Cumplimiento GDPR

📅 Última actualización: 20 de enero de 2026

🎯 1. Nuestro Compromiso GDPR

CitaNova Technologies SL cumple íntegramente con el Reglamento (UE) 2016/679 del Parlamento Europeo (GDPR). Este documento explica cómo garantizamos tus derechos y protegemos los datos personales que procesamos.

🏆 Certificaciones y Auditorías

✅ Auditoría GDPR anual por consultora externa
✅ Delegado de Protección de Datos (DPO) designado
✅ Evaluaciones de Impacto (DPIA) actualizadas
✅ Acuerdos de Procesamiento de Datos (DPA) con todos los proveedores
✅ Servidores ubicados en la Unión Europea

⚖️ 2. Base Legal del Tratamiento

Procesamos datos personales bajo las siguientes bases legales del GDPR (Artículo 6):

Finalidad	Base Legal	Artículo GDPR
Proporcionar el servicio CitaNova	Ejecución del contrato	Art. 6(1)(b)
Procesamiento de pagos	Ejecución del contrato	Art. 6(1)(b)
Envío de newsletters y marketing	Consentimiento expreso	Art. 6(1)(a)
Análisis y mejora del servicio	Interés legítimo	Art. 6(1)(f)
Conservación fiscal (7 años)	Obligación legal	Art. 6(1)(c)
Prevención de fraude	Interés legítimo	Art. 6(1)(f)

🛡️ 3. Principios GDPR Aplicados

📜

Licitud

Procesamiento legal, justo y transparente

🎯

Limitación Finalidad

Solo usamos datos para fines específicos

📉

Minimización

Recopilamos solo datos necesarios

✅

Exactitud

Datos precisos y actualizados

⏳

Limitación Plazo

Retención solo el tiempo necesario

🔒

Integridad

Seguridad y confidencialidad

👤 4. Tus Derechos bajo GDPR

4.1 Derecho de Acceso (Art. 15)

Qué puedes hacer: Solicitar una copia de todos tus datos personales

Formato: JSON, CSV o PDF

Plazo: 30 días

Costo: Gratuito (primera solicitud)

4.2 Derecho de Rectificación (Art. 16)

Qué puedes hacer: Corregir datos inexactos o incompletos

Cómo: Directamente desde tu panel o por email

Plazo: Inmediato (interfaz) o 7 días (email)

4.3 Derecho de Supresión - "Derecho al Olvido" (Art. 17)

Qué puedes hacer: Solicitar la eliminación de tus datos

Excepciones: Datos fiscales (obligación legal de 7 años)

Plazo: 30 días para borrado completo

Confirmación: Recibirás email de confirmación

4.4 Derecho de Portabilidad (Art. 20)

Qué puedes hacer: Exportar tus datos a otro servicio

Formato: JSON estructurado o CSV

Incluye: Clientes, citas, conversaciones, configuraciones

Disponibilidad: Descarga instantánea desde el panel

4.5 Derecho de Oposición (Art. 21)

Qué puedes hacer: Oponerte al procesamiento de datos

Ejemplos: Marketing, análisis estadísticos, perfilado

Acción: Cese inmediato del procesamiento

4.6 Derecho de Limitación (Art. 18)

Qué puedes hacer: Limitar el uso de tus datos temporalmente

Casos: Disputas de exactitud, procesamiento ilegal

Efecto: Datos "congelados" hasta resolución

Cómo Ejercer tus Derechos

Método	Contacto	Tiempo de Respuesta
📧 Email	info@citanovapro.com	30 días (máximo legal)
🔒 DPO	info@citanovapro.com	30 días
💻 Panel	Configuración → Privacidad	Inmediato

🔐 5. Medidas de Seguridad (Art. 32)

5.1 Seguridad Técnica

✅ Cifrado en tránsito: TLS 1.3 para todas las comunicaciones
✅ Cifrado en reposo: AES-256 para datos almacenados
✅ Contraseñas: Hash bcrypt con salt (nunca texto plano)
✅ Autenticación: JWT con expiración, 2FA disponible
✅ Firewall: WAF (Web Application Firewall) activo
✅ Monitoreo: Detección de intrusiones 24/7
✅ Backups: Automáticos diarios, cifrados, en UE

5.2 Seguridad Organizativa

👥 Acceso restringido: Solo personal autorizado
📝 Acuerdos de confidencialidad con empleados
🎓 Formación continua en protección de datos
📋 Políticas internas documentadas
🔍 Auditorías de seguridad trimestrales

