Contrato de encargo del tratamiento (Anexo I de los términos)

Partes#

• Responsable del tratamiento: la persona física (autónomo o profesional) o la empresa o gestora que se identifica al aceptar este anexo, con su nombre o razón social, su NIF/CIF, su domicilio y un email de contacto para privacidad. Puedes consultarlos y actualizarlos en Configuración → Legal.
• Encargado del tratamiento: ENBA HOMES, S.L., sociedad española con NIF B70892401, domicilio social en Camino del Prado 1, Bloque 4, Bajo A, 29630 Benalmádena, Málaga, España e inscrita en el Registro Mercantil de Málaga, folio electrónico, hoja MA-181808, inscripción 1.ª, que presta el servicio casflows ("casflows").

Quién acepta: lo acepta una persona propietaria de la cuenta, que declara (1) que usa casflows en el ámbito de una actividad empresarial o profesional, como la gestión de alojamientos turísticos, y (2) que es el responsable identificado o que tiene facultades suficientes para obligarle. Guardamos con cada aceptación los datos del responsable, quién la aceptó y con qué capacidad (titular o representante), la versión, el idioma, la fecha y hora y la huella (SHA-256) del texto aceptado, que puedes descargar en cualquier momento.

Gestoras que trabajan para propietarios#

Si gestionas alojamientos de otros propietarios, al aceptar declaras en cuál de estas dos situaciones estás (y puedes cambiarlo en Configuración):

• Decides tú sobre los datos (eres responsable frente a los huéspedes y a tu equipo): este anexo se aplica tal cual entre tú y casflows.
• Tratas los datos por encargo de cada propietario (cada propietario es el responsable y tú su encargado): casflows actúa entonces como subencargado tuyo. Te comprometes a (1) tener la autorización previa por escrito de cada propietario para recurrir a casflows y a sus subencargados, (2) trasladarle obligaciones de protección de datos equivalentes a las de este anexo, (3) darnos solo instrucciones que respeten las suyas y avisarnos si un propietario las cambia o retira su autorización, y (4) hacerle llegar lo que este anexo prevé para el responsable (avisos de brechas, de subencargados y solicitudes de derechos). Para casflows, tus instrucciones son las del propietario.

Quién da las instrucciones y cómo constan#

Las instrucciones las dan las personas propietarias de la cuenta (las que tienen acceso completo a casflows): son quienes configuran el servicio, gestionan las solicitudes de derechos, ordenan supresiones y deciden qué personas del equipo reciben qué datos. Tú decides a quién das ese acceso y respondes de ello. Una persona de tu equipo con un perfil limitado a su trabajo no da instrucciones: solo ve y registra lo suyo.

Tus instrucciones documentadas son los términos, este anexo y la configuración que haces en la aplicación. Los cambios de configuración que afectan al tratamiento quedan registrados, con la fecha y quién los hizo, en el Historial de instrucciones (Configuración → Legal), que puedes consultar y descargar en CSV:

• aceptar este anexo y actualizar los datos del responsable;
• activar, regenerar o desactivar la recepción de los emails de Airbnb y de Booking.com;
• dar de alta a una persona del equipo y cambiar sus casillas (Limpiezas, Llegadas, Ver nombre del huésped, Telegram, activa) y las propiedades que tiene asignadas;
• conectar o desconectar un Google Calendar (el de la cuenta o el de una persona del equipo);
• crear o regenerar el enlace «Bloquear en Airbnb» de una propiedad;
• invitar a alguien a casflows (con acceso completo o con un perfil limitado), y que una persona obtenga o pierda el acceso a la cuenta o a su perfil;
• marcar, renovar o quitar «conservar por reclamación» en una incidencia.

El historial no guarda datos de tus huéspedes. Instrucciones contrarias a la normativa: si una instrucción nos parece contraria al RGPD o a otra norma, te avisaremos por escrito y podremos suspender solo la operación afectada (no tu cuenta entera) hasta que la aclares o la cambies.

