1. Responsable
El responsable del tratamiento es HET KRUIDENNIERTJE, S.A., CIF/NIF A29757945, Avda. Carlota Alessandri 43, 29620 Torremolinos, Málaga, España. Costa Guest es el nombre comercial/del servicio. Contacto de privacidad: privacy@costaguest.com.
2. Datos que podemos tratar
Según cómo utilices Costa Guest, podemos tratar estas categorías:
- Datos de cuenta y autenticación: nombre, email, identificadores de cuenta e información técnica de seguridad/sesión.
- Datos de cuentas de negocios o anfitriones, verificación/claim, cambios de ficha, medios y comunicaciones de soporte aportados por usuarios autorizados.
- Contexto de huésped/estancia facilitado mediante un flujo autorizado y mensajes del Concierge necesarios para atender la solicitud.
- Lugares guardados, datos introducidos para planificar viajes y preferencias explícitas. No exigimos ubicación precisa salvo que una función concreta la solicite y tú decidas permitirla.
- Referencias de facturación y suscripción cuando se activen servicios de pago. Los datos de tarjeta son tratados por el proveedor de pagos y Costa Guest no pretende almacenarlos.
- Datos técnicos de seguridad y prevención de abuso, como eventos de seguridad derivados de IP, marcas de tiempo, metadatos de solicitud y registros de auditoría cuando sean necesarios.
- Datos de atribución de afiliación/clic diseñados para evitar datos personales innecesarios, como identificadores seudónimos de campaña o clic.
- Información profesional/empresarial obtenida del propio negocio o de fuentes públicas/empresariales legítimas cuando sea necesaria para el directorio local o para un contacto B2B lícito.
3. Finalidades y bases jurídicas
Tratamos datos solo para finalidades definidas y con una base jurídica aplicable.
- Prestar cuentas, Concierge, herramientas de viaje y servicios para negocios/anfitriones: ejecución de contrato o medidas precontractuales solicitadas.
- Seguridad, prevención de abuso, protección de usuarios y auditabilidad: interés legítimo en operar un servicio seguro y fiable, ponderado frente a los derechos del usuario.
- Facturación, contabilidad, obligaciones fiscales y legales: cumplimiento de obligaciones legales y ejecución del contrato correspondiente.
- Marketing/newsletters opcionales, si se incorporan: consentimiento u otra base permitida por la ley, siempre con baja sencilla.
- Analítica/publicidad no esencial, si se incorpora: consentimiento previo cuando sea exigible. No forma parte del inventario actual del código V1.
4. Destinatarios y proveedores
Utilizamos proveedores especializados para operar el servicio. La arquitectura actual incluye Supabase para backend/base de datos/autenticación, Vercel para alojamiento y despliegue web, OpenAI para funciones de IA acotadas y Stripe para pagos cuando la función de facturación correspondiente esté habilitada. Cualquier nuevo proveedor de email, afiliación u operaciones deberá incorporarse al inventario de privacidad de producción antes de activarse.
Los proveedores externos de reservas, actividades o transporte a los que accedas mediante un enlace suelen tratar los datos que les facilites bajo sus propias condiciones de privacidad. Costa Guest no debe enviarles más datos personales de los necesarios para la integración o atribución aplicable.
5. Transferencias internacionales
Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. Cuando ocurra, Costa Guest utilizará un mecanismo de transferencia válido, como una decisión de adecuación o garantías apropiadas, y mantendrá revisado el registro de proveedores y transferencias de producción.
6. Conservación
Conservamos los datos solo durante el tiempo necesario para la finalidad para la que se recogieron, mientras exista la cuenta o relación de servicio y, después, únicamente durante los periodos necesarios para obligaciones legales, resolución de controversias, prevención de abuso o formulación/defensa de reclamaciones. Los registros de seguridad y datos técnicos temporales se conservan durante periodos proporcionados. Los datos innecesarios se eliminan o anonimizan irreversiblemente cuando proceda.
7. Derechos
Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad cuando corresponda u oponerte al tratamiento. Si el tratamiento se basa en consentimiento, puedes retirarlo en cualquier momento sin afectar al tratamiento previo lícito. Escríbenos a privacy@costaguest.com. Podemos necesitar verificar tu identidad.
También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en aepd.es.
8. Recomendaciones automatizadas
Costa Guest puede utilizar lógica automatizada para ordenar o recomendar información y sugerencias de viaje. No está diseñada para adoptar decisiones que produzcan efectos jurídicos o efectos significativamente similares sobre personas. Las relaciones comerciales no pueden anular reglas de seguridad ni comprar automáticamente relevancia orgánica.
9. Menores
La información pública de destinos puede ser consultada por familias, pero Costa Guest no está diseñado para recabar directamente datos de cuenta de niños pequeños. No solicitamos intencionadamente datos médicos o de categorías especiales de menores. Cuando sea legalmente necesaria autorización parental/tutelar, el servicio correspondiente no deberá utilizarse sin ella.
