Contrato de encargo del tratamiento

1. Partes

• Responsable: el negocio que acepta este contrato al darse de alta, con los datos que figuran en su cuenta. Lo acepta en su nombre su dueño en el panel.
• Encargado: el titular de Citely, con los datos del Aviso legal.

2. Objeto

Citely trata datos personales por cuenta del negocio sólo para prestar el servicio: llevar la agenda y las citas, contestar a sus clientes por los canales que conecte, enviar recordatorios y avisos, y guardar el historial para que el negocio lo consulte.

3. Duración

Lo que dure el servicio, prueba incluida, y hasta que se devuelvan o se borren los datos al terminar (apartado 12).

4. Qué tratamientos y sobre qué datos

• Tratamientos: recoger, registrar, organizar, guardar, consultar, modificar, comunicar a los subencargados de este contrato y borrar.
• Datos de los clientes del negocio: nombre, teléfono y correo; sus citas (servicio, fecha, profesional, estado y notas); el contenido de las conversaciones (texto, fotos y, si se conectan esos canales, notas de voz y audio de las llamadas); lo que el asistente recuerda de cada cliente; sus consentimientos y bajas; y, si el negocio cobra señales, los datos del pago que trata Stripe.
• Datos del personal del negocio: nombre, correo y agenda.
• Categorías especiales, como datos de salud: sólo si el negocio las trata y lo ha declarado (apartado 13).
• Personas afectadas: clientes y posibles clientes del negocio, y su personal.

5. Instrucciones

Citely trata los datos sólo siguiendo las instrucciones documentadas del negocio: este contrato, las condiciones del servicio y lo que el negocio configura en su panel. Si una instrucción nos parece contraria a la ley, te lo diremos. Si una ley nos obligara a tratar los datos de otra forma, te lo diríamos antes, salvo que esa misma ley lo prohíba.

6. Confidencialidad

Las personas que accedan a los datos por parte de Citely lo harán sólo cuando haga falta para prestar el servicio o resolver una incidencia, y con un compromiso de confidencialidad que sigue vigente al terminar.

7. Medidas de seguridad

Hoy, Citely aplica estas medidas:

• Los datos de cada negocio están aislados en la propia base de datos (seguridad a nivel de fila), no sólo en el código de la aplicación, con pruebas automáticas que lo comprueban.
• Los datos se alojan en la Unión Europea: la aplicación en Fráncfort y la base de datos en un servidor propio en Canarias, al que sólo se llega cifrado y presentando un certificado. El asistente de IA es la excepción: ver el apartado 11.
• El acceso al panel es sin contraseñas, con un enlace al correo.
• Las claves con permisos totales (la de la base de datos y la que administra las cuentas del panel) sólo están en el servidor y nunca se envían al navegador.
• Ese aislamiento lo aplica la base de datos a las consultas del panel y a las de la reserva pública (los huecos, la reserva, el código de verificación, la gestión de una cita por su enlace y las páginas de reservas y privacidad del negocio): esas rutas trabajan con un rol propio, sin clave de servicio, que sólo ve el escaparate de un negocio activo, así que no llega a las conversaciones, ni a la memoria de los clientes, ni a los datos de otro negocio. El resto consulta desde el servidor con permisos totales, y en él es el código el que limita cada consulta a su negocio: el chat de la web y los textos legales de la plataforma, el alta, los cobros, los avisos que llegan de WhatsApp, del teléfono y de los pagos, las llamadas de voz, las tareas programadas, la lista de negocios de cada persona al entrar al panel y el panel de plataforma. Invitar a alguien al panel usa, también desde el servidor, la clave que administra las cuentas.
• Los avisos que llegan de WhatsApp, del teléfono y de los pagos se comprueban con su firma y no se procesan dos veces.
• Los enlaces para cambiar o cancelar una cita van firmados, caducan y no sirven para otro negocio.
• Los códigos de verificación se guardan cifrados de forma irreversible y tienen límite de intentos.
• Hay límites de peticiones en lo que se puede usar sin cuenta (consultar huecos, reservar, cambiar o cancelar una cita, pedir un código de verificación y el chat de la web) y en el alta de negocios.
• El chat de la web sólo funciona en los dominios que autoriza el negocio.
• El asistente no puede tocar la cita de otra persona: la identidad se comprueba en el código, no en las instrucciones del modelo.

