Qué es esto. El contrato que el artículo 28 del RGPD obliga a tener por escrito entre quien decide sobre unos datos personales y quien los trata por su cuenta. Aquí, el negocio decide sobre los datos de su clientela y de su personal, y huequia los trata siguiendo sus instrucciones.
Este texto se firma junto con los términos del servicio y forma parte inseparable de ellos. En todo lo relativo a datos personales, este documento prevalece.
1. Las partes
- Responsable del tratamiento: el negocio que contrata la plataforma, con los datos identificativos que consten en la oferta aceptada.
- Encargado del tratamiento: Huequia S.L., NIF B05731047, domicilio en Hoces del Duratón 57, Salamanca 37008. Contacto en materia de protección de datos: ops@huequia.com.
2. Objeto
El encargado tratará datos personales por cuenta del responsable con la única finalidad de prestarle el servicio contratado: gestionar sus citas, su clientela, su personal y sus recursos, y publicar y operar su web de reservas.
El encargado no trata esos datos para ninguna finalidad propia. En particular, no los usa para elaborar perfiles, para publicidad, para venderlos ni para entrenar sistemas de inteligencia artificial.
3. Duración
Este contrato de encargo entra en vigor con el inicio de la prestación del servicio y dura mientras dure la relación contractual. Las obligaciones de confidencialidad y las de devolución y supresión (cláusula 12) subsisten a su terminación.
4. Instrucciones del responsable
4.1. El encargado tratará los datos únicamente conforme a las instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales.
4.2. Constituyen instrucciones documentadas del responsable: este contrato, los términos del servicio, la configuración que el responsable establezca en el panel de gestión, el uso normal de las funcionalidades de la plataforma, y cualquier instrucción adicional que remita por escrito a ops@huequia.com.
4.3. El encargado informará al responsable si, en su opinión, una instrucción infringe el RGPD, la LOPDGDD u otra norma de protección de datos, y podrá suspender su ejecución hasta que se aclare.
4.4. Si una norma de la Unión o de un Estado miembro obliga al encargado a tratar los datos de otro modo, se lo informará al responsable antes de hacerlo, salvo que esa misma norma lo prohíba por razones de interés público.
4.5. Las instrucciones que exijan desarrollo, configuración específica o recursos no previstos podrán presupuestarse aparte. Nunca se cobrará por atender una instrucción necesaria para cumplir la normativa.
5. Obligaciones del responsable
El responsable —el negocio— se obliga a:
- Determinar la finalidad y los medios del tratamiento, y contar con una base jurídica válida para cada uno.
- Informar a su clientela y a su personal conforme a los artículos 13 y 14 del RGPD, publicando su propia política de privacidad en su web de reservas.
- Recabar el consentimiento explícito cuando trate datos de categorías especiales, y en particular los consentimientos informados y cuestionarios de salud que decida guardar en la plataforma.
- Atender las solicitudes de derechos de los interesados, con la asistencia del encargado prevista en la cláusula 9.
- Llevar su propio registro de actividades de tratamiento cuando le corresponda (art. 30.1).
- Realizar la evaluación de impacto cuando proceda, y consultar a la autoridad de control si el resultado lo exige.
- No introducir en la plataforma datos personales que no sean necesarios para el servicio, ni categorías de datos distintas de las del Anexo I sin acordarlo antes por escrito.
Esto último no es una formalidad. La plataforma tiene campos de texto libre —notas de la ficha de cliente, observaciones de una cita—. Escribir ahí datos de salud, de origen étnico o de creencias convierte un campo ordinario en una categoría especial sin que ningún sistema se entere. El responsable debe instruir a su personal sobre qué se escribe en esos campos.
6. Obligaciones del encargado
Además de lo anterior, el encargado se obliga a:
6.1. Confidencialidad. Garantizar que las personas autorizadas para tratar los datos se han comprometido expresamente y por escrito a respetar la confidencialidad, con un deber que subsiste tras el fin de su relación (art. 28.3.b y art. 29).
