Acuerdo de tratamiento de datos

Última actualización: 28 de octubre de 2026 · Versión 1.0

1. Partes y ámbito de aplicación

El presente Acuerdo de tratamiento de datos (el «Acuerdo») se celebra entre:

• Teleport Dynamix, S.L., NIF B21782743, Plaza Sant Felip Neri núm. 2, Pta. 5, 46021 València, España («CortoCasa», «nosotros», el Encargado del tratamiento); y
• el cliente que ha aceptado los Términos del servicio de CortoCasa y por cuya cuenta se crea un espacio de trabajo en el Servicio (el «Cliente», «tú», el Responsable del tratamiento).

Este Acuerdo forma parte de los Términos del servicio. Lo acepta en nombre del Cliente el administrador que crea el espacio de trabajo, como paso independiente al crearlo; en el caso de los espacios de trabajo creados antes de la publicación de este Acuerdo, lo acepta un administrador cuando el Servicio lo solicita. No se requiere firma por separado. Si necesitas un ejemplar firmado por ambas partes para tus archivos, escribe a privacy@cortocasa.com.

Se aplica siempre que tratemos datos personales por tu cuenta al prestar el servicio CortoCasa (el «Servicio»).

Orden de prelación. La sección 21.1 de los Términos del servicio establece el orden de prelación de todo nuestro conjunto de documentos. En resumen, en lo que afecta a este Acuerdo: las cláusulas contractuales tipo del Anexo IV prevalecen sobre este Acuerdo, y este Acuerdo prevalece sobre los Términos del servicio y la Política de privacidad en lo relativo al tratamiento de datos personales.

2. Definiciones

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «subencargado del tratamiento», «interesado», «violación de la seguridad de los datos personales» y «autoridad de control» tienen el significado que les atribuye el Reglamento (UE) 2016/679 (el «RGPD»).

«Normativa de Protección de Datos Aplicable» significa el RGPD, la Ley Orgánica 3/2018 (LOPDGDD), la Directiva 2002/58/CE en su transposición nacional y cualquier otra normativa de protección de datos aplicable a una de las partes.

«Datos Personales del Cliente» significa los datos personales que tratamos por tu cuenta en virtud de los Términos del servicio, según se describen en el Anexo I.

3. Funciones de las partes

Tú eres el responsable del tratamiento de los Datos Personales del Cliente y nosotros somos tu encargado del tratamiento. Cuando tú mismo seas encargado del tratamiento por cuenta de otro responsable, garantizas que estás facultado para darnos instrucciones como subencargado del tratamiento en nombre de ese responsable, y las referencias a tus obligaciones como responsable del tratamiento se te aplican como si lo fueras.

Somos responsables independientes del tratamiento de los datos de cuenta, de facturación y del sitio web descritos en las secciones 1, 2.1 y 2.2 de nuestra Política de privacidad. Este Acuerdo no se aplica a esos datos.

Tus responsabilidades. Eres responsable de la licitud de los datos que introduces, de contar con una base jurídica válida, de facilitar a los interesados la información que exigen los artículos 13 y 14 del RGPD, y de la exactitud y pertinencia de lo que subes. En particular, eres responsable de limitar los datos de documentos de identidad que recoges a lo que realmente exigen tus obligaciones legales — véase la sección 4.3.

4. Instrucciones de tratamiento

4.1 Instrucciones documentadas

Tratamos los Datos Personales del Cliente únicamente siguiendo tus instrucciones documentadas, incluso en lo relativo a las transferencias internacionales, salvo que estemos obligados a otra cosa en virtud del Derecho de la Unión o de los Estados miembros; en tal caso, te informaremos de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

Tus instrucciones son: a) este Acuerdo; b) los Términos del servicio; c) tu configuración y uso del Servicio a través de sus interfaces y funciones documentadas — incluida la conexión de una propiedad a una plataforma de reserva online, que nos instruye para intercambiar disponibilidad, precios y reservas con esa plataforma a través de nuestro proveedor de conectividad de canales —; y d) cualquier otra instrucción por escrito que nos des y que aceptemos.

Esas instrucciones incluyen la elaboración de estadísticas agregadas a partir del uso del Servicio conforme a la sección 7.1 de los Términos del servicio. Lo llevamos a cabo como tu encargado del tratamiento; las cifras anónimas resultantes quedan fuera de este Acuerdo porque ya no son datos personales.

