1. Quién es el responsable del tratamiento
Vassweb s. r. o., número de identificación (IČO) 56921021, con domicilio social en Školská 981/36, 931 01 Šamorín, inscrita en el Registro Mercantil del Tribunal de Distrito de Trnava, sección Sro, inscripción n.º 59422/T (en adelante, «nosotros»). Contacto para cuestiones de protección de datos: podpora@terminuj.com.
- Datos de los usuarios de Terminuj (titulares, administradores y personal de los negocios, clientes potenciales del formulario): el responsable somos nosotros.
- Datos de los clientes de los negocios (personas que reservan una cita a través de Terminuj): el responsable es el negocio (salón) en el que reservan. Nosotros somos su encargado del tratamiento conforme al art. 28 del RGPD: tratamos los datos únicamente siguiendo sus instrucciones, sobre la base de un contrato de encargo del tratamiento, no los utilizamos para fines propios y no los vendemos. El negocio puede descargar en cualquier momento los datos de sus clientes (Clientes → Descargarlo todo).
- Medición de visitas de las páginas públicas (inicio, precios, páginas de los negocios /t/…; solo con su consentimiento, Vercel Web Analytics): el responsable somos nosotros, no el negocio; solo nosotros vemos las cifras agregadas de visitas del servicio Terminuj y no las vinculamos con los datos de las reservas.
2. Qué datos tratamos
Usuarios (titular, administrador y personal del negocio):
- Correo electrónico (autenticación)
- Nombre + teléfono (opcional — perfil)
- Idioma + zona horaria (locale)
- Consentimiento para marketing (boletín)
- Dirección IP + User-Agent (registro de auditoría — seguridad)
- Origen del alta del negocio: parámetros de campaña del enlace (utm_source, utm_medium, utm_campaign, utm_content, utm_term), el código promocional y si se trató de un clic en un anuncio de Meta o Google (sin el identificador del clic), para medir la eficacia de nuestra publicidad (interés legítimo, art. 6.1.f) del RGPD). Sin cookies; se conservan mientras exista el negocio.
- Seguridad del inicio de sesión (si la activa): el PIN solo como hash unidireccional, la clave pública de Face ID / huella dactilar (passkey) y el nombre del dispositivo; dispositivos con sesión iniciada en la app (nombre, plataforma, token de notificaciones); suscripciones a notificaciones del navegador (dirección del servicio push, tipo de navegador)
- Miembros del equipo invitados: correo electrónico y rol de la invitación
Clientes potenciales del formulario de la web de Terminuj: empresa, nombre, correo electrónico, teléfono, sector, número de personas, mensaje, origen del enlace (UTM) y dirección IP truncada (/24), para responder a la consulta (art. 6.1.b) del RGPD, medidas precontractuales).
Clientes de los negocios (que reservan una cita), tratados por nosotros como encargados del negocio:
- Nombre, correo electrónico, teléfono (proceso de reserva)
- Historial de reservas (fechas, servicios, precios)
- Nota opcional en la reserva
- Etiquetas y notas del equipo (las añade el negocio; el cliente no las ve)
- Registro de la creación de la reserva (registro de auditoría): correo electrónico, dirección IP, tipo de navegador (User-Agent) y el origen desde el que llegó (parámetros UTM del enlace, si el enlace los contenía)
2a. Medición de visitas: solo con su consentimiento (Vercel Web Analytics)
Si en el banner de cookies permite la categoría Analíticas, en las páginas públicas de Terminuj (inicio, precios, ayuda, páginas legales y páginas de los negocios /t/…) medimos el número de visitas con Vercel Web Analytics, de nuestro proveedor de alojamiento Vercel Inc. La medición no funciona en el área de gestión con sesión iniciada, en la página de una reserva concreta ni en la ventana de reservas insertada en un sitio web ajeno. La herramienta no utiliza cookies, no guarda nada en el dispositivo y no crea perfiles.
Al visualizar una página se registra la hora, la dirección de la página (los parámetros distintos de la identificación de la campaña se eliminan antes del envío), de dónde llegó, el tipo de dispositivo, el sistema operativo, el navegador y la ubicación aproximada (país, región, ciudad). Al visitante solo lo distingue una huella temporal (hash) de la solicitud, que se descarta a las 24 horas; la dirección IP no se guarda con los registros. Solo vemos cifras agregadas de visitas, no personas concretas.
