Anexo de Encargo de Tratamiento de Datos Personales
Versión 1.1 — redactada el 2026-08-13, revisada el 2026-08-17
Entra en vigor con su publicación en turniaapp.com
Anexo integrante de los Términos y Condiciones
Este anexo regula el tratamiento que Turnia realiza sobre los datos personales de los clientes finales del Negocio, conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP) del Ecuador.
1. Las partes y sus roles
| Quién | Rol | |
|---|---|---|
| Responsable | El Negocio que contrata Turnia | Determina para qué y cómo se tratan los datos de sus clientes |
| Encargado | Luis Ernesto Chiquito Vera, RUC 0941830036001 | Trata esos datos por cuenta del Negocio y siguiendo sus instrucciones |
El Negocio declara que obtuvo de sus clientes la información y, cuando corresponda, el consentimiento necesarios para el tratamiento que este anexo regula.
2. Objeto, duración y naturaleza del tratamiento
| Objeto | Gestión de citas y comunicación con los clientes del Negocio |
| Duración | Mientras la cuenta esté vigente, más el plazo de retención del punto 8 |
| Naturaleza | Recolección, almacenamiento, consulta, modificación, comunicación por correo y mensajería, y supresión |
| Categorías de titulares | Clientes finales del Negocio, y personas del equipo del Negocio |
| Categorías de datos | Nombre, teléfono, correo electrónico; datos de la cita (servicio, profesional, fecha, hora, sede, precio); notas internas que el Negocio decida registrar |
Datos sensibles: Turnia no solicita ni requiere datos de salud para su funcionamiento. Si el Negocio decide registrarlos en campos de texto libre, lo hace bajo su exclusiva responsabilidad como responsable del tratamiento, y le corresponde obtener el consentimiento explícito que la LOPDP exige para esa categoría. ⟨Pendiente: la sección reforzada para historia clínica entra cuando exista el módulo clínico.⟩
3. Obligaciones del Encargado
Turnia se obliga a:
- Tratar los datos únicamente conforme a las instrucciones del Negocio y para las finalidades de este anexo. No los usa para fines propios, no los vende ni los cede con fines comerciales, y no los emplea para entrenar modelos de inteligencia artificial.
- Guardar confidencialidad, y exigirla a toda persona autorizada a acceder a ellos.
- Aplicar medidas técnicas y organizativas apropiadas (punto 5).
- Asistir al Negocio para responder los pedidos de sus clientes sobre acceso, rectificación, eliminación, oposición, limitación y portabilidad.
- Notificar sin dilación indebida —y a más tardar dentro de las setenta y dos (72) horas de conocerla— cualquier violación de seguridad que afecte a los datos, con la información necesaria para que el Negocio cumpla sus propias obligaciones de notificación.
- Poner a disposición del Negocio la información necesaria para demostrar el cumplimiento de este anexo.
- Suprimir o devolver los datos al terminar la prestación, conforme al punto 8.
4. Subencargados
El Negocio autoriza de forma general a que Turnia recurra a los subencargados que se listan a continuación, con quienes Turnia mantiene obligaciones equivalentes a las de este anexo.
| Subencargado | Servicio | Ubicación del tratamiento |
|---|---|---|
| Supabase (infraestructura AWS) | Base de datos, autenticación, almacenamiento de archivos | Brasil (sa-east-1) |
| Vercel | Alojamiento y entrega de la aplicación | Estados Unidos / red global |
| Resend | Envío de correo transaccional | Estados Unidos |
| Upstash | Control de límites de uso | Estados Unidos |
| Sentry | Registro de errores técnicos | Estados Unidos |
| Google Workspace | Correo corporativo del proveedor | Estados Unidos |
Turnia informará al Negocio con al menos treinta (30) días de anticipación sobre la incorporación o sustitución de un subencargado. El Negocio podrá oponerse por motivos razonables; de mantenerse la incorporación, podrá terminar el contrato sin penalidad.
⟨Pendiente: el procesador de pagos se incorpora a esta lista antes del primer cobro con tarjeta. Hoy son seis; será el séptimo.⟩
5. Medidas de seguridad
| Medida | Cómo está implementada |
|---|---|
| Aislamiento entre negocios | Aplicado en la base de datos (RLS), no solo en la aplicación: una consulta de un negocio no puede alcanzar filas de otro |
| Cifrado en tránsito | HTTPS/TLS en toda comunicación |
| Control de acceso por rol | Cada persona del equipo del Negocio ve únicamente lo que su rol permite |
| Archivos privados | Los adjuntos se guardan en un almacenamiento sin lectura pública; solo se abren mediante enlaces firmados de corta vida |
| Registro de accesos | Los accesos a información de un negocio por parte del proveedor quedan registrados con actor, momento y objeto |
| Límites contra abuso | Restricción de intentos de acceso y de volumen de peticiones |
| Respaldos | Copias gestionadas por el proveedor de base de datos |
6. Transferencias internacionales
Los datos se tratan fuera del territorio ecuatoriano, conforme al punto 4. Turnia mantiene con cada subencargado los instrumentos contractuales de protección aplicables. El Negocio, como responsable, queda informado de esta circunstancia y la acepta al aceptar este anexo.
7. Auditoría
El Negocio podrá solicitar, una vez por año calendario y con aviso razonable, la información necesaria para verificar el cumplimiento de este anexo. Turnia podrá satisfacer ese derecho mediante documentación e informes, sin que ello implique acceso a infraestructura compartida con otros negocios.
8. Terminación y devolución de datos
Al terminar la prestación, el Negocio dispone de noventa (90) días para exportar su información. Cumplido ese plazo, Turnia suprime los datos, salvo aquellos que deba conservar por obligación legal, conforme a la Política de Retención y Borrado.
9. Contacto
admin@turniaapp.com — Ceibos Norte, Guayaquil, Ecuador