Acuerdo de tratamiento de datos (DPA)

Por qué necesita esta página antes de firmar: en ella se ve qué tratamos exactamente, dónde reside, a quién se transmite y qué podemos y qué no podemos hacer, sin promesas que no existan en el producto. El lado técnico de la misma cuestión está en Seguridad y datos.

1. Partes y roles#

Qué hay detrás de estas palabras en la práctica:

• Los fines los determina usted. Usted decide si recopilar los teléfonos de los huéspedes, si grabar las llamadas, si llevar un expediente de personal en el panel, si activar funciones de IA. Nosotros proporcionamos la herramienta y ejecutamos el encargo: el conjunto de acciones que usted define con la configuración de la cuenta y con sus acciones en la interfaz.
• La base jurídica también es suya. El consentimiento del huésped, el contrato con él, su obligación legal (recibo fiscal, registro de personal, registro del huésped del hotel): todo eso lo garantiza usted. La plataforma no comprueba ni puede comprobar si usted tenía base para incluir a una persona concreta en la base de datos.
• Los documentos para los interesados son suyos. La política de privacidad del escaparate, el banner de cookies, el texto de consentimiento para el envío de comunicaciones se publican en su nombre. Nosotros proporcionamos el constructor, el alojamiento de las páginas y el registro de consentimientos; véase Documentos legales y Cookies y consentimiento.
• Hay ámbitos en los que somos responsables independientes, y esto se separa con honestidad: los datos de su cuenta y los pagos de la suscripción, la telemetría técnica de errores del panel, la correspondencia con el soporte. Se tratan conforme a nuestra política, no conforme a su encargo.

Qué queda de su lado como operador#

Informar a los interesados y recabar las bases · la licitud de los fines · las respuestas a las solicitudes de los interesados (nosotros ayudamos, véase el §9) · las notificaciones al regulador allí donde la ley las impone al operador (en Rusia, la notificación a Roskomnadzor sobre el tratamiento y sobre el incidente) · la configuración de roles para que los empleados vean solo lo necesario · la decisión sobre si activar funciones de IA y la transmisión de datos a modelos extranjeros.

2. Objeto, naturaleza y fines del tratamiento#

Tratamos los datos solo para que funcionen las funciones que usted ha activado y para dar soporte a esas funciones a petición suya. No utilizamos el contenido de su cuenta para publicidad ni para elaboración de perfiles, y no entrenamos nuestros modelos con él, no lo vendemos ni lo transmitimos a terceros, salvo a los subencargados del §6 y a los destinatarios que usted mismo elija.

La naturaleza del tratamiento es: recogida, registro, sistematización, conservación, actualización, extracción, uso, seudonimización, bloqueo y supresión; tratamiento automatizado en la nube.

El desglose completo «módulo → datos → fin → plazo» está en el Anexo A.

3. Categorías de interesados y categorías de datos#

Categorías de interesados: huéspedes y clientes · leads · empleados · candidatos · usuarios de la cuenta (propietario y empleados con inicio de sesión) · representantes de contrapartes y socios.

Categorías de datos que el producto acepta:

Categorías especiales (art. 9 GDPR, art. 10 152-ФЗ) la plataforma no las recopila por sí misma. No obstante, en el producto hay campos donde usted puede introducir datos sobre la salud: cartilla médica y baja laboral del empleado, restricciones de salud y alimentarias del huésped de hotel. Al introducirlos, usted asume requisitos reforzados sobre la base jurídica y las medidas de protección; nuestra parte es mantenerlos en un formato cerrado a la visualización y no mostrarlos sin una finalidad explícita.

La biometría está prohibida a nivel de plataforma. La clase está marcada como prohibida en el registro de políticas, y el intento de registrar tales datos se rechaza por código, no por instrucción. Huellas, moldes faciales y modelos de voz no existen en el contorno.

Datos de tarjetas de pago no tenemos en absoluto — ni el número ni el CVV: la tarjeta la procesa el proveedor de pagos, a nosotros solo nos llega el resultado de la operación.

