Encargo de tratamiento (art. 28 RGPD)

Partes

Encargado: Roberto Ruiz Usero (autónomo), NIF 05933893P, CALLE CASTELAR NUM 2, Planta 2 Pta. A, 13500 PUERTOLLANO (CIUDAD REAL), España. Marca: ZuiR / zuir.business. Contacto: privacidad@zuir.business.

Responsable: el negocio titular de la cuenta ZuiR Business (datos de alta: nombre, NIF/CIF si lo hubiera, email).

Este documento es el encargo de tratamiento del artículo 28 del RGPD. Completa los Términos de Servicio. Si chocan, en materia de datos de clientes finales del local prevalece este encargo.

Primera. Objeto y naturaleza

El Encargado presta la plataforma SaaS ZuiR Business (agenda, reservas online, clientes, WhatsApp Business API, fidelización, inventario, equipo, web del local) y, para ello, trata datos personales por cuenta e instrucción del Responsable.

ZuiR es responsable (no encargado) de: cuenta de alta del negocio, facturación de la suscripción, logs técnicos de la plataforma y visitantes de zuir.business. Eso va en la Política de Privacidad, no en este encargo.

Segunda. Duración

Mientras la cuenta esté activa. Tras la baja: 30 días de conservación para reactivar (Términos §6.3); después, supresión de los datos del encargo salvo bloqueos legales del Anexo I.

Tercera. Finalidad

Solo la prestación del servicio contratado: gestionar citas, fichas, comunicaciones que el Responsable configure, web pública del local y el resto de módulos que active en el panel.

Prohibido: vender esos datos, usarlos para publicidad de ZuiR a las clientas del local, o tratarlos para otro responsable.

Cuarta. Categorías

Interesados: clientas/clientes finales del local; personas en lista de espera; destinatarios de WhatsApp del local; personal del local (turnos, fichaje, cuenta de equipo).

Datos (los que el Responsable introduzca o capte vía ZuiR): identidad y contacto (nombre, teléfono, email); citas e historial de servicios; notas que el local escriba; mensajes WhatsApp y metadatos de envío; sellos / tarjetas regalo / bonos; en fichaje, distancia al local si el negocio lo exige.

Datos de facturación de la clienta (NIF y domicilio fiscal, además del nombre o razón social): solo si la clienta pide factura con sus datos. Base: obligación legal de expedirla con ese contenido (art. 6.1.c RGPD, con el art. 6.1.d y 6.1.e del RD 1619/2012). Se conservan lo que se conserven las facturas del local (art. 8.2.c del RD 1007/2023 y el plazo de prescripción tributaria), y no salen en la web pública del local ni en el portal de la clienta.

Finanzas (si el local la usa): gastos con los datos de su factura (proveedor, su NIF —de una persona física si el proveedor es autónomo—, número, importes) y la foto o el PDF que sube el local; los movimientos de su cuenta del banco que el local sube en un fichero (fecha, importe, concepto y saldo: el concepto puede llevar el nombre de quien paga o cobra); las nóminas de su personal solo en cifras (bruto, Seguridad Social, IRPF, neto; el PDF no se guarda); las comisiones y propinas por persona, y cómo tributa el local. Las nóminas, comisiones y propinas por persona, el banco y el paquete para la gestoría los ven solo la titular y sus administradores; los gastos, también la Recepción con la Gestión abierta.

Categorías especiales: la única que ZuiR guarda por diseño es la baja médica del personal del local, al marcarla en su cuadrante: que la persona está de baja y en qué días u horas, nunca el diagnóstico, para que la agenda y la reserva online no la ofrezcan. Base del Responsable: sus obligaciones como empleador (art. 9.2.b RGPD). Solo la ven los miembros del local. Ninguna otra (salud, etnia, etc.) se recoge a propósito; si el Responsable la escribe en notas, es instrucción suya y su responsabilidad de base jurídica.

Quinta. Instrucciones

El Encargado solo trata según: (a) este contrato; (b) lo que el Responsable haga en el panel; (c) instrucciones escritas a privacidad@zuir.business. Si una instrucción infringe el RGPD, el Encargado lo avisará y no la ejecutará.

