Política de privacidad

En Hotelinking, S.L. (“Hotelinking”, “nosotros”, “nos” o “nuestro”), respetamos su privacidad y nos comprometemos a proteger los datos personales que nos confía. La presente Política de privacidad explica cómo recopilamos, utilizamos, almacenamos, divulgamos y protegemos los datos personales en el contexto de nuestras operaciones y nuestro conjunto de soluciones de software como servicio (SaaS):

• GuestMaker – Portal cautivo con funcionalidades de marketing en la nube para grupos hoteleros.
• WiFiBot – Sistema proactivo de monitorización y protección de redes WiFi para hoteles.
• Deskforce – Plataforma de automatización del área de recepción para grupos hoteleros.

Esta Política de privacidad se aplica al tratamiento de datos personales relativos a las siguientes categorías de personas:

• Clientes y usuarios autorizados de nuestras soluciones SaaS (“Clientes”).
• Huéspedes de hoteles cuyos datos personales se recopilan a través del uso de GuestMaker o Deskforce por parte de los Clientes.
• Visitantes del sitio web, solicitantes de empleo, clientes potenciales de marketing y participantes en eventos.
• Usuarios finales de las redes de hoteles de clientes supervisadas por WiFiBot (solo metadatos técnicos).
• Cualquier otra persona cuyos datos personales se traten en el marco de la prestación de nuestros servicios.

La presente Política tiene por objeto cumplir con el Reglamento General de Protección de Datos (RGPD) (UE) 2016/679 de la Unión Europea y otras leyes nacionales aplicables en España y en el Espacio Económico Europeo (EEE).

Hotelinking actúa como:

• Encargado del tratamiento de datos cuando trata datos personales en nombre de nuestros clientes (por ejemplo, datos de huéspedes de hotel capturados a través de GuestMaker o Deskforce).
• Responsable del tratamiento de datos cuando procesamos datos personales para nuestros propios fines (por ejemplo, análisis de sitios web, captación de clientes potenciales, gestión de cuentas, solicitudes de empleo).

Para cualquier cuestión relacionada con la protección de datos, puede ponerse en contacto con nosotros en:

Hotelinking, S.L.
Parc Bit – Edificio Disset, 3.ª planta, D9
Palma de Mallorca, Illes Balears, España
CIF: ESB57843185
Correo electrónico: admin@hotelinking.com
Para solicitudes relacionadas con la privacidad: dataprotection@hotelinking.com

Los datos personales que recopilamos dependen de la naturaleza de su relación con Hotelinking y de los Servicios específicos utilizados. Clasificamos los datos de la siguiente manera:

a) Huéspedes del hotel (a través de GuestMaker y Deskforce)

Recopilados directamente a través de las interacciones de los huéspedes con los portales cautivos WiFi, los flujos de registro digital o mediante integraciones con el sistema de gestión hotelera (PMS) del hotel.

Categorías de datos:

• Identificadores: nombre completo, dirección de correo electrónico verificada, nacionalidad, idioma.
• Información del dispositivo: dirección IP, dirección MAC, tipo de dispositivo, sistema operativo, tipo de navegador.
• Metadatos de la reserva: fechas de entrada y salida, canal de reserva (por ejemplo, OTA, directo), tipo de pensión, tipo de habitación, número de acompañantes.
• Documentación oficial: imágenes escaneadas del DNI o pasaporte (a través de OCR – Deskforce).
• Datos biométricos y de firma: firmas digitales manuscritas (Deskforce).
• Información de pago: datos de tarjetas de crédito procesados a través de pasarelas de terceros que cumplen con la norma PCI-DSS (Deskforce).

Nota: Hotelinking no almacena los datos de las tarjetas de pago. Los datos confidenciales se gestionan a través de canales seguros y tokenizados con procesadores de pago autorizados.

b) Personal de TI del hotel, administradores de clientes y usuarios (a través de WiFiBot o paneles de administración)

Recopilados durante la configuración de la cuenta y el uso de nuestras plataformas SaaS para la supervisión de la red, la gestión de usuarios o las operaciones de servicio.