Responsable: Vassweb s. r. o. (también en la página de un negocio; el negocio no recibe estas estadísticas); Vercel Inc. es nuestro encargado del tratamiento. Base jurídica: su consentimiento, art. 6.1.a) del RGPD y § 109, apartado 8, de la Ley eslovaca n.º 452/2021 Z. z., de comunicaciones electrónicas (el script envía datos desde el navegador, por lo que necesita consentimiento aunque no use cookies; Directrices 2/2023 del CEPD, apartado 33). Puede retirar su consentimiento en cualquier momento mediante «Ajustes de cookies» en el pie de la página; la retirada no afecta a la medición anterior a ella.
2b. App móvil Terminuj
La app está destinada a los negocios y a su equipo. En ella no se crean cuentas. Al iniciar sesión tratamos el correo electrónico de la cuenta; la contraseña no se guarda en la app y en el almacenamiento seguro del teléfono solo queda un token de inicio de sesión. En una nueva reserva tratamos el nombre, el correo electrónico y el teléfono del cliente y la nota que introduce el personal del negocio, para gestionar las reservas del negocio.
La app no contiene publicidad ni analítica de terceros, no le rastrea entre apps y no lee la ubicación, los contactos ni las fotos del teléfono. Puede solicitar la eliminación de su cuenta en la app, en el apartado Ajustes, o por correo electrónico a podpora@terminuj.com.
2c. Protección de la prueba gratuita (una prueba por negocio)
La prueba gratuita solo se concede una vez a cada negocio. Para evitar que se obtenga repetidamente, al dar de alta un negocio tratamos:
- El número de identificación (IČO): lo verificamos en el registro público (Registro de Personas Jurídicas de la Oficina de Estadística de la República Eslovaca; si se trata de un IČO checo, el registro ARES); al registro solo le facilitamos el IČO.
- El teléfono del negocio: lo verificamos con un código SMS (el SMS lo envía el proveedor de SMS indicado en el apartado 5).
- La dirección IP y los datos del dispositivo que el navegador envía por sí mismo (tipo de navegador y de sistema, idioma). No guardamos nada en el dispositivo ni leemos nada de él mediante scripts.
El teléfono, la dirección IP, la red y los datos del dispositivo no se conservan de forma legible, sino solo como huella criptográfica unidireccional (HMAC con clave secreta), junto con el IČO y la fecha del alta. Si la huella coincide con una prueba anterior, marcamos el negocio y lo revisa una persona; no bloqueamos nada automáticamente. Si el IČO ya disfrutó de una prueba, el negocio se crea sin prueba.
Base jurídica: interés legítimo en prevenir el uso abusivo de la prueba (art. 6.1.f) del RGPD, considerando 47). Conservamos el registro 12 meses desde el alta y después lo eliminamos automáticamente (aunque usted elimine el negocio antes). Puede oponerse a este tratamiento (art. 21 del RGPD) en podpora@terminuj.com.
2d. Conexión con Google Calendar y otros calendarios
- El Google Calendar del negocio lo conecta el propio titular o un administrador del negocio en Ajustes → Calendario; el Google Calendar propio de un miembro del personal lo conecta él mismo (o el titular o un administrador) en la página de calendario de ese miembro. El acceso se concede en la pantalla de Google (calendar.events, calendar.freebusy). Sin ese paso nunca accedemos a Google Calendar. Los eventos del calendario de un miembro del personal solo bloquean sus propias citas, y en él solo escribimos sus reservas.
- Solo leemos las horas de los eventos del calendario conectado (inicio, fin, si el evento está «ocupado» o «disponible», cancelado o rechazado), no los títulos, descripciones, lugares ni asistentes. Utilizamos las horas únicamente para no ofrecer a los clientes citas cuando el titular está ocupado; no las guardamos en la base de datos y permanecen en la memoria del servidor unos minutos como máximo.
- En el calendario conectado escribimos las reservas del negocio (servicio, nombre de pila e inicial del cliente, estado, enlace al panel) y las modificamos o eliminamos cuando cambian o se cancelan. No escribimos en Google el correo electrónico, el teléfono ni la nota del cliente. Respecto de estos datos de clientes actuamos como encargados del tratamiento del negocio (apartado 1).
- Los tokens de acceso de Google se guardan cifrados (AES-256-GCM). El negocio puede desconectar el calendario en cualquier momento en Ajustes → Calendario (revocamos el acceso en Google y eliminamos los tokens) o en su cuenta de Google (myaccount.google.com/permissions). Los eventos que ya hayamos escrito permanecen en su calendario hasta que los elimine.
