Pocas herramientas han transformado tanto el día a día de las peluquerías y centros de estética como las apps de reserva online. Fresha, Treatwell, Booksy, Planity y similares han pasado en pocos años de ser un complemento a convertirse en la columna vertebral operativa de muchos salones: agenda, ficha del cliente, recordatorios, fidelización, marketing automatizado, cobros, recogida de reseñas.
Esa centralidad obliga a entender bien la posición jurídica que esas plataformas ocupan respecto al centro y los clientes, conforme al RGPD (Reglamento UE 2016/679) y a la LOPDGDD (Ley Orgánica 3/2018). Saberlo evita confusiones operativas y, sobre todo, permite al centro responder con solvencia si un cliente pregunta por el destino de sus datos.
Responsable y encargado: la división de roles
El RGPD distingue dos figuras clave:
- Responsable del tratamiento (art. 4.7 RGPD): quien determina los fines y los medios del tratamiento. En el caso típico, el centro decide para qué quiere tratar los datos del cliente (gestionar la cita, fidelizar, recordatorios) y elige qué herramientas usar.
- Encargado del tratamiento (art. 4.8 RGPD): quien trata los datos por cuenta del responsable, siguiendo sus instrucciones documentadas. Las plataformas SaaS de reserva, en la configuración estándar, ocupan esta figura respecto al centro.
El art. 28 RGPD regula la relación entre ambos. Lo nuclear es que el encargado solo puede tratar los datos para las finalidades del responsable, debe aplicar medidas de seguridad adecuadas, no puede subcontratar sin autorización, asiste al responsable en los derechos de los clientes y, al finalizar el contrato, devuelve los datos al responsable o le permite exportarlos para que el centro pueda cumplir sus propios plazos de conservación, procediendo a la destrucción solo después.
El contrato de encargo (DPA): contenido mínimo
Cada relación responsable-encargado debe constar por escrito (o en formato electrónico equivalente). En el sector estético, las grandes plataformas ofrecen un Data Processing Agreement firmable desde el panel de administración del centro. El contenido mínimo del art. 28.3 RGPD que debe figurar:
| Cláusula | Qué debe decir |
|---|---|
| Objeto, duración, naturaleza y finalidad | Para qué se contrata la plataforma y mientras dure el contrato principal. |
| Categorías de datos e interesados | Identificativos, contacto, historial de citas, posibles datos de salud si el centro los guarda con consentimiento explícito. |
| Obligaciones de confidencialidad | Personal autorizado del encargado, comprometido formalmente. |
| Medidas de seguridad (art. 32 RGPD) | Cifrado, control de accesos, copias de seguridad, evaluación periódica. |
| Subencargados | Lista accesible y procedimiento de notificación de cambios. |
| Asistencia en derechos de los interesados | Acceso, rectificación, supresión, portabilidad, oposición. |
| Notificación de brechas | Plazo y procedimiento de aviso al centro como responsable. |
| Devolución o exportación de datos al cierre | El responsable debe poder recuperar sus datos antes de cualquier destrucción. |
Transferencias internacionales de datos
Buena parte de las plataformas líderes del sector tienen matriz o infraestructura tecnológica fuera del Espacio Económico Europeo, típicamente en Estados Unidos o en Reino Unido. La transferencia de datos de los clientes del centro a esos territorios constituye transferencia internacional y debe ampararse en alguna de las herramientas del Capítulo V del RGPD:
- Decisión de adecuación (art. 45 RGPD): existe para Reino Unido. Para EE.UU., el marco actual es el Data Privacy Framework (DPF): la Comisión Europea adoptó una decisión de adecuación específica para entidades de EE.UU. adheridas al DPF. La adhesión del proveedor concreto debe verificarse en el listado público del DPF.
- Cláusulas contractuales tipo (CCT) (art. 46.2.c RGPD): cuando no hay decisión de adecuación o el proveedor no está adherido al DPF, las CCT actualizadas son la herramienta más común, acompañadas en su caso de una evaluación de impacto de la transferencia.
- Normas corporativas vinculantes (BCR): para grupos multinacionales que las hayan obtenido.
El centro debe identificar, para cada plataforma que utiliza, dónde están los datos y qué herramienta legitima la transferencia. Esta información se obtiene en el aviso de privacidad de la plataforma, en su DPA o en su documentación pública de cumplimiento.
La cláusula informativa al cliente
El art. 13 RGPD obliga al centro a informar al cliente, en el primer contacto, sobre el tratamiento de sus datos. Cuando se usa una plataforma de reserva, la cláusula debe contener específicamente:
- Identidad del responsable (el centro) y datos de contacto.
- Mención de que la gestión de citas se realiza a través de una plataforma tecnológica (nombre del proveedor) que actúa como encargado del tratamiento.
- Finalidades concretas (gestión de la reserva, recordatorios, fidelización si el centro la activa).
- Base jurídica (típicamente ejecución del contrato para la reserva en sí, consentimiento para usos comerciales adicionales).
- Si hay transferencia internacional, su existencia, los países o territorios y la herramienta de legitimación (decisión de adecuación, DPF, CCT).
- Plazos de conservación.
