Política de privacidad

Resumen#

• Con quién los compartimos: solo con los proveedores que necesitamos para prestar el servicio; algunos están fuera de la Unión Europea, con las garantías que se indican. Ver Con quién compartimos los datos y Transferencias internacionales.
• Cuánto tiempo: lo necesario para cada fin, con plazos concretos. Ver Conservación.
• Tus derechos: acceso, rectificación, supresión, limitación, portabilidad y oposición, escribiendo a privacidad@casflows.com. Ver Tus derechos.

Quién es el responsable#

• Responsable: ENBA HOMES, S.L.
• NIF: B70892401
• Domicilio social: Camino del Prado 1, Bloque 4, Bajo A, 29630 Benalmádena, Málaga, España
• Datos registrales: Registro Mercantil de Málaga, folio electrónico, hoja MA-181808, inscripción 1.ª
• Email de privacidad: privacidad@casflows.com
• Servicio: casflows — https://casflows.com

El responsable es una sociedad española, establecida en España, que ofrece el servicio a clientes en España y en el resto de la Unión Europea. Aplicamos el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

Quién decide sobre cada dato#

Según la operación, somos responsables (decidimos para qué y cómo se tratan los datos) o encargados (los tratamos por cuenta de quien usa casflows para gestionar sus alojamientos, al que llamamos «el anfitrión», solo siguiendo sus instrucciones, conforme al contrato de encargo del tratamiento (Anexo I de los términos), art. 28 RGPD):

Gestoras. Si una gestora usa casflows para alojamientos de otros propietarios, al aceptar el contrato de encargo declara su papel: si decide ella sobre los datos, es la responsable y casflows su encargado; si los trata por encargo de cada propietario, el propietario es el responsable, la gestora su encargada y casflows actúa como subencargado de la gestora (ver Gestoras que trabajan para propietarios). En esta política, «el anfitrión» es quien decide en cada caso.

Telegram. Cuando el anfitrión configura avisos, nosotros, como encargados y siguiendo sus instrucciones, los enviamos a cada persona que ha vinculado el bot a través de la API de Telegram, y por esa misma vía recibimos lo que esas personas envían al bot. Telegram transmite y guarda esos mensajes como proveedor del servicio de mensajería, según sus propias condiciones y su política de privacidad. No tenemos firmado un contrato de encargo con Telegram: no ofrece uno a quienes usan su API de bots. Por eso enviamos por Telegram solo lo necesario para cada aviso, y vincular el bot es siempre una decisión de la propia persona. El bot de tu cuenta. Si lo activas, el bot que usa tu equipo lo creas tú en tu cuenta de Telegram y es de tu propiedad: lo gestionas tú en @BotFather (puedes borrarlo, cambiarle el token o restringirlo cuando quieras). Telegram nos informa de que lo has creado y nos entrega su token, la credencial con la que lo operamos; lo guardamos cifrado, solo lo usamos para enviar y recibir los mensajes de tu equipo en tu nombre y lo borramos al retirar el bot o al cerrar tu cuenta. Telegram sigue siendo el mismo proveedor de mensajería y se rige por lo dicho arriba. Mientras no tengas un bot propio, los avisos salen por el bot compartido de casflows; si el tuyo deja de funcionar, esos avisos esperan a que lo reconectes.

Confidencialidad. Las personas de nuestra organización que pueden acceder a datos personales (soporte, administración de los sistemas y respuesta a incidentes) están sujetas a un deber de confidencialidad que se mantiene después de terminar su relación con nosotros (art. 5 LOPDGDD).

Qué datos tratamos#

No te pedimos categorías especiales de datos (salud, ideología, etc.). Te pedimos que no las incluyas en las notas, y que no escribas en ellas datos de tus huéspedes que no sean necesarios. Hoy casflows no cobra ni guarda datos de pago; si activamos el cobro, actualizaremos esta política antes.

Huéspedes de tus alojamientos (reenvío o escritos por ti)#

Si el anfitrión activa el reenvío de los emails de Airbnb a su dirección de casflows, leemos de esos emails solo el nombre del huésped, el número de viajeros, el código de confirmación de la reserva y sus fechas. Nunca guardamos el teléfono, el email, los importes, la ciudad ni el título del anuncio, aunque aparezcan en el email.

