1. Alcance y funciones de Holidario
Esta política explica cómo trata datos personales Holidario Innovations S.L.U. al operar el SaaS Holidario, el sitio web www.holidario.com, las cuentas de cliente, la facturación, la seguridad y el soporte.
Holidario puede actuar con dos funciones:
- como responsable del tratamiento de los datos de representantes, administradores y usuarios de clientes, prospectos, contactos comerciales, facturación propia, seguridad y uso de su sitio web; y
- como encargado o subencargado del tratamiento respecto de los datos que un cliente introduce o conecta para gestionar huéspedes, viajeros, reservas, alojamientos, propietarios, personal, proveedores, documentos, pagos o comunicaciones. En estos casos, el cliente o el responsable subyacente determina los fines y medios esenciales y se aplica el Acuerdo de encargo del tratamiento.
Si eres huésped, viajero, propietario, empleado o contacto de un cliente, debes dirigir tus derechos al cliente que gestiona tu relación. Holidario colaborará con él.
2. Identidad y contacto
| Dato | Información |
|---|---|
| Responsable | Holidario Innovations S.L.U. |
| NIF | B24926438 |
| Domicilio | Calle Velázquez, 42, 12594 Oropesa del Mar (Castellón), España |
| Correo de privacidad | [email protected] |
| Sitio web | www.holidario.com |
Holidario no ha designado delegado de protección de datos porque su evaluación actual no identifica un supuesto de designación obligatoria. Esta conclusión se revisará si cambian la escala, naturaleza o riesgo de los tratamientos.
3. Datos tratados
Según tu relación con Holidario, podemos tratar:
- identidad, empresa, cargo, tenant y datos de contacto;
- cuenta, autenticación, roles, permisos, sesiones y aceptaciones contractuales;
- plan, pedidos, facturas, NIF, domicilio fiscal y referencias de pago;
- consultas, soporte, incidencias, archivos enviados y comunicaciones;
- dirección IP, dispositivo, agente de usuario, fechas, eventos, registros y señales de seguridad;
- preferencias y comunicaciones comerciales; y
- información recibida de proveedores de autenticación, pago, infraestructura o integraciones habilitadas.
Como encargado podemos alojar las categorías que el cliente decida usar en el servicio, incluidas reservas, viajeros, alojamientos, propietarios, empleados, proveedores, documentos, mensajes y pagos. La descripción contractual completa se encuentra en el DPA.
Los datos proceden de ti, de la organización que te da acceso, del uso de la plataforma y de proveedores o integraciones autorizados.
No pedimos que se introduzcan contraseñas, números completos de tarjeta, documentación oficial, categorías especiales u otros datos innecesarios en campos de texto libre o asistentes de IA.
4. Finalidades y bases jurídicas
| Finalidad | Base jurídica principal |
|---|---|
| Crear y administrar la cuenta, prestar el SaaS y dar soporte | Ejecución del contrato |
| Facturar, contabilizar y cumplir obligaciones fiscales o mercantiles | Ejecución del contrato y obligación legal |
| Proteger cuentas, prevenir abuso, mantener disponibilidad y diagnosticar errores | Interés legítimo en proteger el servicio, sus usuarios y datos |
| Medir de forma seudonimizada si los flujos del producto se completan y dónde fallan para mejorar el SaaS | Interés legítimo en mejorar la calidad y usabilidad del servicio, sujeto a minimización y derecho de oposición |
| Gestionar prospectos y comunicaciones comerciales propias | Consentimiento o interés legítimo cuando la ley lo permite, con derecho de oposición |
| Atender derechos, reclamaciones y requerimientos | Obligación legal e interés legítimo en la defensa de derechos |
| Utilizar datos del cliente siguiendo sus instrucciones | Encargo del tratamiento; la base corresponde al responsable |
Cuando nos basemos en interés legítimo, ponderaremos necesidad, impacto y expectativas razonables. No empleamos datos de clientes para publicidad dirigida a sus huéspedes.
