Contrato de Encargado del Tratamiento

Versión 1.0 · 6 de septiembre de 2026

Este contrato es obligatorio por el artículo 28 del Reglamento General de Protección de Datos. Lo aceptas al dar de alta tu negocio y regula qué podemos y qué no podemos hacer con los datos de tus clientes. Está escrito para que se entienda sin ser abogado.

1. Quién es quién

Tú, el negocio (la barbería, peluquería o salón que contrata tubooking.net), eres el responsable del tratamiento. Los datos de tus clientes son tuyos y tú decides qué se hace con ellos.

Nosotros ([NOMBRE Y APELLIDOS DEL TITULAR], NIF [NIF], titular de tubooking.net) somos el encargado del tratamiento. Tratamos esos datos únicamente por cuenta tuya y siguiendo tus instrucciones.

2. Qué tratamos, para qué y durante cuánto

Objeto	Prestarte el servicio de reservas online: tu web, tu agenda, los avisos a tus clientes y tu panel de gestión.
Naturaleza y finalidad	Recoger, guardar, consultar, modificar y borrar datos de tus clientes, y enviarles comunicaciones sobre sus citas por tu cuenta.
Duración	Mientras tengas contratado el servicio, más los 30 días posteriores para que puedas recuperar tus datos.
Tipo de datos	Nombre, email, teléfono, citas (servicio, profesional, fecha, hora, precio), valoraciones y comentarios, y suscripción a avisos del navegador. No tratamos categorías especiales de datos.
Personas afectadas	Los clientes de tu negocio que reservan a través de tu web.

3. A qué nos comprometemos

Tratar los datos solo siguiendo tus instrucciones. Usar la plataforma con normalidad ya cuenta como instrucción. No los usamos para nada nuestro: no los vendemos, no los cedemos y no los aprovechamos para publicidad ni para entrenar modelos de inteligencia artificial.
Guardar secreto. Quien tenga acceso a los datos está obligado a confidencialidad, y esa obligación sigue después de dejar de trabajar con nosotros.
Proteger los datos con medidas técnicas y organizativas adecuadas (artículo 32 RGPD). Las detallamos en el punto 5.
Ayudarte cuando un cliente ejerza sus derechos. Si alguien nos pide directamente acceder, rectificar o borrar sus datos, te lo trasladamos a ti, que eres quien decide. Y te damos las herramientas para hacerlo desde tu panel.
Avisarte de cualquier brecha de seguridad sin dilación indebida y como muy tarde en 48 horas desde que la detectemos, con lo que sepamos: qué ha pasado, a quién afecta y qué estamos haciendo. La obligación de notificar a la AEPD en 72 horas es tuya, y te daremos todo lo necesario para cumplirla.
Ayudarte con las evaluaciones de impacto y las consultas previas a la autoridad, si alguna vez hacen falta.
Devolverte o borrar los datos al terminar. Cuando dejes de ser cliente puedes descargar tus datos durante 30 días. Pasado ese plazo los borramos, salvo lo que la ley nos obligue a conservar (por ejemplo, facturación).
Demostrar que cumplimos. Te daremos la información que necesites para comprobarlo y permitiremos auditorías razonables, avisando con antelación y sin interrumpir el servicio a otros negocios.

4. Subencargados

Nos autorizas a apoyarnos en estos proveedores, todos con contrato de encargo y las mismas obligaciones que asumimos nosotros:

Proveedor	Para qué	Dónde
Google Ireland Ltd. (Firebase)	Base de datos, identificación e imágenes	Unión Europea
Resend	Envío de emails	Unión Europea (Irlanda)
Vercel Inc.	Alojamiento	EE. UU.
Functional Software Inc. (Sentry)	Aviso de errores técnicos	EE. UU.
Lemon Squeezy LLC	Cobro de tu suscripción	EE. UU.

Si queremos añadir o cambiar alguno, te avisaremos con 30 días de antelación por email. Si no estás de acuerdo, puedes darte de baja sin penalización antes de que el cambio entre en vigor.

El editor de diseño con inteligencia artificial usa proveedores en EE. UU. (Anthropic, Google y Groq), pero solo recibe el texto que escribes y los colores y tipografías de tu web. Nunca datos de tus clientes ni de sus reservas.

5. Medidas de seguridad

Todo el tráfico viaja cifrado (HTTPS) y los datos se almacenan cifrados en reposo.
Cada negocio solo puede acceder a sus propios datos. Está impuesto en la propia base de datos, no solo en la aplicación, de modo que ni un fallo de programación deja ver datos de otro negocio.
Las reservas no son accesibles públicamente ni desde otro negocio.
Acceso al panel con identificación y control de administradores.
Copias de seguridad automáticas de la infraestructura de Google.
Registro de errores y revisión periódica de la seguridad.
No almacenamos datos de tarjetas bancarias: los gestiona íntegramente la pasarela de pago.

6. Transferencias fuera de la Unión Europea

Los datos de tus clientes se guardan en la Unión Europea. Los proveedores estadounidenses de la tabla anterior se amparan en el Marco de Privacidad de Datos UE-EE. UU. y en las Cláusulas Contractuales Tipo de la Comisión Europea.

7. Tus obligaciones como responsable

Este contrato también te obliga a ti:

Informar a tus clientes de que tratas sus datos y para qué, y tener una base jurídica para hacerlo.
Recabar el consentimiento cuando haga falta, sobre todo para las campañas comerciales.
Usar la plataforma conforme a la ley y no introducir datos que no debas tratar.
Atender los derechos de tus clientes; nosotros te damos las herramientas.
Mantener tu propio registro de actividades de tratamiento.

8. Responsabilidad

Cada parte responde de sus propios incumplimientos. Si una autoridad sanciona por algo que dependía únicamente de la otra, esa otra asume el coste. Nada de esto limita los derechos que la ley reconoce a las personas afectadas.

9. Vigencia y cambios

Este contrato está en vigor mientras uses tubooking.net. Si lo modificamos te avisaremos con 30 días de antelación y te pediremos que lo aceptes de nuevo; si no estás de acuerdo, puedes darte de baja sin penalización.

10. Ley aplicable

Se rige por el RGPD, por la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, y por la legislación española.

Política de Privacidad Términos y Condiciones Cookies