Política de privacidad
Qué se hace con los datos que hay dentro de la aplicación, y quién responde de cada uno. No es la misma respuesta para el negocio que para sus clientes.
01Localiza tu caso antes de seguir leyendo
Dentro de esta aplicación hay datos de dos clases de persona, y de cada una responde alguien distinto. Es lo primero que hay que saber, porque cambia todo lo demás.
| Tu situación | Quién responde de tus datos | Dónde se explica |
|---|---|---|
| Tienes contratada la aplicación para tu negocio, o estás probándola | Luqen, como responsable, respecto de tus datos de cuenta, de contacto y de facturación | Apartados 2 a 5 |
| Eres cliente de un negocio que usa esta aplicación: te dieron cita, te mandaron un recordatorio o firmaste un consentimiento | El negocio que te atiende, como responsable. Luqen es únicamente encargado del tratamiento y actúa siguiendo sus instrucciones | Apartados 6 a 9 |
02Responsable del tratamiento
| Dato | Valor |
|---|---|
| Responsable | Mario Fernández Luque |
| NIF | 54264113Y |
| Nombre comercial | Luqen |
| Domicilio | Calle Alonso de Ojeda, 2, Bloque 1, Bajo F, 28660, Boadilla del Monte, Madrid, España |
| Correo electrónico | contacto@luqen.es |
| Plataforma | belleza.luqen.es |
No hay delegado de protección de datos designado: Luqen no reúne ninguno de los supuestos del artículo 37.1 del RGPD. Las consultas sobre protección de datos se atienden en contacto@luqen.es.
03Los datos de tu cuenta
Cuando das de alta un negocio —probando la aplicación o contratándola— se tratan los datos siguientes, de los que Luqen sí es responsable:
| Dato | Para qué | Base jurídica | Cuánto se guarda |
|---|---|---|---|
| Nombre y apellidos de la persona de contacto, correo electrónico y teléfono | Crear la cuenta, darte acceso y comunicarnos contigo sobre el servicio | Ejecución del contrato (art. 6.1.b RGPD) | Mientras la cuenta exista, y hasta que prescriban las acciones derivadas del contrato |
| Nombre del negocio, dirección, teléfono y datos de configuración | Prestar el servicio y configurarlo para tu actividad | Ejecución del contrato (art. 6.1.b RGPD) | Mientras la cuenta exista |
| Razón social o nombre, NIF y domicilio fiscal | Emitir tus facturas y remitir los registros de facturación a la Agencia Tributaria | Obligación legal (art. 6.1.c RGPD) | Los plazos de la normativa fiscal y mercantil |
| Datos de pago | Cobrar la cuota | Ejecución del contrato (art. 6.1.b RGPD) | Los conserva Stripe. Luqen no ve ni almacena el número de tu tarjeta |
| Dirección IP desde la que se solicita una cuenta de prueba | Impedir que se creen cuentas de forma duplicada, masiva o abusiva | Interés legítimo (art. 6.1.f RGPD) | 30 días. El control de abusos solo consulta las últimas 24 horas |
| Registro de accesos y de acciones sobre los datos sensibles | Poder saber quién vio o modificó qué, que es lo que el artículo 32 del RGPD pide para los datos de categoría especial | Obligación legal e interés legítimo (art. 6.1.c y 6.1.f RGPD) | Mientras la cuenta exista |
| Firma electrónica de las condiciones de uso, con fecha, IP y huella del documento | Poder acreditar qué documento se firmó y cuándo | Ejecución del contrato e interés legítimo (art. 6.1.b y 6.1.f RGPD) | Mientras la relación exista y hasta la prescripción de las acciones |
No se elabora ningún perfil comercial, no se toman decisiones automatizadas con efectos jurídicos y no se ceden estos datos a terceros para que los usen por su cuenta.
04La cuenta de prueba
La cuenta de prueba es una cuenta real y operativa. Nace con datos de ejemplo ficticios, dura sesenta (60) días y se puede vaciar en cualquier momento desde la propia configuración.
Si durante la prueba introduces datos reales de tus clientes, pasas a ser responsable de ellos y Luqen su encargado, exactamente igual que si hubieras contratado. Eso es lo que confirmas al aceptar el aviso de tratamiento que aparece al entrar.
05Comunicaciones que te enviamos
Se envían los correos necesarios para prestar el servicio: el alta, la recuperación de contraseña, los avisos de la suscripción y las facturas. No son publicidad y no se pueden desactivar sin dejar de usar la plataforma, porque forman parte del servicio.
