Política de Privacidad

Agéndalo ToDo ("nosotros", "nuestro" o "la Plataforma") informa a los usuarios que los datos personales que nos faciliten serán tratados por GPS LOBBO TEAM, S.L., con NIF B-19401306 y domicilio en Avenida del Paral·lel 144, 2-1, 08015 Barcelona, España. Para cualquier cuestión relacionada con la presente política, puede contactar con nosotros a través del email info@agendalotodo.com.

Recopilamos información para proporcionar y mejorar nuestros servicios. Esta información se divide en dos categorías:

a) Datos de nuestros Clientes (los Negocios):

- **Información de la cuenta:** Nombre del negocio, NIF/CIF, dirección, email de contacto, número de teléfono.

- **Información de pago:** Recopilamos los datos necesarios para procesar los pagos de la suscripción a través de nuestro proveedor de pagos (Stripe), pero no almacenamos los datos completos de la tarjeta de crédito.

- **Datos de configuración:** Personalización del portal de reservas, servicios ofrecidos, horarios, perfiles de empleados, etc.

b) Datos de los Clientes de nuestros Clientes (Usuarios Finales):

Como plataforma SaaS, nuestros Clientes (los negocios) utilizan nuestras herramientas para gestionar a sus propios clientes. Agéndalo ToDo actúa como **Encargado del Tratamiento** de estos datos, mientras que el Negocio es el **Responsable del Tratamiento**. La información que procesamos en su nombre incluye:

- **Datos de contacto:** Nombre, email, número de teléfono.

- **Historial de citas:** Servicios reservados, fechas, profesional asignado.

- **Notas y consentimientos:** Información técnica o consentimientos informados que el Negocio registra en la plataforma.

- **Historia clínica (datos de salud):** En centros sanitarios y de estética, el Negocio puede registrar notas clínicas, imágenes de evolución, documentos adjuntos y mapas de zonas de dolor. Son **datos de categoría especial (art. 9 RGPD)** y los tratamos únicamente por cuenta del Negocio, que es quien recaba el consentimiento explícito de su paciente. Al ejercerse el derecho de supresión se borran también los archivos asociados.

Utilizamos la información recopilada con las siguientes finalidades:

- **Para los Negocios:** Gestionar su cuenta, procesar pagos, prestar el servicio contratado, ofrecer soporte técnico y comunicar novedades sobre la plataforma.

- **Para los Usuarios Finales (en nombre del Negocio):** Gestionar el sistema de citas, enviar recordatorios automáticos por WhatsApp o email, y permitir al Negocio prestar su servicio de forma eficiente.

La base legal para el tratamiento de los datos de nuestros Clientes (los Negocios) es la **ejecución de un contrato** (los términos y condiciones del servicio).

La base legal para el tratamiento de los datos de los Usuarios Finales es el consentimiento que estos otorgan al Negocio al reservar una cita, o la relación contractual que establecen con dicho Negocio. Agéndalo ToDo opera bajo las instrucciones del Negocio, formalizadas en el contrato de encargado de tratamiento.

La base legal de la sincronización con Google Calendar (sección 6) es el **consentimiento** del usuario que conecta su cuenta, revocable en cualquier momento.

Cuando el Negocio registra **datos de salud** (historia clínica, imágenes de evolución o mapas de zonas de dolor), la base legal es el **consentimiento explícito** del paciente o la finalidad de asistencia sanitaria (art. 9.2.a y 9.2.h RGPD), que corresponde recabar y acreditar al propio Negocio como Responsable del Tratamiento.

No vendemos ni alquilamos tus datos personales. Solo compartimos información con proveedores de servicios que nos ayudan a operar, siempre bajo estrictos contratos de confidencialidad:

- **Pasarelas de pago (Stripe):** Para procesar los pagos de las suscripciones y los pagos anticipados de citas.

- **Infraestructura y alojamiento (Google Cloud / Firebase):** Nuestros servidores, con los datos alojados en región de la Unión Europea.

- **Envío de emails (Resend):** Para los emails transaccionales y avisos de la Plataforma.

- **Recordatorios por WhatsApp (Meta Platforms, WhatsApp Business Cloud API):** Para el envío de recordatorios de cita.

- **Google Calendar (Google):** Solo si un profesional o responsable conecta voluntariamente su calendario (ver sección 6).

Cuando alguno de estos proveedores implica una transferencia internacional de datos (por ejemplo, por tener matriz en EE. UU.), esta se realiza con las garantías previstas por el RGPD: cláusulas contractuales tipo o adhesión al Marco de Privacidad de Datos UE-EE. UU.

Si un profesional o responsable de un Negocio decide conectar su cuenta de Google, Agéndalo ToDo sincroniza las citas de su agenda con su Google Calendar personal. Esta función es opcional y solo se activa si el usuario la autoriza expresamente mediante el sistema de acceso seguro de Google (OAuth).

- **Datos que enviamos a Google:** por cada cita se crea o actualiza un evento en el calendario del usuario con el servicio, la fecha y hora, y el nombre del cliente de esa cita. Las notas privadas de la cita nunca salen de la Plataforma.

- **Datos que recibimos de Google:** únicamente la dirección de email de la cuenta conectada y las credenciales técnicas de acceso (tokens). No leemos, almacenamos ni analizamos el resto de eventos del calendario del usuario.

- **Cómo protegemos las credenciales:** los tokens se guardan cifrados (AES-256-GCM) y solo se usan para mantener el calendario sincronizado.

- **Revocación:** el usuario puede desconectar su calendario en cualquier momento desde la Plataforma (se eliminan los eventos futuros creados por Agéndalo ToDo y se destruyen sus credenciales) o retirar el acceso desde su cuenta de Google en myaccount.google.com/permissions.

El uso que Agéndalo ToDo hace de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use): estos datos no se utilizan para publicidad, no se venden ni se ceden a terceros salvo para prestar la propia función de sincronización, y ninguna persona accede a ellos salvo con consentimiento del usuario, por motivos de seguridad o por obligación legal.

Los datos de la cuenta de los Negocios se conservarán mientras mantengan una suscripción activa y, posteriormente, durante los plazos legales exigibles.

Los datos de los Usuarios Finales serán conservados según las políticas definidas por el Negocio (Responsable del Tratamiento). Si un Negocio cancela su cuenta, sus datos serán eliminados de nuestros sistemas de producción en un plazo de 90 días, salvo que la ley exija su conservación.

Tanto los Negocios como los Usuarios Finales pueden ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad.

- **Si eres un Negocio (nuestro Cliente):** Puedes ejercer tus derechos contactándonos directamente a info@agendalotodo.com.

- **Si eres un Usuario Final (cliente de un Negocio):** Debes dirigir tu solicitud al Negocio con el que reservaste la cita, ya que es el Responsable del Tratamiento de tus datos. Nosotros colaboraremos con el Negocio para atender tu solicitud.

Además, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras que el tratamiento de tus datos no se ajusta a la normativa.

Implementamos medidas de seguridad técnicas y organizativas para proteger los datos personales contra la destrucción, pérdida o alteración accidental o ilícita, y contra la comunicación o acceso no autorizados. Esto incluye el cifrado de datos en tránsito y en reposo, y el control de accesos.

Nos reservamos el derecho a modificar la presente política para adaptarla a novedades legislativas o jurisprudenciales. Cualquier cambio será notificado a nuestros Clientes a través de correo electrónico o mediante un aviso en la plataforma.

Si tienes alguna duda o consulta sobre cómo tratamos tus datos personales, no dudes en contactarnos en info@agendalotodo.com.