Política de privacidad — Hospitalero

Esta Política de Privacidad describe cómo se recopilan, procesan y protegen los datos personales a través de la aplicación móvil Hospitalero, en cumplimiento con el RGPD (Reglamento de la UE 2016/679) y la LOPDGDD de España (Ley Orgánica 3/2018).

1. Responsable del tratamiento y función de Wise Pilgrim

1.1. Responsable del tratamiento de datos de huéspedes: El proveedor de alojamiento (usted) que utiliza la Aplicación es el único responsable del tratamiento de datos personales de huéspedes. Usted es responsable de: la licitud de la recogida de datos, proporcionar a los huéspedes información de privacidad antes o en el momento de la recogida de datos (artículos 13 y/o 14 del RGPD según proceda), responder a solicitudes de derechos de los interesados, informar a la Agencia Española de Protección de Datos (AEPD) de brechas de seguridad, y cumplir con los requisitos de retención del Real Decreto 933/2021.

1.2. Función de Wise Pilgrim — datos de huéspedes: Wise Pilgrim SL (Galicia, España) trata datos personales de huéspedes por cuenta de usted, como Encargado del tratamiento (artículo 28 del RGPD), conforme al Contrato de Tratamiento de Datos (DPA), que forma parte de los Términos y Condiciones. Esto cubre el registro cifrado de huéspedes (almacenamiento, conservación, copia temporal durante un cambio de contraseña y supresión), sus datos de clave, las huellas de búsqueda, el historial de envíos (SES y SIBA), las filas estadísticas por huésped y el registro de errores. Lo hace aunque no pueda leer el registro cifrado: los datos de huéspedes se cifran en su dispositivo con una clave que solo usted tiene (véase la Sección 4). Ese cifrado forma parte de la protección de datos desde el diseño y de las medidas de seguridad (artículos 25 y 32 del RGPD). Wise Pilgrim trata estos datos solo siguiendo sus instrucciones y no para fines propios, salvo las estadísticas agregadas anónimas que describe el DPA (solo fecha y número de huéspedes).

1.3. Wise Pilgrim como Encargado del Tratamiento — datos operacionales: El tratamiento de la Sección 1.2 incluye los datos operacionales de sus envíos: el historial de envíos, las filas estadísticas por huésped y el registro de errores (véase la Sección 2.2). Todo ello se rige por el DPA. Wise Pilgrim es Responsable del tratamiento independiente de los datos de su cuenta de propietario, la ficha pública, Live Bed Count, Camas guardadas, los pagos de camas y las estadísticas agregadas anónimas de demanda (solo fecha y número de huéspedes).

1.4. Wise Pilgrim como Responsable del Tratamiento — datos de listados de propiedades: Para información de listados de propiedades que proporciona para publicación (nombre de la propiedad, dirección, datos de contacto, servicios, precios), Wise Pilgrim actúa como Responsable del tratamiento independiente. Usted proporciona estos datos con la comprensión y consentimiento explícitos de que serán publicados en las aplicaciones, guías, sitios web y medios relacionados de Wise Pilgrim.

1.5. Wise Pilgrim como Responsable del Tratamiento — Camas guardadas: En el servicio opcional «Camas guardadas» (peticiones de cama que los peregrinos envían desde All Caminos, la aplicación de Wise Pilgrim para peregrinos), Wise Pilgrim actúa como Responsable del tratamiento independiente, tanto de los datos de los peregrinos como de los datos sobre cómo cada alojamiento respeta sus camas confirmadas, porque es Wise Pilgrim quien fija las reglas del servicio (puntuación de confianza, historial, insignia y plazos de borrado). Aquí Wise Pilgrim no actúa como Encargado del tratamiento del propietario. Cuando el propietario recibe el nombre con el que el grupo hará el check-in, o un mensaje de WhatsApp de un peregrino, es responsable del uso que haga de esos datos. Esta sección y las Secciones 2.5, 3.6, 5.4, 6.6 y 7 también informan a los peregrinos.

Contacto: privacy@wisepilgrim.com

2. Categorías de datos personales

2.1. Datos de huéspedes (cifrados, responsable: proveedor de alojamiento). Esto incluye todos los datos enviados al Ministerio del Interior (MIR) a través del sistema SES.HOSPEDAJES, además de los detalles de entrada y pago:

• Identidad: nombre completo, tipo y número de documento de identidad (NIF/NIE/pasaporte), fecha de nacimiento, sexo, nacionalidad
• Contacto: domicilio postal, número de teléfono, dirección de correo electrónico
• Acompañantes de viaje: nombres, relaciones, fechas de nacimiento (incluidos menores)
• Firma del huésped
• Detalles de entrada y salida
• Información de pago
• Datos de documentos de identidad escaneados

Todos los datos de huéspedes del registro se cifran en su dispositivo con su clave de cifrado personal antes de ser almacenados en la infraestructura en la nube de Wise Pilgrim. Wise Pilgrim no puede acceder a estos datos en forma descifrada. En Portugal no se guarda en el servidor ningún registro de huéspedes, ni siquiera cifrado: solo el historial de envíos y las filas estadísticas (Sección 2.2).

