Política de privacidad y aviso de protección de datos
Tratamiento y conservación de datos personales y derechos de los interesados.
Funciones y contacto
CBBDigital LLC, 30 N Gould St, Sheridan, WY 82801, USA; info@cbbdigital.us. La empresa del salón es responsable del tratamiento respecto de sus clientes con cita, su personal y la prestación de sus servicios; CBBDigital actúa como encargado del tratamiento siguiendo instrucciones documentadas. CBBDigital es un responsable del tratamiento independiente respecto de sus propios contactos y cuentas comerciales, autenticación, facturación, soporte y seguridad de la plataforma. Las funciones dependen de la actividad real y no únicamente de la denominación contractual.
Datos y finalidades
Los datos pueden incluir datos de contacto del comercio y del personal, roles y hashes de credenciales; nombres/precios de servicios, horarios y permisos/ausencias; nombre del cliente con cita, teléfono y correo electrónico opcional, selección de servicio/personal, hora/estado de la cita, notas operativas, registros de método/importe de pago e informes; preferencias, registros de autenticación/entrega/supresión de envíos; metadatos de seguridad de dispositivo/navegador/sesión/IP; pruebas de pedidos, facturación y aceptación de contratos. Las integraciones pueden implicar identificadores de Meta/WABA/teléfono, tokens de acceso protegidos y vínculos de eventos/cuentas de Calendar. El servicio no se limita al tratamiento de códigos OTP. Los datos completos de tarjetas de pago se introducen en Stripe, no en nuestros formularios de citas.
Bases jurídicas y minimización
La ejecución contractual, las obligaciones legales y los intereses legítimos ponderados respaldan el tratamiento pertinente como responsable propio conforme al artículo 6, apartado 1, letras b), c) y f), del RGPD / UK GDPR, cuando resulte aplicable; se utiliza el consentimiento para canales opcionales cuando es exigible. La lectura de un aviso de privacidad no constituye un consentimiento general. El salón determina las bases jurídicas para el tratamiento de los datos de sus propios clientes y personal. No envíe datos médicos ni otras categorías especiales de datos, copias de documentos de identidad ni números PAN/CVV. El contenido sensible no deseado se restringe y se elimina o anonimiza cuando se identifica; no se ofrece ninguna garantía de filtrado perfecto.
Infraestructura y acuerdos
El alojamiento se realiza a través de Hetzner Online GmbH en el servidor seleccionado de Helsinki, Finlandia; Cloudflare, Inc. proporciona CDN y seguridad de red; Google LLC Workspace proporciona correo electrónico empresarial. Las condiciones aplicables de tratamiento de datos de los proveedores han sido aceptadas mediante los procesos de cuenta pertinentes y se conservan en un archivo de acceso restringido. Los enlaces públicos a proveedores/DPA, las finalidades y las funciones figuran en el directorio de proveedores. Stripe actúa como encargado del tratamiento y como responsable independiente según las funciones de pago, prevención del fraude y obligaciones legales. Las conexiones con Meta/WhatsApp y las conexiones opcionales con Calendar se rigen por sus propias condiciones aplicables.
Acceso internacional y garantías de transferencia
El proveedor es una LLC estadounidense; el alojamiento en Finlandia no impide el tratamiento internacional por parte de proveedores ni el acceso técnico/de soporte transfronterizo autorizado. El Capítulo V del RGPD de la UE, el UK GDPR, la UK Data Protection Act 2018 y el UK International Data Transfer Addendum (UK Addendum) se aplican cuando corresponda; las garantías de la FADP suiza se evalúan para los datos suizos. Cuando sea exigible, los instrumentos de transferencia deben identificar a las partes y módulos adecuados, contener anexos completados y una aceptación vinculante, y estar respaldados por las evaluaciones de transferencia y medidas complementarias necesarias antes de que comience la transferencia restringida. No afirmamos contar con certificación bajo el Data Privacy Framework. Un DPA de proveedor no constituye una autorización general de transferencia para toda relación.
