Privacidad en Citas

(información sobre el tratamiento de tus datos al reservar una cita en negocios de servicios)

📋 Información básica sobre protección de datos

Responsable El negocio donde reservas la cita (peluquería, estética, taller, asesoría, etc.)
Encargado Carai Melilla SL (ReservaManager)
Finalidad Gestionar y confirmar tu cita con el profesional seleccionado y atender tus llamadas y mensajes
Base jurídica Ejecución del contrato de prestación del servicio solicitado (Art. 6.1.b RGPD) y, en algunos casos, interés legítimo del negocio o tu consentimiento (ver detalle)
Destinatarios El negocio y proveedores técnicos necesarios para el servicio
Transferencias internacionales Sí, a proveedores en EE. UU. con Cláusulas Contractuales Tipo UE (ver lista de subencargados)
Asistente de IA Algunos negocios atienden su teléfono, WhatsApp, Instagram o Facebook Messenger con Carmen, una asistente de inteligencia artificial. Las llamadas que atiende se graban y se transcriben. Más información
Derechos Acceso, rectificación, supresión, oposición, limitación, portabilidad

Para ejercer tus derechos: contacta directamente con el negocio donde reservaste la cita, ya que es el Responsable del tratamiento.

¿A quién aplica esta política?

Esta política aplica a cualquier persona que reserve una cita a través de la plataforma ReservaManager en negocios de servicios tales como:

  • Peluquerías y barberías
  • Centros de estética y belleza
  • Centros de fisioterapia y masajes
  • Talleres mecánicos y de reparación
  • Asesorías, consultas y despachos profesionales
  • Centros de entrenamiento personal y bienestar
  • Clínicas de medicina estética (datos de salud — ver aviso especial)
  • Cualquier otro negocio que gestione citas con un profesional

Si has realizado una reserva en un restaurante, consulta nuestra Política de privacidad del comensal.

¿Quién es el responsable del tratamiento?

El Negocio (peluquería, clínica, taller, etc.) donde reservas la cita es el Responsable del tratamiento de tus datos personales. Es quien decide qué datos recoger, para qué usarlos y durante cuánto tiempo conservarlos, y quien debe atender tus solicitudes de derechos.

¿Quién es el encargado del tratamiento?

Carai Melilla SL (ReservaManager) actúa como Encargado del tratamiento, procesando tus datos únicamente para gestionar la cita y atender tus llamadas y mensajes según las instrucciones del Negocio, conforme al artículo 28 del RGPD.

  • Empresa: Carai Melilla SL
  • CIF: B52021052
  • Domicilio: Avda. Cándido Lobera 5, Local 2, 52001 Melilla (España)
  • Email: reservamanager@lucrapp.com

¿Qué datos tratamos?

Datos de identificación

  • Nombre y apellidos
  • Teléfono de contacto
  • Email (si se facilita)

Datos de la cita

  • Fecha y hora de la cita
  • Servicio contratado (ej.: «Corte de pelo», «Revisión», «Consulta de asesoría»)
  • Profesional o especialista asignado
  • Duración estimada y precio del servicio (snapshot en el momento de la reserva)
  • Estado de la cita (pendiente, confirmada, completada, cancelada…)
  • Canal de origen (widget web, app, llamada telefónica, WhatsApp, Instagram, Facebook Messenger o panel interno del negocio)

Datos opcionales facilitados por ti

  • Solicitudes especiales o preferencias para la cita
  • Notas internas añadidas por el negocio tras visitas anteriores

Datos técnicos

  • Dirección IP
  • Datos del dispositivo y navegador
  • Fecha y hora de la solicitud

Si llamas o escribes al negocio y te atiende el asistente de IA

  • Llamadas: el número desde el que llamas, la grabación de audio de la llamada, su transcripción, un resumen generado automáticamente y los datos de la llamada (fecha, duración y resultado).
  • WhatsApp: tu número de teléfono, el contenido de los mensajes (de las fotos que envíes, una descripción de su contenido generada por la IA) y, si ya eres cliente del negocio, tu nombre y tus próximas citas, para poder ayudarte con ellas.
  • Instagram y Facebook Messenger: el identificador que Meta asigna a tu cuenta para ese negocio, tu nombre de perfil público (o tu nombre de usuario de Instagram), el contenido de los mensajes y, si pides una cita, el nombre y el teléfono que escribas.