Si en algún momento se envían comunicaciones comerciales, será con la base jurídica que corresponda y con un enlace para dejar de recibirlas en cada una.
06Los datos de los clientes: Luqen es encargado, no responsable
Todo lo que un negocio guarda sobre sus clientes —nombre, teléfono, correo, citas, la ficha técnica, documentos firmados, conversaciones de WhatsApp y llamadas atendidas— lo trata Luqen por cuenta del negocio y siguiendo sus instrucciones. El responsable es el negocio.
Las condiciones de esa relación no están en esta página: están en el contrato de encargado del tratamiento del artículo 28 del RGPD, que es el Anexo I de las condiciones de uso y que cada centro firma al contratar. Ahí figuran las instrucciones documentadas, las medidas de seguridad, el régimen de subencargados, la asistencia al responsable y qué ocurre con los datos al terminar.
Leer el Anexo I (encargo del tratamiento)07Datos de salud
Un negocio de este sector puede necesitar preguntar por medicación, alergias, embarazo o reacciones de la piel antes de aplicar un tratamiento. Eso son datos de categoría especial del artículo 9 del RGPD, y Luqen Belleza los trata como tales: se marcan en pantalla, el acceso queda restringido y cada consulta se registra.
La diferencia con un centro sanitario está en POR QUÉ se pueden tratar. Una clínica se apoya en la asistencia sanitaria (artículo 9.2.h) y no necesita pedir permiso. Aquí no hay asistencia sanitaria: la base es el consentimiento explícito de la persona (artículo 9.2.a del RGPD), que se recoge antes de un tratamiento que lo necesite.
El consentimiento que se firma para un tratamiento concreto —una depilación láser, una micropigmentación— es otra cosa distinta del consentimiento de protección de datos, y se gestiona por separado dentro de la aplicación. El negocio redacta su propio texto: nosotros no ponemos ninguno de fábrica, porque lo que hay que advertir depende del tratamiento y de quien lo hace.
08Cuánto se conserva la ficha técnica
No hay un plazo tasado por ley, y esto es una diferencia grande con un centro sanitario: allí la ley obliga a guardar la historia cinco años como mínimo, y en varias comunidades más. Aquí manda la regla general del artículo 5.1.e del RGPD — se conserva mientras haga falta para aquello que se recogió, y no más.
En la práctica eso son tres cosas distintas con relojes distintos: mientras la persona siga siendo cliente, la ficha técnica de cada servicio —fórmulas, parámetros, lotes y cómo quedó— tiene sentido y se guarda; cuando deja de serlo, el plazo lo marca el tiempo en que aún puede haber una reclamación por el servicio prestado; y las facturas van aparte, con los plazos fiscales y contables que fija la ley y que no dependen de nadie.
09Quién más interviene
Prestar el servicio exige apoyarse en proveedores. Todos actúan como subencargados del tratamiento, con contrato firmado, y ninguno puede usar la información para nada propio. Esta es la relación completa:
| Proveedor | Para qué | Dónde | Garantía de la transferencia |
|---|---|---|---|
| Supabase | Base de datos y almacenamiento de documentos | Unión Europea (Irlanda) | No hay transferencia fuera del EEE |
| Vercel | Alojamiento de la plataforma web | Estados Unidos | Cláusulas Contractuales Tipo y certificación bajo el Marco de Privacidad de Datos UE-EE.UU. |
| Resend | Envío de correos electrónicos operativos y recordatorios | Estados Unidos | Cláusulas Contractuales Tipo aprobadas por la Comisión Europea |
| Hostinger | Servidor de automatizaciones y dominio | Unión Europea (Lituania) | No hay transferencia fuera del EEE |
| Almacenamiento de las copias de seguridad, cifradas antes de salir | Unión Europea / Estados Unidos | Certificación bajo el Marco de Privacidad de Datos UE-EE.UU. y Cláusulas Contractuales Tipo | |
| Stripe | Procesamiento de los pagos de la licencia | Irlanda / Estados Unidos | Cláusulas Contractuales Tipo y certificación bajo el Marco de Privacidad de Datos UE-EE.UU. |
| Verifacti (Digital Docs S.L.) | Proveedor homologado por la AEAT para el envío de registros de facturación bajo el sistema Verifactu (RD 1007/2023) | Unión Europea (España) | No hay transferencia fuera del EEE |
| Namirial | Prestador cualificado de servicios de confianza: verificación de identidad remota y firma electrónica del modelo de otorgamiento de representación fiscal | Unión Europea (Italia) | No hay transferencia fuera del EEE |
| YCloud | Plataforma de gestión del canal WhatsApp Business y coexistencia con la app WhatsApp | Singapur, con puntos de presencia en la Unión Europea | Cláusulas Contractuales Tipo aprobadas por la Comisión Europea |
| Meta Platforms Ireland Ltd. | Infraestructura WhatsApp Business Platform | Irlanda / Estados Unidos | Cláusulas Contractuales Tipo y certificación bajo el Marco de Privacidad de Datos UE-EE.UU. |
| OpenAI | Procesamiento de lenguaje natural para las funcionalidades de los agentes de inteligencia artificial | Estados Unidos | Cláusulas Contractuales Tipo aprobadas por la Comisión Europea |
| Retell AI | Procesamiento de voz y atención telefónica automatizada | Estados Unidos | Cláusulas Contractuales Tipo aprobadas por la Comisión Europea |
| Zadarma | Telefonía y numeración | Unión Europea | No hay transferencia fuera del EEE |
La propia tabla dice, en cada proveedor, cuándo interviene: los hay que intervienen siempre y los hay que solo si el negocio tiene contratado el agente de WhatsApp o el agente de voz.
