Política de privacidad
Última revisión: 22 de octubre de 2026.
1. Responsable del tratamiento
- Identidad: C&M Software Developers Inc., sociedad de Ontario (Canadá), número de sociedad 2260249
- Domicilio social: 1410-2121 Lake Shore Boulevard West, Toronto ON M8V 4E9, Canadá
- Contacto para protección de datos: [email protected]
- Sitio web corporativo: studioweb67.ca
2. Dos papeles distintos
Como responsable, tratamos los datos de quienes visitan este sitio, usan el asistente de demostración, registran un negocio o se comunican con nosotros.
Como encargado del tratamiento, tratamos por cuenta de cada negocio registrado los datos de sus clientes o pacientes: datos identificativos y de contacto, reservas, comunicaciones, documentos de cobro y, en los negocios de salud, historia clínica y consentimientos. En ese caso el negocio es el responsable y la relación se regula por el contrato de encargo del tratamiento previsto en el artículo 28 del Reglamento (UE) 2016/679 (RGPD), incluido en los Términos del servicio que se aceptan en el alta. Si usted es cliente o paciente de un negocio que usa BookIt, el responsable de sus datos es ese negocio y debe dirigirse a él para ejercer sus derechos; le ayudaremos a localizarlo si no sabe cómo.
3. Datos que tratamos como responsable y para qué
| Actividad | Datos | Finalidad | Base jurídica |
|---|---|---|---|
| Registro de un negocio | Nombre, correo, teléfono, datos del negocio y de facturación | Crear la cuenta, prestar el servicio y facturarlo | Ejecución de un contrato (art. 6.1.b RGPD) |
| Asistente de demostración | Correo electrónico (verificado con un código), mensajes escritos o dictados, sede elegida | Mostrar cómo reserva el asistente sobre un negocio ficticio y atender la conversación | Consentimiento (art. 6.1.a RGPD) |
| Consultas, soporte y avisos de nuevas funciones | Datos de contacto y contenido de la consulta | Responder a la solicitud y, si lo pidió, avisarle cuando esté disponible lo que preguntó | Interés legítimo (art. 6.1.f RGPD) |
| Seguridad y registro de accesos | Dirección IP, dispositivo, fecha y acción | Proteger el servicio, investigar incidentes y cumplir obligaciones legales | Interés legítimo y obligación legal (art. 6.1.c y f RGPD) |
En el asistente de demostración no deben introducirse datos de salud reales ni datos de terceros. No tomamos decisiones automatizadas con efectos jurídicos sobre las personas ni elaboramos perfiles comerciales.
4. Proveedores y transferencias internacionales
Para prestar el servicio usamos proveedores que actúan como encargados o subencargados del tratamiento. Cuando los datos se tratan fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU., DPF) o en las cláusulas contractuales tipo de la Comisión Europea (CCT) incluidas en el contrato de encargo de cada proveedor (capítulo V del RGPD). Puede solicitar una copia de esas garantías en la dirección de contacto.
| Proveedor | Servicio | Ubicación de los datos | Garantía |
|---|---|---|---|
| Hetzner Online GmbH | Servidor de la página, de la API y del servicio de videollamada | Alemania (Unión Europea) | No hay transferencia internacional |
| Supabase, Inc. | Base de datos, autenticación y almacenamiento de ficheros | Estados Unidos (región AWS us-east-2) | CCT en su contrato de encargo |
| Cloudflare, Inc. | Red de entrega y protección del sitio; almacén de copias de seguridad (R2) | Red global para el tráfico web; copias de seguridad con jurisdicción Unión Europea | DPF y CCT |
| Resend, Inc. | Envío de correos electrónicos (códigos de acceso, confirmaciones y recordatorios) | Estados Unidos | CCT en su contrato de encargo |
| xAI Corp. | Asistente conversacional de reservas y voz | Estados Unidos | CCT en su contrato de encargo |
| Anthropic, PBC | Análisis asistido por IA de radiografías anonimizadas y de ficheros de migración (solo estructura y muestra enmascarada) | Estados Unidos | DPF y CCT |
| Meta Platforms Ireland Ltd. | Mensajes de WhatsApp por la API oficial, cuando el negocio conecta su número | Irlanda; transferencias dentro del grupo Meta | DPF y CCT |
| Stripe Payments Europe, Ltd. | Pagos con tarjeta de los planes y de los enlaces de pago | Irlanda; transferencias a Stripe, Inc. (Estados Unidos) | DPF y CCT |
| Wompi (Bancolombia S.A.) | Pagos en línea, solo para negocios en Colombia | Colombia | CCT en su contrato de encargo |
| Google LLC | Tipografías web (Google Fonts) | Estados Unidos | DPF |
Los proveedores de IA no entrenan sus modelos con los datos de BookIt ni de sus negocios. Las copias de seguridad de cada negocio se cifran antes de salir del servidor con una clave propia del negocio.
5. Conservación
- Datos de la cuenta del negocio: mientras la cuenta esté activa y, después, el tiempo necesario para atender responsabilidades legales (en general, hasta seis años para los documentos de facturación).
- Conversaciones del asistente de demostración: hasta 90 días desde el último mensaje.
- Registros de acceso y seguridad: hasta 12 meses.
- Datos de clientes o pacientes tratados por cuenta de los negocios: según las instrucciones de cada negocio. En los negocios de salud en España, como mínimo cinco años desde el alta de cada proceso asistencial (artículo 17 de la Ley 41/2002). Al dar de baja la cuenta, el negocio dispone de 30 días para exportar sus datos; después se eliminan, salvo lo que deba conservarse por obligación legal.
6. Derechos
Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a [email protected] e identificándose. Si el tratamiento se realiza por cuenta de un negocio registrado, le remitiremos a él o le ayudaremos a contactarlo. También puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) o ante la autoridad de control de su país.
7. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo: aislamiento de los datos de cada negocio en la base de datos, control de acceso por roles, cifrado en tránsito y en reposo, verificación por código en el acceso de clientes, copias de seguridad cifradas cada noche con clave propia de cada negocio y un registro de accesos que no se puede modificar. Las claves de integración y los secretos de terceros se guardan cifrados o como resumen criptográfico.
8. Menores
Este sitio y el asistente de demostración no se dirigen a menores de 14 años. En los negocios registrados, la ficha de un cliente o paciente menor de edad requiere los datos de su representante legal.
9. Cambios
Esta política puede actualizarse. La versión vigente es siempre la publicada en esta página, con su fecha de revisión. Si un cambio afecta de forma sustancial a los negocios registrados, se les avisará en el panel.