1. Dos papeles distintos, y conviene no confundirlos
huequia trata datos personales de dos formas muy diferentes, y de cuál sea la tuya depende a quién tienes que dirigirte.
Como responsable, y solo en estos casos, que son una lista cerrada:
- Las personas que contactan con huequia o solicitan una demostración.
- Los negocios que contratan el servicio y las personas que los representan o trabajan en ellos, en lo que toca a la relación con nosotros: contrato, facturación, soporte y avisos del servicio.
- La cuenta de acceso con la que la clientela de los negocios y su personal entran en las aplicaciones: el correo, la credencial y las sesiones. Es una sola cuenta aunque se use en varios negocios.
- La seguridad de la plataforma: los controles antifraude de las reservas en línea, los registros de auditoría y las trazas de error.
- Quien visita este sitio.
Como encargado del tratamiento, en todo lo demás. En particular, las citas, las fichas, el historial, las medidas, los documentos y cualquier otro dato que un negocio guarda de su clientela o de su personal. Ahí el responsable es el negocio: es él quien decide qué se recoge y para qué, quien informa a su clientela y quien publica su propia política de privacidad en su web. huequia solo trata esos datos siguiendo sus instrucciones documentadas, con el contrato del artículo 28 del RGPD aceptado por cada negocio (ver contrato de encargo).
El catálogo de servicios, los precios y las cantidades de inventario son información de negocio; pueden contener datos personales si identifican a una persona física. Cuando el negocio registra personas de contacto de proveedores e intermediarios comerciales (nombre, correo o teléfono), o a un proveedor autónomo, también custodiamos esos datos como encargados, para la gestión operativa que decide el negocio. Es él quien debe justificar su tratamiento e informar a esos contactos; no son un tratamiento propio nuevo de huequia.
Si reservaste una cita en un negocio y quieres saber qué se hace con tus datos, la política que te corresponde es la de ese negocio, publicada en su propia web. Nosotros somos su proveedor tecnológico. Si nos escribes, te atenderemos, pero trasladaremos tu solicitud a quien decide sobre esos datos, que es el negocio, y te diremos que lo hemos hecho.
2. Quién es el responsable
| Responsable | Huequia S.L. |
| NIF | B05731047 |
| Domicilio | Hoces del Duratón 57, Salamanca 37008 |
| Contacto general | ops@huequia.com |
| Protección de datos | ops@huequia.com |
La dirección ops@huequia.com es el canal para cualquier cuestión de protección de datos y está atendida por el responsable. [Pendiente de revisión jurídica] la evaluación de si debe designarse delegado de protección de datos conforme al artículo 37 del RGPD y al artículo 34 de la LOPDGDD, atendiendo al alcance, la escala y los tratamientos de categorías especiales. No se declara una exención ya acreditada.
3. Qué datos tratamos, para qué y con qué base jurídica
3.1 Quien solicita una demostración o escribe pidiendo información
| Datos | Finalidad | Base jurídica |
|---|---|---|
| Nombre, correo electrónico, nombre del negocio, número de profesionales, cómo nos conociste y el mensaje que escribas | Responder a tu solicitud, preparar la demostración y valorar si el producto encaja | Aplicación de medidas precontractuales a petición del interesado (art. 6.1.b del RGPD) |
| Los mismos datos, si la conversación no prospera | Poder retomar el contacto y no volver a pedirte lo mismo | Interés legítimo en la gestión comercial (art. 6.1.f) |
Ningún campo de ese formulario es publicitario. No se te va a suscribir a nada por rellenarlo, y no cedemos esos datos a nadie. Los campos obligatorios están marcados: sin ellos no podemos contestarte.