Las copias de seguridad se cifran antes de salir de la plataforma. Google almacena ficheros cifrados de los que no tiene la clave privada y que no puede leer.
Las grabaciones de llamadas, cuando el negocio tiene agente de voz, residen en los sistemas del proveedor de voz, que las elimina pasados siete días. Luqen no las copia.
10Los agentes de inteligencia artificial
Esta plataforma incluye dos funciones opcionales que emplean inteligencia artificial, y solo funcionan si el negocio las contrata y las activa:
- El agente de WhatsApp, que lee los mensajes que llegan al número del negocio y responde para dar, cambiar o anular una cita.
- El agente de voz, que atiende las llamadas telefónicas del negocio con la misma finalidad.
Para que puedan entender lo que se les dice, el contenido de esos mensajes y de esas llamadas se envía a los proveedores señalados en la tabla anterior, que lo tratan únicamente para interpretarlo y generar la respuesta. Ninguno lo emplea para entrenar sus modelos.
Los agentes se identifican como máquinas al empezar la conversación y no lo niegan si se les pregunta, tal y como exige el artículo 50 del Reglamento (UE) 2024/1689 de Inteligencia Artificial. Quien prefiera hablar con una persona lo pide y se le pasa con el negocio.
Los agentes solo gestionan citas y avisos. No recomiendan tratamientos, no valoran si alguien puede recibirlos y no toman ninguna decisión con efectos jurídicos ni que afecte significativamente a nadie, en el sentido del artículo 22 del RGPD. Cualquier pregunta sobre el tratamiento se deriva al negocio.
Un negocio que no tenga contratada ninguna de las dos funciones no envía nada a estos proveedores: sus avisos de cita salen sin que ninguna inteligencia artificial intervenga.
11Transferencias fuera del Espacio Económico Europeo
La base de datos y los documentos están alojados en la Unión Europea. Algunos de los proveedores de la tabla anterior están fuera del EEE; en todos los casos hay Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y, cuando procede, certificación bajo el Marco de Privacidad de Datos UE-EE.UU. La columna «Garantía» de esa tabla dice cuál se aplica a cada uno.
12Tus derechos
Si eres el titular de una cuenta, puedes ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición escribiendo a contacto@luqen.es. La respuesta llega en el plazo de un mes desde la recepción, prorrogable dos meses más si la petición es compleja, avisándote dentro del primer mes.
Si eres cliente de un negocio, la petición se dirige a ese negocio. Si nos llega a nosotros, se la trasladamos.
En cualquier caso puedes presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es), especialmente si consideras que no se ha atendido debidamente tu solicitud.
13Seguridad
La información viaja siempre cifrada. El acceso a cada negocio está aislado del de los demás por reglas de la propia base de datos, no solo por comprobaciones de la aplicación. Los accesos y las modificaciones sobre datos sensibles quedan registrados, y la ficha técnica no se sobrescribe: una corrección conserva la versión anterior y exige indicar el motivo.
Se hacen copias de seguridad periódicas, cifradas. Ante una violación de seguridad que afecte a datos personales, Luqen lo comunica al negocio sin dilación indebida para que pueda cumplir sus obligaciones de notificación, conforme al Anexo I de las condiciones de uso.
14Cambios en esta política
Cuando esta política cambie, se publica la versión nueva con su fecha. Si el cambio afecta de forma sustancial a cómo se tratan los datos, se avisa además por correo a los negocios con cuenta activa.