Acuerdo de encargo del tratamiento

1. Partes y objeto

El responsable del tratamiento es el hotel (cliente). El encargado del tratamiento es hantha GmbH como operador de geowatt. El objeto es el tratamiento de datos personales derivado del uso de geowatt conforme a los términos del servicio.

2. Agencias

Si una agencia utiliza geowatt para un hotel, la agencia actúa como encargado del tratamiento del hotel y geowatt como subencargado de la agencia. La agencia garantiza la existencia del correspondiente acuerdo suscrito con el hotel.

3. Datos y categorías de interesados

Datos del personal y colaboradores del cliente: nombre, correo electrónico, cargo, foto de perfil, actividad en la herramienta, comentarios, archivos. Los datos de huéspedes no son necesarios para geowatt; el cliente no sube ninguno.

4. Instrucciones

geowatt trata los datos únicamente siguiendo las instrucciones documentadas del cliente, impartidas mediante el uso de la herramienta y el presente acuerdo. Si geowatt considera que una instrucción infringe la normativa, informará de ello al cliente.

5. Confidencialidad

Todas las personas con acceso a los datos están obligadas a respetar la debida confidencialidad.

6. Medidas técnicas y organizativas

Transmisión cifrada (HTTPS, HSTS).

Separación de inquilinos en la base de datos: las reglas de acceso a nivel de fila verifican la pertenencia al hotel en cada consulta.

Roles y permisos (administrador, miembro, acceso de agencia), revocables por el administrador del hotel.

Almacenamiento privado de archivos con enlaces de duración limitada.

Registro de todos los cambios automáticos (autopilot) y eventos de tareas.

Protección contra framing, encabezados de seguridad, auditorías periódicas de seguridad.

Copias de seguridad gestionadas por el proveedor de hosting.

7. Subencargados del tratamiento

El cliente autoriza los siguientes subencargados del tratamiento. geowatt anunciará las nuevas incorporaciones con al menos 30 días de antelación; el cliente podrá formular objeciones.

Lovable Labs Inc. (incl. Supabase Inc., Cloudflare Inc.): Hosting, base de datos, inicio de sesión, almacenamiento de archivos (UE/EE. UU.).

OpenAI (ChatGPT): Consultas de IA sobre hoteles (sin datos de huéspedes) (EE. UU.).

Google (Gemini): Consultas de IA sobre hoteles (sin datos de huéspedes) (EE. UU./UE).

Anthropic (Claude): Consultas de IA sobre hoteles (sin datos de huéspedes) (EE. UU.).

Paddle.com Market Ltd (Merchant of Record): Venta, gestión de suscripciones, pago, impuestos y facturación (Reino Unido/UE).

Google Ireland Ltd. (Google Analytics): Analítica web, únicamente previo consentimiento (UE/EE. UU.).

8. Asistencia

geowatt asiste al cliente para atender las solicitudes de los interesados (p. ej., funciones de exportación y eliminación en la herramienta) y evaluaciones de impacto, y notificará cualquier violación de la seguridad de los datos personales sin dilación indebida y, a más tardar, en un plazo de 48 horas tras tener conocimiento de ella.

9. Supresión y devolución

Tras la resolución o eliminación del hotel por parte de su administrador, los datos del hotel se eliminarán, a menos que sea de aplicación una obligación legal de conservación. Con anterioridad, el cliente podrá exportar sus datos.

10. Auditorías

geowatt facilitará la información necesaria para demostrar el cumplimiento y permitirá la realización de auditorías previa notificación razonable.