2.2. Metadatos operacionales (encargado: Wise Pilgrim, en su nombre):

• Historial de envíos (SES y SIBA): número de lote, código de comunicación, referencia, fechas de entrada y salida, número de huéspedes, estado, autoridad (SES o SIBA) y texto de error del Ministerio o de SIBA, redactado automáticamente. Sin nombres ni documentos.
• Filas estadísticas por huésped: una fila por cada huésped registrado, guardada al hacer el envío, sin nombre, número de documento ni fecha de nacimiento (los tramos de edad se calculan en su móvil). Columnas: nacionalidad; país de residencia; sexo; tramo de edad (menos de 15, 15-24, 25-34, 35-44, 45-54, 55-64, 65 o más); tramo de edad de la tasa turística (solo Portugal: 0-12, 13, 14-15, 16-17, 18 o más); tipo de documento; menor sí o no; forma de pago; peregrino con credencial sí o no; autoridad que recibió los datos (SES, SIBA, o ninguna para huéspedes portugueses en Portugal, que solo se cuentan); fechas de entrada y salida; fecha del envío; y el envío y el establecimiento a los que pertenecen. Se guardan en texto plano y se tratan como datos personales seudonimizados. Sirven solo para sus propias estadísticas y exportaciones (resumen anual, informes para el INE o la tasa turística). Solo usted las ve; el perfil de administrador no tiene acceso.
• Registro de errores: tipo y código de error, texto del Ministerio o de SIBA redactado automáticamente antes de guardarse, posición del huésped en el lote, campo afectado y detalles técnicos.

2.3. Datos de listados de propiedades (responsable: Wise Pilgrim, con su consentimiento):

• Nombre, dirección y ubicación de la propiedad
• Datos de contacto (teléfono, correo electrónico, sitio web)
• Servicios ofrecidos y precios
• Descripciones de propiedades y fotografías que proporciona

Estos datos se publican en las aplicaciones y guías de Wise Pilgrim y no se tratan como confidenciales. Proporcionar datos de listados de propiedades es completamente opcional y no es obligatorio para usar las funciones principales de cumplimiento de la Aplicación.

2.4. Datos de cuenta del propietario:

• Dirección de correo electrónico utilizada para el registro
• Identificadores de sesión (tokens seguros cifrados)
• Contraseña (hash salado, nunca almacenado ni transmitido en texto plano)

2.5. Datos de Camas guardadas (responsable: Wise Pilgrim):

Del peregrino (sin cuenta, sin correo y sin teléfono):

• Identificador seudónimo (sin nombre, correo ni teléfono; un código aleatorio ligado al dispositivo), creado para su teléfono cuando usa Camas guardadas en All Caminos, sin registro
• Comprobación del dispositivo: el sistema (iOS o Android), un hash SHA-256 de la clave de Apple App Attest o de la identidad de instalación de Google Play Integrity, y la fecha en que el teléfono superó la comprobación. Sirve para que el historial siga al teléfono y para evitar abusos. Nunca se guarda un identificador de hardware en claro
• Código de peregrino: un código corto aleatorio (por ejemplo, «P-7K3QM») que solo ven el peregrino y Wise Pilgrim, para pedir una revisión sin dar el nombre
• Puntuación de confianza: número de estancias, no presentados y cancelaciones tardías, y las correcciones de Wise Pilgrim con su motivo
• Cada petición de cama: alojamiento, noche, número de personas (de 1 a 8), tipos de habitación pedidos, habitación confirmada, estado, la hora de cada cambio y su motivo codificado, y la hora límite de llegada y la hora de cancelación gratuita de esa cama
• Textos: el nombre con el que el grupo hará el check-in (máximo 80 caracteres) y el mensaje opcional al alojamiento (máximo 300 caracteres). La aplicación rechaza los números de teléfono en ambos
• «Estoy en la puerta»: la hora en que el peregrino lo pulsó y la distancia al alojamiento que calculó su propio teléfono, redondeada al alza a los 50 m siguientes (50, 100, 150, 200, 250 o 300 m). Nunca coordenadas ni posición
• Avisos de «No me dejaron quedarme»: la hora, si el aviso está comprobado y la nota opcional del peregrino
• Notificaciones: el token push del teléfono, la aplicación, el sistema, el tipo (notificación o, en iPhone, Live Activity) y el idioma del teléfono
• Copia de los planes en All Caminos: salvo que el peregrino desactive «Guardar copia de mis planes» (está activado por defecto), una copia de sus planes y favoritos: la ruta, los pueblos, las fechas, las noches, dónde piensa dormir y si lo tiene reservado. Las notas solo se copian si activa «Copiar también mis notas». La aplicación también anota qué Live Bed Count de alojamientos ha mirado cada día. La copia está ligada al mismo código aleatorio de su teléfono, nunca a un nombre, correo o teléfono