4. Plazo de tratamiento, eliminación y devolución de datos#

• El plazo es durante la vigencia de la suscripción y de su cuenta. Mientras la cuenta esté activa, los datos se almacenan para que funcionen las funciones.
• La eliminación se realiza en un plazo de 30 días desde su solicitud por escrito o la terminación del contrato. Esto se aplica tanto a la eliminación de la cuenta en su totalidad como a la eliminación de un conjunto de datos concreto por su encargo.
• Extraer los datos antes de la eliminación es su tarea y nuestra obligación de ayudar. La exportación se genera de forma autónoma, sin contactar con soporte: Exportación de datos. El archivo listo vive 7 días, los secretos deliberadamente no se incluyen en él.
• Parte de los plazos los fija la ley, no la suscripción. Los documentos fiscales, el expediente laboral, el registro del huésped de hotel se conservan tanto como exija la norma del país, y en estos casos la eliminación «a petición» es imposible hasta que venza el plazo. Tales registros en el producto están marcados con el modo de conservación obligatoria.
• Copias de seguridad. Los plazos de conservación de las copias internas no los publicamos, y por eso no prometemos que «los datos desaparezcan de todas partes el mismo día». El seguro correcto por su parte: mantenga su propia copia mediante la exportación, especialmente antes de cambios masivos.
• Qué sobrevive a la eliminación de un objeto — lo revelamos directamente. El registro de interacciones con IA de la cuenta (la consulta al modelo y su respuesta, incluido el texto reconocido de su documento) se lleva para contabilizar el consumo y analizar incidentes y, al eliminar el documento original, no se limpia. La caché de respuestas y los materiales de formación generados pueden citar el documento eliminado hasta la siguiente recompilación. El borrado completo de estos rastros — mediante solicitud a soporte.
• El contenido ya transmitido al proveedor de IA durante la ejecución de su solicitud vive según sus propias reglas de conservación y fuera de nuestro control.

5. Obligaciones del encargado del tratamiento#

5.1 Tratamiento únicamente siguiendo sus instrucciones. La instrucción son sus ajustes de Cuenta, sus acciones en la interfaz y encargos escritos concretos. Si, según nuestro criterio, una instrucción infringe la ley de protección de datos personales, se lo comunicamos y podemos suspender su ejecución.

5.2 Confidencialidad del personal. El acceso a los datos de la Cuenta está limitado a un círculo reducido de nuestros empleados y colaboradores vinculados por una obligación de confidencialidad; el acceso se concede según la necesidad de realizar el trabajo y se retira al finalizarlo.

5.3 Medidas de seguridad — la relación completa figura en el Anexo B. En resumen: transmisión únicamente mediante TLS; los objetos en los almacenes se cifran del lado del servicio; un contorno separado de datos personales con cifrado del Registro y ruta de lectura cerrada; delimitación del acceso por roles, niveles de sección y cobertura de Locales; aislamiento de Cuentas mediante prefijo en el almacén; hashes irreversibles para la contraseña y el PIN.

5.4 Acceso del soporte — solo con su autorización expresa. El empleado de soporte no puede entrar en la Cuenta por su propia voluntad: se requiere un interruptor activado en Ajustes → Acceso del soporte (/settings/support-access), el alcance («solo lectura» o «lectura y modificación») lo elige usted, cada sesión queda en el registro (quién, cuándo, con qué alcance), y la retirada del consentimiento interrumpe incluso una sesión en curso. El socio implantador entra únicamente a petición aprobada por el propietario, por tiempo limitado y con un aviso en la interfaz; el servidor le bloquea el dinero, el personal, la exportación de datos y las Integraciones en cualquier modo.

5.5 Registro de eventos. Se llevan: el registro de consentimientos del propietario para el acceso del soporte y el registro de las propias sesiones, el registro de accesos de socios, el registro de interacciones con IA de la Cuenta, el registro de accesos al contorno de datos personales. En este último rige una barrera de auditoría: sin anotación en el registro no se entrega el valor abierto.