4.2 Instrucciones ilícitas

Te informaremos sin demora si, en nuestra opinión, una instrucción infringe la Normativa de Protección de Datos Aplicable. Podremos suspender la ejecución de la instrucción afectada hasta que se retire, se modifique o se confirme, sin que dicha suspensión constituya un incumplimiento de los Términos del servicio.

4.3 Documentos de identidad y de viaje — condiciones específicas

Puedes utilizar el Servicio para registrar los datos de los viajeros que estás obligado a conservar, incluso conforme al Real Decreto 933/2021 en España. A esos datos se aplica lo siguiente:

• Campos de datos, no imágenes. El Servicio registra los campos de datos exigidos sin una imagen del documento, y no necesita ninguna imagen para ninguna de sus funciones.
• Las imágenes son opcionales y están desactivadas por defecto. La subida de imágenes de documentos es una función desactivada en todos los espacios de trabajo hasta que uno de tus administradores la activa. Activarla constituye tu instrucción documentada de tratar imágenes de documentos; confirmas que dispones de una base jurídica para cualquier imagen que decidas subir y conservar, que has valorado si es necesario conservarla y que sabes que la autoridad de control española considera excesivo conservar copias de documentos de identidad cuando bastaría con registrar los datos exigidos.
• Las imágenes se eliminan automáticamente. Cada imagen se elimina 30 días después de la fecha de salida de la reserva a la que pertenece, o antes si la eliminas o suprimes los datos del huésped. Las imágenes nunca se incluyen en un enlace que pueda abrirse sin iniciar sesión en el Servicio.
• No utilizaremos los datos de los documentos para ninguna finalidad distinta de la prestación del Servicio, no los enviaremos a ningún proveedor de IA y no realizaremos sobre ellos ningún tratamiento biométrico ni de reconocimiento facial.
• No debes introducir en el Servicio números completos de tarjetas de pago, códigos de verificación de tarjetas ni categorías especiales de datos personales del artículo 9 del RGPD, salvo, en este último caso, que nos lo hayas comunicado previamente y lo hayamos aceptado por escrito.

4.4 Obligaciones legales de conservación

Cuando un registro forme parte de un registro legal que estás obligado a llevar — como el registro documental de viajeros conforme al Real Decreto 933/2021, que en España debe conservarse durante tres años desde el fin de la estancia —, conservarlo durante todo el plazo es responsabilidad tuya como responsable del tratamiento, y prevalece sobre la solicitud de supresión de un interesado conforme al artículo 17.3.b) del RGPD. Eres responsable de no eliminar esos registros antes de que venza su plazo de conservación.

Para ayudarte a cumplir a la vez esa obligación y el artículo 32 de la LOPDGDD, la herramienta de supresión de datos de huéspedes del Servicio te permite bloquear los campos del registro en lugar de eliminarlos. Los datos bloqueados se retiran de las pantallas del Servicio, solo puede abrirlos un administrador que deje constancia del requerimiento de la autoridad para el que se necesitan, y se destruyen automáticamente en la fecha que fijes — por defecto, tres años después del fin de la estancia. La elección entre supresión y bloqueo, así como la fecha, es decisión tuya como responsable del tratamiento.

5. Duración

Este Acuerdo surte efecto cuando se acepta para tu espacio de trabajo conforme a la sección 1 y se mantiene vigente mientras tratemos Datos Personales del Cliente por tu cuenta. Las secciones 6, 11, 12, 13 y 16 y el Anexo IV subsisten tras su terminación mientras conservemos Datos Personales del Cliente.

6. Confidencialidad

Garantizamos que todas las personas autorizadas para tratar Datos Personales del Cliente están sujetas a una obligación de confidencialidad adecuada — contractual o legal — que subsiste tras el fin de su relación con nosotros. El acceso se concede conforme al principio de mínimo privilegio y únicamente al personal que lo necesita para desempeñar sus funciones, y se retira con prontitud cuando la necesidad desaparece.

7. Seguridad

Aplicamos y mantenemos las medidas técnicas y organizativas establecidas en el Anexo II, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas.

Podemos actualizar periódicamente las medidas del Anexo II, siempre que no se reduzca sustancialmente el nivel de protección. Publicaremos los cambios sustanciales con al menos 30 días de antelación.