6.2. Limitación del acceso. Que solo accedan a datos de producción las personas que lo necesiten para prestar el servicio, y solo en la medida en que lo necesiten.
6.3. Seguridad. Aplicar las medidas técnicas y organizativas apropiadas del artículo 32, que se detallan en el documento de medidas de seguridad y forman el Anexo II de este contrato.
6.4. Registro. Llevar el registro de las categorías de tratamientos efectuados por cuenta del responsable que exige el artículo 30.2, y ponerlo a su disposición cuando lo pida.
6.5. No cesión. No comunicar los datos a terceros, salvo a los subencargados autorizados conforme a la cláusula 7, o por obligación legal. Si una autoridad requiere los datos, el encargado lo comunicará al responsable antes de entregarlos, salvo prohibición legal, y entregará únicamente lo requerido.
7. Subencargados
7.1. El responsable autoriza de forma general al encargado a recurrir a otros encargados para prestar el servicio, en las condiciones de esta cláusula (art. 28.2).
7.2. Los subencargados autorizados en la fecha de este contrato son los que figuran en el Anexo III, más abajo, y en la página de subencargados, que es la versión siempre actualizada.
7.3. El encargado comunicará con treinta días de antelación la incorporación o sustitución de cualquier subencargado, por correo electrónico al contacto del responsable. Dentro de ese plazo el responsable puede oponerse por motivos razonables y fundados relativos a la protección de datos, explicándolos por escrito.
7.4. Si el responsable se opone, las partes buscarán de buena fe una solución —una configuración alternativa, otro proveedor— durante quince días. Si no la hay, el responsable podrá resolver el contrato sin penalización, con devolución a prorrata de lo pagado por anticipado, y el encargado no incorporará el subencargado para los datos de ese responsable mientras siga la relación.
7.5. El encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que asume aquí, y responderá plenamente ante el responsable del incumplimiento de sus subencargados.
8. Transferencias internacionales
8.1. Los datos se almacenan en servidores situados en la Unión Europea.
8.2. Algunos subencargados son sociedades constituidas en Estados Unidos y su personal puede acceder a los datos desde allí, aunque el almacenamiento sea europeo. Ese acceso es una transferencia internacional y está amparado en las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914, complementadas con las medidas técnicas descritas en el Anexo II.
8.3. El encargado no realizará ninguna transferencia a un tercer país distinta de las declaradas en el Anexo III sin informar previamente al responsable, que podrá oponerse en los términos de la cláusula 7.
8.4. El encargado informará al responsable si recibe una solicitud vinculante de acceso a los datos por parte de una autoridad de un tercer país, salvo que esté legalmente prohibido, y la impugnará cuando existan motivos razonables para hacerlo.
9. Asistencia en el ejercicio de derechos
9.1. Si un interesado ejerce ante el encargado un derecho que corresponde atender al responsable, el encargado no lo atenderá directamente: lo comunicará al responsable dentro de las cuarenta y ocho horas hábiles siguientes, junto con la información recibida, e informará al interesado de que su solicitud se ha trasladado a quien decide sobre sus datos.
9.2. El encargado asistirá al responsable con medidas técnicas y organizativas apropiadas para que pueda atender los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición. En la práctica, esa asistencia está integrada en el producto: el panel permite consultar, corregir, exportar y borrar los datos de una persona sin necesidad de intervención del encargado.
9.3. Cuando la solicitud exija una actuación que el panel no cubra, el encargado la atenderá en un plazo razonable y, en todo caso, con tiempo suficiente para que el responsable cumpla el plazo de un mes del artículo 12.3.
10. Violaciones de la seguridad
10.1. El encargado notificará al responsable sin dilación indebida y, como máximo, dentro de las veinticuatro horas desde que tenga conocimiento de una violación de la seguridad que afecte a sus datos.
