Política de privacidad

Nicolás Osorio, persona física, actuando como responsable del proyecto NEXORA. Contacto de privacidad: nexora.integration@gmail.com.

NEXORA no está hoy operado a través de una sociedad ni de un alta de autónomo formalizada. Esta política se publica reflejando esa situación real, sin atribuir una forma jurídica, NIF ni domicilio fiscal inexistentes. Esto no exime de las obligaciones que puedan resultar aplicables a la actividad ya en curso.

Bases jurídicas: NEXORA (Nicolás Osorio) es responsable de los tratamientos relativos a los propios centros que usan la plataforma (identidad y configuración del centro, cuenta de Google conectada, credenciales) y de los datos de quien se ponga en contacto por correo. La base jurídica de ambos es la ejecución de la relación de prestación de servicio con el centro, y, para el registro de auditoría administrativa, el interés legítimo en mantener trazabilidad y seguridad del servicio. Para los datos de los clientes finales de cada centro, determinar y comunicar la base jurídica corresponde al propio centro, como responsable de ese tratamiento — no a NEXORA (ver sección 6).

NEXORA es una plataforma de uso privado, operada por Nicolás Osorio, que sincroniza automáticamente la agenda de Booksy de un centro con un calendario de Google Calendar de ese mismo centro. No se ofrece hoy como un servicio comercial abierto al público ni de pago; su uso actual es el centro UYC Jaén, con la posibilidad de que en el futuro un grupo reducido adicional, conocido personalmente por el responsable del proyecto, también lo utilice.

Que NEXORA sea de uso privado no significa que el tratamiento de datos sea una actividad doméstica exenta de la normativa de protección de datos: NEXORA trata datos personales reales de clientes de un centro — terceros ajenos al propio Nicolás Osorio — como parte del funcionamiento real de un servicio, con independencia de que el proyecto tenga o no fines comerciales.

De Booksy: identificador de la reserva, nombre del cliente, servicio contratado, profesional/recurso asignado, fecha y hora de inicio y fin, y estado de la reserva.

De Google: la dirección de correo de la cuenta de Google autorizada y un token de actualización que permite acceder a los calendarios de esa cuenta sin pedir el inicio de sesión en cada ciclo.

Permisos concedidos por Google: calendar.app.created permite gestionar únicamente los calendarios que la propia aplicación crea — Google restringe técnicamente este permiso a esos calendarios. calendar.events permite, según la propia definición de Google, ver y editar eventos en todos los calendarios a los que la cuenta tiene acceso — Google no limita técnicamente este permiso a los calendarios creados por NEXORA. calendar.calendarlist permite ver y gestionar la lista de calendarios de la cuenta. userinfo.email identifica la cuenta conectada.

Calendarios que NEXORA usa por diseño: aunque el permiso de eventos es técnicamente más amplio, NEXORA solo lo solicita para poder reubicar eventos entre los calendarios que él mismo ha creado, para asignar cada cita a la profesional correcta — no está diseñado para leer ni modificar ningún otro calendario de la cuenta.

Restricciones que aplica el código: verificado en el código, NEXORA nunca consulta ni recorre la lista completa de calendarios de la cuenta para leer o escribir eventos: todas las operaciones de creación, actualización, eliminación y reubicación de eventos usan exclusivamente los identificadores de calendario que el propio NEXORA creó y guardó al conectar la cuenta. NEXORA no solicita acceso a calendarios personales preexistentes del usuario, a Gmail, a Drive ni a ningún otro servicio de Google.

Lo que escribe en Google Calendar: NEXORA crea, actualiza y elimina eventos en el calendario del propio centro para reflejar las reservas de Booksy: nombre del cliente, servicio y horario, ubicados en el calendario dedicado del profesional correspondiente cuando el centro tiene varias profesionales configuradas. NEXORA nunca modifica eventos que no haya creado él mismo.

Dónde se almacena: la identidad y configuración del centro, y las credenciales de Booksy y Google, cifradas con AES-256-GCM antes de guardarse, se almacenan en una base de datos central (Neon). Cada centro tiene además su propio registro técnico, alojado de forma independiente, con la correspondencia entre cada reserva y el evento de Google Calendar creado para ella.

Acceso administrativo: existe un único rol de administrador con acceso al panel de control mediante correo y contraseña. No hay registro público ni cuentas de autoservicio para los centros: son gestionadas directamente por el responsable del proyecto.

Proveedores de infraestructura: Vercel (panel de control), Neon (base de datos), Fly.io (motor de sincronización de cada centro), Upstash (coordinación técnica interna, sin datos de clientes), Google y Booksy. Vercel, Neon y Fly.io ofrecen a sus clientes acuerdos de encargo de tratamiento (DPA) estándar; ninguno de ellos accede al contenido de las citas para fines propios distintos de prestar su servicio de infraestructura a NEXORA.

