Este contrato regula el tratamiento de datos personales que Glowti realiza por cuenta de cada negocio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD). Es un contrato con efectos entre las partes, no un texto informativo.
Entre quién
- Responsable del tratamiento: el negocio profesional que contrata Glowti,
- con los datos que constan en su cuenta.
- Encargado del tratamiento: el titular de Glowti, profesional autónomo con
- domicilio en España. Sus **datos identificativos —nombre, NIF y domicilio— se
- facilitan a quien los solicite** escribiendo a info@glowti.es, y constan
- íntegros en la factura de cada periodo.
Se acepta al registrar el negocio, con constancia de fecha, versión y usuario. Cualquier actualización exige una aceptación nueva.
1 · Objeto
El negocio encarga a Glowti el tratamiento de los datos personales de sus clientes, con la única finalidad de prestarle el servicio de gestión de reservas.
Glowti no decide nada sobre esos datos. No los usa para fines propios, no los cede, no los vende y no los emplea para publicidad. Trata únicamente lo que hace falta para que el negocio pueda trabajar.
2 · Duración
Mientras el negocio tenga cuenta activa en Glowti. Al terminar se aplica lo previsto en la cláusula 9.
3 · Naturaleza, finalidad y operaciones
- Naturaleza: prestación de un servicio de software como servicio (SaaS) de
- gestión de reservas y de fichero de clientes.
- Finalidad: permitir al negocio publicar su agenda, recibir reservas,
- comunicarse con sus clientes sobre esas reservas y mantener su historial.
- Operaciones realizadas: recogida, registro, conservación, consulta,
- modificación, comunicación al propio negocio y a los proveedores de la
- cláusula 7, supresión y anonimización.
4 · Qué datos y de quién
Categorías de interesados: clientes del negocio, tengan o no cuenta en Glowti.
Categorías de datos:
- Identificativos: nombre, teléfono y, si lo facilita, correo electrónico.
- Datos de las citas: servicio, profesional, fecha, hora, precio y estado.
- Notas internas que el negocio escriba sobre un cliente.
- Valoraciones publicadas.
Sobre las notas internas. Son un campo libre, y el negocio puede escribir en él información sensible —una alergia, una reacción a un producto, una condición de la piel—. Glowti no las lee, no las analiza y no las utiliza para ningún fin propio: solo las almacena y se las muestra a quien tiene permiso dentro del negocio.
El negocio es quien decide qué escribe ahí, y con ello quién determina si el tratamiento alcanza o no a datos de categorías especiales del artículo 9 RGPD. Si decide anotar información de salud, asume las obligaciones que ello comporta —en particular, contar con una base del artículo 9— y Glowti aplicará sobre esos datos las mismas medidas de seguridad descritas en la cláusula 5, que están dimensionadas para ese supuesto.
5 · Obligaciones de Glowti
Glowti se compromete a:
- **Tratar los datos solo siguiendo las instrucciones documentadas del
- negocio**, que se expresan mediante el uso normal de la plataforma. Si Glowti
- considerase que una instrucción infringe la normativa de protección de datos,
- lo comunicará de inmediato.
- No destinarlos a otra finalidad ni conservarlos más allá de lo previsto.
- Garantizar que las personas autorizadas para tratarlos se han comprometido
- a respetar la confidencialidad, obligación que **subsiste tras el fin de la
- relación**.
- Aplicar las medidas técnicas y organizativas del artículo 32:
- contraseñas cifradas con argon2, cifrado en tránsito, aislamiento verificado
- entre negocios, control de acceso por perfiles de permiso, registro de
- auditoría, copias de seguridad con recuperación a un punto en el tiempo, y
- pruebas automáticas permanentes que verifican esas garantías en cada cambio
- del código.
- Asistir al negocio en la atención de los derechos de los interesados,
- informándole de cada petición recibida y actuando según lo que decida.
- Asistirle igualmente en el cumplimiento de sus obligaciones de los
- artículos 32 a 36 —seguridad, notificación de brechas y, en su caso,
- evaluación de impacto—, teniendo en cuenta la naturaleza del tratamiento y la
- información de que dispone.
