Qué exige el RGPD a una peluquería o un centro de estética

Casi todo lo que anota sobre una clienta es un dato personal: nombre, teléfono, correo electrónico, historial de visitas, notas sobre sus preferencias, respuestas a formularios y pagos. Una peluquera con 400 clientas habituales tiene 400 pequeños expedientes, estén en una agenda, una hoja de cálculo o un sistema de reservas.

Algunas notas son más delicadas. Una alergia a un tinte, un problema de piel antes de un tratamiento estético o una lesión antes de un masaje son datos de salud. El RGPD trata los datos de salud como una categoría especial con normas más estrictas, así que recójalos solo cuando de verdad los necesite para un tratamiento seguro.

• Suele hacer falta: nombre, teléfono o correo, servicio reservado y hora.
• Solo hace falta a veces: alergias o contraindicaciones, fecha de nacimiento para un servicio con límite de edad.
• Rara vez hace falta: dirección postal, números de documento, fotos.

Los datos también se esconden fuera del sistema de reservas: fotos de la agenda en el móvil, un chat de WhatsApp con una clienta, una hoja de cálculo de tarjetas regalo. También cuentan, así que conviene guardar los datos de clientes en el menor número de sitios posible.

Todo uso de datos personales necesita una base legal. La Comisión Europea enumera seis. La tabla muestra dónde pueden aparecer cuatro de ellas en una peluquería, como ejemplos y no como una valoración de su caso:

Qué base encaja en su situación concreta lo decide usted, como empresa responsable de los datos. Si tiene dudas, consulte a la autoridad de protección de datos de su país o a un asesor.

Ejemplo: una clienta reserva un tinte por internet. Sin su nombre, su teléfono y la hora no puede gestionar la reserva. Si quiere recibir ofertas por correo es otra cuestión y, según las condiciones del consentimiento que describe la Comisión, decir que no no puede costarle la reserva.

El consentimiento solo vale si la clienta lo da de forma activa para un fin concreto, sabe quién es usted y qué hará con sus datos, y puede negarse sin salir perjudicada. En la práctica, eso significa una casilla sin marcar que ella misma tiene que marcar, una frase clara al lado y un registro de cuándo lo dio. La Comisión añade que retirar el consentimiento debe ser tan fácil como darlo.

En Resovu lo configura en Configuración → Consentimientos, en todos los planes:

• El Consentimiento de marketing es una casilla aparte y opcional. Quien no la marca puede reservar igualmente.
• Sus propios consentimientos (por ejemplo, para hacer fotos del antes y el después) se añaden con Añadir consentimiento, como obligatorios u opcionales.
• Si una clienta dio el consentimiento RGPD y el de marketing, y cuándo, se ve en el Detalle del cliente y, desde el plan Starter, también en la exportación CSV de clientes.
• La Versión de la política de privacidad que indique en Configuración → Protección de datos / RGPD se guarda con cada consentimiento, para que más adelante pueda demostrar qué texto aceptó la clienta.

Los textos de consentimiento vienen rellenados y puede modificarlos; la redacción es responsabilidad suya.

Una frase clara de consentimiento de marketing puede ser breve: «Quiero recibir correos con novedades y ofertas de Salón Iris. Puedo darme de baja en cualquier momento». No la mezcle con las condiciones de la reserva: una clienta que quiere un corte no debería tener que aceptar boletines.

El RGPD dice que los datos personales no deben conservarse más tiempo del necesario para el fin con el que se recogieron. No fija un número de años, así que lo decide usted y debe poder explicar por qué. Las normas contables y fiscales pueden obligarle a guardar las facturas varios años; las notas sobre clientes rara vez necesitan tanto.

Resovu convierte su decisión en un ajuste. En Configuración → Protección de datos / RGPD introduzca el Plazo de conservación de datos personales en días, de 30 a 3650 (por defecto, 365). Un proceso semanal entonces:

• anonimiza a los clientes cuya última reserva o visita supera ese plazo y que no tienen ninguna tarjeta regalo activa ni actividad en el portal,
• elimina nombres, contactos, notas y respuestas de formularios de las reservas antiguas,
• conserva importes, fechas y servicios, para que sus informes de ingresos y las facturas emitidas sigan cuadrando.

Ejemplo con 365 días: una clienta que vino por última vez en octubre de 2025 y no tiene tarjeta regalo se anonimiza en la primera ejecución semanal posterior a octubre de 2026.

Los clientes pueden pedir una copia de sus datos, una rectificación o la supresión, u oponerse al marketing. Según la Comisión, debe responder sin demora indebida y, en principio, en el plazo de un mes, y atender la solicitud de forma gratuita (salvo que sea manifiestamente infundada o excesiva).

• Copia de los datos: abra Clientes, haga clic en la clienta y elija Exportar datos (RGPD). Obtiene un archivo JSON para enviárselo.
• Supresión: en el mismo lugar elija Eliminar datos (RGPD). Nombre, contactos, respuestas a formularios, notas y puntos de fidelidad se eliminan para siempre; sus facturas y los importes anónimos de las reservas se mantienen.
• Sus propias reservas y datos de facturación: los clientes ven sus reservas próximas y pasadas en el portal del cliente y pueden guardar sus datos de facturación para las facturas en Datos personales.

Solo el propietario de la cuenta puede exportar y eliminar datos. Resovu no avisa a la clienta por correo de la supresión, así que comuníqueselo usted cuando esté hecha.

Ejemplo: una clienta le escribe el 3 de marzo preguntando qué datos tiene sobre ella. Antes del 3 de abril le envía la exportación de Resovu y todo lo que guarde fuera del sistema, como notas en la agenda o correos.

Si a un servicio acuden menores, puede pedir que un padre, una madre o un tutor confirme la reserva. En Resovu abra Servicios, el servicio, y active Este servicio se dirige a menores. El formulario pregunta entonces si el participante está por debajo de la edad límite de su país y pide el nombre y el correo del tutor; la reserva se confirma cuando el tutor la confirma por correo, y la plaza se guarda 48 horas.

Limite quién ve los datos de clientes. En Resovu cada miembro del equipo tiene un rol (propietario, administrador, personal o solo lectura), y los datos de contacto de los clientes solo los ven el propietario y los administradores.

Si se filtran datos (por ejemplo, pierde un móvil con contactos de clientes), la Comisión indica que hay que notificarlo a la autoridad de control sin demora indebida y, como muy tarde, en 72 horas cuando la brecha pueda suponer un riesgo para las personas, e informar a los propios clientes cuando el riesgo sea alto.

Cada página de reservas de Resovu recibe además un aviso de privacidad generado automáticamente con los datos de su negocio y la lista de encargados del tratamiento que usa Resovu. Tómelo como punto de partida y compruebe que se ajusta a cómo trabaja realmente con los datos. Los datos se alojan en la UE (Fráncfort), y usted sigue siendo el responsable del tratamiento de los datos de sus clientes.