Política de privacidad del servicio Citavela

Versión 1.5 · 1 de octubre de 2026

Esta política explica cómo se tratan los datos personales en la aplicación Citavela: el panel de los negocios, sus páginas de reserva (/reservar/…) y la atención por WhatsApp. La página de la lista de espera de citavela.com tiene su propia información en ese sitio.

1. Quién es quién: Responsable y Encargado

Citavela tiene dos papeles distintos, según de quién sean los datos.

Datos de los negocios usuarios y de sus cuentas (las personas que acceden al panel): Citavela es el responsable del tratamiento.

Datos de los clientes de cada negocio (quien reserva o escribe por WhatsApp): el responsable es cada negocio, que decide para qué y cómo los usa. Citavela actúa como encargado del tratamiento: los trata solo por cuenta del negocio, según sus instrucciones y el contrato de encargo que ambos firman en el alta.

Datos del responsable (Citavela):

• Titular: Julio Gonzalez Bas
• NIF: 23956956H
• Domicilio: Paseo Alfonso XIII n.º 10, 4.º B, 30201 Cartagena (Murcia), España
• Contacto para privacidad: info@citavela.com

Citavela no ha designado delegado de protección de datos. PENDIENTE DE REVISIÓN PROFESIONAL: confirmar si es obligatorio.

2. Si eres cliente de un negocio que usa Citavela

Quién responde de tus datos: el negocio con el que reservas o al que escribes. Para ejercer tus derechos, dirígete primero a él; si nos escribes a nosotros, trasladaremos tu solicitud al negocio. Su política propia aparece enlazada en su página de reservas cuando la ha configurado.

Qué datos se tratan:

• Nombre, teléfono y, si lo das, correo electrónico.
• Tus citas: servicio, profesional, fecha, precio, estado y, si se cancela, el motivo que anote el negocio.
• Las notas que el negocio añada a tu ficha.
• Si escribes por WhatsApp: tu número, el contenido de los mensajes y las notas de voz o audios que envíes.
• Hasta qué mensaje ha leído el equipo del negocio tu conversación.
• Si reservas en la página del negocio: la fecha en que se te mostró la información de privacidad.

Para qué:

• Gestionar tus citas.
• Responder a tus consultas.
• Si el negocio lo tiene activado y diste tu consentimiento, enviarte recordatorios por WhatsApp: 24 horas antes, 1 hora antes o los dos, según los tenga activados el negocio. Un mismo consentimiento vale para los dos.
• Con ese mismo consentimiento, si el negocio tiene que cancelar tu cita por un cierre de la agenda, avisarte por WhatsApp y ofrecerte otra fecha.

Consentimiento para los recordatorios: el asistente te lo pregunta tras confirmar una cita. Puedes responder con los botones «Sí, recuérdamela» o «No, gracias», o escribiendo «sí» o «no». El negocio también puede registrarlo por ti. Queda constancia de la fecha y de la respuesta. Si ya lo habías dado y respondes «No, gracias», se retira y te lo confirmamos por WhatsApp, aunque el negocio haya llegado a su tope diario de mensajes.

Aviso de cierre: el aviso automático que te llega si el negocio cancela tu cita por un cierre usa este mismo consentimiento. Si no lo diste, o si lo retiras, tampoco recibes ese aviso; el negocio ve en su panel que no se te pudo avisar.

Base jurídica: la determina el negocio como responsable. Normalmente es la ejecución del servicio que solicitas (artículo 6.1.b del RGPD) y, para los recordatorios, tu consentimiento (artículo 6.1.a).

Asistente automático (IA) por WhatsApp:

• Si el negocio lo activa, algunas respuestas las da un asistente automático. El primer mensaje automático te lo indica.
• Escribe «persona» para que te atienda alguien del equipo.
• Escribe «BAJA» para dejar de recibir mensajes.
• El asistente no cambia ninguna cita sin que pulses el botón de confirmación de la propuesta: «Confirmar cita», «Confirmar cambio» o «Sí, cancelar la cita».
• El asistente no escucha ni transcribe las notas de voz: si le mandas una, te pedirá que escribas lo que necesitas.

