1. Quiénes somos y ámbitos

Responsable del tratamiento (Controller):

Ámbito: prestamos un SaaS de gestión de citas y comunicaciones para negocios. Tratamos datos tanto de nuestros clientes (usuarios de pago) como de terceros con los que interactúan nuestros clientes, por ejemplo sus potenciales o actuales clientes que llaman, envían mensajes o reservan citas.

Roles:

• Para datos de cuenta, facturación, analítica de servicio y marketing, CitaFlow es responsable (controller).
• Para datos que tratamos "por cuenta" de un cliente sobre sus propios contactos, llamadas, mensajes, citas y contenidos asociados, CitaFlow actúa como encargado del tratamiento (processor) y nuestro DPA/ATD forma parte del contrato de servicio.
• Algunos proveedores de red y operadores de telecomunicaciones actúan como responsables independientes de ciertos metadatos y obligaciones regulatorias de tráfico.

Transparencia para terceros: El cliente (responsable del tratamiento) debe informar a sus clientes/usuarios de que sus datos serán procesados por CitaFlow como encargado, proporcionando un enlace a esta Política de Privacidad cuando corresponda. Los datos de terceros (clientes de nuestros clientes) se reciben solo por cuenta del cliente; corresponde al cliente informar a sus propios usuarios según el Art. 14 RGPD.

2. Datos que tratamos

2.1 Datos de cuenta y facturación

Nombre, apellidos y datos de contacto, email, teléfono, credenciales de acceso, datos de empresa (razón social, NIF/CIF), direcciones de facturación, histórico de transacciones, plan y estado de suscripción.

2.2 Uso del servicio

• Configuración y preferencias, horarios, agendas y citas.
• Registros técnicos del sistema, identificadores de dispositivos y direcciones IP.
• Eventos de producto y métricas de rendimiento.
• Comunicación operativa y soporte.

2.3 Voz, mensajes y contenidos

Funciones opcionales que usted puede activar y configurar:

• Llamadas entrantes, encaminamiento, señalización y metadatos. El asistente de voz atiende únicamente llamadas entrantes; CitaFlow no realiza llamadas salientes automatizadas.
• Grabaciones de buzón de voz (los mensajes de voz se almacenan como audio).
• Transcripción y procesamiento por IA de audio para asistente, resumen o calidad. Las llamadas gestionadas por el asistente de IA no se graban en formato de audio; únicamente se conserva una transcripción textual aproximada, visible para el negocio en su panel. Las llamadas transferidas a otro número no son grabadas ni transcritas por CitaFlow.
• Mensajería y chat: SMS, WhatsApp, Telegram, Instagram, Facebook Messenger y widget de chat web, incluyendo el contenido de los mensajes (texto y, en su caso, imágenes) y enlaces acortados.

Usted puede desactivar estas funciones y definir retenciones.

2.4 Cookies y tecnologías similares

Usamos tecnologías necesarias para operar el servicio y, si se habilitan, analíticas y marketing, según su configuración de consentimiento. Consulte la Política de Cookies.

2.5 Categorías de interesados

Usuarios administradores y operativos de nuestros clientes, personal de los clientes (incluidos, si el cliente activa el módulo de Equipo, los datos de contacto y registros horarios de sus empleados), y personas que interactúan con los números o canales de comunicación configurados por nuestros clientes.

2.6 Registros de consentimiento y prevención de fraude

Cuando usted o los clientes de nuestros clientes otorgan un consentimiento (por ejemplo, para marketing, citas recurrentes o partners externos), guardamos evidencia con fecha y hora, fuente, dirección IP, user-agent y hash del texto aceptado (Art. 7.1 RGPD). Durante el alta de nuevas cuentas podemos tratar la dirección IP y un identificador técnico del dispositivo para verificar el negocio y prevenir el fraude y el abuso del servicio (interés legítimo).

