Acuerdo de Encargado de Tratamiento (DPA)

Última actualización: 15 de mayo de 2026

El presente Acuerdo de Encargado de Tratamiento (en adelante, el "DPA") regula el tratamiento de datos personales que RudaBook by Primigenum (en adelante, el "Encargado") realiza por cuenta del establecimiento o negocio que utiliza la plataforma (en adelante, el "Responsable"), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).

Este DPA se considera aceptado por el Responsable en el momento en que activa su cuenta de negocio en la plataforma, y forma parte integrante de los Términos y Condiciones y la Política de Privacidad.

1. Identificación de las Partes

1.1. Encargado del Tratamiento

Nombre comercial: RudaBook by Primigenum
Cotitulares: Rubén Pérez Rial (DNI 54225018B) y Daniel Remedios Collazo (NIE Y3951362E)
Domicilio: Avda. Vilar, planta baja exterior A, 15959 Palmeira, Ribeira (A Coruña), España
Email: rudabook@primigenum.com
Teléfono: +34 621 394 652

1.2. Responsable del Tratamiento

El establecimiento o profesional titular de la cuenta de negocio en la plataforma, identificado en el panel de administración con su denominación social o nombre comercial, CIF/NIF, domicilio y datos de contacto facilitados durante el proceso de alta.

2. Objeto

El Encargado tratará datos personales por cuenta del Responsable con la finalidad de prestar los servicios de software contratados a través de la plataforma RudaBook, en particular:

Gestión de reservas de citas (alta, modificación, confirmación, cancelación, recordatorios).
Comunicación con los clientes finales del Responsable mediante el sistema de mensajería de la plataforma.
Registro de pagos, cierres de caja y herramientas de TPV.
Gestión de empleados, horarios, ausencias y fichaje.
Sistema de valoraciones, reseñas y derecho de réplica.
Almacenamiento de imágenes, archivos y contenidos publicados por el Responsable.

3. Naturaleza, Finalidad y Categorías de Datos

3.1. Naturaleza y duración

El tratamiento es continuado durante toda la vigencia de la relación contractual entre el Responsable y el Encargado, y finalizará con la terminación de dicha relación.

3.2. Finalidad

Exclusivamente la prestación de los servicios técnicos descritos en la cláusula 2. El Encargado no utilizará los datos del Responsable para fines propios distintos de los necesarios para la operación de la plataforma y la mejora agregada y anonimizada del servicio.

3.3. Categorías de interesados

Clientes finales del Responsable que realicen o reciban una reserva.
Empleados del Responsable dados de alta en la plataforma.
Personas que contacten con el Responsable a través de los canales habilitados en la plataforma.

3.4. Categorías de datos

Datos identificativos: nombre, apellidos, NIF/NIE.
Datos de contacto: email, teléfono.
Datos de la reserva: fecha, hora, servicio, importe, notas.
Datos económicos: importes cobrados, método de pago (sin datos de tarjeta — procesados por Stripe).
Datos laborales (empleados): horario, ausencias, fichajes, PIN hash.
Para verticales sanitarios (Art. 9 RGPD): excepcionalmente, datos relativos a la salud que el cliente final introduzca en las notas de la reserva (alergias, medicación, antecedentes). El Responsable es plenamente consciente de la naturaleza especial de estos datos y se compromete a tratarlos con las medidas técnicas y organizativas adicionales reforzadas (cifrado, control de acceso estricto, auditoría).

4. Obligaciones del Encargado

El Encargado se compromete a:

4.1. Instrucciones documentadas. Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, incluida cualquier transferencia internacional, salvo obligación legal aplicable al Encargado.
4.2. Confidencialidad. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a un deber legal equivalente.
4.3. Seguridad. Aplicar las medidas técnicas y organizativas apropiadas (Art. 32 RGPD), incluyendo cifrado en tránsito (TLS) y en reposo, hashing de contraseñas (bcrypt 12 rondas), control de acceso basado en roles, registros de actividad sanitizados, copias de seguridad cifradas y separación entre entornos.
4.4. Subencargados. No subcontratar con un tercero la ejecución de los tratamientos sin autorización previa, específica o general, del Responsable. El Responsable autoriza, mediante la aceptación de este DPA, a los subencargados listados en la sección 7. Cualquier alta o sustitución de subencargados se notificará con al menos 30 días naturales de antelación, dando al Responsable la posibilidad de oponerse motivadamente.
4.5. Asistencia. Asistir al Responsable, dentro de lo posible, en el cumplimiento de las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición y decisiones automatizadas).
4.6. Notificación de brechas. Notificar al Responsable sin dilación indebida, y en todo caso dentro de las 48 horas siguientes al conocimiento, cualquier violación de la seguridad de los datos personales tratados por su cuenta, con la información necesaria para que el Responsable pueda cumplir con las obligaciones de notificación a la AEPD (Art. 33 RGPD) y a los interesados (Art. 34 RGPD).
4.7. Evaluaciones de impacto. Asistir al Responsable en la realización de evaluaciones de impacto relativas a la protección de datos (DPIA) y consultas previas a la AEPD, cuando corresponda.
4.8. Devolución o supresión. A elección del Responsable, suprimir o devolver todos los datos personales una vez finalizada la prestación de servicios, suprimiendo igualmente las copias existentes, salvo obligación legal de conservación. El Responsable dispondrá de un periodo de 90 días tras la baja para descargar sus datos antes de la eliminación definitiva.
4.9. Disponibilidad de información. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 RGPD.
4.10. Auditorías. Permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de otro auditor autorizado por él, con un preaviso razonable y de forma que no perjudiquen la actividad del Encargado ni los derechos de los demás clientes.

5. Obligaciones del Responsable

El Responsable se compromete a:

Cumplir con sus obligaciones como responsable del tratamiento conforme al RGPD y a la LOPDGDD, especialmente en cuanto a la información que ha de proporcionar a los interesados y a las bases legales del tratamiento.
Garantizar que dispone de la base legal adecuada para la introducción de datos personales en la plataforma, en particular cuando se trate de categorías especiales (Art. 9 RGPD).
Atender las solicitudes de ejercicio de derechos de los interesados de los que sea responsable.
No utilizar la plataforma para finalidades ilícitas o no autorizadas.

6. Transferencias Internacionales

Algunos subencargados (Cloudflare, Stripe, Axiom, servicios de push de Google y Apple) pueden tratar datos fuera del Espacio Económico Europeo. Estas transferencias se realizan amparadas en mecanismos de garantías adecuadas del RGPD: cláusulas contractuales tipo (SCC) de la Comisión Europea y/o decisiones de adecuación, como el marco UE-EE.UU. Data Privacy Framework.

7. Subencargados Autorizados

El Responsable autoriza expresamente al Encargado a recurrir a los siguientes subencargados de tratamiento:

Railway Corp. — hosting del backend, base de datos PostgreSQL y caché Valkey (EU).
Cloudflare, Inc. — CDN, hosting estático del frontend, almacenamiento de archivos R2.
Resend, Inc. — entrega de correo transaccional.
Stripe Payments Europe, Ltd. (Irlanda) / Stripe, Inc. — procesamiento de pagos y suscripciones.
Google Ireland Ltd. — OAuth 2.0 cuando el usuario opta por iniciar sesión con Google.
Axiom, Inc. — almacenamiento y análisis de registros de actividad de la aplicación.
Servicios de push (Firebase Cloud Messaging — Google, Mozilla Push Service, Apple Push Notification service) — únicamente para entrega de notificaciones. En la web el contenido va cifrado hacia el navegador; en las aplicaciones móviles el aviso puede incluir un texto breve, sin contenido para los mensajes cifrados de extremo a extremo.

La lista vigente de subencargados se mantiene actualizada en la Política de Privacidad sección 3.2.

8. Plazo, Modificaciones y Resolución

Este DPA permanecerá vigente durante toda la duración del contrato principal. Cualquier modificación se notificará al Responsable con un mínimo de 30 días naturales de antelación. Si las modificaciones afectan a aspectos esenciales del DPA, el Responsable podrá oponerse de forma motivada y, en su caso, terminar la relación contractual con derecho a la devolución o eliminación de sus datos conforme a la cláusula 4.8.

9. Legislación y Jurisdicción

Este DPA se regirá por la legislación española y europea aplicable. Las controversias derivadas del mismo se someterán a la jurisdicción acordada en los Términos y Condiciones de uso de la plataforma.

10. Contacto

Email: rudabook@primigenum.com (asunto: "Protección de Datos – DPA")
Teléfono: +34 621 394 652
Dirección postal: Avda. Vilar, planta baja exterior A, 15959 Palmeira, Ribeira (A Coruña), España

---

Fecha de última actualización: 15 de mayo de 2026

Versión: 2026-05-15