Acuerdo de Encargo de Tratamiento

Este Acuerdo de Encargo de Tratamiento ("AET") forma parte de los Términos del Servicio entre tú, el anfitrión ("Responsable del tratamiento"), y Mikel Llobera Guelbenzu, NIF 21752467X, Andreu Vidal, 18, Sant Adrià de Besòs, 08930, Barcelona("Encargado del tratamiento", operador de Registroom). Refleja el artículo 28 del RGPD. El Responsable determina los fines y medios del tratamiento de los datos personales de los huéspedes; el Encargado los trata por cuenta del Responsable.

El Encargado trata los datos personales de los huéspedes únicamente para prestar el Servicio: recoger los datos de identidad del huésped, generar y transmitir a las autoridades el parte de viajeros legalmente exigido, calcular y cobrar la tasa turística y, cuando esté activado, hacer copia de seguridad de los registros y enviar notificaciones. El tratamiento dura mientras esté vigente la suscripción del Responsable, más el plazo de conservación indicado más abajo.

Interesados: los huéspedes del Responsable (incluyendo, en su caso, menores de edad). Categorías: datos identificativos (nombre, tipo y número de documento, nacionalidad, fecha de nacimiento), datos de contacto (email, teléfono), dirección, datos de la reserva, y la imagen del documento de identidad tratada de forma transitoria para el OCR (no se almacena). Parte de estos datos puede constituir categorías especiales o datos sensibles según la normativa nacional, y se tratan en consecuencia.

• Tratar los datos personales solo siguiendo las instrucciones documentadas del Responsable, incluidas las relativas a transferencias, salvo que la ley lo exija.
• Garantizar que las personas autorizadas para tratar los datos estén sujetas a confidencialidad.
• Aplicar las medidas técnicas y organizativas de seguridad adecuadas (apartado 8).
• Contratar subencargados solo conforme al apartado 6, imponiéndoles obligaciones de protección de datos equivalentes.
• Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, para responder a las solicitudes de ejercicio de derechos de los interesados.
• Asistir al Responsable en materia de seguridad, notificación de brechas y evaluaciones de impacto relativas a la protección de datos.
• Notificar al Responsable sin dilación indebida en cuanto tenga conocimiento de una violación de la seguridad de los datos personales.
• A elección del Responsable, eliminar o devolver los datos personales al finalizar el servicio, y eliminar las copias existentes salvo que la conservación sea legalmente obligatoria.
• Poner a disposición la información necesaria para demostrar el cumplimiento y permitir y contribuir a las auditorías.

El Responsable garantiza que dispone de una base legal válida para recoger y enviar los datos del huésped, que proporciona a los huéspedes la información de privacidad exigida y, en su caso, obtiene su consentimiento, y que sus instrucciones cumplen con la normativa de protección de datos.

El Responsable autoriza a los siguientes subencargados. Informaremos al Responsable de los cambios previstos y le daremos la oportunidad de oponerse.

Los datos personales se almacenan en la región eu-west-1. Cuando un subencargado trate datos fuera del EEE, las transferencias se amparan en una decisión de adecuación o en las Cláusulas Contractuales Tipo de la UE con las medidas suplementarias adecuadas.

• Cifrado en tránsito (TLS) y en reposo; los campos sensibles del huésped (datos de identidad, fichero de registro y recibo) se cifran adicionalmente a nivel de aplicación (AES-256-GCM). Las contraseñas del portal del anfitrión se almacenan cifradas, nunca en texto plano.
• Aislamiento estricto entre clientes: cada anfitrión solo puede acceder a sus propios datos, reforzado en la aplicación y mediante controles de acceso a la base de datos.
• Acceso con el mínimo privilegio necesario, acceso administrativo autenticado, y secretos guardados solo en servidor.
• Registro de accesos a las fichas de huéspedes, para trazabilidad.
• Revisión periódica de dependencias y configuración.

Los registros de huéspedes se conservan durante el plazo exigido por la normativa española de alquiler turístico (aproximadamente tres años tras el check-out) y después se eliminan automáticamente. El Responsable puede eliminar su cuenta y todos los datos asociados en cualquier momento desde Ajustes → Perfil, lo que borra los datos de huéspedes bajo su responsabilidad.

La responsabilidad de cada parte conforme a este AET está sujeta a las limitaciones de los Términos del Servicio. Este AET se rige por la legislación española, con la jurisdicción establecida en los Términos.

Contacto de protección de datos: soporte@registroom.com.