Representantes y autoridades
La necesidad de designar un representante en la UE o el Reino Unido se evalúa conforme al artículo 27 en función del ámbito territorial y del tratamiento real. La condición B2B o el rol de encargado del tratamiento por sí solos no constituyen una exención, y el tratamiento habitual no se considera automáticamente tratamiento ocasional. La representación en Suiza se evalúa conforme al artículo 14 de la FADP cuando resulte pertinente. Ningún representante se describe como designado sin un mandato real. Los interesados pueden ponerse en contacto con info@cbbdigital.us y presentar una reclamación ante la autoridad competente, incluidas la autoridad de control competente en Alemania, la Datenschutzbehörde de Austria, la Information Commissioner’s Office (ICO) del Reino Unido o el FDPIC de Suiza.
WhatsApp y opciones
La integración con WhatsApp está incluida en las suscripciones para salones; el envío de mensajes en sí requiere un remitente operativo, plantillas aprobadas adecuadas de Meta y un consentimiento previo (opt-in) válido e independiente del destinatario. El código OTP verifica el acceso actual al canal, no la identidad legal ni un consentimiento general. Las preferencias de notificación pueden retirarse sin cancelar una cita. No se ofrece servicio de SMS. El texto entrante se procesa de forma transitoria en memoria para reconocer los comandos de baja documentados y no se conserva en el registro del webhook; pueden conservarse los identificadores del evento, el remitente, el tipo y la hora. Pueden registrarse los parámetros de las plantillas salientes y los estados de entrega. No prometemos un cifrado de extremo a extremo absoluto de todo el procesamiento en la Cloud API. STOP, İPTAL, IPTAL, DURDUR, RET, UNSUBSCRIBE, ABMELDEN, STOPZETTEN, AFMELDEN, ARRET, ARRÊT, DESABONNER, DÉSABONNER. wa_id identifica al remitente del canal, no la identidad legal ni un consentimiento general.
Conservación y seguridad
Los controles de acceso, los secretos protegidos, TLS y los registros de auditoría respaldan una seguridad proporcionada. Los metadatos de IP y User-Agent del contrato tienen un proceso independiente de vencimiento y limpieza a los 90 días. Los registros operativos completados de mensajes, webhooks, llamadas a proveedores y Calendar siguen la política de conservación operativa configurada (por defecto, 90 días); esto no elimina automáticamente las pruebas de citas, personal, consentimiento, facturación o contratos. Los registros se conservan para sus finalidades reales y durante los plazos legales aplicables, y posteriormente se revisan para su supresión o devolución. Las nuevas copias de seguridad diarias gestionadas siguen una política de rotación de 30 días, conservando las dos últimas copias válidas de recuperación y cualquier retención legal documentada. Los archivos anteriores con nombre quedan excluidos de esta rotación automática y están sujetos a una revisión independiente de necesidad y supresión. Los archivos de copia de seguridad tienen acceso restringido; la compresión ZIP no constituye cifrado. No prometemos la supresión inmediata a nivel de registro individual dentro de un archivo de copia de seguridad. Antes de una restauración, los registros vigentes de supresión y de baja de notificaciones deben volver a aplicarse y verificarse antes de reanudar el tratamiento; la restauración directa desde SQL/ZIP sin procesar no ejecuta automáticamente dicha reaplicación. La conservación de registros operativos puede configurarse entre 7 y 3650 días; el valor predeterminado es de 90 días.
Derechos y solicitudes
Según la legislación aplicable, las personas físicas pueden solicitar el acceso, la rectificación, la supresión, la limitación del tratamiento, la portabilidad y la oposición, o retirar su consentimiento. Póngase en contacto con el salón para los registros bajo control del salón; CBBDigital le presta asistencia y tramita las solicitudes relativas a su propio ámbito de responsable en info@cbbdigital.us o en la página de supresión de datos. Las solicitudes amparadas por el RGPD/UK GDPR se responden normalmente sin dilación indebida y en el plazo de un mes natural; cualquier prórroga legal se explica dentro de dicho mes. La verificación es proporcionada; no se exige por defecto una copia del documento de identidad. Las solicitudes y cualquier comunicación a autoridades públicas se revisan jurídicamente, se minimizan y se documentan; las solicitudes ilícitas se impugnan cuando procede.
