Política de privacidad

Última actualización: 2026-10-30 · English version

Esta política explica qué datos recopila Turnito, para qué los usa, con quién los comparte, cómo los protege, cuánto tiempo los guarda y cómo podés pedir que los borremos. Se aplica al sitio turnos.matiasmusso.com.ar, al panel de gestión y a las conversaciones de WhatsApp que atiende el servicio.

1. Quiénes somos

Turnito es un sistema de turnos online para pequeños negocios (lavaderos de autos, talleres, consultorios, centros de estética, peluquerías). Cada negocio conecta su número de WhatsApp Business y sus clientes piden, cancelan o cambian turnos por mensaje; el negocio administra su agenda, sus servicios y sus clientes desde un panel web, y puede sincronizar los turnos con su Google Calendar.

Responsable del servicio: MATIAS NICOLAS MUSSO, Argentina.
Contacto: matiasmusso3032@gmail.com.

Hay dos tipos de personas cuyos datos tratamos:

Usuarios del panel: el dueño del negocio y las personas de su equipo (recepción, profesionales). Para estos datos, MATIAS NICOLAS MUSSO es el responsable.
Clientes del negocio: las personas que sacan un turno. El negocio decide qué datos de sus clientes carga y para qué; nosotros los tratamos por cuenta del negocio, solo para prestarle el servicio.

2. Qué datos recopilamos

Usuarios del panel

Datos de la cuenta de Google al iniciar sesión con Google: identificador de la cuenta, email, nombre y foto de perfil.
Datos de Google Calendar, solo si el dueño decide conectarlo (ver la sección 3).
Datos del negocio: nombre, horarios, servicios, precios, equipo, plantillas de mensajes y configuración de reservas.
Conexión de WhatsApp Business: número de teléfono del negocio, identificadores de la cuenta de WhatsApp Business y el token de acceso que entrega Meta.

Clientes del negocio

Nombre y número de teléfono de WhatsApp.
Los mensajes intercambiados con el número del negocio a través del servicio.
Turnos: servicio, fecha, horario, profesional y estado.
Lo que el negocio cargue en la ficha: vehículos y patentes, fotos, notas y, en consultorios, registros de evolución clínica.

Datos técnicos

Registros del servidor: dirección IP, navegador, página pedida, fecha y hora. Se usan para seguridad y para resolver errores.
Una cookie de sesión (ver la sección 7).

3. Datos de usuario de Google

Turnito usa las APIs de Google solo para dos funciones que el usuario elige activar.

Iniciar sesión con Google

Permisos: openid, userinfo.email y userinfo.profile. Recibimos el identificador de tu cuenta de Google, tu email, tu nombre y tu foto de perfil, y los usamos solo para identificarte, crear tu cuenta y mostrar quién está conectado al panel. Iniciar sesión no nos da acceso a tu calendario ni a ningún otro dato de Google.

Google Calendar

El dueño del negocio puede conectar un Google Calendar para que los turnos también aparezcan ahí. Es un paso aparte, explícito y opcional. Permisos:

https://www.googleapis.com/auth/calendar.calendarlist.readonly: listar tus calendarios para que elijas en cuál se guardan los turnos. Solo leemos el nombre y el identificador de cada calendario.
https://www.googleapis.com/auth/calendar.events: crear, modificar y borrar los eventos de los turnos reservados en Turnito, y leer la hora de inicio y de fin de los demás eventos del calendario elegido, para no ofrecer horarios en los que ya estás ocupado.

No leemos calendarios que no elegiste. De tus propios eventos no guardamos el título, la descripción, los invitados ni el lugar: usamos su horario solo en el momento de calcular la disponibilidad y lo descartamos.

Cómo guardamos, compartimos y borramos los datos de Google

El token de acceso de Google (refresh token) se guarda cifrado con AES-256-GCM y solo lo usan nuestros servidores para las acciones descritas arriba.
Los datos de la cuenta de Google se guardan mientras la cuenta esté activa y se borran, junto con el token, cuando se pide la eliminación de la cuenta.
No vendemos, alquilamos ni compartimos datos de usuario de Google con terceros, ni con otros negocios que usan Turnito. No los usamos para publicidad (segmentada, personalizada ni de ningún tipo), no se los transferimos a brokers o revendedores de datos, y no los usamos para evaluar solvencia crediticia ni para armar bases de datos.
No usamos datos de usuario de Google, ni datos obtenidos mediante las APIs de Google Workspace, para desarrollar, mejorar o entrenar modelos de inteligencia artificial o de aprendizaje automático, y no los enviamos a ningún servicio de IA. Turnito no genera ni procesa imágenes con IA.
El uso y la transferencia a cualquier otra app de la información recibida de las APIs de Google cumple con la Política de datos del usuario de los servicios de las APIs de Google, incluidos los requisitos de Uso Limitado (Limited Use).
Podés quitarle el acceso a Turnito en cualquier momento desde los permisos de tu cuenta de Google. Desde ese momento no podemos leer ni escribir tu calendario.

