Acuerdo de encargo del tratamiento
Versión 2026-11-09
1. Partes y aceptación
Responsable: la persona física o jurídica titular de una cuenta profesional en ReservaLink, identificada por sus datos de registro. Encargado: Landi Studio, S.L., C/ Mandri 62, 08022 Barcelona (España), NIF B10975845. Contacto de privacidad y seguridad: privacidad@landi.es. Soporte: support@lashpro.es. Este acuerdo forma parte de los Términos de ReservaLink. Se acepta de forma verificable desde el panel; se conserva la versión aceptada, la fecha y hora, el usuario y la acción de aceptación.
2. Objeto, duración, naturaleza y finalidad
El Encargado presta, por cuenta del Responsable, los servicios de alojamiento, agenda, fichas de clientes, reservas online, comunicaciones operativas, recordatorios, gestión de cambios y cancelaciones, opiniones cuando estén activadas, gestión de equipo y, cuando el Responsable active la función opcional «Cobros», la gestión técnica de los estados de pago y de las instrucciones de reembolso transmitidas a Stripe por cuenta del Responsable. El encargo dura mientras se presten los servicios y hasta completar las operaciones de devolución, supresión o conservación legal previstas en la cláusula 11.
3. Personas interesadas y categorías de datos
Interesados: clientes y potenciales clientes del Responsable; personal del Responsable autorizado en la cuenta. Datos: nombre, teléfono, email opcional, servicio y cita, comentarios de hasta 500 caracteres, notas internas, preferencias de comunicación, historial de reservas, opiniones, estados de envío y registros técnicos necesarios. Con «Cobros» activado: importe, moneda, estado del pago y del reembolso, motivo, autor y fecha de la cancelación, fecha de cobro e identificadores técnicos de Stripe. El Encargado no trata datos de tarjeta. No se autoriza el uso de la plataforma para datos de salud ni otras categorías especiales; el Responsable debe evitar su introducción. El Encargado informará al Responsable si detecta un tratamiento incompatible con el servicio.
Tarjetas regalo
Para la emisión y gestión de tarjetas regalo, se podrán tratar el nombre y, cuando se facilite, el correo electrónico de la persona beneficiaria, así como el mensaje personalizado incluido por la compradora.
Estos datos se utilizarán exclusivamente para gestionar la tarjeta regalo, facilitar su entrega cuando corresponda y permitir su canje.
El establecimiento emisor es el responsable del tratamiento. ReservaLink actúa como encargado conforme al acuerdo de encargo del tratamiento aplicable.
medio de pago directo elegido; importe y referencia de la reserva; declaración de pago efectuada por la clienta; confirmación o rechazo de recepción y declaración de devolución efectuada por el profesional; fecha, hora e identificador del usuario que realiza esas acciones; y datos mínimos de auditoría necesarios para gestionar incidencias. Operaciones: recogida, visualización restringida, comunicación operativa, almacenamiento, consulta, rectificación, exportación y supresión conforme a instrucciones documentadas.
Los números Bizum, enlaces PayPal e IBAN del profesional se facilitarán únicamente a las clientas vinculadas a una reserva legítima mediante un enlace de gestión protegido y las comunicaciones necesarias; no se publicarán en el perfil público general. La base de datos deberá impedir el acceso cruzado entre negocios y la consulta pública directa. No debe afirmarse que los proveedores Bizum/PayPal/bancos son subencargados de ReservaLink por el mero hecho de que la clienta pague directamente al profesional.
4. Instrucciones documentadas
El Encargado trata los datos solo siguiendo instrucciones documentadas del Responsable, incluidas las configuraciones de su cuenta, salvo obligación legal; en ese caso informará previamente cuando la ley lo permita. No utilizará los datos de las clientes para publicidad propia, venta ni finalidades propias. Si una instrucción parece infringir la normativa, lo comunicará sin demora. Las órdenes de reembolso se emiten únicamente por instrucción del Responsable (acción en el panel) o en aplicación de la política de cancelación que el Responsable ha aceptado y comunicado a la clienta.
5. Confidencialidad y acceso
Las personas autorizadas por el Encargado están sujetas a deber de confidencialidad y solo acceden a la información necesaria. Se aplican controles de permisos, autenticación y separación lógica entre negocios.
6. Seguridad
El Encargado aplica medidas adecuadas al riesgo conforme al artículo 32 RGPD, descritas en el Anexo C.
7. Subencargados
El Responsable concede autorización general para recurrir a los subencargados del Anexo B. El Encargado informará con antelación razonable de altas o sustituciones mediante aviso en el panel o por email, y el Responsable podrá oponerse de forma motivada; si no se resuelve, podrá dar de baja su cuenta sin coste. El Encargado impone obligaciones equivalentes a sus subencargados y responde de su cumplimiento conforme al artículo 28 RGPD.
