1. Objeto, partes y cualificación de roles
Este Acuerdo regula los tratamientos de datos personales vinculados a la prestación del software HurryStyle.
Las partes se definen conforme al RGPD (Reglamento UE 2016/679):
- El Salón de peluquería: actúa como Responsable del tratamiento de los datos personales de sus clientes y personal introducidos en la app.
- Simone Venturini (persona física, desarrollador del servicio): actúa como Encargado del tratamiento conforme al artículo 28 del RGPD, tratando los datos por cuenta del Responsable y siguiendo sus instrucciones documentadas.
2. Fines, categorías de datos y personas afectadas
El servicio trata datos para agenda, contactos, servicios, horarios, valor de los servicios completados, fotos, exportación y análisis del salón. Operaciones: recogida, almacenamiento, consulta, cálculo de indicadores, sincronización, comunicación por instrucción del responsable y eliminación. Datos: nombres, contactos, citas, importes, horarios, excepciones, preferencias, imágenes y comentarios. Interesados: clientes y personal. Se excluyen datos de salud. La duración cubre la relación y las operaciones de devolución o borrado.
3. Obligaciones del Encargado del tratamiento
El Encargado se compromete a:
- Tratar los datos únicamente siguiendo instrucciones documentadas del Salón, incluidas las funciones habituales del software, salvo que el derecho de la Unión o de los Estados miembros a los que esté sujeto el Encargado exija lo contrario; en tal caso, el Encargado informará al Salón de esa exigencia legal antes de iniciar el tratamiento, salvo que dicho derecho lo prohíba por razones importantes de interés público;
- Informar sin demora al Salón si considera que una instrucción vulnera el RGPD u otra normativa aplicable;
- Garantizar que el personal autorizado guarde deber formal de confidencialidad;
- Aplicar medidas técnicas y organizativas adecuadas según el Art. 32 del RGPD (cifrado en tránsito, control de accesos, protección de integridad).
4. Subencargados del tratamiento (Sub-processors)
El Salón autoriza el uso de los siguientes proveedores de infraestructura:
- Google Cloud / Firebase: subencargado efectivo para la base de datos (Firestore en Milán, Italia) y autenticación (Firebase Authentication en Estados Unidos, bajo Cláusulas Contractuales Tipo y DPA de Google Cloud).
- Cloudflare, Inc.: proveedor de red para DNS, alojamiento web y reenvío de correo, con un rol de infraestructura independiente y sin acceso a la base de datos del salón.
El Encargado impone a sus subencargados obligaciones equivalentes y responde de sus actuaciones. Los cambios de subencargados se notificarán con antelación para permitir la oposición por motivos legítimos.
Google Cloud Storage conserva fotos privadas en europe-west1 (Bélgica), con copias protegidas durante 7 días tras el borrado. Google/Firebase también ofrece funciones de servidor y protecciones App Check/Play Integrity. No está configurado ningún subencargado de IA generativa ni de importación de reseñas Google.
5. Asistencia al Responsable, brechas y EIPD
Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, el Encargado asiste al Salón para garantizar el cumplimiento de las obligaciones previstas en los artículos 32 a 36 del RGPD:
- Atender solicitudes de ejercicio de derechos de los interesados (Capítulo III del RGPD);
- Garantizar la seguridad del tratamiento conforme al artículo 32 del RGPD;
- Notificar brechas de seguridad (Data Breach, RGPD Art. 33) sin dilación indebida tras tener conocimiento de ellas, así como asistir en la comunicación de brechas a los interesados según el artículo 34 del RGPD;
- Realizar evaluaciones de impacto (EIPD conforme al artículo 35 del RGPD) y consultas previas a la autoridad de control conforme al artículo 36 del RGPD.
6. Supresión o devolución de los datos
Al finalizar, el responsable elige devolución o eliminación, salvo retención legal. El titular conserva el acceso a exportación CSV tras caducar; los datos no incluidos pueden solicitarse al soporte antes de borrar. El proceso elimina el archivo activo y las fotos. Las copias protegidas de fotos expiran a los 7 días; los ciclos del proveedor y copias en dispositivos o destinatarios externos se explican en la política de privacidad. El encargado ayuda al responsable con las solicitudes de derechos.
7. Auditorías, información y validez del documento
El Encargado facilita al Salón la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permite y contribuye a la realización de auditorías e inspecciones proporcionadas llevadas a cabo directamente por el Salón o por otro auditor independiente nombrado y habilitado por el Salón.
Vigencia del acuerdo: esta es la versión vigente ofrecida por transparencia; el DPA será vinculante para cada Salón mediante aceptación digital o firma formal antes del uso comercial del servicio.