Eres responsable de tu parte de la seguridad: elegir los roles adecuados para tu equipo, mantener seguras las credenciales, retirar el acceso al personal que deje de prestar servicios y decidir qué conservas en el Servicio y durante cuánto tiempo.

8. Subencargados del tratamiento

8.1 Autorización general

Nos otorgas una autorización general por escrito para recurrir a subencargados del tratamiento. Los subencargados contratados figuran en el Anexo III de este Acuerdo, que constituye la lista de referencia y se publica junto con él.

8.2 Cambios y tu derecho de oposición

Antes de que un subencargado nuevo o sustituto empiece a tratar Datos Personales del Cliente, te avisaremos con una antelación mínima de 30 días por correo electrónico y en el Anexo III. El plazo se computa hasta el inicio del tratamiento, no hasta el momento en que contratemos o evaluemos a un proveedor.

Cuando un proveedor deba sustituirse con urgencia — por ejemplo, por un fallo de ese proveedor, la retirada de su servicio o un incidente de seguridad —, avisaremos con toda la antelación que permitan las circunstancias, te explicaremos por qué no ha podido respetarse el plazo ordinario, y tu derecho de oposición conforme a esta sección no se verá afectado.

Puedes oponerte por motivos de protección de datos razonables y documentados dentro de ese plazo. Colaboraremos contigo de buena fe para encontrar una solución: un cambio de configuración, un proveedor alternativo o la desactivación de la función afectada. Si ninguna es viable, podrás resolver la parte afectada del Servicio sin penalización y recibir el reembolso proporcional de las cuotas abonadas por anticipado correspondientes al periodo no utilizado. La resolución por este motivo es tu único remedio frente a una oposición.

8.3 Nuestra responsabilidad

Imponemos a cada subencargado del tratamiento, mediante contrato escrito, obligaciones de protección de datos que ofrezcan una protección no inferior a la de este Acuerdo. Seguimos siendo plenamente responsables ante ti del cumplimiento de las obligaciones de cada subencargado, como exige el artículo 28.4 del RGPD. Cuando un subencargado recurra a sus propios subencargados, el mismo requisito se traslada a lo largo de la cadena.

Cuando un subencargado conserve una copia de Datos Personales del Cliente que el Servicio no pueda eliminar ni anonimizar directamente — en la actualidad, las reservas que conserva nuestro proveedor de conectividad de canales, que las elimina por sí mismo 180 días después de la salida —, le trasladamos nosotros mismos tu instrucción de supresión cuando suprimes los datos del huésped en el Servicio, hacemos el seguimiento hasta que se ejecuta y, previa solicitud, te confirmamos el resultado.

9. Asistencia en el ejercicio de los derechos de los interesados

Teniendo en cuenta la naturaleza del tratamiento, te asistimos mediante medidas técnicas y organizativas apropiadas — principalmente las propias funciones de búsqueda, rectificación, eliminación y supresión de datos de huéspedes del Servicio, y las exportaciones que facilitamos previa solicitud — para que puedas cumplir tu obligación de responder a las solicitudes formuladas conforme al capítulo III del RGPD.

La eliminación y la supresión de datos de huéspedes siguen disponibles en el Servicio, y las exportaciones siguen disponibles previa solicitud, incluso cuando un espacio de trabajo está en modo de solo lectura tras una cancelación o un impago, durante el periodo descrito en la sección 12 de este Acuerdo, de modo que la finalización de una suscripción no te impida atender una solicitud de supresión o de acceso.

Si un interesado se pone en contacto directamente con nosotros en relación con Datos Personales del Cliente, no responderemos sobre el fondo. Te remitiremos la solicitud en un plazo de 3 días hábiles e informaremos al interesado de que lo hemos hecho. Cuando necesites ayuda más allá de las funciones propias del Servicio, te prestaremos una asistencia razonable; podremos cobrar la asistencia de alcance desproporcionado, según nuestras tarifas vigentes en ese momento, previo aviso. Las exportaciones conforme a la sección 12 son siempre gratuitas.

10. Asistencia en evaluaciones de impacto y consultas previas

Teniendo en cuenta la naturaleza del tratamiento y la información a nuestra disposición, te prestamos una asistencia razonable en el cumplimiento de tus obligaciones conforme a los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto relativas a la protección de datos y la consulta previa a una autoridad de control.