3.2 El negocio que contrata el servicio y las personas que lo representan
| Datos | Finalidad | Base jurídica |
|---|---|---|
| Denominación, NIF, domicilio, datos de contacto y datos bancarios o de pago | Prestar el servicio contratado, facturarlo y cobrarlo | Ejecución del contrato (art. 6.1.b) |
| Los datos fiscales y las facturas emitidas | Cumplir las obligaciones contables y tributarias, incluida la facturación electrónica | Obligación legal (art. 6.1.c) |
| Identificador del negocio y de quien acepta, versiones y huellas de los textos sellados, fecha del servidor, dirección IP y navegador cuando están disponibles | Poder demostrar qué se aceptó, quién y cuándo | Obligación legal de poder acreditar el contrato de encargo (arts. 5.2 y 28.9 del RGPD) |
| Nombre, correo y registro de la actividad del personal con acceso al panel | Dar y controlar el acceso, y poder acreditar quién hizo qué | Ejecución del contrato e interés legítimo en la seguridad (arts. 6.1.b y 6.1.f) |
| Comunicaciones sobre cambios del servicio, avisos de seguridad y mantenimientos | Informar de lo que afecta al servicio contratado | Ejecución del contrato (art. 6.1.b) |
Los avisos sobre el servicio no son comunicaciones comerciales y no se puede uno dar de baja de ellos mientras sea cliente: un aviso de mantenimiento o de incidente de seguridad forma parte de prestar el servicio. Las novedades de producto que sí son comerciales llevan siempre su enlace de baja.
El periodo inicial sin cargo no altera estas bases ni el momento de formalizar el encargo. La privacidad se informa, separada de cualquier consentimiento opcional para comunicaciones comerciales. Stripe trata el medio de pago para la contratación del SaaS; su relación y sus finalidades propias se explican en su información de privacidad durante el pago. La integración automática sigue en preparación; el recorrido de apertura es asistido.
3.3 Quien visita esta web
| Datos | Finalidad | Base jurídica |
|---|---|---|
| Dirección IP, agente de usuario y momento de la petición, en los registros del servidor y de la red de distribución | Servir la página, protegerla de ataques y de abuso automatizado, y diagnosticar fallos | Interés legítimo en la seguridad de la red (art. 6.1.f y considerando 49 del RGPD) |
Esta web no lleva analítica, ni píxeles de seguimiento, ni publicidad, ni perfiles. No hay nada que consentir porque no hay nada que rastrear. Ver la política de cookies.
3.4 La seguridad de la plataforma
| Datos | Finalidad | Base jurídica |
|---|---|---|
| Correo electrónico y dirección IP de los intentos de reserva rechazados por los controles antifraude | Impedir que se sature la agenda de los negocios con reservas falsas | Interés legítimo en prevenir el fraude (art. 6.1.f y considerando 47) |
| Trazas técnicas de los errores de la aplicación, depuradas de datos personales | Detectar y corregir fallos | Interés legítimo en la seguridad y calidad del servicio (art. 6.1.f) |
| Registros de auditoría de las operaciones sobre datos | Poder acreditar quién hizo qué, y responder ante una reclamación o una brecha | Interés legítimo y cumplimiento del art. 32 del RGPD |
Estos tratamientos los hacemos como responsables, no por cuenta de un negocio: protegen a toda la plataforma y a todos los negocios a la vez, y un patrón de abuso no se ve mirando un solo negocio.
Ponderación del interés legítimo. En los tres casos el tratamiento es el mínimo necesario, los datos no se usan para ninguna otra finalidad, no se combinan para perfilar a nadie, se purgan en los plazos del apartado 5 y no se ceden. Frente a ello, el interés que protegen es el de un negocio que no puede trabajar si su agenda se llena de citas falsas y el de todas las personas cuyos datos se verían afectados por un incidente que no pudiéramos investigar. Puedes oponerte a cualquiera de ellos como se explica en el apartado 8.
