Versión 2.2
Contrato de encargo del tratamiento (DPA)
Versión 2.2 · 28 de septiembre de 2026 · Sustituye a la versión 2.1. Único cambio: el Anexo II añade Google Firebase Cloud Messaging como subencargado para las notificaciones de la app móvil.
Este contrato regula el tratamiento de datos personales que Pawky hace por cuenta del Cliente, conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD) y al art. 33 de la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de los Términos y Condiciones del Servicio y se acepta electrónicamente junto con ellos. Pawky guarda la fecha, la versión, la huella del texto y la IP de la aceptación.
1. Partes
- Responsable del tratamiento («el Cliente»): la persona física o jurídica titular de la cuenta Pawky, identificada con los datos fiscales de su perfil.
- Encargado del tratamiento («Pawky»): Ignacio Revuelta Bracero, empresario individual, NIF 48121408A, Calle Málaga 81, 41849 Aznalcázar (Sevilla, España). Contacto: [email protected].
2. Objeto, duración, naturaleza y finalidad
2.1 Objeto: tratar los datos personales necesarios para prestar el servicio Pawky contratado.
2.2 Duración: la del contrato de servicio, más el periodo de devolución y supresión de la cláusula 10.
2.3 Naturaleza: alojamiento, registro, organización, conservación, consulta, modificación, comunicación por transmisión (envío de emails y mensajes de WhatsApp, remisión a la AEAT o a las Haciendas Forales), bloqueo y supresión.
2.4 Finalidad: prestar las funciones que el Cliente active (Anexo I). Pawky no trata los datos para fines propios, salvo lo previsto en la cláusula 5.4.
3. Datos e interesados (Anexo I)
- Interesados: clientes finales del Cliente y sus representantes; personal del Cliente; personas que firman consentimientos; remitentes de los correos que el Cliente sincroniza.
- Datos: identificativos y de contacto; NIF/NIE; dirección; datos de las mascotas; historial de citas y servicios; notas; fotos; datos económicos y de facturación; firmas digitalizadas con IP; mensajes de email y WhatsApp; datos laborales del personal (DNI, número de la Seguridad Social, IBAN, salario, registro de jornada y ausencias).
- Categorías especiales: el servicio no está pensado para tratarlas. El Cliente se compromete a no registrar datos de salud de personas en campos de texto libre. La plataforma registra el tipo de ausencia del personal, incluida la «baja médica», que el Cliente trata al amparo del art. 9.2.b RGPD. Para las bajas médicas no se admite motivo libre.
4. Instrucciones
4.1 Pawky trata los datos solo siguiendo las instrucciones documentadas del Cliente, también en lo relativo a las transferencias internacionales (cláusula 8). Son instrucciones este contrato, la configuración que el Cliente hace en la plataforma (por ejemplo, activar la IA, WhatsApp o el correo sincronizado) y las solicitudes escritas a [email protected].
4.2 Si el Derecho de la Unión o de un Estado miembro obliga a Pawky a tratar los datos de otro modo, Pawky informará al Cliente antes de hacerlo, salvo que ese Derecho lo prohíba por razones de interés público.
4.3 Pawky informará inmediatamente al Cliente si considera que una instrucción infringe el RGPD u otra norma de protección de datos.
4.4 Uso de la IA: el Cliente se compromete a no usar los resultados de las funciones de IA como único fundamento de decisiones que produzcan efectos jurídicos o le afecten significativamente a sus clientes (art. 22 RGPD), por ejemplo negar el servicio o exigir un pago.
5. Deberes de Pawky
5.1 Confidencialidad: las personas autorizadas para tratar los datos están sujetas a un deber de confidencialidad, contractual o legal, que subsiste al terminar la relación (art. 5 LOPDGDD).
5.2 Seguridad: Pawky aplica las medidas del Anexo III (art. 32 RGPD) y las revisa al menos una vez al año.
5.3 Acceso de soporte: solo personal autorizado puede entrar en la cuenta del Cliente para resolver una incidencia. Cada acceso queda registrado (quién, cuándo y motivo) y Pawky avisa al Cliente por email.