Previa solicitud, te facilitamos la información sobre el Servicio que necesites para una evaluación de impacto: la descripción del tratamiento del Anexo I, las medidas del Anexo II y la información sobre subencargados y transferencias del Anexo III. Te corresponde a ti, como responsable del tratamiento, determinar si tu uso del Servicio exige una evaluación de impacto conforme al artículo 35 del RGPD y cuál debe ser su contenido.

11. Violaciones de la seguridad de los datos personales

Te notificamos toda violación de la seguridad de los datos personales que afecte a Datos Personales del Cliente sin dilación indebida y, en todo caso, en un plazo de 72 horas desde que tengamos conocimiento de ella.

La notificación describirá, en la medida en que se conozca en ese momento: la naturaleza de la violación y las categorías y el número aproximado de interesados y de registros afectados; sus consecuencias probables; las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos; y un punto de contacto para obtener más información. No retrasaremos la primera notificación para completar nuestra investigación, y te facilitaremos actualizaciones a medida que se conozcan más datos.

Te asistimos en el cumplimiento de tus propias obligaciones conforme a los artículos 33 y 34 del RGPD, incluso facilitándote la información que necesites para una notificación a una autoridad de control o a los afectados. La notificación a la autoridad de control y a los interesados sigue siendo decisión y responsabilidad tuya como responsable del tratamiento.

Nuestra notificación no constituye un reconocimiento de culpa ni de responsabilidad.

12. Supresión y devolución de los datos

Al terminar la prestación del Servicio, y a tu elección, suprimimos o te devolvemos todos los Datos Personales del Cliente y suprimimos las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros nos exija conservarlos.

En la práctica, funciona de la siguiente manera:

• Exportación. Te facilitamos una exportación de tus datos previa solicitud en cualquier momento durante la suscripción y durante todo el periodo de solo lectura posterior, de forma gratuita y en un formato estructurado, de uso común y lectura mecánica, normalmente en un plazo de 5 días hábiles y, en todo caso, en un plazo de 30 días desde la solicitud. Véase la sección 18 de los Términos del servicio.
• Eliminación al finalizar una suscripción. Cuando un periodo pagado finaliza sin renovación, el espacio de trabajo pasa a modo de solo lectura durante 90 días y, después, se elimina con todos los Datos Personales del Cliente que contiene. Avisamos a tus administradores cuando pasa a solo lectura y, de nuevo, al menos 14 días y 3 días antes de la fecha de eliminación.
• Eliminación a petición. Un administrador puede pedirnos que eliminemos el espacio de trabajo en cualquier momento, desde el Servicio o escribiendo a support@cortocasa.com, y lo haremos sin dilación indebida y, en todo caso, en el plazo de un mes.
• Supresión de los datos de un huésped. Cuando suprimes los datos de un huésped en el Servicio, los datos que lo identifican se eliminan de inmediato o, si así lo eliges, se bloquean conforme a la sección 4.4. Las copias que conserve un subencargado se tratan conforme a la sección 8.3.
• Copias de seguridad. Las copias de seguridad cifradas se conservan durante una ventana móvil de 7 días en la misma región, por lo que los datos eliminados pueden persistir en ellas hasta siete días antes de desaparecer.
• Registros legales. Cuando estés obligado a conservar registros durante un plazo legal de conservación, te corresponde solicitar una exportación antes de la eliminación — véase la sección 4.4.

Previa solicitud, confirmaremos la eliminación por escrito.

13. Auditoría e información

Ponemos a tu disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD, y permitimos y contribuimos a la realización de auditorías, incluidas inspecciones, por tu parte o por parte de un auditor autorizado por ti.

En primera instancia, cumplimos esta obligación facilitando, previa solicitud: este Acuerdo y sus anexos; nuestra documentación de seguridad; las respuestas a un cuestionario de seguridad razonable; y cualquier informe de auditoría o certificación de terceros de que dispongamos.

