Anejo de Procesamiento de Datos de SmartSpa

Esta traducción se ofrece para tu conveniencia. Si hay alguna diferencia entre la versión en español y la versión en inglés, prevalece la versión en inglés.

Última actualización: 19 de octubre de 2026 · Versión: 1.0, vigente desde el 19 de octubre de 2026

Este Anejo de Procesamiento de Datos ("DPA") forma parte de los Términos de Servicio y Acuerdo de Suscripción de SmartSpa (los "Términos") entre Euro L Beauty, LLC, 972 East Osceola Parkway, Kissimmee, FL 34744 ("Euro L Beauty" o el "Encargado"), y el Miembro ("tú" o el "Spa"). Aplica siempre que Euro L Beauty procese Datos de Clientes para ti. Los términos en mayúscula que no se definen aquí tienen el significado que se les da en los Términos.

1. Definiciones

1.1 "Datos de Clientes" significa la información personal sobre Clientes Finales que Euro L Beauty procesa en tu nombre a través de SmartSpa, incluida la información recopilada mediante tu Sitio del Spa, los formularios de reserva, los Servicios de Mensajería, las funciones de IA, las importaciones y los archivos que subes.

1.2 "Leyes de Protección de Datos" significa todas las leyes federales, estatales y territoriales de EE. UU. sobre privacidad, seguridad de datos y comunicaciones que aplican al procesamiento de los Datos de Clientes, que pueden incluir la California Consumer Privacy Act según enmendada (CCPA, Ley de Privacidad del Consumidor de California), otras leyes estatales integrales de privacidad, las leyes estatales sobre datos de salud del consumidor (incluidas la Washington My Health My Data Act, capítulo 19.373 RCW, y el capítulo 603A de los Estatutos Revisados de Nevada), la Florida Information Protection Act (Ley de Protección de la Información de Florida, sección 501.171 de los Estatutos de Florida), la sección 501.715 de los Estatutos de Florida (venta de datos sensibles), la Ley 111-2005 de Puerto Rico, la Health Insurance Portability and Accountability Act y sus reglamentos ("HIPAA") cuando aplique la Sección 12.3, la Telephone Consumer Protection Act (TCPA, Ley de Protección al Consumidor Telefónico), la Florida Telephone Solicitation Act (FTSA, Ley de Solicitación Telefónica de Florida, sección 501.059 de los Estatutos de Florida) y la CAN-SPAM Act.

1.3 "Procesar" significa cualquier operación sobre los Datos de Clientes, como recopilarlos, almacenarlos, usarlos, transmitirlos, mostrarlos o borrarlos.

1.4 "Incidente de Seguridad" significa una violación de seguridad confirmada que provoque la destrucción, pérdida o alteración accidental o ilegal de los Datos de Clientes, o su divulgación o acceso no autorizado, en los sistemas de Euro L Beauty o de sus Subencargados.

1.5 "Subencargado" significa un tercero contratado por Euro L Beauty que Procesa Datos de Clientes.

1.6 "Datos de Salud del Consumidor" significa los Datos de Clientes que identifican a un Cliente Final, o que pueden vincularse razonablemente con él, y que se relacionan con su salud física o mental pasada, presente o futura, incluidas las condiciones de la piel, alergias, embarazo, medicamentos, tratamientos recibidos, fotos de antes y después y respuestas a cuestionarios, según ese término o uno similar se defina en las Leyes de Protección de Datos.

1.7 "Entidad Cubierta", "Socio Comercial" e "Información de Salud Protegida" ("PHI") tienen el significado que les da HIPAA (45 C.F.R. §160.103) para "covered entity", "business associate" y "protected health information".

1.8 "Modalidad HIPAA" significa una configuración separada de SmartSpa, si y cuando Euro L Beauty la ofrezca, diseñada para Entidades Cubiertas y cubierta por un acuerdo de socio comercial firmado según la Sección 12.3.

2. Funciones

2.1 Tú eres el negocio / responsable de los Datos de Clientes: tú decides los fines y los medios del Procesamiento. Euro L Beauty es tu proveedor de servicios / encargado y Procesa los Datos de Clientes solo en tu nombre.