Si el anfitrión también reenvía los emails «¡Nueva reserva!» de Booking.com (remitente noreply@booking.com), leemos de ellos solo el número de reserva, el identificador del alojamiento en Booking.com, la fecha de entrada y el nombre del alojamiento. Los usamos para confirmar que un evento del calendario de Booking.com es una reserva (y no un cierre) y para saber a qué propiedad pertenece. Esos emails no traen el nombre del huésped ni los importes, y el resto del email se descarta al instante. Mientras una reserva de Booking.com no está confirmada, se muestra como «por confirmar» y el equipo no recibe avisos de ella.

Si creas una reserva manual (una estancia que cierras fuera de Airbnb), puedes escribir tú el nombre del huésped y el número de viajeros. Son los mismos datos y se tratan igual: los ven las mismas personas y se borran en los mismos plazos. Lo mismo en una reserva de Booking.com: Booking.com no nos da el nombre del huésped, así que, si quieres, lo escribes tú (con los viajeros) y se trata igual. Y en una reserva de Airbnb sin nombre (por ejemplo, si no reenvías los emails): si lo escribes tú, se trata igual; si después llega el email de Airbnb de esa reserva, sus datos sustituyen a los que escribiste.

En ese tratamiento el anfitrión es el responsable y casflows es encargado, conforme al contrato de encargo del tratamiento (Anexo I). Si eres huésped, puedes ejercer tus derechos ante el anfitrión; si nos escribes a nosotros, le haremos llegar tu solicitud.

El anfitrión determina y documenta la base jurídica de cada uso que hace de estos datos (por ejemplo, organizar tu llegada) y te informa como responsable; casflows solo los trata siguiendo sus instrucciones. casflows no hace el registro de viajeros del Real Decreto 933/2021 (casflows no es ese registro) ni envía nada a las autoridades.

• casflows borra los datos extraídos de los emails de Booking.com (número de reserva, identificador del alojamiento, fecha de entrada y nombre del alojamiento) 30 días después de la fecha de entrada, siempre.
• casflows borra el nombre y los viajeros de sus sistemas automáticamente 30 días después de la salida, y al instante si la reserva se cancela. Al cancelarse, también quita el nombre de los eventos futuros de Google Calendar que gestiona.
• Los avisos de Telegram ya entregados y los eventos pasados de Google Calendar siguen en los chats y calendarios de quienes los recibieron: ahí el anfitrión sigue siendo el responsable, junto con esas personas.
• De los emails que no son de Airbnb, de Booking.com ni de la verificación de Google solo guardamos el dominio del último remitente rechazado (por ejemplo, «gmail.com», nunca la dirección completa), para diagnosticar el reenvío, y se borra a los 90 días.
• Si el email llega antes que la reserva, se guarda sin mostrarse hasta que aparece la reserva y, como máximo, hasta el final de la estancia que indica el email (nunca menos de 72 horas) o, si el email no indica la salida, 90 días; si no aparece, se borra sin llegar a mostrarse.
• Solo llegan a las personas de la cuenta del anfitrión (y a su propio Google Calendar, si lo conecta) y a las personas de su equipo que autorice: una persona del equipo solo recibe el nombre y los viajeros del huésped si el anfitrión le marca la casilla «Ver nombre del huésped» (que exige «Llegadas»): en sus avisos de llegada, en su calendario y en su perfil, también en sus limpiezas (quién sale y quién entra ese día; en su calendario y en su perfil, no en el aviso de la limpieza por Telegram). Quien solo se ocupa de las limpiezas (sin esa casilla) no lo recibe.

Si formas parte del equipo de un anfitrión#

Si formas parte del equipo de un anfitrión (limpias, recibes a sus huéspedes o le ayudas a gestionar sus alojamientos con casflows), ese anfitrión o esa gestora es el responsable de tus datos y nosotros tratamos esos datos por su cuenta, como encargados. Decide qué datos tuyos se guardan, qué avisos recibes y qué ves (por ejemplo, si ves el nombre de los huéspedes).