5.6 Ayuda para responder a los interesados — véase el §9.

5.7 Notificación de incidentes. Sobre una violación de la seguridad de los datos personales que afecte a su Cuenta, le notificamos a más tardar 72 horas desde el momento de la detección, sin dilación injustificada, y le transmitimos lo que sabemos en ese momento: la naturaleza del incidente, las categorías de datos y de interesados afectadas (en la medida en que se hayan determinado), las consecuencias probables, las medidas adoptadas y previstas, y un contacto para aclaraciones. Si en ese plazo el panorama es incompleto, enviamos una notificación parcial y la completamos a medida que avanza el análisis — no cabe callar «hasta tener total claridad». ⚠️ La notificación al regulador y a los interesados es obligación del responsable del tratamiento, es decir, suya: en la Federación de Rusia son 24 horas para comunicar el hecho y 72 horas para los resultados de la investigación interna; en el EEE, 72 horas para notificar a la autoridad de control. Por eso nuestro plazo está calculado para que usted llegue a tiempo al suyo.

5.8 Asistencia en la evaluación de impacto (DPIA). A solicitud, transmitimos la descripción del tratamiento, las medidas y los subencargados en el alcance de este documento y sus anexos — normalmente basta para su evaluación.

5.9 Eliminación o devolución al finalizar — véase el §4.

6. Subencargados#

Recurrimos a subencargados — sin ellos el producto en la nube no existe. La relación completa con la finalidad, el lugar de tratamiento y la composición de los datos transmitidos figura en el Anexo C. Reglas que proponemos fijar:

• el subencargado se contrata mediante contrato escrito con condiciones de protección no inferiores a las adoptadas en este acuerdo;
• se le revela el mínimo de datos necesario para su función;
• sobre un subencargado nuevo o sustituido avisamos por escrito a la dirección del propietario de la Cuenta y mediante actualización del Anexo C con al menos 30 días de antelación al inicio de la transmisión; en ese plazo usted puede oponerse indicando el motivo, y entonces o bien proponemos una alternativa, o bien usted puede renunciar a la función afectada o resolver el contrato en la parte que no funciona sin ella;
• por las acciones del subencargado respondemos nosotros ante usted;
• los modelos de IA extranjeros se activan únicamente por decisión suya — el consentimiento correspondiente se solicita por separado, y no «de paso» con una casilla general; en el contorno ruso el paso de decisión del modelo está desactivado deliberadamente (en el catálogo no hay modelos con conformidad confirmada con la 152-ФЗ).

Aparte: los destinatarios que elige usted mismo — el proveedor de pagos, el operador del número SIP, los mensajeros, los agregadores de reparto, los marketplaces, el operador de datos fiscales, los sistemas estatales. Reciben datos por su decisión de conectar el canal y en la mayoría de los casos actúan como responsables independientes, no como nuestros subencargados. Usted acepta sus condiciones directamente.

7. Residencia y transferencia transfronteriza#

El contorno lo determina la marca con la que se registró. No es un ajuste de la cuenta, no se cambia sobre la marcha y no se puede «trasladar» una cuenta de un contorno a otro.

Consecuencias que conviene explicitar:

• El almacenamiento es común por contorno, no individual por marca. Los datos de distintas marcas de un mismo contorno residen en un sistema de almacenamiento común y se separan de forma lógica — mediante el prefijo de la cuenta y los permisos. No podemos prometerle un bucket individual.
• La distribución de estáticos va por CDN en todo el mundo — son archivos públicos del escaparate (menú, fotos, documentos publicados) que el navegador del cliente ya lee sin autorización.
• El contorno ruso — es un encargo de tratamiento conforme a la 152-ФЗ: el registro, la sistematización, el almacenamiento y la extracción se realizan en bases en el territorio de la Federación de Rusia (art. 18, parte 5). El tratamiento con IA allí corre a cargo de un proveedor ruso. Al mismo tiempo, no declaramos medios certificados de protección criptográfica ni fronteras formales de ИСПДн: si su negocio lo exige por ley, trate la cuestión antes de la conexión.
• Localización en Kazajistán y Uzbekistán. No tenemos contorno en Kazajistán, y el perfil de operador de Kazajistán está marcado con franqueza como «alojamiento no disponible». Para Uzbekistán, solo están sujetos a localización obligatoria la biometría, la genética y los datos de abonados de comunicaciones — nosotros no aceptamos biometría en absoluto, por lo que el almacenamiento en el contorno internacional es admisible siempre que se cumplan las condiciones de la ley sobre transferencia transfronteriza; la base en sí (cláusulas contractuales tipo o el estándar del listado) la formaliza usted como operador.

