Política de Privacidad

Agéndalo ToDo ("nosotros", "nuestro" o "la Plataforma") informa a los usuarios que los datos personales que nos faciliten serán tratados por GPS LOBBO TEAM, S.L., con NIF B-19401306 y domicilio en Avenida del Paral·lel 144, 2-1, 08015 Barcelona, España. Para cualquier cuestión relacionada con la presente política, puede contactar con nosotros a través del email info@agendalotodo.com.

Recopilamos información para proporcionar y mejorar nuestros servicios. Esta información se divide en dos categorías:

a) Datos de nuestros Clientes (los Negocios):

• Información de la cuenta: Nombre del negocio, NIF/CIF, dirección, email de contacto, número de teléfono.
• Información de pago: Recopilamos los datos necesarios para procesar los pagos de la suscripción a través de nuestro proveedor de pagos (Stripe), pero no almacenamos los datos completos de la tarjeta de crédito.
• Datos de configuración: Personalización del portal de reservas, servicios ofrecidos, horarios, perfiles de empleados, etc.

b) Datos de los Clientes de nuestros Clientes (Usuarios Finales):

Como plataforma SaaS, nuestros Clientes (los negocios) utilizan nuestras herramientas para gestionar a sus propios clientes. Agéndalo ToDo actúa como Encargado del Tratamiento de estos datos, mientras que el Negocio es el Responsable del Tratamiento. La información que procesamos en su nombre incluye:

• Datos de contacto: Nombre, email, número de teléfono.
• Historial de citas: Servicios reservados, fechas, profesional asignado.
• Notas y consentimientos: Información técnica o consentimientos informados que el Negocio registra en la plataforma.
• Historia clínica (datos de salud): En centros sanitarios y de estética, el Negocio puede registrar notas clínicas, imágenes de evolución, documentos adjuntos y mapas de zonas de dolor. Son datos de categoría especial (art. 9 RGPD) y los tratamos únicamente por cuenta del Negocio, que es quien recaba el consentimiento explícito de su paciente. Al ejercerse el derecho de supresión se borran también los archivos asociados.

c) Datos de la cuenta del Portal del Cliente Final:

Un Usuario Final puede crear, si quiere, una cuenta gratuita para consultar sus propias citas, bonos, suscripciones y documentos en los centros donde es cliente. Respecto de esta cuenta, Agéndalo ToDo actúa como Responsable del Tratamiento, no como Encargado, porque la relación es directamente con nosotros:

• Datos de acceso: su email y sus credenciales de autenticación, o el identificador de su cuenta de Google si entra con ella. Las contraseñas nunca se guardan en claro.
• Datos de contacto que mantiene desde su cuenta: nombre, teléfono, idioma y sus preferencias de aviso (si quiere recibir recordatorios y promociones, y por qué canal).
• El vínculo: qué fichas de qué centros corresponden a esa cuenta, y desde cuándo.

La información que la persona VE dentro de su cuenta (su historial de citas, sus bonos, sus documentos firmados) sigue siendo responsabilidad del centro correspondiente: su cuenta es una ventana a datos que ya existían, no una copia nueva.

El vínculo entre una cuenta y una ficha solo se crea con prueba de posesión del canal: un enlace de invitación que envía el propio centro, o un correo verificado por el proveedor de identidad. Nunca por el mero hecho de que coincida una dirección de email.

Utilizamos la información recopilada con las siguientes finalidades:

• Para los Negocios: Gestionar su cuenta, procesar pagos, prestar el servicio contratado, ofrecer soporte técnico y comunicar novedades sobre la plataforma.
• Para los Usuarios Finales (en nombre del Negocio): Gestionar el sistema de citas, enviar recordatorios automáticos por WhatsApp o email, y permitir al Negocio prestar su servicio de forma eficiente.
• Para la cuenta del Portal del Cliente Final: permitir a la persona consultar su información en los centros donde es cliente, mantener sus datos de contacto al día y decidir qué avisos quiere recibir y por qué canal.
• Para medir nuestra publicidad: Saber qué anuncios nuestros en Facebook e Instagram atraen a negocios que se registran, solo con tu consentimiento (ver sección 7).

La base legal para el tratamiento de los datos de nuestros Clientes (los Negocios) es la ejecución de un contrato (los términos y condiciones del servicio).

La base legal para el tratamiento de los datos de los Usuarios Finales es el consentimiento que estos otorgan al Negocio al reservar una cita, o la relación contractual que establecen con dicho Negocio. Agéndalo ToDo opera bajo las instrucciones del Negocio, formalizadas en el contrato de encargado de tratamiento.

La base legal de la sincronización con Google Calendar (sección 6) es el consentimiento del usuario que conecta su cuenta, revocable en cualquier momento.

