. La versión del entorno de ejecución está fijada en el repositorio y se comprueba que coincide con la del servidor en cada despliegue; si difiere, el despliegue se detiene.
Las migraciones de la base de datos se aplican enteras o no se aplican, para que un fallo a mitad no deje el esquema en un estado intermedio.
Los datos confidenciales no están en el repositorio de código: viven en el servidor, con permisos restringidos, y se respaldan cifrados.
Control automático de fuga de datos personales al código: un mecanismo en el sistema de control de versiones impide subir al repositorio teléfonos, nombres o mensajes reales de clientes, comparándolos con huellas de los datos de producción. Equivalente para la documentación de trabajo.
PideTurno no dispone de certificación propia (ISO/IEC 27001, ENS o SOC 2) ni se ha adherido a un código de conducta del art. 40 RGPD.
Los subencargados de infraestructura sí mantienen programas de certificación propios; el más relevante a estos efectos es el proveedor del servidor (ISO/IEC 27001).
Solo se tratan los datos necesarios para concertar y gestionar la cita: nombre o alias, teléfono, servicio, fecha y hora, y el contenido de la conversación con el asistente.
No se solicitan ni se almacenan datos de salud, ni categorías especiales del art. 9 RGPD.
No se tratan datos de pago: la plataforma no dispone de pasarela de cobro propia y no almacena datos de tarjeta.
El teléfono del cliente final no se escribe en los registros técnicos (apartado 1).
Copias de seguridad: 7 días en el servidor, ~22 días fuera.
Registros técnicos: rotación automática con 7 días de conservación.
Datos del entorno de demostración: se eliminan por completo al caducar la sesión de prueba.
Conversaciones y mensajes del servicio: se eliminan automáticamente cuando el cliente final lleva 12 meses sin interactuar: sin escribir, sin responder a un recordatorio y sin ninguna cita. Mientras interactúe se conservan íntegras. La eliminación se ejecuta a diario, alcanza a la conversación completa de ese cliente y no afecta a su ficha ni a sus citas, que se rigen por el contrato principal.
Registro de actividades de tratamiento mantenido y actualizado.
Relación de subencargados publicada en el anexo correspondiente de las condiciones del servicio, con indicación de su función y su ubicación.
Derecho de oposición a un subencargado ejecutable en la práctica: los subencargados que añaden una función accesoria (calendario externo y transcripción de notas de voz) se pueden desactivar negocio por negocio sin interrumpir el servicio. Los que lo sostienen (servidor, mensajería) no se pueden desactivar sin dejar de prestarlo, y así se informa.
Registro de accesos del encargado: cuando el encargado entra en la cuenta de un negocio para dar soporte, queda anotado qué hizo y cuándo, y ese registro se entrega al negocio dentro de la copia de sus datos, que descarga desde su panel sin intervención del encargado (apartado 17).
Contratos de encargo con los subencargados: suscrito de forma expresa con el proveedor del servidor (17 de septiembre de 2026). Con el proveedor de almacenamiento de las copias, el acuerdo de tratamiento está incorporado por referencia a sus condiciones de servicio, aceptadas al contratar, e incluye las Cláusulas Contractuales Tipo (apartado 8). Se está completando la recopilación documental del resto.
Portabilidad: el negocio puede exportar sus datos desde su panel, en formato abierto, sin intervención del encargado. La exportación cubre la totalidad de los datos del negocio en el sistema —la misma relación de tablas que se elimina al borrar la cuenta— e incluye un resumen legible de lo que contiene. Quedan fuera, por no ser datos del negocio, las credenciales de acceso a servicios de terceros y la medición interna de consumo.
Supresión: la opción «Eliminar cuenta» del panel borra los datos del negocio de la totalidad de las tablas del sistema.
Al terminar la prestación, y salvo obligación legal de conservación, los datos se suprimen conforme a lo pactado en el contrato principal.
← Volver