Encargo de tratamiento

1. Partes y roles

Este documento forma parte de los términos de uso como anexo. El negocio es responsable de los datos de sus clientes finales; Peluu es encargado y los trata siguiendo estas instrucciones y solo para prestar el servicio.

El encargo está vigente mientras Peluu trate datos por cuenta del negocio, aunque los términos terminen, hasta completar la supresión o anonimización conforme a la política de retención.

2. Alcance, datos y finalidades

Datos tratados: datos identificativos y de contacto de los clientes finales (nombre, teléfono y, opcionalmente, correo y notas), datos de la cita (servicio, profesional, fechas y estado) y metadatos de las notificaciones enviadas.

Finalidades: gestionar la agenda y las citas, enviar notificaciones transaccionales de la cita y atender las peticiones de soporte del negocio. Peluu no usa estos datos para fines propios ni para publicidad, y no los emplea para entrenar modelos de inteligencia artificial.

El negocio se compromete a no incorporar datos sensibles ni categorías restringidas —salud, finanzas, documentación de identidad, credenciales de terceros o datos de menores no permitidos— a los campos del servicio.

3. Instrucciones

Peluu trata los datos solo conforme a las instrucciones documentadas del negocio: los términos, este encargo, la configuración del servicio y las instrucciones adicionales que se acuerden por escrito. Si una instrucción pudiera infringir la ley, Peluu lo notificará y podrá suspender su ejecución hasta aclararlo.

4. Confidencialidad

El personal de Peluu autorizado para acceder a los datos queda sujeto a deberes de confidencialidad, y el acceso se limita a lo necesario para soporte y operación, con registro de auditoría.

5. Medidas de seguridad

• Aislamiento por negocio en la base de datos y mínimo privilegio.
• Cifrado en tránsito (TLS) y cifrado en reposo del proveedor de base de datos.
• Autenticación robusta y control de sesiones.
• Telemetría depurada: sin datos personales; cuando hace falta correlacionar, se usan huellas criptográficas (HMAC).
• Copias de seguridad diarias, con restauración ensayada.
• Registro de auditoría de los accesos internos.

6. Subencargados

El negocio autoriza el uso de los subencargados necesarios para prestar el servicio: Supabase (base de datos y autenticación), Vercel (alojamiento), Resend (correo transaccional) y Sentry (errores, sin datos personales); con consentimiento de quien visita, Google (Google Analytics) y Meta (medición publicitaria) tratan datos de navegación del sitio.

Cada subencargado queda obligado por contratos con garantías no menores que las de este encargo. Si incorporamos un subencargado relevante nuevo, lo anunciamos con antelación (al menos 15 días) y el negocio puede oponerse por motivos razonables; si no encontramos una solución, podrá terminar el servicio.

7. Derechos de los titulares

Si Peluu recibe una solicitud de un titular (ARCO u otra), la traslada al negocio sin demora y orienta a la persona; el negocio responde como responsable. Peluu presta asistencia razonable —localización y entrega puntual de los datos por soporte— para atender solicitudes y evaluaciones de impacto o consultas previas.

8. Responsabilidades del negocio

El negocio garantiza que tiene base legal para tratar los datos de sus clientes y que les ha dado la información exigible al reservar; que no incorpora datos restringidos a los campos del servicio; y que custodia sus accesos y dispositivos.

9. Transferencias internacionales

Los datos pueden procesarse en Estados Unidos y otros países donde operan los subencargados, con garantías contractuales —como las cláusulas contractuales tipo cuando aplican a datos europeos—. El detalle de las garantías está disponible a solicitud en [email protected].

10. Devolución y supresión

Al terminar el servicio, Peluu suprime o anonimiza los datos personales según la política de retención, conservando solo lo que exija la ley, con confidencialidad y finalidad limitada. Antes de la supresión, el negocio puede pedir una copia de sus datos por soporte.

11. Auditoría y cooperación

Peluu pone a disposición del negocio la información razonable para demostrar el cumplimiento de este encargo (resúmenes de medidas y certificaciones de los proveedores), sin comprometer la seguridad ni secretos. Las auditorías puntuales se acuerdan con aviso de al menos dos semanas y confidencialidad.

12. Disposiciones

En caso de conflicto, este encargo prevalece sobre los términos en materia de protección de datos. Peluu puede actualizarlo para cumplir cambios legales sin reducir las garantías. Las notificaciones van a [email protected]. El encargo no crea derechos para terceros distintos de los que la ley reconozca a los titulares.