Legal
Política de privacidad
Qué datos guardamos, por qué podemos guardarlos, cuánto tiempo y qué puedes exigirnos. Sin párrafos de relleno.
Última actualización: 6 de septiembre de 2026
01 Quién responde de tus datos
02 Los dos papeles de Kalys
Esto es lo más importante de esta página y conviene entenderlo bien, porque cambia a quién tienes que reclamar según de quién sean los datos.
Los datos de tu negocio: nosotros somos el responsable
El nombre de tu negocio, tu correo, tu contraseña y tus datos fiscales de alta los tratamos nosotros y decidimos nosotros qué se hace con ellos. De eso responde el titular indicado arriba, y para eso es el resto de esta política.
Los datos de tus clientes: tú eres la responsable, nosotros el encargado
Los nombres, teléfonos, citas, notas y pagos de las personas a las que atiendes los introduces tú. Nosotros solo los guardamos y procesamos por cuenta tuya, siguiendo tus instrucciones. En términos del RGPD, tú eres laresponsable del tratamiento y Kalys es el encargado.
Dentro de esos datos hay un caso aparte: las notas de salud y alergias de la ficha de estética (por ejemplo, una reacción a un tinte) son categoría especial de datos (art. 9 RGPD). Kalys las guarda en una tabla distinta del resto de la ficha, cifradas, con la clave fuera de la base de datos.
Eso significa tres cosas concretas:
- Nosotros no usamos los datos de tus clientes para nada que no sea prestarte el servicio. No los vendemos, no los cedemos y no los usamos para entrenar modelos.
- Si un cliente tuyo quiere acceder a sus datos o que se los borres, te lo tiene que pedir a ti, no a nosotros. Si nos llega a nosotros, te lo reenviamos.
- Eres tú quien debe informar a tus clientes de que llevas su ficha en una herramienta de gestión, y quien debe tener una base para tratar sus datos, en particular los de salud. Lo normal es el consentimiento explícito antes de aplicar un servicio con riesgo de reacción.
El artículo 28.3 del RGPD exige un contrato entre responsable y encargado. Ese contrato de encargo forma parte de las condiciones del servicio y lo aceptas al registrarte, sin tener que firmar nada aparte.
03 Qué tratamos y con qué base
El RGPD obliga a declarar la base jurídica de cada finalidad, no del conjunto. Estas son todas:
Facilitar estos datos es necesario para poder darte el servicio: sin correo no hay cuenta, y sin datos fiscales no se puede completar el alta. No hay campos que recojamos «por si acaso».
No tomamos decisiones automatizadas con efectos jurídicos sobre ti, ni elaboramos perfiles.
04 Cuánto tiempo los guardamos
- Los datos de tu cuenta, mientras la cuenta esté activa. Si la das de baja, se eliminan o se anonimizan en un plazo razonable tras el cierre.
- Las ventas cobradas, mientras mantengas tu cuenta. Kalys no emite factura todavía (ver el aviso legal), así que no aplica el plazo de conservación de seis años que exige la normativa tributaria sobre facturas; el día que emita facturas, esta política se actualizará antes de que ocurra.
- Los registros técnicos de seguridad, un máximo de doce meses.
- Los datos de tus clientes, incluidas las notas de salud, mientras mantengas tu cuenta o hasta que los borres tú. Los controlas tú, no nosotros.
05 A quién se los comunicamos
No vendemos datos a nadie ni los cedemos con fines comerciales. Los únicos terceros que los tocan son proveedores que trabajan por cuenta nuestra, con contrato de encargado firmado y solo para lo que hace falta:
Además, los datos pueden comunicarse a la Administración cuando una ley lo exija — a la Agencia Tributaria, a un juzgado o a las fuerzas y cuerpos de seguridad con una orden.
El servidor donde se ejecutan la aplicación y la base de datos está en la Unión Europea, así que ese dato no sale de ella. Stripe trata los datos de la cuenta de pago que conectas para cobrar con tarjeta: su entidad europea está en Irlanda, dentro de la Unión, aunque el grupo Stripe tiene infraestructura en Estados Unidos; esa transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea y en las garantías del capítulo V del RGPD. El dinero que cobras con tarjeta va directo a tu propia cuenta de Stripe: en ningún momento pasa por la nuestra. Puedes pedirnos copia de esas garantías escribiendo a kalys@tarja.es.
Si cambiamos de proveedor, esta lista se actualiza aquí antes de que el cambio ocurra.
06 Tus derechos
Puedes ejercer estos derechos escribiendo a kalys@tarja.es. Contestamos dentro del plazo de un mes que marca el RGPD, normalmente mucho antes, y es gratis.
- Acceso: saber qué datos tuyos tenemos.
- Rectificación: corregir los que estén mal.
- Supresión: que los borremos, salvo los que la ley obliga a conservar.
- Oposición: que dejemos de tratarlos por interés legítimo.
- Limitación: que los conservemos pero no los usemos mientras se resuelve una reclamación.
- Portabilidad: llevarte tus datos en un formato que se pueda abrir en otro sitio.
Si crees que no hemos hecho bien nuestro trabajo, puedes reclamar ante laAgencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid). Preferimos que nos escribas antes, pero es tu derecho y no hace falta pasar por nosotros.
07 Seguridad
Las contraseñas se guardan cifradas y nunca en claro; ni siquiera nosotros podemos leerlas. El tráfico va cifrado con HTTPS, la sesión usa una cookie que el navegador no deja leer a ningún script, y cada consulta a la base de datos filtra por negocio mediante seguridad a nivel de fila de Postgres, de modo que un negocio no puede ver los datos de otro aunque lo intente. Las notas de salud van cifradas aparte del resto de la ficha. Hay copias de seguridad periódicas.
Si alguna vez ocurriera una brecha de seguridad con riesgo para tus derechos, se notificará a la Agencia Española de Protección de Datos en 72 horas y se te avisará a ti cuando el riesgo sea alto, tal como exigen los artículos 33 y 34 del RGPD.
08 Analítica y cookies
Este sitio no usa cookies. La medición de visitas, cuando esté activada, corre con Umami, alojado en el mismo servidor que la propia aplicación —no es un tercero nuevo— y diseñado para no usar cookies ni identificadores persistentes: agrega páginas vistas y origen del tráfico sin poder seguirte de una visita a otra. Mientras no esté activada, esta página no envía ningún dato a ningún sitio.
La aplicación (app.kalys.es) sí usa una cookie técnica de sesión, necesaria para mantenerte identificada tras entrar; no requiere consentimiento por el artículo 22.2 de la LSSI-CE.
09 Menores
El servicio está dirigido a profesionales mayores de edad. Si atiendes a menores y llevas su ficha, recuerda que el consentimiento y la información corresponden a sus padres o tutores, y que en ese tratamiento la responsable eres tú.
10 Cambios en esta política
Cuando cambie algo relevante — un proveedor nuevo, una finalidad nueva — se actualiza esta página y cambia la fecha de arriba. Si el cambio te afecta de forma sustancial, se avisa por correo antes de aplicarlo.