4. Para qué usamos los datos

Prestar el servicio: tomar, cancelar y reprogramar turnos por WhatsApp y por la página de reservas, mostrar la agenda y las fichas de clientes en el panel, y sincronizar los turnos con Google Calendar.
Enviar a los clientes las confirmaciones y los recordatorios de sus turnos por WhatsApp, en nombre del negocio.
Dar acceso al panel solo a las personas autorizadas por el negocio, cada una con sus permisos.
Mantener la seguridad del servicio, prevenir abusos y resolver errores.
Responder consultas de soporte y cumplir obligaciones legales.

No usamos los datos para publicidad, no los vendemos y no armamos perfiles de las personas.

5. Con quién compartimos los datos

Solo con los proveedores que necesitamos para hacer funcionar el servicio, y solo los datos que cada uno necesita:

Meta Platforms (WhatsApp Business Platform): para enviar y recibir los mensajes de WhatsApp del negocio.
Google: para el inicio de sesión y, si el dueño lo conecta, para Google Calendar.
Railway: alojamiento de los servidores y de la base de datos.
Cloudflare: DNS, protección de la red y almacenamiento de las fotos y los adjuntos (Cloudflare R2).

Cada negocio solo ve sus propios datos. También podemos revelar datos si lo exige una ley o una autoridad competente.

6. Cómo protegemos los datos

Todo el tráfico viaja cifrado por HTTPS (TLS).
Los tokens de acceso de Google y de Meta se guardan cifrados con AES-256-GCM.
El panel requiere iniciar sesión con Google y cada persona del equipo tiene permisos según su rol.
Las fotos solo se pueden ver desde el panel o mediante enlaces firmados que vencen.
Cada lectura, modificación y exportación de un registro clínico queda registrada en una auditoría.

7. Cookies

Usamos una sola cookie, estrictamente necesaria: la cookie de sesión del panel, que se crea al iniciar sesión, no es accesible desde JavaScript (httpOnly) y vence a las pocas horas. No usamos cookies de publicidad ni de analítica. El sitio carga tipografías de Google Fonts, que recibe la dirección IP del navegador al descargarlas.

8. Cuánto tiempo guardamos los datos

Los datos de la cuenta y del negocio, mientras la cuenta esté activa.
Los datos de los clientes, hasta que el negocio los borre o se borre la cuenta del negocio.
Las copias de seguridad diarias se borran solas a los 14 días.
Los registros de evolución clínica que lleva un profesional de la salud se conservan el plazo que exige la ley; en ese caso el paciente se archiva en lugar de borrarse.

9. Tus derechos y cómo borrar tus datos

Podés pedir acceso, rectificación o eliminación de tus datos escribiendo a matiasmusso3032@gmail.com. Los pasos detallados están en la página de eliminación de datos. Completamos el borrado en un plazo máximo de 30 días y te avisamos por email.

La Agencia de Acceso a la Información Pública, órgano de control de la Ley 25.326, atiende las denuncias y reclamos por incumplimiento de las normas de protección de datos personales.

10. Transferencias internacionales

Nuestros proveedores pueden procesar los datos en servidores fuera de Argentina. Solo trabajamos con proveedores que aplican medidas de seguridad adecuadas.

11. Menores de edad

El panel no está dirigido a menores de 16 años. Si un negocio atiende a menores, es responsable de contar con el consentimiento de sus padres o tutores para cargar sus datos.

12. Cambios en esta política

Si cambiamos esta política, actualizamos la fecha de arriba. Si el cambio afecta cómo usamos los datos de usuario de Google o de los clientes, avisamos a los negocios por email o en el panel antes de que entre en vigencia.

13. Contacto

Por cualquier consulta sobre esta política o sobre tus datos: matiasmusso3032@gmail.com.

Privacy Policy

Last updated: 2026-10-30

This policy explains what data Turnito collects, how it is used, who it is shared with, how it is protected, how long it is kept and how you can ask us to delete it. It applies to the turnos.matiasmusso.com.ar website, the management dashboard and the WhatsApp conversations handled by the service.

1. Who we are

Turnito is an online appointment-booking system for small businesses (car washes, workshops, clinics, beauty centers, hair salons). Each business connects its WhatsApp Business number and its customers book, cancel or reschedule appointments by message; the business manages its schedule, services and customers from a web dashboard, and can sync appointments with its Google Calendar.

Service provider: MATIAS NICOLAS MUSSO, Argentina.
Contact: matiasmusso3032@gmail.com.

We process data about two kinds of people:

Dashboard users: the business owner and their team (front desk, professionals). MATIAS NICOLAS MUSSO is the controller of this data.
Business customers: people who book an appointment. The business decides which customer data it records and why; we process it on the business's behalf, only to provide the service.