Cuando ello resulte realmente insuficiente para demostrar el cumplimiento, podrás realizar una auditoría presencial o a distancia, con sujeción a: un preaviso razonable de al menos 30 días; un máximo de una vez en cada periodo de 12 meses, salvo tras una violación de la seguridad de los datos personales que afecte a tus datos o cuando lo exija una autoridad de control; su realización en horario laboral y de forma que no perturbe de manera irrazonable nuestras operaciones; un auditor que no sea competidor nuestro y que esté sujeto a confidencialidad; y un alcance limitado a los sistemas y registros relacionados con el tratamiento de tus datos — nunca a los datos de otro cliente. Asumes el coste de la auditoría salvo que revele un incumplimiento sustancial de este Acuerdo, en cuyo caso asumiremos el coste razonable de la auditoría y de la subsanación.

14. Transferencias internacionales

Los Datos Personales del Cliente en el Servicio se almacenan en la Unión Europea (AWS eu-west-1, Irlanda). Las reservas intercambiadas con las plataformas de reserva conectadas también las conserva nuestro proveedor de conectividad de canales, una sociedad establecida en el Reino Unido, en infraestructura situada en la Unión Europea.

Cuando la prestación del Servicio implique transferir Datos Personales del Cliente fuera del EEE, solo lo hacemos con una garantía adecuada conforme al capítulo V del RGPD. Las transferencias, los destinatarios y las garantías vigentes se recogen en el Anexo III, y las cláusulas contractuales tipo del Anexo IV se aplican cuando son la garantía en la que nos basamos.

Antes de que comience una transferencia restringida, evaluamos si la legislación y las prácticas del país de destino impiden al destinatario cumplir sus obligaciones, y documentamos esa evaluación. Previa solicitud, te facilitamos un resumen de la evaluación y de las medidas complementarias aplicadas, en la medida en que podamos hacerlo sin revelar información confidencial o sensible desde el punto de vista de la seguridad. Si concluimos que una transferencia ya no puede protegerse adecuadamente, te lo comunicaremos y, si ninguna medida adicional resulta suficiente, la suspenderemos.

Cuando estés establecido fuera del EEE, tu propio acceso a los Datos Personales del Cliente desde tu país constituye en sí mismo una transferencia restringida. A ese flujo se aplica el Módulo Cuatro de las cláusulas contractuales tipo del Anexo IV.

15. Acceso de autoridades públicas y de las fuerzas y cuerpos de seguridad

Si recibimos una solicitud de una autoridad pública relativa a Datos Personales del Cliente:

• verificaremos que la solicitud es válida, que la autoridad es competente y que su alcance es proporcionado, y la impugnaremos o procuraremos acotarla cuando no lo sea;
• remitiremos a la autoridad a ti, como responsable del tratamiento, siempre que la ley lo permita;
• te lo notificaremos antes de comunicar los datos, salvo que esté legalmente prohibido — en cuyo caso haremos esfuerzos razonables para obtener una dispensa y te informaremos en cuanto se levante la prohibición —;
• comunicaremos únicamente los datos mínimos legalmente exigidos, nunca de forma masiva.

No comunicaremos Datos Personales del Cliente a una autoridad de un tercer país salvo que la solicitud se base en un acuerdo internacional en vigor, como un tratado de asistencia judicial mutua, o en otra base lícita conforme al artículo 48 del RGPD. El mismo principio se aplica a los datos no personales conforme al artículo 32 del Reglamento (UE) 2023/2854.

16. Responsabilidad

Las limitaciones y exclusiones de responsabilidad de la sección 12 de los Términos del servicio — incluido el límite reforzado para las reclamaciones de protección de datos y confidencialidad — se aplican a las reclamaciones entre las partes en virtud de este Acuerdo.

Nada de lo dispuesto en este Acuerdo ni en los Términos del servicio limita la responsabilidad de cualquiera de las partes frente a un interesado conforme al artículo 82 del RGPD, ni la potestad de una autoridad de control para imponer una multa administrativa. Una reclamación entre nosotros conforme al artículo 82.5 del RGPD por la parte de la indemnización abonada a un interesado queda sujeta al límite reforzado de la sección 12 de los Términos del servicio, salvo cuando la misma pérdida sea recuperable conforme a la sección 19 de los Términos del servicio.