Transferencias internacionales: la infraestructura del motor de sincronización de UYC Jaén está verificada como alojada en la Unión Europea (Fly.io, región de Fráncfort). No se ha verificado en esta revisión dónde almacenan o procesan los datos, en cada caso, el resto de proveedores (Vercel, Neon, Google, Booksy) para los demás tratamientos — no se afirma que su tratamiento sea exclusivamente dentro de la Unión Europea o el Espacio Económico Europeo. Estos proveedores declaran públicamente ofrecer garantías estándar para transferencias internacionales (como cláusulas contractuales tipo de la Comisión Europea) a sus clientes en general; esta política no afirma haber comprobado que esa garantía concreta esté aplicada a la cuenta de NEXORA con cada proveedor.

Credenciales de Booksy y Google (cifradas): mientras el centro esté activo; se eliminan al desconectar o dar de baja el centro. Configuración del centro y de calendarios: hasta un máximo de 15 días naturales tras una solicitud de baja válida. Registro técnico de sincronización y sus copias de seguridad: mismo plazo de 15 días, salvo que su conservación responda a otra obligación legítima (por ejemplo, una disputa en curso sobre ese centro).

El registro de auditoría administrativa es la única excepción: no se elimina al dar de baja un centro. Al eliminarse el centro, únicamente se anula su referencia dentro de cada entrada de auditoría (deja de estar vinculada a un centro concreto); la entrada en sí no se anonimiza ni se borra por ese motivo. Cada entrada registra: qué acción administrativa se realizó, su resultado, y datos técnicos operativos asociados (por ejemplo, identificadores de infraestructura o, cuando aplica, la cuenta de Google del propio centro) — nunca nombres, citas ni datos de los clientes finales del centro. La entrada sigue identificando qué administrador de NEXORA realizó la acción.

Comportamiento técnico actual: hoy no existe ningún proceso automático que elimine estas entradas con el paso del tiempo; permanecen en la base de datos de forma continuada. Como política de conservación, NEXORA limita su conservación a un máximo de 3 años desde su creación — un plazo proporcionado para fines de seguridad, rendición de cuentas y defensa ante posibles reclamaciones derivadas de la prestación del servicio, y no mayor de lo necesario para esos fines. Superado ese plazo, la entrada se elimina mediante el siguiente procedimiento manual: el propio responsable del proyecto revisa periódicamente (al menos una vez al año) las entradas cuya fecha de creación supere los 3 años, verifica si alguna está vinculada a una disputa, reclamación o investigación en curso —en cuyo caso se conserva hasta su resolución— y elimina manualmente el resto de la base de datos. Esta eliminación por antigüedad no está automatizada técnicamente todavía; hasta que exista un proceso automático, se realiza mediante este procedimiento manual.

Procedimiento actual: manual, no automatizado, con un plazo máximo de 15 días naturales. Cualquier solicitud de baja, acceso, rectificación o supresión puede enviarse a nexora.integration@gmail.com. Al recibirla, se verifica la identidad de quien la solicita y, en un plazo máximo de 15 días naturales, se elimina manualmente el centro y sus datos asociados en la base de datos central, y la infraestructura técnica dedicada a ese centro, incluidas sus copias de seguridad.

Excepciones: el registro de auditoría administrativa no se elimina (sección 4). NEXORA no elimina ni puede eliminar los eventos ya creados en el Google Calendar del propio centro — esa cuenta pertenece al centro, no a NEXORA, y el centro puede eliminarlos él mismo en cualquier momento. Tampoco elimina datos en Booksy.

Los datos personales que aparecen en las reservas de Booksy (nombre del cliente final, servicio, horario, etc.) son datos de clientes del centro, no de Nicolás Osorio ni de NEXORA como proyecto propio. Es el centro quien decide qué datos se sincronizan, con qué finalidad y quién tiene acceso a ellos; NEXORA no utiliza esos datos para ningún propósito propio, sino que ejecuta de forma automatizada la sincronización que el centro ha configurado.

A los efectos de esta política, y conforme a esa relación de hechos, se describe al centro como responsable del tratamiento de los datos de sus propios clientes, y a NEXORA como encargado del tratamiento. Esta descripción refleja cómo funciona el servicio realmente; no constituye una certificación jurídica definitiva de esa calificación, ni implica que exista hoy un contrato de encargo del tratamiento formalizado por escrito entre el responsable del proyecto y el centro.

Las credenciales de Booksy y Google se almacenan cifradas (AES-256-GCM).

Si eres cliente final de un centro que usa NEXORA y quieres ejercer tus derechos de acceso, rectificación, supresión, oposición, portabilidad o limitación, el interlocutor natural es el centro del que eres cliente, como responsable del tratamiento de esos datos. Si prefieres dirigirte directamente a NEXORA, escribe a nexora.integration@gmail.com y trasladaremos tu solicitud al centro correspondiente, o la atenderemos directamente cuando sea técnicamente posible.

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es.

Esta política puede actualizarse para reflejar cambios reales en el funcionamiento de NEXORA. Si se introduce un cambio relevante, se actualizará la fecha al principio de este documento y se informará a los centros activos por el canal habitual de contacto. El uso continuado de NEXORA tras un cambio significa que has sido informado de él, pero no sustituye la obtención de tu consentimiento en los casos en los que la normativa exija recabarlo de forma expresa y separada.