2.2 Excepción — Tienda al Detal en Modalidad A. Cuando un Cliente Final compra un producto a través de tu Tienda al Detal en Modalidad A, Euro L Beauty es el vendedor registrado (seller of record) y controla la información de la orden que necesita para vender, enviar, cobrar impuestos, manejar devoluciones y cumplir con la ley, según se describe en la Política de Privacidad de SmartSpa. Esa información de la orden no constituye Datos de Clientes para fines de este DPA, excepto la copia que se pone a tu disposición en tu Panel.

3. Tus instrucciones

3.1 Euro L Beauty Procesará los Datos de Clientes solo (a) para ofrecer SmartSpa según los Términos, (b) de acuerdo con tus instrucciones documentadas, incluidas las configuraciones que elijas en tu Panel, y (c) según lo exija la ley (en cuyo caso te lo diremos antes de Procesar, a menos que la ley lo prohíba).

3.2 Los Términos, este DPA y las configuraciones de tu Panel son tus instrucciones completas. Cualquier instrucción adicional debe constar por escrito y ser compatible con los Términos. Te avisaremos si creemos que una instrucción viola las Leyes de Protección de Datos.

3.3 Los detalles del Procesamiento están en el Anexo 1.

4. Tus responsabilidades

Eres responsable de: (a) tener una base legal, y todos los avisos y consentimientos que exigen las Leyes de Protección de Datos, para los Datos de Clientes que recopilas, importas o subes y para los mensajes que envías, incluido el consentimiento previo expreso y el consentimiento previo expreso por escrito cuando se requieran; (b) darles a los Clientes Finales tu aviso de privacidad (hay una plantilla disponible en tu Panel) y mantenerlo correcto; (c) obtener el consentimiento para fotos por escrito antes de tomar o subir fotos de Clientes Finales, usando el formulario de consentimiento para fotos de SmartSpa o un formulario equivalente con opciones separadas para el uso en el expediente y el uso en mercadeo, y respetar el retiro de ese consentimiento; (d) no subir historiales clínicos, PHI (salvo que existan la Modalidad HIPAA y un acuerdo de socio comercial según la Sección 12.3), números de Seguro Social, números de identificación gubernamental, números completos de tarjetas de pago ni información de seguros de salud; (d-1) recopilar Datos de Salud del Consumidor solo mediante los campos de cuestionario de SmartSpa y solo después del consentimiento expreso del Cliente Final, limitar las preguntas a lo necesario para realizar el servicio de forma segura y no añadir campos de texto libre para el historial médico; (d-2) para Clientes Finales menores de 18 años, obtener el consentimiento de su padre, madre o tutor para los servicios, el cuestionario, las fotos y los mensajes, y no enviarles mensajes de mercadeo ni usar sus fotos en mercadeo; (e) responder a las solicitudes de privacidad de los Clientes Finales (con nuestra ayuda según la Sección 8); (f) la exactitud de los Datos de Clientes que ingresas; y (g) mantener seguros los accesos de tus usuarios y eliminar a los usuarios que ya no trabajen para ti.

5. Compromisos de Euro L Beauty (términos de proveedor de servicios)

Euro L Beauty: (a) no venderá ni compartirá los Datos de Clientes, según esos términos se definen en la CCPA y leyes similares; (b) no retendrá, usará ni divulgará los Datos de Clientes para ningún fin que no sean los fines comerciales de los Términos y de este DPA, ni fuera de nuestra relación comercial directa contigo; (c) no combinará los Datos de Clientes con información personal que recibamos de otras fuentes o de otros miembros, excepto según lo permitan las Leyes de Protección de Datos (por ejemplo, para detectar incidentes de seguridad o fraude); (d) no usará los Datos de Clientes para mercadear los productos o programas de Euro L Beauty a los Clientes Finales, para promover a otros miembros ni para entrenar modelos de IA; (e) cumplirá con las obligaciones aplicables de las Leyes de Protección de Datos y ofrecerá el mismo nivel de protección de la privacidad que estas exigen; (f) te permitirá tomar medidas razonables y apropiadas para detener y remediar el uso no autorizado de los Datos de Clientes, incluso informando tus preocupaciones a info@eurolbeauty.com; (g) te notificará si determina que ya no puede cumplir con sus obligaciones bajo las Leyes de Protección de Datos; y (h) se asegurará de que todas las personas autorizadas a Procesar los Datos de Clientes estén obligadas a mantener la confidencialidad.

