Política de privacidad

1. Responsable del tratamiento

Esta plataforma (en adelante, "Masajista.app", disponible en https://masajista.app) permite a profesionales y negocios crear una página de reservas online y a sus clientes reservar citas. El responsable del tratamiento de los datos personales descritos en esta política es el titular del servicio, contactable en x_prada@yahoo.com.

2. Qué datos recopilamos

Según cómo uses el servicio, podemos tratar los siguientes datos:

• Datos de cuenta: correo electrónico y contraseña (gestionada de forma cifrada por nuestro proveedor de autenticación).
• Datos del negocio: nombre, dirección pública (slug), servicios, precios, horarios y ubicación que un profesional configura en su panel.
• Datos de citas y clientes: nombre, y datos de contacto (correo y/o teléfono) que un cliente facilita al reservar una cita, junto con la fecha, hora y servicio reservado.
• Datos de Google Calendar (opcionales): si un negocio conecta voluntariamente su cuenta de Google Calendar, accedemos a su calendario únicamente para crear, consultar y eliminar los eventos correspondientes a sus citas reservadas en la plataforma, y para comprobar su disponibilidad. No leemos ni almacenamos el contenido de otros eventos de su calendario.
• Datos técnicos: información de la suscripción a notificaciones push del navegador, si el usuario las activa.

3. Finalidad del tratamiento

Usamos estos datos exclusivamente para:

• Prestar el servicio de reserva de citas online: crear y gestionar cuentas, negocios, servicios y citas.
• Sincronizar las citas reservadas con el Google Calendar del negocio, cuando este lo haya autorizado expresamente.
• Enviar confirmaciones, recordatorios y notificaciones relacionadas con las citas.
• Calcular el uso del plan contratado (por ejemplo, el número de citas mensuales) para aplicar los límites correspondientes.

4. Base legal

El tratamiento se basa en la ejecución del contrato de prestación del servicio (creación de cuenta y gestión de citas) y, en el caso de la conexión con Google Calendar, en el consentimiento explícito que el negocio otorga durante el proceso de autorización de Google, que puede revocar en cualquier momento desde su panel.

5. Uso de la API de Google Calendar

El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se ajustan a la Política de datos de usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado ("Limited Use").

Los datos obtenidos de Google Calendar se usan únicamente para sincronizar las citas del negocio y comprobar su disponibilidad; nunca se usan con fines publicitarios, ni se ceden a terceros ajenos a la prestación del servicio, ni se emplean para entrenar modelos de inteligencia artificial de uso general.

El refresh token de Google se almacena cifrado en reposo (AES-256-GCM) y solo es accesible por los procesos del servidor necesarios para la sincronización. Un negocio puede desconectar su cuenta de Google en cualquier momento desde su panel, lo que elimina el token almacenado de forma inmediata.

6. Con quién compartimos los datos

No vendemos datos personales. Compartimos datos únicamente con los proveedores necesarios para operar el servicio, que actúan como encargados del tratamiento:

• Supabase: base de datos, autenticación y almacenamiento. Nuestros datos se alojan en la región UE (Irlanda).
• Vercel: alojamiento y ejecución de la aplicación.
• Google Calendar API: exclusivamente para los negocios que conectan voluntariamente su calendario.

7. Transferencias internacionales

Vercel Inc. y Google LLC tienen su sede en Estados Unidos. Ambas compañías están adheridas al EU-US Data Privacy Framework, el marco que la Comisión Europea reconoce como garantía adecuada para la transferencia de datos personales fuera del Espacio Económico Europeo. No realizamos ninguna otra transferencia internacional de datos personales.

8. Aislamiento entre negocios

Cada negocio de la plataforma solo puede acceder a sus propios datos (clientes, citas, servicios). Este aislamiento se aplica a nivel de base de datos mediante políticas de seguridad a nivel de fila (Row-Level Security), no solo en la interfaz.

9. Conservación de datos

Conservamos los datos mientras la cuenta permanezca activa. Si un usuario solicita la eliminación de su cuenta, eliminamos sus datos personales y los del negocio asociado, salvo que la ley exija su conservación durante un plazo adicional.

10. Tus derechos

Puedes ejercer tus derechos de acceso, rectificación, supresión, portabilidad, oposición y limitación del tratamiento escribiendo a x_prada@yahoo.com. Responderemos en el plazo legalmente establecido.

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), a través de su sede electrónica en www.aepd.es.

11. Menores de edad

El servicio no está dirigido a menores de 16 años y no recopilamos conscientemente datos de menores.

12. Cambios en esta política

Podemos actualizar esta política ocasionalmente. Publicaremos cualquier cambio relevante en esta misma página junto con la fecha de última actualización.

13. Contacto

Para cualquier duda sobre esta política, escríbenos a x_prada@yahoo.com.