Acuerdo de encargo de tratamiento
Versión 2026-10-15.7
Partes objeto y duración
De una parte, el titular profesional del negocio vinculado a la cuenta verificada de Cituna que acepta este acuerdo, como responsable del tratamiento. La cuenta y, cuando ya estén disponibles, los datos del negocio quedan identificados en el justificante. Los datos fiscales necesarios para facturar se facilitarán en la contratación de pago. De otra, Daniel Mateo Solano Cruz, NIF Z2370376R, domicilio Carrer de Caro 46, 07013 Palma de Mallorca, España y contacto citunacitas@gmail.com, como encargado del tratamiento.
El objeto es la prestación de la herramienta de agenda y reservas. El acuerdo dura mientras Cituna trate datos por cuenta del negocio, incluidos los procesos de devolución o supresión posteriores a la terminación. Se complementa con las condiciones del servicio, sin autorizar finalidades incompatibles con este encargo.
Personas datos y operaciones
Los interesados son clientes que reservan, profesionales y personal del negocio cuyos datos se incorporen por sus instrucciones. Los datos pueden incluir nombre, correo, teléfono, servicio y profesional elegidos, fecha, hora, estado de la cita, precio, comentarios y datos públicos profesionales. La comunicación de soporte puede contener información aportada por el negocio y debe limitarse a lo necesario.
Las operaciones incluyen recogida, registro, organización, consulta, alojamiento, modificación, comunicación necesaria para confirmar la cita y gestión de su cancelación o supresión. Las personas autorizadas acceden solo en lo necesario para sus funciones. No se autoriza a vender los datos, utilizarlos para publicidad propia ni emplearlos para entrenar modelos de inteligencia artificial.
Instrucciones y deberes del negocio
Las instrucciones se documentan mediante este acuerdo, la configuración de la plataforma y las solicitudes registradas por canales autorizados. El negocio determina la base jurídica, informa a los interesados, mantiene datos correctos y comunica sus instrucciones de conservación y supresión. Debe evitar introducir datos especiales o tratamientos no evaluados.
Deberes de Cituna
Cituna tratará los datos conforme a instrucciones documentadas, incluidas las relativas a transferencias. Si una norma exige otro tratamiento, informará previamente cuando la ley lo permita. Si considera que una instrucción infringe la normativa de protección de datos, lo comunicará al negocio.
Las personas autorizadas estarán sujetas a confidencialidad y a controles de acceso adecuados. Se mantendrá la documentación y el registro de actividades que procedan. Cituna aplicará medidas técnicas y organizativas proporcionadas al riesgo, descritas en el anexo operativo, y revisará su adecuación durante el servicio.
Soporte y accesos de administración
El acceso de administración se limita a la prestación, mantenimiento y soporte del servicio conforme a instrucciones del negocio y necesidades justificadas de seguridad. En la vista de ayuda pueden modificarse datos públicos, servicios, profesionales, horarios y activación de reservas; esas modificaciones se registran para que el negocio pueda consultarlas.
El registro de cambios de esa vista no se presenta como un registro exhaustivo de todas las lecturas, accesos o tareas de infraestructura. El procedimiento para autorizar solicitudes, identificar al interlocutor y limitar accesos técnicos es solicitud desde la cuenta verificada o comprobación proporcionada del solicitante por correo, acceso limitado a lo necesario, confidencialidad y registro de las modificaciones de la vista de ayuda. No se pedirán contraseñas por chat.
Derechos y otras obligaciones del responsable
Cituna asistirá al negocio, teniendo en cuenta la naturaleza del tratamiento y la información disponible, para atender derechos, valorar la seguridad y cumplir las obligaciones aplicables de notificación de brechas y evaluaciones de impacto. Si recibe una solicitud relativa a los datos de reservas, la trasladará sin dilación indebida al negocio y no actuará por su cuenta salvo instrucción o deber legal.
Incidentes
Cituna comunicará al negocio, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad de datos personales que afecten al encargo. El canal de incidencias es citunacitas@gmail.com. Facilitará la información disponible sobre naturaleza, alcance, consecuencias probables, medidas adoptadas y punto de contacto, completándola progresivamente si fuera necesario.
La obligación del responsable de valorar una notificación a la autoridad en 72 horas no convierte ese plazo en un margen general para que el encargado espere antes de avisarle. Se documentarán los incidentes y la cooperación entre ambas partes.
Subencargados y transferencias
El negocio autoriza con carácter general los subencargados identificados para su encargo en el anexo. Cituna impondrá obligaciones equivalentes de protección de datos y seguirá siendo responsable ante el negocio del cumplimiento por sus subencargados conforme al RGPD.
Las incorporaciones o sustituciones se comunicarán con al menos 30 días naturales, salvo urgencia justificada de seguridad o exigencia legal, comunicada sin dilación indebida, dando oportunidad de oponerse por motivos fundados de protección de datos. Se estudiarán alternativas razonables; si no es posible resolver la objeción, se acordará la terminación de la parte afectada conforme al contrato y a la normativa aplicable.
No se realizarán transferencias internacionales sin las instrucciones y garantías exigibles. El anexo identificará las entidades, funciones, destinos y mecanismos aplicables. Una región de alojamiento no excluye por sí sola accesos o transferencias internacionales de soporte o subproveedores.