2.7 Registros de acceso a las webs públicas de reserva

Las páginas públicas de reserva que nuestros clientes publican (en web.citaflow.com o en su propio dominio) generan un registro técnico de acceso por cada visita: fecha y hora, dominio y ruta solicitada, dirección IP, país aproximado derivado de la IP, user-agent, página de procedencia e identificador de la petición. No registramos los parámetros de la dirección ni ningún dato del formulario. Su finalidad es exclusivamente la seguridad y el diagnóstico del servicio: detectar extracción automatizada de datos, abuso e incidencias de disponibilidad. La base jurídica es nuestro interés legítimo en proteger el servicio y a nuestros clientes (Art. 6.1.f RGPD). Respecto de los visitantes de la web de un cliente actuamos como encargado del tratamiento por cuenta de dicho cliente. Estos registros se conservan un máximo de 31 días y después se eliminan automáticamente. El panel de administración y las páginas de gestión de cita quedan fuera de este registro.

3. Finalidades y bases legales

Solo aplicable cuando el RGPD es de aplicación.

Ejecución de contrato: prestar el servicio, operar cuentas y suscripciones, atención y soporte, provisión de números y mensajería, integraciones, seguridad operativa.

Interés legítimo: mejorar y proteger el servicio, detección de abuso y fraude, analítica agregada, comunicaciones operativas no comerciales. Puede oponerse cuando proceda.

Consentimiento: marketing electrónico, cookies no esenciales, grabación de llamadas cuando la normativa nacional lo exige, y funcionalidades opcionales que lo requieran. Puede retirarlo en cualquier momento.

Obligación legal: contabilidad e impuestos, cumplimiento de normas aplicables de telecomunicaciones, respuesta a requerimientos legales válidos y notificación de brechas cuando proceda.

4. Transparencia en funciones de voz e IA (Reglamento (UE) 2024/1689, "AI Act")

CitaFlow incluye un recepcionista basado en inteligencia artificial que puede atender llamadas de voz y conversaciones de chat en nombre de los negocios que lo activan. En cumplimiento del artículo 50 del Reglamento europeo de Inteligencia Artificial, informamos de forma clara cuando una persona interactúa con un sistema de IA:

• Voz: al inicio de cada llamada atendida por el asistente se reproduce un aviso que informa de que la llamada es atendida por una inteligencia artificial y de que la conversación se transcribe. Este aviso está activado por defecto en todos los negocios y no puede desactivarse. No se solicita un consentimiento explícito; es un aviso informativo.
• Chat: en todos los canales de chat (WhatsApp, Telegram, Instagram, Facebook Messenger y widget web), el asistente se identifica como asistente virtual con IA al inicio de la conversación. Esta identificación está activada por defecto y no puede desactivarse.
• El asistente responde con veracidad si se le pregunta si es una inteligencia artificial, y puede derivar la conversación a una persona del negocio.
• El negocio puede personalizar sus mensajes de bienvenida, pero no eliminar la identificación del sistema como IA.
• Puede usar el asistente sin conservar transcripciones extensas, configurando retención mínima.

Proveedores de modelos: las respuestas del asistente se generan mediante modelos de lenguaje de proveedores externos (véase sección 6.1). Utilizamos las API de empresa de dichos proveedores, cuyos términos excluyen el uso de los datos de sus conversaciones para entrenar sus modelos.

Decisiones automatizadas: el asistente gestiona citas y consultas, pero no adopta decisiones que produzcan efectos jurídicos o significativamente similares sobre las personas (véase sección 9). Siempre existe la posibilidad de intervención humana por parte del negocio.

5. Ubicación del tratamiento y transferencias

Almacenamiento principal en la UE:

• Base de datos y almacenamiento: Supabase, región UE, y almacenamiento compatible en la UE.
• API y apps: infraestructura en la UE con Hetzner y Railway según el componente.
• CDN y sitios: Cloudflare.

