trata datos personales en esta aplicación. Aquí se explica qué datos son, para qué se usan, con qué base legal, cuánto tiempo se guardan y quién más los toca — tal y como la aplicación funciona hoy.
Quién responde de tus datos
Responsable del tratamiento: Decide qué datos se tratan y para qué; ante él se ejercen los derechos.
Delegado de protección de datos:
Encargado del tratamiento: Ilya Labs, que desarrolla y mantiene la aplicación y trata los datos solo por cuenta del responsable (art. 28 RGPD). No los usa para fines propios ni los cede fuera de la tabla siguiente.
Una excepción: la bandeja de soporte es de Ilya Labs, que ahí actúa como responsable. Esas incidencias no viven en la base de datos del negocio; para lo que escribas ahí, los derechos se ejercen ante lucas@ilyalabs.es.
Dónde están los datos y quién más los toca
| Quién |
Qué hace |
Dónde |
| Ilya Labs (España) |
Mantiene la aplicación; para reparar una avería puede acceder a los datos. Encargado. |
España |
| Supabase |
Base de datos, cuentas de acceso y ficheros subidos. Subencargado. |
Irlanda (eu-west-1) |
| Netlify |
Sirve la aplicación y ejecuta sus funciones de servidor; sus registros técnicos guardan IP, fecha y hora. Subencargado. |
Irlanda (eu-west-1); las páginas se entregan por su red mundial |
| Ilya Soporte (Ilya Labs) |
Las incidencias del botón de soporte. El widget consulta el servidor de Ilya Labs al usar la aplicación y esa conexión registra la IP. Aquí Ilya Labs es responsable. |
Irlanda; sus correos, por Resend, Inc. (Estados Unidos) |
Supabase Inc. y Netlify Inc. son sociedades estadounidenses, aunque el tratamiento esté configurado en Irlanda. Fuera de esta lista no se comunican datos a nadie, salvo obligación legal.
Salidas fuera del Espacio Económico Europeo
Una: los correos de la bandeja de soporte, que envía Resend, Inc. desde Estados Unidos. Este módulo no envía correos propios y no usa lectura con inteligencia artificial, así que no tiene ninguna otra salida. La garantía del art. 46 RGPD que la ampara (Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo) puede pedirse por el canal de derechos de abajo.
Seguridad
Los datos viajan por HTTPS y se guardan con el cifrado en reposo del proveedor. Al panel solo se entra con la sesión iniciada. Hay pantallas públicas que funcionan con un enlace de código largo, sin contraseña: quien tenga el enlace las ve, así que conviene no reenviarlo — el apartado de abajo dice cuáles son y cómo se revocan. Dentro del negocio no hay roles: toda cuenta ve todo, incluidos los partes de viajero con sus números de documento, y no queda registro de quién ha consultado qué.
¿Estás obligado a dar estos datos?
Los marcados como obligación legal, sí. Los del contrato son necesarios para prestar el servicio. Los basados en consentimiento son voluntarios, y el permiso se puede retirar cuando quieras.
Qué trata Ilya Stays
Datos del huésped que reserva, de todos los viajeros que se alojan —incluidos los menores de edad— y del propietario de la villa.
| Qué datos |
Para qué |
En qué se apoya |
Cuánto se guarda |
| Reserva: nombre del huésped, teléfono, correo, fechas, nº de adultos y de niños, canal por el que reservó, precio, pagos, fianza y notas |
Gestionar la reserva y la estancia: cobros y fianza, mensajes al huésped, guía de la casa y salida |
Ejecución del contrato de alojamiento (art. 6.1.b RGPD) con quien reserva; son datos necesarios para alojarte. Para los acompañantes que no firman, interés legítimo en prestar el servicio (art. 6.1.f) |
Durante la estancia y 5 años más, plazo de prescripción de las acciones derivadas del contrato (art. 1964.2 del Código Civil) |
| Parte de viajero: nombre y apellidos, sexo, fecha de nacimiento, nacionalidad, tipo y número de documento, número de soporte del documento, domicilio habitual, país de residencia, teléfono, correo, parentesco (si es menor) y fecha de entrada |
Cumplir el registro de viajeros que la ley impone a los alojamientos y poder ponerlo a disposición de las autoridades |
Obligación legal del titular del alojamiento (art. 6.1.c RGPD), impuesta por el Real Decreto 933/2021 y el art. 25 de la Ley Orgánica 4/2015. Es obligatorio darlos: sin ellos el alojamiento no puede alojarte legalmente |
3 años desde el final del servicio (RD 933/2021), y la comunicación se hace en las 24 horas siguientes a la entrada. El borrado no es automático: no hay ninguna purga programada, hay que hacerlo a mano |
| Cobros, extras (limpieza, chef, catering, transfer, experiencias), movimientos de caja y liquidaciones |
