Política de privacidad

Última actualización: 21 de agosto de 2026 · Versión 2.0

Esta política explica qué datos personales trata Peludesk, con qué finalidad, dónde se alojan y qué derechos asisten a quienes figuran en ellos. Se ha redactado conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

1. Quién responde de qué

Peludesk desempeña dos papeles distintos, y de cuál se trate depende a quién hay que dirigirse:

• Datos de la cuenta del salón (nombre del negocio, correo, teléfono, datos fiscales, datos de las personas del equipo): Peludesk es el responsable del tratamiento.
• Datos de la clientela del salón (nombre, teléfono, correo, historial de citas y notas profesionales como alergias o fórmulas): el salón es el responsable y Peludesk actúa como encargado del tratamiento, tratándolos únicamente para prestar el servicio y siguiendo las instrucciones del salón.

Peludesk no utiliza los datos de la clientela de un salón para ninguna finalidad propia: ni para publicidad, ni para estadísticas comerciales, ni para entrenar modelos, ni para ofrecérselos a otro salón. Tampoco se venden ni se ceden a terceros.

2. Responsable del tratamiento

• Titular: Iker García Martínez
• NIF: 72751026W
• Domicilio: Calle Manuel Iradier 22, 01005 Vitoria-Gasteiz (Álava), España
• Correo: info@peludesk.es

3. Qué datos se tratan y con qué base jurídica

• Cuenta y acceso — nombre, correo, contraseña cifrada, y si se activa, la verificación en dos pasos. Para autenticar, comunicar y operar el servicio. Base: ejecución del contrato (art. 6.1.b).
• Datos del negocio — nombre comercial, dirección, horarios, servicios, equipo y datos fiscales. Para configurar el espacio del salón y facturarle. Base: ejecución del contrato y obligación legal (art. 6.1.b y 6.1.c).
• Datos de la clientela del salón — los que el salón introduce o los que la persona facilita al reservar. Para la agenda, la ficha y los avisos de cita. Base: la que determine el salón como responsable, habitualmente la ejecución del contrato de servicio.
• Registros técnicos y de auditoría — accesos, cambios relevantes y direcciones IP asociadas. Para seguridad, prevención de abuso y soporte. Base: interés legítimo en la seguridad del servicio (art. 6.1.f).

4. Notas de la ficha y datos de salud

La ficha de cliente permite anotar información profesional. Algunas anotaciones habituales en un salón —una alergia, una reacción a un producto— pueden constituir datos relativos a la salud y quedar amparadas por el artículo 9 del RGPD, que exige una condición adicional de licitud.

Peludesk no impone qué se anota: es el salón, como responsable, quien decide y quien debe contar con el consentimiento explícito de la persona cuando anote datos de esa naturaleza. Peludesk se limita a custodiarlos con el mismo nivel de protección que el resto y a no acceder a ellos salvo petición de soporte del propio salón.

5. Aislamiento entre salones

Cada salón tiene su espacio separado. La separación no se confía a la disciplina de quien programa: está impuesta en la propia capa de acceso a datos, de modo que una consulta que no indique a qué salón pertenece no llega a ejecutarse. Antes de cada actualización del servicio se ejecuta una batería de pruebas automáticas que intenta deliberadamente acceder a datos de otro salón; si alguna lo consiguiera, la actualización se detiene y no llega a publicarse.

6. Dónde se alojan los datos

Toda la infraestructura de Peludesk está en servidores situados en la Unión Europea:

• Servidor principal: Oracle Cloud Infrastructure, región eu-madrid-1 (Madrid, España). Aquí residen la aplicación y la base de datos, es decir, la totalidad de los datos en uso.
• Copias de seguridad: Cloudflare R2, con la jurisdicción de almacenamiento restringida a la Unión Europea, opción del servicio que garantiza que los objetos permanecen en centros de datos de la UE.

Los datos personales se procesan en España y se respaldan en la Unión Europea. No se replican fuera del Espacio Económico Europeo.

7. Copias de seguridad y cifrado

• Cifrado en origen. La copia se cifra en el propio servidor antes de transmitirse. Lo que viaja y lo que se almacena son bloques cifrados.
• Custodia de la clave. La clave de descifrado obra exclusivamente en poder del responsable y no se entrega al proveedor de almacenamiento: Cloudflare no puede leer el contenido de las copias, ni a petición propia ni de un tercero.
• Verificación semanal. Cada semana se restaura automáticamente la última copia y se comprueba la integridad de los datos recuperados.
• Retención. Las copias de los últimos 14 días, las 8 últimas semanales y las 12 últimas mensuales. Las anteriores se eliminan solas, también en el proveedor.

