1. Responsable del tratamiento
| Responsable | Javier Alciturri Álvarez |
| NIF | 51110054-Y |
| Nombre comercial | UPstay Madrid |
| Domicilio | Calle Oruro 1, 28016 Madrid (España) |
| Correo electrónico | madrid@upstaymadrid.com |
| Sitio web | https://upstaymadrid.com |
El responsable del tratamiento es una persona física que desarrolla su actividad profesional bajo el nombre comercial UPstay Madrid. No se ha designado Delegado de Protección de Datos por no concurrir ninguno de los supuestos del artículo 37 del RGPD; para cualquier cuestión relativa a protección de datos puede dirigirse a la dirección de correo indicada.
2. Datos que tratamos y cómo los obtenemos
Tratamos únicamente los datos que el propio interesado nos facilita. No obtenemos datos de fuentes de terceros ni elaboramos perfiles a partir de fuentes externas.
a) A través del formulario de contacto del sitio web
- Nombre
- Dirección de correo electrónico
- Contenido del mensaje libremente redactado por el usuario
b) A través de otros canales de comunicación
Cuando el usuario contacta por WhatsApp, teléfono o mensaje directo en Instagram, tratamos los datos que voluntariamente nos facilite en esa comunicación: habitualmente nombre, número de teléfono o identificador de usuario, y el contenido del mensaje.
Estos canales son propiedad de terceros (Meta Platforms Ireland Ltd. en el caso de WhatsApp e Instagram, y el operador de telefonía correspondiente). UPstay Madrid no controla el funcionamiento de dichas plataformas ni las condiciones bajo las que tratan los datos de sus usuarios: nuestra responsabilidad alcanza únicamente a la información que recibimos a través de ellas. Recomendamos consultar las políticas de privacidad de cada plataforma.
c) Durante la prestación del servicio
Si el usuario contrata nuestros servicios, tratamos además los datos necesarios para su ejecución y facturación: nombre y apellidos, NIF o documento identificativo cuando sea legalmente exigible, domicilio a efectos de facturación, teléfono, fechas del servicio, preferencias expresadas para el diseño del itinerario y datos bancarios asociados al medio de pago empleado.
3. Finalidades y bases jurídicas
| Finalidad | Base jurídica | Datos tratados |
|---|---|---|
| Atender consultas y solicitudes de información recibidas por cualquiera de nuestros canales | Aplicación de medidas precontractuales a petición del interesado (art. 6.1.b RGPD) e interés legítimo en responder a quien nos contacta (art. 6.1.f) | Identificativos y de contacto; contenido del mensaje |
| Elaborar y remitir propuestas y presupuestos | Aplicación de medidas precontractuales (art. 6.1.b RGPD) | Identificativos, de contacto y preferencias |
| Prestar los servicios de diseño de itinerarios, asesoramiento y coordinación contratados | Ejecución del contrato (art. 6.1.b RGPD) | Identificativos, de contacto, preferencias y datos del servicio |
| Gestionar reservas ante restaurantes, espacios culturales y proveedores de entradas | Ejecución del contrato (art. 6.1.b RGPD) | Nombre y, en su caso, teléfono de contacto |
| Gestionar cobros, emitir facturas y cumplir obligaciones contables y fiscales | Cumplimiento de una obligación legal (art. 6.1.c RGPD) | Identificativos, fiscales y bancarios |
| Enviar comunicaciones comerciales y contenidos editoriales sobre Madrid (newsletter) | Consentimiento expreso del interesado (art. 6.1.a RGPD) | Nombre y correo electrónico |
| Atender el ejercicio de derechos y responder a reclamaciones | Cumplimiento de una obligación legal (art. 6.1.c RGPD) | Los necesarios para acreditar la identidad y tramitar la solicitud |
Sobre la newsletter. La suscripción a nuestras comunicaciones editoriales es voluntaria, independiente de cualquier otro tratamiento y requiere una manifestación de voluntad expresa mediante casilla específica no premarcada. En ningún caso utilizaremos para esta finalidad las direcciones de correo obtenidas a través del formulario de contacto o de otros canales sin haber recabado previamente dicho consentimiento. El interesado puede retirarlo en cualquier momento, sin coste y sin necesidad de justificación, mediante el enlace de baja incluido en cada envío o escribiendo a madrid@upstaymadrid.com. La retirada del consentimiento no afecta a la licitud del tratamiento realizado con anterioridad.
Decisiones automatizadas. No adoptamos decisiones automatizadas ni realizamos elaboración de perfiles que produzcan efectos jurídicos sobre el interesado o le afecten significativamente de modo similar.
