Última actualización · 2026-05-04 · Pre-lanzamiento alpha (Rev. 1.0)

Aviso de privacidad.

Conforme es infraestructura regulatoria para operadores de vivienda de uso turístico (VUT) y alquiler de corta estancia en la Unión Europea. Para prestar el servicio tratamos datos de cuenta del operador, datos de los inmuebles, datos identificativos del huésped y — en el plan Pro — datos públicos de los anuncios y datos financieros aportados por el operador. Este aviso explica exactamente qué tratamos, por qué, dónde, con quién y durante cuánto tiempo.

1. Quiénes somos

Conforme es un producto de [Entity name], con domicilio social en Portugal. El contacto para consultas generales es [email protected].

Las consultas sobre privacidad, las solicitudes de derechos RGPD y toda correspondencia en materia de protección de datos deben dirigirse a [email protected]. No estamos obligados a designar un Delegado de Protección de Datos conforme al artículo 37 del RGPD, pero mantenemos un buzón específico para que las solicitudes no se pierdan en una bandeja general.

A efectos del RGPD, Conforme actúa como responsable del tratamiento respecto a los datos de cuenta del operador y los datos de marketing, y como encargado del tratamiento en nombre del operador respecto a los datos de huéspedes que transmitimos a las autoridades en cumplimiento de la obligación legal del operador. Disponemos de un Acuerdo de Encargado del Tratamiento a petición — véase la sección 12 de las condiciones de servicio.

2. Qué datos recogemos

Los datos están agrupados por el flujo que los genera, no por una taxonomía abstracta. Si solo utiliza la auditoría gratuita, únicamente conservamos la primera fila.

2.1 Formulario de auditoría gratuita

Qué

URL del anuncio, su correo electrónico, su preferencia de idioma (en / es / pt).

Cómo se almacena

Se persiste en la tabla marketing_audit_requests de nuestra base de datos primaria.

Para qué se usa

Generamos un PDF de auditoría puntual y se lo enviamos por correo. Si marca la casilla «manténganme informado», podremos enviarle como máximo dos correos posteriores con novedades del producto — puede darse de baja en cualquier momento mediante el enlace de cualquier email y respetaremos esa baja de forma permanente.

2.2 Registro y cuenta

Qué

Razón social u nombre comercial, correo del titular, plan contratado (Basic o Pro), número estimado de inmuebles, país de operación, e identificadores de cliente y suscripción de Stripe creados al iniciar la prueba.

Qué no almacenamos

Nunca vemos su número de tarjeta, fecha de caducidad ni CVV. Stripe los conserva y nos devuelve únicamente un identificador opaco de cliente.

2.3 Datos de cumplimiento (Basic y Pro)

Inmuebles

Dirección, tipo (apartamento, vivienda, hostal, etc.), capacidad legal, número(s) de registro y su estado (RNAL en Portugal; VUT / NRUA en España; CIN en Italia; Declaloc en Francia — según corresponda).

Identificación del operador para envíos a las autoridades

Nombre del titular o responsable y documento de identidad, cuando la autoridad local lo exija para los envíos (SIBA en Portugal; SES — el sucesor del antiguo «Registro de Viajeros» / Hospederías — en España).

Datos del huésped previos a la llegada

Cuando haya configurado el envío automático a la autoridad correspondiente, recogemos los datos que cada autoridad exige — nombre completo, tipo y número de documento, escaneo del documento, fecha de nacimiento, nacionalidad, dirección, fechas de estancia y, en España, medio y fecha de pago. Estos datos están cifrados en reposo con una clave por inquilino, se descifran únicamente durante el envío y se conservan según la regla de la sección 5.

Eventos de check-in

Confirmación de reserva, confirmación de entrada, estado del envío a la autoridad y resultado de las verificaciones de paridad.

2.4 Datos de Operator Intel (solo plan Pro)

Capturas de anuncios en OTA

Para los anuncios cuya supervisión nos haya autorizado, obtenemos periódicamente la página pública del anuncio (Airbnb, Booking, Vrbo) a través de nuestro proveedor de scraping y almacenamos: título, descripción, precio, disponibilidad de calendario, número de registro visible en el anuncio y referencias (URL) a las fotos del anuncio. No almacenamos ni tratamos datos de huéspedes obtenidos del anuncio — solo el contenido público del operador.

Datos de benchmark de mercado

Datos públicos anonimizados de conjunto comparable, obtenidos de Inside Airbnb (snapshots trimestrales gratuitos), de nuestros proveedores de scraping y de nuestro propio rastreo. Los datos del comparable se agregan a nivel de ciudad o subdistrito y no son PII de cliente; no republicamos los precios de otros operadores de forma identificable.

Apuntes de pérdidas y ganancias

Ingresos por inmueble (procedentes de la integración con su channel manager si lo tiene conectado) y categorías de gasto que registre manualmente en el panel.

