Política de privacidad de Luqen

01Lo primero: aquí hay dos responsables distintos

Esta política habla de dos tratamientos que se parecen y no lo son, y de los que no responde la misma persona. Confundirlos es lo que hace que alguien escriba al sitio equivocado y tarde un mes en recibir respuesta.

02Responsable del tratamiento

De los datos de las cuentas de la plataforma responde Mario Fernández Luque, que la desarrolla y explota bajo el nombre comercial Luqen.

No hay delegado de protección de datos designado. La obligación de designarlo se valora conforme al artículo 37 del RGPD y al artículo 34 de la LOPDGDD, que alcanzan tanto a los tratamientos que Luqen realiza como responsable como a los que realiza por encargo, y en particular a los de datos de salud que algunos servicios del sector hacen necesarios (un láser, por ejemplo), su volumen y su escala. Esa valoración se documentará y se revisará ante cambios relevantes de actividad; si resultara obligatorio, se designará un delegado y se publicará su contacto. Las consultas sobre protección de datos se atienden en contacto@luqen.es.

03Qué datos se tratan, para qué y con qué base

De las personas con cuenta en la plataforma —el titular del negocio y quien él dé de alta en su equipo— se tratan estos datos, y por estos motivos:

No se hace publicidad ni perfilado comercial con estos datos, y no se ceden a terceros para ese fin. Los proveedores que intervienen están más abajo, y son encargados: tratan por cuenta de Luqen y no para lo suyo.

04Los datos de los clientes del negocio

Son los que el negocio introduce o recibe para trabajar: nombre y contacto, historial de citas, servicios realizados y la ficha técnica de cada servicio —fórmulas, parámetros, lotes y cómo quedó—. De todo eso responde el negocio, no Luqen.

Luqen los trata únicamente para prestarle el servicio: guardarlos, enseñárselos, enviar los avisos que él configure y, si activa el módulo de facturación con Verifactu, pedir a Verifacti el registro de sus facturas. Nunca para fines propios, nunca para entrenar modelos y nunca cediéndolos a nadie que no esté en la tabla de encargados de esta política.

05Datos de salud: los hay, y por eso se explica aparte

Un negocio de este sector pregunta cosas que el artículo 9 del RGPD considera datos de salud, aunque no haya ningún médico de por medio: si hay exposición solar reciente, si se toma medicación fotosensibilizante, cómo reaccionó la piel a un tratamiento, la sensibilidad cutánea o el resultado de una prueba de alergia. Se preguntan por seguridad, antes de un láser o de un tinte.

Son datos de categoría especial, y su tratamiento necesita una base del artículo 9 además de la del artículo 6.

De ahí sale una consecuencia práctica, y va justo al revés que en una clínica: aquí SÍ se pueden borrar. No hay ninguna norma que obligue al negocio a conservar la ficha técnica de nadie, así que el derecho de supresión del artículo 17 se aplica con las únicas excepciones del apartado 3 de ese artículo. Y como la base es el consentimiento, se puede retirar en cualquier momento; lo hecho antes de retirarlo sigue siendo válido.

06Clientes menores de edad

Cuando el negocio trata datos de clientes menores de edad, es él quien determina quién puede recibir la información, ejercer los derechos y otorgar los consentimientos correspondientes, distinguiendo las reglas de protección de datos (en España, el consentimiento por sí mismo a partir de los catorce años, artículo 7 de la LOPDGDD) de las de capacidad y de consentimiento para un tratamiento concreto. La plataforma permite registrar a la persona de contacto o al representante vinculado a una ficha y las evidencias de los documentos que firma, pero Luqen no determina por sí mismo la capacidad jurídica de nadie.

07Los agentes de inteligencia artificial

La plataforma ofrece dos agentes que hablan con personas: uno que atiende por WhatsApp y otro que atiende llamadas de teléfono. Los contrata el negocio, no vienen encendidos, y lo que sigue solo ocurre si los tiene activos.

Esa obligación es de los dos a la vez, y conviene decirlo: de Luqen como proveedor del sistema y del negocio como responsable de su despliegue. Contratar la tecnología a un tercero no traslada el cumplimiento.

La voz del agente telefónico es SINTÉTICA: no es la grabación de ninguna persona, sino audio generado por ordenador. Se dice aquí y se oye en la propia llamada.

Qué pasa con lo que la gente escribe o dice, paso por paso:

• Un mensaje de WhatsApp lo lee un modelo de lenguaje para entenderlo y redactar la respuesta. El proveedor es Anthropic, en Estados Unidos, con Cláusulas Contractuales Tipo.
• Una llamada se transcribe y se procesa para entenderla, y la respuesta se convierte en voz. Intervienen Retell AI, OpenAI y ElevenLabs, los tres en Estados Unidos y con Cláusulas Contractuales Tipo, y Zadarma para la telefonía.
• El canal de WhatsApp lo mueven YCloud y Meta Platforms Ireland.
• Luqen no autoriza el uso de estos contenidos para entrenar modelos con fines propios de los proveedores. Estos pueden aplicar periodos limitados de conservación técnica, de seguridad o de prevención de abusos conforme a sus condiciones contractuales vigentes, que Luqen documentará y evaluará antes de habilitar cada integración.

Las grabaciones de las llamadas se conservan un máximo de 7 días en los sistemas del proveedor de voz, y después se eliminan. La transcripción y el resumen de la llamada sí quedan en la ficha, porque son lo que el negocio necesita para atender a quien llamó.

