Contrato de encargo de tratamiento — Luce (art. 28 RGPD)

Versión: 2026-10-22.2 · Vigente desde: 22 de octubre de 2026

1. Partes

• Responsable del tratamiento: el Negocio que acepta este contrato al registrarse (identificado por los datos de su cuenta profesional).
• Encargado del tratamiento: Guillermo Weil (autónomo, nombre comercial G—WEIL), NIF 61367003J, domicilio Calle La Matiella, 3, F — 33430 Carreño, Asturias (España), correo de privacidad weilguillermo@gmail.com ("Luce").

2. Objeto, naturaleza y duración

2.1. Luce tratará datos personales por cuenta del Negocio exclusivamente para prestarle el servicio Luce: recepción y gestión de solicitudes de cita, agenda, página pública de reservas, consulta y cancelación de citas, avisos operativos relacionados con la cita y exportación de datos. 2.2. Operaciones: recogida, registro, conservación, consulta, modificación (cancelación/reprogramación), comunicación al propio Negocio, exportación, supresión. 2.3. Duración: la del contrato de servicio, más el plazo de devolución/supresión de la cláusula 11.

3. Datos e interesados

No se tratan categorías especiales de datos (art. 9). El Negocio se compromete a no introducir en campos libres datos de salud u otras categorías especiales.

4. Instrucciones

4.1. Luce trata los datos solo siguiendo las instrucciones documentadas del Negocio, que son: este contrato, las Condiciones del servicio y la configuración que el Negocio realice en su panel. Si Luce considera que una instrucción infringe la normativa, lo comunicará de inmediato al Negocio (art. 28.3 in fine). 4.2. Instrucción expresa sobre cuentas de cliente: cuando un cliente elimine su cuenta Luce, el Negocio instruye a Luce para cancelar sus citas futuras (avisando al Negocio) y anonimizar los datos personales de las pasadas (nombre, correo y teléfono), conservando solo el hueco de agenda. 4.3. Luce no usará los datos para fines propios, ni los comunicará a terceros, ni los utilizará para publicidad o elaboración de perfiles.

5. Confidencialidad

Luce garantiza que las personas autorizadas a tratar los datos (actualmente solo el titular) están sujetas a deber de confidencialidad, que subsiste tras la finalización del contrato (art. 5 LOPDGDD).

6. Seguridad (art. 32)

Medidas actuales: cifrado TLS en tránsito; contraseñas con hash; MFA en el panel de administración; control de acceso por rol y por negocio (aislamiento entre negocios); protección CSRF; limitación de solicitudes; registros de seguridad seudonimizados con retención de 180 días; servidores en la UE (IONOS, Alemania); eliminación de metadatos EXIF de imágenes; copias de seguridad con retención máxima de 30 días. Luce revisará periódicamente estas medidas.

7. Subencargados (art. 28.2 y 28.4)

7.1. El Negocio otorga autorización general para los siguientes subencargados:

7.2. Luce informará al Negocio por correo de cualquier alta o sustitución con 15 días de antelación; el Negocio podrá oponerse por motivos razonados y, si no hay solución, resolver el contrato sin penalización. 7.3. Luce impone a cada subencargado las mismas obligaciones de este contrato y responde de su cumplimiento. 7.4. No se realizan transferencias internacionales de los datos de citas. Si fueran necesarias, se aplicarán garantías del Capítulo V RGPD (cláusulas tipo 2021/914 + evaluación de impacto de la transferencia) y se informará previamente.

8. Derechos de los interesados (art. 28.3.e)

Si un cliente ejercita ante Luce un derecho sobre datos de citas, Luce lo trasladará al Negocio en un máximo de 5 días hábiles y no responderá por su cuenta salvo instrucción. Luce facilita herramientas para que el Negocio atienda los derechos (consulta, rectificación, cancelación, supresión y exportación de citas) El Negocio puede exportar sus citas (CSV/JSON) desde su panel y desde la app en cualquier momento.

9. Brechas de seguridad (art. 33.2)

Luce notificará al Negocio, sin dilación indebida y en un máximo de 48 horas desde que tenga constancia, cualquier violación de seguridad que afecte a sus datos, con la información disponible del art. 33.3 (naturaleza, categorías y número aproximado de afectados y registros, consecuencias probables, medidas adoptadas o propuestas, punto de contacto), ampliándola por fases. Corresponde al Negocio, como responsable, notificar a la AEPD y a los afectados; Luce le asistirá.

10. Asistencia y auditoría

Luce asistirá al Negocio en el cumplimiento de los arts. 32 a 36 (seguridad, brechas, evaluaciones de impacto, consulta previa) teniendo en cuenta la información de que dispone. Pondrá a su disposición la información necesaria para demostrar el cumplimiento y permitirá auditorías razonables, con preaviso de 30 días, a coste del Negocio, una vez al año salvo brecha o requerimiento de autoridad, preferentemente mediante cuestionario y documentación.

11. Fin del encargo: devolución y supresión (art. 28.3.g)

Al terminar el contrato, el Negocio dispondrá de 30 días para exportar sus datos desde el panel. Transcurrido ese plazo, o antes si el Negocio elimina su cuenta y lo confirma expresamente, Luce suprimirá los datos de citas y las copias, salvo que una norma exija conservarlos (en ese caso, bloqueados). Las copias de seguridad se sobrescriben en el ciclo de rotación (máximo 30 días). Luce certificará la supresión si se le solicita.

12. Registro de actividades

Luce mantiene el registro de actividades de tratamiento como encargado (art. 30.2).

13. Obligaciones del Negocio

Informar a sus clientes (art. 13) e identificar su nombre o razón social y contacto en su página de reservas; contar con base jurídica para cada tratamiento; fijar plazos de conservación (por defecto, si no los configura, Luce aplicará: anonimización automática de citas 24 meses después de su fecha, mediante una tarea diaria; el Negocio puede fijar otro plazo en su configuración); supervisar el tratamiento.

14. Responsabilidad

Cada parte responde conforme al art. 82 RGPD. Si Luce trata los datos para fines propios o incumple las instrucciones, será considerado responsable de ese tratamiento (art. 28.10).

15. Ley aplicable

RGPD, LOPDGDD y ley española; jurisdicción según las Condiciones para negocios.