Páginas de información para huéspedes

El contenido que usted redacte para las páginas de llegada al huésped que alojamos en su nombre (manuales de la vivienda, instrucciones de check-in, claves de Wi-Fi, notas multilingües).

2.5 Correo electrónico y comunicaciones

El correo transaccional y de producto se envía a través de Resend. Conservamos el estado de entrega (entregado, rebotado, marcado como spam, dado de baja) para no enviar a direcciones que han pedido no recibirlo. Los correos de marketing solo se envían con consentimiento expreso e incluyen la cabecera de baja en un clic conforme al RFC 8058.

2.6 Telemetría

Registros estándar del servidor (ruta de la petición, código de respuesta, duración), direcciones IP (conservadas solo de forma transitoria para limitación de tasa y prevención de fraude) e informes de error en Sentry. Sentry está configurado con depuración de datos activada para patrones de PII conocidos — correos electrónicos, números de identificación, IBANs, bearer tokens — y operamos Conforme en la región europea de Sentry. No utilizamos analítica de terceros: ni Google Analytics, ni Meta Pixel, ni LinkedIn Insight, en ningún caso.

3. Encargados externos

La lista siguiente es exhaustiva en la fecha de esta revisión. Cualquier alta dispara una actualización de este aviso y, cuando el cambio sea sustancial, un correo a los clientes activos con 30 días de antelación.

Actualmente desactivado: Backblaze B2 (EE. UU.) para copias de seguridad cifradas externas. La integración está cableada pero las subidas están pausadas hasta que se aumente nuestro límite de almacenamiento; actualizaremos este aviso antes de reactivarla. Hasta entonces, las copias de seguridad solo viven en Hetzner (snapshots diarios de VM en Falkenstein más volcados de Postgres horarios locales).

Eliminado desde la revisión anterior: Postmark. La cuenta de Postmark se creó durante el andamiaje inicial pero nunca se verificó para envíos en producción; el correo transaccional lo gestiona ahora exclusivamente Resend.

3.1 Autoridades destinatarias de los envíos de cumplimiento

No son «encargados» en el sentido del RGPD — son organismos públicos que actúan como responsables independientes sobre los datos que les transmitimos en nombre del operador. Los enumeramos como destinatarios:

• España — Ministerio del Interior a través de la plataforma SES (sucesora del antiguo «Registro de Viajeros» / Hospederías) para las declaraciones de huéspedes; el registro turístico de la comunidad autónoma correspondiente (RTC en Cataluña, REAT en Andalucía, etc.) para la inscripción VUT; AEAT (Agencia Estatal de Administración Tributaria) cuando la transmisión sea exigida por motivos fiscales.
• Portugal — SEF / AIMA (Serviço de Estrangeiros e Fronteiras / Agência para a Integração, Migrações e Asilo) para la declaración SIBA de huéspedes; Turismo de Portugal para los eventos del ciclo de vida del registro RNAL.

4. Base jurídica

Ejecución de un contrato (art. 6.1.b)

Datos de cuenta del operador, datos de facturación, datos de los inmuebles, el envío a las autoridades que usted nos haya indicado y la traza de auditoría.

Cumplimiento de una obligación legal (art. 6.1.c)

El contenido propiamente dicho de las declaraciones de huéspedes que transmitimos en su nombre — la obligación legal del operador en virtud del RD 933/2021 español y del DL 9/2007 portugués es la base del tratamiento.

Interés legítimo (art. 6.1.f)

Telemetría, monitorización de errores, prevención de fraude y abuso, y el scraping de las páginas públicas de los anuncios que usted nos haya autorizado a supervisar en su nombre. Este interés se ha ponderado frente a los derechos de los interesados; en cada caso, los datos son no personales (comparables agregados) o están seudonimizados en tránsito (Sentry / logs).

Consentimiento (art. 6.1.a)

Seguimiento de marketing tras una auditoría gratuita (la casilla «manténganme informado») y cualquier función opcional de inteligencia que active dentro de la app. El consentimiento puede retirarse en cualquier momento sin afectar a la licitud del tratamiento previo.

5. Plazos de conservación

Solicitudes de auditoría gratuita

90 días desde el envío. El PDF se genera, se envía y la fila se elimina en una tarea programada posterior. Si optó por recibir seguimiento por correo, la dirección se traslada a una lista de marketing aparte con su propio registro de consentimiento.

Datos de cuenta del operador

Vigencia del contrato, más 7 años posteriores por obligaciones fiscales y de conservación documental (el más largo de los mínimos español y portugués).

Envíos de cumplimiento y traza de auditoría

7 años — el mínimo legal exigido por las autoridades fiscales y turísticas española y portuguesa. La cadena criptográfica de auditoría no contiene PII; los registros subyacentes sí, hasta que vence el plazo.

Datos del huésped previos a la llegada (escaneos de documento, etc.)