Qué recibe el proveedor de IA: solo estos datos:

• tu nombre, si el negocio lo tiene registrado; nunca tu teléfono ni tu correo;
• el texto de tu mensaje y hasta 12 mensajes anteriores de la conversación, cada uno recortado a 500 caracteres;
• el nombre del negocio y sus servicios;
• el servicio, la fecha, la hora y el estado de tus citas.

Si escribes datos personales en el mensaje, esos datos forman parte del texto enviado. Tus notas de voz y audios no se le envían.

No se toman decisiones automatizadas con efectos jurídicos ni se elaboran perfiles de ti.

Notas de voz y audios:

• Si envías una nota de voz o un audio por WhatsApp, Citavela lo descarga de WhatsApp con las credenciales del negocio. Lo guarda en la base de datos de la aplicación (sección 4) para que el equipo del negocio lo escuche desde su panel. Si el navegador de quien lo atiende no puede reproducirlo, el panel le deja guardarlo en su dispositivo: esa copia queda fuera de la aplicación, a cargo del negocio.
• No se transcribe ni se analiza.
• Cada audio puede ocupar como máximo 16 MB. Si no se puede guardar, el negocio ve tu mensaje sin el audio: en ese caso, escríbele lo que necesites.
• En la aplicación, se borra con el resto de la conversación: a los 180 días o si pides la supresión (secciones 6 y 7).

Avisos al negocio: si el negocio lo activa, Citavela avisa por correo a su titular de que tiene una conversación esperando respuesta. Ese aviso no incluye tu nombre, tu teléfono ni tus mensajes.

Añadir la cita a tu calendario: después de reservar en la página del negocio puedes guardar la cita en tu calendario.

• El archivo del calendario lo genera Citavela con el nombre del negocio, el servicio, la fecha y la hora, la referencia de la reserva y, si el negocio la ha indicado, su dirección. No lleva tu nombre, tu teléfono ni tu correo.
• Se descarga con un enlace firmado que caduca al final del día siguiente al de la cita.
• El enlace solo sirve la cita tal como la reservaste. Si después cambia (el día, la hora, el servicio, el profesional o el precio) o se cancela, deja de funcionar y una página te lo explica, sin ningún dato de la cita.
• Según el dispositivo, el botón «Añadir a mi calendario» abre directamente el calendario del iPhone o del iPad (en Safari), abre directamente Google Calendar (en el navegador de Android) o te deja elegir, entre otros, Google Calendar u Outlook (en los demás casos, también dentro de apps como Instagram o Facebook). Si se abre Google Calendar u Outlook, tu navegador va a la web de ese proveedor con esos mismos datos de la cita. Esa parte la tratan Google o Microsoft según sus propias condiciones; Citavela no les envía nada.
• La cita que ya hayas guardado en tu calendario no se actualiza sola si después cambia o se cancela: para cualquier cambio, escribe al negocio.

Cómo llegar: en el móvil, si el negocio ha indicado su dirección, el botón «Cómo llegar» abre Mapas de Apple (en iPhone y iPad) o Google Maps (en los demás dispositivos) con esa dirección. Esa parte la tratan Apple o Google según sus propias condiciones; Citavela no les envía nada.

Si vuelves a abrir tu justificante (por ejemplo, al recargar la página), enseña los datos con los que reservaste e indica si la cita ha cambiado o se ha cancelado, sin decir a qué ha cambiado. Para ello solo se guarda una clave aleatoria: en la pestaña y, si abriste la página dentro de otra app, como Instagram, también en su dirección (sección 9).

3. Si usas el panel como negocio

Qué datos se tratan:

• Cuenta: nombre visible, correo de acceso y, opcionalmente, un correo de contacto. De la contraseña solo se guarda el resumen Argon2id, nunca la contraseña.
• Negocio: nombre, descripción, teléfono, dirección, zona horaria, servicios, precios, horarios, profesionales (nombre) y configuración.
• Seguridad: sesiones, eventos de seguridad y límites de intentos. Se guarda un resumen criptográfico del correo o de la dirección IP, no el valor legible.
• Correo de la cuenta: los enlaces de verificación y de restablecimiento de contraseña se guardan cifrados mientras están pendientes de envío.
• Avisos por correo al negocio: si el titular los activa, un registro de cada aviso: negocio, tipo, fecha y hora, estado del envío, identificador del envío en el proveedor, intentos e identificador interno de la conversación, sin su contenido. Se borra como máximo a los 90 días, y antes si se suprime la conversación. El correo de destino no se guarda en ese registro: se toma, al enviar, del correo de acceso verificado del titular.

