Términos de tratamiento de datos

1Alcance

Estos Términos de tratamiento de datos («DPA») forman parte de los Términos de servicio entre Book2dream y cada Cliente hotelero. Se aplican siempre que Book2dream trata datos personales por cuenta de un Cliente hotelero al prestar el servicio.

Si firmaste con nosotros un acuerdo de tratamiento de datos separado, ese acuerdo prevalece en lo que contradiga estos términos. Los términos con mayúscula que no se definen aquí tienen el significado que les dan los Términos de servicio.

2Rol de cada parte

Respecto de los datos personales que tratamos por tu cuenta a través del motor de reservas, la mensajería, las funciones de IA y las herramientas de administración, tú eres el responsable del tratamiento y Book2dream es el encargado. Si tú mismo actúas por cuenta de otro responsable, como el propietario del establecimiento, Book2dream es tu subencargado.

Respecto de los datos que necesitamos para gestionar nuestra propia relación contigo —administración de la cuenta, facturación, soporte y marketing dirigido a hoteles—, Book2dream es un responsable independiente, y nuestra Política de privacidad describe cómo los tratamos.

3Detalles del tratamiento

• Objeto y duración: prestarte el servicio de Book2dream durante la vigencia de tu suscripción y el período de eliminación descrito más abajo.
• Naturaleza y finalidad: alojar, almacenar, organizar, transmitir, mostrar y analizar datos para tomar y gestionar reservas, procesar pagos mediante los proveedores que elijas, enviar mensajes a huéspedes, ejecutar las funciones de IA que actives y darte soporte.
• Titulares de los datos: tus huéspedes y huéspedes potenciales, las personas que te contactan a través del motor de reservas o de los canales de mensajería, y el personal y los colaboradores que usan la plataforma por ti.
• Categorías de datos personales: nombres y datos de contacto, incluidos correos electrónicos y números de celular; datos de la reserva, como fechas de estadía, habitaciones, tarifas, número de personas y solicitudes especiales; referencias de pago y tokens de tarjeta, nunca números de tarjeta completos en nuestros propios sistemas; el contenido y el estado de entrega de correos, mensajes de texto, mensajes de WhatsApp y, cuando estén disponibles, llamadas; registros de consentimiento y de baja de la mensajería; respuestas a encuestas y reseñas; conversaciones con asistentes de IA; y datos de dispositivo, navegador y uso.
• Datos sensibles: el servicio no está diseñado para categorías especiales de datos personales. A veces los huéspedes los comparten por iniciativa propia, por ejemplo necesidades alimentarias o de accesibilidad en una solicitud especial. Los protegemos como al resto de los Datos del Cliente, y no deberías pedir a los huéspedes más de lo que necesitas.

4Tratamiento solo según tus instrucciones

Tratamos datos personales solo según tus instrucciones documentadas: los Términos de servicio, estos términos, la forma en que configuras la plataforma y las solicitudes que haces a nuestro equipo de soporte. No los tratamos para ningún otro fin salvo que la ley nos obligue, en cuyo caso te avisamos antes, a menos que la ley lo prohíba.

Si creemos que una instrucción infringe la normativa de protección de datos, te lo diremos y podremos abstenernos de ejecutarla hasta que se aclare.

5Confidencialidad de nuestro equipo

Todas las personas de Book2dream que pueden acceder a datos personales están sujetas a un deber de confidencialidad por escrito, reciben formación para tratarlos y solo acceden en la medida en que su función lo requiere.

6Medidas de seguridad

Mantenemos medidas técnicas y organizativas adecuadas al riesgo, y las revisamos a medida que cambian el servicio y las amenazas. Entre ellas:

• Cifrado en tránsito con TLS 1.2 o superior, y cifrado en reposo con AES-256 para bases de datos, respaldos y almacenamiento de archivos.
• Cuentas nominativas con autenticación multifactor obligatoria, y acceso a producción limitado al personal que lo necesita.
• Separación lógica de los datos de cada hotel, para que ningún Cliente hotelero pueda llegar a los registros de otro.
• Registro y monitoreo de los accesos a los sistemas de producción, con alertas ante actividad anómala.
• Respaldos cifrados y probados periódicamente.
• Escaneo de vulnerabilidades, aplicación oportuna de parches y pruebas de penetración periódicas.
• Datos de tarjeta capturados y tokenizados por un proveedor certificado PCI DSS, de modo que los números completos nunca llegan a nuestros propios sistemas.

7Uso de subencargados

Nos das una autorización general para contratar subencargados que nos ayuden a prestar el servicio. A continuación está la lista vigente, agrupada según lo que hace cada proveedor.

Cada subencargado está obligado por un contrato escrito con obligaciones de protección de datos no menos exigentes que estos términos, y accede a datos personales solo en la medida necesaria para el servicio que presta. Seguimos siendo responsables ante ti por su desempeño.

Avisamos con al menos 30 días de anticipación antes de que un nuevo subencargado comience a tratar tus datos personales, actualizando esta página y enviando un correo al titular de tu cuenta. Si tienes motivos razonables de protección de datos para oponerte, avísanos dentro de ese plazo. Intentaremos resolver la objeción; si no podemos, podrás terminar la parte del servicio afectada y recibir el reembolso proporcional de lo que hayas pagado por adelantado por ella.

8Subencargados: alojamiento y operación

• Salesforce, Inc. (Heroku)FinalidadServidores de aplicación, base de datos principal y cachéUbicaciónEstados Unidos
• Vercel Inc.FinalidadAlojamiento y distribución de contenido de los motores de reservas, los sitios web de los hoteles y nuestras aplicaciones webUbicaciónEstados Unidos, con una red perimetral global
• Amazon Web Services, Inc.FinalidadAlmacenamiento de imágenes, documentos y otros archivosUbicaciónEstados Unidos
• Datadog, Inc.FinalidadMonitoreo de la aplicación y análisis de registrosUbicaciónEstados Unidos
• SolarWinds Worldwide, LLC (Papertrail)FinalidadAlmacenamiento y búsqueda de registros de la aplicaciónUbicaciónEstados Unidos
• PostHog, Inc.FinalidadAnalítica de producto en los motores de reservas y en el panel del hotelUbicaciónEstados Unidos
• BrowserlessFinalidadLectura del sitio web público de un hotel al importarlo a un sitio de Book2dreamUbicaciónEstados Unidos

9Subencargados: mensajería

• Amazon Web Services, Inc. (Amazon SES)FinalidadEnvío de correos de reservas, notificaciones y mensajes a huéspedesUbicaciónBrasil
• Twilio Inc.FinalidadEnvío y recepción de mensajes de texto (SMS y MMS) y, cuando estén disponibles, llamadas telefónicasUbicaciónEstados Unidos
• KapsoFinalidadConexión de los números de WhatsApp de los hoteles con Book2dream y transmisión de sus mensajesUbicaciónEstados Unidos
• WhatsApp LLC (Meta)FinalidadEntrega de mensajes de WhatsApp a través de WhatsApp Business PlatformUbicaciónEstados Unidos

10Subencargados: funciones de IA

OpenRouter envía cada solicitud al proveedor que ofrece el modelo de lenguaje elegido para esa función. Solo enviamos los datos que la función necesita para hacer su trabajo.

• OpenRouter, Inc.FinalidadEnrutamiento de las solicitudes de las funciones de IA —asistentes para huéspedes, generación de contenido, traducción y análisis de tarifas— hacia modelos de lenguajeUbicaciónEstados Unidos

11Subencargados: seguridad de tarjetas

• PCI Booking LimitedFinalidadCaptura, tokenización y almacenamiento seguro de los datos de tarjeta de los huéspedes que garantizan reservasUbicaciónIrlanda

12Proveedores para nuestra propia relación contigo

Estos proveedores tratan datos de los que Book2dream es responsable —sobre Clientes hoteleros y visitantes de nuestro sitio web— y nunca los datos de tus huéspedes. Los incluimos para que la lista esté completa.

