1. Partes y alcance
Responsable del tratamiento: el Negocio identificado en su registro contractual privado, junto con su NIF, domicilio, representante y contacto de privacidad. Estos datos no se publican en este marco general.
Encargado del tratamiento: BKLAYER SL, sociedad unipersonal, NIF B93915387, inscrita en el Registro Mercantil de Madrid, Sección 8, Hoja M-892495, inscripción 1.ª de 7 de agosto de 2026, Calle Tordesillas 2, planta 2, puerta B, 28925 Alcorcón (Madrid). Contacto: privacidad@bklayer.com; contacto contractual: admin@bklayer.com.
El Negocio determina las finalidades y los medios esenciales del tratamiento de sus reservas, clientes y equipo. BKlayer trata esos datos por su cuenta para prestar las funciones contratadas. Este anexo no convierte en encargo los tratamientos que BKlayer u otro proveedor realicen legítimamente para fines propios, que se identifican en la política de privacidad.
El anexo desarrolla el artículo 28 del RGPD y prevalece en materia de tratamiento por encargo. Se incorpora expresamente al contrato SaaS y se acepta con él por medios electrónicos, sin una firma separada. BKlayer conserva el texto aplicable y la evidencia de contratación y los facilita al Negocio por vía electrónica previa verificación de identidad.
2. Objeto, operaciones y duración
El objeto es la gestión administrativa de disponibilidad, reservas, comunicaciones asociadas y relaciones operativas del Negocio mediante BKlayer. Según las funciones habilitadas, comprende recogida, registro, organización, consulta, modificación, conservación, transmisión autorizada, recuperación, exportación y supresión de datos.
Las operaciones pueden incluir agenda y asignación de profesionales o mesas, identificación de clientes, listas de espera, avisos transaccionales por correo, SMS o WhatsApp, sincronización con Google Calendar, referencias de pagos y asistencia automatizada mediante inteligencia artificial en la interpretación de mensajes. No se autoriza por defecto la difusión pública de datos de clientes ni el envío de publicidad.
Comprende también la incorporación autorizada de datos obtenidos fuera de la plataforma y la asistencia sobre esos registros. Una importación o alta manual no altera la identidad del responsable ni legitima finalidades nuevas. Las peticiones de lista de espera se limitan al negocio, servicio y preferencias solicitados.
La duración coincide con la prestación que implique acceso a datos, incluido un plan Free o una pausa, y con las operaciones de devolución, supresión o conservación legal posteriores. La cancelación de una suscripción de pago no extingue el encargo si el Negocio sigue usando BKlayer.
3. Personas y datos afectados
| Personas | Datos y alcance autorizado |
|---|---|
| Clientes, solicitantes y acompañantes | Nombre, datos de contacto necesarios, servicio, fecha, estado de reserva, número de personas, preferencias de canal e instrucciones para organizar la reserva |
| Personal y colaboradores del Negocio | Identificación profesional, contacto de trabajo, permisos, disponibilidad y asignaciones |
| Personas que escriben al Negocio | Identificador del canal (teléfono, correo), mensajes necesarios para gestionar la reserva y preferencias de comunicación |
| Personas que pagan o garantizan una reserva | Referencias de transacción, importes, estado y metadatos mínimos del medio de pago; nunca el número completo de tarjeta ni el CVC en BKlayer |
Las categorías se limitan a las funciones utilizadas. El Negocio no incluye documentos de identidad, imágenes, archivos ni datos adicionales sin necesidad acreditada.
El encargo comprende la gestión de reservas, no documentación clínica. Las categorías especiales de datos y los datos penales quedan fuera de este alcance; cualquier ampliación requiere evaluación previa y acuerdo documentado.
4. Instrucciones y límites de uso
Son instrucciones documentadas este contrato, la configuración realizada por personas autorizadas y las solicitudes verificadas del Negocio, dentro de las funciones y finalidades pactadas. Las instrucciones sobre transferencias internacionales se sujetan al apartado 9.
En una importación se documentan origen, alcance e instrucciones, se preservan las bajas y restricciones existentes y no se incorporan categorías excluidas. No se generan eventos de consentimiento o aceptación que el interesado no haya realizado.
BKlayer no usa los datos por encargo para fines propios, no los vende, no realiza publicidad propia con ellos, no cruza las clientelas de distintos negocios ni entrena modelos con ellos. El uso de proveedores de inteligencia artificial se limita a la operación autorizada y a los datos mínimos, bajo contratos que excluyen el entrenamiento con esos datos.
