1. Objeto y partes
Este anexo forma parte de los Términos y condiciones y se celebra entre el negocio suscriptor ("el Responsable") y Sebastián Emmanuel Barrera Fajardo, titular de Bookea ("el Encargado").
Su objeto es regular el tratamiento que el Encargado realiza, por cuenta del Responsable, sobre los datos personales de los clientes finales del negocio, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
Al contratar un plan, el Responsable acepta este anexo. Rige mientras exista la suscripción y sobrevive a su terminación en lo relativo a confidencialidad y devolución o supresión de datos.
2. Quién decide y quién ejecuta
- El Responsable decide para qué se tratan los datos de sus clientes, cuenta con la legitimación necesaria para recabarlos y responde frente a ellos y frente a la autoridad.
- El Encargado los trata únicamente siguiendo las instrucciones del Responsable, materializadas en el uso de las funciones de la plataforma, y no los usa para fines propios.
Respecto de los datos de la propia cuenta del negocio —titular, facturación, verificación, personal— Bookea actúa como responsable, según su Aviso de privacidad.
3. Qué datos y de quién
| Concepto | Detalle |
|---|---|
| Titulares | Clientes finales del negocio y personal que el negocio invite al panel. |
| Categorías de datos | Identificación y contacto (nombre, teléfono, correo), datos de la cita o del pedido, domicilio de entrega, notas, historial de asistencia, importes y reseñas. |
| Datos sensibles | Cuando el negocio pertenece al sector salud, la existencia misma de la cita puede revelar estado de salud. Ver la cláusula 6. |
| Operaciones | Recolección, almacenamiento, consulta, uso, comunicación al Responsable, envío de notificaciones y supresión. |
| Duración | Mientras dure la suscripción, más los plazos de la cláusula 9. |
4. Obligaciones de Bookea como Encargado
Bookea se obliga a:
- Tratar los datos solo conforme a las instrucciones del Responsable y a los fines de operación de la plataforma. No los usa para publicidad propia, no los vende, no los cede ni los cruza entre negocios distintos.
- Guardar confidencialidad, y exigirla a todo su personal, incluso después de terminada la relación.
- Aplicar las medidas de seguridad descritas en la cláusula 8.
- Aislar la información de cada negocio: la base de datos aplica reglas de acceso por fila que impiden que un negocio vea los datos de otro.
- No acceder al contenido de los datos salvo que sea imprescindible para atender una incidencia reportada por el Responsable, prestar soporte o cumplir una obligación legal.
- Asistir al Responsable en la atención de las solicitudes de derechos de sus clientes y en la notificación de vulneraciones.
- Suprimir o devolver los datos al terminar la relación, en los términos de la cláusula 9.
- No contratar subencargados distintos de los listados en la cláusula 7 sin informarlo previamente.
5. Obligaciones del negocio como Responsable
El negocio se obliga a:
- Contar con su propio aviso de privacidad cuando su actividad lo requiera, y ponerlo a disposición de sus clientes.
- Usar los datos de sus clientes exclusivamente para atenderlos. Queda prohibido enviarles publicidad no solicitada, cederlos o venderlos.
- Otorgar acceso al panel solo al personal que lo necesite, con los permisos mínimos, y revocarlo cuando deje de colaborar.
- Atender las solicitudes de acceso, rectificación, cancelación y oposición de sus clientes dentro de los plazos legales.
- Mantener veraz y actualizada la información que publica.
- No introducir en los campos de texto libre datos que la plataforma no está diseñada para tratar, conforme a la cláusula 6.
6. Datos sensibles y sector salud
Si el negocio pertenece al sector salud o presta servicios que revelan datos sensibles, se obliga además a:
- No registrar en Bookea diagnósticos, padecimientos, medicación, resultados de estudios, historia clínica ni cualquier otro dato sensible, ni en las notas de la cita ni en la ficha del cliente ni en el nombre de los servicios.
- Mantener su expediente clínico en el sistema que corresponda, separado de esta plataforma.
- Obtener de sus pacientes el consentimiento expreso que la ley exige para el tratamiento de datos sensibles.
- Observar el secreto profesional que le sea aplicable.
El Responsable asume la responsabilidad que derive de introducir datos sensibles en campos no previstos para ello y mantendrá a Bookea en paz y a salvo frente a reclamaciones por esa causa.
7. Subencargados autorizados
El Responsable autoriza a Bookea a apoyarse en los proveedores necesarios para prestar el servicio. Todos están sujetos a obligaciones de confidencialidad y seguridad equivalentes a las de este anexo:
| Subencargado | Función |
|---|---|
| Supabase | Base de datos, autenticación y almacenamiento de archivos |
| Vercel | Infraestructura y ejecución de la aplicación |
| Resend | Envío de correo transaccional |
| Meta Platforms | Mensajería de WhatsApp |
| Stripe | Procesamiento de pagos de la suscripción |
| Cloudflare | Protección anti-bot |
| Upstash | Control de límites de uso |
| Mapas y traducción del catálogo |
La lista actualizada, con el país donde cada uno trata la información, está en el Aviso de privacidad. Bookea informará de cualquier alta o cambio con antelación razonable.
8. Seguridad y vulneraciones
Bookea aplica, como mínimo: cifrado en tránsito y en reposo; autenticación mediante proveedores de identidad externos, sin contraseñas propias almacenadas; control de acceso por roles y permisos granulares; reglas de aislamiento por negocio a nivel de base de datos; registro de cambios sobre la información del negocio; límites de uso y verificación anti-bot; y copias de seguridad gestionadas por el proveedor de base de datos.
Si Bookea detecta una vulneración de seguridad que afecte datos tratados por cuenta del Responsable, se lo notificará sin demora injustificada al correo de contacto de la cuenta, con la información disponible sobre lo ocurrido, los datos afectados y las medidas adoptadas, y colaborará en lo necesario para que el Responsable cumpla sus propias obligaciones de notificación.
9. Terminación, devolución y supresión
Mientras la suscripción esté vigente, el Responsable puede exportar y consultar la información de sus clientes desde su panel en cualquier momento.
Al terminar la relación, los datos tratados por cuenta del Responsable se conservan y después se suprimen en los plazos publicados:
- Negocio que nunca contrató un plan: supresión definitiva a los 77 días de su primer acceso al panel.
- Negocio suscrito que dejó de pagar: supresión definitiva a los 90 días del cobro fallido.
- Domicilios de entrega de pedidos: se borran a los 90 días de la entrega, incluso con la cuenta activa.
- Registros de pagos y facturación de la suscripción: se conservan 5 años por obligación fiscal. Son datos del Responsable, no de sus clientes.
La supresión es definitiva e irreversible. Es responsabilidad del negocio exportar lo que necesite conservar antes de que venza el plazo; Bookea avisa por correo con antelación.
10. Acreditación del cumplimiento
A solicitud razonable y por escrito del Responsable, Bookea proporcionará la información necesaria para acreditar el cumplimiento de este anexo. Solicitudes a sebastianbarrera@bookea.net.
Las auditorías presenciales sobre la infraestructura de los subencargados no son posibles: se atienden con la documentación de cumplimiento que cada proveedor publica.
11. Vigencia y modificaciones
Este anexo entra en vigor con la contratación del plan y permanece vigente mientras Bookea trate datos por cuenta del Responsable.
Las modificaciones se publican en esta página con su fecha y versión, y las sustanciales se notifican por correo o dentro del panel antes de surtir efecto.