Objeto, naturaleza y finalidad#

casflows trata los datos solo para prestarte el servicio descrito en los términos y siguiendo tus instrucciones documentadas:

• leer el iCal de tus anuncios y crear, mover o cancelar las limpiezas de cada reserva;
• guardar las reservas manuales que creas tú (alquileres fuera de Airbnb) y hacer con ellas lo mismo que con las de Airbnb: crear su limpieza, asignarla, avisar a tu equipo por Telegram, mantener sus eventos en Google Calendar y contarla en los pagos al equipo;
• organizar las limpiezas y las llegadas, asignarlas a tu equipo y calcular lo que se paga a cada persona;
• enviar avisos por Telegram y mantener los eventos en Google Calendar;
• recibir los avisos de incidencias (texto, fotos y notas de voz, que pasamos a texto) y de reposición que tu equipo te envía por el bot de Telegram, numerarlos y asociarlos a la limpieza de ese día; avisar por Telegram de cada incidencia a quien la envió (resumen y cuando se resuelve) y a las personas de tu equipo con acceso a casflows que tienen Telegram vinculado;
• si lo activas (para toda la cuenta o por alojamiento), pedir a tu equipo en el recordatorio y recibir por el bot las fotos de cómo queda el alojamiento al terminar la limpieza y la confirmación de que la limpieza está terminada;
• publicar, si lo pides, un enlace secreto con las fechas de tus reservas manuales para que tu Airbnb las bloquee;
• si lo activas, leer los emails de Airbnb que reenvías para saber quién llega y cuántas personas son;
• si reenvías los emails «¡Nueva reserva!» de Booking.com, leerlos para confirmar que un evento del calendario de Booking.com es una reserva (y no un cierre) y a qué propiedad pertenece;
• si subes un informe de ganancias de Airbnb o un extracto de pagos de Booking.com, leer los importes de cada reserva para calcular las estadísticas de ingresos de tus propiedades;
• si das a una persona de tu equipo acceso a casflows con un perfil limitado, mostrarle solo su trabajo (sus limpiezas, las llegadas de sus propiedades —con el nombre del huésped solo si se lo autorizas—, las incidencias que ella envía y la lista de compra, y lo que se le debe solo si activas «Ver lo que se le debe»), guardar lo que registre desde ahí (limpiezas que marca como terminadas, incidencias, fotos y lo que falta) y enviarle sus avisos por las notificaciones de la aplicación si lo eliges;
• preparar, con la configuración que indiques, el informe de honorarios de cada propiedad para su propietario.

Exportación ordenada por ti: el enlace «Bloquear en Airbnb» de una propiedad es una exportación que nos pides: quien tenga el enlace puede leer las fechas de ocupación de sus reservas manuales (nunca nombres, viajeros ni notas). Puedes invalidarlo cuando quieras generando otro.

Las operaciones son: recogida, registro, conservación, consulta, cruce con tus reservas, comunicación a las personas que tú designas (las de tu equipo) y supresión. Respecto de los datos que trata como encargado, casflows no los usa para fines propios, no los vende y no los comunica salvo a los subencargados indicados más abajo. Los datos de tu propia relación con casflows (tu cuenta, tu acceso, tu suscripción) los trata casflows como responsable, según la política de privacidad.

Duración#

Mientras tengas una cuenta en casflows y, después, durante el plazo de devolución y supresión de 30 días indicado en Devolución y supresión al finalizar.

Tipos de datos y categorías de interesados#

El nombre y los viajeros de un huésped solo llegan a las personas de tu cuenta y a las personas de tu equipo que autorices (casilla «Ver nombre del huésped», que exige «Llegadas») asignadas a esa propiedad, en sus avisos de llegada, en sus calendarios y en su perfil. Quien no tenga esa casilla no los recibe nunca, ni en los avisos ni en los calendarios ni en la aplicación. Si se la quitas, dejamos de enviárselos desde ese momento.

Solo las personas propietarias de la cuenta ven los importes, los pagos, el saldo y los ingresos de Airbnb. Las personas de tu equipo no ven en casflows lo que se paga a nadie, ni siquiera lo suyo, salvo que a una persona con perfil limitado le actives «Ver lo que se le debe» (desactivado por defecto): entonces ve solo su propio saldo y el extracto de sus pagos y ajustes, con los comentarios que escribas, nunca los de otra persona; el resumen del cierre de un periodo lo recibe por email cada persona propietaria.