5.3 Plan de Respuesta a Brechas (Art. 33-34)

⚠️ En caso de brecha de seguridad:

🚨 0-24h: Notificación a la AEPD (Agencia Española de Protección de Datos)
📧 0-72h: Notificación por email a usuarios afectados
🔧 Inmediato: Medidas correctivas implementadas
📊 7 días: Informe completo de causa y soluciones

🌍 6. Transferencias Internacionales (Art. 44-49)

Algunos proveedores están fuera de la UE. Para cumplir con GDPR:

Proveedor	Ubicación	Garantía GDPR
Stripe (pagos)	🇺🇸 EE.UU.	✅ Cláusulas Contractuales Estándar (SCC)
SendGrid (emails)	🇺🇸 EE.UU.	✅ SCC + Certificación ISO 27001
OpenAI/Google (IA)	🇺🇸 EE.UU.	✅ SCC + Data Processing Agreement
AWS (hosting)	🇪🇺 Irlanda	✅ Servidores en UE • ISO 27001

📜 Cláusulas Contractuales Estándar (SCC): Contratos aprobados por la Comisión Europea que garantizan el mismo nivel de protección que en la UE.

👨‍💼 7. Delegado de Protección de Datos (DPO)

Contacto DPO (Art. 37-39)

Nombre: [Nombre del DPO o empresa consultora]

Email: info@citanovapro.com

Responsabilidades:

Supervisión del cumplimiento GDPR
Asesoramiento sobre protección de datos
Punto de contacto con autoridades de supervisión
Realización de auditorías internas
Gestión de reclamaciones de usuarios

📊 8. Evaluaciones de Impacto (DPIA - Art. 35)

CitaNova realiza Evaluaciones de Impacto de Protección de Datos (DPIA) para operaciones de alto riesgo:

DPIA Completadas:

Proceso	Fecha	Estado
Sistema de conversaciones IA	Enero 2026	✅ Aprobada
Integración WhatsApp/Instagram	Diciembre 2025	✅ Aprobada
Procesamiento de pagos Stripe	Noviembre 2025	✅ Aprobada
Base de datos de clientes	Octubre 2025	✅ Aprobada

👶 9. Protección de Menores (Art. 8)

⚠️ CitaNova no está dirigido a menores de 18 años.

❌ No recopilamos intencionalmente datos de menores
🔍 Si detectamos una cuenta de menor, la suspendemos inmediatamente
🗑️ Eliminamos todos los datos del menor sin dilación
📧 Notificamos a los representantes legales si los conocemos

🕐 10. Retención de Datos (Art. 5(1)(e))

Tipo de Datos	Período de Retención	Base Legal
Cuenta activa	Mientras uses el servicio	Ejecución del contrato
Cuenta cancelada	30 días (reactivación)	Interés legítimo
Datos fiscales/facturas	7 años	Obligación legal (Ley General Tributaria)
Logs de seguridad	90 días	Interés legítimo
Datos de marketing	Hasta revocación	Consentimiento
Conversaciones IA	365 días o hasta eliminación	Ejecución del contrato

🗑️ Borrado automático: Tras el período de retención, los datos se eliminan de forma segura e irrecuperable.

📢 11. Autoridad de Supervisión

Tienes derecho a presentar una reclamación ante la autoridad de protección de datos:

🇪🇸 Agencia Española de Protección de Datos (AEPD)

Dirección: C/ Jorge Juan, 6, 28001 Madrid

Web: www.aepd.es

Teléfono: +34 901 100 099 / +34 91 266 35 17

Email: internacional@aepd.es

Sede Electrónica: sedeagpd.gob.es

Proceso de Reclamación:

💬 Recomendado: Contacta primero con nosotros (info@citanovapro.com)
📋 Si no hay solución: Presenta reclamación ante la AEPD
🔍 Investigación: La AEPD investiga y media
⚖️ Resolución: Decisión vinculante con posibles sanciones

🔄 12. Actualizaciones de Cumplimiento

CitaNova revisa y actualiza continuamente sus prácticas GDPR:

Próximas Auditorías Programadas

📅 Marzo 2026: Auditoría GDPR anual externa
📅 Trimestral: Revisión de DPIAs
📅 Mensual: Auditoría de seguridad interna
📅 Semanal: Monitoreo de logs y accesos

📧 Contacto GDPR y Privacidad

Soporte General: info@citanovapro.com

Delegado de Protección de Datos: info@citanovapro.com

Departamento Legal: info@citanovapro.com

Plazo de respuesta máximo: 30 días (requisito GDPR)