10.2. La notificación incluirá, en la medida en que se conozca: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas, y el punto de contacto para ampliar información. Si no se dispone de todo, se enviará por fases, sin retrasar la primera comunicación.
10.3. La notificación a la autoridad de control y a los interesados corresponde al responsable (arts. 33 y 34). El encargado le prestará toda la asistencia y la información necesarias para hacerlo dentro de las 72 horas.
10.4. El encargado documentará todas las violaciones, sus efectos y las medidas correctoras, y pondrá esa documentación a disposición del responsable.
11. Asistencia adicional
Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, el encargado asistirá al responsable en el cumplimiento de las obligaciones de los artículos 32 a 36: seguridad del tratamiento, notificación de violaciones, evaluación de impacto y consulta previa a la autoridad de control.
12. Devolución y supresión
12.1. A la terminación de la prestación, y a elección del responsable, el encargado devolverá los datos o los suprimirá.
12.2. Por defecto se aplica la devolución seguida de supresión: el encargado pone a disposición del responsable una exportación completa en formato estructurado, de uso común y legible por máquina. El responsable dispone de treinta días desde la baja para solicitarla y descargarla, las veces que necesite; cada fichero generado permanece descargable siete días y se regenera a petición dentro de ese plazo de treinta.
12.3. Transcurrido ese plazo, el encargado suprime los datos de los sistemas activos. Los que persistan en copias de seguridad se suprimen con la rotación de estas, en un máximo de treinta días adicionales; mientras tanto no se acceden ni se tratan para ninguna finalidad.
12.4. Excepción. El encargado conservará, bloqueados, los datos que sean necesarios para acreditar el cumplimiento de sus obligaciones o para atender posibles responsabilidades, durante el plazo de prescripción de estas, y únicamente a disposición de jueces, tribunales, ministerio fiscal y autoridades competentes (art. 32 de la LOPDGDD). En particular, los registros de auditoría se conservan cinco años por esta razón; contienen identificadores de operaciones y de cuentas, no fichas de clientela.
13. Verificación del cumplimiento
13.1. El encargado pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28, en el plazo de treinta días desde que la pida.
13.2. El responsable puede realizar una auditoría al año, y además siempre que se produzca una violación de la seguridad que afecte a sus datos o lo exija una autoridad de control. Se avisa con treinta días de antelación, se realiza en horario laboral y sin interrumpir el servicio, y el auditor debe firmar acuerdo de confidencialidad y no ser competidor del encargado.
13.3. Los costes de la auditoría los asume quien la solicita, salvo que revele un incumplimiento relevante del encargado, en cuyo caso los asume él, junto con la subsanación.
13.4. El encargado podrá satisfacer estas obligaciones mediante informes de auditoría o certificaciones de tercero independiente, cuando disponga de ellos y cubran el alcance solicitado.
14. Responsabilidad
Cada parte responde de los daños que cause por incumplir las obligaciones que el RGPD le impone específicamente, conforme al artículo 82. La limitación de responsabilidad de los términos del servicio no se aplica a la responsabilidad frente a los interesados ni a las sanciones que imponga una autoridad de control por hechos imputables a la parte sancionada.
Anexo I — Descripción del tratamiento
Categorías de interesados
- Clientela del negocio: personas que reservan o han reservado una cita.
- Personal del negocio: profesionales, recepción y gerencia con acceso al panel o cuyos horarios y jornada se gestionan en él.
- Contactos del negocio: proveedores y terceros que el negocio registre.
