Privacidad de tus datos

Quién responde de tus datos

El responsable es el negocio con el que has reservado — la peluquería, la clínica o el despacho. Es quien decide para qué se usan tus datos y ante quien ejerces tus derechos. Harven SL es el proveedor tecnológico: opera el sistema de citas por encargo suyo y siguiendo sus instrucciones, sin usar tus datos para nada propio.

Si ya sabes con qué negocio reservaste, su propia página de privacidad lleva su nombre y su forma de contacto. Esta página es la versión general, la que se puede dar por teléfono sin tener que deletrear nada.

Qué datos se tratan

Depende de por dónde contactes:

• Reservando por la web: tu nombre, tu teléfono, tu email y las notas que añadas a la cita. Si te creas una cuenta, además tu contraseña (siempre cifrada, nunca en texto legible) y una cookie técnica para mantener la sesión. Si entras con Google, tu nombre y tu correo llegan desde Google.
• Por WhatsApp: tu número de teléfono y el contenido de los mensajes que escribes, incluido lo que cuentes por tu cuenta al pedir la cita.
• Por teléfono: tu número y la transcripción de texto de la conversación.

Las llamadas no se graban

Para qué se usan

Únicamente para gestionar tus citas (reservarlas, confirmarlas, recordártelas y permitirte verlas, cambiarlas o cancelarlas), para atenderte por el canal que uses y para enviarte los avisos y correos necesarios de tu cita y de tu cuenta. No se usan para publicidad sin tu permiso y no se venden a terceros.

Con qué base legal

Para gestionar tu cita —crearla, confirmarla, recordártela, moverla o cancelarla, y atenderte por el canal que elijas— la base es la ejecución del contrato que pides al reservar o, antes de que exista, las medidas precontractuales a tu propia petición (art. 6.1.b del RGPD).

Donde se te pide permiso expresamente —la casilla que marcas en el formulario de reserva antes de enviarlo— la base es tu consentimiento (art. 6.1.a). Puedes retirarlo cuando quieras, y retirarlo no afecta a lo que ya se trató antes.

Para que el servicio funcione con seguridad —evitar usos abusivos, corregir fallos técnicos y poder aclarar más tarde qué pasó con una cita— el negocio se apoya en su interés legítimo (art. 6.1.f). Puedes oponerte a este último alegando tu situación particular.

Cuánto tiempo se conservan

Estos plazos los aplica un borrado automático diario, no la buena voluntad de nadie:

• Transcripción de una llamada: 90 días.
• Mensajes de WhatsApp: 90 días. Pasado ese plazo se vacía su contenido y solo queda el apunte de que hubo un mensaje, sin lo que decía.
• Datos personales que el asistente anota al gestionar tu cita (por ejemplo, el nombre o el teléfono que dictaste): 90 días.
• Notas de una cita y el motivo por el que se canceló (lo que pediste al reservar o lo que se anotó sobre ella): 90 días desde que la cita terminó. Se cuenta desde el final de la cita, no desde que se escribió la nota: una cita se reserva con meses de antelación y esa nota suele ser justo lo que el negocio necesita el día de la visita. La cita se queda; lo que se borra es el texto.
• Nombre, teléfono y correo de una reserva hecha sin cuenta (si reservaste sin identificarte, esos datos van en la propia cita): 90 días desde que la cita terminó. Después la cita se queda —es el registro contable del negocio— pero deja de llevar tus datos de contacto.
• Conversación que no llegó a tener ningún mensaje (una llamada que se cortó al primer tono): 30 días.

Aparte va el registro interno de cambios en las citas (quién movió o canceló qué y cuándo), que se guarda 2 años por si hay que aclarar una incidencia. Va aparte porque conviene decirlo con precisión: ese plazo se aplica hoy de forma manual, no automática. Es un compromiso en firme, pero el borrado programado de ese registro todavía no está en marcha; ninguna anotación ha cumplido aún los dos años —el sistema empezó a funcionar en 2026— y el borrado se pondrá en marcha antes de que la primera los cumpla.

Tu ficha de cliente y tus citas se conservan mientras seas cliente del negocio y durante el plazo que la ley exija para atender posibles responsabilidades. Si pides que se supriman, se atiende en un plazo máximo de 30 días: tu nombre se sustituye por una etiqueta genérica, tu teléfono por un código sin significado, y se vacían tu correo, las notas de tu ficha, las notas de tus citas, el contenido de tus mensajes y el resumen de tus llamadas. Las citas en sí no se borran —el negocio necesita saber que a esa hora había alguien—, pero dejan de estar asociadas a una persona identificable.

Con una excepción que conviene conocer: el registro interno de cambios en las citas no se puede modificar ni borrar, porque su valor está justamente en ser inalterable, y cuando el cambio consistió en editar un texto guarda también el texto anterior. Lo que quede ahí se elimina al cumplirse su plazo, no con la supresión. Lo mismo ocurre con algún apunte técnico suelto que no se puede localizar desde tu ficha: se borra cuando vence su plazo de 90 días.

Quién más ve tus datos

Además del propio negocio y de Harven SL, solo los proveedores estrictamente necesarios para que el servicio funcione, todos con obligaciones de confidencialidad:

• Supabase — base de datos (servidores en París).
• Vercel — alojamiento de la web (servidores en París).
• Google — el modelo de lenguaje (Gemini) que entiende y redacta las respuestas del asistente.
• Vapi — el canal de voz, que a su vez usa Deepgram para pasar tu voz a texto y Cartesia para generar la voz sintética que te contesta.
• Twilio — la línea telefónica.
• Meta (WhatsApp Cloud API) — el canal de WhatsApp.
• Resend — el envío de los correos.
• Upstash — los límites de uso que evitan abusos; guarda tu número como clave técnica durante un tiempo muy corto.
• Sentry — el registro de errores técnicos.
• Google OAuth — solo si eliges entrar con tu cuenta de Google.

Si tus datos salen de Europa

La base de datos donde se guardan tu ficha, tus citas y tus conversaciones, y los servidores que ejecutan la web, están en París (Francia), dentro de la Unión Europea.

Ahora bien, varios de los proveedores de la lista anterior son empresas estadounidenses o prestan el servicio desde una ubicación que no consta verificada, así que parte del tratamiento puede realizarse fuera del Espacio Económico Europeo. La cobertura prevista para esos casos son las cláusulas contractuales tipo aprobadas por la Comisión Europea o la adhesión del proveedor al marco de privacidad entre la Unión Europea y Estados Unidos.

Y se dice como es, sin adornarlo: esa cobertura está pendiente de comprobar proveedor por proveedor. Mientras esa comprobación no esté hecha y archivada, aquí no se afirma que lo esté. Puedes pedir al negocio responsable el detalle de las garantías aplicables a cada proveedor.

Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad de tus datos.

Se ejercen ante el negocio, que es el responsable: díselo por el mismo canal por el que reservaste, o por teléfono. Harven SL, como encargado, le ayuda a atenderte; si necesitas escribirnos directamente, puedes hacerlo a info@harvensl.com, y trasladaremos tu solicitud al negocio responsable.

Si consideras que tu solicitud no se ha atendido correctamente, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).