Política de Privacidad

1. Responsable del Tratamiento

Identidad: Roberto Ruiz Usero (RUIZ USERO ROBERTO) (en adelante, “ZuiR” o “el Responsable”).

NIF: 05933893P

Domicilio profesional: CALLE CASTELAR NUM 2, Planta 2 Pta. A, 13500 PUERTOLLANO (CIUDAD REAL), España.

Correo electrónico: privacidad@zuir.business

Teléfono: +34 623 53 28 29

Sitio web: https://zuir.business

Más datos identificativos en el Aviso Legal.

2. Datos que Recopilamos

ZuiR recopila exclusivamente los datos necesarios para la prestación de sus servicios. Según el tipo de usuario, estos pueden incluir:

2.1. Negocios (clientes del SaaS)

• Datos de registro: nombre del negocio, nombre del titular, correo electrónico, teléfono y dirección fiscal.
• Datos de configuración: servicios ofrecidos, horarios, miembros del equipo, precios e inventario.
• Datos de facturación: información necesaria para la gestión de suscripciones y pagos.

2.2. Clientes finales de los negocios

• Datos de contacto: nombre, teléfono y, opcionalmente, correo electrónico.
• Datos de actividad: historial de citas, servicios recibidos y participación en programas de fidelización.

2.3. Visitantes del sitio web

• Datos técnicos: dirección IP, tipo de navegador, sistema operativo, páginas visitadas y tiempo de permanencia.

3. Finalidad del Tratamiento

Sus datos personales se tratan con las siguientes finalidades:

• Prestación del servicio: gestión de la cuenta, agenda, reservas, inventario, equipos y comunicaciones que el negocio configure.
• Comunicaciones transaccionales: confirmación, recordatorio, cancelación o cambio de esa cita, vía WhatsApp Business API cuando el local lo active; y los correos de acceso a la cuenta (confirmar el correo al registrarse, recuperar la contraseña).
• Otras comunicaciones WhatsApp: si el local activa plantillas de reseña, post-servicio o reactivación, ZuiR las envía por su instrucción. La base jurídica de esos envíos (RGPD y, si son comerciales, LSSI art. 21) corresponde al local.
• Fidelización: gestión de programas de sellos digitales, tarjetas regalo y promociones configuradas por el negocio.
• Mejora del servicio: análisis agregados y anonimizados de uso para optimizar funcionalidades.
• Cumplimiento legal: atender obligaciones fiscales, contables y legales aplicables.

4. Base Legal del Tratamiento

El tratamiento de datos se fundamenta en las siguientes bases jurídicas conforme al artículo 6 del RGPD:

• Ejecución de un contrato: tratamiento necesario para la prestación de los servicios contratados (suscripción SaaS).
• Consentimiento del interesado: cuando el cliente final reserva una cita o facilita sus datos voluntariamente.
• Interés legítimo: mejora y seguridad de la plataforma, prevención de fraude.
• Obligación legal: cumplimiento de normativa fiscal y mercantil.

5. Integración con WhatsApp Business API

Cuando el local lo activa, ZuiR usa la infraestructura oficial de Meta Cloud API para enviar y, en su caso, recibir mensajes de WhatsApp por cuenta de ese negocio.

Son transaccionales (ejecución del servicio de esa cita): confirmación, recordatorio, cancelación y reprogramación. No son publicidad de ZuiR ni de terceros.

Otras plantillas (reseña, post-servicio, reactivación u otras que el local active) no se cubren con la casilla de reserva. Las envía ZuiR como encargado, por instrucción del local. El local debe tener base jurídica (artículo 6 del RGPD y, si el mensaje es comercial, LSSI-CE art. 21).

Los mensajes van al número que el cliente o el local hayan facilitado. El contenido sale de plantillas aprobadas por Meta. Datos compartidos con Meta: número de destino, contenido del mensaje y metadatos de entrega, conforme a los Términos de WhatsApp Business y la Política de Privacidad de WhatsApp.

6. Destinatarios de los Datos

ZuiR no vende, alquila ni cede datos personales a terceros con fines comerciales. Esta lista cumple el artículo 13.1.e del RGPD: quién recibe datos y para qué. Coincide con el Anexo III del encargo de tratamiento (art. 28 RGPD).

Hay dos papeles. ZuiR es responsable de la cuenta SaaS, la facturación de la suscripción, los logs técnicos y los visitantes de zuir.business. ZuiR es encargado de los datos de clientas, citas y WhatsApp del local: esos destinatarios son subencargados autorizados por el negocio al aceptar el encargo. Alta o baja de un subencargado: aviso en esta política y/o email a la cuenta, con 15 días para oponerse por motivo razonable (incumplimiento del RGPD).

A fecha de esta política no están encendidos: Vapi, ElevenLabs ni Deepgram (voz STT/TTS de terceros). Encender cualquiera exige actualizar esta sección, el Anexo III del encargo y avisar a las cuentas.

7. Transferencias Internacionales

El almacenamiento principal está en el EEE (Supabase) y el servidor de la aplicación en la Unión Europea. Hay transferencias nombradas fuera del EEE, artículo 13.1.f del RGPD:

• Meta / WhatsApp Cloud API: el mensaje y el número pueden tratarse en Estados Unidos u otros países donde Meta opere el servicio.
• Google Gemini: las peticiones de generación de texto (panel y recepcionista) y las notas de voz de WhatsApp que se transcriben en locales con recepcionista pueden tratarse fuera del EEE (Estados Unidos). El local instruye ese uso al activar IA o el recepcionista.
• Anthropic (Claude): el texto de la conversación con la clienta y los datos de la agenda que la recepcionista consulta (nombre, teléfono, citas) pueden tratarse en Estados Unidos y en otras regiones fuera del EEE; Anthropic no ofrece hoy tratamiento solo en la Unión Europea. A diferencia del juez de reserva, no va anonimizado: es dato personal, y la garantía es el artículo 46 del RGPD, con las cláusulas contractuales tipo de la Comisión incorporadas en su encargo de tratamiento. Anthropic no está acogido al Marco de Privacidad de Datos UE–EE. UU. El local instruye ese uso al activar la recepcionista o al pedir en Finanzas que se lea un papel.
• OpenRouter y TypeSafe (Jev): reciben en Estados Unidos la respuesta del recepcionista que se comprueba, anonimizada, sin nada que identifique a la clienta, a las profesionales ni al local, y no la guardan. Para ellos no es un dato personal, porque no pueden atribuirla a nadie con medios razonables (considerando 26 del RGPD; sentencia del Tribunal de Justicia de 4 de septiembre de 2025, C-413/23 P), así que no hay transferencia de datos personales. Aun así, OpenRouter incorpora en su encargo las cláusulas contractuales tipo. Ninguno de los dos está acogido al Marco de Privacidad de Datos UE–EE. UU.
• Google Maps / Places: la dirección del negocio y datos de Places pueden tratarse fuera del EEE. El local instruye ese uso al buscar o fijar la dirección / geocerca.
• Stripe: datos de pago y facturación pueden tratarse fuera del EEE (Estados Unidos e Irlanda, según Stripe).
• Sentry: eventos de error y Session Replay pueden tratarse fuera del EEE (Estados Unidos).
• Brevo: los correos de acceso se envían desde servidores en la Unión Europea, pero Brevo declara en su encargo que su red de entrega (Cloudflare) y su soporte técnico (sus filiales de Estados Unidos y de la India) pueden acceder a esos datos fuera del EEE.
• Redis: solo si la caché de la web pública está alojada fuera del EEE. Hoy no se envían citas ni fichas a Redis.

Base de esas transferencias: artículo 46 del RGPD (cláusulas contractuales tipo de la Comisión Europea, Decisión de Ejecución (UE) 2021/914, en los encargos de Meta, de Google, de Brevo y de OpenRouter, y en el de Anthropic) y, cuando el proveedor esté acogido a una decisión de adecuación vigente, artículo 45 (p. ej. Marco de Privacidad de Datos UE–EE. UU. si está autocertificado). No hay decisiones de adecuación “en abstracto”: se usa la garantía que publique cada proveedor en su DPA.

Puede pedir una copia o el enlace a esas cláusulas en privacidad@zuir.business. Detalle contractual con el local: encargo de tratamiento, cláusulas Novena y Anexo III.

8. Conservación de los Datos

Los datos personales se conservarán durante el tiempo necesario para cumplir las finalidades descritas:

• Datos de negocios (SaaS): mientras la suscripción esté activa y, tras su finalización, durante el plazo de prescripción de obligaciones legales (mínimo 5 años para obligaciones fiscales).
• Datos de clientes finales: mientras la relación con el negocio permanezca activa. Los negocios pueden eliminar datos de sus clientes en cualquier momento.
• Datos de navegación: máximo 13 meses conforme a las directrices de la AEPD.

