ALocal Gestión de Alojamento LocalPrivacidad
EntrarCrear cuenta

Política de Privacidad

Tratamos datos necesarios para la autenticación, la plataforma y las obligaciones legales. La medición opcional tiene una elección separada, descrita a continuación.

Responsable del tratamiento

Gestão de Alojamento Local es la responsable del tratamiento de los datos de cuenta, operativos y de seguridad de la plataforma. En los datos de huéspedes, el responsable es el anfitrión y ALocal actúa como encargado del tratamiento: vea la sección «Datos de huéspedes».

Qué datos tratamos

  • Cuenta: email, nombre e identificadores de autenticación.
  • Datos operativos introducidos por usuarios autorizados.
  • Datos de identificación de huéspedes, tratados por cuenta del anfitrión: vea la sección «Datos de huéspedes».
  • Registros técnicos y trazas de auditoría de seguridad.

Finalidades y base legal

  • Ejecución del contrato de prestación del servicio.
  • Interés legítimo en la seguridad y en la prevención de abusos.
  • Obligaciones legales derivadas de la normativa aplicable.

Conservación y comunicación de datos

  • Los datos de cuenta se conservan mientras la cuenta permanezca activa.
  • Los datos operativos se conservan solo durante el periodo necesario para el servicio y las obligaciones legales.
  • Nunca vendemos datos personales. Los proveedores técnicos y la medición opcional de Google se describen por separado en esta política.

Derechos RGPD

  • Acceso, rectificación y supresión.
  • Portabilidad: descargue los datos de su cuenta de gestión en Cuenta › Sus datos (RGPD).
  • Oposición en los supuestos previstos por la normativa.

Cookies y Google Analytics opcional

Google Analytics solo se carga después de aceptar la medición opcional y únicamente en páginas públicas autorizadas.

  • Finalidad y elección: conocer el uso de las páginas públicas, con su consentimiento. La autorización anterior para métricas propias no autoriza a Google. Rechazar no limita el servicio. Puede retirar la elección mediante Cambiar privacidad, en el pie de página.
  • Cuando está activado y aceptado, Google recibe la dirección IP necesaria para la conexión, datos técnicos del navegador/dispositivo e identificadores de cookies, además de una ruta pública normalizada y un título fijo. No es medición anónima. No enviamos URL completas, búsquedas, fragmentos, páginas de origen, texto libre, formularios, valores financieros ni identificadores de cuenta, inmueble o informe.
  • Las áreas autenticadas, privadas, de análisis e informes quedan excluidas. No conectamos eventos operativos internos a Google. No activamos publicidad, Google signals, personalización, recogida de datos proporcionados por usuarios ni medición mejorada.
  • La cookie de elección dura hasta 180 días. El recordatorio local permanece hasta borrar el almacenamiento del navegador. Las cookies _ga y _ga_* tienen una duración configurada de 90 días sin renovación automática. Retirar la elección detiene el contexto de medición y borra estas cookies en este dominio. Do Not Track y Global Privacy Control impiden la carga.
  • Google recibe los datos cuando la medición está activada y aceptada; puede haber tratamientos fuera del Espacio Económico Europeo. La identidad contractual del proveedor, los lugares de tratamiento, las garantías de transferencia y la retención de la propiedad Google deben confirmarse y publicarse antes de la activación. Este cambio no acredita esa revisión ni sustituye los contactos y derechos descritos en esta política.

Datos de huéspedes

Esta sección describe el tratamiento de los datos de identificación que los huéspedes rellenan en el formulario que les envía su anfitrión.

Quién es responsable

  • El responsable del tratamiento es el anfitrión, es decir, quien explota el alojamiento. La ley obliga al anfitrión a comunicar la estancia de ciudadanos extranjeros (artículos 15 y 16 de la Ley portuguesa n.º 23/2007), y esa obligación legal es la base del tratamiento (artículo 6, apartado 1, letra c), del RGPD).
  • ALocal trata estos datos por cuenta del anfitrión, como encargado del tratamiento (artículo 28 del RGPD), conforme al acuerdo de tratamiento publicado.
  • La identidad legal completa del prestador (nombre, NIF y domicilio) aún está pendiente de publicar en las páginas legales. Hasta entonces, estas páginas se refieren al servicio como la plataforma Gestão de Alojamento Local.