3.5 Quien tiene una cuenta para entrar en las aplicaciones
Para ver sus reservas, la clientela de un negocio usa una cuenta de acceso, y el personal del negocio, otra para entrar en el panel. Es una sola cuenta por persona aunque esa persona reserve en varios negocios que usan huequia.
| Datos | Finalidad | Base jurídica |
|---|---|---|
| Correo electrónico y credencial (si la hay, la contraseña se guarda transformada de forma irreversible y nadie puede leerla) | Crear y mantener tu cuenta, y dejarte entrar en los negocios en los que reservas o trabajas | Ejecución de las condiciones de uso de las aplicaciones (art. 6.1.b) |
| Si entras con Google o con Apple: el identificador, el nombre y el correo que ese proveedor nos facilita | Lo mismo, sin tener que crear una contraseña | Ejecución de las condiciones de uso (art. 6.1.b) |
| Identificador de quien acepta las condiciones individuales del panel, versión y huella del texto, fecha del servidor, IP y navegador cuando estén disponibles, y versión y huella de la privacidad entregada | Acreditar las obligaciones de uso autorizado y la entrega de información, sin registrar consentimiento publicitario | Interés legítimo en acreditar la relación y proteger la plataforma (art. 6.1.f); pendiente de validación jurídica de la base y su ponderación |
| Sesiones abiertas, fecha y dirección IP de cada inicio de sesión | Proteger tu cuenta frente a accesos no autorizados | Interés legítimo en la seguridad (art. 6.1.f y considerando 49) |
Origen de los datos. Los facilitas tú al crear la cuenta o, si eliges entrar con Google o con Apple, nos los facilita ese proveedor, con quien tienes tu propia relación y que responde de lo que hace con ellos. Si el negocio te invita como parte de su personal, el correo de acceso procede de ese negocio. Recibes esta información al activar la cuenta y antes de aceptar tus condiciones individuales de uso. La firma del titular no sustituye tu aceptación individual, ni convierte tu información de privacidad en consentimiento al tratamiento de tu ficha laboral.
Lo que no forma parte de tu cuenta. Lo que haces dentro de cada negocio —tus citas, tu ficha, tu historial— es de ese negocio, y lo tratamos por su cuenta. Por eso, cerrar tu cuenta bloquea tu acceso en el acto, pero no borra por sí solo lo que cada negocio conserva de ti: trasladamos a cada uno tu petición de supresión y es él quien la resuelve, porque puede tener obligación legal de guardar algo (una factura, una historia clínica). Ver el apartado 8.
4. Datos de categorías especiales
La plataforma permite a los negocios guardar consentimientos informados, cuestionarios de salud y medidas de su clientela, que son datos de categoría especial del artículo 9 del RGPD.
Nosotros no somos responsables de esos datos: los custodiamos por cuenta del negocio, que es quien recaba el consentimiento explícito de su clientela, o quien los trata como centro sanitario, y quien decide qué se guarda. Nuestro papel se limita a alojarlos con las medidas reforzadas que se describen en el documento de medidas de seguridad: almacenamiento privado, enlaces de descarga que caducan en sesenta segundos y registro de cada acceso. Esos datos nunca viajan en los correos que envía la plataforma.