Pendiente de completar: procedimiento documentado de rotación de claves, restauración de copias de seguridad probada, alertas automáticas de errores y revisión de seguridad externa.

8. Subencargados

• El negocio autoriza a Citely a usar los subencargados del anexo, también publicado en Subencargados.
• Citely exigirá a cada uno, por contrato, las mismas obligaciones de protección de datos que asume en este contrato. Hoy esos contratos se están formalizando.
• Antes de añadir o cambiar un subencargado, Citely avisará con 30 días de antelación en el panel. El negocio puede oponerse con motivos razonables; si no hay alternativa, puede cancelar sin coste antes de que el cambio le afecte.

9. Derechos de los clientes del negocio

Si un cliente del negocio pide a Citely acceder a sus datos, corregirlos, borrarlos, oponerse, limitar su uso o llevárselos, se lo pasaremos al negocio sin contestarle nosotros. Ayudaremos al negocio a atender esas peticiones. Hoy el panel no tiene todavía una pantalla para ello: el negocio nos lo pide por correo y lo hacemos a mano.

10. Ayuda con la seguridad, las brechas y las evaluaciones de impacto

• Citely ayudará al negocio a cumplir sus obligaciones de seguridad, de notificación de brechas, de evaluación de impacto y de consulta previa, con la información que tenga.
• Si Citely detecta una brecha de seguridad que afecte a datos del negocio, se lo comunicará sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que la conozca, con la información disponible para que el negocio pueda notificarla.

11. Datos fuera de la Unión Europea

El asistente funciona con DeepSeek, que recibe el texto de las conversaciones y las fotos y, según su política de privacidad, los guarda en servidores de la República Popular China. La Comisión Europea no ha declarado adecuado el nivel de protección de China, y el mecanismo de transferencia con DeepSeek está pendiente de cerrar. Algunos subencargados opcionales tratan datos en Estados Unidos: el anexo dice cuáles.

12. Al terminar

Al terminar el servicio, el negocio elige si Citely le devuelve los datos (en un formato estándar), los borra, o las dos cosas, y Citely lo hace en un plazo máximo de 30 días desde que se lo pida. Hoy se pide por correo. Citely sólo conserva, bloqueado, lo que una ley le obligue a guardar.

13. Datos de salud y otras categorías especiales

Si el negocio trata datos de salud (por ejemplo, una clínica o un centro de fisioterapia) u otras categorías especiales, tiene que declararlo en el alta o decírnoslo antes de empezar. Hoy el asistente usa Anthropic en Estados Unidos también para esos datos, y la evaluación de impacto de ese tratamiento está pendiente: pregúntanos antes de usar Citely con esos datos.

14. Información y auditorías

Citely pondrá a disposición del negocio la información necesaria para demostrar que cumple este contrato. El negocio puede auditarlo, por sí mismo o a través de un tercero obligado a confidencialidad, con 30 días de preaviso, como máximo una vez al año (salvo tras una brecha) y a su cargo, sin acceder a datos de otros negocios.

15. Lo que le toca al negocio

• Tener una base legal para tratar los datos de sus clientes e informarles (su propio aviso de privacidad).
• Pedir el consentimiento para comunicaciones comerciales: Citely separa los recordatorios de las citas del marketing y no manda marketing sin ese consentimiento.
• Dar instrucciones conformes a la ley.

16. Uso de los datos

Citely no usa los datos de los clientes del negocio para ninguna otra finalidad, no los mezcla con los de otros negocios y no los usa para mejorar el servicio fuera de ese negocio.

Anexo: subencargados autorizados

Siempre activos:

Sólo si se activan y, en los canales, si el negocio los conecta: