Contrato de Encargo de Tratamiento

1. Partes y naturaleza

Este contrato regula, conforme al artículo 28 del RGPD, el tratamiento de datos personales que Corraldev Technologies S.L.U., NIF B93921211 (el «Encargado»), realiza por cuenta del centro cliente de la plataforma CuteOPS (el «Responsable»). Forma parte integrante de los Términos y Condiciones y se acepta con la contratación del servicio, permaneciendo vigente mientras dure la suscripción.

2. Objeto, naturaleza y finalidad del tratamiento

El Encargado aloja y procesa los datos que el Responsable introduce en la plataforma con la única finalidad de prestar el servicio: gestión de agenda y citas, ficha de clientes, ventas y facturación interna, tarjetas regalo, sitio web público del centro, comunicaciones transaccionales (confirmaciones, recordatorios y avisos), atención automatizada mediante asistente conversacional con IA (si el Responsable la activa, incluida la gestión de citas con confirmación del interesado), redacción asistida de comunicaciones y estadísticas del propio centro. Operaciones: recogida, registro, estructuración, conservación, consulta, comunicación por transmisión y supresión.

3. Categorías de interesados y de datos

• Interesados: clientes finales del centro y personal del centro.
• Datos: identificativos y de contacto (nombre, teléfono, email), datos de citas e historial de servicios, notas operativas introducidas por el centro, referencias de venta y tarjetas regalo, y — si el Responsable activa el asistente — el contenido de las conversaciones de WhatsApp entre sus clientes y el asistente, conservado vinculado al centro para dar continuidad a la atención. No se tratan categorías especiales de datos salvo que el Responsable las introduzca en campos de texto libre, bajo su exclusiva responsabilidad.

4. Obligaciones del Encargado

• Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable y para las finalidades del servicio.
• Garantizar la confidencialidad del personal autorizado.
• Aplicar las medidas de seguridad del art. 32 RGPD: cifrado en tránsito (TLS), autenticación mediante código de un solo uso, segregación de datos por centro, control de accesos, registro de actividad y copias de seguridad gestionadas.
• Notificar al Responsable, sin dilación indebida, las violaciones de seguridad de las que tenga conocimiento, con la información disponible para que pueda cumplir el art. 33 RGPD.
• Asistir al Responsable en la respuesta al ejercicio de derechos de los interesados y, en lo posible, en las evaluaciones de impacto.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, previo aviso.

5. Subencargados autorizados

El Responsable autoriza de forma general a los subencargados listados en la Política de Privacidad (Stripe, Amazon Web Services, Scaleway, Cloudflare —incluido su servicio Workers AI para el procesamiento de lenguaje del asistente—, Microsoft). El Encargado informará con al menos 30 días de antelación de cualquier adición o sustitución, pudiendo el Responsable oponerse por motivos justificados; la oposición facultará a cualquiera de las partes para resolver el servicio. Las transferencias internacionales quedan amparadas en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo.

6. Obligaciones del Responsable

El Responsable garantiza que dispone de base jurídica para los datos que introduce, cumple su deber de información frente a sus clientes (la plataforma facilita los textos legales del sitio público del centro) y responde de las instrucciones que imparta.

7. Fin del tratamiento

Al terminar la suscripción, el Responsable podrá exportar sus datos durante 30 días. Transcurrido ese plazo, el Encargado suprimirá los datos personales tratados por cuenta del Responsable, salvo los que deban conservarse bloqueados por obligación legal.