Qué datos y para qué

  • De cada huésped: nombre, apellidos, fecha de nacimiento, género, nacionalidad, país de residencia, tipo de documento (pasaporte, documento nacional de identidad o permiso de residencia), número del documento y país emisor. De la estancia: fechas de entrada y salida.
  • El formulario no pide fotografías ni copias de documentos.
  • Finalidad: preparar el boletín de alojamiento que el anfitrión presenta en SIBA y conservar la prueba de cumplimiento del anfitrión. No usamos estos datos para ningún otro fin, no los usamos para marketing y no los vendemos.
  • Quien presenta el boletín en el portal SIBA es el anfitrión. ALocal genera el archivo .DAT, que solo incluye huéspedes de nacionalidad extranjera, y no transmite datos a ninguna autoridad.

Dónde se guardan y cómo se protegen

  • Los campos de identificación se guardan en la base de datos PostgreSQL de la plataforma, cifrados campo a campo con AES-256-GCM y una clave derivada para cada campo. Las fechas de la estancia no se cifran.
  • Los archivos generados para SIBA (el .DAT y el registro interno en CSV) contienen esos datos en texto legible, porque ese es el formato del archivo. Se guardan en el almacenamiento de objetos de OVHcloud, que los graba con cifrado del lado del servidor solicitado por la plataforma.
  • El enlace del formulario pertenece a una estancia: caduca a los 7 días por defecto (30 como máximo), se cierra tras el primer envío y solo se guarda su huella criptográfica.
  • Solo los usuarios de la cuenta de gestión del anfitrión ven los datos. Exportar todos los datos de la cuenta exige el rol de propietario o administrador. Las consultas de identidad y las descargas de archivos SIBA quedan registradas. Las herramientas internas de soporte muestran recuentos de estancias, no datos de huéspedes.
  • Los registros técnicos del servidor guardan la dirección solicitada, que incluye el código del enlace, pero no el contenido del formulario.

Cuánto tiempo se conservan

  • Una tarea diaria borra los datos de identificación y los archivos .DAT y CSV cuando han pasado 365 días desde la fecha de salida de la estancia. Es el plazo fijado por defecto en cada cuenta.
  • Queda el registro de la exportación, sin datos de identificación: número y huella del archivo, fecha, estado y el resumen en PDF, que solo contiene recuentos. Las fechas de la estancia también se conservan.
  • Las copias de seguridad diarias de la base de datos contienen los campos de identificación tal como están en la base de datos, es decir, cifrados. Se borran del servidor a los 14 días y se suben también al almacenamiento de objetos de OVHcloud con cifrado del lado del servidor.
  • La Ley n.º 23/2007 exige conservar los boletines durante un año a contar del día siguiente a la comunicación de la salida (artículo 15, apartado 5). Esa conservación corresponde al anfitrión.

Destinatarios y encargados

  • OVHcloud: el servidor donde funcionan la aplicación y la base de datos, y el almacenamiento de objetos para los archivos SIBA y las copias de seguridad.
  • Brevo: envía los emails de la plataforma a los usuarios de la cuenta, como enlaces de acceso y recordatorios. Estos emails no contienen datos de identificación de huéspedes.
  • ImprovMX: reenvía los mensajes escritos a la dirección de soporte. Es una empresa de Estados Unidos; declara recibir el correo en Francia y poder entregarlo desde infraestructura en Estados Unidos, con cláusulas contractuales tipo. No envíe datos de documentos por email.
  • Stripe: procesa los pagos de la suscripción del anfitrión y recibe el email y el nombre de la cuenta de gestión. No recibe datos de huéspedes.
  • La medición opcional de Google no se ejecuta en el formulario del huésped.

Derechos de los huéspedes

  • Los derechos de acceso, rectificación y supresión, y los demás derechos del RGPD, se ejercen ante el anfitrión, que es el responsable del tratamiento.
  • También puede escribir a la dirección de soporte indicada en esta página: reenviamos la solicitud al anfitrión y le ayudamos a responderla (artículo 28, apartado 3, letra e), del RGPD).
  • La supresión puede denegarse en la medida en que el tratamiento sea necesario para cumplir la obligación legal de comunicar la estancia (artículo 17, apartado 3, letra b), del RGPD).

Las obligaciones de ALocal como encargado del tratamiento figuran en el acuerdo de tratamiento de datos de huéspedes.

Reclamación ante la CNPD

Si considera que sus datos no se tratan conforme a la ley, tiene derecho a presentar una reclamación ante la Comissão Nacional de Proteção de Dados (CNPD), la autoridad de control en Portugal (artículo 77 del RGPD y artículo 3 de la Ley portuguesa n.º 58/2019).

Presentar una reclamación en el sitio de la CNPD

Para solicitudes de privacidad, ejercicio de derechos RGPD o cualquier duda sobre sus datos, escríbanos al contacto que figura en el pie de página.

Para ejercer sus derechos RGPD, o para preguntar cualquier cosa sobre sus datos, escriba a support@alocal.pt