5. Cuánto tiempo se conservan
| Qué | Cuánto | Por qué |
|---|---|---|
| Datos de la relación con el negocio cliente (contrato, facturación, soporte) | Mientras dure la relación y, después, seis años por la normativa mercantil y cuatro por la fiscal | Art. 30 del Código de Comercio y art. 66 de la Ley General Tributaria |
| Datos del negocio y de su clientela alojados en la plataforma | Mientras el negocio sea cliente. Tras la baja, treinta días para que descargue su exportación y después borrado definitivo | Son datos del negocio, no nuestros: los tratamos por cuenta suya y se devuelven o se borran al terminar el encargo (art. 28.3.g del RGPD) |
| Solicitudes de demostración y contactos comerciales | Un año desde el último contacto, salvo que se convierta en cliente | Es el plazo en el que una conversación comercial sigue viva; pasado, el dato ya no sirve para lo que se pidió |
| Correo, dirección IP y motivo de los intentos de reserva rechazados por los controles antifraude | Noventa días, con purga automática | Es el tiempo en el que un patrón de abuso sigue siendo reconocible. Pasado, el dato ya no previene nada |
| Registros de auditoría de la plataforma | Cinco años, incluso después de la baja del negocio al que se refieren | Son la prueba de quién hizo qué. Borrarlos con el negocio dejaría sin poder acreditar lo ocurrido justo cuando hace falta |
| Registros de acceso a documentos de categoría especial (consentimientos y cuestionarios de salud) | Cinco años desde cada acceso | Art. 32.1.d del RGPD: sin registro de accesos no hay forma de verificar la eficacia de las medidas |
| Trazas de error de la aplicación | Noventa días | Es la retención del proveedor y sobra para diagnosticar un fallo |
| Copias de seguridad | Treinta días como máximo, por rotación | Un dato borrado sobrevive en las copias hasta que rota la última que lo contiene. Se dice porque es verdad y porque afecta al derecho de supresión |
| Cuenta de acceso a las aplicaciones (correo y credencial) | Mientras esté abierta. Al cerrarla se bloquea el acceso en el acto; el correo se anonimiza cuando ningún negocio necesita ya conservar la ficha a la que va unido | Ese correo es a la vez la llave de la cuenta y el dato de contacto que cada negocio tiene de su cliente. Borrarlo antes dejaría a un negocio sin poder atender la solicitud de supresión que le trasladamos, o sin el contacto de una historia que la ley le obliga a guardar |
Prueba individual de uso autorizado. La propuesta preliminar es conservar la aceptación y la referencia a la privacidad entregada mientras dure el acceso profesional y, tras su baja, cinco años bloqueada para posibles responsabilidades. [Pendiente de revisión jurídica] el plazo, su inicio y las excepciones antes de aprobar la política definitiva de conservación. No se presenta como un consentimiento al tratamiento de datos del personal del negocio.
Pasados los plazos, los datos se suprimen o se anonimizan. Mientras corran los plazos de prescripción de posibles responsabilidades, los datos que puedan servir de prueba se conservan bloqueados, a disposición únicamente de jueces, tribunales y administraciones competentes, conforme al artículo 32 de la LOPDGDD.
6. Quién más ve los datos
Para prestar el servicio nos apoyamos en los siguientes proveedores, que actúan como encargados o subencargados del tratamiento, vinculados por contrato a tratar los datos solo conforme a nuestras instrucciones:
| Proveedor | Para qué |
|---|---|
| Supabase | Base de datos, autenticación e identidades, y almacenamiento de ficheros |
| Northflank | Ejecución de la API y de las webs, su caché (Redis) y sus registros de funcionamiento |
| Cloudflare | Red de distribución, DNS, certificados de los dominios de los negocios, verificación anti-bots de los formularios públicos (Turnstile), control de acceso a los entornos internos y encaminamiento del correo entrante |
| Resend | Envío del correo transaccional |
| Sentry | Registro de errores de la aplicación |
| Infomaniak | Buzones de correo de soporte, protección de datos y seguridad |
| UptimeRobot | Comprobación externa de disponibilidad del servicio |
La ficha completa de cada uno —qué sociedad contrata y dónde tiene su domicilio, a qué datos llega, dónde se almacenan, con qué amparo y dónde publica sus propios subencargados— está en la página de subencargados, que se mantiene al día.
Además, los datos pueden comunicarse a administraciones públicas, jueces y tribunales cuando una norma lo exija, y a asesores fiscales, contables y jurídicos sujetos a secreto profesional.
No vendemos datos personales, no los cedemos con fines comerciales y no los usamos para entrenar sistemas de inteligencia artificial.
7. Transferencias internacionales
La base de datos y los ficheros se almacenan en la Unión Europea (Irlanda), y las trazas de error también (Alemania). Algunos tratamientos salen del Espacio Económico Europeo, siempre con un amparo del capítulo V del RGPD:
- Reino Unido (ejecución de la API y de las webs) y Suiza (buzones de correo): países con decisión de adecuación de la Comisión Europea.