Los informes operativos para el Negocio permanecen dentro del encargo. Cualquier análisis para fines propios de BKlayer se delimita separadamente con su base e información. La seudonimización no convierte los datos en anónimos; una eventual anonimización para estadísticas se evalúa antes de ejecutarla.
Si una instrucción infringe la normativa de protección de datos, BKlayer lo comunica inmediatamente al Negocio y suspende su ejecución hasta aclararla. Si una norma exige un tratamiento no instruido, informa antes al Negocio salvo prohibición legal.
5. Confidencialidad y acceso
Solo acceden a los datos personas autorizadas que lo necesiten para su función y sujetas a confidencialidad contractual. Esta obligación subsiste tras terminar la relación. BKlayer mantiene instrucciones internas, revisa permisos y retira accesos cuando dejan de ser necesarios.
El acceso de soporte se limita al incidente o solicitud, con trazabilidad. No se usan datos reales de los Negocios en pruebas o demostraciones; se emplean datos sintéticos.
Una solicitud de soporte no otorga acceso ilimitado: se verifica quién la formula y qué negocio representa, se limitan capturas y archivos y se retiran los permisos temporales. Los cambios de titularidad requieren instrucciones y verificación específicas. Revocar a un miembro del equipo no borra el historial legítimo de actividad del negocio.
6. Seguridad del tratamiento
BKlayer implanta medidas apropiadas al riesgo, considerando estado de la técnica, costes, naturaleza de los datos y consecuencias para las personas, y evalúa periódicamente su eficacia.
Anexo A: seguridad y controles
| Ámbito | Medida |
|---|---|
| Cifrado | Protección de las comunicaciones y de los datos almacenados mediante las medidas de los servicios contratados. Las configuraciones efectivas y su evidencia forman parte de la revisión de seguridad |
| Aislamiento entre negocios | Autorización en servidor y políticas de acceso a datos según el ámbito del usuario. Las operaciones privilegiadas se restringen al servidor y al negocio autorizado |
| Autenticación y accesos | Cuentas individuales; acceso mediante correo o Google; permisos por rol y comprobación de autorización administrativa. Los controles adicionales y la periodicidad de revisión se documentan en el procedimiento interno de accesos |
| Clientes finales | Verificación del teléfono mediante código de un solo uso con caducidad; sesiones con caducidad y protección contra automatización en registros públicos |
| Copias de seguridad | Configuración, frecuencia, retención y pruebas de restauración documentadas según los servicios contratados. El procedimiento de restauración debe evitar reintroducir datos cuya supresión corresponda |
| Registro y trazabilidad | Registros operativos y de seguridad con acceso restringido. Se minimiza la información personal y se aplica el calendario de conservación aprobado |
| Desarrollo y cambios | Entornos separados de producción y pruebas (proyectos distintos); revisión de código antes de desplegar; dependencias actualizadas periódicamente; pruebas automatizadas de autorización y aislamiento |
| Integraciones e IA | Permisos y datos limitados a la función solicitada. Las operaciones económicas se sujetan a sus controles de autorización; un asistente no recibe facultades de cobro por el mero hecho de estar conectado |
| Personal | Obligación de confidencialidad y de seguir las instrucciones de seguridad y protección de datos aplicables a sus funciones |
| Continuidad | Infraestructura gestionada con redundancia por los proveedores de alojamiento y base de datos; procedimiento de incidentes del apartado 8 |
BKlayer no afirma disponer de certificación ISO 27001 ni de auditoría externa. Facilita al Negocio la información de este anexo y los informes de cumplimiento publicados por sus proveedores.
7. Derechos, cumplimiento y cooperación
BKlayer asiste al Negocio en la atención de derechos mediante las funciones disponibles y el soporte. Archivar un cliente no equivale a suprimir sus datos. Si recibe una solicitud relativa a datos del Negocio, la remite sin demora indebida al contacto designado y coopera para cumplir los plazos legales; no decide sobre su fondo salvo instrucción u obligación legal.
Si parte de una solicitud afecta a tratamientos propios de BKlayer, esta responde de esa parte e indica la separación de responsabilidades.