4. Datos no solicitados y categorías especiales
UPstay Madrid no solicita ni requiere datos pertenecientes a las categorías especiales previstas en el artículo 9 del RGPD, tales como datos de salud, alergias o intolerancias alimentarias, condiciones de movilidad, convicciones religiosas u orientación sexual.
El formulario de contacto y los demás canales admiten mensajes de redacción libre. Recomendamos al usuario que se abstenga de incluir en ellos información de esta naturaleza.
Si, no obstante, el interesado facilita voluntariamente datos de este tipo por considerarlos relevantes para la solicitud que nos dirige, se entenderá que consiente expresamente su tratamiento con la única finalidad de atender dicha solicitud (art. 9.2.a RGPD). Estos datos:
- se tratarán exclusivamente en la medida imprescindible para la finalidad indicada;
- se comunicarán a terceros únicamente cuando sea estrictamente necesario para atenderla y con el conocimiento del interesado, por ejemplo al advertir a un restaurante de una restricción alimentaria;
- no se incorporarán a ficheros ni fichas de cliente ni se conservarán una vez cumplida su finalidad.
5. Datos de menores de edad
Los servicios de UPstay Madrid se dirigen exclusivamente a personas mayores de edad. No recabamos de forma deliberada datos de menores ni contratamos con ellos.
Excepcionalmente, el diseño de un itinerario familiar puede requerir datos de menores estrictamente necesarios, como una edad para verificar el acceso a una actividad o un nombre para una reserva nominativa. En tales casos:
- dichos datos serán facilitados siempre por el progenitor, tutor o representante legal, quien garantiza estar facultado para ello y que la información aportada es veraz;
- se limitarán al mínimo imprescindible para la finalidad concreta;
- se suprimirán una vez prestado el servicio.
Conforme al artículo 7 de la Ley Orgánica 3/2018 (LOPDGDD), el tratamiento de datos de menores de catorce años basado en el consentimiento requiere el del titular de la patria potestad o tutela.
Si detectamos haber recibido datos de un menor sin la intervención de su representante legal, procederemos a su supresión inmediata.
6. Plazos de conservación
| Supuesto | Plazo |
|---|---|
| Consultas que no derivan en contratación | Hasta un año desde la última comunicación, salvo que el interesado solicite antes su supresión |
| Datos de clientes con relación contractual | Durante la vigencia de la relación y, posteriormente, durante los plazos de prescripción de las acciones derivadas del contrato |
| Documentación contable y fiscal | Los plazos legalmente exigidos: seis años conforme al Código de Comercio y cuatro años conforme a la Ley General Tributaria, computados desde el fin del período correspondiente |
| Datos tratados en virtud del consentimiento (newsletter) | Hasta que el interesado retire su consentimiento o solicite la baja |
| Datos no solicitados de categorías especiales | Hasta la finalización del servicio para el que resultaron necesarios |
Transcurridos dichos plazos, los datos serán suprimidos o, cuando su conservación resulte legalmente obligatoria, bloqueados y puestos a disposición exclusiva de jueces, tribunales, Ministerio Fiscal y Administraciones competentes durante el plazo de prescripción de las posibles responsabilidades.
7. Destinatarios de los datos
a) Proveedores del servicio contratado (responsables independientes)
Para la ejecución del itinerario comunicamos a restaurantes, espacios culturales, salas de espectáculos y plataformas de venta de entradas los datos estrictamente necesarios para formalizar cada reserva: habitualmente nombre y, en su caso, un teléfono de contacto. Estos proveedores tratan la información bajo su propia responsabilidad y conforme a sus respectivas políticas de privacidad. La base jurídica de esta comunicación es la ejecución del contrato: sin ella no resulta posible realizar la reserva.
En ningún caso se les comunican datos ajenos a la reserva concreta.
b) Encargados de tratamiento
Prestadores de servicios que tratan datos por cuenta del responsable y con los que se han suscrito los correspondientes contratos conforme al artículo 28 del RGPD:
- Hostinger International Ltd. — alojamiento del sitio web y servicio de correo electrónico corporativo.
- Proveedores de servicios de gestión de formularios, correo electrónico y, en su caso, envío de comunicaciones comerciales.
- Asesoría fiscal y contable, en lo relativo a la gestión de facturación y obligaciones tributarias.
c) Entidades financieras y medios de pago
Entidades bancarias y proveedores de servicios de pago, para la gestión de cobros mediante transferencia, Bizum o, en su caso, pasarelas de pago seguras.
d) Obligaciones legales
Administraciones públicas, juzgados y tribunales, cuando exista obligación legal de comunicación.