Del propietario y su alojamiento:

• Los ajustes de Camas guardadas: hora límite de llegada, hora de cancelación gratuita, tiempo de respuesta, aceptación automática, días de descanso, resumen semanal y, si activa la Presentación por WhatsApp, el número de WhatsApp de su alojamiento
• Sus respuestas a cada petición (confirmación, rechazo y su motivo, propuesta de otra opción y su nota, cancelación y su motivo y nota, llegada, no presentado y correcciones), cuándo abrió cada petición, y su respuesta «No llegó nunca» y su versión en los avisos de rechazo
• El historial que se calcula con lo anterior: camas confirmadas y canceladas en los últimos 90 días, rechazos en la puerta que cuentan, la insignia «Cumple su palabra» y las pausas automáticas de «Hoy»
• Los tokens push de sus dispositivos

Camas guardadas no trata documentos de identidad, correo ni teléfono del peregrino, su ubicación ni ningún dato de pago. La comprobación de dispositivo de esta sección se aplica a los teléfonos de los peregrinos en All Caminos; lo dicho en la Sección 4.8 sobre la Aplicación no cambia.

3. Finalidades y base legal

3.1. Obligación legal (artículo 6.1(c) del RGPD): El tratamiento de datos de huéspedes es requerido por el Real Decreto 933/2021 para el registro de huéspedes con el sistema SES.HOSPEDAJES. El proveedor de alojamiento (como responsable) trata estos datos para cumplir con la ley española. Wise Pilgrim trata estos datos por cuenta del proveedor de alojamiento, como encargado, para apoyar la obligación de retención de 3 años.

3.2. Ejecución de contrato (artículo 6.1(b) del RGPD): Los metadatos operacionales se tratan para entregar el servicio Hospitalero: confirmar envíos, solucionar errores y proporcionar prueba de envío. Los datos de cuenta del propietario se tratan para la gestión de cuentas y autenticación.

3.3. Consentimiento y ejecución de contrato (artículos 6.1(a) y (b) del RGPD): Los datos de listados de propiedades se tratan y publican en base a su consentimiento explícito, otorgado cuando proporciona esta información a través de la Aplicación con conocimiento de que aparecerá en las aplicaciones y guías de Wise Pilgrim. Puede retirar el consentimiento en cualquier momento (véase la Sección 7).

3.4. Interés legítimo (artículo 6.1(f) del RGPD): Los registros técnicos y de seguridad (direcciones IP para supervisión de seguridad, diagnósticos de errores) se tratan por el interés legítimo de mantener la seguridad y estabilidad de la Aplicación. Wise Pilgrim ha evaluado que este interés no se ve superado por los derechos de los interesados.

3.5. Consentimiento (artículo 6.1(a) del RGPD): Las funciones opcionales como comunicaciones de marketing se tratan únicamente con su consentimiento previo explícito, que puede retirar en cualquier momento.

3.6. Camas guardadas (artículos 6.1(b) y 6.1(f) del RGPD):

• Ejecución del servicio que el peregrino y el propietario solicitan al usarlo (artículo 6.1(b)): enviar, contestar, confirmar y cancelar peticiones de cama, mostrar al alojamiento el nombre y el mensaje, y enviar las notificaciones.
• Interés legítimo (artículo 6.1(f)): evitar abusos (camas pedidas y nunca ocupadas, peregrinos rechazados en la puerta) con la puntuación de confianza seudónima, el historial de los alojamientos, la insignia «Cumple su palabra», la comprobación de dispositivo, la comprobación de «Estoy en la puerta» y la revisión de los casos dudosos. Wise Pilgrim ha evaluado que este interés no se ve superado por los derechos de los interesados: la puntuación es seudónima (sin nombre, correo ni teléfono; un código aleatorio ligado al dispositivo) y no incluye ningún documento, y el nombre y los textos se borran a los 3 días.
• Ubicación: la comprobación de «Estoy en la puerta» se hace en el teléfono del peregrino, solo cuando lo pulsa y con el permiso de ubicación de su teléfono. Su posición no se envía a Wise Pilgrim ni se guarda; solo se envían la hora y la distancia, redondeada al alza a los 50 m siguientes (de 50 a 300 m).
• Copia de los planes y estadísticas de demanda (artículo 6.1(f)): la copia sirve para devolver al peregrino sus planes si su teléfono los pierde y, solo como totales, para ver dónde harán falta camas. Las estadísticas son agregados anónimos: los alojamientos solo ven totales de al menos 5 peregrinos, y las cifras que se muestran en la aplicación o se publican ocultan los totales inferiores a 10, se redondean a múltiplos de 5 y llevan un día de retraso. Los alojamientos nunca ven un plan. Desactivar «Guardar copia de mis planes» en los ajustes de All Caminos borra la copia y retira al instante los planes de ese peregrino de los totales; equivale a oponerse a este uso.