Para qué y con qué base:

• Prestar el servicio contratado: ejecución del contrato (artículo 6.1.b del RGPD).
• Proteger la aplicación frente a accesos indebidos y abusos: interés legítimo en la seguridad (artículo 6.1.f).
• Cumplir obligaciones legales, como las fiscales y contables: artículo 6.1.c.
• Avisar al titular del negocio, si lo activa, de que una conversación de WhatsApp espera respuesta y de las incidencias del día que dejan al asistente sin responder (tope de mensajes, límite de uso de IA o asistente no disponible): ejecución del contrato (artículo 6.1.b del RGPD).

PENDIENTE DE REVISIÓN PROFESIONAL: confirmar las bases jurídicas.

No enviamos comunicaciones comerciales desde la aplicación.

4. Proveedores y dónde se tratan los datos

Los proveedores tratan datos solo para prestar su servicio y con contrato de encargo del tratamiento (DPA). Actúan como subencargados de Citavela respecto a los datos de los clientes de los negocios, salvo Meta, que contrata cada negocio, y Resend, que solo trata datos de las cuentas del panel. Todos los datos se comprobaron en su documentación oficial el 22 de septiembre de 2026.

Supabase: base de datos

• Qué datos: todos los datos de la aplicación, incluidas las notas de voz y los audios.
• Dónde: la base de datos está alojada en Fráncfort (UE). Según su guía, la base de datos principal está alojada en la región elegida; sus copias, registros y subencargados pueden afectar a la residencia de los datos.
• Contrato: el DPA forma parte de sus términos. Contrata Supabase Pte. Ltd. (Singapur).
• Copias de seguridad: copias diarias durante 7 días (plan Pro), sin recuperación a un punto en el tiempo.
• Fuentes: DPA, RGPD, copias y subencargados.

Render: alojamiento de la aplicación y de su proceso de tareas

• Qué datos: todo lo que viaja entre el navegador o WhatsApp y la base de datos, más los registros técnicos de la plataforma.
• Dónde: servidores en Fráncfort (UE). El tráfico pasa antes por la protección DDoS de Cloudflare que usa Render.
• Registros: 7 días en el plan Hobby.
• Contrato: DPA incorporado a sus términos. Contrata Render Services, Inc. (EE. UU.).
• Fuentes: DPA, seguridad y subencargados, Cloudflare y registros.

OpenAI: asistente automático, solo si el negocio lo activa

• Qué datos: los descritos en la sección 2: el nombre del cliente, si el negocio lo tiene registrado, y nunca su teléfono, su correo ni sus notas de voz.
• Dónde: sin residencia en la UE. OpenAI la ofrece solo en proyectos creados con esa región y con condiciones adicionales, y el proyecto de Citavela no la tiene.
• Uso de los datos: OpenAI no los usa para entrenar modelos, salvo que el cliente lo acepte expresamente (Citavela no lo acepta). Sus registros de control de abuso se conservan hasta 30 días. La aplicación pide que no se guarde el estado de las conversaciones (store=false).
• Contrato: OpenAI actúa como encargado según su DPA. Contrata OpenAI Ireland Ltd. (Irlanda).
• Fuentes: datos de la API, DPA y subencargados.