- Derechos del cliente y vía para ejercerlos, incluyendo si pueden ejercerse desde la propia plataforma.
- Derecho a reclamar ante la AEPD.
"Usar una app de reserva no exime al centro de ninguna obligación: la responsabilidad del tratamiento sigue siendo suya. Lo que cambia es que parte del trabajo técnico lo hace la plataforma. El centro profesional firma el DPA, verifica las transferencias internacionales, mete a la plataforma en el RAT y se asegura de que el cliente esté correctamente informado. Hecho eso, la herramienta deja de ser una zona gris y se convierte en lo que debe ser: un proveedor tecnológico bien encajado."
Mario P. Talamillo · Socio director, Certix®
Cuando la plataforma quiere ser algo más que encargado
Hay plataformas del sector que ofrecen al cliente final una cuenta propia desde la que puede reservar en cualquier centro adherido y recibir comunicaciones de la propia plataforma con ofertas, sugerencias o recomendaciones. En esa parte del tratamiento, la plataforma actúa como responsable independiente sobre la cuenta del usuario, no como mero encargado del centro.
La consecuencia práctica es que conviven dos relaciones distintas con el cliente: el centro como responsable de la prestación del servicio estético, y la plataforma como responsable de la cuenta del usuario en su marketplace. Cada uno debe entregar su propia cláusula informativa. El centro, en su cláusula, debe ser claro sobre esta dualidad y no asumir lo que la plataforma le diga al cliente como información cumplida por su parte.
Subencargados y cadena de proveedores
Las plataformas modernas se apoyan en infraestructura cloud, pasarelas de pago, herramientas de email marketing y servicios de SMS para los recordatorios. Cada uno de estos proveedores es subencargado de la plataforma respecto al centro. El art. 28.2 RGPD exige autorización del responsable previa o general para los subencargados, con derecho a oponerse a cambios. La mayoría de DPA estándar contienen una autorización general acompañada de una lista pública de subencargados y un compromiso de notificar las altas.
La diligencia del centro consiste en saber dónde está esa lista, revisarla periódicamente y, si aparece un nuevo subencargado con perfil sensible, valorar si procede objetar.
Brechas de seguridad y rol del centro
Si la plataforma sufre una brecha de seguridad que afecta a los datos de los clientes del centro, la plataforma debe notificar al centro como responsable. El centro evaluará entonces si la brecha le obliga a notificar a la AEPD en menos de 72 horas (art. 33 RGPD) y, en su caso, a comunicarla a los clientes afectados (art. 34 RGPD). El DPA debe contener un compromiso claro de notificación rápida y de colaboración. El centro, por su parte, debe tener un mini-protocolo interno para gestionar el aviso cuando llegue, evitando improvisar.
Checklist mínimo para el centro
- Inventario de plataformas SaaS utilizadas (reserva, pagos, email marketing, SMS, cloud).
- DPA firmado y archivado con cada una.
- Identificación de las transferencias internacionales y verificación de la herramienta de legitimación (DPF, CCT, decisión de adecuación).
- RAT con entrada para cada plataforma como encargado, mencionando transferencias internacionales y categorías de datos.
- Cláusula informativa del art. 13 RGPD entregada al cliente, con mención específica de la plataforma y la transferencia internacional.
- Procedimiento operativo para derechos de los clientes (acceso, rectificación, supresión, portabilidad) desde el panel de la plataforma.
- Procedimiento de notificación de brechas con el contacto técnico de la plataforma.
- Verificación periódica de la lista de subencargados.
- Plan de salida: si el centro cambia de plataforma, exportación de la base de datos antes de la baja.
Preguntas frecuentes
¿Las apps de reserva son encargados del tratamiento?
En la configuración habitual sí: tratan los datos del cliente por cuenta del centro. La relación se formaliza con un DPA art. 28 RGPD, que las grandes plataformas (Fresha, Treatwell, Booksy) ofrecen firmable desde su panel. El centro sigue siendo responsable del tratamiento.
¿La plataforma puede usar los datos para sus propios fines?
En ese caso deja de ser mero encargado y pasa a ser corresponsable o responsable independiente, lo que cambia el régimen. Cuando la plataforma ofrece cuenta propia al cliente final, conviven dos relaciones: centro como responsable del servicio y plataforma como responsable de la cuenta. Ambas deben informar al cliente.
¿Implican transferencias internacionales?
Con frecuencia sí. Para proveedores con sede en EE.UU., la base habitual es la adhesión del proveedor al Data Privacy Framework (DPF). Cuando no hay DPF, son necesarias las cláusulas contractuales tipo y, en su caso, una evaluación de impacto. El centro debe verificar y documentar la herramienta de cada proveedor.
¿Qué obligaciones documentales asume el centro?
DPA firmado y archivado, entrada en el RAT por cada plataforma con mención de transferencias internacionales, cláusula informativa al cliente identificando a la plataforma y la transferencia, y procedimiento interno para gestionar derechos del cliente y notificación de brechas.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Quieres encajar correctamente tu app de reserva y los proveedores SaaS de tu centro?
En Certix te asignamos un experto en cumplimiento del sector estético. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto