Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de la plataforma accesible en citanic.es y sus subdominios es Alejandro Moreno, trabajador autónomo establecido en España (Unión Europea), titular del servicio Citanic. Los datos identificativos del responsable se detallan en el Aviso Legal.

Para cualquier consulta relacionada con privacidad: alejandro@citanic.es

2. Datos que recopilamos

• Datos de registro: nombre, email, contraseña (cifrada con bcrypt).
• Datos del negocio: nombre comercial, datos fiscales (razón social, NIF, domicilio fiscal cuando se utiliza la facturación), zona horaria, horarios, servicios y precios.
• Datos de agenda: citas, estado, notas internas, color del profesional.
• Datos de equipo: nombre, email, rol y permisos granulares de cada miembro.
• Datos de clientes finales: nombre, teléfono, email, historial de citas, bonos contratados y valoraciones, introducidos por el usuario del CRM.
• Documentos e imágenes: archivos almacenados en la cuenta de Google Drive vinculada por el usuario (consentimientos, fotos clínicas, etc.).
• Datos de facturación: facturas emitidas, libro de facturas, series, exportaciones modelo 303/390/347.
• Datos de registro horario laboral: fichajes de entrada/salida/pausas, ausencias, horas extra y justificantes asociados a los miembros del equipo del usuario.
• Mensajes: log de mensajes de WhatsApp enviados desde la cuenta, plantillas y respuestas recibidas vía webhook.
• Datos técnicos: dirección IP, tipo de navegador, páginas visitadas, identificadores de cookies (ver Política de Cookies).
• Leads de campaña: nombre, teléfono y datos UTM recogidos a través de la landing /landing y del calendario de Calendly embebido en /reservar.

3. Finalidad y base jurídica del tratamiento

• Prestación del servicio (art. 6.1.b RGPD): alta y gestión de la cuenta, agenda, equipo, registro horario, facturación y envío de recordatorios contratados.
• Cumplimiento de obligaciones legales (art. 6.1.c RGPD): conservación de facturas y libros (Código de Comercio), registros horarios (RD 8/2019), respuesta a requerimientos de autoridades.
• Interés legítimo (art. 6.1.f RGPD): seguridad de la plataforma, prevención de fraude, mejora del servicio, atención a leads que solicitan ser contactados.
• Consentimiento (art. 6.1.a RGPD): cookies de marketing (Meta Pixel), envío de comunicaciones comerciales sobre Citanic y, en su caso, recogida de datos de leads no clientes.

4. Datos de clientes finales — responsabilidad del usuario de Citanic

Citanic actúa como encargado del tratamiento (art. 28 RGPD) respecto a los datos de los clientes finales que cada empresa o autónomo introduce en la plataforma. El usuario de Citanic es el responsable del tratamiento de dichos datos y está obligado a:

1. Informar a sus clientes sobre el tratamiento de sus datos personales.
2. Disponer de una base jurídica válida (contrato, interés legítimo o consentimiento).
3. Recabar, documentar y conservar el consentimiento expreso de cada cliente para el envío de comunicaciones por WhatsApp u otros canales, conforme al RGPD, la LOPDGDD y el art. 21 de la LSSI.
4. Cuando trate categorías especiales de datos (datos de salud, imágenes clínicas), contar con el consentimiento explícito o la base jurídica habilitante del art. 9 RGPD.
5. Atender los derechos de acceso, rectificación, supresión, portabilidad, limitación y oposición de sus clientes.
6. Notificar a Citanic cualquier brecha de seguridad que afecte a los datos alojados en la plataforma.

Citanic no recaba, no verifica ni garantiza los consentimientos de los clientes finales de sus usuarios. Cualquier incumplimiento normativo derivado de la falta de consentimiento o información adecuada a los clientes finales será responsabilidad exclusiva del usuario del CRM. Las condiciones del encargo del tratamiento se rigen por estos términos, en defecto de Acuerdo de Encargo del Tratamiento (DPA) específico firmado entre las partes.

5. Datos de menores

Citanic no está dirigido a menores de edad ni recaba conscientemente datos de menores a través de su web corporativa. No obstante, los usuarios del CRM (clínicas, centros de estética y profesionales sanitarios) pueden tratar datos de clientes finales menores de edad.

Conforme al art. 7 de la LOPDGDD, el tratamiento de datos de un menor de 14 años basado en el consentimiento solo es lícito si lo presta el titular de la patria potestad o tutela del menor. A partir de los 14 años, el menor puede consentir por sí mismo.

La comprobación de la edad del cliente final y, cuando proceda, la obtención y conservación del consentimiento del titular de la patria potestad o tutela corresponde exclusivamente al usuario de Citanic, en su condición de responsable del tratamiento de los datos de sus clientes (ver apartado 4). Citanic, como encargado del tratamiento, no verifica la edad de los clientes finales ni la validez del consentimiento parental.

6. Consentimiento para mensajes de WhatsApp

El envío de recordatorios, confirmaciones o comunicaciones de marketing a través de WhatsApp requiere el consentimiento previo, libre, específico, informado e inequívoco del destinatario (arts. 6 y 7 RGPD; art. 21 LSSI). El usuario de Citanic es el único responsable de:

• Obtener dicho consentimiento antes del primer envío.
• Conservar evidencia documentada (fecha, medio, texto exacto mostrado al cliente).
• Respetar las solicitudes de baja y dejar de enviar mensajes de inmediato.
• Cumplir las Políticas de Uso de WhatsApp Business y del proveedor de mensajería utilizado.