Más detalle en Atención por un asistente de inteligencia artificial.

⚠️ Aviso especial — Datos de salud y categorías especiales

Si el servicio contratado o las solicitudes que facilitas revelan información sobre tu salud, condición física o características personales (ej.: tratamiento para caída del cabello, fisioterapia de rehabilitación, consulta psicológica, tratamiento oncológico capilar, alergias a productos cosméticos), estos datos se consideran datos de categoría especial según el Art. 9 RGPD.

  • Finalidad: únicamente prestar el servicio que has solicitado. Estos datos no se usan para otros fines ni se comunican a terceros.
  • Base jurídica: tu consentimiento (Art. 9.2.a RGPD), que manifiestas al facilitar voluntariamente esta información para la gestión de tu cita. Salvo lo que se deduzca del propio servicio que reservas, facilitarla es voluntario: si lo prefieres, puedes comunicársela directamente al profesional en la cita.
  • Si el negocio es un centro o profesional sanitario, los datos de salud necesarios para gestionar tu cita y tu asistencia pueden tratarse, además, sobre la base del Art. 9.2.h RGPD, bajo el deber de secreto profesional.
  • Retirada: puedes retirar tu consentimiento en cualquier momento pidiendo al negocio que elimine esta información; la retirada no afecta a la licitud del tratamiento anterior.
  • Si mencionas estos datos en una llamada o en un mensaje, también constarán en su transcripción o en la conversación, con los plazos indicados más abajo.

Si el negocio es una clínica médica u odontológica, consulta también la política de privacidad específica del centro, ya que puede aplicar normativa sectorial adicional (Ley 41/2002 de Autonomía del Paciente).

¿Para qué se usan tus datos?

Finalidad Base jurídica
Gestionar y confirmar tu cita con el profesional seleccionado Ejecución del contrato (Art. 6.1.b RGPD)
Enviar confirmación de cita por email y/o WhatsApp Ejecución del contrato (Art. 6.1.b RGPD)
Enviar recordatorios de la cita Interés legítimo del negocio — reducción de no-shows (Art. 6.1.f RGPD)
Gestionar cancelaciones y cambios de cita Ejecución del contrato (Art. 6.1.b RGPD)
Atender tus llamadas y mensajes (teléfono, WhatsApp, Instagram, Facebook Messenger) con el asistente de IA o con el equipo del negocio Ejecución del contrato o medidas precontractuales a petición tuya (Art. 6.1.b RGPD); para otras consultas, interés legítimo del negocio en atender los mensajes que recibe (Art. 6.1.f RGPD)
Grabar y transcribir las llamadas atendidas por el asistente de IA, para revisar lo hablado, resolver incidencias y corregir fallos del asistente Interés legítimo del negocio (Art. 6.1.f RGPD)
Registrar el historial de visitas del cliente Interés legítimo del negocio — prestación de servicio personalizado (Art. 6.1.f RGPD)
Preparar el servicio según solicitudes especiales o preferencias Ejecución del contrato (Art. 6.1.b RGPD)
Tratamiento de datos de salud revelados voluntariamente (alergias, condiciones, etc.) Tu consentimiento (Art. 9.2.a RGPD); en centros y profesionales sanitarios, también el Art. 9.2.h RGPD — ver aviso
Prevención de citas abusivas o fraudulentas Interés legítimo (Art. 6.1.f RGPD)
Facturación del servicio (si aplica) Obligación legal (Art. 6.1.c RGPD)

¿Durante cuánto tiempo se conservan?

  • Datos de la cita: hasta 12 meses después de la fecha de la cita como historial activo. Algunos negocios pueden conservarlos más tiempo si es necesario para la prestación del servicio.
  • Datos de salud o categoría especial: solo durante el tiempo estrictamente necesario para prestar el servicio. El negocio puede conservarlos si hay relación continuada (ej.: tratamiento en curso).
  • Datos de facturación (si aplica): según obligaciones fiscales (6 años, Art. 30 Cód. Comercio).
  • Historial de cliente recurrente: mientras el cliente mantenga relación con el negocio. Puedes solicitar la supresión en cualquier momento.
  • Conversaciones de WhatsApp, Instagram y Facebook Messenger (con el asistente IA o con el equipo del negocio): 12 meses desde el último mensaje; después se eliminan automáticamente de nuestros sistemas. Las fotos, audios y documentos que envíes por WhatsApp no se copian a nuestros sistemas: el negocio puede verlos mientras Meta los conserve.
  • Grabaciones de las llamadas atendidas por el asistente IA: un máximo de 14 días; después dejan de estar disponibles y se elimina de nuestros sistemas el enlace que apuntaba a ellas.
  • Transcripciones, resúmenes y datos de esas llamadas: actualmente no tienen un plazo de borrado automático; se conservan hasta que se solicite su supresión, que puedes pedir al negocio en cualquier momento.
  • Logs de seguridad: entre 3 y 12 meses.