Accesos desde EE. UU. y otros países: miembros del equipo y algunos proveedores pueden acceder desde fuera del EEE solo cuando sea necesario para prestar el servicio. Cuando el proveedor estadounidense está certificado bajo el EU-U.S. Data Privacy Framework, nos apoyamos en dicha decisión de adecuación; en los demás casos, las transferencias internacionales se realizan bajo las Cláusulas Contractuales Tipo aprobadas por la UE (Decisión 2021/914), acompañadas de salvaguardias técnicas y organizativas adicionales (por ejemplo, cifrado en tránsito y en reposo) según las orientaciones del EDPB tras Schrems II. Se realizan evaluaciones de impacto de transferencia de datos cuando corresponda.

6. Proveedores y destinatarios

No vendemos datos personales. Compartimos datos solo con:

6.1 Encargados del tratamiento (procesadores)

CitaFlow firma acuerdos de tratamiento de datos conformes al Art. 28 RGPD con cada proveedor que actúe como encargado antes de procesar datos por su cuenta. Nuestros principales encargados incluyen:

• Supabase: base de datos, autenticación y almacenamiento (región UE).
• Hetzner y Railway: hosting y servidores.
• Cloudflare: CDN, seguridad perimetral, verificación anti-bot (Turnstile) y gestión de dominios personalizados.
• Twilio: plataforma CPaaS para números y llamadas de voz.
• OpenAI: procesamiento de voz en tiempo real, transcripción de audio e indexación semántica de contenidos cuando usted habilita funciones de IA.
• Google: modelos de lenguaje (Gemini) para el asistente de chat y la moderación de contenidos; Firebase Cloud Messaging para notificaciones push; Google Places para la verificación de negocios en el alta.
• Stripe: cobros y gestión de suscripciones, certificado PCI DSS Nivel 1.
• Brevo (antes Sendinblue): email marketing, gestión de contactos y CRM interno para la gestión de solicitudes de información sobre partners externos.
• SendGrid (Twilio): envío de correo transaccional.
• BulkGate: envío de SMS.
• Sentry: monitorización de errores de la aplicación, con enmascaramiento de contenido.
• Axiom: almacenamiento de registros técnicos de servicio.

Además, utilizamos herramientas autohospedadas en nuestra propia infraestructura (no son destinatarios externos de datos): n8n (orquestación interna de leads y flujos comerciales), Chatwoot (chat de soporte de CitaFlow) y Umami (analítica sin cookies).

6.2 Comunicaciones, canales y operadores

• Twilio: plataforma CPaaS para números y llamadas de voz.
• Operadores subyacentes: por ejemplo Enreach Communications S.L.U. para numeración española.
• Meta Platforms: cuando usted o los clientes de su negocio usan los canales WhatsApp, Instagram o Facebook Messenger, Meta trata los mensajes y los identificadores de perfil como proveedor del canal, conforme a sus propios términos y políticas de privacidad.
• Telegram: cuando se usa el canal de Telegram, Telegram trata los mensajes conforme a sus propios términos.

Algunos operadores, carriers y proveedores de canal tratan ciertos metadatos y obligaciones regulatorias como responsables independientes.

6.3 Empresas afiliadas y cambio de responsable

Podemos compartir datos con empresas de nuestro grupo corporativo (matrices, filiales o entidades bajo control común) que participen en la prestación del Servicio.

En caso de reorganización corporativa, fusión, adquisición, venta de activos o cualquier operación que implique que otra entidad del grupo asuma la condición de responsable del tratamiento o encargado del tratamiento respecto a sus datos, le notificaremos con antelación razonable (típicamente 30 días) por correo electrónico o aviso en producto. La entidad sucesora continuará respetando los compromisos asumidos en esta Política de Privacidad y en nuestro DPA, salvo que se le notifique lo contrario con antelación suficiente para que pueda ejercer sus derechos. Las garantías técnicas y organizativas, retenciones y bases legales aquí descritas se mantendrán o se reforzarán; no se reducirán sin notificación previa.

6.4 Otros destinatarios

Autoridades públicas cuando exista obligación legal, despachos y asesores para defensa jurídica, o terceros en operaciones corporativas (como fusiones, adquisiciones, reorganizaciones o ventas de activos), aplicando las salvaguardas apropiadas.