4. Almacenamiento, cifrado y seguridad de datos

4.1. El registro cifrado de huéspedes, sus datos de clave, el historial de envíos, las filas estadísticas por huésped, el registro de errores, los datos de cuenta y los datos de Camas guardadas se alojan en Supabase, Inc. sobre servidores de Amazon Web Services en la UE (región AWS eu-west-1, Irlanda). Las fichas públicas de alojamiento y Live Bed Count se publican desde un servidor Drupal de DigitalOcean, LLC en San Francisco (EE. UU.). El sitio web y el portal web del propietario funcionan en Vercel Inc. (EE. UU.) y no reciben datos de huéspedes. Los datos de huéspedes van desde su móvil directamente a SES.HOSPEDAJES o SIBA por HTTPS y nunca pasan por los servidores de Wise Pilgrim. La Sección 5 enumera todos los proveedores.

4.2. Cifrado de datos de huéspedes. Los datos de huéspedes se cifran en su dispositivo utilizando AES-256-GCM (cifrado autenticado) con una clave derivada de su contraseña a través de PBKDF2-SHA256 (600.000 iteraciones, sal aleatoria de 32 bytes) y guardada solo en el llavero seguro de su dispositivo (iOS Keychain o Android Keystore). Solo el texto cifrado se transmite y almacena en la infraestructura en la nube de Wise Pilgrim. Wise Pilgrim no posee, almacena ni tiene acceso a su clave de cifrado en ningún momento. La protección depende de su contraseña: el servidor guarda la sal y un breve valor de comprobación de la clave, por lo que alguien con una copia de la base de datos podría intentar adivinar una contraseña débil, aunque cada intento es lento. La pista de recuperación que usted escriba, si la hay, se guarda sin cifrar. Elija una contraseña robusta.

4.3. CRÍTICO: Pérdida de datos por pérdida de clave. Debido a la arquitectura de conocimiento cero, si pierde tanto su contraseña como su código de recuperación, sus datos de huéspedes cifrados se pierden de manera permanente e irreversible. Wise Pilgrim no puede recuperar, restaurar ni descifrar estos datos bajo ninguna circunstancia. Esto se aplica independientemente de la razón — contraseña olvidada, código de recuperación perdido, daño del dispositivo o cualquier otra causa. Este es el compromiso inherente del cifrado de conocimiento cero: máxima privacidad (nadie, ni siquiera Wise Pilgrim, puede acceder a sus datos) a cambio del riesgo de pérdida permanente si pierde sus credenciales.

4.4. Las credenciales de SES.HOSPEDAJES se almacenan exclusivamente en el llavero seguro de su dispositivo (iOS Keychain o Android Keystore) y nunca se transmiten a los servidores de Wise Pilgrim.

4.5. Los datos de documentos de identidad escaneados pendientes de envío se guardan cifrados en su dispositivo y se eliminan al enviarse, al cerrar sesión o, como tarde, a las 24 horas.

4.6. Medidas de seguridad:

• Cifrado en reposo: AES-256-GCM en su dispositivo para el registro de huéspedes; además, la base de datos está cifrada en reposo por el proveedor de infraestructura
• Cifrado en tránsito: HTTPS/TLS para todas las comunicaciones de red
• Derivación de clave: PBKDF2-SHA256 con 600.000 iteraciones y sal aleatoria de 32 bytes; clave guardada solo en iOS Keychain o Android Keystore; código de recuperación aleatorio de 128 bits
• Búsqueda: huellas HMAC-SHA256 hechas con su propia clave de búsqueda
• Protección de captura de pantalla: las pantallas con datos de huéspedes bloquean las capturas
• Validación de entrada: Todos los datos validados contra esquemas antes del procesamiento
• Controles de acceso: seguridad a nivel de fila en la base de datos (cada propietario ve solo sus datos); el perfil de administrador no puede leer el registro cifrado, los datos de clave ni las filas estadísticas por huésped
• Textos de error redactados antes de guardarse; sin análisis de terceros
• Protocolo escrito de respuesta y notificación de violaciones de seguridad

4.7. Cambio de contraseña Re-cifrado. Cuando cambia su contraseña, la Aplicación debe re-cifrar todos los datos de huéspedes almacenados con su nueva clave derivada de contraseña. Los registros se procesan en lotes para minimizar el volumen de datos mantenido en forma descifrada en su dispositivo en cualquier momento. Durante este proceso: (a) se retiene una copia de respaldo temporal de sus datos cifrados (bajo su clave antigua) en los servidores de Wise Pilgrim para permitir la recuperación si el proceso se interrumpe; (b) solo el lote actual de datos de huéspedes está temporalmente presente en forma descifrada en la memoria de su dispositivo durante el re-cifrado; (c) tras su confirmación en la aplicación de completación exitosa, Wise Pilgrim verificará y confirmará por separado con usted antes de eliminar la copia de respaldo temporal. La copia de respaldo no se elimina automáticamente — se retiene hasta que Wise Pilgrim ha confirmado la completación exitosa con usted e inicia manualmente la eliminación. Esta verificación manual puede ser reemplazada por un proceso automatizado en el futuro si el protocolo demuestra fiabilidad consistente a escala. Esta copia de respaldo temporal se almacena bajo las mismas condiciones de cifrado y seguridad que sus datos originales. No se retienen copias duplicadas más allá de lo necesario para la integridad del proceso, verificación y minimización de datos.