17. Disposiciones generales

• Modificaciones. Podemos actualizar este Acuerdo para reflejar cambios en la legislación, en el Servicio o en nuestros subencargados, con un preaviso mínimo de 30 días cuando el cambio sea sustancial, o con toda la antelación que permitan las circunstancias cuando la ley exija el cambio antes. Cuando un cambio te afecte de forma sustancial y desfavorable y no lo aceptes, podrás resolver conforme a lo previsto en la sección 15 de los Términos del servicio. Las versiones anteriores se archivan en cortocasa.com/legal/archive/.
• Legislación aplicable y jurisdicción. Conforme a la sección 14 de los Términos del servicio: la legislación española y la jurisdicción exclusiva de los juzgados y tribunales de València. Las cláusulas contractuales tipo del Anexo IV se rigen por lo establecido en ellas y en el Anexo IV.3.
• Divisibilidad. Si alguna disposición resulta nula o inaplicable, se modificará en la medida mínima necesaria o se separará, y el resto seguirá en vigor.
• Notificaciones. A nosotros: privacy@cortocasa.com. A ti: la dirección de correo electrónico de tu cuenta.

Anexo I — Descripción del tratamiento

Este Anexo sigue la estructura del Anexo I de las cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914 de la Comisión).

I.A — Partes

Exportador de datos (Responsable del tratamiento): el Cliente, según se identifica en su espacio de trabajo de CortoCasa. Contacto: la dirección de correo electrónico de los administradores del espacio de trabajo. Actividades pertinentes para la transferencia: uso del Servicio para gestionar operaciones de alquiler de corta estancia. Función: Responsable del tratamiento.

Importador de datos (Encargado del tratamiento): Teleport Dynamix, S.L., NIF B21782743, Plaza Sant Felip Neri núm. 2, Pta. 5, 46021 València, España. Contacto: privacy@cortocasa.com. Actividades pertinentes para la transferencia: prestación del servicio CortoCasa de operaciones de alquiler de corta estancia. Función: Encargado del tratamiento.

I.B — Descripción de la transferencia

Categorías de interesados

• Huéspedes de las propiedades del Cliente, incluidos, en algunos casos, menores acompañantes
• Personal y colaboradores del Cliente (gestores, personal de limpieza, administradores)
• Contactos técnicos y proveedores de servicios registrados en relación con una propiedad (por ejemplo, contratistas de mantenimiento)

Categorías de datos personales

Datos sensibles. El Servicio no está destinado a categorías especiales de datos personales del artículo 9 del RGPD, y el Cliente está obligado contractualmente a no introducirlas sin acuerdo previo por escrito (sección 4.3).

Los datos de documentos de identidad no constituyen una categoría especial de datos personales del artículo 9 del RGPD. Las restricciones que se les aplican se establecen en la sección 4.3, y las medidas aplicables, en el Anexo II.

Frecuencia de la transferencia: continua, durante la vigencia de la suscripción del Cliente.

Naturaleza del tratamiento: recogida, registro, organización, estructuración, conservación, recuperación, consulta, utilización, comunicación por transmisión a subencargados y a las plataformas de reserva que conecta el Cliente, limitación (bloqueo), supresión y destrucción — por medios automatizados, con la finalidad de operar el Servicio.

Finalidad: prestación de software de operaciones de alquiler de corta estancia, que comprende reservas y calendario, conexiones con plataformas de reserva online, seguimiento de la entrega de llaves, gestión de tickets de limpieza y mantenimiento, conciliación de caja, comunicación con huéspedes y kits para huéspedes, informes y un asistente de IA.

Conservación: según la configuración del Cliente mientras el espacio de trabajo esté activo, sin perjuicio de la eliminación automática de las imágenes de documentos conforme a la sección 4.3 y de los datos del registro bloqueados conforme a la sección 4.4; a la terminación, un periodo de solo lectura de 90 días seguido de la eliminación, según se describe en la sección 12 de este Acuerdo y en la sección 6 de la Política de privacidad.

Transferencias a subencargados: objeto, naturaleza, duración y destinatarios según se establece en el Anexo III.

I.C — Autoridad de control competente

La Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, España, como autoridad del Estado miembro en el que está establecido el Encargado del tratamiento.

Cuando el Cliente esté establecido en otro Estado miembro, la autoridad de control principal de ese Cliente es competente respecto de su tratamiento como responsable.