Las fotos de una incidencia, y las de la limpieza terminada si las pides, pueden mostrar, sin buscarlo, pertenencias de tus huéspedes u otros datos personales: pide a tu equipo que fotografíe solo el problema o el alojamiento, nunca personas ni documentos. Se guardan en un almacenamiento privado, solo las ven las personas de tu cuenta y nunca son públicas.

Notas de voz: una persona de tu equipo puede avisar de una incidencia con una nota de voz de Telegram (como mucho, 2 minutos). casflows la descarga, la pasa a texto con el subencargado Mistral AI y guarda solo el texto, como el de la incidencia; el audio no se guarda nunca (solo existe mientras se transcribe). Una nota de voz puede contener, sin buscarlo, datos de terceros (por ejemplo, el nombre de un huésped): pide a tu equipo que cuente solo el problema.

No se tratan categorías especiales de datos. No debes introducirlas en las notas.

Plazos de conservación y borrado automático#

• Nombre y viajeros del huésped: casflows los borra de sus sistemas automáticamente 30 días después de la fecha de salida de la reserva, y al instante si la reserva se cancela. Al cancelarse, además, quitamos el nombre de los eventos futuros de Google Calendar que gestiona casflows.
• Copias ya entregadas: los avisos de Telegram ya entregados a tus destinatarios y los eventos pasados de Google Calendar siguen en sus chats y calendarios, fuera de los sistemas de casflows, bajo tu control y el de esas personas. Como responsable, decides si pedirles que los borren. En la práctica: pide a tu equipo que borre los chats del bot que ya no necesite (o el chat entero), y recuerda que quitarle la casilla «Ver nombre del huésped» o desvincularle de Telegram no borra lo que ya recibió.
• Telegram: los mensajes ya entregados están en los servidores de Telegram y en los dispositivos de cada persona, bajo su control y el de Telegram (que los trata según sus propias condiciones): casflows no puede borrarlos.
• Google Calendar: al desconectar un calendario desde casflows, o al suprimir tu cuenta, borramos el calendario que creamos para ello (si Google responde; si no, el acceso se revoca igual). Si la persona revoca el acceso desde su cuenta de Google, casflows ya no puede tocar ese calendario: los eventos que queden son suyos y solo ella (o tú, pidiéndoselo) puede borrarlos.
• Email recibido antes que la reserva del iCal: sus datos se conservan, sin mostrarse, hasta que aparezca la reserva que le corresponde y, como máximo, hasta el final de la estancia que indica el email (nunca menos de 72 horas) o, si el email no indica la salida, 90 días; si no aparece, se borran sin llegar a mostrarse.
• Perfil limitado de una persona del equipo: su acceso termina en cuanto se lo quitas o la quitas del equipo; sus dispositivos de notificación se borran cuando los desactiva, cierra sesión, el servicio de notificaciones da su dirección por caducada o se suprime su usuario; lo que registró (limpiezas terminadas, incidencias, fotos y faltas) sigue los plazos de cada dato.
• Datos extraídos de los emails de Booking.com (número de reserva, identificador del alojamiento, fecha de entrada y nombre del alojamiento): casflows los borra automáticamente 30 días después de la fecha de entrada, siempre. Una reserva de Booking.com sin su email se muestra como «por confirmar» y tu equipo no recibe avisos de ella hasta que se confirme (con el email o porque tú decides si es una reserva o un cierre).
• Ingresos de Airbnb (los movimientos del informe que subes, con su fecha, importes, código de reserva y nombre del anuncio): 6 años desde la fecha en que Airbnb libera el pago, o hasta que se cierre la cuenta si es antes; después se borran automáticamente. Puedes borrarlos antes, por propiedad, desde las estadísticas. casflows no es tu contabilidad: es una ayuda para ver cuánto deja cada propiedad.
• Ingresos de Booking.com (los movimientos del extracto que subes, con su fecha, importes y número de reserva): 6 años desde la fecha de emisión del pago, o hasta que se cierre la cuenta si es antes; después se borran automáticamente. Puedes borrarlos antes, por propiedad, desde las estadísticas. casflows no es tu contabilidad.