5.4 Datos agregados: Pawky puede elaborar estadísticas de uso del servicio agregadas y anonimizadas para mantenerlo y mejorarlo. Esas estadísticas no permiten identificar a ningún interesado ni al Cliente.
6. Subencargados
6.1 El Cliente da una autorización general por escrito a los subencargados del Anexo II.
6.2 Pawky avisará por email con 30 días de antelación de cualquier alta o sustitución de un subencargado. El Cliente puede oponerse por motivos razonables. Si no hay alternativa, puede resolver el contrato sin penalización y con devolución de la parte proporcional del precio ya pagado.
6.3 Pawky impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato y responde ante el Cliente de su cumplimiento (art. 28.4 RGPD).
7. Asistencia al Cliente
7.1 Derechos de los interesados: Pawky facilita herramientas en la plataforma (exportación, anonimización y el autoservicio /mis-datos para los clientes finales). Si un interesado se dirige a Pawky, Pawky trasladará la solicitud al Cliente en un plazo de 5 días hábiles y no la contestará por su cuenta.
7.2 Seguridad, brechas, evaluaciones de impacto y consultas previas (arts. 32 a 36 RGPD): Pawky facilitará al Cliente la información de que disponga y le ayudará en lo razonable.
8. Transferencias internacionales
Pawky solo transfiere datos fuera del Espacio Económico Europeo a los subencargados del Anexo II que lo indican y con una de estas garantías del Capítulo V del RGPD:
- decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795) para las entidades certificadas; o
- cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914), con la evaluación del país de destino y las medidas complementarias que procedan.
Las funciones que implican transferencia (IA, correo sincronizado de Gmail u Outlook, inicios de sesión con redes sociales, WhatsApp) solo se activan por decisión del Cliente. El Cliente puede pedir a [email protected] una copia de las garantías aplicables.
9. Violaciones de seguridad
Pawky notificará al Cliente sin dilación indebida y, a más tardar, en 48 horas desde que tenga conocimiento de una violación de seguridad que afecte a los datos del Cliente, con la información del art. 33.3 RGPD de que disponga en ese momento, y la completará a medida que la obtenga. Pawky no notificará a la AEPD ni a los interesados en nombre del Cliente, salvo que este se lo pida por escrito.
10. Fin del encargo
10.1 Cuando el Cliente pide la baja, dispone de 60 días (30 de periodo transitorio y 30 de extracción) para descargar una exportación completa de sus datos: clientes y mascotas, citas, facturas y sus líneas, productos, servicios, equipo, fichajes con pausas y auditoría, nóminas, gastos, consentimientos y fotos (CSV y ficheros originales). Las condiciones del cambio de proveedor están en la cláusula 13 de los Términos.
10.2 Pasado ese plazo, Pawky suprime los datos. Las copias de seguridad se eliminan en su ciclo de rotación (máximo 30 días más), durante el cual no se tratan.
10.3 Conservación legal por cuenta del Cliente. Las obligaciones de conservar documentación son del Cliente:
- facturas y registros de facturación: 4 años a efectos fiscales (arts. 29.2 y 66 de la Ley General Tributaria) y 6 años a efectos mercantiles (art. 30 del Código de Comercio);
- registro de jornada: 4 años (art. 34.9 del Estatuto de los Trabajadores).
Para que la baja no destruya esa documentación, Pawky la conserva bloqueada (art. 32 LOPDGDD), por cuenta del Cliente y sin acceso desde la plataforma: facturas y sus líneas, cierres de caja, gastos y datos fiscales del emisor y del receptor (6 años desde el último registro), y registros de jornada con su auditoría, nóminas e identificación del trabajador (4 años). Al vencer cada plazo, los suprime. Durante el bloqueo, el Cliente puede pedir una copia de esos registros y Pawky los pondrá a disposición de las autoridades que los requieran legalmente.
