Versión v1.7-2026-11 · actualizada el 02/11/2026
Entre el Negocio, responsable de los datos de sus clientes y de su equipo, y ROSALES BS, S.L. (B75642108), que los trata por su cuenta como encargado para prestarle MEMBRESA.
Solo para prestar MEMBRESA y mientras estén en vigor las condiciones del servicio.
Gestionar membresías, cobros a través de Stripe, el registro de servicios, la tarjeta de sellos, las comunicaciones con clientes y el acceso del equipo.
Interesados: los socios del club, los clientes con tarjeta de sellos, los contactos que sube el Negocio y su equipo.
Clientes: nombre, email, teléfono, fecha de nacimiento (opcional), plan, cobros y su estado, servicios y sellos, preferencias de comunicación y, solo con su permiso, notas de su servicio y fotos (las de la galería, con su permiso escrito dentro de la app). Los datos de la tarjeta los trata Stripe, no el encargado.
Equipo: nombre, email, rol, local, servicios registrados y altas atribuidas.
De todos: la IP, el tipo de dispositivo y las sesiones abiertas; el registro de aceptaciones (versión, fecha, IP y navegador) y, de quien entra con llave de acceso, solo su parte pública. Nunca datos biométricos: la cara o la huella no salen del dispositivo.
Nunca datos de salud (punto 7).
Tratar los datos solo con instrucciones documentadas del responsable, incluidas las que da usando el programa.
Avisar al responsable en cuanto considere que una instrucción infringe la normativa de protección de datos (artículo 28.3 del RGPD).
Confidencialidad de las personas autorizadas a tratarlos.
Medidas del artículo 32 del RGPD: cifrado en tránsito, acceso por roles, segundo factor para propietarios y responsables, registro de actividad, aislamiento entre negocios y copias de seguridad cifradas y probadas.
Ayudar a atender los derechos de los interesados y en las evaluaciones de impacto.
Avisar de cualquier brecha de seguridad sin dilación y como máximo en 48 horas desde que la conozca.
Facilitar la información para demostrar el cumplimiento y permitir auditorías razonables con aviso previo.
Cloudflare, Inc. (alojamiento, red, copias de seguridad y Cloudflare Turnstile, que evita abusos en los formularios), Neon, Inc. (base de datos en Fráncfort, UE) y Sendinblue SAS / Brevo (emails, UE).
El encargado impone por contrato a cada subencargado las mismas obligaciones de protección de datos que este contrato y responde ante el responsable si las incumplen.
Cuando se activen, con 15 días de aviso a los negocios: Apple Inc. y Google LLC (tarjetas en Wallet) y Functional Software, Inc. / Sentry (errores). Hoy no se usan.
Cualquier cambio se avisa con 15 días; el responsable puede oponerse con motivos razonables.
Stripe presta sus servicios de pago directamente al Negocio.
Solo con instrucción del responsable. Aceptar estas condiciones vale como instrucción para los subencargados de la lista del punto 5.
Garantía de cada uno: Cloudflare, Inc. (EE. UU.) y Neon, Inc. (EE. UU.; los datos se guardan en Fráncfort, UE), con el Marco de Privacidad de Datos UE-EE. UU. o, si no aplica, con cláusulas contractuales tipo de la Comisión Europea; Brevo (Sendinblue SAS), en la UE, sin transferencia. Cualquier otra, solo con las garantías del capítulo V del RGPD.
Tener base legal para tratar los datos, informar a sus clientes y a su equipo (el programa le da el texto de privacidad para sus socios) y dar instrucciones lícitas.
No apuntar datos de salud de sus clientes (alergias, enfermedades de la piel…) en las notas ni en las fotos del servicio: está prohibido y el responsable se compromete a no hacerlo.
El responsable puede exportar todos sus datos en cualquier momento, gratis, en CSV y en JSON, también durante los 60 días tras la baja.
Sesenta días después de la baja (o al terminar el último periodo pagado de un socio, si es más tarde) el encargado suprime todos los datos, también los de los clientes y del equipo, y lo avisa antes con la fecha exacta y 7 días antes. Hasta esa fecha el responsable puede reactivar la cuenta y no se suprime nada.
Lo suprimido desaparece también de las copias de seguridad en un máximo de 40 días.
Solo se conservan, bloqueados, las facturas y los datos de facturación (6 años) y la lista de personas que pidieron no recibir mensajes.