• Registro de emails recibidos (sin el nombre del huésped, solo el tipo de email, el resultado y el código de la reserva): 90 días.
• Código de verificación del reenvío de Gmail: se borra al llegar el primer email de Airbnb o de Booking.com o, como mucho, a los 7 días.
• Remitentes rechazados: de los emails que no son de Airbnb, de Booking.com ni de la verificación de Google solo guardamos el dominio del último remitente rechazado (por ejemplo, «gmail.com», nunca la dirección completa), para ayudarte a diagnosticar el reenvío; se borra a los 90 días.
• Pagos al equipo (periodos cerrados, con sus importes por persona, y los pagos y ajustes que registras): 6 años desde el fin del periodo o desde la fecha del pago o del ajuste, o hasta que se cierre la cuenta si es antes; después se borran automáticamente. Es el plazo que aplicamos por defecto al usar esta función; lo elegimos como referencia orientativa por el plazo general de conservación de la documentación mercantil (art. 30.1 del Código de Comercio), si te aplica, pero decidir cuánto tiempo necesitas guardarlos es cosa tuya. casflows no es tu contabilidad: descarga los informes de los periodos que necesites guardar, y escríbenos si necesitas un plazo distinto.
• Incidencias y reposición: las fotos se borran automáticamente 24 horas después de marcar la incidencia como resuelta y, como mucho, 12 meses después de recibirlas; el texto de las incidencias resueltas y los avisos de reposición ya repuestos, 12 meses después de resolverlos o reponerlos. Una incidencia cuenta como resuelta desde que alguien con acceso a tu cuenta la marca como «Resuelta» en casflows (si se reabre antes, las fotos se quedan y el plazo vuelve a contar desde que se resuelva de nuevo). Además, puedes borrar cualquier foto antes. Telegram: en cuanto guardamos una foto, borramos el mensaje con la foto del chat del bot; Telegram solo lo permite durante las 48 horas siguientes al envío, así que, si no lo conseguimos, se queda en ese chat, bajo el control de esa persona y de Telegram. En cambio, el texto que escribe la persona se queda en su chat.
• Fotos de la limpieza terminada: se borran automáticamente 15 días después de la fecha de la limpieza, siempre (también si desactivas la función); las que no llegamos a descargar de Telegram, como mucho 2 días después de enviarlas. En cuanto guardamos una, borramos el mensaje del chat del bot (solo posible en las 48 horas siguientes; si no lo conseguimos, se queda en ese chat). La confirmación de limpieza terminada se guarda con la limpieza y sigue su plazo.
• Notas de voz: casflows no guarda el audio; su texto sigue los plazos de la incidencia. El identificador del mensaje de Telegram se borra al transcribirla (si algo falla, como mucho 2 días después) y, una vez transcrita, borramos la nota de voz del chat del bot (solo posible en las 48 horas siguientes al envío; si no lo conseguimos, se queda en ese chat, bajo el control de esa persona y de Telegram). Mistral AI puede conservar el audio y el texto durante un tiempo limitado para vigilar el abuso de su servicio, salvo con la retención cero (ver la lista de subencargados).
• Conservar por una reclamación: si necesitas una incidencia para una reclamación (por ejemplo, la fianza), una persona propietaria puede marcarla para conservar por una reclamación, siempre con un motivo. Mientras la marca esté vigente no la borramos, ni a ella ni a sus fotos. La marca dura 6 meses y se puede renovar; 30 días antes de que caduque, el panel te pide revisarla. Si la dejas caducar, vuelven a aplicarse los plazos normales. Marcarla, renovarla y quitarla queda en el Historial de instrucciones. Al cerrar la cuenta, la marca no impide la supresión: descarga antes lo que necesites para la reclamación.
• El resto de los datos se conserva con los plazos de la política de privacidad.

Este borrado de los datos del huésped funciona siempre, de forma automática, sin que tengas que hacer nada.