4.8. La Aplicación no utiliza servicios de análisis de terceros, rastreadores publicitarios ni identificación de dispositivos. Los datos de informes de fallos y rendimiento de la aplicación pueden ser recopilados por el sistema operativo del dispositivo (Apple Crash Reporter, Google Play Vitals) de acuerdo con la configuración de su dispositivo. Wise Pilgrim no recibe información de identificación personal de estos servicios del sistema operativo.

5. Destinatarios y transferencias

5.1. Ministerio del Interior (MIR): Los datos de huéspedes son enviados a SES.HOSPEDAJES por usted (el responsable del tratamiento) a través de la Aplicación. Wise Pilgrim facilita este envío pero no transmite independientemente datos de huéspedes al gobierno. En Portugal ocurre lo mismo con SIBA. Los datos van desde su móvil directamente a la autoridad por HTTPS.

5.2. Proveedores. Subencargados que tratan datos de huéspedes por cuenta de usted, conforme al DPA:

• Supabase, Inc. (empresa de EE. UU.): base de datos, autenticación y funciones de servidor. Guarda el registro cifrado de huéspedes, los datos de clave, el historial de envíos, las filas estadísticas por huésped, el registro de errores, los datos de cuenta de propietario y los datos de Camas guardadas en AWS eu-west-1 (Irlanda). Garantía: el contrato de encargo de Supabase, que incorpora las Cláusulas Contractuales Tipo. Además, el registro de huéspedes está cifrado con claves a las que Supabase no tiene acceso.
• Amazon Web Services: subencargado de Supabase para la infraestructura, en eu-west-1 (Irlanda).
• Resend (Plus Five Five, Inc., EE. UU.): correos electrónicos (copias de los documentos legales que acepta y avisos del servicio) y el aviso interno a Wise Pilgrim cuando un envío falla (nombre del establecimiento, lote y error redactado). Nunca el registro de huéspedes.

Otros proveedores que Wise Pilgrim usa como responsable para otras partes del servicio y que no reciben datos de huéspedes:

• Vercel Inc. (EE. UU.): sitio web y portal web del propietario. El portal habla directamente con Supabase.
• DigitalOcean, LLC (EE. UU.; servidor Drupal en San Francisco): solo fichas públicas y Live Bed Count.
• Anthropic, PBC (EE. UU.): solo traducción automática de los textos de la ficha pública.
• Apple (APNs) y Google (Firebase Cloud Messaging), EE. UU.: notificaciones push, sin datos de huéspedes.
• Square (Block, Inc., EE. UU.) y, si se activa más adelante, Stripe: pagos de camas de Camas guardadas. Solo datos del pago.

Para los proveedores con sede en EE. UU., las transferencias se amparan en las Cláusulas Contractuales Tipo incluidas en el contrato de encargo de cada proveedor o, si el proveedor está certificado, en el Marco de Privacidad de Datos UE-EE. UU.

5.3. Wise Pilgrim no vende, alquila ni comparte datos personales con terceros con fines comerciales. Los datos de listados de propiedades se publican en las propias aplicaciones y guías de Wise Pilgrim como se describe en la Sección 2.3.

5.4. Camas guardadas:

• El alojamiento al que el peregrino pide cama ve el nombre abreviado (nombre e inicial del apellido) antes de confirmar y el nombre completo después, el número de personas, los tipos de habitación, el mensaje y la puntuación de confianza (nivel, puntos, estancias y no presentados). Nunca ve el identificador seudónimo, el código de peregrino, las correcciones de Wise Pilgrim ni datos del dispositivo.
• Los peregrinos ven del alojamiento, en All Caminos: si ha confirmado al menos 5 camas en los últimos 90 días, cuántas acabaron canceladas por el alojamiento o con un aviso de rechazo en la puerta; y la insignia «Cumple su palabra», si la tiene.
• Apple (Apple Push Notification service y App Attest) y Google (Firebase Cloud Messaging y Play Integrity) reciben los tokens push y el contenido de las notificaciones, e intervienen en la comprobación de dispositivo. Las notificaciones de Camas guardadas solo llevan el número de personas o el nombre del alojamiento, nunca el nombre del peregrino. Apple y Google son empresas con sede en EE. UU.
• WhatsApp: si el alojamiento activa la Presentación por WhatsApp y el peregrino decide escribirle, la conversación va directamente del peregrino al alojamiento por WhatsApp (Meta). Wise Pilgrim no recibe el número del peregrino ni ve la conversación.