Certificamos que entendemos estas restricciones y que las cumpliremos.

6. Seguridad

Euro L Beauty mantendrá salvaguardas administrativas, técnicas y físicas razonables y apropiadas para la naturaleza de los Datos de Clientes, incluidas las medidas del Anexo 2, y las revisará por lo menos una vez al año.

7. Subencargados

7.1 Autorizas a Euro L Beauty a usar los Subencargados enumerados en el Anexo 3.

7.2 Euro L Beauty (a) obligará a cada Subencargado, mediante contrato escrito, a cumplir obligaciones de protección de datos por lo menos tan protectoras como las de este DPA, en la medida en que apliquen al servicio que presta, y (b) seguirá siendo responsable del desempeño de sus Subencargados.

7.3 Te daremos por lo menos 30 días de aviso (por correo electrónico y en tu Panel) antes de añadir o reemplazar un Subencargado que Procese Datos de Clientes. Si te opones por razones razonables de protección de datos, intentaremos resolver tu preocupación. Si no podemos, puedes cancelar el Complemento afectado o tu Membresía, con efecto antes del cambio, sin el período de aviso de cancelación de 30 días, y te reembolsaremos cualquier cargo prepagado por el período posterior a la cancelación. Podemos reemplazar un Subencargado con un aviso más corto en una emergencia (por ejemplo, una interrupción del servicio de un proveedor o un problema de seguridad), y te lo notificaremos lo antes posible.

7.4 Tus propios proveedores. Los servicios que conectas por tu cuenta — como tu cuenta de Stripe, tu cuenta de WhatsApp Business o tu calendario de Google, Apple o Microsoft — son tus proveedores, no nuestros Subencargados. Sus términos son un asunto entre tú y ellos.

8. Ayuda con las solicitudes de los Clientes Finales

8.1 Tu Panel te permite buscar, exportar, corregir y borrar registros de Clientes Finales y registros de consentimiento.

8.2 Si recibimos una solicitud de privacidad directamente de un Cliente Final, no responderemos sobre el fondo (excepto para acusar recibo y referir a la persona a ti) y te la enviaremos dentro de 10 Días Laborables, a menos que la ley exija otra cosa.

8.3 Te daremos ayuda razonable, tomando en cuenta la naturaleza del Procesamiento, para responder a las solicitudes de los Clientes Finales, realizar cualquier evaluación de riesgos requerida y responder a los reguladores. La ayuda que vaya más allá de las herramientas del Panel y que requiera un esfuerzo significativo puede cobrarse a tarifas razonables acordadas por adelantado.

9. Incidentes de Seguridad

9.1 Euro L Beauty te notificará sin demora indebida y, en todo caso, dentro de 72 horas después de confirmar un Incidente de Seguridad que afecte tus Datos de Clientes. Este plazo es más corto que el aviso de 10 días que un agente tercero debe darle a la entidad cubierta según la sección 501.171(6)(a) de los Estatutos de Florida, y lo cumple. Si tenemos razones para creer que ocurrió un Incidente de Seguridad pero todavía no lo hemos confirmado, te notificaremos a más tardar 10 días después de tener esas razones.

9.2 La notificación describirá, en la medida en que se conozca, qué pasó, cuándo pasó y cuándo se descubrió, los tipos de Datos de Clientes y el número aproximado de Clientes Finales afectados (por estado o territorio de residencia, cuando se conozca), si se afectaron Datos de Salud del Consumidor, fotos o credenciales de acceso, las medidas que hemos tomado y una persona de contacto. Te mantendremos informada a medida que sepamos más.