• Qué datos: tu nombre, una etiqueta, las tareas que haces y los alojamientos que tienes asignados (los aporta el anfitrión); tu identificador de chat de Telegram y lo que envías al bot, como el texto, las fotos o las notas de voz de una incidencia y, si el anfitrión lo pide, las fotos de cómo queda el alojamiento al terminar una limpieza y la confirmación de que la has terminado (los aportas tú al usarlo; una nota de voz se pasa a texto y el audio no se guarda); si conectas tu propio Google Calendar, el email de esa cuenta de Google y un token cifrado (ver Datos que recibimos de Google); y, si el anfitrión lo usa, lo que te corresponde por cada limpieza y los pagos que marca.
• Quién más los trata: Telegram, si vinculas el bot; Mistral AI, si mandas una nota de voz (la pasa a texto); y Google, si conectas tu calendario (ver Con quién compartimos los datos).
• Qué es voluntario: vincular el bot de Telegram y conectar tu Google Calendar. Puedes pedir al anfitrión que te desvincule o te desconecte, y quitar el acceso a casflows desde tu cuenta de Google cuando quieras.
• Si el anfitrión te da un perfil limitado en casflows: entras con tu usuario (el email con el que entras) y una contraseña, y ves solo tu trabajo: tus limpiezas y las llegadas de tus alojamientos (con el nombre del huésped y los viajeros —en una limpieza, quién sale y quién entra ese día— solo si el anfitrión te lo autoriza, casilla «Ver nombre del huésped»), las incidencias que envías, la lista de compra y, solo si el anfitrión activa «Ver lo que se te debe», tu saldo y el extracto de tus pagos y ajustes (con los comentarios que él escriba). Nunca ves los datos de otras personas ni los importes de la cuenta. Desde ahí puedes marcar una limpieza como terminada y enviar incidencias, fotos y lo que falta, y elegir si recibes tus avisos por Telegram o por las notificaciones de la aplicación (ver Notificaciones push).
• Quién es responsable de tu cuenta de usuario y de tus dispositivos: nosotros. Tu usuario (email, contraseña y sesiones) y la suscripción de cada dispositivo en el que activas las notificaciones son datos de tu uso de casflows; lo que ves y registras en la cuenta del anfitrión lo tratamos por su cuenta, como encargados. Base jurídica de tu usuario: nuestro interés legítimo en darte el acceso que el anfitrión te autoriza y en mantenerlo seguro — art. 6.1.f. Base de las notificaciones: tu consentimiento — art. 6.1.a: las activas tú, en cada dispositivo, y puedes desactivarlas cuando quieras.
• Cuánto tiempo: mientras el anfitrión te tenga en su equipo y en los plazos de Conservación. Tu acceso con perfil limitado termina en cuanto el anfitrión te lo quita o te quita del equipo.
• Tus derechos: dirígete al anfitrión. Si nos escribes a nosotros, le trasladaremos tu solicitud y le ayudaremos a responderla (ver Tus derechos).

Para que el anfitrión pueda informarte como responsable (arts. 13 y 14 RGPD), casflows le da un texto breve y reutilizable, por capas (art. 11 LOPDGDD): el «Aviso de privacidad para tu equipo» de la página Equipo. Con su nombre ya puesto, explica quién es el responsable, para qué y con qué base se tratan tus datos, qué datos y de dónde salen, quién más los trata (casflows, Telegram y Google), cuánto tiempo se guardan y cómo ejercer tus derechos, y enlaza a esta sección. Al vincular el bot de Telegram y al conectar tu Google Calendar también te lo recordamos.

Solicitudes de información#

Si nos escribes desde el formulario de contacto de casflows.com («¿Hablamos?»), guardamos tu nombre, tu email, cuántos alojamientos gestionas, tu mensaje (si escribes uno), el idioma de la página y la fecha en que nos escribes. Para frenar envíos automáticos o abusivos, guardamos también una huella (hash) de tu dirección IP, calculada con una clave secreta, que no permite recuperar la IP; solo sirve para limitar cuántas solicitudes llegan desde un mismo origen en una hora. La quitamos de las solicitudes con más de 24 horas cada vez que llega una nueva y, en todo caso, se borra con el resto de los datos de tu solicitud.