08Decisiones automatizadas

El artículo 13.2.f del RGPD obliga a decir si hay decisiones automatizadas con efecto jurídico o similar. Aquí la respuesta es que NO las hay, y conviene decirlo tan claro como si las hubiera.

Los agentes reservan, cambian y cancelan citas, y proponen horas libres. Eso no produce efectos jurídicos ni afecta significativamente a nadie en el sentido del artículo 22: una cita se puede cambiar, y detrás siempre hay una persona del negocio que puede intervenir. Cuando el agente no sabe algo, avisa al negocio en vez de decidir.

Las funcionalidades descritas no están destinadas a adoptar decisiones exclusivamente automatizadas con efectos jurídicos o significativamente similares sobre las personas, en el sentido del artículo 22 del RGPD: no se puntúa a nadie, no se deniega ningún servicio de forma automática y no se fijan precios en función de quién sea la persona. Las operaciones de clasificación automatizada de comunicaciones —por ejemplo, el motivo de una llamada— se limitan a ordenar el aviso para el negocio.

09Los pagos de las reservas online

Si un negocio activa el cobro online de sus reservas, quien reserva puede pagar al hacerlo (el servicio entero, un anticipo) o dejar su tarjeta como garantía de esa reserva. El pago se hace en Stripe, en la cuenta del propio negocio: Luqen no recibe ese dinero y no ve el número completo ni el código de seguridad de la tarjeta, que se introducen directamente en Stripe.

• Quién responde: el negocio es el responsable de los datos de quien reserva y paga; Luqen presta la gestión técnica por cuenta del negocio (encargado del tratamiento).
• Lo que el negocio ve y Luqen guarda por su cuenta: el importe y el estado del pago y de sus devoluciones, el correo de quien paga, las referencias técnicas de Stripe, la marca y los cuatro últimos dígitos de la tarjeta, y las condiciones de pago y cancelación que esa persona aceptó electrónicamente antes de pagar.
• La tarjeta dejada como garantía solo sirve para esa reserva y deja de estar disponible para nuevos cargos al resolverse la cita y, como máximo, siete días después. Se conservan, separadamente, los justificantes necesarios para cumplir obligaciones legales y atender reclamaciones.
• Cada pago o devolución genera un comprobante de pago interno, sin validez fiscal. Solo si el negocio tiene activado el módulo de facturación con Verifactu genera, en su lugar, la factura que corresponda, que registra Verifacti.

Stripe trata los datos de pago conforme a su propia política de privacidad: actúa como encargado para determinados tratamientos y como responsable para finalidades propias, como la prevención del fraude y el cumplimiento normativo. Los derechos sobre estos datos se ejercen ante el negocio, y se puede reclamar ante la Agencia Española de Protección de Datos.

10Quién más interviene

Estos son todos los proveedores que pueden tratar datos por cuenta de Luqen. La lista sale del mismo sitio que la del contrato que firma cada negocio, así que no puede decir una cosa aquí y otra allí.

Los que están fuera del Espacio Económico Europeo tratan los datos amparados en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, que es la garantía del artículo 46.2.c del RGPD. Se puede pedir copia de esas cláusulas escribiendo a contacto@luqen.es.

Además de estos encargados, los datos se comunican a las Administraciones cuando una norma lo exige: a la Agencia Tributaria, a través de Verifacti, los registros de facturación de las facturas emitidas con el módulo Verifactu, en los términos del Real Decreto 1007/2023, y a jueces y tribunales cuando lo requieran.

11Cuánto tiempo se conservan

12Tus derechos

Si tienes cuenta en la plataforma, los ejerces escribiendo a contacto@luqen.es desde el correo de tu cuenta, o desde otro acreditando quién eres. La respuesta llega en el plazo de un mes desde la recepción, prorrogable dos meses más si la petición es compleja, avisándote dentro del primer mes.

• Acceso (artículo 15): saber qué datos tuyos hay y obtener una copia.
• Rectificación (artículo 16): corregir lo que esté mal o incompleto.
• Supresión (artículo 17): que se borren.
• Limitación (artículo 18): que se conserven pero no se usen mientras se discute algo.
• Portabilidad (artículo 20): llevarte tus datos en un formato que otra herramienta pueda leer.
• Oposición (artículo 21): oponerte a un tratamiento basado en interés legítimo.
• Retirar el consentimiento en cualquier momento, cuando el tratamiento se base en él, sin que afecte a lo hecho antes.

Si crees que no se han atendido bien tus derechos puedes reclamar ante la Agencia Española de Protección de Datos, C/ Jorge Juan 6, 28001 Madrid, www.aepd.es. Antes te agradeceremos que nos escribas a contacto@luqen.es: casi siempre se resuelve en un correo.

13Seguridad, y qué pasa si algo sale mal

Los datos viajan cifrados y se guardan cifrados. El acceso está separado por cuenta: la aplicación comprueba en la base de datos, y no solo en la pantalla, que nadie puede leer ni escribir nada de otro negocio.

Si ocurriera una brecha de seguridad que suponga un riesgo para los derechos de las personas, se notifica a la Agencia Española de Protección de Datos en las 72 horas siguientes a conocerla, y a los afectados cuando el riesgo sea alto. Cuando Luqen actúe como encargado, se avisa al negocio sin dilación indebida para que él pueda cumplir con lo suyo.

14Cambios en esta política

Cuando cambie algo que importe —una finalidad nueva, un encargado nuevo, un plazo distinto— se actualiza esta página y se avisa a los titulares de cuenta por correo. La fecha de la última actualización está al principio.