11. Demostración del cumplimiento y auditorías
Pawky pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato: el propio contrato, la lista de subencargados, las medidas del Anexo III y los informes de auditoría de que disponga. Pawky permitirá una auditoría al año, con 30 días de preaviso, a cargo del Cliente y con compromiso de confidencialidad, y además cuando haya una brecha o un requerimiento de la autoridad de control.
12. Responsabilidad
Cada parte responde frente a los interesados según el art. 82 RGPD. Entre las partes se aplica la cláusula de responsabilidad de los Términos, salvo en los daños causados por el incumplimiento doloso o gravemente negligente de este contrato, que no tienen límite.
13. Prevalencia y ley aplicable
Si este contrato y los Términos se contradicen, prevalece este contrato en materia de protección de datos. Se rige por la ley española. Las controversias se someten a los juzgados y tribunales competentes según la Ley de Enjuiciamiento Civil.
Anexo I: Tratamientos por función
| Función | Datos | Cuándo se usa |
|---|---|---|
| Clientes y mascotas | identificativos, contacto, NIF, mascotas, notas, fotos | siempre |
| Agenda, reservas online y portal | citas, reservas, credenciales del portal, inicios de sesión con redes sociales | siempre / si se publica la web |
| Facturación, VERI*FACTU y TicketBAI | facturas, NIF del destinatario, remisión a la AEAT o a las Haciendas Forales de Álava, Bizkaia y Gipuzkoa a través de Verifacti | siempre (Verifacti: obligatorio en Pawky desde el 01/07/2027 en territorio común y ya en Álava, Bizkaia y Gipuzkoa) |
| Comunicaciones | email y teléfono; recordatorios; campañas y felicitaciones solo a clientes con consentimiento comercial | opcional |
| Consentimientos firmados | texto firmado, firma digitalizada, IP, fecha | opcional |
| Personal | DNI, NSS, IBAN, salario, fichajes (IP y agente de usuario), ausencias | opcional |
| Correo sincronizado | contenido de los emails | opcional |
| Asistente de IA | datos minimizados y seudonimizados de las filas anteriores, sin nombre ni datos de contacto, y textos de email con teléfonos, emails y datos bancarios tapados → Anthropic (EE. UU.) | opcional |
| Galería pública | fotos antes y después | opcional; necesita el consentimiento del cliente |
Anexo II: Subencargados autorizados (versión 2.2, 28/09/2026)
| Proveedor | Servicio | Datos | Ubicación | Garantía (Capítulo V RGPD) |
|---|---|---|---|---|
| Hetzner Online GmbH | Servidores, base de datos y copias de seguridad cifradas | Todos | Alemania (UE) | No hay transferencia |
| Ploi B.V. | Gestión y despliegue del servidor (acceso técnico) | Todos (acceso técnico) | Países Bajos (UE) | No hay transferencia |
| Cloudflare, Inc. | DNS, proxy y protección de las páginas; verificación anti-bot (Turnstile) | IP, cabeceras y tráfico HTTP | UE y EE. UU. | Marco de Privacidad UE-EE. UU. + cláusulas tipo |
| Resend, Inc. | Envío de emails (recordatorios, notificaciones, campañas, verificación) | Email del destinatario y contenido del mensaje | EE. UU. | Marco de Privacidad UE-EE. UU. + cláusulas tipo |
| Functional Software, Inc. (Sentry) | Registro de errores técnicos, sin datos personales en el contenido del evento | Identificadores técnicos y URL depurada | Región de datos UE (Alemania); acceso de soporte desde EE. UU. | Marco de Privacidad UE-EE. UU. + cláusulas tipo |
| Anthropic, PBC | Funciones de IA (si el Cliente las activa) | Datos minimizados y seudonimizados (Anexo I) | EE. UU. | Cláusulas tipo (Anthropic no está certificada en el Marco de Privacidad) |
| Stripe Payments Europe, Ltd. y Stripe, Inc. | Pagos de reservas, Stripe Connect y cobro de la suscripción | Datos del pagador e importes (los datos de tarjeta los recoge Stripe) | Irlanda (UE) y EE. UU. | Marco de Privacidad UE-EE. UU. + cláusulas tipo |