• Somos responsables de estos datos (no los tratamos por cuenta de ningún anfitrión).
• Para qué: Para responder a tu solicitud y, si nos lo pides, contarte cómo funciona casflows y sus precios. No te enviaremos publicidad ni boletines.
• Base jurídica: Aplicar, a petición tuya, medidas precontractuales — art. 6.1.b; y nuestro interés legítimo en responder a quien nos escribe — art. 6.1.f. Para la huella de la IP, nuestro interés legítimo en proteger el formulario — art. 6.1.f.
• Qué emails se envían: al enviar el formulario te mandamos un email confirmando que la hemos recibido (como mucho uno cada 24 horas, aunque nos escribas varias veces) y avisamos por email al equipo de casflows con los datos de tu solicitud para poder contestarte. Los envía nuestro proveedor de email, Resend (ver Con quién compartimos los datos). El registro técnico de cada envío no guarda tu email y se borra a los 90 días.
• Quién la ve: el personal autorizado de casflows que atiende el buzón de contacto, con deber de confidencialidad. Ese aviso llega a nuestro buzón de contacto, que recibimos a través del reenvío de correo de Cloudflare en una cuenta de correo de Google (Gmail). Además de Resend, Cloudflare y Google, que los tratan para entregar y guardar esos emails, no la comunicamos a nadie más ni la usamos para otros fines.
• Si te damos de alta: si quieres empezar a usar casflows, te creamos un enlace de alta de un solo uso con tu email (caduca a los 7 días). Ese enlace solo lo enviamos nosotros, por el canal por el que hemos hablado contigo; guardamos tu email y una huella (hash) del enlace, nunca el enlace, y los borramos 30 días después de que caduque.
• Cuánto tiempo: 12 meses desde que nos escribes (ver Conservación). Si después te das de alta en casflows, los datos de tu cuenta siguen sus propios plazos.
• Se guardan en nuestra base de datos en la Unión Europea (Supabase).

Puedes pedirnos que borremos tu solicitud, oponerte a este tratamiento y ejercer el resto de tus derechos escribiendo a privacidad@casflows.com.

Notificaciones push#

Si pulsas «Activar notificaciones» en Configuración, tu navegador nos da una dirección de entrega para ese dispositivo (una dirección del servicio de notificaciones de su fabricante) y unas claves públicas para cifrar los avisos. Las guardamos a tu nombre, con el tipo de dispositivo y de navegador, para enviarte los avisos que elijas de las cuentas a las que tienes acceso: reservas nuevas y canceladas, incidencias nuevas, limpiezas terminadas y problemas que requieren tu atención (un calendario que no se sincroniza, un Google Calendar desconectado, nadie que reciba la llegada de mañana o avisos de Telegram sin entregar). El permiso lo da tu navegador y solo te lo pedimos cuando pulsas ese botón.

