Política de privacidad

1. Responsable del tratamiento

Responsable: Knöa, nombre comercial de N.R.S

Email de contacto general: hola@helloknoa.com

Email para ejercer derechos en materia de protección de datos: hola@helloknoa.com

2. A quién se aplica esta política

Esta política se aplica a tres tipos de personas:

• Visitantes de esta web (helloknoa.com).
• Profesionales y negocios que se registran en Knöa como clientes del servicio (en adelante, «negocios»).
• Personas que reservan una cita a través de un negocio que usa Knöa (en adelante, «clientes finales»).

Cuando un cliente final reserva una cita, el responsable del tratamiento de sus datos es el negocio que ha contratado Knöa. Knöa actúa como encargado del tratamiento bajo las instrucciones de ese negocio. Cada negocio dispone de su propia información de privacidad accesible desde su página de reserva.

3. Datos que tratamos

De los visitantes de la web:

• Datos técnicos mínimos: dirección IP, tipo de navegador, sistema operativo y página visitada. Se registran en logs de servidor por seguridad y diagnóstico durante un máximo de 30 días.
• No usamos cookies de seguimiento ni herramientas de analítica de terceros en esta web.

De los negocios registrados en Knöa:

• Datos de la cuenta: nombre, email, contraseña (almacenada cifrada).
• Datos del negocio: nombre comercial, CIF, sector, dirección, teléfono, email, logo, horarios y configuración del servicio.
• Datos de profesionales y empleados añadidos: nombre, email, foto y permisos asignados.
• Datos de uso: agenda, citas creadas, servicios ofrecidos, ingresos registrados.
• Datos de facturación: gestionados a través de Stripe; Knöa no almacena datos de tarjeta.

De los clientes finales (que reservan a través de un negocio):

• Nombre.
• Teléfono (en formato E.164 para envió de recordatorios por WhatsApp).
• Email, si lo facilitan voluntariamente.
• Notas opcionales que el cliente o el negocio añaden a la cita.
• Historial de citas con ese negocio: fechas, servicios, importes y estado de cada cita.

4. Finalidades y base legal

Tratamos los datos para los siguientes fines, y con la siguiente base legal:

• Prestar el servicio contratado (gestión de agenda, recordatorios, reservas, pagos): ejecución del contrato (art. 6.1.b RGPD).
• Cumplir con obligaciones legales (facturación, fiscalidad): obligación legal (art. 6.1.c RGPD).
• Garantizar la seguridad del sistema y prevenir abusos: interés legítimo (art. 6.1.f RGPD).
• Mejorar el servicio mediante el análisis de uso agregado y anónimo: interés legítimo (art. 6.1.f RGPD).
• Enviar comunicaciones operativas necesarias (notificaciones de cuenta, cambios del servicio): ejecución del contrato (art. 6.1.b RGPD).
• Enviar comunicaciones comerciales sobre nuevas funcionalidades: consentimiento (art. 6.1.a RGPD), revocable en cualquier momento.

5. Plazos de conservación

• Logs técnicos de servidor: 30 días.
• Datos de cuentas activas: durante toda la vida de la cuenta.
• Datos de cuentas canceladas: hasta 30 días tras la baja, salvo obligaciones legales que exijan conservación superior (facturación: hasta 6 años según el Código de Comercio).
• Datos de clientes finales eliminados: anonimización inmediata. El historial de citas asociado se conserva de forma agregada y sin datos personales identificables, para fines estadísticos del negocio.
• Datos en copias de seguridad: hasta 30 días tras su eliminación del sistema activo.

6. Encargados del tratamiento y proveedores

Para prestar el servicio confiamos en proveedores tecnológicos que tratan datos en nuestro nombre, bajo contrato de encargo de tratamiento conforme al art. 28 RGPD:

• Supabase Inc. (EE. UU.) — base de datos, autenticación y almacenamiento de archivos. Datos alojados en región europea. Transferencia internacional cubierta por cláusulas contractuales tipo (CCT).
• Vercel Inc. (EE. UU.) — infraestructura de alojamiento web y cómputo. Transferencia internacional cubierta por CCT.
• Stripe Payments Europe Ltd. (Irlanda) — procesamiento de pagos y suscripciones.
• Resend Inc. (EE. UU.) — envío de emails transaccionales. Transferencia internacional cubierta por CCT.
• Meta Platforms Ireland Ltd. (Irlanda) — envío de mensajes a través de WhatsApp Business Platform.
• Hostalia (España) — alojamiento del correo corporativo.

No vendemos ni cedemos tus datos a terceros con fines comerciales. Los datos solo se comparten con los proveedores listados en la medida estrictamente necesaria para prestar el servicio.

7. Transferencias internacionales

Algunos proveedores (Supabase, Vercel, Resend) son empresas estadounidenses. En estos casos las transferencias se realizan al amparo de las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión 2021/914) y, cuando aplica, del marco Data Privacy Framework UE-EE. UU.

8. Tus derechos

En cualquier momento puedes ejercer los siguientes derechos:

• Acceso: conocer qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos.
• Supresión: solicitar el borrado de tus datos cuando ya no sean necesarios.
• Oposición: oponerte a determinados tratamientos.
• Limitación: pedir que se restrinja el tratamiento en supuestos concretos.
• Portabilidad: recibir tus datos en formato estructurado (JSON o CSV) para llevártelos a otro proveedor.
• Retirar el consentimiento: cuando el tratamiento se base en él, sin que afecte a la licitud de los tratamientos previos.

Para ejercer cualquiera de estos derechos, escribe a hola@helloknoa.com indicando el derecho que quieres ejercer y adjuntando una copia de un documento que acredite tu identidad. Responderemos en un plazo máximo de un mes.

Si consideras que no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): C/ Jorge Juan 6, 28001 Madrid · aepd.es

9. Medidas de seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo del tratamiento: cifrado en tránsito (HTTPS), cifrado en reposo de la base de datos, contraseñas almacenadas con hash bcrypt, control de accesos por roles, registro de actividad de las acciones críticas y copias de seguridad periódicas.

10. Decisiones automatizadas

Knöa calcula un «índice de fiabilidad» de los clientes finales en función de su historial de citas con un mismo negocio (asistencias, cancelaciones, no-shows). Este índice es solo informativo y no toma decisiones automatizadas con efectos jurídicos sobre el cliente. Cualquier decisión sobre aceptar o rechazar una cita la toma siempre el negocio, no el sistema.

11. Menores de edad

Knöa no está dirigido a menores de 14 años y no recabamos conscientemente datos de menores. Si un negocio gestiona citas de menores a través de Knöa, es responsabilidad del negocio recabar el consentimiento de los progenitores o tutores legales conforme a la normativa aplicable.

12. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o del servicio. La fecha de la última actualización aparece al principio del documento. Si el cambio es sustancial, lo comunicaremos por email a los negocios registrados con al menos 30 días de antelación.