Resend: correos de la cuenta y avisos al negocio

• Qué datos: en los correos de la cuenta (verificación y restablecimiento de contraseña), el correo del usuario del panel y el enlace. En los avisos al negocio, que solo recibe el titular si los activa, su correo de acceso, el nombre del negocio y un enlace a la bandeja del panel. Resend no recibe datos que identifiquen a los clientes del negocio ni el contenido de sus conversaciones. El aviso sale en el momento en que la conversación pasa a una persona, así que su hora coincide con la de ese paso, aunque Resend no puede asociarla a nadie.
• Dónde: los correos se envían desde la región UE (Irlanda). La región elegida solo decide desde dónde se envían: los datos de la cuenta, los metadatos de los correos y los registros se guardan en EE. UU.
• Conservación: correos y registros, 30 días; copias de seguridad, 7 días.
• Remitente: los correos llegan de «CITAVELA <no-reply@citavela.com>».
• Contrato: DPA firmado al darse de alta. Contrata Plus Five Five, Inc. (EE. UU.).
• Fuentes: regiones, seguridad, DPA y subencargados.

Meta (WhatsApp Cloud API): mensajes de WhatsApp

• Qué datos: el número y los mensajes de los clientes del negocio, también sus notas de voz y audios, que Citavela descarga con las credenciales del negocio.
• Relación con Citavela: la cuenta de WhatsApp Business, el número y el pago son de cada negocio, que contrata directamente con Meta. Meta actúa como encargado del negocio y no es subencargado de Citavela. Citavela solo se conecta a la API con las credenciales del negocio.
• Contrato: en Europa contrata WhatsApp Ireland Limited.
• Conservación: Meta conserva los mensajes como máximo 30 días.
• Almacenamiento en la UE: existe como opción por número, pero no está activado por defecto.
• Fuentes: privacidad de Cloud API, condiciones de empresa y almacenamiento local.

Google Workspace: correo de Citavela (info@citavela.com)

• Qué datos: la correspondencia con los negocios y las solicitudes de derechos.
• Contrato: Google actúa como encargado según su addendum de tratamiento de datos.
• Fuentes: addendum y subencargados.

5. Transferencias internacionales

Algunos proveedores están fuera del Espacio Económico Europeo o tratan allí parte de los datos. En esos casos la transferencia se ampara en los mecanismos del artículo 46 del RGPD o en una decisión de adecuación.

Mecanismo de cada proveedor, comprobado el 22 de septiembre de 2026:

Fuentes: los DPA enlazados en la sección 4 y el registro oficial del DPF (dataprivacyframework.gov).

Puedes pedir información sobre estas garantías en info@citavela.com.

6. Conservación

Plazos aplicados por la aplicación:

• Clientes y citas: mientras el negocio mantenga su cuenta y no pida la supresión. El historial de citas forma parte del registro del negocio.
• Mensajes de WhatsApp, notas de voz y audios, textos del asistente, eventos del proveedor, trabajos terminados, confirmaciones caducadas y eventos de seguridad: 180 días, mediante un barrido que ejecuta Citavela el día 1 de cada mes. El barrido sustituye el contenido de mensajes y textos por «[caducado]», borra las notas de voz y los audios, reduce los eventos del proveedor a sus identificadores técnicos y borra el resto.
• Fichas de primer contacto: las creadas solo por un primer contacto de WhatsApp, sin ninguna cita ni actividad posterior en esos 180 días, se suprimen completas.
• Avisos por correo al negocio: su registro se conserva 90 días como máximo. Lo borra cada día el proceso de tareas y, si se suprime la conversación, se borra con ella. Resend conserva los correos y sus registros 30 días.
• Duración de las sesiones: una sesión del panel sirve como máximo 12 horas y se cierra tras 30 minutos sin actividad. Si al entrar desde el móvil marcas «Mantener la sesión en este móvil», sirve como máximo 30 días desde que entras y se cierra tras 14 días sin usarla. Las cuentas de administración de la plataforma no pueden mantener la sesión. Esto es lo que dura la sesión, no lo que se conserva su registro.
• Registro de las sesiones: de cada sesión se guarda la cuenta, cuándo empezó, su última actividad, cuándo caduca o se cerró, si se mantuvo en el móvil y la última vez que se volvió a escribir la contraseña. No se guardan la dirección IP ni el dispositivo. Ese registro se conserva mientras exista la cuenta: el barrido mensual no lo borra. Va ligado a la cuenta de la persona, no al negocio, y no se puede suprimir una cuenta sin borrar antes sus sesiones, porque la base de datos lo impide. La aplicación no tiene una función para suprimir cuentas: lo hace Citavela a mano (último punto de esta sección).
• Límites de intentos y de lectura: se guardan sin datos en claro y se borran en el barrido mensual del día 1: como mucho, unos 32 días después de dejar de contar. Los de lectura cuentan lo que consulta una sesión mantenida en el móvil.
• Copias de seguridad de la base de datos: copias diarias que el proveedor conserva 7 días (plan Pro de Supabase). No hay recuperación a un punto en el tiempo: una restauración vuelve a la última copia diaria, así que se podrían perder como máximo los cambios de las últimas 24 horas.
• Supresión a petición: se aplica según la sección 7. Lo suprimido deja de estar en la base de datos activa y desaparece de las copias cuando estas caducan.
• Registros técnicos del servidor y del proveedor de alojamiento: los registros de la plataforma de Render se conservan 7 días (plan Hobby); la aplicación no registra el contenido de los mensajes ni las direcciones IP en sus propios registros.
• Datos de la cuenta del negocio al terminar el contrato: se devuelven o suprimen en un plazo máximo de 30 días, según el contrato de encargo. La baja la tramita Citavela a mano; la aplicación no tiene una baja automática.

