Qué es esta guía y qué no es
Este artículo ofrece información general sobre el Reglamento General de Protección de Datos, el RGPD, tal como suele aplicarse a negocios pequeños que trabajan con cita previa. No es asesoramiento jurídico ni puede cubrir tu caso concreto. En España, además, rige la Ley Orgánica 3/2018, la LOPDGDD, y la Agencia Española de Protección de Datos publica guías que se actualizan con el tiempo.
Si tratas información sensible, tienes empleados, trabajas con clientes de otros países o simplemente quieres estar seguro, habla con un delegado de protección de datos, un consultor especializado o un abogado. Muchos colegios profesionales, asociaciones y cámaras de comercio ofrecen además modelos y orientación a sus miembros. Usa esta guía para entender el vocabulario y preparar preguntas más precisas, no para sustituir ese apoyo.
¿Por qué importa en una peluquería, una clínica o un centro de entrenamiento? Porque cada reserva implica datos personales: nombre, teléfono, correo electrónico, historial de citas y, a veces, notas sobre preferencias o salud. El RGPD se aplica a todos ellos, estén en un programa, en una hoja de cálculo, en una agenda de papel o en un chat de WhatsApp en tu móvil.
Recoge solo lo necesario y con un fin claro
Uno de los principios básicos del RGPD es la minimización de datos: recoger solo los datos personales que realmente necesitas para una finalidad concreta. Para una reserva, normalmente basta con el nombre, una forma de contacto y el servicio solicitado. Pedir la fecha de nacimiento, la dirección o el DNI "por si acaso" aumenta tu responsabilidad sin aportar nada a la cita.
Todo tratamiento de datos necesita una base jurídica. Para tomar y gestionar una reserva, los negocios suelen apoyarse en que el tratamiento es necesario para prestar el servicio que el cliente ha pedido, lo que el RGPD llama ejecución de un contrato. Enviar publicidad, boletines u ofertas es una finalidad distinta y suele requerir un consentimiento aparte, que el cliente puede negar sin perder su cita.
Separa también las finalidades en la práctica. Un teléfono facilitado para recordatorios de citas no debería acabar automáticamente en una lista de difusión promocional. Haz que el consentimiento comercial sea una casilla independiente y sin marcar, registra cuándo y cómo se dio, y pon tan fácil retirarlo como darlo. Una separación clara mantiene la confianza de tus clientes y hace tus registros más fáciles de explicar.
Datos de salud y otra información sensible
El artículo 9 del RGPD define las categorías especiales de datos personales, entre ellas los datos relativos a la salud. Para fisioterapeutas, psicólogos, nutricionistas, dentistas y profesionales similares, el simple hecho de que alguien reserve un tratamiento, junto con notas sobre síntomas o dolencias, puede ser un dato de salud. Su tratamiento está prohibido en general salvo que se aplique una excepción concreta, por lo que exige un cuidado especial.
Incluso fuera del ámbito sanitario aparecen datos sensibles: una alergia que anota una esteticista, una lesión que se comenta al entrenador personal o un embarazo que se menciona antes de un masaje. Pregúntate si de verdad necesitas registrarlo, quién puede verlo y cómo se protege. Si tienes que conservar esa información, consulta con un profesional qué base jurídica y qué garantías se aplican a tu actividad.
Hay medidas prácticas que ayudan sea cual sea el detalle legal: limita quién puede abrir las notas de los clientes, evita escribir información sensible en comentarios de reserva o mensajes de chat, usa contraseñas robustas y verificación en dos pasos cuando exista, y no dejes dispositivos compartidos desbloqueados. Los profesionales sanitarios tienen además obligaciones propias de documentación clínica, así que una herramienta de reservas no debe usarse como historia clínica.
Proveedores, conservación y derechos de los clientes
Cuando una empresa de software guarda o trata datos de tus clientes por tu cuenta, suele actuar como encargado del tratamiento, y el artículo 28 del RGPD exige un contrato por escrito que fije qué puede hacer con esos datos. Antes de elegir herramientas de reservas, correo o mensajería, lee la política de privacidad de cada proveedor, pregunta si ofrece un contrato de encargo del tratamiento y comprueba dónde se alojan los datos y qué subencargados intervienen. Si un proveedor trata datos fuera de la UE/EEE, pregunta qué garantía de transferencia se aplica, como una decisión de adecuación o las cláusulas contractuales tipo.
Decide cuánto tiempo conservas los datos y por qué. Los registros de citas pueden hacer falta durante un tiempo por motivos contables, posibles reclamaciones o seguimiento, pero no para siempre. Define plazos de conservación por tipo de dato, déjalos por escrito y suprime o anonimiza las fichas inactivas cuando venza el plazo. No olvides las copias antiguas en hojas de cálculo, adjuntos de correo y móviles.
Tus clientes tienen derechos sobre sus datos: acceso, rectificación, supresión en muchos casos, limitación, oposición y portabilidad. Prepara un procedimiento sencillo: quién recibe las solicitudes, cómo verificas la identidad y cómo localizas los datos del cliente en todas tus herramientas. Por lo general hay que responder en el plazo de un mes. Poder exportar y borrar la información de un cliente desde tu programa de reservas lo facilita mucho.
Informa con claridad en el momento de reservar
El RGPD exige transparencia: hay que informar de quién recoge los datos, para qué, con qué base jurídica, a quién se comunican, cuánto tiempo se conservan y cómo ejercer los derechos. En un negocio con citas, el momento natural es la propia reserva. Un aviso breve junto al formulario de reserva, con un enlace a tu política de privacidad completa, cubre la mayoría de situaciones. La AEPD recomienda informar por capas precisamente así.
Redacta la política de privacidad en lenguaje claro y que refleje lo que de verdad haces. Menciona las herramientas que usas para reservas, recordatorios y mensajería, y evita copiar una plantilla llena de actividades que no realizas. Revísala cada vez que incorpores una herramienta nueva, empieces a enviar otro tipo de mensajes o cambies los plazos de conservación.
Tu programa de reservas forma parte de este panorama, pero la responsabilidad sobre los datos de tus clientes sigue siendo de tu negocio. SkedEz, como cualquier proveedor, publica su propia política de privacidad y sus condiciones, que conviene que leas antes de decidir; si lo necesitas, pregunta si el proveedor ofrece un contrato de encargo del tratamiento. Elijas la herramienta que elijas, combina sus funciones con tus propios hábitos y, si dudas, pide a un profesional que revise tu caso.