Los plazos exactos dependen de las políticas del negocio. Contacta directamente con el establecimiento para más información.

Atención por un asistente de inteligencia artificial (Carmen)

Algunos negocios que usan ReservaManager atienden su teléfono, su WhatsApp, su cuenta de Instagram o su página de Facebook (Messenger) con Carmen, una asistente de inteligencia artificial (IA). En todos estos canales:

  • Carmen te indica que es una asistente de IA, no una persona.
  • Puedes pedir hablar con una persona del negocio en cualquier momento.
  • Lo que dices o escribes se procesa con un modelo de lenguaje de OpenAI para generar las respuestas.
  • Carmen no toma decisiones con efectos jurídicos sobre ti: consulta la disponibilidad y aplica las condiciones del negocio (ver Decisiones automatizadas).
  • Si mencionas datos de salud, consulta el aviso especial sobre datos de salud.

📞 Citas por teléfono

  • La llamada es atendida por un sistema de IA, no por una persona. Al comenzar, Carmen te indica que es una asistente de inteligencia artificial.
  • Tu voz es transcrita a texto en tiempo real por Deepgram (reconocimiento de voz) para que el asistente pueda entenderte.
  • El texto es procesado por un modelo de lenguaje (OpenAI) para generar la respuesta adecuada.
  • La respuesta hablada es sintetizada por ElevenLabs (texto a voz).
  • La llamada se gestiona a través de la plataforma de voz VAPI, y la telefonía la prestan Twilio o Telnyx.
  • Estos proveedores están en EE. UU. y cuentan con DPA y Cláusulas Contractuales Tipo de la UE.

Base jurídica: Ejecución del contrato de servicio (Art. 6.1.b RGPD). Para la grabación y la transcripción, ver el apartado siguiente; para los datos de salud que menciones, el aviso especial sobre datos de salud.

Hablar con una persona: puedes pedirlo en cualquier momento de la llamada. Según cómo lo tenga configurado el negocio, Carmen te ofrecerá continuar por WhatsApp con una persona, te pasará la llamada a su equipo o te dará el teléfono del negocio.

🎙️ Las llamadas atendidas por Carmen se graban y se transcriben

  • Qué se guarda: la grabación de audio de la llamada, su transcripción completa, un resumen generado automáticamente con IA y los datos de la llamada (número desde el que llamas, fecha, duración y resultado; por ejemplo, si se creó la cita).
  • Para qué: para que el negocio pueda revisar lo hablado, comprobar que tu solicitud quedó bien registrada y resolver incidencias o reclamaciones, y para detectar y corregir fallos del asistente.
  • Quién accede: el personal autorizado del negocio, desde su panel de ReservaManager (en algunos casos el negocio recibe además por correo electrónico un aviso con el resumen de la llamada y el enlace a la grabación, para poder contactarte), y el personal técnico de ReservaManager, con acceso restringido, para dar soporte al negocio y revisar el funcionamiento del asistente. La transcripción también puede analizarse automáticamente con el modelo de lenguaje (OpenAI) para detectar llamadas con problemas.
  • Cuánto tiempo: la grabación de audio, un máximo de 14 días; pasado ese plazo deja de estar disponible en el proveedor de voz y se elimina de nuestros sistemas el enlace que apuntaba a ella. La transcripción, el resumen y los datos de la llamada no tienen actualmente un plazo de borrado automático: se conservan hasta que se solicite su supresión, que puedes pedir al negocio en cualquier momento.
  • Base jurídica: interés legítimo del negocio (Art. 6.1.f RGPD) en poder revisar lo hablado y atender incidencias sobre tu cita. Puedes oponerte (Art. 21 RGPD) dirigiéndote al negocio; si prefieres que tu conversación no quede grabada, puedes contactar con él por otro medio (por ejemplo, por escrito o en persona).