Cookies y alcance
El almacenamiento esencial de autenticación y seguridad respalda el funcionamiento del servicio. El almacenamiento opcional de analítica o marketing requiere la elección independiente aplicable y no queda autorizado por el contrato de servicio. Las nuevas ventas a empresas están limitadas a US, GB, DE, AT y CH. La disponibilidad de idiomas es independiente de la elegibilidad por país; las leyes imperativas pueden seguir aplicándose en función del tratamiento real y de los derechos individuales.
Prueba de aceptación electrónica
Los registros contractuales incluyen el texto canónico aceptado y su hash SHA-256, la fecha y hora y un seudónimo de sesión HMAC (que no constituye una huella persistente del dispositivo); los metadatos de IP sin procesar y User-Agent vencen a los 90 días. La política de revisión a los 6 años de las pruebas de reclamaciones contractuales constituye un hito de revisión inicial, no una supresión automática ni un límite máximo universal. Los contratos activos, las retenciones legales específicas y los plazos de prescripción aplicables se revisan individualmente. Los contratos y recibos están disponibles en https://cbbdigital.us/account/contracts.php. El proceso de pago utiliza una instantánea inmutable del pedido de pago.
Copias de seguridad gestionadas y restauración
Las nuevas copias de seguridad diarias gestionadas siguen una política de rotación de 30 días, conservando las dos últimas copias válidas de recuperación y cualquier retención legal documentada. Los archivos anteriores con nombre quedan excluidos de esta rotación automática y están sujetos a una revisión independiente de necesidad y supresión. Los archivos de copia de seguridad tienen acceso restringido; la compresión ZIP no constituye cifrado. No prometemos la supresión inmediata a nivel de registro individual dentro de un archivo de copia de seguridad. Antes de una restauración, los registros vigentes de supresión y de baja de notificaciones deben volver a aplicarse y verificarse antes de reanudar el tratamiento; la restauración directa desde SQL/ZIP sin procesar no ejecuta automáticamente dicha reaplicación.
13 comandos de baja
La lista completa y exacta de comandos, coincidente con el webhook: STOP, İPTAL, IPTAL, DURDUR, RET, UNSUBSCRIBE, ABMELDEN, STOPZETTEN, AFMELDEN, ARRET, ARRÊT, DESABONNER, DÉSABONNER. Se normalizan las mayúsculas/minúsculas y los espacios en blanco circundantes. Solo coincide un comando completo; el texto entrante se inspecciona de forma transitoria y no se conserva en los registros del webhook.
Verificación empresarial, fiscal y de transferencias
Para jurisdicciones fuera de los Estados Unidos, la aprobación de pedidos en línea requiere además la verificación del registro mercantil/fiscal oficial, la identidad de la empresa y la aplicabilidad de la inversión del sujeto pasivo (reverse charge) para el servicio correspondiente. Los clientes de la UE requieren validación del número de IVA en VIES; los clientes suizos requieren UID y estado MWST activo; los clientes del Reino Unido requieren número de IVA británico o prueba empresarial/HMRC verificada. Un UID o CRN por sí solo no acredita el estado de IVA ni el derecho a la inversión del sujeto pasivo. Un error de API o la falta de pruebas nunca habilita el pago y envía la solicitud a revisión. No vendemos a solicitudes que no superen la verificación. Los mercados en preparación requieren una activación independiente y no están exentos de estas condiciones. El país y el número de IVA se envían al servicio oficial VIES de la UE; la identidad y dirección empresariales devueltas se cotejan con los registros contractuales. Las referencias de las pruebas, la hora de comprobación, el resultado y el alcance del servicio aprobado se conservan para auditoría y se revisan conforme a las obligaciones aplicables de conservación de facturación y contratos. No introduzca un UTR sin procesar en este formulario.