Seguridad y protección de datos
Cuando un negocio nos confía la agenda de sus clientes, nos confía datos personales de terceros. Esta página explica qué hacemos con ellos, dónde viven y qué compromisos asumimos contigo por escrito.
Última actualización:
Quién responde de qué
Los datos de las personas que reservan cita contigo son tuyos: tú decides para qué se usan. En términos del RGPD, tú eres el responsable del tratamiento y Zendoo el encargado. Nosotros solo tratamos esos datos para prestarte el servicio y siguiendo tus instrucciones.
Esto significa, en la práctica, que no usamos los datos de tus clientes para nuestro propio marketing, no los cedemos a terceros y no los mezclamos con los de otros negocios.
Qué datos de tus clientes tratamos
Los mínimos para que una cita funcione: nombre, teléfono, y opcionalmente email, junto con el servicio reservado, el profesional, la fecha y hora, y el estado de la cita y de los mensajes enviados. Si cobras con Zendoo, también lo que cada cliente te ha comprado, lo que te debe y lo que te ha pagado.
No pedimos ni almacenamos datos de salud ni ninguna categoría especial de datos. Tampoco guardamos números de tarjeta ni de cuenta: si tu cliente paga con tarjeta, esos datos los recoge y los guarda Stripe, y nosotros solo conservamos una referencia y los últimos dígitos para que el cliente la reconozca.
Dónde se guardan
Los datos se alojan en servidores de IONOS SE ubicados en Unión Europea. Los mensajes de WhatsApp se entregan a través de YCloud, proveedor autorizado de la API de WhatsApp Business, y de la infraestructura de Meta.
Cuando un proveedor trata datos fuera de la Unión Europea, la transferencia se ampara en Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.
Medidas de seguridad
- Cifrado en tránsito: todo el tráfico viaja por HTTPS con TLS.
- Contraseñas: nunca se guardan en claro; se almacenan con funciones de derivación de clave resistentes a fuerza bruta.
- Aislamiento por negocio: cada negocio solo puede leer y escribir sus propios datos. Las consultas están filtradas por negocio en el propio servidor, no solo en la interfaz.
- Control de accesos: el personal accede por necesidad justificada, con cuentas nominativas y registro de la actividad de administración.
- Copias de seguridad: copias periódicas con restauración verificada.
- Protección de formularios: tokens CSRF, límites de envío y control de intentos de acceso.
- Actualizaciones: dependencias y sistema operativo actualizados de forma regular.
Subencargados
Para prestarte el servicio nos apoyamos en estos proveedores, todos con contrato de encargado firmado:
| Proveedor | Servicio | Ubicación |
|---|---|---|
| IONOS SE | Alojamiento y base de datos | Unión Europea |
| YCloud | Envío de mensajes de WhatsApp | Fuera de la UE, con garantías adecuadas |
| Meta Platforms Ireland | Red de WhatsApp | UE / EE. UU. |
| Stripe | Cobro de suscripciones y, si conectas tu cuenta, de los pagos de tus clientes (los datos de sus tarjetas los guarda Stripe) | UE / EE. UU. |
Si incorporamos o sustituimos un subencargado, te avisaremos con antelación razonable para que puedas oponerte.
Acuerdo de encargado de tratamiento
El artículo 28 del RGPD exige un contrato por escrito entre responsable y encargado. Al aceptar los términos del servicio queda formalizado ese acuerdo, con el siguiente contenido:
- Objeto y duración: la prestación del servicio de reservas y recordatorios, mientras dure tu suscripción.
- Finalidad: gestionar citas y enviar confirmaciones y recordatorios en tu nombre.
- Instrucciones: tratamos los datos solo según tus instrucciones documentadas y las funciones del servicio.
- Confidencialidad: quien accede a los datos está sujeto a deber de confidencialidad.
- Seguridad: aplicamos las medidas descritas más arriba, adecuadas al riesgo.
- Asistencia: te ayudamos a atender las solicitudes de derechos de tus clientes y a cumplir tus obligaciones de seguridad y notificación.
- Brechas: te notificaremos cualquier violación de seguridad que afecte a tus datos sin dilación indebida, con la información de que dispongamos.
- Devolución y supresión: al terminar el contrato puedes exportar tus datos. Después los eliminamos o anonimizamos en un plazo máximo de 90 días, salvo obligación legal de conservarlos.
- Auditoría: pondremos a tu disposición la información necesaria para acreditar el cumplimiento de estas obligaciones.
Si tu asesoría necesita el acuerdo firmado en documento aparte, escríbenos a info@zendoo.es y te lo enviamos.
Lo que te toca a ti
Para que la cadena esté completa, hay tres cosas que dependen de tu negocio:
- Informar a tus clientes de que tratas sus datos para gestionar la cita y de que recibirán mensajes por WhatsApp. Un aviso breve en tu página de reservas y en tu registro de actividades basta.
- No usar los mensajes para publicidad no solicitada.
- Mantener tu propio registro de actividades de tratamiento, donde Zendoo figure como encargado.
Cómo reportar un problema de seguridad
Si detectas una vulnerabilidad o un comportamiento extraño, escríbenos a info@zendoo.es con el detalle que puedas darnos. Lo revisamos con prioridad y te respondemos. Agradecemos el aviso responsable y no emprendemos acciones contra quien reporta de buena fe.