BKlayer facilita la información y cooperación necesarias para el registro de actividades, la evaluación de impacto, la consulta previa y la seguridad, y mantiene su propio registro de categorías de tratamientos como encargado. El Negocio decide sobre la base jurídica, la información a los interesados, los plazos y la necesidad de una evaluación de impacto.
8. Violaciones de seguridad
BKlayer notifica al Negocio las violaciones de seguridad que afecten a datos tratados por su cuenta sin dilación indebida desde que tiene conocimiento de ellas, sin esperar a cerrar la investigación.
La comunicación incluye, a medida que se conozcan, naturaleza del incidente, categorías y volumen aproximado de personas y registros afectados, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto. BKlayer facilita actualizaciones y conserva evidencia de la gestión conforme a su procedimiento interno de incidentes.
Corresponde al Negocio evaluar las notificaciones a la autoridad (72 horas) y a las personas afectadas, con asistencia de BKlayer, sin perjuicio de las obligaciones propias de esta.
9. Subencargados y transferencias
El Negocio autoriza a BKlayer a recurrir a los proveedores del Anexo B para prestar las funciones contratadas. Este anexo forma parte del contrato y está disponible con sesión antes de aceptar; recoge su identificación, funciones, ubicaciones y garantías. BKlayer les exige obligaciones equivalentes de protección de datos y responde de su cumplimiento frente al Negocio.
BKlayer comunicará por correo las incorporaciones o sustituciones antes de que intervengan, con tiempo suficiente para oponerse por motivos de protección de datos. Si no se acuerda una alternativa, se limitará o terminará la parte afectada antes del nuevo tratamiento, sin penalización por esa terminación.
Las transferencias internacionales solo se realizarán con las garantías exigidas por el capítulo V del RGPD, indicadas en el Anexo B. El Negocio puede solicitar copia de esas garantías, con protección de la información confidencial.
10. Devolución, conservación y supresión
Al finalizar el encargo, el Negocio elige la devolución o la supresión de los datos, con eliminación de copias salvo conservación exigida por ley. BKlayer no retiene la base de clientes para usos propios ni condiciona los derechos obligatorios al pago de un servicio adicional.
Anexo C: calendario de salida
| Momento | Plazo |
|---|---|
| Solicitud | El Negocio indica en admin@bklayer.com si solicita devolución, cambio de proveedor o supresión. Se verifica su identidad y se coordina la ejecución sin exigir una nueva suscripción |
| Cambio de proveedor | Se aplica el apartado 11 de los términos SaaS: transición y extracción posterior durante al menos 30 días naturales desde que termina el periodo transitorio acordado |
| Borrado operativo | Al finalizar la prestación y la devolución o extracción aplicable, se suprimen los datos y se instruye su supresión a los subencargados, salvo conservación exigida por ley |
| Copias de seguridad | La obligación de supresión alcanza las copias. No se reutilizan datos suprimidos ni se reintroducen al restaurar una copia. El procedimiento debe comprender el ciclo efectivo de copias del proveedor |
| Excepción | Prevalece cualquier plazo legal más exigente y cualquier instrucción válida de supresión anterior |
La supresión no se sustituye por una desactivación de usuario ni por una seudonimización reversible. BKlayer confirma por escrito la supresión a petición del Negocio. Durante un plazo de conservación legal los datos quedan bloqueados y separados. La evidencia mínima de la relación contractual propia de BKlayer se conserva conforme a su política de privacidad, no como retención de los datos del Negocio.
11. Información, auditorías y responsabilidad
BKlayer facilita la información necesaria para demostrar el cumplimiento del encargo y permite y contribuye a auditorías, incluidas inspecciones, por el Negocio o su auditor autorizado. Se coordinan de forma proporcionada, bajo confidencialidad y sin acceso a datos de otros negocios, sin obstaculizar las comprobaciones necesarias ni el ejercicio de derechos.
Cada parte responde de los daños causados por su propio incumplimiento del RGPD y de este anexo, conforme al artículo 82. BKlayer responde de las operaciones que realice al margen de las instrucciones lícitas del Negocio; el Negocio responde de la licitud de las finalidades, bases jurídicas, información a los interesados e instrucciones que imparte. El límite de responsabilidad de los términos SaaS no se aplica a las indemnizaciones a los interesados ni a las sanciones de la autoridad de control causadas por la parte responsable del incumplimiento.
El Negocio facilita instrucciones lícitas, contactos actualizados y la información necesaria para cumplir este anexo. Ambas partes documentan sus modificaciones.