Obligaciones de casflows como encargado#

• Tratar los datos solo siguiendo tus instrucciones documentadas, también en cuanto a transferencias internacionales, salvo que una norma nos obligue a otra cosa (en ese caso te informaremos antes, si la ley lo permite). Si una instrucción nos parece contraria a la normativa, te avisaremos (ver Quién da las instrucciones).
• Garantizar que las personas autorizadas a tratar los datos tienen un compromiso de confidencialidad.
• Tratar solo los datos mínimos: de los emails de Airbnb y de Booking.com extraemos únicamente los datos indicados en Tipos de datos y descartamos el resto sin guardarlo.
• Llevar el registro de actividades de tratamiento como encargado cuando proceda (art. 30.2 RGPD).
• Ayudarte a cumplir tus obligaciones, como se detalla en Asistencia.

Medidas de seguridad#

Aplicamos las medidas del artículo 32 RGPD descritas en la política de privacidad y, para el reenvío de emails, además:

• Cada cuenta tiene una dirección de reenvío secreta que solo ve el titular; puedes generar otra en cualquier momento y la anterior deja de funcionar al instante.
• Solo se aceptan emails cuyo remitente es Airbnb, Booking.com o la verificación de reenvío de Google; el resto se rechaza y, de él, solo guardamos su dominio (el del último remitente rechazado) para el diagnóstico del reenvío.
• El paso del correo a la aplicación va firmado (HMAC) y con un límite diario de emails por dirección.
• Aislamiento entre clientes con seguridad a nivel de fila (RLS) y secretos cifrados (AES-256-GCM).
• Las fotos de las incidencias y de las limpiezas se guardan en un almacenamiento privado y solo se muestran a las personas de tu cuenta, con enlaces temporales que caducan a los 5 minutos, sin descarga masiva ni enlaces públicos.
• Las notas de voz no se guardan: el audio solo pasa por la memoria del servidor mientras se transcribe, y ni el audio ni el texto se escriben en los registros técnicos.
• Los datos de un email de Airbnb solo se asocian a una reserva si su código coincide con una reserva de tu cuenta; los de un email de Booking.com, si el identificador del alojamiento y la fecha de entrada coinciden con un calendario y una reserva de tu cuenta.

Subencargados#

Nos das una autorización general para recurrir a subencargados. La lista actualizada, con la función de cada uno, dónde trata los datos, a qué datos accede y su mecanismo de transferencia internacional, está siempre en casflows.com/subencargados. Hoy son:

• Supabase (Supabase Pte. Ltd.): base de datos, autenticación y almacenamiento de las fotos de las incidencias y de las limpiezas (Unión Europea).
• Vercel (Vercel Inc.): alojamiento de la aplicación.
• Cloudflare (Cloudflare, Inc.): DNS del dominio y recepción del correo que reenvías (Email Routing y Workers), que procesa el email en tránsito para entregárselo a casflows. Cloudflare anota cada email en un registro de actividad (remitente, destinatario, asunto —que puede incluir el nombre del huésped— y resultado de la entrega), que su panel conserva 30 días y que solo pueden consultar los administradores de la cuenta de Cloudflare de casflows.
• Google (Google LLC / Google Ireland Ltd.): Google Calendar, solo si lo conectas tú o una persona de tu equipo.
• Telegram (Telegram Messenger Inc.): canal de los avisos a tu equipo y de los avisos de incidencias y reposición que te envía (ver abajo).
• Resend (Plus Five Five, Inc.): emails transaccionales (hoy, el resumen del cierre de un periodo de pagos a las personas propietarias de la cuenta), enviados desde la UE (Irlanda); los datos de la cuenta de Resend y el registro de los envíos están en EE. UU.
• Mistral AI (Mistral AI SAS, Francia): transcripción de las notas de voz con las que tu equipo avisa de una incidencia; recibe el audio y devuelve el texto (Unión Europea).

Telegram, por partes: (a) Telegram transmite y guarda los mensajes como proveedor del servicio de mensajería, según sus propias condiciones y su política de privacidad, y trata así los datos de quien usa su aplicación (su cuenta y sus chats); no ofrece un contrato de encargo a quienes usan su API de bots, así que casflows no tiene uno firmado con Telegram; (b) el envío de los avisos y la recepción de los avisos de incidencias (texto, fotos y notas de voz) que casflows hace a través de la Bot API de Telegram es un tratamiento que casflows hace por tu cuenta, cubierto por este anexo. Que una persona abra el bot no sustituye tus obligaciones como responsable (por ejemplo, informarle): solo permite que el bot le escriba. Puedes limitarlo con las casillas de cada persona y con «No usa Telegram».

