Acuerdo de encargado del tratamiento (DPA)
Última actualización: 26 de julio de 2026
El presente Acuerdo de Encargado del Tratamiento (“DPA”) forma parte integrante de los Términos y Condiciones del Servicio de Mila y se entiende aceptado por el salón mediante aceptación digital expresa (checkbox + confirmación de registro).
Mila es un producto operado por SKYE SYSTEMS LLC, una sociedad de responsabilidad limitada (LLC) constituida en Wyoming (EE. UU.), n.º de registro 2026-002017903, con domicilio social en 5830 E 2nd St, Ste 7000 #36958, Casper, Wyoming 82609, USA.
Entre:
El Salón, en calidad de Responsable del Tratamiento,
y
SKYE SYSTEMS LLC (Mila), sociedad de responsabilidad limitada (LLC) constituida en Wyoming (Estados Unidos), n.º de registro 2026-002017903, con domicilio social en 5830 E 2nd St, Ste 7000 #36958, Casper, Wyoming 82609, USA, en calidad de Encargado del Tratamiento,
email: hello@bookmila.com
ambas partes acuerdan lo siguiente:
1. Objeto
El presente acuerdo regula el tratamiento de datos personales que Mila realiza por cuenta del Salón en el marco de la prestación del software SaaS y panel de gestión.
Mila tratará los datos únicamente para prestar los servicios contratados.
2. Naturaleza y finalidad del tratamiento
Mila tratará datos personales con la finalidad de:
- • gestionar citas y reservas
- • administrar agenda y operaciones diarias
- • gestionar perfiles de staff
- • almacenar historiales de clientes
- • procesar pagos y recibos
- • gestionar comunicaciones
- • enviar notificaciones
- • almacenar consentimientos informados
- • soporte técnico y mantenimiento
- • generación de informes y auditoría
3. Categorías de datos tratados
Mila podrá tratar, por cuenta del Salón:
Datos identificativos
- nombre y apellidos
- teléfono
- idioma
- identificadores internos
Datos operativos
- citas
- historial de servicios
- pagos
- notas
- etiquetas
- preferencias
Categorías especiales de datos
Cuando el Salón los introduzca:
- alergias
- contraindicaciones
- historial dermatológico
- embarazo / lactancia
- medicación relevante
- fotos de zonas tratadas
- consentimiento informado
Datos del personal
- nombre
- rol
- horarios
- disponibilidad
- auditoría de acciones
4. Duración
La duración del presente DPA será mensual con renovación automática, mientras se mantenga activa la suscripción del Salón.
El acuerdo finalizará automáticamente al cancelarse el servicio, sin perjuicio de las obligaciones de conservación y supresión previstas.
5. Obligaciones de Mila
Mila se compromete a:
- tratar los datos únicamente siguiendo instrucciones del Salón
- garantizar confidencialidad
- limitar accesos al mínimo necesario
- aplicar medidas técnicas y organizativas adecuadas
- asistir al Salón en el ejercicio de derechos RGPD
- notificar incidentes de seguridad sin dilación indebida
- no utilizar los datos para fines propios
6. Acceso por parte del equipo de Mila
6.1 Acceso bajo solicitud (por defecto)
El acceso a datos por parte del equipo técnico se realizará, por defecto:
- solo bajo solicitud del Salón
- acceso temporal
- trazabilidad completa
- registro de usuario, fecha, motivo y acciones realizadas
- desactivación al finalizar
6.2 Acceso proactivo limitado (beta)
Durante fases beta o mantenimiento crítico, Mila podrá acceder de forma proactiva exclusivamente para:
- • debugging
- • corrección de errores
- • recuperación de datos
- • incidencias técnicas
- • mantenimiento preventivo
Este acceso estará sujeto a:
- mínimo privilegio
- preferencia por modo lectura
- ventana temporal limitada
- registro de auditoría
- finalidad técnica legítima
7. Subencargados autorizados
El Salón autoriza expresamente el uso de los siguientes subencargados (cada uno bajo contrato con garantías equivalentes de protección de datos):
Infraestructura
- • Vercel (UE (Dublín, dub1)): Alojamiento de la aplicación y cómputo de servidor fijado a la UE (dub1); activos estáticos vía CDN global.
