Contrato de encargo del tratamiento

1. Quiénes firman

El Responsable del tratamiento eres tú: el usuario titular de la cuenta de PeluGest (la peluquería, barbería o salón), con los datos identificativos que constan en tu cuenta y en tus datos de facturación.

El Encargado del tratamiento es Álvaro Garray Molina (nombre comercial PeluGest, operado bajo ilernetwork), NIF 47980663H, con domicilio en Av. Valencia, 32 — 25001 Lleida (España) y correo hola@pelugest.es.

Este contrato se acepta electrónicamente al pulsar «Acepto» en la plataforma. Queda registrada la fecha, la hora, la dirección IP, la cuenta que lo firma y la versión del documento, como evidencia de la firma (art. 25 y considerando 63 del RGPD; firma electrónica conforme al Reglamento eIDAS).

2. Qué tratamos y para qué

Objeto	Tratar, por tu cuenta y siguiendo tus instrucciones, los datos personales de tus clientes finales que tú introduces o importas en PeluGest.
Finalidad	Única y exclusivamente prestarte el servicio: agenda de citas, ficha de cliente, catálogo, TPV, facturación (incluida la remisión a la AEAT que exige VeriFactu), recordatorios y comunicaciones que tú inicies.
Duración	Mientras tu cuenta esté activa. Al terminar, se aplica lo previsto en la cláusula 6.
Tipo de datos	Identificativos y de contacto (nombre, teléfono, email, NIF, dirección), historial de servicios, citas, ventas y facturas, y los campos que tú decidas añadir (por ejemplo notas o fórmulas técnicas).
Interesados	Tus clientes finales y, en su caso, tu personal cuyos datos gestiones en la plataforma.
Datos sensibles	Si decides anotar datos de salud (p. ej. alergias), eres tú quien debe tener la base legal para ello (art. 9 RGPD). Nosotros los guardamos con las mismas garantías y no los usamos para nada más.

3. A qué nos comprometemos nosotros (el encargado)

Conforme al art. 28.3 del RGPD, PeluGest se obliga a:

1. Tratar los datos solo siguiendo tus instrucciones documentadas (incluidas las de este contrato y las que das al usar la plataforma). No los usamos con fines propios.
2. Garantizar que quien accede a los datos está obligado a confidencialidad.
3. Aplicar las medidas de seguridad del art. 32 RGPD (ver cláusula 5).
4. No subcontratar el tratamiento salvo a los subencargados autorizados de la cláusula 4, con las mismas obligaciones que asumimos aquí.
5. Asistirte, en la medida de lo posible, para que puedas atender las solicitudes de derechos de tus clientes (acceso, rectificación, supresión, portabilidad, oposición) y para cumplir tus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
6. Notificarte sin dilación indebida, y en todo caso dentro de las 72 horas desde que tengamos constancia, cualquier violación de seguridad que afecte a tus datos, con la información necesaria para que tú puedas cumplir con el art. 33 RGPD.
7. Poner a tu disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, por ti o por un tercero que designes.
8. Al finalizar, devolver o suprimir los datos según elijas (cláusula 6).

Si en algún momento consideramos que una instrucción tuya infringe la normativa de protección de datos, te lo comunicaremos.

4. Subencargados autorizados

Para prestarte el servicio nos apoyamos en proveedores que también tratan estos datos, con contrato y garantías equivalentes. Al firmar, autorizas a estos:

Proveedor	Para qué	Ubicación
Hostinger International Ltd.	Alojamiento del servicio y de la base de datos.	Unión Europea
verifactuapi.es	Remisión de las facturas a la AEAT que exige VeriFactu (solo cuando emites facturas).	Unión Europea (España)

Si en el futuro cambiamos o añadimos un subencargado, te lo comunicaremos con antelación para que puedas oponerte por motivos legítimos.

5. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD):

• Comunicaciones cifradas (HTTPS/TLS) con política de seguridad estricta en el navegador.
• Contraseñas almacenadas con hash bcrypt; sesiones con testigo cifrado y caducidad.
• Aislamiento entre cuentas: cada salón solo puede acceder a sus propios datos, verificado técnicamente.
• Registro inmutable de eventos de facturación (SIF) y control de acceso por roles.
• Copias de seguridad diarias cifradas y con rotación.
• Datos alojados en servidores de la Unión Europea.

6. Qué pasa con los datos cuando termina

Cuando cierras tu cuenta o termina el servicio, y a tu elección: (a) te devolvemos tus datos en un formato estándar (exportación), o (b) los suprimimos, salvo los que la ley nos obligue a conservar bloqueados durante los plazos legales (por ejemplo, los registros de facturación por la normativa fiscal). Puedes pedir la exportación en cualquier momento desde tu panel.

7. Responsabilidad

Cada parte responde de las obligaciones que le corresponden por ley. Como responsable, tú determinas qué datos tratas y con qué base legal, e informas a tus clientes. Como encargado, respondemos de tratar los datos conforme a este contrato y a tus instrucciones.

8. Legislación y jurisdicción

Este contrato se rige por el RGPD, la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa española y de la UE aplicable. Para cualquier controversia, y salvo que la ley disponga otra cosa, las partes se someten a los Juzgados y Tribunales de Lleida.