Categorías de datos:

• Identificadores: nombre, dirección de correo electrónico profesional, teléfono (si se proporciona), cargo/título.
• Metadatos de red: direcciones MAC de dispositivos, identificadores de AP/conmutador/puerta de enlace, registros de rendimiento de la red, uso del ancho de banda, tiempo de actividad y diagnósticos de conectividad.
• Registros de uso de la cuenta: marcas de tiempo de inicio de sesión, IP, versión del navegador, cambios realizados.

Nota: WiFiBot procesa únicamente metadatos técnicos relacionados con la infraestructura del hotel y no procesa datos identificables sobre los huéspedes.

c) Visitantes del sitio web, clientes potenciales y participantes en eventos

Recopilados a través de nuestro sitio web, páginas de destino, correos electrónicos o eventos (en línea y en persona).

Categorías de datos:

• Identificadores: nombre, dirección de correo electrónico, empresa, cargo (cuando se proporciona).
• Datos del dispositivo y de la web: dirección IP, tipo de navegador, tipo de dispositivo, sistema operativo, idioma, URL de referencia.
• Datos de comportamiento: páginas visitadas, formularios enviados, enlaces en los que se ha hecho clic, identificadores de cookies.
• Datos de comunicación: preferencias de correo electrónico, aperturas/clics de campañas, asistencia a eventos.

d) Solicitantes de empleo y contratistas

Cuando solicita un puesto en nuestra empresa o trabaja con nosotros como proveedor de servicios.

Categorías de datos:

• Identificadores: nombre, información de contacto.
• Datos profesionales: CV/currículum, historial académico, historial laboral, referencias.
• Datos sensibles opcionales: documento nacional de identidad, permiso de trabajo u otra documentación de elegibilidad, cuando lo exija la ley.

Nota: Cualquier dato de categoría especial (por ejemplo, adaptaciones relacionadas con la salud) se recopila solo cuando es estrictamente necesario y con su consentimiento explícito.

Hotelinking procesa datos personales para diversos fines, dependiendo del contexto de la recopilación. En la tabla siguiente se describen los fines principales, las categorías de interesados y la base jurídica en virtud del RGPD.

Notas sobre categorías especiales de datos

Hotelinking no recopila ni procesa intencionadamente datos de categorías especiales según el artículo 9 del RGPD (por ejemplo, salud, datos biométricos, religión), excepto cuando:

• Se requiera para el cumplimiento de la ley (por ejemplo, identificación para la verificación del registro de entrada), o
• Se obtenga el consentimiento explícito (por ejemplo, adaptaciones razonables para los solicitantes).

Hotelinking no vende datos personales bajo ninguna circunstancia.

Sin embargo, en el curso de la prestación de nuestros servicios, podemos divulgar datos personales a terceros cuidadosamente seleccionados. Las divulgaciones se limitan a lo estrictamente necesario y se rigen por acuerdos escritos que garantizan el cumplimiento del RGPD y las leyes de protección de datos aplicables.

a) Proveedores de infraestructura en la nube

Utilizamos servicios seguros de alojamiento y almacenamiento en la nube para operar nuestra plataforma. Estos proveedores no tienen acceso al contenido a menos que sea necesario para el mantenimiento o por obligación legal.

• Amazon Web Services (AWS): alojamiento principal en Irlanda (región de la UE).
• Los datos permanecen dentro del Espacio Económico Europeo (EEE) de forma predeterminada.

b) Socios de integración tecnológica

Nos integramos con sistemas de confianza para habilitar la funcionalidad para nuestros clientes.

Estos sistemas procesan los datos estrictamente según nuestras instrucciones y no pueden utilizarlos para ningún fin independiente.

c) Procesadores de pagos

Para las funciones de pago digital de Deskforce, nos integramos con pasarelas de pago de terceros que cumplen con la norma PCI-DSS. Las credenciales de pago se tokenizan y nunca se almacenan en los sistemas de Hotelinking.

• Ejemplos: Redsys, Stripe, Adyen (según corresponda).
• Todos los datos de pago se cifran y se transmiten directamente desde el dispositivo del huésped al procesador.

d) Plataformas de atención al cliente

Podemos utilizar herramientas para gestionar consultas y tickets de asistencia.

