Acuerdo de encargo de tratamiento

1. Objeto y ámbito

Este acuerdo regula el tratamiento de datos personales que Luis Fernández Couñago, con NIF/CIF 39489174Z y domicilio en Praza Fonte do Mouro, 2, 2ºD, 36800 Redondela, Pontevedra —en adelante el encargado—, realiza por cuenta del alojamiento que contrata PEMESE —en adelante el responsable—, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018.

Forma parte inseparable de las Condiciones del Servicio y se acepta con ellas. Su contenido responde a lo exigido por el artículo 28.3 del RGPD.

2. Papel de cada parte

• El alojamiento es el responsable de los datos de sus huéspedes y de su personal: decide qué datos recoge, para qué y durante cuánto tiempo, y es quien debe informar a los interesados y contar con base legítima.
• El prestador es el encargado: trata esos datos únicamente para prestar el servicio contratado y siguiendo las instrucciones documentadas del responsable.
• Respecto de los datos de la cuenta del propio cliente —nombre, correo y facturación de quien contrata—, el prestador actúa como responsable, y eso se rige por la política de privacidad y no por este acuerdo.

3. Duración

Este acuerdo está vigente mientras lo esté el contrato de servicio, y sus obligaciones de confidencialidad y de devolución o supresión subsisten tras su terminación.

4. Naturaleza y finalidad del tratamiento

El tratamiento consiste en el alojamiento, conservación, consulta, estructuración, modificación, comunicación y supresión de los datos que el responsable introduce en la aplicación o que se generan al usarla.

Su finalidad es únicamente prestar el servicio contratado: gestionar reservas y estancias, la cuenta del huésped y su facturación, el check-in y el registro documental de viajeros, la limpieza y el mantenimiento, la comunicación con el huésped, los informes que el responsable configure y, si contrata el motor de oportunidades, el análisis de la ocupación de sus propias fechas y las recomendaciones de precio y de restricciones que el responsable decida aplicar, él mismo o encargándoselas al piloto automático. Para saber qué festivos de fuera de su zona le mueven la demanda, ese análisis cuenta en agregado de dónde vienen sus huéspedes, a partir del código postal y el país de facturación, la empresa que paga y el prefijo del teléfono, nunca de la nacionalidad, el documento ni la residencia que se recogen para el parte de viajeros, y no enseña ni usa un lugar del que vengan menos de cinco. Ese análisis se hace con los datos de cada responsable por separado: no se cruzan datos entre alojamientos de responsables distintos.

La comunicación con el huésped incluye ofrecerle oponerse a las ofertas del responsable al recoger sus datos —al reservar en su web o en el check-in— y en cada envío, y el registro de esa oposición: en qué alojamiento, cuándo y por dónde se le ofreció, qué texto vio y si se opuso, guardado con una huella seudónima de su correo —un HMAC con clave secreta— y no con el correo, y sin vincularlo a su ficha. Incluye también, cuando el responsable lo decida, el envío de ofertas de estancias de cada uno de sus alojamientos a quien ya se alojó en ese mismo alojamiento y no se ha opuesto. Una oposición recogida en cualquiera de los alojamientos del responsable frena las ofertas de todos ellos, y no se comunica a ningún otro responsable. Es el responsable quien decide mandarlas y quien responde de su base jurídica.

Si quien reporta un fallo desde la aplicación escribe en él datos de un huésped, el encargado los trata solo para resolver ese fallo, y se suprimen con el reporte: a los doce meses de cerrarse o a los veinticuatro de mandarse, y antes si el responsable se da de baja. El reporte no recoge nada de la pantalla más allá de su dirección —sin los parámetros salvo los que dicen qué vista era— y del texto del último error que mostró la aplicación; esa dirección puede llevar el identificador interno de una fila —una ficha, una reserva, una factura o un servicio—, que el aviso por correo del reporte no lleva.

El encargado no utiliza estos datos para ningún fin propio: no los analiza para mejorar su producto de forma identificable, no los usa para entrenar sistemas, no los cede ni los comercializa, y no los cruza con los de otros responsables.