9.3 Plazos legales que puedes tener. Tú eres responsable de los avisos que la ley te exige como dueña de los Datos de Clientes. Estos incluyen, según aplique: (a) Florida — aviso a las personas afectadas tan pronto como sea posible y a más tardar 30 días después de determinarse la violación o de tener razones para creer que ocurrió; aviso al Departamento de Asuntos Legales de Florida dentro de 30 días si se afectan 500 o más residentes de Florida; y aviso a las agencias de informes de crédito si se notifica a más de 1,000 personas (sección 501.171(3)–(5) de los Estatutos de Florida); (b) Puerto Rico — aviso a los residentes afectados de la manera más expedita posible, y al Departamento de Asuntos del Consumidor (DACO) dentro de 10 días de detectarse la violación (Ley 111-2005, artículo 3); y (c) las leyes de los demás estados donde vivan los Clientes Finales afectados. Nuestro aviso de 72 horas está diseñado para darte tiempo de cumplir con estos plazos.

9.4 Cooperación y avisos en tu nombre. Tomaremos medidas razonables para contener, investigar y remediar el Incidente de Seguridad, te daremos la información que necesitas para tus avisos y cooperaremos con los reguladores. Si lo pides por escrito, o cuando la ley lo exija, prepararemos y enviaremos los avisos a los Clientes Finales y a las autoridades en tu nombre, en un formato que apruebes. Si el Incidente de Seguridad se debió a un incumplimiento de este DPA por parte de Euro L Beauty o de sus Subencargados, Euro L Beauty pagará los costos razonables y documentados de los avisos exigidos por ley y de cualquier monitoreo de crédito que exija la ley.

9.5 Modalidad HIPAA. Para una Entidad Cubierta que use la Modalidad HIPAA, el acuerdo de socio comercial rige el aviso de violaciones de PHI no protegida, y Euro L Beauty notificará a la Entidad Cubierta dentro de 72 horas de descubrirla (y, en todo caso, dentro del límite máximo de 45 C.F.R. §164.410).

9.6 Nuestra notificación no constituye una admisión de culpa.

10. Devolución y borrado

10.1 Durante tu Membresía Activa, puedes exportar o borrar Datos de Clientes en cualquier momento usando el Panel.

10.2 Después de tu Fecha de Cancelación o del comienzo del Estado Pausado, tienes el Período de Exportación de 30 días descrito en los Términos para descargar, una vez, una lista básica de tus clientas (nombre, correo, teléfono e historial de citas) en formato CSV. No se exportan otros archivos, fotos, contenido ni el sitio web.

10.3 Dentro de 30 días después de que termine el Período de Exportación, Euro L Beauty borrará o desidentificará los Datos de Clientes en sus sistemas activos; las copias en las copias de respaldo se sobrescribirán a medida que estas roten (dentro de 35 días adicionales). Hasta entonces, las copias de respaldo siguen protegidas por este DPA y no se usan para ningún otro fin.

10.4 Podemos conservar los Datos de Clientes por más tiempo solo cuando lo exija la ley, por ejemplo, los registros de consentimientos y bajas de mensajería, los registros relacionados con pagos o los registros que debamos preservar para una reclamación legal. Mantendremos esos datos confidenciales y los Procesaremos solo para ese fin.

10.5 Si lo solicitas por escrito, te confirmaremos el borrado por escrito.

11. Auditorías e información

11.1 Si lo solicitas por escrito, no más de una vez cada 12 meses (o después de un Incidente de Seguridad), responderemos un cuestionario de seguridad escrito y razonable y te daremos un resumen de nuestras medidas de seguridad.

11.2 Los informes de auditoría independientes de nuestros proveedores (por ejemplo, los informes SOC 2 de nuestros proveedores de alojamiento), cuando estén disponibles, pueden compartirse bajo confidencialidad.

11.3 No se ofrecen auditorías en el lugar, excepto cuando lo exijan las Leyes de Protección de Datos o un regulador, con por lo menos 30 días de aviso, durante horas laborables, a tu costo y sujeto a confidencialidad.