6. Períodos de retención

6.1. Datos de huéspedes cifrados: Retenidos durante 3 años desde el fin de la estancia, según lo requerido por el Real Decreto 933/2021, y luego purgados automáticamente de los servidores de Wise Pilgrim en un proceso diario (03:50 UTC). También puede eliminar datos de huéspedes de su dispositivo en cualquier momento, aunque reconoce que esto puede afectar a su cumplimiento de la obligación de retención.

6.2. Datos de documentos de identidad escaneados: Guardados cifrados en su dispositivo hasta el envío y eliminados al enviarse, al cerrar sesión o, como tarde, a las 24 horas.

6.3. Metadatos operacionales: Retenidos mientras su cuenta está activa; se borran automáticamente 30 días después de que solicite la baja de su cuenta, o del cierre por parte de Wise Pilgrim si este llega antes. El registro de errores se borra a los 30 días. El historial de envíos (sin texto de error) y las filas estadísticas vinculados a registros de huéspedes que siguen dentro de su plazo de conservación se conservan con esos registros (véase la Sección 6.5). Las filas estadísticas por huésped se conservan mientras su cuenta está activa, para que pueda consultar y exportar años anteriores; puede pedir su supresión en privacy@wisepilgrim.com.

6.4. Datos de listados de propiedades: Retenidos y publicados mientras su cuenta está activa. Eliminados de publicaciones digitales dentro de 30 días de su solicitud o cierre de cuenta. Las ediciones impresas publicadas anteriormente emitidas antes de la solicitud de eliminación pueden continuar mostrando el listado. Wise Pilgrim no incluirá el listado en nuevas ediciones impresas publicadas después de la fecha de eliminación.

6.5. Datos de cuenta del propietario: Retenidos mientras su cuenta está activa. Sus datos personales (su nombre, sus datos de contacto y fiscales, la dirección y los datos de acceso) se borran automáticamente 30 días después de que solicite la baja de su cuenta, en la app o escribiendo a privacy@wisepilgrim.com, o 30 días después de que Wise Pilgrim cierre la cuenta conforme a los Términos, lo que ocurra antes. Su acceso se bloquea en cuanto hace la solicitud o se cierra la cuenta; durante esos 30 días puede cancelar una solicitud de baja escribiendo a privacy@wisepilgrim.com, y la cuenta se restaura. Se conservan tres cosas: (a) el historial anónimo de reservas y de disponibilidad (Camas guardadas y Live Bed Count), con fines estadísticos, sin ningún vínculo con usted ni con su cuenta, como se explica en la Sección 6.6; (b) el registro cifrado de huéspedes, hasta que termine su plazo legal de 3 años (Sección 6.1): mientras algún registro de huéspedes siga dentro de ese plazo, solo se conserva lo que el registro necesita (los registros cifrados, los datos de clave para abrirlos, el historial de envíos sin texto de error, sus filas estadísticas y una entrada de cuenta sin nombre ni correo en la que nadie puede iniciar sesión), y se elimina junto con el último registro de huéspedes; (c) el registro de qué documentos legales aceptó (documento, versión y fecha, sin su nombre ni su correo), durante 3 años desde el borrado como prueba, y después se elimina. Ejemplo: si solicita la baja el 15 de octubre de 2026 a mediodía, sus datos personales se borran en la madrugada del 15 de noviembre de 2026, y el registro de aceptación en la madrugada del 15 de noviembre de 2029.

6.6. Camas guardadas:

• El nombre del grupo, el mensaje del peregrino, la nota de la propuesta del alojamiento, las notas de los avisos de rechazo y los motivos escritos se borran automáticamente 3 días después de la noche, en un proceso diario. Ejemplo: los de la noche del 10 de octubre se borran en la madrugada del 14 de octubre.
• La puntuación de confianza y el historial del peregrino (sus peticiones, el plan y los favoritos guardados, y las correcciones de Wise Pilgrim) forman un solo registro. Se conserva mientras el peregrino use el servicio y se elimina entero, de forma automática, tras 3 años sin actividad. Cuenta como actividad lo que la aplicación del peregrino envía a nuestro servidor: una petición de cama, un aviso sobre un alojamiento, una copia de seguridad del plan o de los favoritos, una consulta de la disponibilidad en tiempo real, un inicio de sesión, el registro para recibir notificaciones o la comprobación del dispositivo al abrir Camas guardadas. Una petición para una noche futura cuenta hasta esa noche. Ejemplo: si la última actividad fue el 10 de octubre de 2026 a las 18:00, el registro se elimina en la madrugada del 11 de octubre de 2029.
• La petición sin nombre ni textos (alojamiento, noche, número de personas, estados y horas) forma parte también del historial del alojamiento. Cuando se elimina el registro del peregrino, la petición se queda sin ningún vínculo con él; mientras el peregrino conserve su registro, la petición sigue también en su historial. Los registros de reservas sin nombres se conservan a largo plazo con fines estadísticos (cuántas veces un alojamiento ofreció camas, cuántas se guardaron). Cuando se borra la cuenta del propietario (30 días después de la solicitud de baja, Sección 6.5), se anonimizan: el historial del alojamiento conserva solo los datos públicos del listado (nombre, localidad y ubicación), sus camas y habitaciones y su configuración; se eliminan el nombre del propietario, sus datos de contacto, sus datos fiscales y la dirección postal, y cualquier vínculo con su cuenta. Ejemplo: si el propietario solicitó la baja el 15 de octubre de 2026 a mediodía, desde la madrugada del 15 de noviembre de 2026 sus reservas quedan solo como líneas anónimas de un alojamiento sin propietario. Lo que ven los peregrinos sobre un alojamiento se calcula solo con los últimos 90 días; la puntuación del peregrino suma todas sus estancias.
• Los tokens push se conservan hasta que la aplicación los da de baja (por ejemplo, al cerrar sesión) o Apple o Google indican que ya no son válidos.
• La dirección IP no se guarda: para limitar abusos se guarda un código cifrado (HMAC) que se elimina en un día.