- • Supabase (UE (AWS)): Base de datos, autenticación y almacenamiento de archivos (con seguridad a nivel de fila).
- • Upstash (UE): Limitación de solicitudes (solo contadores de peticiones, sin contenido personal).
- • Cloudflare (EE. UU. / Edge global): Protección contra bots y abuso en formularios públicos (Turnstile): evalúa una señal de interacción del visitante y la dirección IP para bloquear envíos automatizados; sin datos de cuenta ni de perfil.
Pagos
- • Stripe (EE. UU. / Global): Procesamiento seguro de pagos, tokenización de tarjetas y gestión de cobros.
Correo electrónico
- • Postmark (EE. UU.): Envío de correos transaccionales y de notificación.
Monitorización
- • Sentry (EE. UU.): Monitorización de errores y rendimiento (cargas depuradas de datos personales).
Mila informará al Salón de cualquier alta o sustitución de subencargados con antelación suficiente para que pueda oponerse, y garantizará que ofrezcan garantías adecuadas conforme al RGPD.
7.1 Transferencias internacionales (Capítulo V)
SKYE SYSTEMS LLC está establecida en los Estados Unidos y algunos subencargados se encuentran fuera de la UE (Cloudflare, Stripe, Postmark, Sentry). Cuando se transfieren datos personales a estos subencargados, la transferencia se ampara en una garantía de transferencia adecuada del Capítulo V del RGPD, en proceso de formalización antes del lanzamiento; el resto de los datos permanece en la UE.
8. Medidas de seguridad
Mila implementará, entre otras, las siguientes medidas:
- • cifrado en tránsito
- • base de datos y cómputo alojados en la UE
- • autenticación segura
- • control de roles y permisos
- • logs de auditoría
- • backups
- • control de accesos internos
- • trazabilidad de soporte
- • revisión periódica de accesos
9. Conservación tras cancelación
Tras la cancelación del servicio o el cierre de la cuenta, el acceso finaliza al término del periodo ya abonado y se programa la eliminación de los datos:
- los datos se conservan durante un periodo de recuperación de 30 días
- finalidad: permitir la reactivación de la cuenta y la recuperación de los datos por parte del Salón durante ese periodo
Transcurrido dicho plazo, los datos se eliminan de forma permanente y automática, salvo obligación legal de conservación (por ejemplo, determinados registros fiscales).
10. Exportación de datos
El Salón podrá solicitar la exportación completa de los datos antes o durante el periodo de conservación.
La exportación podrá realizarse en formatos como:
- CSV
- Excel
11. Asistencia en derechos RGPD
Mila asistirá razonablemente al Salón para responder solicitudes de:
- acceso
- rectificación
- supresión
- portabilidad
- oposición
- limitación
12. Violaciones de seguridad
En caso de brecha de seguridad que afecte a datos personales, Mila notificará al Salón sin demora indebida, aportando:
- naturaleza del incidente
- categorías afectadas
- alcance estimado
- medidas correctoras
13. Aceptación digital
La aceptación del presente acuerdo se realizará mediante:
- • checkbox obligatorio
- • enlace visible al DPA
- • registro de fecha y hora
- • IP / identificador de dispositivo
- • versión del documento aceptado
Dicha aceptación tendrá plena validez contractual.
14. California / EE. UU. (CCPA/CPRA – proveedor de servicios)
Cuando, y en la medida en que, el Responsable sea una "empresa" (business) sujeta a la California Consumer Privacy Act (modificada por la CPRA) y preste servicio a consumidores de California, Mila actúa como "proveedor de servicios" (service provider)respecto de la información personal que trata por cuenta del Responsable, y:
- la trata únicamente para la finalidad comercial de prestar los servicios, según las instrucciones del Responsable;
- no "vende" ni "comparte" la información personal (según se definen dichos términos en la CCPA/CPRA);
- no la conserva, usa ni divulga para ninguna finalidad distinta de prestar los servicios, ni fuera de la relación comercial directa con el Responsable;
- no la combina con información personal de otras fuentes, salvo lo permitido a un proveedor de servicios por la CCPA/CPRA;
- certifica que comprende y cumplirá estas restricciones; y
- asiste al Responsable a responder solicitudes verificables (acceso, supresión, corrección, exclusión).
La contraprestación de los Términos retribuye los servicios, no la venta ni la puesta en común de información personal.