Anexo II — Medidas técnicas y organizativas

Estas son las medidas que aplicamos conforme al artículo 32 del RGPD. Podemos actualizarlas conforme a la sección 7, siempre que no se reduzca sustancialmente el nivel de protección.

II.1 Cifrado

• Todo el tráfico entre tú y el Servicio se cifra en tránsito mediante HTTPS.
• En la aplicación se aplica HTTP Strict Transport Security (max-age=31536000; includeSubDomains).
• Los datos se cifran en reposo en la base de datos y en el almacenamiento de objetos.
• Los documentos de identidad se guardan en almacenamiento privado, no en una ruta de acceso público. Solo se muestran a usuarios que han iniciado sesión y tienen el rol adecuado, mediante enlaces que caducan en el plazo de una hora, y nunca se incluyen en mensajes ni en otros enlaces que puedan abrirse sin iniciar sesión.
• Las contraseñas se almacenan con hash, nunca en texto plano ni con cifrado reversible. Las contraseñas nuevas se cotejan con contraseñas filtradas conocidas mediante una consulta por rangos que nunca envía la contraseña ni su hash completo.

II.2 Control de acceso

• El espacio de trabajo de cada cliente está separado lógicamente del de los demás clientes, y esa separación se impone a nivel de base de datos.
• Dentro de cada espacio de trabajo opera un control de acceso basado en los roles que asigna el cliente.
• Los datos bloqueados del registro de viajeros solo son accesibles para los administradores del espacio de trabajo, solo con un motivo registrado, y cada acceso queda registrado.
• El acceso de nuestro propio personal se rige por el principio de mínimo privilegio, se limita a personas identificadas y se revoca con prontitud en caso de cambio de función o de salida.
• Todas las personas con acceso están sujetas a obligaciones de confidencialidad que subsisten tras el fin de su relación con nosotros.

II.3 Integridad y control de cambios

• Los eventos de la aplicación y de seguridad se registran y conservan durante el tiempo necesario para detectar e investigar incidentes de seguridad.
• La eliminación se propaga en cascada a los registros relacionados y retira del almacenamiento los archivos asociados.
• Las supresiones de datos de huéspedes, las aperturas de datos bloqueados y su destrucción automática se anotan en un registro que no contiene datos personales del huésped.
• Los cambios en producción pasan por control de versiones y revisión de código.
• En la aplicación se configuran las cabeceras de respuesta HTTP relevantes para la seguridad.
• La gestión de bots y la protección frente a abusos operan en el perímetro de la red antes de que el tráfico llegue a la aplicación.
• La aplicación está excluida de la indexación por los motores de búsqueda.

II.4 Disponibilidad y resiliencia

• Las copias de seguridad cifradas se realizan a diario y se conservan durante una ventana móvil de 7 días en la misma región.
• Las copias de seguridad se conservan dentro de la UE, en la misma región que los datos principales.
• El Servicio funciona sobre infraestructura gestionada con redundancia a nivel del proveedor.

II.5 Enlaces del kit para huéspedes

El huésped abre el kit para huéspedes desde un enlace, sin cuenta ni contraseña, para no tener que registrarse para recibir la información de llegada.

• La dirección del enlace incluye un identificador generado aleatoriamente que no se deriva de ningún dato de la reserva, del huésped ni de la propiedad.
• Las páginas del kit para huéspedes están excluidas de la indexación por los motores de búsqueda y no instalan almacenamiento de analítica ni publicitario.
• Tú decides qué contiene un kit para huéspedes y a quién, y por qué canal, se envía su enlace.

II.6 Tratamiento mediante IA

• No enviamos documentos de identidad a ningún proveedor de IA.
• Los datos de los clientes no se utilizan para entrenar modelos, y nuestro acuerdo con el proveedor de IA no lo permite.

II.7 Analítica de producto

• La analítica y la grabación de sesiones en la aplicación solo se ejecutan para los usuarios que las consienten.
• Las grabaciones de sesiones enmascaran toda la pantalla, de modo que no se captura ningún texto del espacio de trabajo; la analítica recibe plantillas de página y un identificador de usuario seudonimizado, no el contenido de los registros.