8. Auditoría y confirmación de conformidad#

• A petición respondemos a su cuestionario de seguridad y le entregamos la descripción de las medidas y de los subencargados en el alcance de este documento y sus anexos.
• Auditoría in situ o a cargo de su auditor — previo acuerdo: con antelación, en horario laboral, no más de una vez al año (con más frecuencia — en caso de incidente o a requerimiento del regulador), con obligación de confidencialidad, sin acceso a los datos de otros clientes ni a los medios en los que tal acceso sea técnicamente inevitable. Los costes que excedan lo razonable los cubre la parte solicitante.
• ⚠️ Con franqueza sobre lo que no hay: no tenemos certificación ISO/IEC 27001, no tenemos informe SOC 2, no tenemos dictamen PCI DSS (no tratamos tarjetas en absoluto) y no tenemos atestación de ИСПДн. Si su cumplimiento normativo exige un informe listo de un auditor independiente, hoy no se lo podemos facilitar — y preferimos decirlo antes de la firma, no después.
• Nuestros subencargados de nube y el proveedor de pagos sí tienen certificaciones; no las presentaremos como propias.

Contacto en materia de protección de datos#

Las cuestiones sobre protección de datos, la solicitud del DPA firmable y las notificaciones de vulnerabilidades — a security@ en el dominio de su marca; las consultas ordinarias — a través del soporte. No tenemos un DPO designado aparte ni un representante en la UE — es otro punto que decimos con franqueza en lugar de sortearlo con una fórmula.

9. Derechos de los interesados y asistencia#

Las solicitudes de los interesados se dirigen a usted como operador — usted responde, nosotros ayudamos. Lo que realmente está disponible hoy:

Límites honestos que conviene conocer de antemano:

• No hay un área de solicitudes de interesados (DSAR) en el panel — tales solicitudes se tramitan manualmente, mediante la exportación y las secciones «Clientes» y «Empleados».
• La pantalla «Mis datos» del escaparate limpia el dispositivo del cliente, no el historial de pedidos del servidor: el cliente ve y borra lo que está en su navegador. Si pide eliminar los pedidos y contactos de su base, eso lo hace usted.
• No hay un registro de «quién de mis empleados abrió qué». Los registros se llevan por los accesos del soporte y de los socios y por los accesos al contorno de datos personales — es decir, hoy no podremos responder a la pregunta «quién de los nuestros consultó la ficha de un cliente».

10. Responsabilidad, vigencia y derecho aplicable#

• El Acuerdo está vigente mientras lo esté su Suscripción y mientras tratemos datos por su encargo; las disposiciones sobre confidencialidad, supresión y asistencia sobreviven a su terminación en la medida necesaria para su cumplimiento.
• La responsabilidad de las partes se determina por el contrato principal (las Condiciones de uso) y por la ley; el reparto previsto en este Acuerdo no la amplía.
• Derecho aplicable y jurisdicción — según la marca y la persona jurídica que le presta el servicio; los datos concretos se incorporan en la versión que se firma. Para el contorno ruso se aplica el derecho de la Federación de Rusia y la terminología de la 152-ФЗ; para el internacional, las Condiciones de uso de la marca correspondiente y el GDPR/UK GDPR allí donde usted quede sujeto a su ámbito de aplicación.
• En caso de discrepancia entre esta página y el documento firmado, prevalece el documento firmado.

Anexo A — descripción del tratamiento#

La columna «Plazo» indica qué determina el plazo. La marca «propuesta» significa que el plazo está incorporado al producto como razonable por defecto, pero no está aprobado jurídicamente y se concreta en la versión que se firma.

Anexo B — medidas de seguridad#

Transmisión y almacenamiento

• Todo el intercambio con el panel, el escaparate y la API — por HTTPS/TLS; las direcciones públicas se distribuyen a través de CDN.
• Los objetos en los almacenes se cifran en el lado del servicio (en AWS — SSE-S3, AES-256; la clave propia de KMS no se aplica por defecto). Los registros del contorno dedicado de datos personales se cifran por separado — AES-256-GCM, la clave de cifrado de datos nace para cada par «cuenta × clase de datos» y se envuelve en el KMS de la nube.
• Las grabaciones de audio de las llamadas están en un archivo frío separado de la marca, en el mismo contorno, con acceso por enlace sin demora por «restauración».