Cuando el Negocio registra datos de salud (historia clínica, imágenes de evolución o mapas de zonas de dolor), la base legal es el consentimiento explícito del paciente o la finalidad de asistencia sanitaria (art. 9.2.a y 9.2.h RGPD), que corresponde recabar y acreditar al propio Negocio como Responsable del Tratamiento.

La base legal del tratamiento de la cuenta del Portal del Cliente Final es la ejecución del contrato que la persona acepta al crearla (art. 6.1.b RGPD), junto con su consentimiento, que presta con una acción afirmativa al darse de alta y puede retirar eliminando la cuenta cuando quiera desde el propio portal.

La base legal de la medición de nuestra publicidad (sección 7) es tu consentimiento (art. 6.1.a RGPD), que prestas al aceptar las cookies de marketing en el aviso de cookies y puedes retirar en cualquier momento desde ese mismo aviso o escribiendo a info@agendalotodo.com. Si no lo aceptas, no comunicamos nada a Meta.

No vendemos ni alquilamos tus datos personales. Solo compartimos información con proveedores de servicios que nos ayudan a operar, siempre bajo estrictos contratos de confidencialidad:

• Pasarelas de pago (Stripe): Para procesar los pagos de las suscripciones y los pagos anticipados de citas.
• Infraestructura y alojamiento (Google Cloud / Firebase): Nuestros servidores, con los datos alojados en región de la Unión Europea.
• Envío de emails (Resend): Para los emails transaccionales y avisos de la Plataforma.
• Recordatorios por WhatsApp (Meta Platforms, WhatsApp Business Cloud API): Para el envío de recordatorios de cita.
• Medición de publicidad (Meta Platforms Ireland Ltd.): Solo si llegas a nuestro registro desde un anuncio nuestro en Facebook o Instagram y aceptas las cookies de marketing (ver sección 7).
• Google Calendar (Google): Solo si un profesional o responsable conecta voluntariamente su calendario (ver sección 6).

Cuando alguno de estos proveedores implica una transferencia internacional de datos (por ejemplo, por tener matriz en EE. UU.), esta se realiza con las garantías previstas por el RGPD: cláusulas contractuales tipo o adhesión al Marco de Privacidad de Datos UE-EE. UU.

Si un profesional o responsable de un Negocio decide conectar su cuenta de Google, Agéndalo ToDo sincroniza las citas de su agenda con su Google Calendar personal. Esta función es opcional y solo se activa si el usuario la autoriza expresamente mediante el sistema de acceso seguro de Google (OAuth).

• Datos que enviamos a Google: por cada cita se crea o actualiza un evento en el calendario del usuario con el servicio, la fecha y hora, y el nombre del cliente de esa cita. Las notas privadas de la cita nunca salen de la Plataforma.
• Datos que recibimos de Google: únicamente la dirección de email de la cuenta conectada y las credenciales técnicas de acceso (tokens). No leemos, almacenamos ni analizamos el resto de eventos del calendario del usuario.
• Cómo protegemos las credenciales: los tokens se guardan cifrados (AES-256-GCM) y solo se usan para mantener el calendario sincronizado.
• Revocación: el usuario puede desconectar su calendario en cualquier momento desde la Plataforma (se eliminan los eventos futuros creados por Agéndalo ToDo y se destruyen sus credenciales) o retirar el acceso desde su cuenta de Google en myaccount.google.com/permissions.

El uso que Agéndalo ToDo hace de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use): estos datos no se utilizan para publicidad, no se venden ni se ceden a terceros salvo para prestar la propia función de sincronización, y ninguna persona accede a ellos salvo con consentimiento del usuario, por motivos de seguridad o por obligación legal.

Si llegas a nuestro formulario de alta desde un anuncio de Agéndalo ToDo en Facebook o Instagram (o con los parámetros de una campaña nuestra en esas redes) y aceptas las cookies de marketing, comunicamos a Meta Platforms Ireland Ltd. los pasos del alta que completas, para saber qué anuncios funcionan y enseñarlos a negocios a los que puedan interesar. Lo hacemos con el píxel de Meta en tu navegador y, para que el dato no se pierda, también desde nuestros servidores mediante la API de conversiones de Meta.