• Ejemplo: Zendesk.
• Se utiliza para la asistencia por correo electrónico, chat y resolución de tickets.

Las interacciones de asistencia pueden incluir el nombre, la información de contacto, los datos de registro o los metadatos técnicos cuando sea pertinente.

e) Autoridades legales, reguladoras y policiales

Podemos divulgar datos personales cuando:

• Lo exija la legislación aplicable (por ejemplo, el registro de huéspedes ante las autoridades locales).
• Sea necesario para cumplir con procedimientos judiciales o reglamentarios.
• Sea necesario para proteger los derechos, la seguridad o la propiedad de Hotelinking, sus clientes o el público.

Todas estas divulgaciones son revisadas por un asesor jurídico y registradas cuando procede.

f) Personal autorizado del grupo hotelero (clientes)

En el caso de los datos de los huéspedes, Hotelinking actúa como procesador de datos, y los datos personales se comparten con el hotel correspondiente (controlador de datos) en virtud de un acuerdo de procesamiento de datos.

g) Subencargados del tratamiento

Mantenemos una lista actualizada de subencargados del tratamiento que se pone a disposición de los clientes que lo soliciten. Todos los subencargados del tratamiento están obligados contractualmente a:

• Seguir únicamente las instrucciones documentadas de Hotelinking.
• Mantener normas de seguridad equivalentes o más estrictas.
• Notificar cualquier violación de datos o subprocesamiento.

Hotelinking sigue siendo plenamente responsable de las acciones de sus subprocesadores.

Hotelinking garantiza que los datos personales se almacenan y procesan de conformidad con el Reglamento General de Protección de Datos (RGPD) y los mecanismos internacionales de transferencia de datos aplicables en virtud de los artículos 44 a 50 del reglamento.

a) Ubicación principal del alojamiento

Todos los datos personales tratados a través de la plataforma de Hotelinking se alojan de forma segura en el Espacio Económico Europeo (EEE):

• Infraestructura de Amazon Web Services (AWS) ubicada en Dublín, Irlanda.
• Todos los datos, incluida la información sobre huéspedes, clientes y redes, se procesan y almacenan en centros de datos dentro de la UE.
• AWS Dublín cumple con las normas ISO/IEC 27001, ISO/IEC 27018 y SOC 2.

No se transfieren datos personales de forma rutinaria fuera del EEE durante el funcionamiento normal de nuestros servicios.

b) Transferencias fuera del EEE (cuando corresponda)

En circunstancias limitadas, los datos pueden transferirse fuera del EEE (por ejemplo, uso de subencargados del tratamiento o servicios de asistencia técnica). En estos casos, aplicamos una de las siguientes garantías:

Decisiones de adecuación:

Las transferencias solo se realizan a países que la Comisión Europea ha considerado que ofrecen un nivel adecuado de protección de datos (por ejemplo, Reino Unido, Japón, Canadá).

Cláusulas contractuales tipo (SCC):

Cuando no se dispone de una decisión de adecuación, nos basamos en la última versión de las SCC aprobadas por la Comisión Europea para regular la transferencia.

Complementamos estas cláusulas con medidas técnicas y organizativas, entre las que se incluyen:

• Cifrado de extremo a extremo.
• Control de acceso.
• Minimización de datos.
• Auditorías de seguridad periódicas.

Consentimiento explícito:

En casos excepcionales y poco frecuentes, podemos basarnos en su consentimiento explícito (artículo 49 del RGPD) para una transferencia específica, pero solo cuando no exista otra base legal disponible.

c) Subencargados del tratamiento ubicados fuera del EEE

Algunos de nuestros proveedores de servicios auxiliares (por ejemplo, para la entrega de correos electrónicos transaccionales, la supervisión de amenazas o los servicios de registro) pueden operar infraestructuras fuera del EEE.

• Hotelinking lleva a cabo un riguroso proceso de diligencia debida antes de contratar a cualquier subencargado del tratamiento.
• Todos estos proveedores están vinculados contractualmente a través de las CCT y se supervisa su cumplimiento del RGPD.
• Se puede solicitar una lista detallada de los subencargados del tratamiento activos y su ubicación geográfica, o bien se incluye en el Acuerdo de tratamiento de datos del cliente (DPA).

