Política de privacidad

1. Quién es el responsable

• Responsable del tratamiento: Enrique Rodríguez Marty
• Domicilio: Calle Corazón de María 5, esc. 1, planta 2, puerta B, 28002 Madrid, España
• Correo de contacto: contact@darcemi.com

Darcemi es una plataforma de gestión de citas para negocios con establecimiento (clínicas, veterinarias, peluquerías, talleres, estudios y similares), accesible en darcemi.com y en los subdominios de cada empresa cliente.

2. Dos papeles distintos, según de quién sean los datos

Esta distinción es la clave para entender el resto del documento.

Darcemi es responsable de los datos de las empresas que contratan el servicio y de las personas que usan el panel de administración: alta, facturación, soporte, seguridad de la cuenta.

Darcemi es encargado del tratamiento de los datos de los clientes finales (pacientes, usuarios, clientes de la empresa) que cada negocio introduce o genera en la plataforma. En ese caso el responsable es la empresa cliente, que decide qué datos recoge y para qué. Darcemi solo los trata siguiendo sus instrucciones y conforme al contrato de encargo firmado con ella.

Si eres cliente final de un negocio que usa Darcemi y quieres ejercer tus derechos, dirígete a ese negocio. Si te diriges a nosotros, trasladaremos tu solicitud al responsable.

3. Qué datos tratamos

De las empresas cliente y sus usuarios del panel: nombre y apellidos, correo electrónico, contraseña (almacenada con hash, nunca en claro), rol y permisos, datos del negocio (nombre, dirección, teléfono, horarios, servicios, profesionales), datos de facturación y registros de actividad y acceso.

De los clientes finales, por cuenta de la empresa: nombre, teléfono, correo electrónico si se aporta, historial de citas, notas que el profesional registre y el contenido de las conversaciones mantenidas por WhatsApp con el negocio.

Datos técnicos: dirección IP, tipo de navegador, fecha y hora de acceso e identificadores de sesión, con fines de seguridad y prevención de abuso.

4. Datos de tu cuenta de Google

Cuando inicias sesión con Google o conectas tu calendario, Darcemi solicita los siguientes permisos y solo para lo que se indica:

Uso limitado (Limited Use). El uso y la transferencia por parte de Darcemi de la información recibida de las API de Google se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos sus requisitos de uso limitado. En concreto:

• No vendemos datos de usuario de Google a terceros.
• No los usamos para publicidad ni para elaborar perfiles publicitarios.
• No los usamos para entrenar modelos de inteligencia artificial generalizados ni de terceros.
• No los transferimos salvo a los proveedores estrictamente necesarios para prestar el servicio (apartado 7), para cumplir la ley o con tu consentimiento expreso.
• Ninguna persona los lee, salvo que nos des permiso explícito para casos de soporte, sea necesario por seguridad o para cumplir la ley, o los datos estén agregados y anonimizados.

Puedes revocar el acceso en cualquier momento desde myaccount.google.com/permissions. Al revocarlo, dejamos de sincronizar el calendario y borramos los tokens almacenados; las citas ya creadas en tu Google Calendar permanecen bajo tu control.

5. Para qué tratamos los datos y con qué base jurídica

6. Cuánto tiempo los conservamos

Mientras el contrato esté vigente. Al terminar, los datos de la empresa cliente se conservan 30 días para su exportación completa y después se eliminan, salvo los que la ley obligue a guardar (facturación: seis años según el Código de Comercio). Si en ese plazo la exportación no se ha entregado, no se eliminan hasta que se entregue: no se destruye una historia que nadie se ha llevado. Los registros de seguridad se conservan 12 meses.

Las solicitudes que llegan por el formulario de la web se conservan 12 meses desde su recepción y después se eliminan.

7. Con quién compartimos datos

No vendemos datos. Recurrimos a los siguientes proveedores, todos con contrato de encargado del tratamiento:

También los cedemos a autoridades públicas cuando exista obligación legal.

Sobre Groq: el asistente de WhatsApp necesita un modelo de lenguaje para entender los mensajes escritos con palabras propias, y hoy lo presta Groq. No se puede desactivar por separado: si la empresa cliente no usa el asistente, no se envía nada. Por cada mensaje que el asistente tiene que interpretar se envía el texto del cliente final (hasta 500 caracteres); si lo último que recibió fue un mensaje automático, ese mensaje, recortado a 500 caracteres y sin su nombre —puede incluir fecha, hora, servicio y profesional de su cita—, y nunca uno escrito por el personal de la empresa cliente ni un recordatorio o aviso enviado como plantilla de WhatsApp; el paso de la conversación en que está, y si tiene o no una cita futura. Cuando la conversación ya la atiende una persona, un mensaje que pueda describir un síntoma se envía igualmente, solo para valorar si es urgente, con el paso de la conversación y si tiene cita futura, sin ningún mensaje anterior. Cuando el mensaje es una pregunta y la empresa cliente tiene preguntas frecuentes activas, en una segunda llamada se envían ese mismo texto y las preguntas de esas FAQ (hasta 25, sin sus respuestas) para elegir cuál la contesta; las preguntas las escribe la empresa cliente sobre su negocio y no son datos personales. Si la empresa cliente usa «Importar» en sus preguntas frecuentes, se envía el contenido que ella aporta —su web, un texto o un PDF, hasta 12.000 caracteres— para proponer borradores. No se envían su teléfono, su ficha, historiales ni ficheros, pero como el cliente final escribe lo que quiere, el texto puede contener datos de salud, como una dolencia. Groq los trata en EE. UU. como subencargado, con las cláusulas contractuales tipo de la Comisión Europea incorporadas en su acuerdo de tratamiento de datos, y según sus condiciones no conserva el contenido de las peticiones salvo registros temporales de hasta 30 días para resolver incidencias o investigar abusos.

8. Transferencias internacionales

Algunos proveedores tratan datos fuera del Espacio Económico Europeo. En esos casos la transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando aplica, en el EU–US Data Privacy Framework.

9. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas escribiendo a contact@darcemi.com, acreditando tu identidad. Responderemos en el plazo máximo de un mes.

Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

10. Seguridad

Ciframos el tráfico con TLS, almacenamos las contraseñas con hash mediante bcrypt, aislamos los datos de cada empresa cliente por identificador de cliente en todas las consultas, aplicamos control de acceso por roles, limitamos los intentos de inicio de sesión y registramos las acciones administrativas.

Ningún sistema es invulnerable. Si se produce una brecha que suponga un riesgo alto para tus derechos, te lo notificaremos y lo comunicaremos a la AEPD dentro de las 72 horas siguientes a su detección.

11. Menores

Darcemi está dirigido a empresas. No creamos cuentas de panel a menores de 18 años. Si una empresa cliente registra datos de menores como clientes finales, es ella quien debe recabar el consentimiento de los titulares de la patria potestad.

12. Cookies

Usamos solo cookies propias, técnicas o de preferencia, necesarias para que la web y el panel funcionen. Son estas:

Ninguna sirve para seguirte por otros sitios. Hoy no usamos cookies de analítica ni de publicidad, ni propias ni de terceros. Si algún día las usáramos, te pediríamos el consentimiento antes de instalarlas y lo indicaríamos en esta política.

13. Cambios en esta política

Si modificamos esta política, publicaremos la nueva versión en esta misma dirección y actualizaremos la fecha del encabezado. Si el cambio es sustancial, avisaremos por correo electrónico a las empresas cliente con al menos 30 días de antelación.