2. Data we collect

Dashboard users

Google account data when signing in with Google: account identifier, email address, name and profile picture.
Google Calendar data, only if the owner chooses to connect it (see section 3).
Business data: name, opening hours, services, prices, team, message templates and booking settings.
WhatsApp Business connection: the business phone number, WhatsApp Business account identifiers and the access token issued by Meta.

Business customers

Name and WhatsApp phone number.
Messages exchanged with the business number through the service.
Appointments: service, date, time, professional and status.
Whatever the business adds to the customer record: vehicles and license plates, photos, notes and, for clinics, clinical progress records.

Technical data

Server logs: IP address, browser, requested page, date and time. Used for security and troubleshooting.
One session cookie (see section 7).

3. Google user data

Turnito uses Google APIs only for two features that the user chooses to enable.

Sign in with Google

Scopes: openid, userinfo.email and userinfo.profile. We receive your Google account identifier, email address, name and profile picture, and use them only to identify you, create your account and show who is signed in to the dashboard. Signing in does not give us access to your calendar or to any other Google data.

Google Calendar

The business owner can connect a Google Calendar so that appointments also appear there. This is a separate, explicit and optional step. Scopes:

https://www.googleapis.com/auth/calendar.calendarlist.readonly: to list your calendars so you can choose which one receives the appointments. We only read each calendar's name and identifier.
https://www.googleapis.com/auth/calendar.events: to create, update and delete the events for appointments booked in Turnito, and to read the start and end times of the other events in the selected calendar, so we do not offer time slots in which you are already busy.

We do not read calendars you did not select. For your own events we do not store the title, description, attendees or location: we use their times only while calculating availability and then discard them.

How we store, share and delete Google user data

The Google refresh token is stored encrypted with AES-256-GCM and is used only by our servers to perform the actions described above.
Google account data is kept while the account is active and is deleted, together with the token, when account deletion is requested.
We do not sell, rent or share Google user data with third parties, or with other businesses that use Turnito. We do not use it for advertising of any kind (targeted, personalized, retargeted or interest-based), we do not transfer it to data brokers or information resellers, and we do not use it to determine creditworthiness or to build databases.
We do not use Google user data, or data obtained through Google Workspace APIs, to develop, improve or train artificial intelligence or machine learning models, and we do not send it to any AI service. Turnito does not generate or process images with AI.
Turnito's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
You can revoke Turnito's access at any time from your Google Account permissions. From then on we can no longer read or write your calendar.

4. How we use data

To provide the service: take, cancel and reschedule appointments via WhatsApp and the booking page, show the schedule and customer records in the dashboard, and sync appointments with Google Calendar.
To send customers appointment confirmations and reminders via WhatsApp on behalf of the business.
To give dashboard access only to the people the business authorizes, each with their own permissions.
To keep the service secure, prevent abuse and fix errors.
To answer support requests and comply with legal obligations.

We do not use data for advertising, we do not sell it and we do not build profiles of people.

5. Who we share data with

Only with the providers we need to run the service, and only the data each one needs:

Meta Platforms (WhatsApp Business Platform): to send and receive the business's WhatsApp messages.
Google: for sign-in and, if the owner connects it, Google Calendar.
Railway: hosting for our servers and database.
Cloudflare: DNS, network protection and storage of photos and attachments (Cloudflare R2).

Each business only sees its own data. We may also disclose data when required by law or by a competent authority.

6. How we protect data

All traffic is encrypted with HTTPS (TLS).
Google and Meta access tokens are stored encrypted with AES-256-GCM.
The dashboard requires Google sign-in and each team member has role-based permissions.
Photos can only be viewed from the dashboard or through signed links that expire.
Every read, change and export of a clinical record is recorded in an audit log.

7. Cookies

We use a single, strictly necessary cookie: the dashboard session cookie, created when you sign in, not readable by JavaScript (httpOnly) and expiring after a few hours. We do not use advertising or analytics cookies. The website loads fonts from Google Fonts, which receives the browser's IP address when downloading them.

8. How long we keep data

Account and business data, while the account is active.
Customer data, until the business deletes it or the business account is deleted.
Daily backups are deleted automatically after 14 days.
Clinical progress records kept by healthcare professionals are retained for the period required by law; in that case the patient is archived instead of deleted.

9. Your rights and how to delete your data

You can request access to, correction or deletion of your data by emailing matiasmusso3032@gmail.com. Step-by-step instructions are on our data deletion page. We complete deletion within 30 days and confirm by email.

The Argentine Agency for Access to Public Information (AAIP), the supervisory authority under Law 25,326, handles complaints about non-compliance with personal data protection rules.

10. International transfers

Our providers may process data on servers outside Argentina. We only work with providers that apply appropriate security measures.

11. Children

The dashboard is not directed at anyone under 16. A business that serves minors is responsible for obtaining their parents' or guardians' consent before recording their data.

12. Changes to this policy

If we change this policy, we update the date above. If a change affects how we use Google user data or customer data, we notify businesses by email or in the dashboard before it takes effect.

13. Contact

For any question about this policy or your data: matiasmusso3032@gmail.com.