Contrato de encargado del tratamiento
En resumen. Los datos de tus clientes son tuyos: CitaDirecta solo los usa para atender tu WhatsApp de citas y llevar tu agenda, nunca para fines propios. Se guardan en servidores de la Unión Europea, los mensajes se borran solos a los 12 meses y, si te das de baja, te llevas una copia y borramos el resto. Este resumen no sustituye al contrato, que es el texto que sigue.
Versión del 11 de octubre de 2026.
Entre:
- El Cliente (responsable del tratamiento): la persona o empresa que contrata CitaDirecta, con los datos de identificación y de facturación que facilita al contratar.
- CitaDirecta (encargado del tratamiento): Javier Loaisa Corral, con NIF 74004347F y domicilio en C/ Doctor Fleming, n.º 16, bajo 3, 03720 Benissa (Alicante).
Este contrato acompaña a las condiciones del servicio de CitaDirecta y cumple lo que exige el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
1. Objeto
El Cliente contrata a CitaDirecta un asistente virtual que atiende por WhatsApp a las personas que le piden cita. Para prestar ese servicio, CitaDirecta trata datos personales de esas personas por cuenta del Cliente y siguiendo sus instrucciones. Este contrato regula ese tratamiento.
2. Qué se trata, de quién y para qué
| Personas afectadas | Clientes y posibles clientes del Cliente que escriben al número de WhatsApp que atiende el asistente. Si ese número es el de siempre del Cliente, también las demás personas que le escriben (ver más abajo). |
| Datos | Nombre y apellidos, número de teléfono, servicio solicitado, profesional elegido, fecha y hora de la cita, y el contenido de la conversación por WhatsApp. |
| Finalidad | Contestar a las solicitudes, ofrecer horas libres, apuntar, cambiar y cancelar citas, enviar el recordatorio del día anterior y pasar la conversación al Cliente cuando hace falta. |
| Operaciones | Recogida, registro, conservación, consulta, comunicación al Cliente y supresión. |
| Duración | Mientras dure el contrato de servicio. |
Datos de salud y otras categorías especiales. El asistente no pide ni registra datos de salud: para apuntar una cita solo necesita el nombre, el teléfono y el servicio. Aun así, una persona puede escribir por su cuenta información de salud en un mensaje. Ese texto queda en la conversación hasta que se borra según el apartado 8. El Cliente se compromete a no pedir al asistente que recoja este tipo de datos y a no usar el servicio para ello.
Si el asistente atiende el número de siempre del Cliente. A ese número escriben también personas que no piden cita, como familiares, amigos o proveedores. Para saber si un mensaje trata de citas, CitaDirecta lo analiza de forma automática con el modelo de inteligencia artificial del apartado 6. A los mensajes que no tratan de citas el asistente no contesta: CitaDirecta los conserva un máximo de 7 días, solo para poder interpretar los siguientes mensajes de esa misma conversación, no los muestra en el panel y después los borra. Los mensajes que el Cliente envía desde su propia aplicación de WhatsApp también llegan a CitaDirecta: los de una conversación de citas se guardan con ella, y los demás se tratan como los anteriores. Si el Cliente prefiere que este tratamiento no exista, puede usar un número dedicado solo a las citas.
3. Obligaciones de CitaDirecta
CitaDirecta se compromete a:
- Tratar los datos solo para prestar el servicio y según las instrucciones documentadas del Cliente, que son este contrato, las condiciones del servicio y la configuración que el Cliente haga en su panel. No los usará para fines propios.
- Avisar al Cliente si considera que una instrucción suya infringe la normativa de protección de datos.
- Garantizar que las personas que acceden a los datos están obligadas a guardar confidencialidad.
- Aplicar las medidas de seguridad del apartado 5.
- No recurrir a otros encargados sin cumplir el apartado 6.
- Ayudar al Cliente a atender las solicitudes de las personas afectadas (apartado 7).
- Avisar al Cliente de cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y, como máximo, en 48 horas desde que la conozca, con la información disponible para que el Cliente pueda cumplir sus propias obligaciones de notificación.
- Ayudar al Cliente, en lo que le corresponda, con las evaluaciones de impacto y las consultas a la autoridad de control.
- Poner a disposición del Cliente la información necesaria para demostrar que cumple este contrato y permitir auditorías razonables, con un preaviso de 30 días y sin acceso a datos de otros clientes.
- Llevar el registro de actividades de tratamiento que le corresponde como encargado.
4. Obligaciones del Cliente
El Cliente, como responsable, se compromete a:
- Tener una base jurídica para tratar los datos de sus clientes e informarles del tratamiento, incluido que les atiende un asistente virtual con inteligencia artificial y quién presta ese servicio.