7. Tus derechos y cómo ejercerlos

Qué derechos tienes:

• Acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad.
• Retirar en cualquier momento el consentimiento que hayas dado, por ejemplo para los recordatorios, escribiendo «BAJA». Para los recordatorios, también respondiendo «No, gracias» cuando te lo pregunten. Al retirarlo tampoco recibes el aviso automático de cierre, que usa el mismo consentimiento (sección 2).

Cómo ejercerlos:

• Clientes de un negocio: ante el negocio. Desde la aplicación puede exportar tu ficha (datos, citas y mensajes, y la fecha, el tipo y el tamaño de tus notas de voz) y pedir a Citavela que la suprima. La exportación no incluye los archivos de audio: si pides tus notas de voz, el negocio las pide por escrito a Citavela, que se las entrega aparte, tal como se recibieron, mediante un procedimiento manual. La supresión borra tus conversaciones de WhatsApp, con sus notas de voz y audios, elimina el texto de tus mensajes con el asistente y anonimiza tu ficha. El historial de citas se conserva sin identificarte y sin el motivo de cancelación. No se puede suprimir mientras tengas una cita confirmada en curso o futura: antes hay que cancelarla.
• Usuarios del panel y cualquier consulta dirigida a Citavela: escribe a info@citavela.com indicando qué derecho ejerces. Podemos pedirte que acredites tu identidad.

Responderemos en el plazo que fija el artículo 12.3 del RGPD: un mes, prorrogable en los casos que prevé.

Reclamación: si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es), en su sede electrónica.

8. Seguridad

• Cifrado en tránsito: el tráfico viaja cifrado con HTTPS y HSTS. La conexión con la base de datos usa TLS con verificación del certificado.
• Aislamiento entre negocios: cada negocio solo ve sus datos gracias a la seguridad por filas de PostgreSQL, forzada en todas las tablas. La aplicación usa roles de base de datos sin privilegios de administración.
• Accesos: las contraseñas se guardan con Argon2id. Las cookies de sesión solo son accesibles por el servidor, y los formularios del panel se protegen contra peticiones cruzadas (CSRF).
• Sesión mantenida en el móvil: hay que volver a escribir la contraseña si han pasado más de 10 minutos desde la última vez para gestionar los accesos del equipo; exportar, archivar o restaurar la ficha de un cliente, ver las fichas archivadas o vincular una conversación de WhatsApp a una ficha; cambiar la página de reservas o lo que se ofrece en ella (el nombre, la descripción, el precio o la duración de sus servicios, y el profesional que los atiende), el nombre, la descripción, el precio o la duración de cualquier otro servicio activo, aunque no esté en la página, el perfil del negocio, el canal de WhatsApp o la configuración del asistente, de los recordatorios y de los avisos por correo; activar un servicio o crearlo ya activo; confirmar un cierre de la agenda que cancele citas, y seguir consultando después de ver muchas páginas, fichas, conversaciones o notas de voz en poco tiempo. También hay que escribirla para leer o cambiar una ficha archivada.
• Intentos y cierre de sesiones: si hay varios intentos de entrar en la cuenta en poco tiempo, la sesión mantenida en el móvil se cierra la siguiente vez que se vuelva a escribir o se cambie la contraseña. Las cuentas de administración de la plataforma no pueden mantener la sesión ni usar sus pantallas desde una sesión mantenida. Desde «Mi cuenta» se puede cerrar la sesión en todos los dispositivos, y cambiar o restablecer la contraseña las cierra todas.
• Notas de voz: se guardan con el mismo aislamiento entre negocios. El personal del negocio escucha las de las fichas activas y las de las conversaciones que aún no tienen ficha, pero no las de las fichas archivadas. El panel no descarga ninguna hasta que se pulsa para escucharla o, si el navegador no la reproduce, para guardarla en el dispositivo.
• Secretos: las claves de los proveedores solo existen en el servidor, nunca en el navegador ni en el repositorio de código.
• WhatsApp: los avisos de Meta se aceptan solo con firma válida.