• Somos responsables de estos datos: son datos de tu uso de casflows, no datos que tratemos por cuenta de un anfitrión.
• Para qué: enviar a ese dispositivo los avisos que has activado y, si la pides, una notificación de prueba.
• Si formas parte del equipo de un anfitrión y tienes un perfil limitado: puedes elegir recibir por aquí, en vez de por Telegram, el recordatorio del día anterior, los cambios y cancelaciones de tus limpiezas, la pregunta de si has terminado y el aviso de que una incidencia tuya está resuelta. Esos avisos nunca llevan el nombre de un huésped ni el texto de una incidencia. Los trata el anfitrión como responsable y nosotros por su cuenta; la suscripción de tu dispositivo, nosotros (ver Si formas parte del equipo de un anfitrión).
• Base jurídica: la ejecución del contrato — art. 6.1.b: es una función del servicio que activas tú, en cada dispositivo, y que puedes desactivar cuando quieras. Guardar la suscripción en tu navegador es necesario para prestar el servicio que pides (art. 22.2 LSSI).
• Qué se ve con el móvil bloqueado: el nombre del alojamiento, las fechas, la plataforma (Airbnb o Booking.com), el número de la incidencia o cuántos avisos no se entregaron. El aviso de limpieza terminada dice además quién la terminó (el nombre con el que figura esa persona en el Equipo de la cuenta) y cuántas fotos envió o, si la marcó como terminada desde la web una persona con acceso a la cuenta, su nombre de usuario (a ella no le llega). Nunca el nombre de un huésped, cuántos viajeros son, el código de la reserva, el texto de una incidencia, enlaces ni mensajes de error.
• Quién interviene: el aviso lo entrega el servicio de notificaciones del fabricante de tu navegador o de tu móvil (Apple, Google, Mozilla o Microsoft). El contenido viaja cifrado de extremo a extremo (estándar Web Push): ese servicio no puede leerlo; solo ve la dirección de entrega de tu dispositivo y datos técnicos del envío, como la hora y el tamaño. No lo elegimos nosotros: es el que usa tu navegador para todas sus notificaciones (ver Con quién compartimos los datos).
• Cuánto tiempo: hasta que desactivas las notificaciones en ese dispositivo o lo quitas de «Tus dispositivos», cierras sesión en él, el servicio de notificaciones nos dice que esa dirección ya no existe (por ejemplo, si desinstalas la app o retiras el permiso) o se suprime tu usuario. Tus preferencias de una cuenta se borran si pierdes el acceso a ella. El registro técnico de cada envío no guarda la dirección de tu dispositivo y se borra a los 90 días.
• Se guardan en nuestra base de datos en la Unión Europea (Supabase).

Para qué los usamos y con qué base jurídica#

Cuando somos responsables:

Cuando somos encargados (datos de tu equipo, propiedades, reservas, limpiezas, pagos al equipo, ingresos de Airbnb, incidencias, huéspedes y el contenido de los eventos de Google Calendar), los fines y la base jurídica los determinas tú como responsable; nosotros solo los tratamos para prestarte el servicio, siguiendo tus instrucciones. Esas instrucciones quedan documentadas en el Historial de instrucciones (Configuración → Legal), que puedes consultar y descargar. Ver tus responsabilidades.

No enviamos publicidad ni boletines comerciales. Si algún día quisiéramos hacerlo, te pediríamos antes tu consentimiento.

Datos que recibimos de Google#

La conexión con Google Calendar es opcional y la inicias tú desde casflows. Solo pedimos estos permisos (scopes):

• https://www.googleapis.com/auth/calendar.app.created: crear un calendario secundario propio de casflows y gestionar dentro de él los eventos de reservas, limpiezas y bloqueos de Airbnb. Nunca invitamos a nadie a esos eventos.

Con ese permiso (https://www.googleapis.com/auth/calendar.app.created), casflows no puede leer ni modificar ningún otro calendario ni evento de tu cuenta de Google: solo accede al calendario que él mismo crea y a los eventos que crea en él. No pedimos ningún permiso de inicio de sesión de Google (como identificar tu cuenta o leer tu email).

Base jurídica. La autorización que das en Google (OAuth) no es la base jurídica: es la forma técnica de permitir que casflows escriba en ese calendario. Si eres el anfitrión y conectas tu propio calendario, mantener esa conexión forma parte del servicio que contratas (art. 6.1.b). Si eres una persona del equipo de un anfitrión y conectas el tuyo, das tu consentimiento para esa conexión, que puedes retirar cuando quieras; pero los eventos que copiamos en él (limpiezas, llegadas y, si te lo autoriza, el nombre del huésped) los tratamos por instrucción del anfitrión y con su base jurídica, nunca el consentimiento de quien conecta su calendario.

Estos son todos los datos de Google que guardamos:

• El identificador del calendario secundario que crea casflows.
• Los identificadores de los eventos que casflows crea en ese calendario.
• El token de actualización (refresh token) de OAuth, cifrado con AES-256-GCM, que permite mantener el calendario al día sin que tengas que volver a conectarte.
• El email de la cuenta de Google conectada, que casflows obtiene como creador del calendario y de los eventos que él mismo ha creado. Lo usamos solo para mostrarte qué cuenta está conectada (si la conecta una persona de tu equipo, te lo mostramos a ti).
• Los permisos (scopes) que concediste al conectar, para comprobar que la conexión tiene el permiso necesario.

