Contrato de encargado del tratamiento (art. 28 RGPD)

Entre el salón que se registra (responsable del tratamiento) y [Nombre y apellidos o razón social], NIF [NIF/CIF], con domicilio en [Dirección postal], titular de Citalma (encargado del tratamiento). Se acepta electrónicamente al crear la cuenta; el panel guarda la fecha, la versión y la IP de la aceptación.

1. Objeto

El encargado trata, por cuenta del salón, los datos personales de los clientes y del equipo del salón necesarios para prestar el servicio Citalma.

2. Datos y personas afectadas

• Interesados: clientes del salón, trabajadores y usuarios del salón.
• Datos: identificativos y de contacto, citas e historial de servicios, cobros, bonos, notas, valoraciones y, si el salón los introduce, datos de salud (alergias, contraindicaciones), fotografías y firmas de consentimientos.
• Operaciones: registro, conservación, consulta, modificación, envío de avisos por email, enlaces de WhatsApp y, si el salón lo activa, avisos automáticos por WhatsApp, copia de seguridad y supresión.

3. Duración

Mientras el salón tenga la cuenta activa. Al terminar, el encargado pondrá los datos a disposición del salón para su exportación durante 30 días y después los suprimirá, incluidas las copias de seguridad en su ciclo de rotación (máximo 30 días más).

4. Obligaciones del encargado

1. Tratar los datos solo según las instrucciones documentadas del salón (este contrato y el uso del panel).
2. No usarlos para fines propios ni comunicarlos a terceros, salvo obligación legal.
3. Garantizar la confidencialidad del personal con acceso. El acceso de soporte a la cuenta de un salón queda registrado en el registro de actividad del propio salón.
4. Aplicar las medidas de seguridad del art. 32: cifrado en tránsito (HTTPS), cifrado de datos de salud y de los secretos de autenticación, contraseñas con hash, verificación en dos pasos, separación lógica entre salones, control de acceso por roles, registro de actividad, copias de seguridad diarias cifradas y restauración probada.
5. Ayudar al salón a responder a los derechos de los interesados (el panel permite exportar y borrar los datos de cada cliente).
6. Notificar al salón, sin dilación indebida y a ser posible en menos de 48 horas, cualquier violación de seguridad que afecte a sus datos, con la información necesaria para que el salón pueda notificarla a la AEPD si procede.
7. Ayudar al salón en evaluaciones de impacto y consultas previas cuando sea necesario.
8. Poner a disposición del salón la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso.

5. Subencargados

El salón autoriza de forma general a los siguientes subencargados: OVHcloud (grupo OVH SAS, Francia) (alojamiento en servidor con centro de datos en la UE); el proveedor de envío de correo electrónico configurado (dentro del Espacio Económico Europeo) (envío de emails). Solo si el salón activa el WhatsApp automático: Twilio Ireland Limited (Irlanda) y, a través de ella, WhatsApp Ireland Limited / Meta (envío de los avisos), que reciben el nombre, el teléfono del cliente y los datos de la cita incluidos en el aviso. Si se añade o cambia algún subencargado, se avisará con 15 días de antelación y el salón podrá oponerse dándose de baja.

Los datos de los clientes del salón se alojan en el Espacio Económico Europeo. Con el WhatsApp automático, Twilio y Meta pueden tratar datos fuera del EEE (por ejemplo, en Estados Unidos) con las garantías del capítulo V del RGPD: Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo.

6. Obligaciones del salón

• Informar a sus clientes y tener base legal para cada tratamiento (consentimiento explícito para datos de salud y fotografías).
• Configurar a su equipo con el rol adecuado y custodiar sus credenciales.
• Supervisar el tratamiento y ejercer sus derechos de auditoría de forma razonable.

7. Responsabilidad

Cada parte responde de sus propios incumplimientos conforme al art. 82 RGPD.

Versión 2026-11-4