- Estados Unidos: el correo transaccional se guarda allí, y el personal de algunos proveedores puede acceder desde allí aunque el dato esté en la Unión, lo que es en sí mismo una transferencia. Esos proveedores están certificados en el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795), y sus contratos llevan además las cláusulas contractuales tipo como respaldo.
- Singapur: la sociedad que presta la base de datos tiene allí su domicilio; el acceso de su personal se ampara en las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914, con las medidas técnicas adicionales del documento de medidas de seguridad.
Puedes solicitar copia de las garantías aplicadas escribiendo a ops@huequia.com.
8. Tus derechos
Puedes ejercer en cualquier momento, y de forma gratuita, los siguientes derechos:
- Acceso: saber qué datos tuyos tratamos.
- Rectificación: corregir los que sean inexactos.
- Supresión: pedir que se borren cuando ya no sean necesarios.
- Oposición: oponerte a los tratamientos basados en interés legítimo.
- Limitación: pedir que se conserven pero no se usen mientras se resuelve una controversia.
- Portabilidad: recibir en formato legible por máquina los datos que nos hayas facilitado.
- Retirar el consentimiento que hubieras dado, sin que ello afecte a la licitud del tratamiento anterior.
Cómo. Escribiendo a ops@huequia.com, indicando qué derecho ejerces. Si tenemos dudas razonables sobre tu identidad podremos pedirte que la acredites; no pediremos copia del documento de identidad si hay otra forma de comprobarlo. Responderemos en el plazo de un mes, prorrogable por dos más si la solicitud es compleja, avisándote de la prórroga.
Tu cuenta de acceso: desde el apartado de privacidad de la aplicación puedes obtener tú mismo una copia de tus datos, en un formato que puede leer cualquier programa, y cerrar la cuenta, sin escribir a nadie. Cerrarla bloquea el acceso en el acto y traslada tu petición de supresión a cada negocio en el que tengas ficha (ver el apartado 3.5).
Si tus datos los tiene un negocio que usa huequia, dirígete a ese negocio: es quien decide sobre ellos. La plataforma le da las herramientas para atenderte, y la propia aplicación incluye un espacio desde el que ejercer los derechos directamente ante él. Si nos escribes a nosotros, le trasladamos tu solicitud en un máximo de cuarenta y ocho horas hábiles y te avisamos de que lo hemos hecho.
Reclamación. Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es). Te agradeceremos que antes nos escribas a ops@huequia.com: casi todo se resuelve más rápido así.
9. Decisiones automatizadas
No se toman decisiones automatizadas con efectos jurídicos ni que te afecten significativamente de modo similar, ni se elaboran perfiles.
Los controles antifraude pueden rechazar un intento concreto de reserva, pero esa decisión no produce efectos jurídicos, es revisable por el negocio y no impide reservar por teléfono o presencialmente.
10. Seguridad
Aplicamos las medidas técnicas y organizativas del artículo 32 del RGPD, que se describen una a una en el documento de medidas de seguridad. Si se produjera una violación de la seguridad de los datos de los que somos responsables que suponga un riesgo alto para tus derechos, te lo comunicaremos sin dilación indebida, y a la Agencia dentro de las 72 horas que marca el artículo 33. Si afecta a datos que tratamos por cuenta de un negocio, se lo comunicamos a él en veinticuatro horas para que pueda hacerlo.
11. Menores de edad
Este sitio y el panel de gestión están dirigidos a profesionales y no a menores. La edad mínima para reservar en la web de un negocio la fija ese negocio, dentro de lo que permita la normativa aplicable a su actividad; en España, el artículo 7 de la LOPDGDD sitúa en catorce años la edad a partir de la cual el consentimiento del menor es válido por sí solo.
12. Cambios en esta política
Cualquier modificación se publicará en esta misma dirección, con su número de versión y su fecha. Cuando el cambio sea sustancial y te afecte, se avisará con antelación razonable por correo o dentro de la aplicación. Las versiones anteriores se conservan y pueden solicitarse en ops@huequia.com.