1. Dos papeles distintos, y conviene no confundirlos
huequia trata datos personales de dos formas muy diferentes, y de cuál sea la tuya depende a quién tienes que dirigirte:
- Como responsable, de los datos de las personas que contactan con huequia, contratan el servicio, trabajan en un negocio cliente o visitan este sitio. De eso trata esta política.
- Como encargado del tratamiento, de los datos de las clientas y clientes de los negocios que usan la plataforma. Ahí el responsable es el negocio: es él quien decide qué se recoge y para qué, quien informa a su clientela y quien publica su propia política de privacidad en su web. huequia solo trata esos datos siguiendo sus instrucciones documentadas, con el contrato del artículo 28 del RGPD firmado con cada negocio (ver contrato de encargo).
Si reservaste una cita en un salón y quieres saber qué se hace con tus datos, la política que te corresponde es la de ese salón, publicada en su propia web. Nosotros somos su proveedor tecnológico. Si nos escribes, te atenderemos, pero tendremos que trasladar tu solicitud a quien decide sobre esos datos, que es el salón.
2. Quién es el responsable
| Responsable | Huequia S.L. |
| NIF | B05731047 |
| Domicilio | Hoces del Duratón 57, Salamanca 37008 |
| Contacto general | ops@huequia.com |
| Protección de datos | ops@huequia.com |
No se ha designado delegado de protección de datos por no concurrir ninguno de los supuestos del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD. La dirección ops@huequia.com es el canal para cualquier cuestión en esta materia y está atendida por el responsable.
3. Qué datos tratamos, para qué y con qué base jurídica
3.1 Quien solicita una demostración o escribe pidiendo información
| Datos | Finalidad | Base jurídica |
|---|---|---|
| Nombre, correo electrónico, nombre del negocio, número de profesionales y el mensaje que escribas | Responder a tu solicitud, preparar la demostración y valorar si el producto encaja | Aplicación de medidas precontractuales a petición del interesado (art. 6.1.b del RGPD) |
| Los mismos datos, si la conversación no prospera | Poder retomar el contacto y no volver a pedirte lo mismo | Interés legítimo en la gestión comercial (art. 6.1.f) |
Ningún campo de ese formulario es publicitario. No se te va a suscribir a nada por rellenarlo, y no cedemos esos datos a nadie.
3.2 El negocio que contrata el servicio y las personas que lo representan
| Datos | Finalidad | Base jurídica |
|---|---|---|
| Denominación, NIF, domicilio, datos de contacto y datos bancarios o de pago | Prestar el servicio contratado, facturarlo y cobrarlo | Ejecución del contrato (art. 6.1.b) |
| Los datos fiscales y las facturas emitidas | Cumplir las obligaciones contables y tributarias | Obligación legal (art. 6.1.c) |
| Nombre, correo y registro de la actividad del personal con acceso al panel | Dar y controlar el acceso, y poder acreditar quién hizo qué | Ejecución del contrato e interés legítimo en la seguridad (arts. 6.1.b y 6.1.f) |
| Comunicaciones sobre cambios del servicio, avisos de seguridad y mantenimientos | Informar de lo que afecta al servicio contratado | Ejecución del contrato (art. 6.1.b) |
Los avisos sobre el servicio no son comunicaciones comerciales y no se puede uno dar de baja de ellos mientras sea cliente: un aviso de mantenimiento o de incidente de seguridad forma parte de prestar el servicio. Las novedades de producto que sí son comerciales llevan siempre su enlace de baja.
3.3 Quien visita esta web
| Datos | Finalidad | Base jurídica |
|---|---|---|
| Dirección IP, agente de usuario y momento de la petición, en los registros del servidor y de la red de distribución | Servir la página, protegerla de ataques y de abuso automatizado, y diagnosticar fallos | Interés legítimo en la seguridad de la red (art. 6.1.f y considerando 49 del RGPD) |
Esta web no lleva analítica, ni píxeles de seguimiento, ni publicidad, ni perfiles. No hay nada que consentir porque no hay nada que rastrear. Ver la política de cookies.
3.4 Datos generados por el funcionamiento de la plataforma
| Datos | Finalidad | Base jurídica |
|---|---|---|
| Correo electrónico y dirección IP de los intentos de reserva rechazados por los controles antifraude | Impedir que se sature la agenda de un negocio con reservas falsas | Interés legítimo en prevenir el fraude (art. 6.1.f y considerando 47) |
| Trazas técnicas de los errores de la aplicación, depuradas de datos personales | Detectar y corregir fallos | Interés legítimo en la seguridad y calidad del servicio (art. 6.1.f) |
| Registros de auditoría de las operaciones sobre datos | Poder acreditar quién hizo qué, y responder ante una reclamación o una brecha | Interés legítimo y cumplimiento del art. 32 del RGPD |
Ponderación del interés legítimo. En los tres casos el tratamiento es el mínimo necesario, los datos no se usan para ninguna otra finalidad, no se combinan para perfilar a nadie, se purgan en los plazos del apartado 5 y no se ceden. Frente a ello, el interés que protegen es el de un negocio que no puede trabajar si su agenda se llena de citas falsas y el de todas las personas cuyos datos se verían afectados por un incidente que no pudiéramos investigar. Puedes oponerte a cualquiera de ellos como se explica en el apartado 7.
4. Datos de categorías especiales
La plataforma permite a los negocios guardar consentimientos informados y cuestionarios de salud de su clientela, que son datos de categoría especial del artículo 9 del RGPD.
Nosotros no somos responsables de esos datos: los custodiamos por cuenta del negocio, que es quien recaba el consentimiento explícito de su clientela y quien decide qué se guarda. Nuestro papel se limita a alojarlos con las medidas reforzadas que se describen en el documento de medidas de seguridad: almacenamiento privado, enlaces de descarga que caducan en sesenta segundos y registro de cada acceso.
5. Cuánto tiempo se conservan
| Qué | Cuánto | Por qué |
|---|---|---|
| Datos de la relación con el negocio cliente (contrato, facturación, soporte) | Mientras dure la relación y, después, seis años por la normativa mercantil y cuatro por la fiscal | Art. 30 del Código de Comercio y art. 66 de la Ley General Tributaria |
| Datos del negocio y de su clientela alojados en la plataforma | Mientras el negocio sea cliente. Tras la baja, treinta días para que descargue su exportación y después borrado definitivo | Son datos del negocio, no nuestros: los tratamos por cuenta suya y se devuelven o se borran al terminar el encargo (art. 28.3.g del RGPD) |
| Solicitudes de demostración y contactos comerciales | Un año desde el último contacto, salvo que se convierta en cliente | Es el plazo en el que una conversación comercial sigue viva; pasado, el dato ya no sirve para lo que se pidió |
| Correo, dirección IP y motivo de los intentos de reserva rechazados por los controles antifraude | Noventa días, con purga automática | Es el tiempo en el que un patrón de abuso sigue siendo reconocible. Pasado, el dato ya no previene nada |
| Registros de auditoría de la plataforma | Cinco años, incluso después de la baja del negocio al que se refieren | Son la prueba de quién hizo qué. Borrarlos con el negocio dejaría sin poder acreditar lo ocurrido justo cuando hace falta |
| Registros de acceso a documentos de categoría especial (consentimientos y cuestionarios de salud) | Cinco años desde cada acceso | Art. 32.1.d del RGPD: sin registro de accesos no hay forma de verificar la eficacia de las medidas |
| Trazas de error de la aplicación | Noventa días | Es la retención del proveedor y sobra para diagnosticar un fallo |
| Copias de seguridad | Treinta días, por rotación | Un dato borrado sobrevive en las copias hasta que rota la última que lo contiene. Se dice porque es verdad y porque afecta al derecho de supresión |
Pasados los plazos, los datos se suprimen o se anonimizan. Mientras corran los plazos de prescripción de posibles responsabilidades, los datos que puedan servir de prueba se conservan bloqueados, a disposición únicamente de jueces, tribunales y administraciones competentes, conforme al artículo 32 de la LOPDGDD.
6. Quién más ve los datos
Para prestar el servicio nos apoyamos en los siguientes proveedores, que actúan como encargados o subencargados del tratamiento, con contrato firmado que les obliga a tratar los datos solo conforme a nuestras instrucciones:
| Proveedor | Para qué |
|---|---|
| Supabase | Base de datos, autenticación e identidades, y almacenamiento de ficheros |
| Northflank | Ejecución de la API y de las webs |
| Cloudflare | Red de distribución, DNS, certificados de los dominios de los negocios, control de acceso a los entornos internos y encaminamiento del correo entrante |
| Resend | Envío del correo transaccional |
| Sentry | Registro de errores de la aplicación |
| UptimeRobot | Comprobación externa de disponibilidad del servicio |
La ficha completa de cada uno —qué entidad contrata, a qué datos llega, dónde se almacenan y con qué amparo— está en la página de subencargados, que se mantiene al día.
Además, los datos pueden comunicarse a administraciones públicas, jueces y tribunales cuando una norma lo exija, y a asesores fiscales, contables y jurídicos sujetos a secreto profesional.
No vendemos datos personales, no los cedemos con fines comerciales y no los usamos para entrenar sistemas de inteligencia artificial.
7. Transferencias internacionales
Los datos se almacenan en servidores situados en la Unión Europea. Algunos de los proveedores del apartado anterior son sociedades constituidas en Estados Unidos, lo que implica que su personal puede acceder a los datos desde allí, aunque el almacenamiento sea europeo. Ese acceso es, en sí mismo, una transferencia internacional.
Está amparado en las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, complementadas con las medidas técnicas adicionales que se describen en el documento de medidas de seguridad. Puedes solicitar copia de las garantías aplicadas escribiendo a ops@huequia.com.
8. Tus derechos
Puedes ejercer en cualquier momento, y de forma gratuita, los siguientes derechos:
- Acceso: saber qué datos tuyos tratamos.
- Rectificación: corregir los que sean inexactos.
- Supresión: pedir que se borren cuando ya no sean necesarios.
- Oposición: oponerte a los tratamientos basados en interés legítimo.
- Limitación: pedir que se conserven pero no se usen mientras se resuelve una controversia.
- Portabilidad: recibir en formato legible por máquina los datos que nos hayas facilitado.
- Retirar el consentimiento que hubieras dado, sin que ello afecte a la licitud del tratamiento anterior.
Cómo. Escribiendo a ops@huequia.com, indicando qué derecho ejerces. Si tenemos dudas razonables sobre tu identidad podremos pedirte que la acredites; no pediremos copia del documento de identidad si hay otra forma de comprobarlo. Responderemos en el plazo de un mes, prorrogable por dos más si la solicitud es compleja, avisándote de la prórroga.
Si tus datos los tiene un negocio que usa huequia, dirígete a ese negocio: es quien decide sobre ellos. La plataforma le da las herramientas para atenderte, y el propio panel de cliente incluye un espacio desde el que ejercer los derechos directamente ante él.
Reclamación. Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es). Te agradeceremos que antes nos escribas a ops@huequia.com: casi todo se resuelve más rápido así.
9. Decisiones automatizadas
No se toman decisiones automatizadas con efectos jurídicos ni que te afecten significativamente de modo similar, ni se elaboran perfiles.
Los controles antifraude pueden rechazar un intento concreto de reserva, pero esa decisión no produce efectos jurídicos, es revisable por el negocio y no impide reservar por teléfono o presencialmente.
10. Seguridad
Aplicamos las medidas técnicas y organizativas del artículo 32 del RGPD, que se describen una a una en el documento de medidas de seguridad. Si se produjera una violación de la seguridad que suponga un riesgo alto para tus derechos, te lo comunicaremos sin dilación indebida, y a la Agencia dentro de las 72 horas que marca el artículo 33.
11. Menores de edad
Este sitio y el panel de gestión están dirigidos a profesionales y no a menores. La edad mínima para reservar en la web de un negocio la fija ese negocio, dentro de lo que permita la normativa aplicable a su actividad; en España, el artículo 7 de la LOPDGDD sitúa en catorce años la edad a partir de la cual el consentimiento del menor es válido por sí solo.
12. Cambios en esta política
Cualquier modificación se publicará en esta misma dirección, con su número de versión y su fecha. Cuando el cambio sea sustancial y te afecte, se avisará por correo con antelación razonable. Las versiones anteriores se conservan y pueden solicitarse en ops@huequia.com.