Delimitación de acceso

• Roles de empleados con selección de secciones, nivel de acceso y alcance de locales; el acceso a una sección no equivale al acceso a toda la cuenta.
• Aislamiento de la cuenta por prefijo en el almacén más prohibiciones del servidor de escritura desde el navegador en prefijos de servicio.
• Contraseña — 8+ caracteres con requisitos de composición; el PIN del cajero se guarda solo como hash irreversible; la clave de API se muestra una vez al crearla; la salida cierra la sesión en todas las pestañas.
• La baja de un empleado retira el acceso al panel y revoca la extensión telefónica de inmediato en todos los locales.
• Los códigos de dispositivos dan acceso a una página de destino (monitor, pantalla de cocina), no a la cuenta.
• La lectura del contorno dedicado de datos personales solo es posible a través de la interfaz de servicio con verificación del sujeto del derecho, la cuenta, el ámbito, la relación de negocio demostrada, la clase y la finalidad, el conjunto de campos y la región — y solo con registro en el diario de auditoría.

Nuestro acceso a sus datos

• El acceso del soporte — por interruptor del propietario, en el volumen elegido, con diario de sesiones, con interrupción de la sesión en curso al revocarse.
• El acceso del socio — por solicitud aprobada por el propietario, tiempo limitado, una sesión, aviso en la interfaz, prohibiciones del servidor sobre suscripción y pagos, datos del propietario, derechos de empleados, exportación de datos, integraciones, comunicación, contrapartes y programa de socios.
• Clases de datos prohibidas: la biometría se rechaza por código. Datos de tarjetas de pago no hay en absoluto.

Lo que no hay — lo decimos claro

• No hay certificación ISO/IEC 27001, informe SOC 2, acreditación de ISPDn ni herramientas criptográficas certificadas.
• El inicio de sesión de dos factores en el panel aún no existe — se está preparando; la protección del inicio de sesión hoy es una contraseña larga, inicios de sesión separados para empleados y códigos de dispositivos con PIN.
• No hay diario de acciones de sus empleados, área de DSAR ni restauración de la cuenta «a una fecha».
• El contorno dedicado de datos personales no funciona en todas las secciones: se ha introducido en los huéspedes del hotel (la migración de cuentas ya existentes está en curso), las demás secciones por ahora mantienen los datos personales en los documentos habituales de la cuenta. El desarrollo avanza por secciones, no prometemos plazos.
• En el contorno ruso no hay diario de sesiones de soporte, acceso de socios ni escáner de cookies.

Anexo C — subencargados#

Infraestructura#

Inteligencia artificial#

Contorno internacional: las solicitudes van a través del agregador de modelos polza.ai, no directamente al proveedor. Los proveedores disponibles son OpenAI, Google, xAI, DeepSeek; cuál de ellos se usa se ve y se cambia en la sección «Modelos de IA». Algunas funciones se dirigen directamente al proveedor: la búsqueda y las respuestas sobre la base de conocimiento — a OpenAI (embeddings, respuestas, reconocimiento de texto en imágenes), el conserje de IA de menú para huéspedes — a Google Gemini (en el prompt entra un fragmento de su base de conocimiento de hasta 4000 caracteres junto con el menú y la pregunta del huésped).

Contorno ruso: Yandex Cloud Foundation Models (embeddings, respuestas, reranking, resúmenes) y Yandex Vision OCR (reconocimiento de texto en imágenes), con el registro de solicitudes desactivado allí donde el proveedor ofrece tal ajuste. Con los proveedores extranjeros no aplicamos un ajuste análogo y confiamos en sus condiciones estándar de API, según las cuales los datos no se usan para entrenar modelos.

Puede conectar su propio endpoint compatible con OpenAI — entonces el proveedor lo elige usted, y pasa a ser su destinatario, no nuestro subencargado.

Reconocimiento de voz#

Se transmite la grabación de audio de la llamada o del archivo cargado; de vuelta llega el texto de la transcripción.

Correo y notificaciones#

Amazon SES — correos salientes: invitaciones a empleados, notificaciones sobre pedidos y reservas, resúmenes, correos a huéspedes. Se transmiten la dirección del destinatario y el contenido del correo. En el contorno ruso no se usa SES — parte de los escenarios de correo allí funcionan de otro modo o no funcionan en absoluto.

