RGPD para salones: Qué debes cumplir en 2026

La protección de datos personales no es solo una obligación burocrática: es la base de la confianza entre tú y tus clientes. Salones de belleza, estudios de fitness, centros de bienestar y otros proveedores de servicios manejan datos sensibles a diario: nombres, números de teléfono, correos electrónicos, información sanitaria, datos de pago. El Reglamento General de Protección de Datos (RGPD) establece normas claras sobre cómo tratar estos datos. En este artículo te explicamos qué debes cumplir exactamente en 2026 y cómo puede ayudarte tu sistema de reservas.

Qué datos personales recopilan los salones

Quizá no seas consciente, pero como proveedor de servicios tratas una cantidad sorprendentemente grande de datos personales, entre los que se incluyen:

Datos de identificación – nombre, apellidos, fecha de nacimiento
Datos de contacto – teléfono, correo electrónico, dirección
Datos de reservas – historial de visitas, servicios preferidos, personal favorito
Información sanitaria – alergias, contraindicaciones, limitaciones de salud (especialmente en servicios de estética y bienestar)
Datos de pago – números de tarjeta (si los almacenas), historial de pagos
Preferencias de marketing – consentimiento para el boletín, canales de comunicación
Fotografías – imágenes antes/después en procedimientos estéticos

Cada una de estas categorías está sujeta a normas específicas del RGPD. Los datos sanitarios se consideran una categoría especial de datos con un régimen de protección más estricto.

Bases jurídicas del tratamiento

El RGPD exige que para cada tipo de tratamiento dispongas de una base jurídica válida. Para los salones, las tres más relevantes son:

Ejecución de un contrato

Cuando un cliente realiza una reserva, celebra contigo un contrato de prestación de servicios. Para su ejecución necesitas su nombre, datos de contacto e información sobre el servicio elegido. Para este tratamiento no necesitas un consentimiento especial: es necesario para cumplir lo que el cliente te ha solicitado.

Interés legítimo

Algunos tratamientos puedes justificarlos por interés legítimo, como el envío de recordatorios de citas o la conservación del historial de visitas para mejorar el servicio. No obstante, debes realizar la llamada prueba de ponderación: tu interés no debe prevalecer sobre los derechos del cliente.

Consentimiento

Para las comunicaciones de marketing (boletín, ofertas promocionales, descuentos de cumpleaños) necesitas el consentimiento expreso del cliente. Este debe ser libre, específico, informado e inequívoco. Las casillas premarcadas no constituyen un consentimiento válido.

Gestión de los consentimientos

El registro de consentimientos es una de las áreas donde los salones cometen errores con más frecuencia. Para cada consentimiento debes registrar:

Quién otorgó el consentimiento (identificación del cliente)
Cuándo se otorgó (fecha y hora)
A qué dio su consentimiento el cliente (texto exacto)
De qué forma se otorgó (formulario online, documento en papel)

El cliente tiene derecho a revocar su consentimiento en cualquier momento y tú debes contar con un mecanismo para permitirlo y registrarlo. La revocación del consentimiento debe ser tan sencilla como su otorgamiento.

Plazos de conservación de datos

El RGPD prohíbe conservar datos personales más tiempo del necesario para la finalidad para la que fueron recogidos. Establece una política de retención clara:

Clientes activos – conservas los datos durante la vigencia de la relación
Clientes inactivos – el plazo de conservación recomendado es de 2 a 3 años desde la última visita
Documentos contables – obligación legal de conservación de 5 a 10 años
Datos sanitarios – durante el tiempo necesario para prestar el servicio de forma segura; después, eliminar
Consentimientos de marketing – hasta que el cliente revoque su consentimiento

Una vez transcurrido el plazo de conservación, debes eliminar o anonimizar los datos de forma segura.

Derechos de los clientes según el RGPD

Tus clientes tienen, según el RGPD, una serie de derechos a los que debes estar preparado para responder en un plazo de 30 días:

Derecho de acceso – el cliente puede solicitar una copia de todos los datos que conservas sobre él
Derecho de rectificación – el cliente puede solicitar la corrección de datos inexactos
Derecho de supresión – el llamado derecho al olvido, si no existe motivo para seguir conservando los datos
Derecho a la portabilidad – el cliente puede solicitar la exportación de sus datos en un formato legible por máquina
Derecho de oposición – especialmente contra el tratamiento con fines de marketing directo

Cómo te ayuda Resovu con el RGPD

Resovu fue diseñado desde el principio teniendo en cuenta el cumplimiento del RGPD. El sistema ofrece una serie de funciones que te facilitan el cumplimiento de la normativa:

Gestión automática de consentimientos – al reservar, el cliente ve y acepta las condiciones exactas del tratamiento, y todo queda registrado
Plazo de conservación configurable – define tras cuánto tiempo de inactividad deben anonimizarse automáticamente los datos
Exportación de datos del cliente – a petición, puedes generar un informe completo con los datos del cliente
Derecho de supresión – posibilidad de eliminar o anonimizar todos los datos del cliente con un solo clic
Cifrado de datos – todos los datos están cifrados tanto en tránsito como en almacenamiento
Registro de auditoría – registro de quién, cuándo y cómo ha manipulado los datos

Gracias a estas funciones, no necesitas llevar complicadas hojas de cálculo ni registros en papel. Resovu se encarga de la parte técnica del RGPD, mientras tú puedes centrarte en tus clientes.

Preguntas frecuentes

¿Debe un salón pequeño con un solo empleado cumplir el RGPD? Sí. El RGPD se aplica a todas las entidades que tratan datos personales de personas físicas, independientemente del tamaño de la empresa. Incluso un autónomo con un solo puesto debe tener una base jurídica para el tratamiento de datos, informar a los clientes y proteger sus datos.

¿Me pueden sancionar por incumplir el RGPD? Sí. La autoridad de protección de datos puede imponer multas de hasta 20 millones de euros o el 4 % de la facturación anual. En la práctica, las autoridades suelen imponer sanciones menores a los pequeños negocios, pero incluso unos miles de euros pueden ser significativos. Además, te arriesgas a perder la confianza de los clientes.

¿Puedo enviar ofertas de cumpleaños a los clientes sin su consentimiento? No. Una oferta de cumpleaños es una forma de marketing directo y requiere el consentimiento expreso del cliente. Sin consentimiento, solo puedes enviar comunicaciones directamente relacionadas con el servicio prestado, como confirmaciones de reserva y recordatorios de citas.

¿Cuánto tiempo puedo conservar las fotografías de los clientes (antes/después)? Las fotografías son datos personales y para realizarlas y conservarlas necesitas el consentimiento expreso. Recomendamos conservarlas como máximo durante la relación activa con el cliente más 1 año. Para su uso en redes sociales o en la web necesitas un consentimiento independiente.

¿Necesito un delegado de protección de datos (DPO)? La mayoría de los salones y estudios pequeños no necesitan un DPO. La obligación afecta principalmente a entidades cuya actividad principal es el tratamiento a gran escala de categorías especiales de datos. Aun así, conviene contar con una persona que supervise el RGPD en la empresa y garantice el cumplimiento de las normas.