Contrato de Encargo de Tratamiento (art. 28 RGPD)

1. Partes

Este contrato de encargo de tratamiento se celebra entre:

• Responsable del tratamiento: la barbería o establecimiento que utiliza la plataforma para gestionar las reservas de sus clientes finales.
• Encargado del tratamiento: [Nombre fiscal del titular] ([CIF/NIF]), titular de la plataforma BarberTurn.

Se entiende aceptado por el responsable al registrarse y crear su negocio en la plataforma, y tiene por objeto las reservas de citas y demás datos de clientes finales tratados mediante la plataforma. El prestador conservará constancia documentada de esta aceptación (con fecha y versión del documento) mediante el mecanismo de registro de consentimientos de la plataforma.

2. Objeto, naturaleza y finalidad del tratamiento

El encargado tratará los datos de los clientes finales del responsable (nombre, teléfono, email y detalles de su cita) con la única finalidad de: gestionar el sistema de reservas, notificar confirmaciones y recordatorios por correo, y conservar el histórico de citas del establecimiento. El tratamiento incluye las operaciones necesarias para el funcionamiento del servicio (almacenamiento, lectura, borrado cuando lo ordene el responsable).

3. Duración

La duración del tratamiento será la del contrato de prestación del servicio de la plataforma, más los plazos legalmente establecidos para la conservación de facturas y responsabilidades fiscales.

4. Tipo de datos y categorías de interesados

Datos identificativos y de contacto (nombre, teléfono, email) de las personas físicas que reservan cita en el establecimiento responsable. No se tratan categorías especiales de datos.

5. Obligaciones y garantías del encargado

• Tratar los datos únicamente siguiendo instrucciones documentadas del responsable.
• Garantizar la confidencialidad del personal que acceda a los datos.
• Aplicar las medidas de seguridad previstas en el artículo 32 del RGPD (véase abajo).
• No subcontratar sin autorización del responsable, informando de los subencargados existentes (proveedor de alojamiento, servicio de correo, Cloudflare y, en su caso, Stripe).
• Ayudar al responsable a atender el ejercicio de derechos de los interesados y las notificaciones de brechas de seguridad.
• Suprimir o restituir los datos al final del servicio, salvo obligación legal de conservación.
• Permitir y contribuir a las auditorías que el responsable pueda exigir razonablemente.

6. Medidas de seguridad (art. 32 RGPD)

• Cifrado de contraseñas con algoritmo seguro (bcrypt).
• Comunicaciones protegidas con TLS (HTTPS).
• Aislamiento lógico de los datos de cada negocio (multi-tenancy con verificación por sesión).
• Control de accesos por roles (propietario, empleado) y verificación en servidor.
• Limitación de tasa y validación estricta de entradas en los flujos de alta y reserva frente a abuso e inyección.
• Sanitización de datos de entrada y escapado en correos y contenidos generados.

7. Brechas de seguridad

El encargado notificará al responsable sin indebida dilación las brechas de seguridad que le afecten, para que este pueda cumplimentar sus propias obligaciones de notificación ante la autoridad de control.

8. Transferencias internacionales

Cuando algún subencargado implique transferencias internacionales, el encargado se asegurará de que existan garantías adecuadas (decisiones de adecuación, cláusulas contractuales tipo u otras previstas en el capítulo V del RGPD).