Contrato de encargado del tratamiento

Si esta traducción difiere del texto neerlandés, prevalece el texto neerlandés. La versión neerlandesa es la que usted acepta al darse de alta.

Anexo al contrato entre Noren (demoversie, geen echt bedrijf) ("nosotros") y el alojamiento ("usted").

De Noren (demoversie, geen echt bedrijf), Voorbeeldstraat 1, 1000 AA, Amsterdam, Cámara de Comercio neerlandesa (KvK) 00000000, número de IVA NL000000000B00.

Este anexo regula lo que ocurre con los datos personales que tratamos por cuenta de usted. Usted es el responsable del tratamiento: son sus huéspedes y sus acuerdos con ellos. Nosotros somos el encargado del tratamiento: hacemos lo que usted nos indica y nada más.

1. De qué se trata

Elemento	Acuerdo
Objeto	El funcionamiento del sistema de reservas con el que su alojamiento recibe reservas, se comunica y realiza sus comunicaciones obligatorias
Duración	Mientras dure el contrato, más los plazos de conservación del artículo 7
Naturaleza del tratamiento	Almacenar, ordenar, consultar, comunicar a las partes del artículo 5, y suprimir
Finalidad	Gestionar reservas, informar a los huéspedes, hacer posibles los pagos, cumplir la obligación de registro de los establecimientos de hospedaje y, si usted lo activa, enviar correo en su nombre a los huéspedes que dieron su consentimiento

2. Qué datos

De los huéspedes: nombre, dirección de correo electrónico, teléfono, fechas de llegada y salida, habitación, número de personas, importe y estado del pago, observaciones que deje el propio huésped, y el idioma en el que desea que nos dirijamos a él.

De los huéspedes que hacen el check-in en línea (solo en alojamientos españoles): fecha de nacimiento, lugar de nacimiento, nacionalidad, tipo y número del documento de identidad, fecha de caducidad y, en su caso, una foto de ese documento. Estos datos son obligatorios por ley en virtud del Real Decreto 933/2021 y se comunican al sistema de registro del Ministerio del Interior.

Si usted activa el correo en su nombre: si un huésped dio su consentimiento, cuándo y dónde lo hizo (el módulo de reservas o el formulario de check-in), además del momento en que volvió a darse de baja. Esto último no es burocracia por la burocracia: sin ese rastro, usted no puede demostrar que hubo consentimiento.

De usted y de su personal: nombre, dirección de correo electrónico, función, y lo que se ha hecho en el sistema.

Nunca pedimos categorías especiales de datos personales en el sentido del artículo 9 del RGPD. Por tanto, no las incluya tampoco en el campo de observaciones.

3. Lo que hacemos y lo que no

• Tratamos los datos exclusivamente siguiendo sus instrucciones. Este contrato, junto con el uso del sistema, es esa instrucción.
• Nunca usamos los datos de sus huéspedes para nosotros: ni marketing propio, ni reventa, ni perfiles que abarquen varios alojamientos.
• Correo en su nombre. Si usted activa el envío de mensajes, los enviamos en su nombre y solo a los huéspedes que dieron su consentimiento. Usted es y sigue siendo el responsable del tratamiento: usted decide quién recibe qué y responde del consentimiento. Nosotros ponemos la tecnología, registramos cuándo y dónde dijo que sí un huésped, y nos aseguramos de que darse de baja funcione con un clic y siga funcionando. Nunca enviamos nada en nombre propio a sus huéspedes.
• Todas las personas de nuestro equipo que tienen acceso están obligadas a guardar confidencialidad.
• Entrar en su cuenta para prestar asistencia solo es posible con un motivo registrado, y queda anotado en un registro que usted puede solicitar.

4. Seguridad

Lo que hay ahora, en palabras sencillas:

• Todo va cifrado durante la transmisión (TLS 1.2 o 1.3) y el almacenamiento está cifrado en disco.
• Los números de documento de los huéspedes se cifran aparte con una clave que no está en la base de datos (AES-256-GCM).
• Las fotos de documentos de identidad se guardan cifradas y se eliminan en cuanto se acepta la comunicación obligatoria.
• Cada alojamiento está separado de todos los demás en la base de datos mediante seguridad a nivel de fila (row level security), y eso se comprueba automáticamente con cada cambio.
• El acceso a producción está limitado al administrador, con autenticación de dos factores.
• Cada día se hace una copia de seguridad en almacenamiento europeo, y la prueba de restauración se ejecuta como test (pnpm verify:backup). Una copia de seguridad sin probar no cuenta.
• Registramos quién hizo qué y cuándo. El rastro de quién consultó algo se conserva un año; lo que cambió en un acuerdo o en una configuración se conserva más tiempo; véase el artículo 7.