12. Información de salud

12.1 Tu condición. Al inscribirte, y cada vez que cambie, debes decirnos si tu negocio, o una práctica médica que usará SmartSpa a través de tu cuenta, es una Entidad Cubierta — por ejemplo, porque factura electrónicamente a planes médicos o realiza otras transacciones estándar de HIPAA, directamente o mediante un servicio de facturación. Las esteticistas y los spas a quienes los clientes les pagan directamente generalmente no son Entidades Cubiertas.

12.2 Si no eres una Entidad Cubierta. HIPAA no aplica a tu uso de SmartSpa y Euro L Beauty no es tu Socio Comercial. No subirás historiales clínicos, diagnósticos, recetas ni información de seguros de salud. Los Datos de Salud del Consumidor que recopiles mediante los campos de cuestionario de SmartSpa están protegidos según el Anexo 2 y la Sección 15.

12.3 Si eres una Entidad Cubierta. No puedes usar SmartSpa para crear, recibir, mantener o transmitir Datos de Clientes a menos que la Modalidad HIPAA esté disponible y tú y Euro L Beauty hayan firmado un acuerdo de socio comercial que cumpla con 45 C.F.R. §164.504(e) (un "BAA"). Para una Entidad Cubierta, los registros de citas y de contacto pueden ser PHI por sí mismos, por lo que una instrucción de no ingresar PHI no es suficiente. Bajo la Modalidad HIPAA: (a) Euro L Beauty tendrá BAAs con cada Subencargado que cree, reciba, mantenga o transmita PHI (45 C.F.R. §§164.308(b) y 164.502(e)); (b) las funciones o los proveedores sin BAA (por ejemplo, la mensajería de WhatsApp y los proveedores de correo electrónico o de IA que no firman BAAs) se desactivarán o limitarán para que no transmitan PHI; (c) el procesamiento de pagos de Stripe en tu cuenta no es una actividad de Socio Comercial bajo HIPAA (42 U.S.C. §1320d-8); y (d) el BAA prevalece sobre este DPA en cuanto a la PHI.

12.4 Si cambia tu condición. Si te conviertes en una Entidad Cubierta, o te enteras de que lo eres, debes avisarnos dentro de 10 días y dejar de ingresar Datos de Clientes en SmartSpa hasta que se cumpla la Sección 12.3. Te ayudaremos a exportar tus Datos de Clientes. Si la Modalidad HIPAA no está disponible, cualquiera de las partes puede terminar tu Membresía sin el período de aviso de cancelación de 30 días, y te reembolsaremos cualquier cargo prepagado por el período posterior a la fecha de terminación.

12.5 Expedientes médicos. Los expedientes médicos de la Modalidad Med Spa (historiales, órdenes y consentimientos para procedimientos médicos) deben mantenerse en tu propio sistema de expedientes médicos, que debe cumplir con las reglas de conservación de expedientes que apliquen a tus profesionales médicos licenciados. SmartSpa no es ese sistema.

13. Ubicación de los datos

Los Datos de Clientes se almacenan y Procesan en Estados Unidos.

14. Responsabilidad; vigencia; conflictos

14.1 La responsabilidad de cada parte bajo este DPA está sujeta a las limitaciones de responsabilidad de los Términos.

14.2 Este DPA dura mientras Euro L Beauty Procese Datos de Clientes para ti, incluso durante el Período de Exportación y mientras existan copias de respaldo.

14.3 Si este DPA contradice los Términos en cuanto al Procesamiento de los Datos de Clientes, prevalece este DPA.

14.4 Este DPA se ofrece en inglés y en español. La versión en español se provee para tu conveniencia. Si hay alguna diferencia, prevalece la versión en inglés.