7. Sus derechos

Conforme a los artículos 15-22 del RGPD, puede ejercer los siguientes derechos:

Para datos de huéspedes: Usted es el responsable. Los huéspedes deben contactar directamente con su alojamiento para ejercer sus derechos (acceso, rectificación, supresión, limitación, portabilidad, oposición). Usted es responsable de responder dentro de 30 días. Wise Pilgrim le asiste mediante las funciones de la Aplicación, que permiten ver, buscar, exportar, corregir y suprimir los registros de huéspedes. Si un huésped se dirige a Wise Pilgrim, Wise Pilgrim trasladará la solicitud a usted sin dilación indebida, como tarde en 5 días hábiles, y se lo dirá al huésped. Para los datos que Wise Pilgrim sí puede leer (historial de envíos, filas estadísticas por huésped, registro de errores), Wise Pilgrim le ayudará a localizarlos, corregirlos o suprimirlos cuando usted lo pida.

Para datos de listados de propiedades: Puede actualizar, corregir o solicitar la eliminación de su listado de propiedades en cualquier momento poniéndose en contacto con privacy@wisepilgrim.com o a través de la configuración de la Aplicación.

Para datos de cuenta del propietario y datos operacionales: Contacte con privacy@wisepilgrim.com. Wise Pilgrim responderá dentro de 30 días.

Limitaciones del derecho de supresión: El derecho de supresión (artículo 17 del RGPD) está limitado cuando los datos de huéspedes deben retenerse para cumplir con el Real Decreto 933/2021 (obligación legal, artículo 17(3)(b)). Los huéspedes no pueden exigir la supresión durante el período de retención obligatorio de 3 años. Después de este período, los datos se eliminan automáticamente.

Para datos de Camas guardadas: Wise Pilgrim es el responsable. No hay cuenta. El peregrino puede borrar su registro él mismo en All Caminos (Ajustes, «Borrar mi registro de peregrino»): se borra todo el registro de una vez (nivel de confianza e historial, correcciones de Wise Pilgrim, copia de planes y favoritos, notas, vinculación con una cuenta de Apple o Google, tokens de notificaciones y código de peregrino), y sus peticiones pasadas quedan solo como parte del historial del alojamiento, sin ningún vínculo con el peregrino (apartado 6.6). Si tiene una petición pendiente o una cama confirmada para esa noche o más adelante, primero la cancela. Una excepción, para prevenir el fraude, sobre la base de nuestro interés legítimo (artículo 6.1.f del RGPD): si el nivel de confianza es inferior a 50 al borrar el registro, conservamos solo el identificador seudónimo del dispositivo (un código cifrado, no un identificador del hardware) y esa puntuación, durante 3 años, para que un registro nuevo en el mismo móvil empiece con esa puntuación en lugar de 50 y una puntuación baja no desaparezca borrando el registro. No se conserva nada más, y con una puntuación de 50 o más, nada en absoluto. Ejemplo: un registro borrado el 15 de octubre de 2026 con 30 puntos → un registro nuevo en ese móvil empieza con 30 hasta el 15 de octubre de 2029, y con 50 después. Para cualquier otro derecho, o si no puede usar la app, el peregrino escribe a privacy@wisepilgrim.com con su código de peregrino (en All Caminos, en «Cómo funciona la confianza»): así encontramos su registro sin necesitar su nombre. Si cree que un no presentado o una cancelación tardía no es justo, puede pedir una revisión con el mismo código. Los propietarios pueden escribir a privacy@wisepilgrim.com sobre su historial.

Puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es).

