Política de privacidad

1. Responsable del tratamiento

Kodikoi Limited, sociedad constituida en Irlanda (Companies Registration Office, número 810786), con domicilio social en Venture Hub, 136 Capel Street, Dublín, D01 T2C9, Irlanda, opera el servicio Anotador.
Contacto para asuntos de privacidad: koi@kodikoi.com

2. Datos que recogemos

• Datos de cuenta: correo electrónico, nombre, y datos de los miembros del equipo invitados por el titular de la cuenta.
• Datos de reservas: nombre del titular, fechas de estancia, número de huéspedes, correo y teléfono de contacto.
• Datos de huéspedes recogidos mediante el formulario de registro de viajeros: nombre, apellidos, nacionalidad, tipo y número de documento de identidad, fecha de nacimiento, dirección y firma digital. Estos datos son exigidos por el Real Decreto 933/2021 y se tratan únicamente para cumplir esa obligación legal. El documento de identidad y otros campos sensibles se almacenan cifrados (AES-256-GCM) en nuestra base de datos.
• Datos de facturación procesados por Stripe (no almacenamos datos de tarjeta).
• Registros técnicos de uso y errores (dirección IP, user agent, trazas de fallos) con fines de seguridad y diagnóstico.

3. Finalidad y base legal

• Prestación del servicio contratado — base legal: ejecución del contrato (art. 6.1.b RGPD).
• Comunicación de datos de viajeros al Ministerio del Interior — base legal: obligación legal (art. 6.1.c RGPD), RD 933/2021.
• Envío de recordatorios de check-in por correo o WhatsApp, cuando el titular de la cuenta lo activa — base legal: ejecución del contrato.
• Gestión de la relación comercial y facturación — base legal: ejecución del contrato y obligación fiscal.
• Seguridad, prevención de fraude y diagnóstico técnico — base legal: interés legítimo (art. 6.1.f RGPD).

4. Destinatarios y encargados del tratamiento

Los datos de viajeros se comunican al Ministerio del Interior (Sistema de Comunicación de Información de Viajeros, SES.Hospedajes) — esto es una cesión exigida por ley, no una elección del servicio.

Para operar el servicio, trabajamos con los siguientes encargados del tratamiento:

• Vercel Inc. — alojamiento de la aplicación.
• Neon Inc. — base de datos (UE, Frankfurt).
• Cloudflare, Inc. (R2, red global) — almacenamiento de documentos y firmas digitales.
• Cloudflare, Inc. (Turnstile) — verificación anti-bot en formularios públicos.
• Inngest — ejecución de tareas asíncronas (envíos SES, recordatorios, purgas de datos).
• Stripe, Inc. — procesamiento de pagos y facturación.
• Resend — envío de correos transaccionales.
• Meta Platforms, Inc. (WhatsApp Business Platform) — envío de recordatorios por WhatsApp, solo si el titular de la cuenta activa este canal.
• Sentry (Functional Software, Inc.) — monitorización de errores técnicos.

No vendemos datos a terceros ni los usamos con fines publicitarios propios o ajenos.

5. Transferencias internacionales

Algunos encargados del tratamiento (Stripe, Meta, Sentry, Vercel, Inngest, Resend) pueden procesar datos fuera del Espacio Económico Europeo. En esos casos, la transferencia se ampara en cláusulas contractuales tipo aprobadas por la Comisión Europea u otro mecanismo de adecuación reconocido por el RGPD.

6. Conservación

Los datos de viajeros se conservan el tiempo necesario para cumplir la obligación legal (mínimo 3 años desde la salida, según el RD 933/2021), tras lo cual se anonimizan de forma automática. Los datos de cuenta se conservan mientras la suscripción esté activa y durante el período de prescripción de obligaciones fiscales y mercantiles.

7. Seguridad

Los campos de datos personales sensibles de los huéspedes (documento de identidad, fecha de nacimiento, teléfono) se cifran en reposo con AES-256-GCM. El acceso a la base de datos está segmentado por cuenta (aislamiento a nivel de fila) y protegido por autenticación.

8. Derechos

Puede ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición escribiendo a koi@kodikoi.com. Si considera que el tratamiento vulnera sus derechos, puede reclamar ante la Agencia Española de Protección de Datos (aepd.es) o, dado que Kodikoi Limited está establecida en Irlanda, ante la Data Protection Commission irlandesa (dataprotection.ie).

Los titulares de cuenta pueden exportar sus datos desde Ajustes → Cuenta dentro de la aplicación.