- No utilizamos los datos de Google para publicidad, no los vendemos, no los cedemos a terceros (salvo cuando lo exija la ley) y no los utilizamos para entrenar modelos de inteligencia artificial. Las personas de nuestro equipo no los leen, salvo que el negocio lo solicite expresamente (asistencia) o lo exijan la seguridad o la ley.
- Apple y otros calendarios: el negocio puede guardar la dirección de su calendario en formato ICS (p. ej., un calendario público de iCloud). Guardamos la dirección cifrada, descargamos el calendario aproximadamente cada 10 minutos y, como con Google, solo utilizamos las horas de los eventos. En sentido inverso, el enlace secreto de suscripción a las reservas (sin correos electrónicos ni teléfonos de los clientes) lo crea, cambia o revoca el negocio en Ajustes → Calendario.
- Calendario de Apple iCloud (en ambos sentidos, desde el 6 de noviembre de 2026): el negocio o un miembro del personal introduce su Apple ID y una contraseña específica de app (creada en appleid.apple.com, no la contraseña habitual del Apple ID). Guardamos la contraseña cifrada (AES-256-GCM) y la usamos solo para conectarnos al servidor de iCloud (CalDAV): leemos las horas de los eventos del calendario elegido (como con Google, sin títulos ni notas) y escribimos en él las reservas (mismo contenido que con Google). Al desconectar en Ajustes → Calendario eliminamos la contraseña; puede revocarla por completo en appleid.apple.com. El tratamiento por parte de Apple se rige por las condiciones de iCloud de Apple.
- Microsoft Outlook / Microsoft 365 (en ambos sentidos, desde el 6 de noviembre de 2026): el acceso se concede en la pantalla de Microsoft (Calendars.ReadWrite, offline_access, correo de la cuenta). Guardamos los tokens cifrados, leemos solo las horas de los eventos (inicio, fin, ocupado/disponible, cancelado) y escribimos las reservas (mismo contenido que con Google). Al desconectar en Ajustes → Calendario eliminamos los tokens; puede revocar el acceso por completo en account.microsoft.com → Privacidad → Aplicaciones y servicios. Microsoft puede tratar datos fuera de la UE según sus propias condiciones (cláusulas contractuales tipo).
- Base jurídica: ejecución del contrato con el negocio (art. 6.1.b) del RGPD); respecto de los datos de clientes, las instrucciones del negocio como responsable del tratamiento (art. 28 del RGPD).
El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se rigen por la Google API Services User Data Policy, incluidos los requisitos de uso limitado (Limited Use). Terminuj's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
3. Finalidades del tratamiento
- Prestación del servicio de reservas (base contractual, art. 6.1.b) del RGPD)
- Obligaciones contables y fiscales (obligación legal: § 35, apartado 3, de la Ley eslovaca n.º 431/2002 Z. z., de contabilidad)
- Seguridad (registro de auditoría): interés legítimo, art. 6.1.f)
- Prevención del uso abusivo de la prueba gratuita (IČO, teléfono verificado, huellas de la dirección IP y del dispositivo, apartado 2c): interés legítimo, art. 6.1.f)
- Resumen de los orígenes de las reservas para el negocio (parámetros UTM en el registro de auditoría): interés legítimo, art. 6.1.f)
- Marketing (boletín y ofertas): solo con consentimiento (lo activa en el apartado Mi cuenta)
- Correos sobre la prueba gratuita al correo de contacto del negocio (bienvenida, consejo del día 3, 4 días y 1 día antes del final, tras el final, felicitación por la primera reserva): ejecución del contrato e interés legítimo, art. 6.1.b) y f); los consejos y recordatorios (día 3, 4 días antes del final, primera reserva) incluyen en cada correo un enlace para darse de baja con un solo clic (§ 116, apartado 15, de la Ley eslovaca n.º 452/2021 Z. z.)
- Resumen interno de negocios para Vassweb: cada apertura se registra (correo electrónico, dirección IP, navegador) por motivos de seguridad y se elimina a los 365 días; interés legítimo, art. 6.1.f)
- Estadística agregada de visitas de las páginas públicas (Vercel Web Analytics): solo con consentimiento, art. 6.1.a) del RGPD (apartado 2a)
4. Plazos de conservación
- Facturas (documentos contables): 10 años desde el final del año en que se emitieron (§ 35, apartado 3, de la Ley eslovaca n.º 431/2002 Z. z.). Incluso tras eliminar el negocio, las conservamos en el archivo hasta el final de este plazo y después las eliminamos.
