Política de Privacidad

1. Responsable del tratamiento

El titular de la plataforma BarberTurn ([Nombre fiscal del titular], [CIF/NIF], [Domicilio social]), en adelante «el prestador», es el responsable del tratamiento de los datos de las personas que se registran como usuarios de la plataforma (propietarios y empleados de barberías). Contacto: [email@ejemplo.com].

2. Doble rol: responsable y encargado

Esta plataforma funciona bajo dos roles diferenciados según el tipo de dato:

• El prestador es responsable de los datos de los usuarios de la plataforma (cuentas de propietario/empleado: nombre, email, contraseña cifrada).
• Cada barbería cliente de la plataforma es responsable de los datos que recaba de sus propios clientes finales (persona que reserva: nombre, teléfono, email y detalles de su cita). Respecto de esos datos, el prestador actúa como encargado del tratamiento conforme al artículo 28 del RGPD, con arreglo al contrato de encargo de tratamiento aceptado por la barbería al crear su cuenta.

3. Datos que tratamos y finalidad

• Cuentas de usuario: nombre, email y contraseña cifrada. Finalidad: crear y gestionar la cuenta, prestar el servicio de gestión de reservas. Base jurídica: ejecución de contrato (art. 6.1.b RGPD).
• Datos de clientes finales de cada barbería: nombre, teléfono y email facilitados al reservar. Finalidad: gestionar la cita y remitir confirmación y recordatorio. Base jurídica (del responsable, la barbería): ejecución del contrato de prestación de servicios.
• Datos de navegación: dirección IP para medidas de seguridad (limitación de tasa y protección antifraude). Interés legítimo en la seguridad del servicio.
• Cookie de sesión: exclusivamente técnica, necesaria para mantener la sesión iniciada. Véase la Política de Cookies.

4. Conservación

Los datos de cuentas se conservan mientras la cuenta esté activa y, tras la baja, durante los plazos legales de prescripción de responsabilidades. Los datos de citas y clientes finales se conservan por la barbería mientras sean necesarios para la gestión de su negocio y el cumplimiento de obligaciones fiscales y contractuales (por ejemplo, 4 años en materia fiscal y 5 años con arreglo a la prescripción personal).

Del mismo modo, las constancias de consentimiento (documento aceptado, fecha, versión y dirección IP) se conservan durante el plazo de prescripción de 5 años como prueba contractual conforme al artículo 7.1 del RGPD, incluso después de ejercer el derecho de supresión sobre el resto de datos, al amparo del interés legítimo en la defensa frente a reclamaciones (art. 6.1.f).

5. Destinatarios y encargados del tratamiento

Los datos no se cederán a terceros salvo obligación legal. El prestador utiliza los siguientes proveedores (subencargados), que tratan datos como encargados del tratamiento:

• Alojamiento web (VPS) — alojamiento de la base de datos y la aplicación.
• Resend — envío de correos electrónicos transaccionales (confirmaciones y recordatorios). Los emails se tratan para cumplir la solicitud de reserva; puede implicar transferencias internacionales de datos amparadas en garantías adecuadas (mecanismo de cláusulas contractuales tipo o certificación del marco Data Privacy Framework UE-EE. UU., según corresponda al proveedor).
• Cloudflare — protección y distribución de contenidos.
• Stripe (cuando se active la facturación) — gestión de pagos.

6. Derechos

Cualquier persona puede ejercer sus derechos de acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento escribiendo a [email@ejemplo.com]. Tratándose de datos de clientes finales de una barbería concreta, el ejercicio deberá dirigirse a dicha barbería como responsable del tratamiento.

Asimismo, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), especialmente cuando no haya obtenido satisfacción en el ejercicio de sus derechos, a través de www.aepd.es.

7. Seguridad

Se aplican medidas técnicas y organizativas apropiadas: cifrado de contraseñas (bcrypt), aislamiento de datos por negocio (multi-tenancy), limitación de tasa en los flujos de registro y reservas, validación de entradas, comunicación cifrada (TLS) y control de accesos basado en roles.