A Supabase, Vercel, Cloudflare, Resend y Mistral AI les imponemos por contrato obligaciones de protección de datos equivalentes a las de este anexo y seguimos siendo responsables frente a ti de su cumplimiento. Google y Telegram no ofrecen contrato de encargo para estos usos: tratan los datos según sus propias condiciones. Por eso solo intervienen si tú o cada persona de tu equipo lo decidís (conectar un Google Calendar, vincular el bot) y puedes limitarlo con las casillas de cada persona. Cambios: te avisaremos de cualquier alta o sustitución (o de un cambio en dónde tratan los datos) con al menos 30 días de antelación, por email a las personas propietarias de tu cuenta y con un aviso en la aplicación, y actualizaremos la lista. Podrás oponerte por motivos razonables relacionados con la protección de datos; si no encontramos una solución, podrás desactivar la función afectada o cancelar el servicio sin penalización.

Quién no es subencargado: Airbnb (lee el enlace «Bloquear en Airbnb» y te da el iCal porque tú se lo pides; trata esos datos por su cuenta). Tampoco hay ningún proveedor de pagos: hoy casflows no cobra; si activamos el cobro, ese proveedor tratará tus datos de pago con casflows como responsable, nunca los de tus huéspedes ni los de tu equipo.

Ubicación de los datos y transferencias internacionales#

Vercel, Cloudflare, Google y Resend son empresas con sede en EE. UU., y Supabase Pte. Ltd. (Singapur) pertenece a un grupo con matriz en EE. UU.: su personal puede acceder a los datos desde fuera del Espacio Económico Europeo (por ejemplo, para dar soporte). Ese acceso o transferencia se hace con las garantías del capítulo V RGPD: Cláusulas Contractuales Tipo en el contrato de encargo de Supabase, Vercel, Cloudflare y Resend, y el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación) para Vercel, Cloudflare, Resend y Google LLC. Telegram trata los mensajes fuera de la Unión Europea sin cláusulas tipo ni otra garantía del art. 46 RGPD, porque no las ofrece: por eso enviamos por Telegram solo lo necesario para cada aviso y vincular el bot es voluntario. Mistral AI es una empresa de la Unión Europea y trata los datos por defecto en la UE: no hay transferencia internacional (si alguno de sus subencargados los trata fuera de la UE, declara cubrirlo con las garantías del art. 46 RGPD). El mecanismo de cada proveedor figura en la lista de subencargados y en la política de privacidad, y te avisaremos si cambia.

Violaciones de seguridad#

Te notificaremos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tengamos conocimiento, cualquier violación de la seguridad que afecte a estos datos, para que puedas notificarla a la autoridad (art. 33 RGPD) y, si procede, a los interesados (art. 34 RGPD).

• Primera notificación, con lo que sepamos en ese momento: qué ha pasado y cuándo, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, sus consecuencias probables, las medidas adoptadas o propuestas para ponerle remedio y reducir sus efectos, y una persona de contacto.
• Información progresiva: lo que no sepamos aún te lo enviaremos por fases, en cuanto lo tengamos, sin esperar a tenerlo todo.
• Canal: por email al email de privacidad que nos diste al aceptar este anexo y a las personas propietarias de la cuenta, con un aviso en la aplicación. Tú puedes escribirnos a privacidad@casflows.com.

Ejercicio de derechos de los interesados#

Te ayudaremos, teniendo en cuenta la naturaleza del tratamiento, a responder a las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición. Si un huésped o una persona de tu equipo nos escribe directamente, te trasladaremos la solicitud sin responderla por ti, salvo que nos lo indiques.

Asistencia#

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispongamos, te ayudaremos a cumplir las obligaciones de los artículos 32 a 36 RGPD:

• la seguridad del tratamiento y la gestión de las brechas;
• las evaluaciones de impacto que decidas hacer y, si hacen falta, la consulta previa a la autoridad de control;
• las reclamaciones de los interesados y los requerimientos de la Agencia Española de Protección de Datos u otra autoridad sobre este tratamiento.

