Contrato de encargo de tratamiento

Versión del 2026-10-13. Conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones de contratación de GuauTime y se acepta junto con ellas al crear la peluquería en la aplicación.

1. Partes

Responsable del tratamiento: la persona o empresa titular de la peluquería que crea la cuenta (la «Peluquería»).
Encargado del tratamiento: Jorge Rodrigo Blanco Anton (JBATech), NIF 71044637Y, con domicilio en Calle Luis Doreste Silva, 12, 35004 Las Palmas de Gran Canaria (Las Palmas) (el «Encargado»).

2. Objeto, duración y naturaleza

El Encargado trata datos personales por cuenta de la Peluquería con el único fin de prestarle el servicio GuauTime: alojar, organizar, consultar, modificar, comunicar por orden de la Peluquería (avisos de cita) y suprimir los datos. El encargo dura lo que dure el contrato de servicio.

3. Datos e interesados

Interesados: clientes de la Peluquería (propietarios de mascotas) y su personal.
Datos: identificativos y de contacto (nombre, teléfono, email, dirección), datos de las mascotas (incluidas observaciones de salud y comportamiento del animal), historial de citas y servicios, fotografías de las mascotas, importes y medio de pago de los cobros, consentimientos otorgados y, del personal, nombre, email y rol. No se tratan categorías especiales de datos de personas ni datos de tarjetas bancarias.

4. Obligaciones del Encargado

Tratar los datos solo siguiendo las instrucciones documentadas de la Peluquería, que son las que resultan del uso de la aplicación y de este contrato, y no usarlos para fines propios.
Avisar a la Peluquería si considera que una instrucción infringe la normativa de protección de datos.
Garantizar que las personas autorizadas a tratar los datos están sujetas a un deber de confidencialidad.
Aplicar las medidas de seguridad de la cláusula 6.
Ayudar a la Peluquería a atender las solicitudes de derechos de los interesados; la aplicación incluye herramientas para consultar, rectificar, exportar y anonimizar clientes.
Notificar a la Peluquería las violaciones de seguridad de los datos sin dilación indebida y, a ser posible, en un máximo de 48 horas desde que tenga constancia, con la información necesaria para que pueda cumplir sus obligaciones.
Colaborar, cuando proceda, en evaluaciones de impacto y consultas a la autoridad de control.
Poner a disposición de la Peluquería la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso y sin acceso a datos de otros clientes.
Llevar un registro de las actividades de tratamiento realizadas por cuenta de la Peluquería.

5. Obligaciones de la Peluquería

Como responsable, le corresponde informar a sus clientes y obtener los consentimientos necesarios (la página de reservas incluye su política de privacidad y las casillas de consentimiento), introducir solo datos adecuados y necesarios, atender los derechos de los interesados y gestionar los accesos de su personal.

6. Medidas de seguridad

Cifrado de las comunicaciones y de los datos almacenados por el proveedor de base de datos.
Contraseñas almacenadas cifradas; acceso del personal por cuentas individuales con permisos por rol.
Aislamiento de los datos de cada peluquería en la propia base de datos.
Fotografías en un almacén privado, accesibles solo mediante enlaces temporales.
Registro de auditoría de los cambios relevantes y limitación de intentos en los formularios públicos.
Copias de seguridad periódicas.

7. Subencargados

La Peluquería autoriza de forma general al Encargado a recurrir a los siguientes subencargados, a los que impone las mismas obligaciones de protección de datos:

Supabase: base de datos, cuentas de usuario y almacenamiento de archivos, en la Unión Europea (Irlanda).
IONOS, en España: servidor de la aplicación.
Resend: envío de emails, cuando el envío está activo.
Stripe: pagos online, solo si la Peluquería activa los depósitos (Stripe actúa además como responsable de los datos de pago).
Meta (WhatsApp Business): envío de avisos, solo si la Peluquería conecta su cuenta.

El Encargado avisará de la incorporación o sustitución de subencargados con al menos 15 días de antelación; la Peluquería puede oponerse y, si no hay acuerdo, darse de baja.

8. Transferencias internacionales

Los datos se alojan en la Unión Europea. Cuando un subencargado tenga su matriz o preste soporte desde fuera del Espacio Económico Europeo, la transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea o en una decisión de adecuación.

9. Fin del encargo

Al terminar el contrato, la Peluquería puede exportar sus datos. El Encargado los conserva bloqueados 90 días por si se solicita su recuperación y después los suprime, incluidas las copias, salvo que una norma obligue a conservarlos.

10. Responsabilidad

Cada parte responde de los incumplimientos que le sean imputables conforme al RGPD y a las condiciones de contratación.