Las métricas de mejora del producto registran únicamente eventos estructurados como el tipo de flujo, resultado, pantalla, categoría de rol, categoría profesional, duración aproximada y referencias seudónimas de sesión o recurso. No incluyen nombres, correos, identificadores de usuario o tenant, direcciones IP, texto libre ni contenido de clientes. La agrupación de sesión dura como máximo cuatro horas y usa la sesión técnica ya necesaria para el servicio; no crea una cookie analítica independiente. Cada usuario autenticado puede oponerse en Perfil → Configuración → Privacidad y mejora del producto sin perder ninguna función. Las personas sin cuenta pueden ejercer la oposición escribiendo a [email protected].
5. Inteligencia artificial
Las configuraciones nuevas de IA soportadas utilizan una clave de OpenRouter aportada por el cliente (BYOK). Un administrador elige para cada agente una pareja exacta de modelo y endpoint elegible dentro del registro ZDR en vivo de OpenRouter después de revisar el proveedor, los términos del modelo, las ubicaciones de tratamiento declaradas y el precio. Los agentes de texto repetibles exigen que el endpoint declare caché de entrada; Deep Research e imagen no reutilizan ese tipo de prefijo. Antes de consultar o cambiar estas rutas dinámicas, un administrador debe confirmar que controla la cuenta, ha aceptado los términos y DPA vigentes de OpenRouter, entiende que la cadena de proveedores disponible puede cambiar, autoriza las rutas seleccionadas y mantiene desactivados el registro de prompts, entrenamiento, publicación de prompts, uso de datos del workspace y descuentos basados en datos.
Según el flujo:
- el análisis de conversaciones sustituye identificadores y referencias de mensaje por alias o índices;
- la generación SEO recibe contenido anonimizado cuando puede contener datos personales;
- el asistente interno usa Microsoft Presidio y un almacén efímero de tokens para transformar valores de búsqueda autorizados en referencias opacas que solo resuelve el backend; y
- si se detectan datos personales fuera de una búsqueda autorizada, la solicitud se bloquea antes del envío.
Los tokens y chats del asistente se eliminan automáticamente 60 minutos después de su última actividad. Las propuestas de acción, auditorías y metadatos de uso que no contienen el texto del chat se conservan durante 365 días.
ZDR no significa ausencia de tratamiento. OpenRouter y el upstream procesan temporalmente la solicitud para responder y pueden mantener una representación KV efímera en memoria de prefijos de entrada protegidos. Holidario no puede leer esa representación, no habilita caché de respuestas y conserva solo recuentos de lectura/escritura sin contenido con los metadatos de uso durante 365 días. El TTL y los hits dependen del endpoint. También pueden conservarse metadatos técnicos, de seguridad o facturación que no contengan el prompt o la respuesta. Holidario verifica las rutas configuradas contra el registro ZDR y no autoriza entrenamiento ni publicación, pero no puede convertir una declaración contractual del proveedor en una imposibilidad física absoluta. La lista de subencargados identifica las rutas vigentes.
La seudonimización y detección automática reducen el riesgo, pero no son infalibles. Los usuarios deben limitar los datos a lo necesario y no introducir credenciales, tarjetas completas, documentos oficiales o categorías especiales en funciones de IA. Las acciones propuestas por agentes quedan sujetas a permisos y, cuando corresponda, confirmación humana. Holidario no usa estas funciones para adoptar por sí solo decisiones con efectos jurídicos o similares sobre huéspedes o trabajadores.
6. Destinatarios, subencargados y transferencias
Usamos proveedores de infraestructura, red, copias, despliegue, correo, observabilidad y soporte. Las funciones opcionales pueden implicar OTAs, comunicaciones, impresión, reconocimiento documental, mapas, pagos o IA. El registro vigente distingue subencargados contratados por Holidario, proveedores contratados directamente por el cliente, responsables independientes y autoridades: Subencargados y destinatarios.