| Redsys Servicios de Procesamiento, S.L. | TPV virtual (si el Cliente lo configura) | Importe y pedido; los datos de tarjeta los recoge Redsys | España (UE) | No hay transferencia |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Pagos con PayPal (si el Cliente lo configura) | Pagador e importe | Luxemburgo (UE) | No hay transferencia |
| Meta Platforms Ireland Ltd. | WhatsApp Business (si el Cliente lo configura) e inicio de sesión con Facebook o Instagram en el portal | Teléfono, contenido de los mensajes, identificador social | Irlanda (UE) y EE. UU. (Meta Platforms, Inc.) | Marco de Privacidad UE-EE. UU. + cláusulas tipo |
| Google Ireland Ltd. / Google LLC | Gmail (si el Cliente lo conecta), autocompletado de direcciones (Places), inicio de sesión con Google y mapa de las páginas públicas (solo si el visitante pulsa «Mostrar mapa») | Emails sincronizados, dirección escrita, identificador; IP del visitante (Maps) | UE y EE. UU. | Marco de Privacidad UE-EE. UU. + cláusulas tipo |
| Google Ireland Ltd. / Google LLC (Firebase Cloud Messaging) | Entrega de las notificaciones de la app móvil de Pawky, solo avisos del servicio (reservas, cambios de cita, recordatorios y solicitudes de ausencia al dueño); nunca publicidad | Token push del dispositivo; título y texto del aviso (nombre de la mascota, fecha y hora, nombre del empleado, fechas de la ausencia, nombre del negocio) e identificador interno para abrir la pantalla del aviso. Sin teléfono, email, importes, datos de salud ni motivo de la ausencia. Interesados: dueño y personal del Cliente y clientes finales que usan la app | UE y EE. UU. | Marco de Privacidad UE-EE. UU. + cláusulas tipo |
| Microsoft Ireland Operations Ltd. / Microsoft Corporation | Outlook y Microsoft 365 (si el Cliente los conecta), inicio de sesión con Microsoft | Emails sincronizados, identificador | UE y EE. UU. | Marco de Privacidad UE-EE. UU. + cláusulas tipo |
| Verifacti | Remisión de registros de facturación a la AEAT (VERI*FACTU) y a las Haciendas Forales (TicketBAI); alta del NIF emisor | NIF, nombre y dirección del emisor y del destinatario, importes | España (UE) | No hay transferencia |
Los inicios de sesión con Apple o TikTok en el portal del cliente final los elige el propio cliente final: Apple y TikTok actúan como responsables independientes, no como subencargados.
Anexo III: Medidas técnicas y organizativas
- Cifrado en tránsito (TLS 1.2 o superior, HSTS) y política de seguridad de contenidos (CSP) estricta.
- Cifrado en base de datos (AES-256) del NIF de los clientes, del DNI, NSS e IBAN del personal, de los tokens OAuth y de las claves de API.
- Contraseñas con hash bcrypt y límite de intentos en el inicio de sesión.
- Aislamiento de los datos de cada Cliente.
- Registro de auditoría de los cambios en clientes, mascotas, citas y transacciones, de solo añadir y con huella encadenada verificable.
- Registro inmutable de los accesos de soporte y aviso al Cliente de cada acceso.
- Copias de seguridad diarias cifradas y guardadas fuera del servidor principal.
- Eventos de errores (Sentry) depurados de datos personales antes de enviarse.
- Segundo factor de autenticación (TOTP) obligatorio para las cuentas del panel (dueño y personal), con códigos de recuperación guardados solo como hash y un plazo de 14 días desde el alta para activarlo; el equipo de soporte no puede gestionarlo en nombre del Cliente.
- Segundo factor de autenticación (TOTP) disponible para las cuentas del portal del cliente final.
- Procedimiento de gestión y notificación de brechas.
Anexo IV: Contactos
Pawky: [email protected]. Cliente: el email de su cuenta.