8. Transferencias internacionales
Los datos se alojan en Londres (Reino Unido), país con decisión de adecuación de la Comisión Europea. Cuando un proveedor del Anexo B acceda desde fuera del EEE, la transferencia se ampara en una decisión de adecuación (incluido el EU-US Data Privacy Framework si el proveedor está certificado) o en cláusulas contractuales tipo, según sus condiciones contractuales.
9. Asistencia y ejercicio de derechos
Para atender consultas entrantes al número de WhatsApp de ReservaLink, el Encargado podrá utilizar el número remitente para localizar las reservas asociadas y facilitar enlaces seguros de gestión y contacto con el establecimiento correspondiente, exclusivamente con fines operativos y conforme a las instrucciones documentadas de los responsables. No conservará el contenido de los mensajes para esta finalidad, sin perjuicio de los registros técnicos y tratamientos propios del proveedor de mensajería. Aplicará controles para impedir la divulgación indebida de datos entre establecimientos.
El Encargado asiste al Responsable, según la naturaleza del tratamiento y la información disponible, en la respuesta a solicitudes de derechos, evaluaciones de impacto, consultas previas y obligaciones de seguridad y notificación. Si recibe directamente una solicitud de una clienta, la remite al Responsable sin responder sobre el fondo, salvo instrucción o deber legal.
10. Violaciones de seguridad
El Encargado comunicará al Responsable, sin dilación indebida, las violaciones de seguridad de datos personales de las que tenga conocimiento. Como objetivo operativo interno, procurará emitir un primer aviso dentro de las 24 horas siguientes a dicho conocimiento, con la información disponible, y facilitará actualizaciones sucesivas cuando resulte necesario. La comunicación incluirá, en la medida en que se conozcan, la naturaleza del incidente, las categorías de datos e interesados afectados, las posibles consecuencias y las medidas adoptadas o previstas. El Encargado documentará las incidencias y colaborará con el Responsable en la evaluación y gestión del incidente.
11. Devolución y supresión
Al finalizar el servicio, el Responsable podrá descargar sus datos, incluidas las facturas emitidas a sus clientes, y solicitar su devolución o supresión. El Encargado procederá conforme a la elección documentada del Responsable y eliminará las copias dentro de los ciclos de respaldo establecidos, salvo conservación legalmente exigida al propio Encargado. El Responsable seguirá siendo responsable de sus obligaciones de archivo fiscal.
El Responsable puede exportar sus datos en cualquier momento desde «Mi cuenta». Al cierre de la cuenta dispone de hasta 15 días para exportarlos; después, el Encargado suprime los datos tratados por su cuenta. Las copias de seguridad se eliminan en su ciclo de rotación (7 días). Se conservan, bloqueados y con acceso restringido, solo: las evidencias de aceptación de este acuerdo y de los Términos (5 años desde el fin de la relación), los datos técnicos de pagos de «Cobros» (180 días desde la última operación relevante, ampliables en caso de reclamación, contracargo u obligación legal) y lo exigido por la ley. La conservación de las facturas propias de Landi Studio, S.L. no justifica conservar fichas ni citas de clientes.
12. Información, auditorías y cooperación
El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento del artículo 28 RGPD y permite auditorías razonables, directamente o mediante auditor independiente, con garantías de confidencialidad, seguridad y proporcionalidad. Colabora con la autoridad de control cuando corresponda.
13. Responsabilidades y prevalencia
Cada parte cumple sus obligaciones legales. Las limitaciones contractuales no excluyen responsabilidades que legalmente no puedan limitarse. En caso de contradicción sobre el tratamiento de datos por cuenta del Responsable, prevalece este acuerdo sobre las condiciones comerciales.
Anexo A — Ficha del tratamiento
- Objeto: gestión digital de reservas, citas, clientes y, si se activa, cobros online.
- Duración: vigencia de la cuenta profesional y fase de salida (cláusula 11).
- Operaciones: recogida, almacenamiento, consulta, modificación, envío de notificaciones, publicación controlada de opiniones, gestión de estados de pago y reembolsos, exportación y supresión.
- Interesados y datos: cláusula 3.
- Canales: email; WhatsApp solo si la clienta ha marcado la casilla específica.