Categorías de datos personales
| Categoría | Ejemplos |
|---|---|
| Identificativos | Nombre, apellidos, correo electrónico, teléfono |
| De la cita | Servicio, profesional, fecha, hora, estado, precio, notas |
| Preferencias | Profesional preferida, alergias declaradas, observaciones |
| Medidas y seguimiento | Medidas corporales o capilares registradas por el negocio |
| Laborales del personal | Rol, permisos, horarios, ausencias, fichajes, certificados de prevención |
| Técnicos | Dirección IP, agente de usuario, registros de acceso y de auditoría |
| Económicos | Importes de servicios; no se tratan datos de tarjeta |
Categorías especiales (art. 9)
Datos relativos a la salud, cuando el negocio decida usar los módulos de consentimientos informados, cuestionarios de salud y documentos de cliente. Su tratamiento se limita a almacenamiento, control de acceso y puesta a disposición del responsable: el encargado no los analiza ni los explota.
Se aplican las medidas reforzadas del Anexo II: almacenamiento privado, enlaces de descarga que caducan en sesenta segundos, permisos separados de los del resto de la ficha y registro de cada acceso durante cinco años.
Naturaleza y finalidad
Recogida, registro, estructuración, conservación, consulta, comunicación por transmisión, cotejo, limitación y supresión, con la finalidad exclusiva de prestar el servicio contratado descrito en la cláusula 2.
Duración
La del contrato de prestación de servicios, más los plazos de la cláusula 12.
Anexo II — Medidas de seguridad
Las medidas técnicas y organizativas del artículo 32 se describen, una a una, en el documento de medidas de seguridad, que forma parte de este contrato y se mantiene actualizado.
El encargado puede modificarlas para mejorarlas o adaptarlas a la evolución técnica, sin reducir el nivel de protección. Las reducciones relevantes se comunican con treinta días de antelación y dan derecho a oponerse en los términos de la cláusula 7.
Anexo III — Subencargados autorizados
Estado a 6 de septiembre de 2026. La versión vigente está siempre en la página de subencargados.
| Proveedor | Entidad | Finalidad | Datos a los que llega | Ubicación | Amparo de la transferencia |
|---|---|---|---|---|---|
| Supabase | Supabase, Inc. | Base de datos, autenticación e identidades, y almacenamiento de ficheros | Todos los datos del negocio y de su clientela, incluidos los documentos firmados | Irlanda (AWS eu-west-1) | Cláusulas contractuales tipo |
| Northflank | Northflank Ltd. | Ejecución de la API y de las webs, su caché (Redis) y sus registros de funcionamiento | Los que pasan por cada petición; en la caché, copias temporales que caducan solas (respuestas de hasta 24 horas y contadores anti-abuso con la dirección IP); en los registros, trazas con los correos y teléfonos enmascarados | Unión Europea | Cláusulas contractuales tipo |
| Cloudflare | Cloudflare, Inc. | Red de distribución, DNS, certificados de los dominios de los negocios, verificación anti-bots de los formularios públicos (Turnstile), medición agregada de visitas sin cookies (Web Analytics), control de acceso a los entornos internos y encaminamiento del correo entrante | Direcciones IP y metadatos de las peticiones; el contenido en tránsito | Red global, con tratamiento preferente en la Unión | Cláusulas contractuales tipo |
| Resend | Plus Five Five, Inc. | Envío del correo transaccional | Nombre y dirección de correo del destinatario y el contenido del mensaje | Estados Unidos y Unión Europea | Cláusulas contractuales tipo |
| Sentry | Functional Software, Inc. | Registro de errores de la aplicación | Trazas técnicas, identificadores internos y dirección IP. Los datos personales se depuran antes de enviarse | Unión Europea (región europea del servicio) | Cláusulas contractuales tipo |
| UptimeRobot | Itasoft Ltd. | Comprobación externa de disponibilidad del servicio | Ninguno de los negocios ni de su clientela: solo consulta direcciones públicas de estado | Unión Europea | No sale del EEE |
Anexo IV — Formalización
Este contrato se entiende aceptado por el responsable con la firma de la oferta de servicio que remita a los términos del servicio, o con el inicio del uso de la plataforma.
Para solicitar un ejemplar firmado, o una versión adaptada a las exigencias del asesor del negocio, escribir a ops@huequia.com.