5. Tipos de datos personales

• Identificativos: nombre y apellidos, tipo y número de documento de identidad y su número de soporte, fecha de nacimiento, sexo, nacionalidad y parentesco, en los términos del anexo del Real Decreto 933/2021.
• De contacto: dirección postal, país y municipio de residencia, teléfono y correo electrónico.
• De la estancia: fechas de entrada y salida, habitación, régimen, acompañantes, consumos y observaciones que el responsable anote; y las quejas, sugerencias y halagos —los que escribe el propio huésped desde el enlace que se le manda y los que apunta el personal—, con la reserva, la persona de la reserva y la habitación a las que se refieren cuando las hay, quién los atiende y lo que se hizo.
• Económicos: importes, fechas, medio de pago, identificador de la operación y datos de facturación. El número completo de la tarjeta no pasa por los servidores del encargado: se introduce directamente en la pasarela de pago. Del medio de pago se conservan la marca, los cuatro últimos dígitos, la fecha de caducidad y la referencia con la que la pasarela lo identifica, para poder decirle al huésped con qué tarjeta se le cobró, avisar de una que va a caducar y hacer los cargos posteriores que él haya autorizado.
• De uso: registro de qué usuario hizo qué y cuándo dentro de la aplicación.
• De comunicación comercial: si se le ofreció oponerse a las ofertas del responsable y si se opuso, en qué alojamiento, cuándo, por dónde y la huella del texto que vio, guardado con una huella seudónima de su correo —un HMAC con clave secreta— y no con el correo.
• Certificado de representación del responsable, cuando lo deposita para que el encargado pueda comunicar en su nombre con la Agencia Tributaria y con SES.Hospedajes: el fichero y su contraseña se guardan cifrados, contienen los datos identificativos de la persona física que lo titula, y se usan únicamente para firmar esos envíos. El responsable puede retirarlo cuando quiera, y al hacerlo se destruye.
• El servicio no está diseñado para tratar categorías especiales del artículo 9 del RGPD: no existe ningún campo destinado a recogerlas. Hay, sin embargo, campos de texto libre —las observaciones de la reserva y las de los servicios, y el texto de una queja o una sugerencia— que rellenan el personal del responsable o el propio huésped, y en los que puede acabar escrita información que sí lo sea, como una alergia al contratar una comida o una indisposición que se cuenta en una queja. El responsable decide qué se recoge en ellos y es quien debe contar con base jurídica del artículo 9.2 cuando eso ocurra; el encargado los trata igual que el resto, con las mismas medidas de seguridad, sin usarlos para ningún fin propio y sin extraer de ellos ninguna categoría.

6. Categorías de interesados

• Huéspedes y acompañantes del alojamiento, incluidos menores cuando viajen con un adulto responsable.
• Personas de contacto de empresas y agencias que reserven con el alojamiento.
• Personal del alojamiento con acceso a la aplicación.

7. Obligaciones del encargado

Conforme al artículo 28.3 del RGPD, el encargado se obliga a lo siguiente.

• a) Instrucciones documentadas. Tratar los datos únicamente siguiendo las instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales, salvo que se lo exija el Derecho de la Unión o de un Estado miembro, en cuyo caso lo informará antes salvo prohibición legal. La contratación del servicio y la configuración que el responsable elija en la aplicación constituyen sus instrucciones documentadas.
• b) Confidencialidad. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad, con un deber que subsiste tras el fin de la relación.
• c) Seguridad. Aplicar las medidas técnicas y organizativas del artículo 32, descritas en el apartado 10.
• d) Subencargados. No recurrir a otro encargado sin autorización, en los términos del apartado 8.
• e) Derechos de los interesados. Asistir al responsable, mediante las funcionalidades de la propia aplicación, para atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si un interesado dirige su solicitud al encargado, este se abstendrá de atenderla y la trasladará al responsable sin dilación.
• f) Asistencia en seguridad. Ayudar al responsable a cumplir los artículos 32 a 36: medidas de seguridad, notificación de violaciones, comunicación a los interesados y evaluaciones de impacto, teniendo en cuenta la naturaleza del tratamiento y la información disponible.
• g) Devolución o supresión. A elección del responsable, devolver o suprimir los datos al terminar la prestación, en los términos del apartado 13.
• h) Información y auditorías. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías, en los términos del apartado 14.

8. Subencargados

El responsable autoriza de forma general al encargado a subcontratar los servicios que figuran a continuación. Con los que tratan datos por cuenta del encargado se ha suscrito o aceptado un contrato de encargo del artículo 28 del RGPD, con las mismas obligaciones que asume el encargado; cuando un proveedor preste un servicio meramente instrumental y sin acceso ordinario a los datos, se indica expresamente:

• OVHcloud — alojamiento del servidor y de la base de datos, en Gravelines (Francia, Unión Europea).
• Cloudflare — almacenamiento de fotografías, copias de seguridad y registro de auditoría archivado, en jurisdicción de la Unión Europea; y red de entrega y protección frente a ataques.
• Resend — envío del correo dirigido al huésped y al personal del alojamiento: el transaccional y, cuando el responsable lo manda, el comercial a sus clientes previos —el de después de la estancia y las ofertas del apartado 4—.
• Stripe — pasarela de pago. En los cobros a huéspedes, el alojamiento mantiene su propia cuenta y su propia relación con Stripe; el encargado únicamente transmite los datos de la operación.
• Aiosell — canal de distribución, solo cuando el responsable contrata ese módulo, y mientras su alojamiento siga enlazado con él: si da de baja el módulo o deja de pagarlo, el canal no se corta de golpe —dejaría a los portales vendiendo con precios y cupos viejos—, sino cuando se desenlaza. Recibe y envía los datos de reserva necesarios para operar con los portales. Aiosell Technologies Pvt. Ltd. tiene su sede en la India y su infraestructura en la India y en Estados Unidos: ver el apartado 9.
• Apple — buzones de correo del dominio de contacto y soporte, prestados bajo las condiciones de iCloud+. Tratan lo que se escriba a esas direcciones y los avisos internos del formulario de contacto y de cada reporte de fallo —este, sin lo que se escribió en él ni los identificadores de la dirección de la pantalla—, y no acceden a los datos que el responsable introduce en la aplicación; por ese motivo el servicio se presta sin contrato de encargo del artículo 28, y no deben remitirse a esas direcciones datos de huéspedes, que se gestionan siempre dentro de la aplicación.

El encargado informará al responsable de cualquier alta o sustitución de los subencargados que contrata él directamente —los de la lista anterior— con al menos 30 días de antelación.

Cuando quien cambie de proveedor sea uno de esos subencargados, el encargado trasladará el aviso al responsable sin dilación desde que lo reciba. Aquí el plazo no lo fija el encargado: lo fija el contrato que tiene con ese subencargado, y puede ser más corto que 30 días. Se dice así en vez de prometer un plazo único porque una promesa que depende de un tercero no se puede cumplir por escrito: lo que sí se garantiza es que el responsable se entere en cuanto nos enteremos nosotros, y con el mismo derecho a oponerse.

En los dos casos el responsable puede oponerse por motivos razonables relacionados con la protección de datos; si la oposición impide prestar el servicio, podrá resolver el contrato sin coste y sin penalización.

9. Transferencias internacionales

El servidor, la base de datos, el almacenamiento de ficheros y el envío de correo se prestan dentro de la Unión Europea: OVHcloud en Gravelines (Francia), Cloudflare en jurisdicción de la Unión Europea y Resend con entrega desde la región eu-west-1. Fuera del Espacio Económico Europeo, Stripe puede tratar en Estados Unidos los datos de las operaciones de pago, con las garantías de su propio acuerdo de tratamiento de datos: el marco de privacidad de datos UE-EE. UU., en el que está certificada, y las cláusulas contractuales tipo.

La otra transferencia internacional solo existe si el responsable contrata el módulo de canal de distribución: Aiosell Technologies Pvt. Ltd. tiene su sede en la India y su infraestructura en la India y en Estados Unidos. La India no cuenta con una decisión de adecuación de la Comisión Europea, y el marco de adecuación con Estados Unidos tampoco ampara esta transferencia: cubre a las organizaciones estadounidenses que se certifican, y quien recibe los datos es una sociedad india. Las dos vías van, por tanto, por cláusulas contractuales tipo. Hacia Aiosell no sale ningún dato personal: lo que el encargado le envía es disponibilidad, precios, restricciones y la marca de no presentado, que viaja con el código del alojamiento, el identificador de la reserva y el canal. El sentido es el contrario: la reserva llega de ellos, porque se la dio el portal donde el huésped compró, y con ella el nombre, las fechas, el tipo de habitación y el importe. Eso no evita que el capítulo V del RGPD aplique —tratan esos datos por cuenta del responsable— pero sí acota qué se transfiere y en qué dirección.

El encargado no activará ese módulo para un responsable sin tener antes suscritas las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 —módulo 3, encargado a encargado, que es el que corresponde: el responsable es el alojamiento y quien exporta es su encargado— y realizada la evaluación de las garantías del país de destino. A fecha de esta revisión ambas están pendientes de firma. En consecuencia el módulo no está activo para ningún responsable y no se está produciendo ninguna transferencia internacional, y el propio programa impide concederlo mientras siga así. Una vez suscritas, copia de ambas queda a disposición del responsable a simple solicitud, conforme al artículo 46.1 del RGPD.