Qué hacemos con los datos de Google:

• Los usamos exclusivamente para prestarte la función que ves en casflows: mantener tus limpiezas en ese calendario.
• No los usamos para publicidad, ni para perfiles publicitarios ni para retargeting.
• No los vendemos ni los cedemos a terceros, salvo a los proveedores necesarios para prestar el servicio (ver destinatarios), si lo exige la ley o en una operación societaria (fusión, adquisición) con las mismas garantías.
• No los usamos para entrenar modelos de inteligencia artificial o de aprendizaje automático, ni generales ni propios.
• Ninguna persona los lee, salvo en estos casos cerrados: que nos des tu consentimiento expreso para un caso concreto (por ejemplo, de soporte), que sea necesario por seguridad (investigar un abuso o un incidente) o para cumplir la ley. Solo el personal técnico autorizado de casflows tiene acceso a los sistemas donde se guardan, con deber de confidencialidad, y el token está cifrado. Para el funcionamiento interno solo usamos datos agregados y anonimizados.

Puedes desconectar Google en cualquier momento desde casflows o desde los permisos de tu cuenta de Google. Al desconectar desde casflows, borramos de tu cuenta de Google el calendario «casflows · …» que creamos, con todos sus eventos (también los pasados), y revocamos el token en Google y lo borramos. Lo intentamos durante unos segundos: si Google no responde, el token se borra igual en casflows y el calendario puede quedarse en tu cuenta de Google, que es tuya, y puedes eliminarlo desde Google Calendar; en ese caso conservamos el identificador del calendario, los de sus eventos y el email de la cuenta para que, si vuelves a conectar Google, casflows siga usando ese calendario en lugar de crear otro (se suprimen al cerrar tu cuenta de casflows). Si el calendario se borra, también borramos en casflows su identificador y los de sus eventos. Cuando se suprime tu cuenta de casflows, también intentamos borrar ese calendario antes de revocar el token. Si revocas el acceso desde Google, borramos el token en cuanto lo detectamos; desde ese momento casflows ya no puede borrar el calendario, que sigue en tu cuenta de Google.

Personas del equipo de un anfitrión. Si el anfitrión o la gestora que trabaja contigo te envía un enlace de casflows, puedes conectar tu propio Google Calendar sin crear una cuenta en casflows. Pedimos el mismo único permiso (https://www.googleapis.com/auth/calendar.app.created) y guardamos los mismos datos de esa conexión: el identificador del calendario «casflows · …» que creamos en tu cuenta, los de sus eventos, el token de actualización cifrado, los permisos concedidos y el email de tu cuenta de Google. Los usamos solo para mantener en ese calendario los eventos que te asignan, sin invitaciones. El enlace caduca a los 7 días, sirve una sola vez y solo guardamos su huella (hash). Puedes retirar el acceso cuando quieras desde los permisos de tu cuenta de Google y el anfitrión también puede desconectarte: en ese caso intentamos borrar de tu cuenta de Google el calendario «casflows · …» que creamos, con todos sus eventos (también los pasados), y revocar el token en Google; si algo de eso falla, no bloquea la desconexión y el token en casflows se borra igual (si el calendario no se pudo borrar, intentamos cancelar tus eventos futuros en él y se queda en tu cuenta de Google, que es tuya). Si en cambio el anfitrión te desactiva sin desconectarte, dejas de tener propiedades asignadas y en el siguiente ciclo cancelamos igualmente tus eventos futuros en ese calendario, pero tu conexión y el token siguen guardados hasta que el anfitrión te desconecte de forma expresa o cierre su cuenta de casflows, momento en el que se suprime el resto de esos datos. Hasta entonces, el calendario sigue en tu cuenta de Google, que es tuya.

Si usas "Iniciar sesión con Google", Google solo nos facilita tu nombre, email e identificador para autenticarte; ese inicio de sesión no da acceso a tu calendario.