Anexo B — Subencargados y otros proveedores
Firebase Cloud Messaging (Google Ireland Ltd. / Google LLC) trata identificadores de instalación para entregar notificaciones operativas. Para las transferencias a Estados Unidos se aplican el Marco de Privacidad de Datos UE-EE. UU. (DPF), cuando corresponda, o las cláusulas contractuales tipo (CCT). Apple y Google son responsables independientes de sus propios servicios de inicio de sesión.
| Proveedor | Servicio | Ubicación de los datos y garantías |
|---|---|---|
| Supabase, Inc. | Base de datos, autenticación y copias de seguridad | Región eu-west-2, Londres (adecuación UE-Reino Unido); accesos de soporte desde EE. UU. con cláusulas contractuales tipo |
| Vercel Inc. | Alojamiento y ejecución de la aplicación | Ejecución en Londres; red global; EU-US Data Privacy Framework o cláusulas tipo |
| Resend | Envío de emails operativos | EE. UU.; cláusulas contractuales tipo |
| Meta Platforms Ireland Limited | Recordatorios por WhatsApp (WhatsApp Cloud API), solo si la clienta lo elige | Irlanda; posibles accesos desde EE. UU. con EU-US Data Privacy Framework o cláusulas tipo |
| Stripe Payments Europe, Limited (Irlanda) y entidades de su grupo | Proveedor de servicios de pago mediante Stripe Connect. Procesa pagos y reembolsos de las reservas y comunica a ReservaLink los estados de las transacciones. Sus responsabilidades en materia de protección de datos se determinan conforme a las condiciones contractuales y acuerdos de protección de datos aplicables a cada tratamiento. Solo con «Cobros» activado | Irlanda; transferencias según sus condiciones |
Cada proveedor trata los datos conforme a su acuerdo de tratamiento de datos aceptado por Landi Studio, S.L. Google (inicio de sesión de las profesionales) y Shopify (tienda lashpro.es) no tratan datos de las clientas del Responsable y no son subencargados de este acuerdo.
Anexo C — Medidas técnicas y organizativas de seguridad
1. Infraestructura. Base de datos y autenticación en Supabase (PostgreSQL), región Londres. Aplicación en Vercel, solo HTTPS. Emails mediante Resend. WhatsApp mediante la API oficial de Meta. Cifrado en reposo, aislamiento y redundancia de centros de datos según los proveedores.
2. Control de acceso y separación entre negocios. Autenticación con email y contraseña (mínimo 8 caracteres) u OAuth de Google. Roles por negocio (propietaria y miembros); cada consulta se limita al negocio de la persona conectada. Row Level Security en el 100 % de las tablas de datos de negocio. Tablas sensibles sin acceso directo desde el navegador, solo mediante funciones de servidor que comprueban la pertenencia al negocio. Clave de servicio solo en el servidor. Doble factor (MFA) en las cuentas de administración (Supabase, Vercel, GitHub, Stripe, Meta, Google).
3. Enlaces y seudonimización. Enlaces de gestión, recordatorio y WhatsApp con tokens aleatorios; en base solo se guarda su hash. Cambios online limitados por el plazo del negocio y a 3 modificaciones por cita. IP guardadas solo como hash con sal secreta y borradas a los 7 días. Emails de compradores de lashpro.es solo como hash, borrados a los 3 meses.
4. Protección contra el abuso. Limitación de frecuencia por IP y por negocio. Límite de reservas online por teléfono (2 al día, 10 futuras). Campo trampa anti-bots. Opiniones anónimas limitadas; opiniones «verificadas» solo desde un enlace ligado a una cita real.
5. Integraciones. Webhooks de Stripe, Stripe Connect, Shopify y WhatsApp verificados por firma. Secretos solo en variables de entorno. Pagos mediante Stripe Checkout (recargas y «Cobros» en la cuenta Stripe del profesional): ReservaLink no ve ni guarda datos de tarjeta.
6. Minimización y conservación. Exportación ZIP desde «Mi cuenta». Avisos «No incluyas datos de salud» en comentarios y notas. Purgas automáticas diarias según la política de conservación (historial de WhatsApp 90 días, registros administrativos 2 años, aceptaciones 5 años tras el cierre, datos técnicos de pagos 180 días).
7. Desarrollo seguro. Repositorio privado; cada cambio pasa por una pull request revisada. Más de 2 000 pruebas automáticas, incluidas pruebas SQL de aislamiento entre negocios y permisos. Migraciones versionadas, aplicadas a producción solo tras validación expresa del titular. Revisión periódica del informe de seguridad de Supabase.
8. Continuidad e incidentes. Copias diarias automáticas conservadas 7 días. Objetivos: RPO de 24 horas y RTO de 8 horas, sujetos a las capacidades técnicas contratadas. Prueba de restauración al menos anual, en un proyecto temporal distinto del de producción, con registro de resultados. Procedimiento de incidentes según la cláusula 10. Contacto: privacidad@landi.es.
9. Organización. Acceso administrativo a producción limitado al titular; los cambios en producción requieren su validación expresa. El personal autorizado de los proveedores del Anexo B puede tener acceso técnico en la medida necesaria para prestar su servicio, sujeto a sus contratos. Los datos de clientas no se usan para publicidad ni se venden.