1. Quiénes firman
El Responsable del tratamiento eres tú: el usuario titular de la cuenta de PeluGest (la peluquería, barbería o salón), con los datos identificativos que constan en tu cuenta y en tus datos de facturación.
El Encargado del tratamiento es Álvaro Garray Molina, titular del nombre comercial PeluGest, NIF 47980663H, con domicilio en Av. Valencia, 32 — 25001 Lleida (España) y correo hola@pelugest.es.
Este contrato se acepta electrónicamente al pulsar «Acepto» en la plataforma. Queda registrada la fecha, la hora, la dirección IP, la cuenta que lo acepta y la versión del documento como evidencia de la aceptación contractual.
2. Qué tratamos y para qué
| Objeto | Tratar, por tu cuenta y siguiendo tus instrucciones, los datos personales de tus clientes finales que tú introduces o importas en PeluGest. |
|---|
| Finalidad | Única y exclusivamente prestarte el servicio: agenda de citas, ficha de cliente, catálogo, TPV, registro local de facturación, recordatorios y comunicaciones que tú inicies. La remisión a la AEAT no está activa; si se habilita en el futuro, se informará y autorizará el subencargado correspondiente antes de tratar datos con esa finalidad. |
|---|
| Duración | Mientras tu cuenta esté activa. Al terminar, se aplica lo previsto en la cláusula 6. |
|---|
| Tipo de datos | Identificativos y de contacto (nombre, teléfono, email, NIF, dirección), historial de servicios, citas, ventas y facturas, y los campos que tú decidas añadir (por ejemplo notas o fórmulas técnicas). |
|---|
| Interesados | Tus clientes finales y, en su caso, tu personal cuyos datos gestiones en la plataforma. |
|---|
| Datos sensibles | El campo de precauciones es opcional. Si decides anotar información de salud, eres tú quien debe justificar su necesidad y disponer de una excepción válida del art. 9 RGPD, normalmente consentimiento explícito, informado y demostrable. No introduzcas diagnósticos, medicación, informes ni datos que no sean imprescindibles para prestar el servicio. |
|---|
3. A qué nos comprometemos nosotros (el encargado)
Conforme al art. 28.3 del RGPD, PeluGest se obliga a:
- Tratar los datos solo siguiendo tus instrucciones documentadas (incluidas las de este contrato y las que das al usar la plataforma). No los usamos con fines propios.
- Garantizar que quien accede a los datos está obligado a confidencialidad.
- Aplicar las medidas de seguridad del art. 32 RGPD (ver cláusula 5).
- No subcontratar el tratamiento salvo a los subencargados autorizados de la cláusula 4, con las mismas obligaciones que asumimos aquí.
- Asistirte, en la medida de lo posible, para que puedas atender las solicitudes de derechos de tus clientes (acceso, rectificación, supresión, portabilidad, oposición) y para cumplir tus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
- Notificarte sin dilación indebida cualquier violación de seguridad que afecte a tus datos, con la información disponible y tiempo suficiente para que puedas valorar el riesgo y, cuando corresponda, cumplir tu plazo de 72 horas del art. 33 RGPD. La información se completará por fases si no puede facilitarse toda a la vez.
- Poner a tu disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, por ti o por un tercero que designes.
- Al finalizar, devolver o suprimir los datos según elijas (cláusula 6).
Si en algún momento consideramos que una instrucción tuya infringe la normativa de protección de datos, te lo comunicaremos.
4. Subencargados autorizados
Para prestarte el servicio nos apoyamos en proveedores que también pueden tratar estos datos, con contrato y obligaciones equivalentes. Al firmar, autorizas a estos en la medida en que uses la función indicada:
| Proveedor | Para qué | Ubicación |
|---|
| Hostinger International Ltd. | Alojamiento del servicio y de la base de datos. | Unión Europea |
| Stripe Payments Europe, Ltd. | Pagos de la suscripción y, solo si el salón activa cobros online, procesamiento del pago. PeluGest no almacena datos de tarjeta. | Irlanda; las transferencias posteriores de Stripe se rigen por su DPA y sus garantías aplicables. |
La remisión a la AEAT está desactivada. El proveedor previsto para esa función no queda autorizado por este contrato mientras no se validen su identidad, ubicación, contrato, subencargados y garantías. Si en el futuro cambiamos o añadimos un subencargado, te lo comunicaremos con antelación para que puedas oponerte por motivos legítimos.
5. Medidas de seguridad
Aplicamos medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD):
- Comunicaciones cifradas (HTTPS/TLS) con política de seguridad estricta en el navegador.
- Contraseñas almacenadas con hash bcrypt; sesiones con testigo cifrado y caducidad.
- Aislamiento entre cuentas: cada salón solo puede acceder a sus propios datos, verificado técnicamente.
- Registro inmutable de eventos de facturación (SIF) y control de acceso por roles.
- Copias de seguridad diarias fuera del directorio público, con acceso restringido y rotación.
- Datos alojados en servidores de la Unión Europea.
6. Qué pasa con los datos cuando termina
Cuando cierras tu cuenta o termina el servicio, y a tu elección: (a) te devolvemos tus datos en un formato estándar (exportación), o (b) los suprimimos, salvo los que la ley nos obligue a conservar bloqueados durante los plazos legales (por ejemplo, los registros de facturación por la normativa fiscal). Puedes pedir la exportación en cualquier momento desde tu panel.
7. Responsabilidad
Cada parte responde de las obligaciones que le corresponden por ley. Como responsable, tú determinas qué datos tratas y con qué base legal, e informas a tus clientes. Como encargado, respondemos de tratar los datos conforme a este contrato y a tus instrucciones.
8. Legislación y jurisdicción
Este contrato se rige por el RGPD, la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa española y de la UE aplicable. Para cualquier controversia, y salvo que la ley disponga otra cosa, las partes se someten a los Juzgados y Tribunales de Lleida.