10. Cambios
Podemos actualizar esta política cuando cambien el servicio, los proveedores o los requisitos legales. Los cambios relevantes se reflejarán mediante una nueva fecha y, cuando sea necesario, un aviso apropiado o una nueva solicitud de consentimiento.
Newsletter y comunicaciones comerciales
Si la newsletter de Costa Guest se activa en V1, la suscripción será opcional y separada de la creación de una cuenta o de la contratación de Costa Guest+. No utilizaremos casillas premarcadas ni condicionaremos un servicio no relacionado a aceptar comunicaciones comerciales.
Cuando la newsletter se base en consentimiento, conservaremos la dirección de correo, el estado del consentimiento, fecha y hora, formulario/origen y versión del texto mostrado para poder acreditarlo. El consentimiento podrá retirarse en cualquier momento mediante el enlace de baja incluido en cada comunicación o escribiendo a privacy@costaguest.com. La retirada no afecta a los tratamientos realizados lícitamente con anterioridad.
No se activará el envío de newsletters hasta que las condiciones del proveedor de correo como encargado, la ubicación o transferencias de datos, conservación, consentimiento y gestión de bajas estén incorporadas a los controles de privacidad/proveedores de producción y se haya superado el gate de lanzamiento de la newsletter.
Proveedor de correo y transferencias internacionales
Costa Guest utiliza Resend como proveedor de infraestructura de correo para las funciones transaccionales/de recepción que estén aprobadas y, únicamente si posteriormente se activa el gate independiente de newsletter, para el transporte de newsletters. El consentimiento de marketing para la newsletter seguirá siendo separado, opcional y desmarcado por defecto.
La documentación actual de Resend indica que los datos de clientes se almacenan en Estados Unidos. Para transferencias de datos personales desde el EEE, Resend indica que su Acuerdo de Tratamiento de Datos utiliza las Cláusulas Contractuales Tipo de la Comisión Europea y que participa en el Marco de Privacidad de Datos UE-EE. UU. Costa Guest mantendrá bajo revisión la evidencia aplicable de encargado/transferencia y no considerará la región de envío eu-west-1 como residencia de datos en la UE.
Resend indica actualmente un periodo de conservación de 30 días para datos de correo/logs en los planes estándar relevantes, con periodos diferenciados para copias de seguridad y finalización de cuenta. Los registros de Contactos de marketing tienen su propio ciclo de vida, por lo que Costa Guest aplicará controles separados de consentimiento, baja y conservación/eliminación, sin asumir que los Contactos heredan automáticamente el plazo de correo/logs.
Medición propia del tráfico
Costa Guest mide de forma agregada el uso de las páginas públicas para conocer volumen de visitantes, páginas más vistas, dominios externos de referencia, mezcla de idiomas/dispositivos y señales aproximadas de país/ciudad facilitadas por la plataforma de alojamiento. Se excluyen Control Tower, dashboard, Business Portal, API y rutas de redirección.
La capa de tráfico no guarda direcciones IP en bruto, cadenas user-agent en bruto, parámetros de consulta ni URLs completas de referencia. Guarda seudónimos HMAC generados en servidor para el recuento de visitantes/sesiones, además de página, idioma, tipo de dispositivo y geografía aproximada limitada. Se respeta Do Not Track del navegador (DNT=1) y se excluyen bots conocidos.
Las señales de país/ciudad derivadas de IP son aproximadas y se utilizan únicamente para analítica agregada de producto, no para localización precisa, publicidad ni decisiones de seguridad.
Costa Guest también puede registrar eventos propios y limitados de conversión, como abrir una página de reclamación de negocio, llegar al acceso autenticado, intentar el envío y completar una reclamación verificada por el servidor. Estos eventos analíticos no guardan el email, teléfono, nombre del reclamante, nombre de negocio escrito, mensaje libre, ID de usuario de autenticación ni evidencias de verificación del formulario.
Costa Guest también puede medir acciones públicas limitadas, como abrir una ficha desde Discover, añadir un lugar al plan del día, guardar correctamente un lugar o hacer clic en acciones de llamada, web, WhatsApp, reserva o concierge. El texto de búsqueda y los filtros de texto libre no se guardan en este conjunto analítico, y estas señales no modifican el ranking público sin una decisión de gobernanza independiente.
Para la continuidad de itinerarios y afiliación, Costa Guest puede registrar un intento de guardado, una referencia de viaje guardado verificada por el servidor y una referencia de redirección afiliada registrada en servidor. Estos eventos no guardan nombres ni notas del viaje, URLs de destino del proveedor, IDs de usuario de cuenta ni identificadores brutos de la petición. Un clic de redirección afiliada no se considera reserva, venta, comisión ni ingreso.