Destinatarios que conecta usted#

Proveedor de pagos (por ejemplo, Stripe) · operador de número SIP y telefonía · mensajerías (Telegram, WhatsApp) · agregadores de entrega · marketplaces · operador de datos fiscales y sistemas estatales (en la Federación de Rusia — OFD, Chestny ZNAK, EGAIS) · contadores analíticos que usted ha instalado en el sitio. La composición de los datos que se les transmiten la determina la función conectada; las condiciones del tratamiento las acepta usted directamente con ellos.

Preguntas frecuentes#

¿Se puede firmar este documento tal cual? No. Es un borrador y una descripción de la situación real: no contiene los datos identificativos de las partes, la lista de sus módulos ni la fecha. Solicite la versión firmable en security@ de su marca o a través del soporte — recibirá el mismo texto con sus datos.

¿Tienen ISO 27001 o SOC 2? No. No tenemos ni certificación ni informe de auditor, y no vamos a presentar los certificados de nuestros proveedores de nube como propios. Respondemos al cuestionario de seguridad y facilitamos una descripción de las medidas.

¿Quién es el responsable del tratamiento de los datos personales de nuestros clientes: nosotros o ustedes? Ustedes. Ustedes deciden qué recopilar y con qué fin, informan a los clientes y recaban los consentimientos. Nosotros tratamos esos datos por encargo suyo y no los usamos para fines propios.

¿Con qué rapidez eliminarán los datos si nos vamos? En un plazo de 30 días desde la solicitud o la terminación del contrato. Los plazos de conservación de las copias de seguridad internas no los publicamos — lleve su copia con la exportación antes de la eliminación.

¿Dónde están físicamente los datos y se puede elegir región? La región la determina la marca: el contorno internacional — EE. UU., las marcas turcas — Alemania, cenaly.ru — Rusia. No se puede elegir región dentro de una misma marca; el traslado implica una nueva cuenta en otro contorno.

Los datos se envían a EE. UU. — ¿cómo se cubre esto para un responsable del tratamiento del EEE? Las bases son la ejecución del contrato y las cláusulas contractuales tipo, y para las funciones de IA se solicita aparte su consentimiento explícito. Si la transferencia a un tercer país no es aceptable para usted, las marcas turcas operan en eu-central-1 (Alemania) — pero es una marca distinta, no un ajuste.

¿Entrenan sus modelos con nuestros datos? No. El contenido de la cuenta no se usa para entrenar nuestros modelos, ni para publicidad ni para elaboración de perfiles, y no se vende. Con los proveedores de IA que se contratan nos atenemos a sus condiciones estándar de API, según las cuales los datos de API no se usan para entrenamiento de forma predeterminada.

¿Puede su soporte ver nuestros datos sin pedirlo? No. Se necesita el interruptor «Acceso de soporte» activado en los ajustes, el alcance lo eligen ustedes, las sesiones quedan en el registro y la retirada del consentimiento corta incluso una sesión en curso.

Un cliente exige que se eliminen sus datos — ¿qué hacer? Elimine su ficha en la sección Clientes. El botón «Mis datos» del escaparate solo limpia el dispositivo del cliente. La limpieza profunda de rastros (registros de interacciones con IA, cachés) solicítela a nosotros — la haremos en esos mismos 30 días.

¿Y con las grabaciones de llamadas — no son datos sensibles? Las grabaciones y transcripciones están en el archivo frío de su marca, en el mismo contorno, y el acceso a la sección «Llamadas» se configura aparte, hasta el nivel nominal. Advertir a los participantes sobre la grabación es su obligación como responsable del tratamiento, y en varios países sin ello la grabación es ilegal.

Secciones relacionadas#

• Seguridad y datos — dónde están los datos, quién tiene acceso, qué hacer ante un incidente
• Cuenta y acceso — contraseñas, códigos de dispositivos, acceso de soporte
• Exportación de datos — llevarse todo antes de la eliminación
• Cómo obtener ayuda — solicitud del DPA firmado y canal security@
• Suscripción y planes — vigencia del contrato
• Documentos legales — política de privacidad y condiciones para sus clientes
• Cookies y consentimiento — banner y registro de consentimientos como prueba
• Clientes — eliminación de los datos de un cliente concreto
• Empleados y turnos — roles y cobertura de locales