- Mantener al día en el panel sus servicios, horarios y profesionales.
- Custodiar sus claves de acceso al panel y dar acceso solo a personas autorizadas.
- Atender las solicitudes de derechos de sus clientes, con la ayuda de CitaDirecta.
5. Medidas de seguridad
- Cada negocio solo ve sus propios datos: el acceso al panel es con usuario y contraseña, y la aplicación separa los datos de cada cliente de CitaDirecta.
- Las comunicaciones van cifradas (HTTPS).
- Las contraseñas del panel se guardan cifradas de forma irreversible.
- Servidores en la Unión Europea, con copias de seguridad diarias.
- Vigilancia automática del servicio, con aviso al equipo de CitaDirecta si falla.
- Los mensajes antiguos se borran automáticamente (apartado 8).
6. Otros encargados (subencargados)
El Cliente autoriza a CitaDirecta a contar con estos proveedores, que tratan datos solo para la función indicada:
| Proveedor | Función | Dónde trata los datos |
|---|---|---|
| YCloud | Envío y recepción de los mensajes de WhatsApp (proveedor de la API de WhatsApp Business de Meta). | Singapur. Transferencia amparada en las cláusulas contractuales tipo de la Comisión Europea. |
| Meta (WhatsApp Business) | Red de mensajería por la que circulan los mensajes. | WhatsApp Ireland actúa como encargado; las transferencias a Estados Unidos se amparan en las cláusulas contractuales tipo. |
| Anthropic | Modelo de inteligencia artificial que redacta las respuestas del asistente y, cuando atiende el número de siempre del Cliente, distingue los mensajes que tratan de citas. Recibe el texto de la conversación. | Estados Unidos. Transferencia amparada en las cláusulas contractuales tipo. Anthropic no usa estos datos para entrenar sus modelos. |
| Hetzner | Alojamiento de los servidores y de las copias de seguridad. | Unión Europea (Alemania o Finlandia). |
| Telegram | Solo si el Cliente activa los avisos por Telegram: recibe el nombre o el teléfono de la persona y el motivo cuando el asistente le pasa una conversación, y el resumen diario de citas. | Fuera del Espacio Económico Europeo. Es una opción que el Cliente activa por decisión propia: si no quiere esa transferencia, basta con no activarla. |
CitaDirecta avisará al Cliente con al menos 30 días de antelación antes de añadir o sustituir un proveedor. Si el Cliente se opone por motivos razonables y no hay alternativa, podrá resolver el contrato de servicio sin penalización. CitaDirecta exige a estos proveedores obligaciones de protección de datos equivalentes a las de este contrato y responde ante el Cliente de su cumplimiento.
Los datos de facturación del propio Cliente (los que usa CitaDirecta para cobrarle) no son objeto de este contrato: respecto a ellos CitaDirecta es responsable, como explica su política de privacidad.
7. Derechos de las personas
Si una persona ejerce ante CitaDirecta sus derechos de acceso, rectificación, supresión, oposición, limitación o portabilidad, CitaDirecta se lo trasladará al Cliente en un plazo de 3 días hábiles y no contestará por su cuenta. A petición del Cliente, CitaDirecta le facilitará los datos de esa persona o los corregirá o borrará.
8. Conservación y borrado
- Mensajes de las conversaciones: se borran automáticamente a los 12 meses, o antes si el Cliente configura un plazo menor en su panel.
- Mensajes que no tratan de citas (solo si el asistente atiende el número de siempre del Cliente): se borran automáticamente a los 7 días.
- Citas y datos de contacto: se conservan mientras dure el servicio, porque forman la agenda del Cliente.
- Al terminar el servicio: el Cliente puede descargar desde su panel (Ajustes → Tus datos) una copia de sus citas y clientes, y CitaDirecta se la entregará si la pide en los 30 días siguientes. Después borrará todos los datos, incluidas las copias de seguridad cuando venza su plazo de retención de 90 días. Podrá conservar bloqueados los datos imprescindibles para atender posibles responsabilidades, durante los plazos legales.
9. Responsabilidad
Cada parte responde de los daños que cause por incumplir este contrato o la normativa de protección de datos. Si CitaDirecta trata los datos para fines distintos de los acordados o incumple las instrucciones del Cliente, será considerada responsable de ese tratamiento.
10. Duración y ley aplicable
Este contrato dura lo mismo que el contrato de servicio. Las obligaciones de confidencialidad y de borrado siguen vigentes después. Se rige por la legislación española.
11. Aceptación
El Cliente acepta este contrato al contratar el servicio, marcando la casilla correspondiente en el alta. No hace falta firma manuscrita: CitaDirecta guarda la fecha de la aceptación y la versión del contrato aceptada, y el Cliente puede consultar este texto en cualquier momento.