ALocal ALocalGestión de Alojamento LocalAcuerdo de tratamiento

Acuerdo de tratamiento de datos de huéspedes

Última actualización: 2026-09-15

Este acuerdo regula el tratamiento que ALocal realiza, por cuenta del anfitrión, de los datos de huéspedes recogidos a través de la plataforma, conforme al artículo 28, apartado 3, del RGPD. Se aplica a cada cuenta de gestión que usa la recogida de huéspedes y los archivos SIBA, y complementa los Términos de Uso.

Este acuerdo está redactado en portugués y se ofrece también en inglés y español. En caso de discrepancia entre versiones, prevalece la versión portuguesa.

La identidad legal completa del prestador (nombre, NIF y domicilio) aún está pendiente de publicar en las páginas legales. Hasta entonces, estas páginas se refieren al servicio como la plataforma Gestão de Alojamento Local.

Partes

Responsable del tratamiento: el anfitrión titular de la cuenta de gestión, que explota el alojamiento y está obligado a comunicar la estancia de ciudadanos extranjeros (artículos 15 y 16 de la Ley portuguesa n.º 23/2007).
Encargado del tratamiento: el prestador de la plataforma Gestão de Alojamento Local (ALocal), cuya identidad legal completa aún está pendiente de publicar.

Objeto y duración

Objeto: recoger, guardar y organizar los datos de identificación de los huéspedes, generar los archivos del boletín de alojamiento y conservar la prueba de cumplimiento del anfitrión.
Duración: mientras exista la cuenta de gestión, hasta que los datos se borren según lo previsto en «Fin del tratamiento».

Naturaleza y finalidad

Recogida mediante un enlace privado que el anfitrión envía al huésped, con validación de los campos.
Conservación cifrada de los campos de identificación y consulta por los usuarios de la cuenta.
Generación del archivo .DAT para SIBA, solo con huéspedes de nacionalidad extranjera, y de un registro interno en CSV con todos los huéspedes de la estancia.
Supresión al final del plazo de conservación.
Finalidad única: permitir al anfitrión comunicar los huéspedes y demostrar que lo ha hecho. ALocal no presenta el boletín en SIBA, no transmite datos a autoridades, no usa los datos para marketing y no los vende.

Categorías de datos

De cada huésped: nombre, apellidos, fecha de nacimiento, género, nacionalidad, país de residencia, y tipo, número y país emisor del documento de identidad.
De la estancia: fechas de entrada y salida y el alojamiento.
El formulario no recoge imágenes ni copias de documentos.

Categorías de interesados

Huéspedes del alojamiento: el huésped principal y hasta cuatro acompañantes por formulario.

Obligaciones del anfitrión

Tratar los datos con base legal y dentro de las finalidades de este acuerdo.
Informar a los huéspedes; el formulario muestra un aviso y la Política de Privacidad tiene una sección sobre datos de huéspedes.
Enviar el enlace solo a los huéspedes de la estancia y dar acceso a la cuenta solo a quien lo necesite.
Presentar el boletín en el portal SIBA dentro de los plazos legales y conservar lo que la ley exige conservar.
Responder a las solicitudes de los huéspedes sobre sus datos.

Obligaciones de ALocal

Instrucciones: tratar los datos solo siguiendo las instrucciones documentadas del anfitrión, que son este acuerdo y el uso que hace de la plataforma, y avisarle si considera que una instrucción infringe la normativa de protección de datos.
Confidencialidad: garantizar que quien accede a los datos se ha comprometido a respetar la confidencialidad o está sujeto a una obligación legal de confidencialidad.
Seguridad: aplicar las medidas descritas en «Medidas de seguridad».
Encargados: el anfitrión autoriza de forma general a los encargados indicados más abajo. ALocal anuncia en esta página cualquier incorporación o sustitución antes de que surta efecto, y el anfitrión puede oponerse. Cada encargado queda sujeto a obligaciones de protección de datos equivalentes.
Solicitudes de los interesados: reenviar al anfitrión, sin dilación indebida, las solicitudes que reciba y ayudarle a responderlas; la exportación de los datos de la cuenta está en Cuenta › Sus datos (RGPD).
Asistencia: ayudar al anfitrión a cumplir los artículos 32 a 36 del RGPD, teniendo en cuenta la información de que dispone ALocal.
Violaciones de datos: notificar al anfitrión sin dilación indebida tras tener conocimiento de una violación de datos personales, con la información disponible para que cumpla sus propios deberes de notificación.
Demostración y auditorías: poner a disposición la información necesaria para demostrar el cumplimiento de este acuerdo y permitir auditorías, incluidas inspecciones, por el anfitrión o por un auditor que designe, con un preaviso razonable.

Medidas de seguridad

Campos de identificación cifrados en la base de datos con AES-256-GCM, con claves por campo derivadas con HKDF-SHA256 a partir de una clave maestra definida en la configuración del servidor.
Archivos SIBA y copias de seguridad grabados en el almacenamiento de objetos con cifrado del lado del servidor.
Acceso por cuenta y por rol: solo los miembros de la cuenta de gestión acceden a los datos; exportar todos los datos exige el rol de propietario o administrador.
Registro de auditoría de las consultas de identidad, exportaciones, descargas y supresiones.
Enlaces de recogida de un solo uso y con plazo, guardados solo como huella criptográfica.
Copias de seguridad diarias de la base de datos.
Supresión automática diaria al final del plazo de conservación.

Fin del tratamiento

Mientras exista la cuenta, los datos de identificación y los archivos .DAT y CSV se borran cuando han pasado 365 días desde la fecha de salida, el plazo fijado por defecto. Queda el registro de la exportación, sin datos de identificación.
Al terminar el servicio, y a elección del anfitrión, ALocal borra los datos de huéspedes o se los devuelve antes mediante la exportación de la cuenta, salvo que la ley exija conservarlos.
Las copias de seguridad se borran del servidor a los 14 días; en ellas, los campos de identificación siguen cifrados.
Para solicitar la eliminación de la cuenta, use la página de eliminación de datos.

Encargados autorizados

Los proveedores que intervienen en el servicio y lo que recibe cada uno.

Proveedor	Servicio	Datos que recibe	Ubicación
OVHcloud	Servidor de la aplicación y de la base de datos; almacenamiento de objetos para archivos SIBA y copias de seguridad.	Todos los datos de huéspedes guardados por la plataforma (en la base de datos, los campos de identificación van cifrados).	Almacenamiento de objetos y copias de seguridad en la región GRA (Gravelines, Francia). Ubicación del servidor pendiente de confirmar.
Brevo	Envío de los emails de la plataforma a los usuarios de la cuenta.	Dirección y contenido de los emails de acceso y de recordatorio; no incluye datos de identificación de huéspedes.	Pendiente de confirmar.
ImprovMX	Reenvío de los mensajes enviados a la dirección de soporte.	Solo lo que alguien escriba a esa dirección; no recibe los datos del formulario.	Empresa de Estados Unidos. Declara recibir el correo en Francia (AWS, París), borrarlo una vez entregado y poder entregarlo desde infraestructura en Estados Unidos, con cláusulas contractuales tipo.

Stripe procesa los pagos de la suscripción y no recibe datos de huéspedes, por lo que no figura en esta lista.

La información para los huéspedes está en la sección «Datos de huéspedes» de la Política de Privacidad.

Para cuestiones sobre este acuerdo, escriba a la dirección de soporte. Asunto sugerido: Acordo de tratamento. support@alocal.pt