Acuerdo de Encargado del Tratamiento (DPA)

Última actualización: agosto 2026

1. Partes

• •El Encargado del Tratamiento: Beauty Strategy, con email hola.beautystrategy@gmail.com.
• •El Responsable del Tratamiento: el centro de estética, clínica o profesional que contrata los servicios de Beauty Strategy (en adelante, "el Cliente").

2. Objeto

Este Acuerdo de Encargado del Tratamiento (DPA, por sus siglas en inglés: Data Processing Agreement) tiene por objeto regular las obligaciones de Beauty Strategy como Encargado del Tratamiento en relación con los datos personales que el Cliente (como Responsable del Tratamiento) le encomienda tratar a través del sistema Beauty Strategy y/o los servicios de consultoría asociados.

3. Finalidad del Tratamiento

Beauty Strategy tratará los datos personales encomendados exclusivamente para las siguientes finalidades:

• •Prestación del servicio Beauty Strategy: interpretación de métricas de negocio (ocupación, recurrencia, ticket medio, cancelaciones) y generación de recomendaciones de priorización.
• •Prestación de servicios de consultoría estratégica (diagnósticos, planes de acción, sesiones de acompañamiento).
• •Soporte técnico y atención a la clienta.

4. Categorías de Datos

Las categorías de datos que Beauty Strategy puede tratar en nombre del Cliente incluyen:

• •Datos identificativos del centro: nombre, dirección, teléfono, email, datos fiscales.
• •Datos de negocio (introducidos por el Cliente): métricas operativas agregadas como ocupación, recurrencia, ticket medio, cancelaciones y otros indicadores de actividad del centro.
• •Datos de acceso: credenciales de la cuenta del centro, registro de actividad.

Beauty Strategy no accede ni trata datos de salud ni datos clínicos de las clientas finales de los centros. Los datos procesados son métricas de negocio agregadas introducidas voluntariamente por la propietaria o directora del centro.

5. Medidas de Seguridad

Beauty Strategy aplica las medidas técnicas y organizativas necesarias para proteger los datos personales tratados en nombre del Cliente:

• •Cifrado en tránsito: todas las comunicaciones se realizan mediante HTTPS/TLS 1.3.
• •Cifrado en reposo: la base de datos (SQLite) utiliza cifrado AES-256-GCM para datos sensibles mediante clave de encriptación gestionada por el servidor.
• •Control de acceso: autenticación con JWT, roles diferenciados y aislamiento multi-tenant entre centros.
• •Backups: copias de seguridad cifradas con periodicidad diaria.
• •Auditoría: registro de accesos y acciones relevantes en el sistema.

6. Subencargados del Tratamiento

Beauty Strategy podrá recurrir a otros subencargados para el tratamiento de datos, cumpliendo con los requisitos del Art. 28.2 y 28.4 del RGPD. Los subencargados actuales son:

• •Infraestructura propia (VPS): alojamiento de la aplicación web y base de datos en servidor dedicado dentro de la UE.
• •NVIDIA Corporation: inferencia de inteligencia artificial (NIM) para la generación de recomendaciones de negocio. Los datos se envían únicamente cuando el usuario solicita una recomendación y no se utilizan para entrenar modelos.
• •Stripe, Inc.: procesamiento de pagos seguro (cuando esté habilitado). Datos tokenizados, sin almacenar números de tarjeta.

7. Obligaciones del Encargado

Beauty Strategy, como Encargado del Tratamiento, se compromete a:

• •Tratar los datos únicamente según las instrucciones documentadas del Cliente.
• •Garantizar la confidencialidad de las personas autorizadas para tratar los datos.
• •Asistir al Cliente en el cumplimiento de sus obligaciones frente a los derechos de los interesados (ARCO).
• •Notificar al Cliente sin dilación indebida (máximo 48 horas) en caso de violación de seguridad de datos personales.
• •Suprimir o devolver los datos al Cliente a la finalización del contrato.

8. Duración

Este DPA permanecerá vigente durante toda la duración de la relación contractual entre Beauty Strategy y el Cliente. A la finalización del contrato, Beauty Strategy procederá a suprimir todos los datos personales tratados en nombre del Cliente, salvo que la legislación exija su conservación.

9. Ley Aplicable

Este DPA se rige por la legislación española y el Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018). Para cualquier controversia, las partes se someten a los juzgados de Madrid.