Forma parte del encargo, como instrucción documentada del Responsable (art. 28.3.a RGPD), que los administradores de la plataforma ZuiR accedan a los datos del local solo para soporte, mantenimiento y corrección de errores del servicio, en los términos de la Sexta.

Sexta. Confidencialidad

Solo el titular del Encargado y las personas que autorice como administradores de la plataforma pueden acceder a los datos de un local —incluidas las conversaciones de la recepcionista, con las herramientas que usó y sus respuestas, y un registro técnico de cada respuesta (los modelos y tiempos de cada llamada, lo que decidió el sistema y la parte de las instrucciones que cambia por clienta, con la ficha de la cita) y de los mensajes que no pasaron a la recepcionista y por qué, que se borra solo a los 30 días— y solo para prestar el servicio: soporte, mantenimiento y corrección de errores. Las conversaciones se consultan en solo lectura, y cada apertura de una conversación queda registrada (quién, cuándo, de qué local y qué conversación). Todas esas personas están obligadas a confidencialidad (art. 28.3.b RGPD).

Entre locales, acceso por business_id y RLS: un local no ve el de otro.

Séptima. Seguridad (art. 32)

• Cifrado en tránsito (TLS) hacia la app y la base de datos.
• Contraseñas hasheadas (bcrypt) en el acceso a cuentas.
• Acceso a las cuentas del local y de su equipo: contraseña de 8 caracteres como mínimo al crearla o cambiarla, escrita dos veces; el correo de la cuenta se comprueba al registrarse, con un enlace o un código de un solo uso; la contraseña olvidada se recupera solo por ese correo, con un enlace o un código de un solo uso que caducan, sin revelar si el correo tiene cuenta; al cambiar o recuperar la contraseña se cierran las sesiones abiertas en los demás aparatos, y la cuenta tiene un botón para cerrarlas; en la app Android, el acceso rápido pide la huella o el código del aparato, y cerrar sesión borra lo guardado en él.
• Aislamiento multi-tenant: business_id en las tablas de negocio; políticas RLS is_member(business_id).
• Registro de los accesos de administración: cada vez que un administrador de la plataforma abre una conversación de la recepcionista queda apuntado quién, cuándo, de qué local y qué conversación.
• Copias de seguridad las del proveedor de base de datos (Supabase).
• Sin datos de agenda/citas en Redis (solo config de la web pública).
• Logs de aplicación: sin PII en claro, según norma de producto.
• Sentry: errores y Session Replay de la interfaz para diagnosticar fallos (sin PII por defecto en el SDK).

Octava. Subencargados

Autorización general del Responsable a los del Anexo III. Alta o baja: aviso en la privacidad y/o email a la cuenta, con 15 días para oponerse por motivo razonable. Si se opone y no hay alternativa, puede resolver la suscripción.

Novena. Transferencias fuera del EEE

Solo las del Anexo III, con garantía del artículo 46 del RGPD (cláusulas tipo de la Comisión, o decisión de adecuación). Puntos sensibles: Google Gemini (IA del panel, recepcionista y transcripción de notas de voz de WhatsApp), Maps/Places, Meta Cloud API (WhatsApp), Stripe (pagos), Sentry (errores / Replay) y Anthropic (Claude: la recepcionista en los locales donde ZuiR lo active y la lectura de los papeles de Finanzas). Pueden tratarse fuera del EEE. Brevo envía los correos de acceso desde la Unión Europea, pero su red de entrega y su soporte técnico pueden acceder desde fuera del EEE. OpenRouter y TypeSafe (juez de reserva del recepcionista) tratan en Estados Unidos un texto anonimizado: para ellos no es un dato personal, porque no pueden atribuirlo a nadie con medios razonables (considerando 26 del RGPD; sentencia del Tribunal de Justicia de 4 de septiembre de 2025, C-413/23 P, SEPD/JUR, apartados 77 y 86), así que no hay transferencia de datos personales. Aun así, el encargo de OpenRouter incorpora las cláusulas tipo de la Comisión (Decisión 2021/914). Ninguno de los dos está acogido al Marco de Privacidad de Datos UE–EE. UU.