6.5 Subencargados

Mantenemos una lista actualizada de subprocesadores, con notificación previa de cambios cuando sea posible. Puede suscribirse para recibir avisos.

6.6 Partners externos a los que podemos derivar datos

Cuando usted nos solicita información sobre productos o servicios de un partner externo con el que CitaFlow tiene un acuerdo comercial, podremos compartir con dicho partner los datos necesarios para gestionar su solicitud, como nombre comercial, datos de contacto (email y, si los facilitó, teléfono), país, identificador de usuario en CitaFlow y la información que nos haya facilitado sobre su negocio (por ejemplo, rango de facturación mensual declarado). Esta compartición se realiza únicamente cuando usted lo solicita expresamente o cuando otorga su consentimiento específico en el punto de recogida del dato.

Partner externo actual:

• Teya — proveedor independiente de TPV y servicios de pago, actualmente disponible en España. Cuando usted solicita que Teya le contacte sobre su TPV o servicios de pago desde el panel de CitaFlow, podremos compartir con Teya los datos descritos en el párrafo anterior. Teya tratará sus datos como responsable independiente del tratamiento, conforme a su propia política de privacidad y términos. CitaFlow no es entidad de pago, adquirente, banco, procesador de pagos ni proveedor del terminal. La contratación, aprobación, precios, condiciones, instalación y soporte del TPV y de los servicios de pago corresponden a Teya.

Datos mínimos compartidos: nombre comercial, email del usuario, teléfono (solo si ya consta en la cuenta), país, identificador del usuario en CitaFlow y la información que haya facilitado sobre su negocio (por ejemplo, rango de facturación). No compartimos con el partner datos de tarjeta, CVC, IBAN, documentos de identidad ni información KYC para este flujo de referral.

Finalidad: permitir que el partner externo se ponga en contacto con usted, valore la prestación de sus servicios y, en su caso, formalice la contratación directamente con usted.

Base jurídica: su consentimiento explícito (Art. 6.1.a RGPD) recogido en el momento de solicitar la información o, alternativamente, la ejecución de medidas precontractuales adoptadas a su solicitud (Art. 6.1.b RGPD). Guardamos evidencia de su solicitud y/o consentimiento, incluyendo fecha y hora, identificador de la cuenta, dirección IP, user-agent y hash del texto que aceptó, conforme al Art. 7.1 RGPD.

Compensación por referencia: CitaFlow puede recibir una compensación del partner si usted finalmente contrata sus servicios. Puede solicitar más información sobre esta compensación escribiendo a contacto [arroba] citaflow [punto] com .

Retirada del consentimiento: puede pedirnos en cualquier momento que dejemos de compartir sus datos con el partner desde su panel o escribiendo a privacy [arroba] citaflow [punto] com . La retirada no afecta a los datos que el partner ya haya tratado por su cuenta como responsable independiente: para ello, debe dirigirse directamente al partner conforme a su política de privacidad.

Retención por CitaFlow: mantenemos el registro de su solicitud y la evidencia de consentimiento mientras dure su cuenta y por el plazo necesario para defensa de eventuales reclamaciones, conforme a los plazos generales descritos en la sección 7 de esta Política. Puede solicitar su supresión escribiendo a privacy [arroba] citaflow [punto] com o desde su panel de configuración.

6.7 Integraciones que usted activa

El panel de CitaFlow permite conectar servicios de terceros con la cuenta propia del negocio. Si usted los activa, compartiremos con ellos los datos estrictamente necesarios siguiendo sus instrucciones, y el proveedor los tratará conforme al contrato que usted mantiene con él:

• Google Calendar: sincronización de citas (puede incluir nombre, email y teléfono del cliente citado como datos del evento).
• Stripe Connect: cobros a sus clientes en los que su negocio es el comercio y responsable del cobro.
• Quipu y Alegra: emisión de facturas desde su propia cuenta de facturación (puede incluir el nombre del cliente facturado).
• Shopify: catálogo de productos para ventas y cobros.
• Teya: TPV y servicios de pago (véase sección 6.6).