• Paddle.com Market LimitedFinalidadCobro de suscripciones, como comerciante registrado (merchant of record)UbicaciónReino Unido
• Mercado PagoFinalidadPago de los estados de cuenta mensualesUbicaciónAmérica Latina
• Haulmer SpA (OpenFactura)FinalidadEmisión de documentos tributarios electrónicos ante el Servicio de Impuestos Internos (SII) de ChileUbicaciónChile
• ResendFinalidadEntrega de los mensajes enviados desde los formularios de nuestro sitio webUbicaciónEstados Unidos
• Google LLC (Google Analytics)FinalidadMedición del uso de nuestro sitio web comercial, solo con el consentimiento del visitanteUbicaciónEstados Unidos

13Servicios que decides conectar

Cuando conectas Book2dream con otro servicio —un sistema de gestión hotelera (PMS) como Oracle OPERA Cloud, un channel manager o socio de distribución, una pasarela de pago con tu propia cuenta de comercio como Webpay, Mercado Pago o PayPal, o tu propia herramienta de analítica—, le enviamos datos porque tú nos lo indicaste. Esos proveedores no son nuestros subencargados: tu propio contrato con cada uno regula cómo trata los datos.

14Transferencias internacionales

Nuestros subencargados operan en los países indicados arriba, por lo que los datos personales recopilados en un país pueden tratarse en otro. Cuando la ley del país de origen restringe las transferencias, nos basamos en garantías reconocidas, como las Cláusulas Contractuales Tipo de la Comisión Europea, y en los mecanismos de transferencia que permiten la Ley N° 19.628 de Chile, modificada por la Ley N° 21.719, la Ley General de Protección de Datos de Brasil (LGPD) y las demás leyes aplicables.

15Te ayudamos a cumplir tus obligaciones

• Solicitudes de huéspedes: la plataforma te permite encontrar, exportar, corregir y eliminar los datos de un huésped. Si un huésped nos contacta directamente, te trasladamos la solicitud y te ayudamos a responderla.
• Registros de mensajería: si lo pides, te entregamos los registros de consentimiento y de baja que guardamos para tu establecimiento, para que puedas responder a un regulador, un operador o un huésped.
• Evaluaciones: te damos la información que razonablemente necesites para evaluaciones de impacto en protección de datos y para consultas con autoridades de control.
• Esta asistencia no tiene costo, salvo que una solicitud sea manifiestamente excesiva.

16Vulneraciones de seguridad de datos personales

Si tomamos conocimiento de una vulneración de seguridad que provoque la destrucción, pérdida, alteración, comunicación o acceso no autorizados, accidentales o ilícitos, de tus datos personales, te notificamos sin demora indebida y dentro de las 72 horas.

Te informamos qué ocurrió, qué datos y personas podrían verse afectados, las consecuencias probables y lo que estamos haciendo al respecto, y te mantenemos al tanto a medida que sabemos más. Si debes notificar a una autoridad o a las personas afectadas, te ayudamos a hacerlo.

17Devolución y eliminación

Puedes exportar tus datos en cualquier momento mientras dure tu suscripción. Cuando termina, los mantenemos disponibles para exportación durante 30 días y luego los eliminamos dentro de 90 días, salvo que la ley nos obligue a conservarlos. Las copias en respaldos cifrados se eliminan a medida que esos respaldos vencen.

18Información y auditorías

Ponemos a tu disposición la información razonablemente necesaria para demostrar el cumplimiento de estos términos, incluidas las respuestas a un cuestionario de seguridad al año.

Si eso no basta, o si una autoridad de control lo exige, puedes auditar nuestro cumplimiento una vez al año, con 30 días de aviso por escrito, en horario hábil, a tu costo y bajo deber de confidencialidad. Respecto de nuestros subencargados, este derecho se satisface con sus propias certificaciones e informes de auditoría.

19Responsabilidad

La responsabilidad de cada parte bajo estos términos está sujeta a las limitaciones de los Términos de servicio, salvo cuando la ley no permita aplicarlas.

20Cambios en estos términos

Podemos actualizar estos términos para reflejar cambios en la ley o en el servicio. No reduciremos la protección que dan a tus datos sin avisarte con anticipación, y los cambios en la lista de subencargados siguen el procedimiento de aviso descrito arriba.

21Contacto

Las preguntas sobre estos términos o sobre nuestros subencargados pueden enviarse a contact@book2dream.com.