Hotelinking sigue siendo plenamente responsable del cumplimiento de las leyes de protección de datos por parte de todos los subencargados del tratamiento.

Hotelinking conserva los datos personales solo durante el tiempo necesario para cumplir con la finalidad para la que fueron recopilados, o para cumplir con obligaciones legales, reglamentarias o contractuales.

Los períodos de conservación varían en función de la categoría de datos y del contexto aplicable:

a) Datos de los huéspedes del hotel (GuestMaker, Deskforce)

Nota: El tratamiento de datos de los huéspedes se realiza siguiendo las instrucciones de nuestros clientes hoteleros (responsables del tratamiento), y las políticas de conservación definitivas pueden definirse contractualmente en el acuerdo de tratamiento de datos (DPA).

b) Datos administrativos del personal del hotel y de los clientes (WiFiBot, paneles de control)

c) Visitantes del sitio web, clientes potenciales y contactos de marketing

d) Solicitantes de empleo y datos de contratación

e) Copias de seguridad y recuperación ante desastres

• Las copias de seguridad se cifran y se almacenan en AWS (Irlanda) durante un periodo predeterminado de 30 días, a menos que la ley o el contrato exijan un periodo de conservación más largo.
• Las copias de seguridad se eliminan automáticamente tras su caducidad mediante políticas de ciclo de vida seguras.
• Se realizan pruebas de recuperación ante desastres con regularidad para validar la integridad y la disponibilidad de los datos.

Véase también: Procedimiento de seguridad operativa y política de copias de seguridad de Hotelinking para obtener todos los detalles técnicos.

f) Eliminación y anonimización de datos

Al final del periodo de retención, Hotelinking:

• Eliminará de forma segura los datos personales de los sistemas activos y las copias de seguridad.
• O, cuando sea apropiado, anonimizará irreversiblemente los datos con fines estadísticos o de mejora de productos (por ejemplo, referencias de compromiso de los huéspedes).

Hotelinking implementa un sistema de gestión de la seguridad de la información (SGSI) completo y multicapa para garantizar la confidencialidad, integridad y disponibilidad de todos los datos personales tratados.

Nos ajustamos a las mejores prácticas del sector, incluidos los principios de la norma ISO/IEC 27001 y los marcos de control SOC II, y nos sometemos a auditorías internas y externas periódicas.

a) Controles de seguridad técnicos

b) Medidas de seguridad organizativas

c) Certificaciones y alineación con el marco

• Hotelinking se ajusta activamente a los controles SOC II Tipo II.
• El marco ISMS se basa en las normas ISO/IEC 27001.
• Las copias de seguridad y la infraestructura cumplen con el pilar de seguridad bien diseñado de AWS.

Como interesado en virtud del Reglamento General de Protección de Datos (RGPD), usted tiene una serie de derechos en relación con los datos personales que tratamos. Hotelinking se compromete a facilitar y respetar estos derechos de forma transparente y oportuna, tanto si actuamos como responsables del tratamiento (por ejemplo, para los visitantes del sitio web o los clientes potenciales) como si actuamos como encargados del tratamiento (por ejemplo, cuando tratamos los datos de los huéspedes en nombre de los clientes del hotel).

Usted puede ejercer los siguientes derechos:

Cómo ejercer sus derechos

Puede ejercer sus derechos poniéndose en contacto con nosotros:

• Correo electrónico: dataprotection@hotelinking.com
• Dirección: Hotelinking, S.L., Parc Bit – Edificio Disset, 3.ª planta, D9, 07121 Palma de Mallorca, España
• Teléfono: disponible bajo petición

Por favor, incluya lo siguiente en su solicitud:

• Su nombre completo y dirección de correo electrónico.
• El derecho específico que desea ejercer.
• Contexto relevante (por ejemplo, huésped de un hotel específico o usuario del sitio web).

Responderemos a todas las solicitudes válidas en un plazo de 30 días, tal y como exige la ley. Si necesitamos más tiempo o alguna aclaración, se lo notificaremos.

Si procesamos sus datos como procesador de datos (por ejemplo, si es huésped de uno de nuestros hoteles clientes), remitiremos su solicitud al hotel correspondiente (responsable del tratamiento) para que tome las medidas oportunas.