7. Conservación

• Datos de cuenta: mientras dure la relación y, tras baja, por el tiempo necesario para obligaciones legales, típicamente 3 a 7 años para fiscalidad y contabilidad.
• Registros técnicos de seguridad: 12 meses por defecto.
• Buzón de voz, transcripciones de llamadas y conversaciones de chat: se conservan mientras la cuenta del negocio permanece activa, para que el negocio pueda consultarlas desde su panel, y se eliminan con el ciclo de supresión de la cuenta (sección 7.1). El negocio puede solicitar retenciones más cortas.
• Datos de citas: configurable; por defecto 24 meses.
• Copias de seguridad: rotan en ciclos de hasta 35 días, salvo obligación legal distinta.
• Registros de consentimiento (marketing, citas recurrentes, partners externos): mientras dure la cuenta y hasta 6 años para defensa de eventuales reclamaciones, conforme al Art. 7.1 RGPD.
• Registros de verificación de cuenta y prevención de fraude: el tiempo necesario para proteger el servicio frente a abusos reiterados.

7.1 Ciclo de vida tras cancelación de cuenta

Cuando un usuario cancela su suscripción, sus datos siguen el siguiente ciclo de retención:

• Período de gracia (0–30 días): Todos los datos permanecen intactos. El usuario puede reactivar su cuenta en cualquier momento sin pérdida de datos.
• Archivo (30–90 días): El número de teléfono asignado se suspende, las citas futuras se cancelan automáticamente y se notifica a los clientes afectados. El usuario aún puede reactivar su cuenta, aunque deberá re-verificar su número de teléfono.
• Eliminación permanente (después de 90 días): Los datos personales (clientes, citas, configuración, servicios, chatbot, integraciones) se anonimizan o eliminan de forma irreversible. El número de teléfono se cierra permanentemente.
• Datos de facturación: Se conservan durante 6 años tras la cancelación conforme a la legislación mercantil y fiscal aplicable (art. 30 del Código de Comercio, sin perjuicio de los plazos de prescripción fiscal de la Ley General Tributaria y de la Directiva 2006/112/CE).

Se envían notificaciones por email en cada transición: al cancelar, al archivar y 10 días antes de la eliminación permanente.

7.2 Derecho a la portabilidad y supresión

En cualquier momento durante el ciclo de retención, el usuario puede:

• Exportar sus datos (Art. 20 RGPD): Descargar una copia completa de todos sus datos en un archivo ZIP con ficheros JSON/CSV desde el panel de control o la página de cuenta cancelada.
• Solicitar la supresión inmediata (Art. 17 RGPD): Eliminar permanentemente todos sus datos de forma inmediata, sin esperar al ciclo de retención de 90 días, desde el panel de configuración o contactando a privacy [arroba] citaflow [punto] com .

8. Seguridad

Cifrado en tránsito y en reposo, control de accesos con MFA y RBAC, segregación por proyecto, registro y monitorización, pruebas de seguridad periódicas, gestión de vulnerabilidades, copias de seguridad, y plan de respuesta a incidentes.

9. Sus derechos

Si el RGPD es aplicable, usted puede solicitar: acceso, rectificación, supresión, restricción, portabilidad y oposición, además de no ser objeto de decisiones únicamente automatizadas cuando produzcan efectos jurídicos o similares. También puede retirar su consentimiento en cualquier momento.

CitaFlow respeta todos los derechos de los interesados descritos arriba y no lleva a cabo perfilados ni decisiones automatizadas que produzcan efectos jurídicos o similares sobre los individuos.

Cómo ejercitarlos: Puede ejercer sus derechos de portabilidad (exportación de datos) y supresión (eliminación de cuenta) directamente desde su panel de control en Configuración > Facturación, sin necesidad de contactarnos. Para cualquier otro derecho, escríbanos a privacy [arroba] citaflow [punto] com . Podemos solicitar información adicional razonable para verificar su identidad, evitando pedir documentos innecesarios. Responderemos en el plazo de un mes, ampliable en casos complejos.