- Notificar sin dilación indebida cualquier brecha de seguridad que afecte
- a sus datos, con la información necesaria para que pueda cumplir sus propias
- obligaciones.
- Poner a su disposición toda la información necesaria para demostrar el
- cumplimiento de este contrato y permitir y contribuir a auditorías,
- incluidas inspecciones, realizadas por el negocio o por un auditor que
- designe.
- No incorporar un subencargado nuevo sin avisarle antes, dándole
- oportunidad de oponerse.
6 · Obligaciones del negocio
El negocio, como responsable:
- Informa a sus clientes de que utiliza Glowti para gestionar las reservas.
- Se asegura de tener base jurídica para tratar sus datos.
- Es responsable de lo que escribe en las notas internas, conforme a la
- cláusula 4.
- Atiende las peticiones de sus clientes sobre esos datos, con la asistencia
- de Glowti.
- Garantiza que sus instrucciones cumplen la normativa aplicable.
7 · Subencargados
El negocio autoriza expresamente a Glowti a servirse de los siguientes subencargados, con los que Glowti tiene firmado el contrato correspondiente y a los que impone las mismas obligaciones de protección de datos:
| Subencargado | Servicio | Dónde se tratan |
|---|---|---|
| Vercel | Alojamiento de la aplicación | Unión Europea (Fráncfort) |
| Neon | Base de datos | Unión Europea |
| Sentry | Registro de errores | Unión Europea |
| Stripe | Cobro de la suscripción | Unión Europea, con cláusulas contractuales tipo |
| Resend | Envío de correos | Fuera de la UE, con cláusulas contractuales tipo |
| Cloudinary | Almacenamiento de imágenes | Fuera de la UE, con cláusulas contractuales tipo |
| Upstash | Protección frente al uso abusivo | Fuera de la UE, con cláusulas contractuales tipo |
| Sincronización de calendario, solo si el profesional la activa | Fuera de la UE, con cláusulas contractuales tipo |
Antes de incorporar uno nuevo se avisa al negocio. Si no está de acuerdo, puede resolver el contrato sin penalización.
Glowti responde ante el negocio del cumplimiento por parte de sus subencargados, igual que si el tratamiento lo hubiera realizado él mismo.
8 · Transferencias fuera de la Unión Europea
Se elige región europea siempre que el proveedor la ofrezca. Cuando no sea posible, la transferencia se ampara en cláusulas contractuales tipo aprobadas por la Comisión Europea, complementadas con las medidas adicionales que resulten necesarias tras el análisis del caso.
9 · Qué pasa al terminar
Al darse de baja el negocio:
- Dispone de 30 días para recuperar sus datos, que puede exportar en
- cualquier momento desde su panel en formato reutilizable.
- Transcurrido ese plazo, se suprimen, salvo lo que deba conservarse por
- obligación legal —fundamentalmente, los registros de facturación—.
- Lo conservado por obligación legal queda bloqueado: solo se usa para atender
- a la Administración o a los tribunales.
- La supresión alcanza también a las copias existentes en poder de los
- subencargados, conforme a sus propios plazos de retención.
10 · Responsabilidad
Cada parte responde de sus propios incumplimientos conforme al artículo 82 del RGPD.
- Glowti responde del incumplimiento de las obligaciones que este contrato
- y el RGPD imponen específicamente al encargado, y de actuar al margen o en
- contra de las instrucciones del negocio. En ese caso responde también de las
- sanciones que se impongan al negocio por esa causa.
- El negocio responde de la licitud del tratamiento que encarga: de contar
- con base jurídica, de informar a sus clientes y del contenido que introduce
- en la plataforma, en particular en las notas internas.
- Si ambos resultan responsables, la distribución interna se hará **en
- proporción a la parte de responsabilidad de cada uno** en el daño causado.
Nada de lo anterior limita los derechos que los interesados puedan ejercer frente a cualquiera de las dos partes.