8. Cuánto tiempo se conservan los datos

• Cuenta activa: mientras lo esté.
• Tras cancelar: 90 días, por si se desea reactivar o exportar la información. Después se eliminan.
• Facturación: los plazos fiscales y mercantiles aplicables (mínimo 4 años).
• Registros de auditoría: 12 meses.
• Copias de seguridad: hasta 12 meses, según lo indicado en el apartado 7.

Sobre la supresión y las copias. Cuando se atiende una solicitud de supresión, los datos se eliminan de inmediato del sistema en uso. Las copias de seguridad son inmutables por naturaleza —no se pueden alterar sin destruir la garantía de integridad que las hace útiles—, de modo que los datos pueden subsistir en ellas hasta su rotación, con un máximo de 12 meses. Durante ese periodo quedan bloqueados: no se usan para nada, y solo se accedería a ellos si hubiera que restaurar el servicio tras un incidente grave, en cuyo caso la supresión volvería a aplicarse de inmediato.

9. Subencargados del tratamiento

Para prestar el servicio, Peludesk recurre a los proveedores que se enumeran a continuación, que actúan como subencargados y están vinculados por el correspondiente contrato de tratamiento conforme al artículo 28 del RGPD. Se nombran uno a uno de forma deliberada: un salón tiene derecho a saber exactamente quién interviene y a oponerse a un subencargado en concreto.

Si en el futuro se incorporase un subencargado nuevo, se anunciará en esta página y se comunicará a los salones antes de empezar a utilizarlo, para que puedan oponerse.

Los avisos internos de funcionamiento del servicio se envían al equipo por Telegram. Esos avisos están diseñados para no contener ningún dato personal: informan de que ha ocurrido algo (un alta, un error, el resultado de una copia de seguridad), nunca de a quién le ha ocurrido. Por eso Telegram no figura como subencargado: no recibe datos personales.

10. Seguridad

Se aplican las medidas del artículo 32 del RGPD atendidas la naturaleza de los datos y el riesgo. Entre otras:

• Cifrado del tráfico mediante TLS en todo el servicio.
• Contraseñas guardadas con función de derivación resistente (bcrypt), nunca en claro.
• Verificación en dos pasos disponible para todas las cuentas del salón.
• Bloqueo temporal tras intentos fallidos y limitación de peticiones por hora.
• Registro de auditoría de las operaciones sensibles.
• Base de datos no accesible desde internet: solo la aplicación puede alcanzarla.
• Cifrado de las copias de seguridad en origen y verificación semanal de que se pueden restaurar.

En caso de violación de seguridad que afecte a datos de la clientela de un salón, Peludesk lo comunicará al salón sin dilación indebida, conforme al artículo 33.2 del RGPD, con la información necesaria para que este pueda cumplir sus propias obligaciones de notificación. Cuando la violación afecte a datos de los que Peludesk es responsable, se notificará a la Agencia Española de Protección de Datos en el plazo de 72 horas y, si el riesgo fuera alto, a las personas afectadas.

11. Derechos

Se pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como retirar el consentimiento en cualquier momento, escribiendo a info@peludesk.es. El ejercicio es gratuito y se resuelve en el plazo máximo de un mes.

Si eres cliente de un salón, el responsable de tus datos es el salón: dirígete a él en primer lugar. Si prefieres escribir a Peludesk, trasladaremos la solicitud al salón y le ayudaremos a atenderla; lo que no podemos es resolverla por nuestra cuenta, porque no somos quienes decidimos sobre esos datos.

Asiste también el derecho a reclamar ante la Agencia Española de Protección de Datos (www.aepd.es), C/ Jorge Juan 6, 28001 Madrid.

12. Decisiones automatizadas

No se adoptan decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten significativamente a las personas, en el sentido del artículo 22 del RGPD, ni se elaboran perfiles.

13. Cambios en esta política

Esta política puede actualizarse para reflejar cambios en el servicio, en los subencargados o en la normativa. La fecha de revisión figura al principio. Cuando el cambio sea sustancial —en particular, la incorporación de un subencargado nuevo— se comunicará de forma individualizada antes de su entrada en vigor.

14. Contacto

info@peludesk.es