💬 WhatsApp, Instagram y Facebook Messenger

Si escribes al negocio por WhatsApp, Instagram o Facebook Messenger y te responde Carmen, debes saber:

  • Carmen se presenta como asistente de IA del negocio y, la primera vez que te escribe, te facilita el enlace a esta información. Si te ha atendido una persona del equipo y después vuelve a responderte Carmen, te lo indica de nuevo.
  • Qué datos se tratan: en WhatsApp, tu número de teléfono y el contenido de los mensajes; en Instagram y Facebook Messenger, el identificador que Meta asigna a tu cuenta para ese negocio, tu nombre de perfil público (o tu nombre de usuario de Instagram) y el contenido de los mensajes. En estos dos canales no se conoce tu teléfono: para pedir una cita, Carmen te pedirá tu nombre y un teléfono de contacto, y la conversación quedará vinculada a tu ficha de cliente del negocio para no tener que pedírtelos de nuevo.
  • El texto de tus mensajes (y, en WhatsApp, las fotos que envíes, para describir su contenido) es procesado por un modelo de lenguaje (OpenAI, EE. UU., con DPA y Cláusulas Contractuales Tipo de la UE) para generar la respuesta. OpenAI no usa para entrenar sus modelos los datos que recibe a través de su API.
  • WhatsApp se presta sobre la plataforma WhatsApp Business de Meta. Instagram y Facebook Messenger son servicios de Meta Platforms Ireland Limited, que trata los mensajes enviados por ellos también como responsable de su propia plataforma, conforme a su política de privacidad.
  • El asistente puede pasar la conversación al equipo del negocio (personas) si lo pides o si no puede ayudarte; el equipo ve el historial de esa conversación para atenderte. El negocio también puede contestarte directamente desde su propia aplicación de Instagram o Facebook; en ese caso Carmen deja de responder y la conversación pasa a su equipo.
  • Las conversaciones se conservan 12 meses desde el último mensaje y después se eliminan automáticamente de nuestros sistemas. Los mensajes de Instagram y Facebook Messenger también quedan en la bandeja de entrada de la cuenta del negocio en Meta, donde su conservación depende de Meta y del propio negocio.

Base jurídica: ejecución de tu solicitud de cita y aplicación, a petición tuya, de medidas precontractuales (Art. 6.1.b RGPD); para las demás consultas y para mostrar tu nombre de perfil en la bandeja de mensajes del negocio, interés legítimo del negocio en atender los mensajes que recibe (Art. 6.1.f RGPD). Para los datos de salud, ver el aviso especial sobre datos de salud.

Puedes pedir hablar con una persona en cualquier momento escribiendo, por ejemplo, «persona», «agente» o «quiero hablar con una persona». En WhatsApp, además, puedes dejar de recibir mensajes respondiendo «BAJA».

¿A quién se comunican tus datos?

  • El Negocio donde has reservado la cita (responsable del tratamiento).
  • El profesional o especialista asignado a tu cita, si pertenece a un equipo.
  • Proveedores técnicos (subencargados) necesarios para el servicio:
    • Servicios de hosting y almacenamiento de datos
    • Servicios de envío de emails y notificaciones de confirmación
    • Mensajería de WhatsApp Business de Meta (si el negocio tiene activadas las notificaciones o la atención por WhatsApp)
    • Modelo de lenguaje del asistente de IA (OpenAI), si el negocio usa el asistente
    • Servicios de voz IA para la centralita telefónica, solo si el negocio tiene este módulo activo: VAPI (gestión y grabación de la llamada), Deepgram (transcripción), ElevenLabs (síntesis de voz) y Twilio o Telnyx (telefonía)

Si escribes al negocio por Instagram o por Facebook Messenger, Meta Platforms Ireland Limited, que presta esos servicios, trata también tus mensajes como responsable de su propia plataforma.

Consulta la lista completa en la página de Subencargados. No se realizan cesiones a terceros con fines comerciales.