Cuando visita los sitios web de Hotelinking o interactúa con nuestra plataforma, podemos utilizar cookies y tecnologías de seguimiento similares para mejorar la experiencia del usuario, medir el compromiso y personalizar el contenido. Una cookie es un pequeño archivo de texto almacenado en su dispositivo que nos permite reconocer su navegador y recordar cierta información.

a) Tipos de cookies que utilizamos

Las cookies analíticas y de marketing no se activan a menos que usted dé su consentimiento explícito a través de nuestro banner de cookies.

b) Gestión de cookies

Puede aceptar, rechazar o personalizar las preferencias de cookies en cualquier momento a través de nuestro panel de configuración de cookies, accesible en todas las páginas de nuestro sitio web.

También puede controlar o desactivar las cookies a través de la configuración de su navegador. Sin embargo, la desactivación de las cookies esenciales puede afectar a su capacidad para utilizar determinadas funciones.

c) Servicios de terceros

Algunas cookies pueden ser establecidas por servicios de terceros integrados en nuestro sitio (por ejemplo, vídeos incrustados, herramientas para compartir en redes sociales). Estos terceros pueden recopilar datos de uso de acuerdo con sus propias políticas de privacidad.

d) Retención de cookies

• Las cookies de sesión se eliminan una vez que cierra su navegador.
• Las cookies persistentes pueden permanecer almacenadas en su dispositivo hasta 24 meses, a menos que se eliminen manualmente.

e) Política de cookies

Para obtener información más detallada, incluida la lista completa de las cookies que utilizamos y cómo gestionarlas, consulte nuestra:

Política de cookies.

Podemos actualizar esta Política de privacidad de vez en cuando para reflejar cambios en nuestras prácticas comerciales, servicios, tecnologías, requisitos legales u obligaciones de protección de datos.

a) Cuándo realizamos cambios

Las actualizaciones de esta política pueden estar motivadas por:

• La introducción de nuevas funciones o productos (por ejemplo, un nuevo módulo dentro de Deskforce).
• Cambios en las leyes de protección de datos o en las directrices reglamentarias aplicables (por ejemplo, el RGPD o la Directiva sobre privacidad electrónica).
• Modificaciones en la forma en que procesamos o compartimos los datos personales.
• La expansión a nuevos territorios con marcos legales adicionales.

Mantenemos un historial de versiones al final de esta Política para indicar cuándo se han realizado cambios.

b) Cómo le notificamos

Estamos comprometidos con la transparencia. Si realizamos cambios sustanciales en esta Política de privacidad (por ejemplo, cambios en la base legal, los derechos o la divulgación a terceros), haremos lo siguiente:

• Publicaremos un aviso claro en nuestro sitio web y/o en el panel de control de la plataforma.
• Notificaremos a nuestros clientes directamente por correo electrónico (al titular de la cuenta o al contacto de protección de datos que figura en nuestros archivos).
• Proporcionaremos un aviso con al menos 30 días de antelación antes de que los cambios sustanciales entren en vigor, cuando sea legalmente necesario o apropiado.

c) Su uso continuado

Al continuar utilizando nuestros servicios después de que una actualización entre en vigor, usted acepta la Política de privacidad revisada. Si no está de acuerdo con los cambios, puede dejar de utilizar nuestros servicios y, si procede, solicitar la eliminación de sus datos.

Hotelinking, S.L.
Parc Bit – Edificio Disset, 3.ª planta, D9
07121 Palma de Mallorca, Illes Balears, España
CIF: ESB57843185

Privacidad y protección de datos

• Correo electrónico (consultas generales): admin@hotelinking.com
• Correo electrónico (solicitudes de privacidad y DPO): dataprotection@hotelinking.com
• Teléfono: disponible previa solicitud

Responderemos a todas las consultas legítimas relacionadas con la privacidad en un plazo de 30 días o menos, según lo exige la ley.

Contacto con la autoridad supervisora

Si cree que no hemos abordado adecuadamente sus inquietudes sobre la protección de datos, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

• Sitio web: https://www.aepd.es
• Teléfono (España): +34 901 100 099
• Correo electrónico: internacional@aepd.es