15. Datos de Salud del Consumidor y fotos

15.1 Términos de encargado. En cuanto a los Datos de Salud del Consumidor, Euro L Beauty actúa como tu encargado (processor) según la Washington My Health My Data Act, la ley de datos de salud del consumidor de Nevada y leyes similares. Procesará los Datos de Salud del Consumidor solo según este DPA y tus instrucciones, te ayudará a responder a las solicitudes de los Clientes Finales para acceder, borrar o retirar su consentimiento (Sección 8), y no recopilará, compartirá ni venderá Datos de Salud del Consumidor para sus propios fines.

15.2 Sin venta, publicidad ni entrenamiento de IA. Euro L Beauty no venderá los Datos de Salud del Consumidor ni las fotos, no los usará para publicidad ni para publicidad conductual entre contextos (cross-context behavioral advertising), no cargará píxeles de publicidad en las páginas de reserva, cuestionario o fotos, y no los usará para entrenar modelos de IA.

15.3 Sin datos biométricos ni geocercas. Euro L Beauty no usará las fotos ni otros Datos de Clientes para crear identificadores de geometría facial, de reconocimiento facial ni otros identificadores biométricos, y no usará geocercas (geofencing) alrededor de lugares de cuidado de la salud ni de spas. Los metadatos de ubicación se eliminan de las fotos cuando se suben.

15.4 Herramientas de consentimiento. SmartSpa ofrece una casilla de consentimiento expreso para las preguntas del cuestionario y un formulario de consentimiento para fotos con opciones separadas para el uso en el expediente y el uso en mercadeo. Guarda el texto del consentimiento, la fecha y la hora, y cualquier retiro del consentimiento. Las fotos no se pueden publicar en tu Sitio del Spa ni en las herramientas de mercadeo a menos que conste el consentimiento para mercadeo.

Anexo 1 — Detalles del Procesamiento

Anexo 2 — Medidas de Seguridad

1. Cifrado: TLS para los datos en tránsito; cifrado en reposo provisto por los proveedores de alojamiento y de base de datos.
2. Separación: los Datos de Clientes de cada Spa están separados lógicamente; las reglas de acceso a la base de datos (seguridad a nivel de fila, row-level security) limitan a los usuarios de cada Spa a sus propios datos.
3. Control de acceso: accesos únicos; permisos basados en funciones; acceso con el mínimo privilegio para el personal de Euro L Beauty, según la necesidad de conocer, para soporte y operaciones; eliminación inmediata del acceso cuando un empleado se va; autenticación de múltiples factores para las cuentas administrativas de Euro L Beauty y disponible para las cuentas de los Miembros.
4. Registros y monitoreo: registros de los accesos administrativos y de los eventos relevantes para la seguridad; monitoreo de disponibilidad y de errores.
5. Copias de respaldo: copias de respaldo automáticas y periódicas con acceso restringido; proceso de restauración probado.
6. Desarrollo seguro: revisión del código antes de su despliegue; actualización de dependencias; credenciales secretas fuera del código.
7. Gestión de proveedores: contratos con los Subencargados que contienen términos de protección de datos; revisión de su información de seguridad.
8. Pagos: los datos de tarjetas los manejan solo procesadores que cumplen con PCI (Stripe en la cuenta del Spa; Shopify para la Modalidad A); Euro L Beauty no almacena números completos de tarjetas.
9. Salvaguardas de mensajería: registros de consentimiento y de bajas; manejo automático de STOP y HELP; controles de horario de silencio.
10. Respuesta a incidentes: pasos escritos de respuesta a incidentes con un calendario (confirmar, notificar al Spa dentro de 72 horas, apoyar los avisos de 30 días de Florida y de 10 días al DACO de Puerto Rico); notificación según la Sección 9.
11. Personal: obligaciones de confidencialidad; adiestramiento en privacidad y seguridad para el personal con acceso a los Datos de Clientes.
12. Datos de Salud del Consumidor y fotos: registros de consentimiento expreso y de consentimiento para fotos; sin píxeles de publicidad en las páginas de reserva, cuestionario o fotos; eliminación de los metadatos de ubicación de las fotos; sin procesamiento biométrico; verificación de edad con campos para el padre, madre o tutor de los menores.

Anexo 3 — Subencargados