La infraestructura principal y las copias privadas R2 indicadas en el registro están en el Espacio Económico Europeo. Algunos proveedores o sus subencargados pueden tratar datos fuera del EEE. Cuando Holidario los contrata como encargados, aplica el mecanismo correspondiente, como decisión de adecuación, cláusulas contractuales tipo y medidas complementarias. Las integraciones contratadas por el cliente pueden generar transferencias adicionales bajo su responsabilidad.
No vendemos datos personales.
7. Conservación
Aplicamos los siguientes plazos a los tratamientos propios de Holidario:
| Información | Plazo ordinario |
|---|---|
| Chats y tokens efímeros del asistente interno | 60 minutos desde la última actividad |
| Propuestas de acción, auditoría y métricas seudonimizadas de mejora del producto sin contenido del chat | 365 días |
| Registros de aplicación | 14 días |
| Eventos depurados de Sentry | 90 días |
| Contratos, aceptaciones versionadas, facturación y documentación mercantil propia | 6 años desde el último asiento o terminación, salvo plazo superior aplicable |
| Documentación tributaria propia | 4 años, salvo interrupción o plazo superior aplicable |
| Prospectos y marketing | Hasta retirar el consentimiento u oponerse; conservamos evidencia mínima de la baja |
Los datos tratados por cuenta de un cliente se conservan según sus instrucciones y el DPA. Tras terminar el servicio, el cliente dispone de 30 días para exportar sus datos. Holidario inicia la eliminación activa al finalizar ese plazo y la completa dentro de los 30 días siguientes, salvo bloqueo legal.
Las copias de base de datos contienen los datos originales: copias diarias durante 90 días y semanales durante 12 meses. El almacenamiento de archivos se replica diariamente en un bucket privado y las eliminaciones del origen se propagan al espejo. Los datos eliminados pueden permanecer aislados en copias hasta que expire su ciclo, sin volver al uso activo salvo recuperación autorizada.
Cuando debamos conservar datos para una obligación o reclamación, se bloquearán y limitarán al plazo aplicable.
8. Seguridad
Aplicamos separación lógica por tenant, roles y permisos, mínimo privilegio, cifrado en tránsito, credenciales protegidas, copias privadas, actualización de sistemas, observabilidad depurada, gestión de incidentes y minimización o seudonimización en flujos de IA. Ninguna medida elimina todo riesgo; se revisan según la evolución del servicio.
9. Derechos
Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad u oposición y retirar un consentimiento sin afectar al tratamiento anterior. También puedes oponerte al marketing directo.
Escribe a [email protected], indicando tu solicitud. Podemos pedir información proporcionada para verificar tu identidad. Si Holidario trata los datos únicamente por cuenta de un cliente, remitiremos la solicitud al responsable o te indicaremos cómo contactarlo.
Puedes reclamar ante la Agencia Española de Protección de Datos.
10. Cookies, menores y decisiones automatizadas
El sitio público utiliza una sesión técnica y almacenamiento local para recordar el tema visual. No carga etiquetas de analítica o publicidad no esenciales. Las páginas de registro y acceso pueden usar Google reCAPTCHA, cuando esté configurado, para prevenir abuso automatizado. La Política de cookies mantiene el inventario vigente. Si en el futuro se incorpora una tecnología no esencial, no se activará antes de obtener el consentimiento exigible.
Las políticas y elecciones de cookies del tenant se aplican a sus vanity sites, que son sitios distintos configurados por cada cliente.
El SaaS está dirigido a organizaciones y profesionales, no a menores. Podemos alojar datos de viajeros menores por cuenta de clientes cuando sean necesarios para una reserva o exigidos por ley.
No adoptamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o similares sobre los usuarios del SaaS.
11. Cambios
Publicaremos la versión vigente y su fecha. Si el cambio es material, lo comunicaremos por un medio adecuado. Las nuevas versiones del DPA requieren una aceptación versionada cuando corresponda.