5. Quién más tiene acceso (subencargados)

Usted autoriza a estas partes. Las dos primeras funcionan ya; las demás están previstas y solo intervendrán cuando se ponga en marcha la parte para la que se necesitan. Si se incorpora una parte, o si una parte prevista empieza a intervenir, se lo comunicaremos con al menos treinta días de antelación, y usted podrá oponerse.

Parte	Para qué	Dónde	Estado
Vercel Inc.	Alojamiento de la web y del sistema	Fráncfort (Alemania)	en uso
Supabase Inc.	Base de datos	Fráncfort (Alemania)	en uso
Hetzner Online GmbH	Servidores y base de datos, en sustitución de Vercel y Supabase	Alemania	previsto
Cloudflare, Inc.	Almacenamiento de fotos de documentos y copias de seguridad	región de la UE	previsto
Amazon Web Services (SES)	Envío de correo electrónico a los huéspedes	Irlanda	previsto
Mollie B.V.	Pagos de los huéspedes	Países Bajos	previsto
Beds24	Conexión con Booking.com y Airbnb	Alemania	previsto

Los datos se guardan dentro del Espacio Económico Europeo. Vercel Inc. y Supabase Inc. son empresas estadounidenses; guardan los datos en Fráncfort, y Vercel sirve las páginas a través de una red mundial de servidores. En la medida en que alguna de ellas trate datos fuera del EEE al hacerlo, lo hace sobre la base de las cláusulas contractuales tipo de la Comisión Europea. Cualquier otra transferencia fuera del EEE solo se realizará sobre esa misma base y después de habérselo comunicado.

Lo que usted conecta. Si usted conecta en el sistema su propia cuenta de WhatsApp Business, intercambiamos mensajes siguiendo sus instrucciones con Meta Platforms Ireland Ltd. (Dublín, Irlanda), que presta la WhatsApp Business Cloud API: el número de teléfono del huésped y los mensajes entre usted y el huésped. Esto solo ocurre en los alojamientos que activan esa conexión por sí mismos, y solo mientras esté activada. Para ese tratamiento usted celebra su propio contrato con Meta, al que se aplican las condiciones de Meta; Meta puede tratar datos fuera del EEE al hacerlo. Por eso Meta no es un subencargado nuestro. Si usted desactiva la conexión, dejamos de transmitir datos; los mensajes que ya están en el sistema siguen cubiertos por este contrato.

6. Si algo sale mal

Si descubrimos una violación de la seguridad de los datos, se la comunicamos en un plazo de 24 horas, con lo que sabemos: qué ha ocurrido, qué datos están afectados, cuántas personas y qué estamos haciendo al respecto. Usted decide si se notifica a la autoridad de control: son sus huéspedes. Le ayudamos con la información que necesite para ello.

7. Conservación y supresión

Datos	Plazo	Motivo
Reservas y facturas	7 años	Obligación fiscal de conservación
Registro de viajeros (números de documento)	3 años	Real Decreto 933/2021
Fotos de documentos	hasta que se acepta la comunicación	No se permite conservarlas más tiempo
Registro de quién consultó qué	1 año	Al cabo de un año, ese rastro no vale nada
Registro de lo que cambió en un acuerdo o una configuración	duración del contrato + 7 años	De lo contrario, un acuerdo de hace tres años ya no se puede comprobar
Consentimiento para envíos, y su retirada	hasta que se retire, y después 3 años como prueba	Sin esa prueba, usted no puede demostrar que hubo consentimiento
Todo lo demás	hasta el final del contrato	no procede

Al final del contrato, recibirá en un plazo de treinta días una exportación completa en un formato legible. Después lo eliminamos todo, salvo lo que estemos obligados a conservar por ley; lo que se conserva figura en la tabla anterior.

8. Derechos de los huéspedes

Si un huésped le pide acceso, rectificación o supresión, le facilitamos los datos en un plazo de cinco días hábiles y realizamos la supresión, salvo cuando la ley nos obligue a conservarlos. Si un huésped nos lo pide directamente a nosotros, le remitimos a usted y se lo hacemos saber.

9. Control

Usted puede comprobar una vez al año si cumplimos este contrato. Respondemos a las preguntas por escrito y, si lo solicita, le mostramos cómo funciona algo. Si desea una auditoría externa, puede hacerla a su cargo, siempre que se anuncie con antelación y sin que los demás clientes se vean afectados.

---

Este texto se ha redactado para este producto y todavía no lo ha revisado un abogado. Los demás documentos figuran en el resumen.