Reclamaciones: puede presentar una reclamación ante su autoridad de control local en el EEE. También puede contactar con nuestro representante en la UE (véase sección 12).

9.1 Comunicaciones de marketing — consentimiento y baja

Para enviarle comunicaciones de marketing (promociones, novedades) le pediremos consentimiento explícito en el momento en que capturemos sus datos (formulario de reserva pública, embed, alta manual desde el panel del negocio, importación con declaración del responsable). Cada cambio de su estado de consentimiento se registra en nuestra auditoría con fecha, fuente y, cuando aplica, el hash del texto que vio en el momento de aceptar (RGPD Art. 7.1).

Puede retirar su consentimiento en cualquier momento por cualquiera de estas vías:

• Página pública sin cuenta: citaflow.com/legal/opt-out — solo email o teléfono.
• WhatsApp: escribiendo STOP o BAJA al número del negocio, o usando la opción de WhatsApp para dejar de recibir mensajes de marketing (Meta nos lo notifica automáticamente).
• Telegram: escribiendo STOP o BAJA al bot del negocio.
• Email: a privacy [arroba] citaflow [punto] com .

La baja de marketing no afecta a las notificaciones transaccionales (confirmaciones de cita, recordatorios, notificaciones de pago) que están legitimadas por la prestación del servicio (Art. 6.1.b RGPD).

10. Menores

El servicio no está dirigido a menores. No recopilamos conscientemente datos de menores por debajo de la edad de consentimiento aplicable en su país.

11. Notificación de brechas

Cuando actuamos como responsable del tratamiento: Notificaremos a la autoridad de control competente dentro de las 72 horas siguientes a tener conocimiento de una brecha de datos personales que pueda suponer un riesgo para los derechos y libertades de las personas. Si existe alto riesgo, informaremos a los afectados sin dilación indebida.

Cuando actuamos como encargado del tratamiento: Cuando procesamos datos por cuenta de nuestros clientes, notificaremos al cliente (como responsable del tratamiento) sin dilación indebida tras tener conocimiento de una brecha de datos personales que afecte a sus datos. Proporcionaremos al cliente la información necesaria para cumplir con sus obligaciones de notificación a las autoridades y a los interesados afectados. El cliente, como responsable del tratamiento, es responsable de realizar las notificaciones a las autoridades de control y a los interesados.

12. Representante en la Unión Europea

Conforme al artículo 27 del RGPD, hemos designado a Guillermo Garcia Diaz como nuestro representante en la Unión Europea para cuestiones de protección de datos. El representante actúa como punto de contacto para las autoridades de protección de datos de la UE y para los interesados que deseen ejercer sus derechos en relación con el tratamiento de datos personales. Contactable en Polígono Industrial Les Tàpies, Calle Gil Vernet 54/55 - B #2115, L'Hospitalet de l'Infant, T 43890, España, o a través de privacy [arroba] citaflow [punto] com .

13. Información por regiones

13.1 Espacio Económico Europeo

• Base legal, derechos y reclamaciones según se indica arriba.
• Transferencias internacionales con garantías apropiadas.
• Podemos solicitar que determinados clientes realicen una evaluación de impacto de protección de datos cuando su configuración implique alto riesgo.

13.2 Reino Unido

• Si usted se encuentra en el Reino Unido, el tratamiento se rige por el UK GDPR y la Data Protection Act 2018, y usted dispone de derechos equivalentes a los descritos en la sección 9.
• Puede presentar una reclamación ante la Information Commissioner's Office (ICO, ico.org.uk). También puede dirigirnos cualquier queja a privacy [arroba] citaflow [punto] com ; acusaremos recibo y responderemos en los plazos legales.
• Las transferencias internacionales desde el Reino Unido se amparan en el UK Extension del EU-U.S. Data Privacy Framework o en el International Data Transfer Addendum del ICO, según el proveedor.