- Reservas y datos de los clientes del negocio: mientras exista la cuenta del negocio. A un cliente sin reservas ni visitas durante 36 meses le anonimizamos el nombre, el correo electrónico, el teléfono y las notas; las reservas que terminaron antes de ese plazo pierden sus notas. El registro de la reserva (fecha, servicio, precio) se mantiene sin datos personales.
- Registro de actividad de la cuenta (registro de auditoría): 365 días (por motivos de seguridad)
- Registro de la creación del negocio y de la aceptación de las Condiciones generales (versión, hora, dirección IP, tipo de navegador): mientras dure el contrato; se extingue al eliminar el negocio
- Registro de la creación de la reserva (registro de auditoría): 365 días; después lo eliminamos, incluidos el correo electrónico del cliente, la dirección IP, el tipo de navegador y los parámetros UTM
- Asistente de alta del negocio sin terminar: como máximo 30 días desde el último cambio; una vez creado el negocio, lo eliminamos de inmediato
- Invitaciones al equipo: 30 días después de su caducidad o cancelación
- Registro de su elección en el banner de cookies: 4 años (sin dirección IP)
- Registro de la prueba gratuita (IČO y huellas del teléfono, la dirección IP, la red y el dispositivo, apartado 2c): 12 meses desde el alta del negocio; después lo eliminamos
- Registros de envío de webhooks: 90 días
- Registros de notificaciones enviadas: 90 días
- Consulta del formulario de la web de Terminuj: como máximo 12 meses desde su envío o tramitación (lo que ocurra más tarde); después la eliminamos. Antes, si así lo solicita.
- Medición de visitas (solo con consentimiento): la huella del visitante (hash) 24 horas; después Vercel la descarta y solo quedan cifras agregadas sin dirección IP.
- Eliminación de un negocio: 7 días para restaurarlo; después eliminamos definitivamente todos sus datos (salvo las facturas del archivo). Si el titular no tiene otro negocio, eliminamos también su cuenta de usuario y su acceso.
- Cuenta de usuario: mientras la utilice; eliminación a petición (art. 17, más abajo) o junto con la eliminación del último negocio.
5. Destinatarios de los datos
No vendemos datos. Solo los tratan los siguientes proveedores nuestros (subencargados del tratamiento conforme al art. 28 del RGPD), cada uno únicamente en la medida de su función:
- Supabase: base de datos e inicio de sesión; datos almacenados en la UE (Fráncfort)
- Vercel: alojamiento de la aplicación; el servidor funciona en la UE (Fráncfort). Solo con su consentimiento, también la medición de visitas de las páginas públicas (Vercel Web Analytics, apartado 2a); Vercel Inc. (EE. UU.) puede tratarla también en EE. UU.
- Resend: envío de correos electrónicos (confirmaciones, cambios y recordatorios de reservas, correos de inicio de sesión)
- Stripe: pagos de la suscripción a Terminuj (pasarela de pago Stripe Checkout y portal)
- Cloudflare, Inc. (EE. UU.): protección de los formularios frente a bots (Cloudflare Turnstile) en el inicio de sesión, el formulario de reserva y el formulario de consulta; trata la dirección IP y datos técnicos del navegador solo para distinguir a una persona de un bot
- Upstash, Inc.: contadores de protección frente a abusos (solo una huella de la dirección IP, de unos minutos a unos días) y el registro de su elección en el banner de cookies (sin dirección IP, 4 años)
- Servicios push de Apple, Google y Mozilla: entrega de notificaciones cifradas al panel instalado en el navegador o en el teléfono (no pueden leer el contenido)
- Google (Google Ireland Ltd. / Google LLC): solo si el propio negocio conecta su Google Calendar (apartado 2d); las reservas se escriben en su propia cuenta de Google y se leen las horas de sus eventos
- BulkGate (TOPefekt s.r.o., Šumperk, Chequia): confirmaciones, cambios y recordatorios de reservas por SMS, si el negocio los activa
Varios de estos proveedores son empresas con sede en EE. UU. Si los datos pudieran ser accesibles fuera de la UE/EEE, la transferencia está protegida por cláusulas contractuales tipo conforme a la Decisión de Ejecución (UE) 2021/914 de la Comisión o por el Marco de Privacidad de Datos UE-EE. UU.