Con quién compartimos los datos#

No vendemos datos personales. Solo los comunicamos a estos proveedores, en la medida necesaria para prestar el servicio. Cuando tratan datos por nuestra cuenta (o, como subencargados, por cuenta del anfitrión), lo hacen con un contrato de encargo, salvo donde se indica. La lista de los que tratan datos por cuenta del anfitrión, con los datos a los que accede cada uno, está también en casflows.com/subencargados:

Si generas el enlace «Bloquear en Airbnb» de una propiedad, publicamos en esa dirección secreta solo las fechas de sus reservas manuales (sin nombres, viajeros ni notas) para que tu propio Airbnb las lea y bloquee esos días. No se lo enviamos a nadie: lo lee quien tenga el enlace, que eres tú quien lo pega en Airbnb, y puedes invalidarlo cuando quieras generando otro.

Si activas las notificaciones push, el aviso lo entrega el servicio de notificaciones del fabricante de tu navegador o de tu móvil (Apple, Google, Mozilla o Microsoft, según el dispositivo). No es un proveedor que elijamos nosotros, sino el que usa tu navegador para todas sus notificaciones, con sus propias condiciones y servidores (pueden estar fuera de la UE). Por eso el contenido viaja cifrado de extremo a extremo y lleva solo lo imprescindible: ese servicio no puede leerlo y solo ve la dirección de entrega de tu dispositivo y datos técnicos del envío (ver Notificaciones push).

Además, los datos pueden comunicarse a autoridades, juzgados y tribunales cuando una norma lo exija. Avisaremos de cualquier cambio en esta lista actualizando esta política (y, a los clientes, según el contrato de encargo).

Transferencias internacionales#

Algunos datos pueden tratarse fuera de la Unión Europea. Estas son las transferencias y la garantía que aplica a cada una:

• Supabase (Singapur), Vercel, Cloudflare y Resend (EE. UU.): guardamos los datos o los enviamos desde la UE cuando el proveedor lo permite; cualquier acceso desde fuera de la UE queda cubierto por las Cláusulas Contractuales Tipo de la Comisión Europea incluidas en su contrato de encargo. Vercel, Cloudflare y Resend están además adheridas al Marco de Privacidad de Datos UE-EE. UU., que la Comisión Europea reconoce como garantía adecuada.
• Google (Calendar y nuestro buzón de correo): Google LLC está adherida al Marco de Privacidad de Datos UE-EE. UU.
• Mistral AI (Francia, UE): las notas de voz se transcriben con la API europea de Mistral, con los datos alojados por defecto en la UE; no es una transferencia internacional. Si alguno de sus subencargados trata datos fuera de la UE, Mistral declara cubrirlo con las garantías del art. 46 RGPD.
• Telegram: los mensajes que una persona decide recibir o enviar por Telegram pasan por su infraestructura, fuera de la UE, sin cláusulas tipo ni otra garantía del art. 46 RGPD, porque Telegram no las ofrece. Por eso enviamos por Telegram solo lo necesario para cada aviso y vincular el bot es voluntario.

Puedes pedirnos una copia de las garantías en privacidad@casflows.com.

Cuánto tiempo conservamos los datos#

Tus derechos#

Puedes ejercer en cualquier momento, sin coste, los derechos de:

• Acceso: saber qué datos tuyos tratamos y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos (la mayoría puedes cambiarlos tú desde la aplicación).
• Supresión: pedir que borremos tus datos cuando ya no sean necesarios, entre otros supuestos.
• Limitación: pedir que suspendamos el tratamiento en ciertos casos.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común (por ejemplo, JSON o CSV).
• Oposición: oponerte a los tratamientos basados en interés legítimo.
• Retirar el consentimiento o la autorización que diste (por ejemplo, la conexión de tu Google Calendar como persona del equipo de un anfitrión), sin que afecte a lo tratado antes.

Datos de los que somos responsables (tu cuenta, las solicitudes de información y los registros técnicos): escríbenos a privacidad@casflows.com indicando qué derecho quieres ejercer, desde el email de tu cuenta si la tienes. Decidimos nosotros y te respondemos en un plazo máximo de un mes, ampliable dos meses más en casos complejos (te avisaremos). Si no podemos verificar tu identidad, te pediremos la información mínima necesaria.