9. Cookies y almacenamiento en el navegador

La aplicación no usa cookies de analítica, publicidad ni seguimiento, ni herramientas de terceros en el navegador. Solo usa:

• Cookie de sesión del panel (__Host-session): técnica y necesaria para mantener la sesión iniciada. Dura como máximo 12 horas, solo la lee el servidor de la aplicación y se borra al cerrar la sesión.
• Sesión mantenida en el móvil: si al entrar desde el móvil marcas «Mantener la sesión en este móvil», esa misma cookie dura hasta 30 días (y la sesión se cierra antes tras 14 días sin usarla). La casilla viene desmarcada: marcarla es tu decisión, y la retiras cerrando la sesión. Con una cuenta de administración de la plataforma, la cookie dura 12 horas aunque la marques.
• Almacenamiento de la pestaña (sessionStorage) en la página de reservas: guarda una clave aleatoria para no duplicar una reserva si se corta la conexión y para volver a mostrarte el justificante si recargas la página. No contiene tu nombre ni tu teléfono y se borra al cerrar la pestaña.
• La misma clave en la dirección, solo dentro de otras apps: si abres la página de reservas dentro de otra app (por ejemplo, Instagram o Facebook), al mostrarte el justificante la misma clave aleatoria se añade a la dirección de la página, detrás de «#justificante=». Sirve para que puedas abrir ese justificante en Safari o Chrome y guardar allí la cita, porque esas apps a menudo no abren el calendario. Esa parte de la dirección no llega al servidor. Dentro de la app se mantiene, para que puedas pasar a Safari o Chrome cuando quieras. El otro navegador, en cuanto recupera el justificante, la guarda en su pestaña y la quita de su dirección. Ese enlace es solo para ti: si lo compartes, quien lo abra verá los datos de tu reserva (el negocio, el servicio, el profesional, el día, la hora, el precio y la referencia; nunca tu nombre, tu teléfono ni tu correo), si la cita ha cambiado o se ha cancelado y, mientras siga igual, podrá añadirla a su calendario.
• Preferencia de la agenda del móvil (localStorage), en el panel del negocio: si en la agenda del móvil eliges si se muestran las citas canceladas («Mostrarlas en la agenda»), el navegador recuerda esa elección. Es una preferencia de pantalla: solo guarda «sí» o «no», sin datos personales, y se borra desde los ajustes del navegador.

Al ser elementos técnicos necesarios para el servicio que solicitas, no hace falta un banner de consentimiento: la Guía sobre el uso de las cookies de la AEPD (mayo de 2024, consultada el 22 de septiembre de 2026) exceptúa del consentimiento del artículo 22.2 de la LSSI las cookies de sesión para autenticar al usuario y las de seguridad, y recomienda informar de ellas, como se hace aquí. La cookie de la sesión mantenida en el móvil solo se guarda si marcas esa casilla. Si en el futuro se añadiera analítica o publicidad, se pediría consentimiento antes.

10. Cambios en esta política

Si cambia el tratamiento, se publicará una nueva versión con su fecha. Si el cambio es relevante, se avisará a los negocios usuarios.