Transferencias internacionales de datos

Algunos de nuestros proveedores técnicos están ubicados en Estados Unidos. Estas transferencias se realizan con las garantías adecuadas exigidas por el RGPD:

Proveedor País Garantía
Railway (hosting backend) EE. UU. DPA + Cláusulas Tipo UE
Supabase (base de datos) UE (Frankfurt) DPA + Cláusulas Tipo UE
Mailrelay / IPZ Marketing SL (email) España (UE) RGPD directo
Meta (WhatsApp Business) EE. UU. Cláusulas Tipo UE
VAPI AI (centralita IA y grabación de llamadas) EE. UU. DPA + Cláusulas Tipo UE
Twilio / Telnyx (telefonía de la centralita IA) EE. UU. DPA + Cláusulas Tipo UE
Deepgram (transcripción de voz) EE. UU. DPA + Cláusulas Tipo UE
OpenAI (modelo de lenguaje del asistente, en llamadas y mensajería) EE. UU. DPA + Cláusulas Tipo UE
ElevenLabs (síntesis de voz) EE. UU. DPA + Cláusulas Tipo UE

Decisiones automatizadas

El sistema ReservaManager asigna automáticamente el profesional disponible y el horario según la disponibilidad real de la agenda. Esta asignación es de carácter logístico y no produce efectos jurídicos ni te afecta significativamente en los términos del Art. 22 RGPD.

Si prefieres elegir manualmente el profesional o el horario, el sistema te lo permite durante el proceso de reserva siempre que el negocio tenga habilitada esa opción.

El asistente de IA (Carmen) tampoco toma decisiones de ese tipo: se limita a consultar la disponibilidad y a aplicar las condiciones que ha fijado el negocio (horarios, servicios, número máximo de citas por cliente, etc.). Si el negocio ha decidido no admitir citas online a tu nombre, esa decisión la toma una persona del negocio; el sistema solo te indicará que contactes directamente con él, que tiene siempre la última palabra.

¿Cuáles son tus derechos?

El RGPD y la LOPDGDD te reconocen los siguientes derechos:

🔍 Acceso

Saber qué datos tienen sobre ti y para qué se usan.

✏️ Rectificación

Corregir datos inexactos o incompletos.

🗑️ Supresión

Solicitar la eliminación de tus datos cuando ya no sean necesarios.

🚫 Oposición

Oponerte a tratamientos basados en interés legítimo.

⏸️ Limitación

Solicitar que se limite el uso de tus datos mientras se resuelve una reclamación.

📦 Portabilidad

Recibir tus datos en formato estructurado y legible por máquina.

🔙 Retirar consentimiento

Retirar en cualquier momento el consentimiento dado para datos de salud u otros tratamientos basados en consentimiento, sin que ello afecte a la legalidad del tratamiento anterior.

👤 No decisión automatizada

No ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos significativos (Art. 22 RGPD).

¿Cómo ejercer tus derechos?

Dirígete directamente al negocio donde realizaste la cita, ya que es el Responsable del tratamiento.

Si contactas con ReservaManager en reservamanager@lucrapp.com, trasladaremos tu solicitud al negocio correspondiente a la mayor brevedad.

Reclamación ante la AEPD: si consideras que tus derechos no han sido atendidos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) .

Menores de edad

Si la cita es para un menor de 14 años, el padre, madre o tutor legal debe realizar la reserva y proporcionar su consentimiento. ReservaManager no recoge datos de menores de forma directa sin el consentimiento del representante legal.

En caso de servicios que impliquen datos de salud de menores (ej.: fisioterapia pediátrica), el consentimiento del representante legal es imprescindible conforme al Art. 9 RGPD y la Ley 41/2002.

Seguridad de los datos

ReservaManager aplica medidas técnicas y organizativas apropiadas para proteger tus datos:

  • Cifrado en tránsito mediante HTTPS/TLS en todas las comunicaciones
  • Almacenamiento en base de datos con control de acceso estricto
  • Separación de los datos de cada negocio: cada negocio solo puede acceder a sus propios datos
  • Autenticación con tokens de sesión seguros (HttpOnly, Secure)
  • Monitorización y registro de accesos para detectar accesos no autorizados

En caso de brecha de seguridad, ReservaManager avisará sin dilación indebida al negocio responsable, para que este pueda notificarla a la AEPD en el plazo de 72 horas y, cuando proceda, a los afectados (Arts. 33 y 34 RGPD).

Cookies

El widget de reserva de citas puede utilizar cookies técnicas necesarias para su funcionamiento. Para más información consulta nuestra Política de Cookies.

📋 Documentos relacionados

Última actualización: Octubre 2026