• Qué comunicamos: que has completado los datos de tu negocio (con el tipo de negocio que elegiste de una lista) y, en su caso, que has creado tu cuenta.
• Con qué datos: el identificador del clic en el anuncio que añade Meta al enlace, tu dirección IP, los datos técnicos de tu navegador, un identificador aleatorio de la visita y, solo al crear la cuenta, tu email y tu país. El identificador de la visita, el email y el país se envían con una función hash (seudonimización). Meta los compara con los de sus propios usuarios para saber si corresponden a alguien con cuenta en Facebook o Instagram, por lo que siguen siendo datos personales. Nunca enviamos datos de tus clientes ni el contenido de tu cuenta.
• Solo con tu consentimiento y desde nuestros anuncios: si no aceptas las cookies de marketing, o llegas de otra forma (un buscador, un enlace directo, una recomendación), no comunicamos nada a Meta.
• Cómo retirarlo: desde el aviso de cookies o escribiendo a info@agendalotodo.com. Retirarlo no afecta a lo que ya se comunicó.
• Conservación: no guardamos una copia de lo que comunicamos a Meta. Meta lo conserva según su propia política.

Para la recogida y la transmisión de estos datos a Meta somos corresponsables junto con Meta Platforms Ireland Ltd., según el acuerdo de corresponsabilidad que Meta publica (facebook.com/legal/controller_addendum), donde se reparten las obligaciones de información y de atención de derechos. Nosotros atendemos los derechos que ejerzas sobre esta comunicación en info@agendalotodo.com. Después de recibirlos, Meta los trata como responsable independiente para sus propios fines, conforme a su política de privacidad (facebook.com/privacy/policy). La transferencia a EE. UU. que pueda implicar se realiza con las garantías indicadas en la sección 5.

Los datos de la cuenta de los Negocios se conservarán mientras mantengan una suscripción activa y, posteriormente, durante los plazos legales exigibles.

Los datos de los Usuarios Finales serán conservados según las políticas definidas por el Negocio (Responsable del Tratamiento). Si un Negocio cancela su cuenta, sus datos serán eliminados de nuestros sistemas de producción en un plazo de 90 días, salvo que la ley exija su conservación.

Los datos de la cuenta del Portal del Cliente Final se conservan mientras la cuenta exista. Cuando la persona la elimina desde su portal, se borra su cuenta de acceso y se deshace el vínculo con sus fichas de forma inmediata. Las fichas en sí (su historial y sus bonos) son del centro y se conservan según las políticas de este y sus obligaciones legales: eliminar la cuenta de acceso no es lo mismo que ejercer el derecho de supresión ante el centro.

Tanto los Negocios como los Usuarios Finales pueden ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad.

• Si eres un Negocio (nuestro Cliente): Puedes ejercer tus derechos contactándonos directamente a info@agendalotodo.com.
• Si eres un Usuario Final (cliente de un Negocio): Debes dirigir tu solicitud al Negocio con el que reservaste la cita, ya que es el Responsable del Tratamiento de tus datos. Nosotros colaboraremos con el Negocio para atender tu solicitud.
• Si además tienes cuenta en el Portal del Cliente Final: sobre los datos de esa cuenta (tu email de acceso, tu idioma y tus preferencias de aviso) el Responsable somos nosotros. Puedes consultarlos, rectificarlos y eliminar la cuenta tú misma, en cualquier momento y desde el propio portal, o escribirnos a info@agendalotodo.com. Sobre el resto de tu información (historial, bonos, documentos) el Responsable sigue siendo el Negocio.

Además, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras que el tratamiento de tus datos no se ajusta a la normativa.

Puedes retirar en cualquier momento tu consentimiento a la medición de nuestra publicidad (sección 7) desde el aviso de cookies o escribiendo a info@agendalotodo.com.

Implementamos medidas de seguridad técnicas y organizativas para proteger los datos personales contra la destrucción, pérdida o alteración accidental o ilícita, y contra la comunicación o acceso no autorizados. Esto incluye el cifrado de datos en tránsito y en reposo, y el control de accesos.

Si una autoridad pública (fuerzas y cuerpos de seguridad, un juzgado o un organismo oficial) nos solicita datos personales, seguimos un procedimiento escrito antes de entregar nada.

• Comprobamos que la solicitud es legítima: quién la firma, bajo qué norma, y si requiere autorización judicial. Una solicitud sin base jurídica identificable no se atiende: se pide su subsanación.
• Entregamos el mínimo imprescindible: solo los campos y el periodo solicitados. Nunca entregamos copias de la base de datos, credenciales ni acceso a cuentas.
• Dejamos constancia de todas, incluidas las que rechazamos.
• Si los datos pedidos son de un Usuario Final (cliente o paciente de un Negocio), el Responsable del Tratamiento es ese Negocio, no nosotros: remitimos la solicitud al Negocio y le informamos sin demora, salvo que la propia orden lo prohíba expresamente.

Nos reservamos el derecho a modificar la presente política para adaptarla a novedades legislativas o jurisprudenciales. Cualquier cambio será notificado a nuestros Clientes a través de correo electrónico o mediante un aviso en la plataforma.

Si tienes alguna duda o consulta sobre cómo tratamos tus datos personales, no dudes en contactarnos en info@agendalotodo.com.