8. Responsabilidades del responsable — aviso importante para propietarios de propiedades

Como responsable del tratamiento de datos de huéspedes, usted es legalmente responsable de:

a) Informar a los huéspedes de sus derechos de privacidad. Antes o en el momento en que recopile datos de huéspedes, debe proporcionar a los huéspedes la información requerida por los artículos 13 y/o 14 del RGPD según proceda: quién controla sus datos (usted), por qué se recopilan (cumplimiento del Real Decreto 933/2021), quién los recibe (Ministerio del Interior a través de SES.HOSPEDAJES), cuánto tiempo se retienen (hasta 3 años), y cómo pueden ejercer sus derechos (poniéndose en contacto con su alojamiento). Wise Pilgrim proporciona una plantilla de aviso de privacidad para huéspedes dentro de la Aplicación que puede usar o adaptar.

b) Responder a solicitudes de derechos de interesados. Si un huésped solicita acceso a, rectificación de, o supresión de sus datos, debe responder dentro de 30 días. Como el registro está cifrado con su clave, solo usted puede abrirlo; Wise Pilgrim le asiste como se describe en la Sección 7.

c) Informar sobre brechas de seguridad. Si los datos de huéspedes se ven comprometidos (por ejemplo, por robo de dispositivo, acceso no autorizado, o pérdida de su clave de cifrado a una persona no autorizada), debe evaluar el riesgo y, si es necesario, notificar a la AEPD (en Portugal, a la CNPD) en un plazo de 72 horas y a los huéspedes afectados sin dilación. Wise Pilgrim le notificará cualquier violación de seguridad que afecte a datos tratados por su cuenta sin dilación indebida, con el objetivo de hacerlo en 24 horas y como máximo en 48 horas desde que tenga conocimiento de ella, aunque los datos afectados estén cifrados.

d) Salvaguardar su clave de cifrado y código de recuperación. La pérdida de estas credenciales significa pérdida permanente del acceso a datos de huéspedes, lo que puede afectar su capacidad de cumplir obligaciones legales.

e) Usar los datos de Camas guardadas solo para la estancia. El nombre del grupo y los mensajes que recibe por Camas guardadas son para gestionar esa estancia. Si activa la Presentación por WhatsApp, las conversaciones y los números que reciba por WhatsApp quedan bajo su responsabilidad.

9. Menores

La Aplicación puede tratar datos de menores únicamente como acompañantes de viaje de huéspedes adultos, según lo requerido por el Real Decreto 933/2021. Estos datos son proporcionados por el huésped adulto acompañante o por el proveedor de alojamiento. Los menores menores de 14 años no pueden usar la Aplicación directamente. El proveedor de alojamiento (como responsable) es responsable de garantizar el tratamiento lícito de datos de menores.

10. Toma de decisiones automatizada

La Aplicación no utiliza toma de decisiones automatizada o elaboración de perfiles que produzca efectos jurídicos sobre los interesados. La validación de datos (verificaciones de formato, verificación de campos obligatorios) se utiliza para asistir en la entrada de datos pero no resulta en decisiones automatizadas sobre individuos.

Camas guardadas usa estas reglas automáticas, todas explicadas en la aplicación: (a) la aceptación automática, que el propietario activa y cuyo mínimo de puntuación fija él mismo; una petición que no se acepta así sigue llegando al propietario para que decida; (b) la pausa automática de «Hoy» (Términos y Condiciones, Artículo 7 bis.11), que no es una penalización; y (c) la desactivación automática de Camas guardadas en un alojamiento por rechazos en la puerta de dos fuentes de confianza (Términos y Condiciones, Artículo 7 bis.7), que solo Wise Pilgrim puede revertir. Cualquier peregrino o propietario puede pedir que una persona de Wise Pilgrim revise una de estas decisiones escribiendo a privacy@wisepilgrim.com.

11. Evaluación de impacto sobre la protección de datos

Wise Pilgrim mantiene una Evaluación de Impacto sobre la Protección de Datos (EIPD) de conformidad con el artículo 35 del RGPD, evaluando riesgos asociados con el tratamiento de documentos de identidad, datos de menores, almacenamiento cifrado de conocimiento cero, y retención de datos legal. La EIPD (marzo de 2026) se está revisando para reflejar la función de Wise Pilgrim como encargado del tratamiento. La EIPD se revisa y actualiza periódicamente. La EIPD concluyó que la arquitectura de cifrado de conocimiento cero, los límites automáticos de retención, y el procesamiento local en dispositivos proporcionan salvaguardas adecuadas para mitigar los riesgos identificados. Wise Pilgrim le facilita la información disponible para su propia evaluación de impacto. Un resumen de la EIPD está disponible bajo solicitud contactando con privacy@wisepilgrim.com.

Wise Pilgrim también mantiene una evaluación de impacto sobre la protección de datos y una evaluación del interés legítimo para la puntuación de confianza de Camas guardadas, ambas disponibles bajo solicitud en privacy@wisepilgrim.com.

12. Cambios

Los cambios sustanciales en esta Política de Privacidad serán comunicados a través de la Aplicación y por correo electrónico al menos 30 días antes de entrar en vigor.

13. Contacto

Wise Pilgrim SL
Galicia, España
Privacidad y protección de datos: privacy@wisepilgrim.com
Problemas de seguridad: security@wisepilgrim.com