Datos que tratamos por cuenta de un anfitrión (si eres huésped o formas parte de su equipo): el responsable es el anfitrión y es quien decide sobre tu solicitud; dirígete a él. Si nos escribes a nosotros, le trasladaremos tu solicitud sin demora y le ayudaremos a responderla, como prevé el contrato de encargo, pero no la resolvemos por nuestra cuenta.

Si crees que no hemos tratado bien tus datos, puedes presentar una reclamación ante la autoridad de protección de datos de tu país. Como el responsable está establecido en España, la autoridad de control principal es la Agencia Española de Protección de Datos (AEPD, www.aepd.es).

Cómo protegemos los datos#

• Cifrado en tránsito (TLS/HTTPS) en todas las comunicaciones.
• Cifrado en reposo de la base de datos y, además, cifrado a nivel de aplicación (AES-256-GCM) de los secretos: la URL del iCal, el token de Google y el enlace secreto «Bloquear en Airbnb».
• Aislamiento entre clientes con seguridad a nivel de fila (RLS) en la base de datos: cada cuenta solo ve sus propios datos.
• Mínimo privilegio: permisos explícitos por tabla y por columna, y los procesos internos solo acceden a lo que necesitan.
• Contraseñas guardadas solo como hash; enlaces de Telegram de un solo uso y con caducidad; los secretos nunca van a los registros.
• El enlace secreto «Bloquear en Airbnb» solo lo puede crear o cambiar una persona propietaria de la cuenta, publica solo fechas de ocupación de esa propiedad (que, con el nombre del alojamiento que conoce quien lo tenga, revelan cuándo está ocupado) y se invalida generando otro.
• Confidencialidad: solo accede a los datos el personal autorizado que lo necesita, con deber de confidencialidad (art. 5 LOPDGDD).
• Datos alojados en la Unión Europea y procedimiento de gestión de incidentes, con notificación a la autoridad y a las personas afectadas cuando la ley lo exija.

Ningún sistema es infalible. Te pedimos que uses una contraseña robusta y exclusiva, y que nos avises de inmediato si sospechas un acceso indebido.

Decisiones automatizadas#

casflows automatiza tareas (crear una limpieza, indicar si ese mismo día entra otro huésped o enviar un recordatorio), pero no toma decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti ni te afecten significativamente de forma similar, ni elabora perfiles.

Cookies y almacenamiento local#

Solo usamos cookies técnicas, estrictamente necesarias para que el servicio funcione, exentas de consentimiento (art. 22.2 LSSI). No usamos cookies analíticas, publicitarias ni de terceros para rastrearte. Estas son todas:

Si en el futuro incorporamos cookies no necesarias, te pediremos antes tu consentimiento con un aviso específico.

Menores de edad#

casflows es un servicio profesional y no está dirigido a menores de 18 años: no pueden tener una cuenta ni formar parte de un equipo. Si detectamos una cuenta de un menor, la suprimiremos; si sabes de algún caso, escríbenos a privacidad@casflows.com.

Entre los huéspedes de un alojamiento puede haber menores: de ellos casflows solo trata, si el anfitrión activa el reenvío o los escribe en una reserva, el número de niños y bebés del grupo (solo la cifra, nunca su nombre). Te pedimos que, como anfitrión, no escribas en las notas ni en el huésped de una reserva datos de menores que no sean necesarios; si vemos que se han cargado, te pediremos que los borres.

Cambios en esta política#

Podemos actualizar esta política cuando cambie el servicio o la normativa. La fecha de la última actualización aparece arriba. Si el cambio es sustancial, te avisaremos por email o en la aplicación con al menos 30 días de antelación y, cuando la ley lo exija, te pediremos de nuevo tu aceptación o consentimiento.

Contacto#

Para cualquier cuestión de privacidad: privacidad@casflows.com. Por correo postal: ENBA HOMES, S.L., Camino del Prado 1, Bloque 4, Bajo A, 29630 Benalmádena, Málaga, España.