Política de Privacidad

Operadora de la plataforma: LuckyTarget, Lda., NIF ⚠️ [NIF a confirmar], con domicilio en ⚠️ [morada da sede a confirmar], Portugal. Contacto de privacidad: privacidade@hncare.pt. Delegado de Protección de Datos: ⚠️ [EPD/DPO a confirmar].

Belessa es un software de gestión utilizado por clínicas y salones de estética/wellness ("Clínicas"). Respecto a los datos de los clientes finales de las Clínicas (incluidos datos de salud), cada Clínica es la RESPONSABLE del tratamiento y LuckyTarget, Lda. actúa como ENCARGADA del tratamiento, tratando los datos solo según las instrucciones de la Clínica y el Contrato de Encargo aplicable.

Respecto a los datos de las propias Clínicas (cuenta, suscripción, facturación de la plataforma) y a los datos recogidos directamente por nosotros, LuckyTarget, Lda. es la responsable del tratamiento.

Datos de identificación y contacto: nombre, email, teléfono, dirección (cuando aplica a pedidos/envíos).

Datos de reserva y servicio: servicios agendados, historial de visitas, profesional, unidad.

Datos de salud (categoría especial, art. 9 RGPD): alergias, condiciones, medicación, notas clínicas y fotografías antes/después — tratados exclusivamente por cuenta de la Clínica, con consentimiento explícito y/o para la prestación de cuidados, y cifrados en reposo.

Datos de transacción: pedidos, pagos (procesados por proveedores certificados), facturación, saldo y movimientos de fidelización/cashback.

Datos técnicos estrictamente necesarios: cookies necesarias para el funcionamiento (ver Política de Cookies). No usamos cookies de rastreo ni publicidad comportamental.

Prestación del servicio (reservas, ficha, tienda, academia): ejecución de contrato — art. 6.1.b.

Emisión de facturas y cumplimiento de obligaciones fiscales: obligación legal — art. 6.1.c.

Tratamiento de datos de salud: consentimiento explícito del titular y/o gestión de cuidados de salud por profesional sujeto a secreto — art. 9.2.a y 9.2.h, por cuenta de la Clínica.

Comunicaciones de marketing: consentimiento — art. 6.1.a. Puede retirarlo en cualquier momento, sin afectar a tratamientos anteriores.

Seguridad, prevención de fraude y mejora del servicio: interés legítimo — art. 6.1.f.

Recurrimos a proveedores que tratan datos por nuestra cuenta, bajo contrato y con garantías adecuadas:

Supabase (base de datos, autenticación y almacenamiento) — infraestructura en la Unión Europea.

Vercel (alojamiento y ejecución de la aplicación) — puede implicar tratamiento en servidores fuera del EEE.

Stripe (procesamiento de pagos y suscripciones) — puede implicar transferencia a EE. UU.

Moloni (facturación certificada por la AT, clínicas en Portugal) — Unión Europea/Portugal.

Vendus (facturación para clínicas en España, conforme a la AEAT) — Unión Europea/España.

Proveedor de SMS/OTP y proveedor de email transaccional — para recordatorios y comunicaciones operativas.

Cuando hay transferencia fuera del Espacio Económico Europeo, aseguramos garantías adecuadas (Cláusulas Contractuales Tipo de la Comisión Europea y/o mecanismos de adecuación aplicables). La lista actualizada de encargados está disponible a petición en privacidade@hncare.pt.

Conservamos los datos solo durante el tiempo necesario para las finalidades y los plazos legales aplicables (en particular fiscales, por regla 10 años para documentos de facturación).

Los datos de ficha y de salud se conservan mientras dure la relación con la Clínica y por los plazos exigidos a la documentación clínica; cumplidos los plazos, se suprimen o anonimizan. Los registros de auditoría de acceso a datos de salud se conservan por un periodo limitado como prueba de cumplimiento.

Tiene derecho a acceder, rectificar, suprimir, limitar y oponerse al tratamiento, así como a la portabilidad de sus datos y a retirar el consentimiento en cualquier momento.

Para ejercer estos derechos sobre datos tratados por una Clínica, contacte directamente con la Clínica (responsable). Para datos tratados por LuckyTarget, Lda., contacte privacidade@hncare.pt.

También tiene derecho a reclamar ante la autoridad de control: Agencia Española de Protección de Datos (AEPD) — www.aepd.es (o la autoridad de su país de residencia).

Aplicamos medidas técnicas y organizativas adecuadas (art. 32 RGPD): aislamiento por organización con control de acceso (RLS), cifrado de datos de salud en reposo, registro de auditoría de accesos, comunicación cifrada (TLS) y control de accesos por roles.

Esta política puede actualizarse. La fecha de última actualización figura arriba. Los cambios materiales se comunicarán por los medios adecuados.