No se realizan cesiones de datos distintas de las indicadas, ni se venden ni ceden datos con fines publicitarios a terceros.
8. Transferencias internacionales
Algunos de los proveedores tecnológicos empleados pueden estar establecidos fuera del Espacio Económico Europeo o tratar datos en servidores situados en terceros países. En particular:
- el servicio de correo corporativo incorpora el reenvío de los mensajes recibidos en madrid@upstaymadrid.com a una cuenta gestionada por Google LLC (Estados Unidos), utilizada como cuenta operativa de gestión;
- los canales de comunicación de Meta Platforms (WhatsApp e Instagram) implican tratamiento de datos por dicha entidad.
Estas transferencias se amparan en los mecanismos previstos en el Capítulo V del RGPD: decisiones de adecuación de la Comisión Europea cuando resulten aplicables, como el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo adoptadas por la Comisión, junto con las garantías adicionales que correspondan.
El interesado puede solicitar información sobre las garantías aplicadas escribiendo a madrid@upstaymadrid.com.
9. Derechos del interesado
Toda persona tiene derecho a obtener confirmación sobre si estamos tratando sus datos personales y, en su caso, a ejercer los siguientes derechos:
- Acceso — conocer qué datos tratamos, con qué finalidad y a quién se comunican.
- Rectificación — corregir datos inexactos o completar los que sean incompletos.
- Supresión — solicitar la eliminación de sus datos cuando, entre otros supuestos, ya no sean necesarios para la finalidad para la que fueron recabados.
- Oposición — oponerse al tratamiento basado en el interés legítimo, por motivos relacionados con su situación particular.
- Limitación del tratamiento — solicitar que sus datos se conserven pero no se traten, en los supuestos previstos por la norma.
- Portabilidad — recibir sus datos en formato estructurado, de uso común y lectura mecánica, o solicitar su transmisión a otro responsable.
- Retirada del consentimiento — en los tratamientos basados en él, en cualquier momento y sin que ello afecte a la licitud del tratamiento previo.
Cómo ejercerlos. Mediante solicitud dirigida a madrid@upstaymadrid.com, o por escrito al domicilio indicado en el apartado 1, indicando el derecho que se ejercita y acompañando copia de un documento acreditativo de la identidad. El ejercicio de estos derechos es gratuito y será atendido en el plazo máximo de un mes, prorrogable por dos meses adicionales cuando la complejidad o el número de solicitudes lo justifique, en cuyo caso se informará al interesado.
Reclamación ante la autoridad de control. Si considera que el tratamiento de sus datos no se ajusta a la normativa vigente, o que no ha obtenido satisfacción en el ejercicio de sus derechos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es).
10. Medidas de seguridad
Hemos adoptado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, atendiendo al estado de la técnica, la naturaleza de los datos tratados y el alcance del tratamiento. Entre ellas: cifrado de las comunicaciones del sitio web mediante certificado TLS, envío autenticado de los mensajes del formulario, control de acceso a los sistemas y a las cuentas de correo mediante credenciales robustas y verificación en dos pasos, y limitación del acceso a la información al mínimo personal necesario.
Ninguna medida de seguridad es infalible. En caso de producirse una violación de la seguridad de los datos que suponga un riesgo para los derechos y libertades de los interesados, se notificará a la Agencia Española de Protección de Datos y, cuando el riesgo sea alto, a los propios interesados, en los términos de los artículos 33 y 34 del RGPD.
11. Veracidad de los datos
El interesado garantiza que los datos facilitados son veraces, exactos y actuales, y se compromete a comunicar cualquier modificación. Cuando aporte datos de terceros —por ejemplo, acompañantes de un viaje— garantiza contar con su autorización y haberles informado previamente del contenido de la presente política.
12. Modificaciones de esta política
Esta Política de Privacidad podrá ser modificada para adaptarla a novedades legislativas, criterios de las autoridades de control o cambios en los servicios prestados. La versión vigente será en todo momento la publicada en el sitio web, indicándose la fecha de su última actualización en el encabezado. Cuando las modificaciones afecten sustancialmente a los tratamientos basados en el consentimiento, se informará al interesado por medios adecuados.
13. Contacto
Para cualquier cuestión relativa a esta Política de Privacidad:
madrid@upstaymadrid.com Calle Oruro 1, 28016 Madrid (España)
UPstay Madrid · Javier Alciturri Álvarez · NIF 51110054-Y