II.8 Gobernanza

• Llevamos un registro de las actividades de tratamiento conforme al artículo 30.2 del RGPD.
• Evaluamos cada transferencia restringida antes de que comience y mantenemos esa evaluación bajo revisión.
• Aplicamos un procedimiento de respuesta a incidentes que respalda el compromiso de notificación de la sección 11.
• Evaluamos a nuestros subencargados antes de contratarlos y mantenemos su contratación bajo revisión.
• Aplicamos procedimientos escritos para las exportaciones, la eliminación de espacios de trabajo y el traslado de instrucciones de supresión a los subencargados.
• Las consultas sobre protección de datos llegan a un punto de contacto designado en privacy@cortocasa.com.

Anexo III — Subencargados del tratamiento

Vigente a 28 de octubre de 2026. Este Anexo constituye la lista de referencia. Los cambios se notifican con al menos 30 días de antelación conforme a la sección 8.2.

Cadena de contratación. No todas las partes aquí indicadas están contratadas directamente por nosotros. Supabase se aprovisiona a través de Lovable Cloud, Cloudflare se sitúa delante de la aplicación como parte de ese acuerdo de alojamiento, y las peticiones a OpenAI se enrutan a través de la pasarela de IA de Lovable. Channex utiliza sus propios subencargados para el alojamiento, el envío de correo electrónico, la supervisión de errores y la seguridad de la red, enumerados en su acuerdo de tratamiento de datos, que te facilitamos previa solicitud. Cuando una parte es contratada por otra y no por nosotros, las obligaciones le llegan a través del contrato de esa otra parte, como exige la sección 8.3. En cualquier caso, seguimos siendo responsables ante ti de todas las partes de la cadena.

No es subencargado. Paddle.com actúa como Merchant of Record y es responsable independiente del tratamiento de los datos de pago que recoge. No es nuestro subencargado del tratamiento y no trata Datos Personales del Cliente por nuestra cuenta. Véase la sección 4.1 de la Política de privacidad.

No son subencargados: plataformas de reserva. Booking.com, Airbnb y las demás plataformas que conectes son contrapartes tuyas, no nuestras. Tú nos das instrucciones para intercambiar datos con ellas; lo que hagan con esos datos se rige por tu acuerdo con cada una.

Fuera de este Anexo. Hostinger aloja nuestro sitio web de marketing; Resend envía notificaciones de facturación a tus administradores; Google Analytics, Microsoft Clarity y Google Ads miden el uso de nuestro sitio web y de nuestra aplicación con el consentimiento del usuario. Los datos implicados son datos propios de los que somos responsables del tratamiento, no Datos Personales del Cliente, por lo que quedan fuera de este Acuerdo conforme a la sección 3. Estos proveedores figuran en la sección 4 de la Política de privacidad.

No contratados. No utilizamos la API de WhatsApp Business y no transmitimos datos de huéspedes a Meta. Los enlaces y mensajes del kit para huéspedes se comparten abriendo WhatsApp en el propio dispositivo del remitente.

Anexo IV — Cláusulas contractuales tipo

IV.1 Incorporación

Cuando una transferencia de Datos Personales del Cliente sea una transferencia restringida conforme al capítulo V del RGPD y no sea aplicable ninguna decisión de adecuación, las cláusulas contractuales tipo adoptadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, se incorporan por remisión a este Acuerdo y forman parte integrante de él.

IV.2 Módulo aplicable

IV.3 Opciones seleccionadas y especificaciones

Para cada módulo incorporado:

IV.4 Evaluaciones de impacto de transferencia

Para cada transferencia restringida, realizamos y documentamos una evaluación de si la legislación y las prácticas del país de destino impiden al importador cumplir sus obligaciones, y de las medidas complementarias que resulten necesarias, como exige la cláusula 14 de las cláusulas contractuales tipo. La evaluación se mantiene bajo revisión, se revisa cada vez que tenemos conocimiento de un cambio pertinente en la legislación o en las prácticas, y se pone a disposición de la autoridad de control competente previa solicitud. Lo que te facilitamos a ti se establece en la sección 14.

IV.5 Otras jurisdicciones

El Reino Unido y Suiza quedan fuera del ámbito de esta versión como jurisdicciones de los clientes. Si empezamos a ofrecer el Servicio a clientes establecidos en ellas, este Anexo se ampliará con la Adenda de Transferencia Internacional de Datos del Reino Unido (UK International Data Transfer Addendum) y con las adaptaciones suizas, respectivamente, previo aviso conforme a la sección 17.