Devolución supresión y verificación
Al terminar la prestación, Cituna devolverá o suprimirá, a elección del negocio, los datos personales y las copias en un máximo de 90 días naturales desde la terminación efectiva, con devolución o supresión según la elección del negocio, salvo que una norma exija conservarlos. Se acordarán formato CSV o JSON acordado con el negocio, canal seguro solicitud desde la cuenta verificada o en citunacitas@gmail.com, con verificación de identidad y entrega segura y tratamiento de copias de seguridad rotación conforme al servicio del proveedor, aislamiento del uso ordinario y reaplicación de las supresiones tras una restauración; los criterios aplicables se facilitan a solicitud del negocio. Los datos conservados por obligación legal quedarán limitados a esa finalidad.
Cituna pondrá a disposición del negocio información suficiente para demostrar el cumplimiento del encargo y permitirá y contribuirá a auditorías e inspecciones en los términos legalmente exigibles, protegiendo la información de otros clientes y la seguridad del servicio. Los detalles prácticos se documentarán sin impedir estos derechos.
Subencargados y servicios identificados
Cloudflare, Inc. proporciona ejecución, entrega y base de datos D1 para la plataforma: configuración, reservas, profesionales, soporte y registros. Su infraestructura es internacional; no se garantiza una limitación territorial al Espacio Económico Europeo. Su acuerdo y garantías pueden consultarse en https://www.cloudflare.com/cloudflare-customer-dpa/ y su lista vigente de subencargados.
Plus Five Five, Inc. (Resend) envía confirmaciones, recordatorios y avisos: destinatario, nombre, cita, servicio, profesional, precio y referencia, y teléfono para el aviso al negocio cuando se facilite. La región de envío elegida es Irlanda; puede haber tratamientos internacionales conforme a su acuerdo y subencargados. Información: https://resend.com/legal/dpa y https://resend.com/legal/subprocessors.
Supabase Pte. Ltd. presta autenticación de las cuentas; región del proyecto Frankfurt. Cituna actúa como responsable de la cuenta del negocio. Supabase no almacena la base de citas de D1 en el funcionamiento descrito. Su acuerdo contempla también subencargo cuando se trate por cuenta de otro responsable: https://supabase.com/legal/customer-resources/data-processing-addendum y su lista de subencargados.
Stripe gestiona el pago de la suscripción de Cituna con las funciones propias que correspondan como responsable o encargado; no recibe por ello todas las reservas. Google interviene al elegirse su inicio de sesión. No se autorizan automáticamente otros proveedores para el encargo de reservas.
Las garantías de transferencias se aplican según el servicio y destino, incluidas las cláusulas contractuales tipo cuando procedan; se puede solicitar información y copia en citunacitas@gmail.com. La publicación de un acuerdo no equivale por sí sola a que todos los tratamientos estén en Europa. Cituna atiende las objeciones a cambios de subencargados conforme al apartado anterior.
Medidas operativas
La aplicación utiliza identidad validada mediante Supabase, comprobaciones de pertenencia al negocio, separación de conversaciones, un rol de administración limitado a una cuenta verificada y registro de las modificaciones de su vista de ayuda. Las comunicaciones con la aplicación usan HTTPS.
Cituna limita el acceso a personal autorizado sujeto a confidencialidad, protege sus claves de servidor, verifica la identidad y pertenencia al negocio, registra cambios de la vista de ayuda y tramita derechos e incidentes por el canal indicado. Las medidas y evidencias de controles del proveedor, copias y recuperación se facilitan a solicitud justificada, sin atribuir certificaciones no comprobadas. Se revisarán según el riesgo y los cambios del servicio.
Aceptación por el negocio: el representante identificado en el justificante de aceptación, la cuenta verificada que figura en el justificante, la fecha y hora del justificante de aceptación, la versión, huella y copia de textos conservadas con el justificante. Aceptación por Cituna: Daniel Mateo Solano Cruz, la fecha y hora del justificante de aceptación.
El negocio instruye como conservación inicial de reservas 12 meses desde la cita, con posibilidad de solicitar un plazo menor o justificar otro plazo. La devolución y supresión se gestionan mediante soporte. La información necesaria para obligaciones propias de Cituna se trata separadamente conforme a su política de privacidad.
Transmisión de datos por negocios de Colombia
Cuando el responsable esté en Colombia y comunique datos a Cituna para tratarlos por su cuenta, este acuerdo regula también esa transmisión internacional en lo aplicable conforme a la Ley 1581 de 2012 y al Decreto 1074 de 2015. El alcance comprende alojamiento, organización de agenda, reservas, confirmaciones, recordatorios y asistencia técnica descritos en este acuerdo; los datos y titulares, finalidades, duración, instrucciones, subencargados y medidas de seguridad son los aquí establecidos. Cituna se obliga a tratar los datos por cuenta del responsable y según sus instrucciones, respetar los principios aplicables, salvaguardar la seguridad y confidencialidad y asistir en la atención de consultas, reclamos e incidentes. No usará las reservas para publicidad propia ni finalidades independientes incompatibles.
El negocio es responsable de obtener y acreditar las autorizaciones exigibles, informar previamente a los titulares y atender sus derechos. Cituna facilitará la información y cooperación necesarias dentro de su función de encargado. La intervención de proveedores fuera de Colombia queda sujeta a estas instrucciones y a obligaciones de protección equivalentes en lo pertinente, sin convertir por sí sola una transmisión en transferencia entre responsables. Si una operación constituye una transferencia a otro responsable, deberán evaluarse por separado los requisitos legales aplicables antes de realizarla.