10. Medidas de seguridad

Atendiendo al estado de la técnica y a los riesgos del tratamiento, el encargado aplica al menos las siguientes medidas:

• Aislamiento por responsable. Cada dato lleva la identificación de la empresa a la que pertenece y ninguna consulta se ejecuta sin ese filtro. Quien lo impone es la capa de acceso a datos de la aplicación, y lo vigilan comprobaciones automáticas que se ejecutan en cada cambio y no dejan subir código que se salte la regla. La base de datos declara además políticas de fila que protegen frente a un acceso directo con credenciales robadas, pero no son la barrera que separa a un responsable de otro: esa es el código.
• Cifrado en tránsito en todas las comunicaciones, con transporte estrictamente seguro.
• Control de acceso por roles, con permisos diferenciados y acceso limitado por alojamiento.
• Cierre de sesión por inactividad, configurable por el responsable.
• Registro de auditoría de las operaciones realizadas, con identificación del usuario y del momento.
• Copias de seguridad diarias, almacenadas fuera del servidor de producción, con treinta días de retención y procedimiento de restauración verificado.
• Minimización: no se almacenan imágenes ni copias de documentos de identidad, solo los datos que la norma obliga a registrar.
• Supresión automática al cumplirse los plazos de conservación, sin depender de una actuación manual.

11. Violaciones de seguridad

El encargado notificará al responsable cualquier violación de la seguridad de los datos personales sin dilación indebida desde que tenga constancia de ella, y en todo caso con la antelación suficiente para que el responsable pueda cumplir su propio plazo de setenta y dos horas del artículo 33 del RGPD.

La notificación incluirá, en la medida en que se conozca: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Si no fuera posible facilitarlo todo a la vez, se hará de forma gradual sin dilación indebida.

12. Obligaciones del responsable

• Contar con base legítima para el tratamiento e informar adecuadamente a los interesados.
• Introducir en la aplicación únicamente los datos necesarios, y no incorporar categorías especiales en campos de texto libre.
• Configurar los permisos de su personal y revocar los accesos de quien deje de necesitarlos.
• Trasladar al encargado las instrucciones que necesite darle, por escrito y a través de las direcciones de contacto del contrato.
• Realizar, cuando proceda, la evaluación de impacto y la consulta previa.

13. Devolución o supresión al terminar

Durante toda la vigencia del contrato —incluida la limitación por impago— el responsable puede exportar sus informes en formato CSV desde la propia aplicación, sin coste ni trámite, y pedir el resto de su información —reservas, fichas de huésped, folios y facturas— en formato estructurado y de uso común, que se le entrega dentro de los quince días siguientes y sin coste. Esas dos vías son el medio ordinario de devolución.

Terminado el contrato, el encargado le manda al responsable sus datos —reservas y acompañantes, fichas de huésped, folios, cobros, facturas, servicios, empresas cliente, quejas y la oposición a las ofertas, en ese mismo formato— y le avisa de cuándo se suprimirán. A partir de los 60 días de la terminación, y nunca antes de que el aviso haya salido, se suprimen todos, incluidas las copias, salvo los que el Derecho de la Unión o español obligue a conservar —los libros y registros de facturación, y los cobros y la caja que los justifican—, que se conservan durante ese plazo y después se suprimen. De la reserva y el servicio a los que apunta uno de ellos, y del huésped de esa reserva, se conserva solo la fila, vaciada de lo que identifica a una persona —del huésped quedan el país, la nacionalidad, el idioma y las fechas, como cuando se anonimiza a los tres años—, y de la empresa cliente, el nombre, el NIF y la dirección que ya figuran en la factura. Hasta la supresión, el responsable puede seguir consultando y descargando sus datos, pero ya no modificarlos.

Las copias de seguridad guardan los datos tal y como estaban cada día, por lo que una supresión puede tardar hasta treinta días en desaparecer de todas ellas. Durante ese plazo no se accede a esos datos salvo para restaurar el servicio.

14. Información y auditorías

El encargado pondrá a disposición del responsable, previa solicitud razonada, la información necesaria para acreditar el cumplimiento de este acuerdo: descripción de las medidas de seguridad, relación de subencargados y ubicación de los tratamientos.

El responsable podrá realizar o encargar una auditoría, con un preaviso mínimo de treinta días, en horario laborable, sin interrumpir la prestación y con el auditor sujeto a confidencialidad. Salvo que la auditoría revele un incumplimiento del encargado, sus costes corren a cargo del responsable, y no podrá realizarse más de una vez al año salvo requerimiento de una autoridad de control o incidente de seguridad relevante.

15. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que el RGPD le impone específicamente o cuando actúe al margen de las instrucciones lícitas de la otra, conforme al artículo 82 del RGPD. El encargado que determine los fines y medios del tratamiento al margen de este acuerdo será considerado responsable respecto de ese tratamiento, conforme al artículo 28.10.