Anthropic (Claude) sí recibe datos personales, y sin anonimizar: el texto de la conversación con la clienta y lo que la recepcionista consulta de la agenda para contestar (nombre, teléfono, citas). En Finanzas, a petición del local, recibe el papel de un gasto (foto o PDF: datos del proveedor y del local) y el texto de una nómina tapado en ZuiR antes de enviarlo (sin nombre, DNI, n.º de la Seguridad Social, cuenta ni líneas de baja; si queda algo que lo parezca, no se manda). Los trata en Estados Unidos y en otras regiones donde Anthropic y sus proveedores de nube operan: su ajuste por defecto es «global» y no ofrece hoy tratamiento solo en la UE. La garantía es el artículo 46 del RGPD: el encargo de Anthropic, que forma parte de sus Condiciones Comerciales y cuyo contratante para los clientes del EEE es Anthropic Ireland, Limited, incorpora las cláusulas tipo de la Comisión (Decisión 2021/914, módulos 2 y 3) en la medida en que lo exige la normativa. Anthropic no está acogido al Marco de Privacidad de Datos UE–EE. UU., así que la garantía son esas cláusulas y no una decisión de adecuación.

Décima. Derechos de las personas

El Encargado asiste al Responsable: acceso, rectificación, supresión, oposición, limitación, portabilidad. Canal: panel y privacidad@zuir.business. Plazo de asistencia: 10 días naturales desde la petición del Responsable.

Las clientas del local ejercen frente al local, no frente a ZuiR, salvo que ZuiR sea responsable de esos datos.

Undécima. Brechas

El Encargado avisará al Responsable sin dilación indebida y en todo caso en 24 horas desde que tenga constancia de una brecha que afecte a datos del encargo. Quien notifica a la AEPD (72 h) es el Responsable, salvo que la brecha sea solo de datos de los que ZuiR es responsable (cuentas SaaS).

Duodécima. Fin del encargo

A elección del Responsable: (a) exportación razonable de datos del negocio; (b) supresión, incluidas copias de trabajo. Plazo: 30 días post-baja, luego borrado. Conservación bloqueada solo por ley (p. ej. facturas de la suscripción).

Decimotercera. Auditoría

El Encargado pondrá a disposición la información de este contrato y de la privacidad para demostrar el art. 28. Auditoría presencial: aviso 15 días, en horario laboral, una vez al año salvo indicio de infracción.

Decimocuarta. Obligaciones del Responsable

El local garantiza que tiene base jurídica para meter datos en ZuiR. Configura el contenido de los mensajes. Informa a sus clientas (su propia privacidad / reserva).

Decimoquinta. Ley

Legislación española y RGPD. Juzgados de Ciudad Real, salvo norma imperativa.

Anexo I — Conservaciones especiales

• Datos de clientes del local: mientras la cuenta viva; el local puede borrar fichas cuando quiera.
• Registro técnico de la recepcionista: 30 días desde el inicio de cada conversación (los mensajes que no pasaron a la recepcionista, 30 días desde que llegaron), borrado automático.
• Finanzas: los gastos, sus papeles, los movimientos del banco y las nóminas en cifras van con la contabilidad del local, que tiene que conservarla (art. 30 del Código de Comercio, 6 años; art. 66 de la Ley General Tributaria, 4 años de prescripción): no se borran, se anulan con quién, cuándo y por qué. El texto de una nómina que se manda a leer no se guarda.
• Tras baja de ZuiR: 30 días y supresión del encargo.
• Facturación de la suscripción ZuiR: 5 años (ZuiR como responsable de esos datos).

Anexo II — Medidas (resumen)

TLS; RLS por negocio; registro de los accesos de administración; bcrypt; contraseña de 8 como mínimo, correo comprobado, recuperación por correo con enlace o código de un solo uso, cierre de las demás sesiones y huella o código del aparato en la app; backups Supabase; Redis sin citas; Sentry (errores / Replay); el recepcionista de voz no graba llamadas; las notas de voz de WhatsApp se guardan en el almacenamiento privado del local, como las fotos.

Anexo III — Subencargados

No están, salvo que se enciendan: Vapi, ElevenLabs, Deepgram (voz STT/TTS de terceros).

Anexo IV — Cómo se acepta

Al crear la cuenta ZuiR Business, se acepta este encargo al pulsar «Crear cuenta», con el texto de aceptación y el enlace a este documento junto al botón. La primera vez que un titular ya existente entre al panel sin haberlo aceptado, se marca la casilla de aceptación. Se guarda la fecha y la versión del texto.