13.3 Países hispanohablantes de LATAM

Atenderemos los derechos aplicables en cada jurisdicción y, cuando sea necesario, pondremos a disposición avisos locales adaptados. Si la normativa local exige requisitos adicionales, lo comunicaremos en los acuerdos con el cliente y en la documentación del producto.

14. Cookies y analítica

Usamos cookies y tecnologías similares según las categorías siguientes:

Esenciales: necesarias para operar el servicio, por ejemplo autenticación, seguridad, prevención de fraude y balanceo de carga. Siempre activas.

Analítica: usamos Umami configurado sin cookies y con datos agregados. No crea perfiles para publicidad y no rastrea entre sitios. Dependiendo de la implementación y de la guía de su autoridad local, algunas mediciones sin cookies pueden requerir consentimiento. Cuando sea necesario, pediremos su consentimiento antes de activar la analítica no esencial.

Marketing: podemos usar Meta Pixel y TikTok Pixel para medición de campañas y retargeting. En el EEE, Reino Unido y países con requisitos similares, estos píxeles solo se cargan después de su consentimiento a través del banner de cookies o los ajustes del centro de preferencias. La etiqueta de Google Ads se carga en modo de consentimiento (Consent Mode v2) con el consentimiento denegado por defecto; solo mide conversiones con cookies si usted lo acepta. Puede retirar su consentimiento en cualquier momento y dejaremos de usar estas etiquetas.

Atribución propia: usamos identificadores de origen de visita propios (first-party), sin cesión a redes publicitarias, para saber por qué canal nos conoció; el detalle está en la Política de Cookies.

Gestión de preferencias: mostramos un banner de cookies con control granular y un centro de preferencias donde puede cambiar su elección en cualquier momento. Hasta que otorgue su consentimiento, las etiquetas de marketing no instalan cookies ni envían identificadores publicitarios.

El detalle de proveedores, finalidades y periodos de retención está en la Política de Cookies.

15. Cambios

Publicaremos cualquier cambio en esta página e intentaremos avisar por email o dentro del producto cuando haya modificaciones sustanciales. Indicaremos la fecha de última actualización.

16. Contacto

Anexo A. Controles de configuración recomendados para clientes

• Mantener el aviso de IA en llamadas y chat: viene activado por defecto y no debe eliminarse (Reglamento (UE) 2024/1689, Art. 50). Si personaliza sus mensajes de bienvenida, no retire la identificación del asistente como IA.
• Informar a sus propios clientes de que sus datos se tratan con CitaFlow como encargado (Art. 13/14 RGPD), por ejemplo en su política de privacidad o en el punto de reserva.
• Configurar consentimiento para grabación cuando sea requerido por su país.
• Si activa píxeles publicitarios en su página de reservas o landing, obtener el consentimiento de sus visitantes conforme a la normativa de cookies aplicable.
• Definir retenciones acordes al principio de minimización.
• Limitar accesos y habilitar 2FA para usuarios internos.
• Revisar periódicamente el registro de actividades y el inventario de integraciones.

Anexo B. Lista de proveedores clave y referencias

Supabase, Hetzner, Railway, Cloudflare, Twilio, OpenAI, Google, Stripe, Brevo, SendGrid, BulkGate, Sentry, Axiom. Consulte sus DPA y subencargados en sus páginas de confianza. Actualizaremos esta lista cuando haya cambios relevantes.

Acuerdo de Tratamiento de Datos

Data Processing Agreement / Acuerdo de Tratamiento de Datos (DPA/ATD)

Entre:

1. Cliente identificado en la Orden de Servicio, que actúa como responsable del tratamiento o como encargado de nivel superior, según corresponda, en nombre propio y de sus filiales que utilicen el Servicio ("Cliente").
2. Lince Media LLC, doing business as CitaFlow, 25 SE 2nd Ave, Ste 550 #1172, Miami, FL 33131, Estados Unidos ("Proveedor" o "CitaFlow").

Vigencia: desde la fecha de efecto de la Orden de Servicio y mientras CitaFlow trate Datos Personales por cuenta del Cliente.