Facturación, contabilidad y liquidación al propietario |
Obligación legal fiscal y mercantil (art. 6.1.c RGPD): obligatorio |
6 años, el mayor de los dos plazos: 4 años de prescripción tributaria (art. 66 de la Ley 58/2003) y 6 de conservación de libros (art. 30 del Código de Comercio) |
| Propietario de la villa: nombre, contacto y comisión de gestión |
Gestionar la relación con él y liquidarle lo que le corresponde |
Ejecución del contrato de gestión (art. 6.1.b RGPD) |
Mientras dure el contrato de gestión; los soportes contables de la liquidación, 6 años (art. 30 del Código de Comercio) |
| Calendarios de portales: el texto del evento que llega de Airbnb, Booking o Vrbo, que puede incluir el nombre del huésped que reservó allí |
Bloquear las fechas ya ocupadas y evitar la sobreventa |
Interés legítimo en no vender dos veces la misma fecha (art. 6.1.f RGPD). Puedes oponerte |
Mientras el bloqueo esté vigente. Es la única limpieza automática del módulo: cada sincronización (unas ocho veces al día) borra y vuelve a escribir todos los bloqueos de esa fuente. Sin norma de plazo |
El parte de viajero lo envía el alojamiento, no la aplicación
Esta aplicación no transmite nada al Ministerio: prepara el fichero del parte y lo descarga, para que sea el titular del alojamiento quien lo suba a SES.HOSPEDAJES. Mientras haya viajeros registrados, la aplicación impide borrar la reserva: es lo que evita destruir por descuido un registro que la ley obliga a conservar.
Lo que sale hacia los portales
El calendario que esta aplicación publica hacia Airbnb, Booking o Vrbo va sin datos personales: solo fechas ocupadas, la palabra «Reservado» y un identificador. Lo que puede traer datos es lo que entra desde ellos, como indica la tabla.
Pantallas que funcionan sin cuenta
Tres: el check-in donde se rellena el parte, la guía del huésped y el calendario que importan los portales. Los dos primeros se abren con un enlace de código largo y muestran solo esa reserva; se revocan desde la ficha, y el calendario no lleva datos personales.
Si estos datos no los diste tú
Si reservaste en Airbnb, Booking o Vrbo, tu nombre puede haber llegado dentro del texto del calendario que el alojamiento sincroniza. Y si viajas acompañando a quien reservó, tus datos del parte puede haberlos rellenado esa persona. Nunca proceden de fuentes públicas ni se han comprado, y tus derechos son los mismos.
Dónde se procesan tus datos
La sincronización de calendarios con los portales la hace una función de servidor que se ejecuta en eu-west-1 (Irlanda): por ahí pasa el texto de los eventos que llegan del portal, que puede llevar el nombre del huésped, y se guarda también en Irlanda. Si el responsable configura calendarios de portales, la dirección de cada portal la elige él: conviene que revise sus condiciones.
Datos de salud
Esta aplicación no pide ni trata datos de salud ni de ninguna categoría especial (art. 9 RGPD). Los campos de notas son texto libre: no escribas ahí alergias ni datos médicos — pasarían a estar especialmente protegidos sin que la aplicación lo tenga previsto.
Tus derechos
Acceso, rectificación, supresión, limitación, oposición y portabilidad; el consentimiento se puede retirar. Contra los usos basados en interés legítimo —en la tabla aparecen así— puedes oponerte por motivos de tu situación particular.
Cómo ejercerlos: El responsable contesta en un mes (art. 12.3 RGPD).
Lo que una norma obliga a conservar no se borra: queda bloqueado (art. 32 de la LO 3/2018) hasta vencer su plazo, y la supresión hay que pedirla — no es automática. Si no te contestan o no estás conforme: Agencia Española de Protección de Datos, www.aepd.es (art. 77 RGPD).
Lo que esta aplicación no hace
No toma decisiones automatizadas con efectos jurídicos ni elabora perfiles (art. 22 RGPD). No hay analítica de terceros ni cookies de publicidad; el almacenamiento del navegador solo mantiene la sesión y preferencias como el idioma o el tema.
Última actualización: Este texto se revisa cuando cambia la aplicación. Aplicación desarrollada por Ilya Labs. Describe cómo funciona la herramienta por dentro; no es asesoramiento jurídico y no sustituye al aviso de privacidad propio del responsable, que además puede tratar datos fuera de esta aplicación.
Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición y portabilidad ante el responsable del tratamiento (la empresa titular de esta cuenta).
Herramienta de Ilya Labs · texto orientativo; personalízalo con los datos del responsable.