Devolución y supresión al finalizar#

Al terminar el servicio decides tú (art. 33 de la Ley Orgánica 3/2018, LOPDGDD) si los datos se suprimen, se te devuelven o se entregan al encargado que designes: durante los 30 días siguientes al cierre puedes pedirnos la exportación (o su entrega a otro encargado). Pasado ese plazo los suprimimos de nuestros sistemas activos; en las copias de seguridad, que están cifradas, solo las usa nuestro equipo técnico para recuperar el servicio ante un desastre y nunca se restauran para un uso ordinario, desaparecen en un máximo de 7 días adicionales. Los datos de huéspedes no esperan a ese momento: siguen los plazos de conservación.

Con la cuenta se suprimen también las aceptaciones de este anexo y el Historial de instrucciones: descárgalos antes si los necesitas. casflows solo conserva, bloqueados, los datos que necesite para atender sus propias responsabilidades como responsable, según la política de privacidad: la evidencia de que se aceptaron los términos y, cuando exista la suscripción de pago, su facturación.

Información y auditorías#

Pondremos a tu disposición la información necesaria para demostrar el cumplimiento de este anexo y permitiremos y contribuiremos a auditorías, incluidas inspecciones, realizadas por ti o por un auditor que designes y que esté sujeto a confidencialidad. Normalmente las atenderemos primero con documentación y respuestas por escrito. Por lo general, se solicitarán con 30 días de antelación, como máximo una vez al año, sin comprometer la seguridad ni los datos de otros clientes, y a tu cargo.

Sin esos límites (sin el preaviso de 30 días ni el máximo anual): cuando lo pida una autoridad de control, tras una violación de seguridad que afecte a tus datos, cuando haya indicios razonables de incumplimiento de este anexo o tras un cambio sustancial en el tratamiento o en los subencargados.

Tus obligaciones como responsable#

• Tener una base jurídica propia para tratar los datos de tus huéspedes y de las personas de tu equipo. Por ejemplo, en España, tu obligación de registrar a los viajeros (Real Decreto 933/2021). casflows no es ese registro ni envía nada a las autoridades: si tienes esa obligación, la sigues cumpliendo por tu cuenta.
• Activar el reenvío solo desde un buzón que controles y solo para los emails de Airbnb y de Booking.com, sin reenviar otros correos.
• Debes informar a tus huéspedes y a las personas de tu equipo de este tratamiento (art. 13 y 14 RGPD), incluido que casflows y sus subencargados intervienen como encargados.
• Mantener al día los datos del responsable (Configuración → Legal) y dar el acceso completo a casflows solo a quien deba dar instrucciones en tu nombre y, a las personas de tu equipo que solo necesiten ver su trabajo, un perfil limitado.
• Dar instrucciones conformes con la normativa, según la sección Tus responsabilidades sobre los datos que introduces de los términos.

Versión y aceptación#

Versión vigente: 2026-10-20, publicada el 20/10/2026. La acepta expresamente una persona propietaria de la cuenta desde la aplicación, con los datos del responsable, y guardamos un registro de cada aceptación (ver Partes). La aceptación de este anexo es independiente de la de los términos y de la activación de cada función (por ejemplo, el reenvío de emails), que quedan registradas por separado. Sin esa aceptación no se puede usar casflows ni activar el reenvío, y no guardamos ningún dato de huéspedes.

Si publicamos una versión nueva, tendrás que aceptarla de nuevo para seguir usando casflows. Mientras no la aceptes, seguiremos tratando los datos según la última versión que aceptaste (por ejemplo, procesando los emails que reenvíes y lo que tu equipo envíe al bot), y lo nuevo de la versión pendiente solo se aplicará cuando la aceptes. Cada versión publicada se conserva tal cual y puedes descargar la que aceptaste en Configuración → Legal.

Contacto#

Para cualquier cuestión sobre este anexo: privacidad@casflows.com. Por correo postal: ENBA HOMES, S.L., Camino del Prado 1, Bloque 4, Bajo A, 29630 Benalmádena, Málaga, España.