7. Destinatarios y encargados del tratamiento

Citanic puede compartir datos con los siguientes proveedores que actúan como encargados del tratamiento, todos ellos vinculados por acuerdos de protección de datos:

• Supabase Inc. — bases de datos, autenticación e infraestructura. El alojamiento de datos se realiza en Suiza, país con decisión de adecuación de la Comisión Europea (transferencia lícita sin garantías adicionales).
• Vercel Inc. (EE.UU.) — alojamiento web. SCC + EU-US Data Privacy Framework.
• Meta Platforms Ireland Ltd. (Irlanda, UE) — WhatsApp Cloud API (despliegue progresivo) y Meta Pixel en landings (solo con consentimiento).
• Calendly LLC (EE.UU.) — calendario de reservas de demos embebido en la página /reservar. Transferencia bajo SCC + EU-US Data Privacy Framework.
• Google Ireland Ltd. (Irlanda, UE) — Google Drive cuando el usuario vincula su cuenta para adjuntar documentos.
• Resend Inc. (EE.UU.) — envío de emails transaccionales (invitaciones, notificaciones, leads). SCC.
• Inngest Inc. (EE.UU.) — orquestación de tareas en segundo plano (recordatorios). SCC.
• Proveedores de IA — Anthropic, PBC (EE.UU. — modelos Claude) y OpenAI, L.L.C. (EE.UU. — modelos GPT): generación de los informes (insights) y respuestas del chatbot. Solo se envía la información estrictamente necesaria y no se entrenan modelos con ella. Transferencia bajo SCC.

No vendemos ni cedemos datos personales a terceros con fines comerciales propios. La lista anterior es la vigente a la fecha de actualización; se mantiene al día en esta misma política.

8. Uso de IA generativa

Citanic utiliza modelos de IA para funcionalidades concretas (insights/informes y chatbot de soporte). En estos casos:

• Se envía al modelo únicamente la información estrictamente necesaria para la consulta.
• El proveedor de IA actúa como encargado del tratamiento y no entrena sus modelos con los datos enviados desde Citanic.
• Las respuestas pueden contener errores; el usuario debe verificarlas antes de tomar decisiones operativas, fiscales o sanitarias.

9. Conservación de datos

• Datos de cuenta y agenda: durante la vigencia de la cuenta y 30 días tras la cancelación, para permitir su recuperación.
• Facturas, libro de facturas y datos contables: 6 años desde la emisión (art. 30 Código de Comercio); 4 años de prescripción tributaria.
• Registro horario laboral: 4 años desde la fecha del fichaje (RD 8/2019).
• Logs de WhatsApp: 2 años para fines de soporte y prueba del envío.
• Logs de auditoría: 2 años para investigación de incidentes de seguridad.
• Registros de acceso a datos (log de lecturas): 5 años desde el acceso, como prueba de trazabilidad de las consultas a datos sensibles.
• Leads de landing no convertidos en cliente: 12 meses; tras ese plazo se eliminan o anonimizan salvo consentimiento expreso para mantenerlos.

10. Derechos del usuario

Conforme al RGPD, tiene derecho a:

• Acceso: obtener confirmación de si tratamos sus datos y recibir una copia.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión («derecho al olvido»): solicitar la eliminación cuando los datos ya no sean necesarios.
• Portabilidad: recibir sus datos en formato estructurado y legible por máquina.
• Limitación: restringir el tratamiento en determinadas circunstancias.
• Oposición: oponerse al tratamiento basado en interés legítimo o a la mercadotecnia directa.
• Retirada del consentimiento: revocar en cualquier momento el consentimiento prestado, sin que ello afecte a la licitud del tratamiento anterior.

Para ejercer estos derechos, escriba a alejandro@citanic.es. Si considera que sus derechos no han sido atendidos, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — www.aepd.es.

11. Transferencias internacionales

El responsable del tratamiento está establecido en España (Unión Europea). La base de datos principal se aloja en Suiza, país que cuenta con decisión de adecuación de la Comisión Europea, por lo que la transferencia UE→Suiza es lícita sin necesidad de garantías adicionales.

Otros proveedores enumerados en el apartado 7 procesan datos en EE.UU. En esos casos contamos con garantías adecuadas (Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y, cuando aplica, el EU-US Data Privacy Framework).

12. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo: cifrado en tránsito (TLS 1.3), cifrado en reposo, control de acceso basado en roles y permisos granulares (RLS de Supabase), soft delete y registro de auditoría de cambios sobre datos sensibles, copias de seguridad y monitorización de incidentes.

Además, registramos los accesos de solo lectura a datos personales sensibles (fichas de cliente y documentos firmados): quién los consulta y cuándo, como medida de trazabilidad y seguridad (art. 32 RGPD). Este registro incluye la actividad de los miembros del equipo del usuario, que deben ser informados de ello conforme al art. 20.3 del Estatuto de los Trabajadores y al art. 89 de la LOPDGDD.

Los archivos que el usuario aloja en su cuenta de Google Drive (documentos e imágenes) se auditan en la propia cuenta de Google de la clínica, no en los sistemas de Citanic.

13. Modificaciones

Podemos actualizar esta política para reflejar cambios normativos o en el servicio. Notificaremos los cambios significativos mediante correo electrónico o aviso destacado en la plataforma con al menos 30 días de antelación. El uso continuado de Citanic tras la entrada en vigor de los cambios implica su aceptación.