9. Seguridad de la Información

ZuiR implementa medidas técnicas y organizativas para proteger los datos personales, incluyendo:

• Cifrado de datos en tránsito (TLS/SSL) y en reposo.
• Autenticación segura con contraseñas hasheadas (bcrypt).
• Acceso a las cuentas: contraseña de 8 caracteres como mínimo al crearla o cambiarla; el correo se comprueba al registrarse, con un enlace o un código de un solo uso; la contraseña olvidada se recupera solo por ese correo, con un enlace o un código de un solo uso que caducan; al cambiar o recuperar la contraseña se cierran las sesiones abiertas en los demás aparatos, y la cuenta tiene un botón para cerrarlas; en la app Android, el acceso rápido pide la huella o el código del aparato.
• Políticas de seguridad a nivel de fila (Row Level Security) en la base de datos.
• Copias de seguridad automatizadas y redundantes.
• Monitorización continua de accesos y actividad sospechosa.
• Revisión periódica de vulnerabilidades y actualizaciones de seguridad.

10. Derechos del Interesado

Conforme al RGPD y la LOPD-GDD, usted tiene derecho a:

• Acceso: conocer qué datos personales suyos están siendo tratados.
• Rectificación: solicitar la corrección de datos inexactos o incompletos.
• Supresión (“derecho al olvido”): solicitar la eliminación de sus datos cuando ya no sean necesarios.
• Limitación: solicitar la restricción del tratamiento en determinados supuestos.
• Portabilidad: recibir sus datos en un formato estructurado y de uso común.
• Oposición: oponerse al tratamiento de sus datos por motivos relacionados con su situación particular.

Para ejercer cualquiera de estos derechos, puede dirigirse a privacidad@zuir.business indicando su nombre completo, el derecho que desea ejercer y una copia de su documento de identidad. Responderemos en un plazo máximo de 30 días.

Si considera que el tratamiento de sus datos vulnera la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — www.aepd.es.

11. Cookies

El sitio web de ZuiR utiliza cookies estrictamente necesarias para el funcionamiento de la plataforma (autenticación, preferencias de sesión). No se utilizan cookies de seguimiento publicitario de terceros.

Si el monitor de errores está activo, Sentry puede usar almacenamiento local o cookies técnicas para Session Replay (reproducir la sesión de interfaz y localizar un fallo). Eso no es publicidad. No es una cookie “imprescindible” para reservar: si Replay se aplica a la web pública del local, hay que ofrecer rechazo o no grabar esa superficie.

Correos de acceso. Los correos para confirmar el alta o recuperar la contraseña salen por Brevo. Brevo puede añadir a cada correo una imagen invisible que cuenta las aperturas y pasa los enlaces por r.em.zuir.business antes de llevar a su destino. ZuiR tiene desactivado en Brevo el seguimiento de cada destinatario: no se registra quién abre el correo ni en qué enlace pulsa, y el enlace funciona igual aunque su programa de correo bloquee las imágenes.

Las cookies funcionales se mantienen durante la sesión activa o según la duración configurada para recordar las preferencias del usuario. Puede gestionar las cookies a través de la configuración de su navegador.

12. Relación Responsable — Encargado del Tratamiento

Cuando un negocio utiliza ZuiR para gestionar los datos de sus clientes finales, el negocio actúa como Responsable del Tratamiento y ZuiR como Encargado del Tratamiento conforme al artículo 28 del RGPD. ZuiR tratará los datos únicamente según las instrucciones del negocio y exclusivamente para la prestación del servicio contratado. El contrato de encargo, con subencargados (Anexo III) y transferencias (cláusula Novena), está publicado en el encargo de tratamiento. Las clientas del local ejercen sus derechos frente al local, no frente a ZuiR, salvo que ZuiR sea responsable de esos datos (cuenta SaaS, facturación, visitantes de zuir.business).

13. Menores de Edad

Los servicios de ZuiR están dirigidos a profesionales y negocios. No recopilamos conscientemente datos de menores de 16 años. Si detectamos que se han proporcionado datos de un menor sin el consentimiento del titular de la patria potestad, procederemos a su eliminación inmediata.

14. Modificaciones de esta Política

ZuiR se reserva el derecho de actualizar esta Política de Privacidad para adaptarla a cambios normativos o funcionales. Cualquier modificación sustancial será notificada a los usuarios registrados por correo electrónico o mediante aviso en la plataforma con al menos 15 días de antelación.

La fecha de “Última actualización” en la parte superior de este documento refleja cuándo se realizó la revisión más reciente.

15. Contacto

Para cualquier consulta relacionada con la protección de datos o esta Política de Privacidad, puede contactarnos en:

• Correo: privacidad@zuir.business
• Teléfono: +34 623 53 28 29
• Dirección: CALLE CASTELAR NUM 2, Planta 2 Pta. A, 13500 PUERTOLLANO (CIUDAD REAL), España