Los escaneos cifrados se eliminan del almacenamiento de objetos en cuanto la autoridad confirma la recepción del envío correspondiente. Los campos estructurados que la traza de auditoría requiere (nombre, número de documento) se conservan los 7 años indicados arriba.

Logs del servidor y eventos de Sentry

30 días. Pasado ese plazo, las líneas de log y los informes de error subyacentes se purgan.

Copias de seguridad

Snapshots de VM en Hetzner: 30 días, rotativo. Volcados horarios de Postgres locales: 7 días, rotativo. Copias externas en Backblaze B2: aplazado — véase la sección 3.

6. Transferencias internacionales

La infraestructura primaria de Conforme está en la Unión Europea (Hetzner Falkenstein, región europea de Sentry, subencargado AWS SES eu-west-1 de Resend, Migadu en Suiza — país que cuenta con decisión de adecuación de la UE). Las siguientes transferencias salen del EEE:

• Stripe — parte del tratamiento se realiza en infraestructura de Stripe en EE. UU. Cubierto por las Cláusulas Contractuales Tipo de Stripe y por el Marco de Privacidad de Datos UE–EE. UU.
• Resend (plano de control) — Resend está constituida en EE. UU.; el subencargado de entrega de correo (AWS SES) que tenemos configurado está en eu-west-1. Cubierto por las CCT de Resend.
• Cloudflare — la empresa es estadounidense; los nodos edge que sirven tráfico europeo están en la UE. Cubierto por las CCT de Cloudflare y por el Marco de Privacidad de Datos UE–EE. UU.
• Inside Airbnb — ingerimos el conjunto de datos público que publican; no se les envían datos personales de usuarios de Conforme.

Para cada transferencia a EE. UU. citada nos basamos en las Cláusulas Contractuales Tipo (Módulo Dos) de la Comisión Europea y, cuando el destinatario está certificado, en la decisión de adecuación del Marco de Privacidad de Datos UE–EE. UU. de 10 de julio de 2023.

7. Sus derechos

Tiene derecho a acceder, rectificar, suprimir, limitar y oponerse al tratamiento de sus datos personales, así como a la portabilidad de los mismos. Concretamente:

• Acceso (art. 15) — exportación completa desde el panel, más un resumen estructurado por correo a petición.
• Rectificación (art. 16) — edición en la app para todo; escriba a [email protected] para lo que no pueda alcanzar desde la interfaz.
• Supresión / derecho al olvido (art. 17) — un clic mediante el flujo /billing → Cancelar y eliminar en el panel, o por correo a [email protected]. Eliminamos las columnas cifradas de PII y los blobs de almacenamiento de objetos subyacentes en línea; la solicitud devuelve un error si la eliminación no puede confirmarse, en lugar de aparentar éxito.
• Limitación (art. 18) y oposición (art. 21) — escriba a [email protected].
• Portabilidad (art. 20) — exportación estructurada en JSON o CSV de todo lo que tengamos sobre usted que provenga de usted. Solicitable en el panel o por correo.
• Retirar el consentimiento — un clic mediante el enlace de baja de cualquier correo de marketing, o por correo electrónico.

Respondemos a todas las solicitudes en un plazo de 30 días. Si una solicitud es especialmente compleja, podemos prorrogar este plazo hasta dos meses adicionales y se lo comunicaremos, motivado, dentro de los primeros 30 días.

8. Reclamaciones

Si considera que nuestro tratamiento de sus datos personales infringe el RGPD, puede presentar una reclamación ante la autoridad de control del Estado miembro de su residencia habitual, de su lugar de trabajo o del lugar de la presunta infracción.

• España — Agencia Española de Protección de Datos (AEPD): aepd.es.
• Portugal — Comissão Nacional de Protecção de Dados (CNPD): cnpd.pt.
• Otros Estados miembros de la UE — el Comité Europeo de Protección de Datos mantiene un directorio en edpb.europa.eu.

Nos gustaría poder atender sus inquietudes directamente primero — [email protected].

9. Cookies y rastreo

El sitio de marketing no utiliza cookies de analítica ni rastreadores de terceros. El panel establece una única cookie de sesión same-site con su token de autenticación y una cookie con el token CSRF. Ambas son esenciales para el funcionamiento del servicio y están exentas del consentimiento exigido por la Directiva ePrivacy en virtud de la excepción del artículo 5.3 sobre cookies «estrictamente necesarias».

No usamos Google Analytics, Meta Pixel, LinkedIn Insight ni ningún equivalente. Si en el futuro añadimos analítica ligera del lado servidor o sin cookies (modelo Plausible), actualizaremos antes este aviso y los datos permanecerán en la UE.

10. Cambios en este aviso

Publicamos los cambios aquí, con la fecha de «última actualización» al inicio. Para cambios sustanciales — nuevo subencargado en una nueva jurisdicción, cambios de plazos de conservación, cambio de base jurídica — informamos a todos los clientes activos por correo electrónico con al menos 30 días de antelación.

Consultas sobre cualquier punto de esta página: [email protected].