6. Sus derechos (arts. 15 a 22 del RGPD)
- Art. 15, acceso: puede descargar una copia de todos sus datos en Cuenta → Exportación de datos personales (/dashboard/account/export) o solicitarla por correo electrónico
- Art. 16, rectificación: modifique su perfil en el apartado Mi cuenta o escriba al servicio de asistencia
- Art. 17, supresión: correo electrónico a podpora@terminuj.com. La atenderemos en un plazo de 30 días (art. 12.3).
- Art. 18, limitación: puede solicitar la limitación del tratamiento
- Art. 20, portabilidad: descargue sus datos en /dashboard/account/export (formato JSON + CSV)
- Art. 21, oposición: puede oponerse en cualquier momento al tratamiento basado en el interés legítimo (registro de seguridad, orígenes de reservas y altas, protección de la prueba) en podpora@terminuj.com; los correos de marketing se desactivan en Cuenta → Correos de marketing o mediante el enlace del correo
- Art. 22, decisiones automatizadas: no tomamos automáticamente decisiones con efectos jurídicos o de importancia similar. Solo evaluamos automáticamente si el IČO ya disfrutó de una prueba gratuita (apartado 2c); en ese caso, el negocio se crea sin prueba. Si no está de acuerdo, escriba a podpora@terminuj.com: lo revisará una persona
Facilitar un correo electrónico es requisito para celebrar el contrato (sin él no podemos crear la cuenta); los demás datos del perfil son voluntarios.
Los clientes de los negocios ejercen estos derechos ante el negocio (salón), que es el responsable de sus datos. Si nos envía una solicitud, la remitiremos al negocio sin dilación indebida y le ayudaremos a atenderla (art. 28.3.e) del RGPD).
7. Cookies
Sin consentimiento solo utilizamos cookies y almacenamiento del navegador necesarios: el inicio de sesión del negocio (Supabase) y el bloqueo del panel con Face ID / PIN (solo tras iniciar sesión), su elección en el banner de cookies, el modo claro u oscuro que haya elegido (solo si lo cambia) y los datos de contacto de la última reserva, solo si al reservar marca «Recordar mis datos». Los parámetros del enlace (UTM) solo los recordamos para la página siguiente con su consentimiento (Analíticas). La protección contra bots Cloudflare Turnstile se carga en el inicio de sesión y en los formularios y trata datos técnicos del navegador solo para distinguir a una persona de un bot (apartado 5). No utilizamos cookies analíticas ni publicitarias. Solo con su consentimiento (categoría Analíticas) medimos las visitas de las páginas públicas sin cookies con Vercel Web Analytics (apartado 2a); puede retirar el consentimiento mediante «Ajustes de cookies» en el pie de la página. La lista completa, con la finalidad y el plazo de conservación, figura en la Política de cookies.
8. Tratamiento transfronterizo
Tanto la base de datos (Supabase) como el servidor de la aplicación (Vercel) están en la UE (Fráncfort). Fuera de la UE/EEE (EE. UU.) pueden tratar datos: Stripe, Resend, Cloudflare, Upstash, Vercel Inc. (medición solo con su consentimiento, apartado 2a), Google (calendario conectado del negocio, apartado 2d). La transferencia está protegida por el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795 de la Comisión) si el destinatario está certificado en él y, en otro caso, por cláusulas contractuales tipo (Decisión (UE) 2021/914). Si lo solicita, le enviaremos una copia de las garantías.
9. Reclamaciones
Tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de la UE en el que tenga su residencia habitual, su lugar de trabajo o en el que se haya producido la supuesta infracción (art. 77 del RGPD). En Eslovaquia es la Oficina de Protección de Datos Personales de la República Eslovaca (Úrad na ochranu osobných údajov SR):
dataprotection.gov.sk
Galvaniho 7/B, 821 04 Bratislava
10. Cambios de esta política
Esta política puede actualizarse. Le informaremos de los cambios sustanciales por correo electrónico con 14 días de antelación. Versión de este documento: 1.5 (en vigor desde el 6 de noviembre de 2026; 1.4 y 1.3 desde el 1 de noviembre de 2026; 1.2 desde el 22 de octubre de 2026; 1.1 desde el 20 de octubre de 2026; 1.0 desde el 7 de junio de 2026).