Contrato de encargo del tratamiento

1. Partes

• Responsable del tratamiento: el titular de la actividad de hospedaje, que decide qué huéspedes se registran y con qué finalidad. Con carácter general es el propio Cliente —la empresa o profesional titular de la cuenta de Kinapi—; cuando el Cliente gestione alojamientos de terceros, se aplica lo previsto más abajo.
• Encargado del tratamiento: Sereno Tech S.L., NIF B44916658, Calle Tulipán 1, España. Contacto en materia de protección de datos: gestion@kinapi.es.

Este contrato se perfecciona con la aceptación del Cliente en el alta de la cuenta. Conservamos constancia de la versión aceptada, la fecha y el usuario que la aceptó.

2. Objeto, duración, naturaleza y finalidad

El Cliente encarga a Kinapi el tratamiento de datos personales de sus huéspedes con la finalidad exclusiva de prestarle el servicio: recoger los datos del registro de viajeros, validarlos, generar y custodiar el contrato de alojamiento firmado y su evidencia, y transmitir el parte de viajeros a la plataforma SES.Hospedajes del Ministerio del Interior en cumplimiento del Real Decreto 933/2021.

El encargo dura mientras la cuenta esté activa, y se extingue con su baja, sin perjuicio de las obligaciones de conservación de la cláusula 10.

3. Datos e interesados

Cuando el Cliente introduzca datos del medio de pago porque su obligación de comunicación los exija, Kinapi los transmitirá al Ministerio y no los conservará más allá de lo imprescindible para esa transmisión.

4. Obligaciones de Kinapi como encargado

1. Tratar los datos únicamente siguiendo instrucciones documentadas del Cliente. Se consideran instrucciones documentadas este contrato, las condiciones del servicio, la configuración que el Cliente establezca en el panel y las llamadas que realice a la API. Si Kinapi viniera obligada por el Derecho de la Unión o español a otro tratamiento, informará al Cliente antes de efectuarlo, salvo prohibición legal.
2. No utilizar los datos para fines propios, ni cederlos, ni usarlos para entrenar modelos, ni con fines publicitarios o estadísticos ajenos al servicio. En particular, y dado que personas vinculadas a Kinapi desarrollan actividad de gestión de alojamientos turísticos, Kinapi se obliga expresamente a no utilizar los datos, las reservas, las ocupaciones ni ninguna información del Cliente —ni identificada, ni seudonimizada, ni agregada— para ninguna actividad de gestión, comercialización o inteligencia de mercado, ni propia ni de terceros.
3. Garantizar que las personas autorizadas se han comprometido a respetar la confidencialidad, con carácter indefinido.
4. Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en el Anexo II.
5. Asistir al Cliente, en la medida de lo posible, para que atienda las solicitudes de ejercicio de derechos de los interesados. Si un huésped se dirige directamente a Kinapi, se le remitirá al Cliente y se informará a este sin dilación.
6. Asistir al Cliente en el cumplimiento de los artículos 32 a 36 del RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas), teniendo en cuenta la naturaleza del tratamiento y la información disponible.
7. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías conforme a la cláusula 9.
8. Informar al Cliente, de forma inmediata y por escrito, si considera que una instrucción suya infringe la normativa de protección de datos.

5. Obligaciones del Cliente como responsable

• Disponer de la base jurídica del tratamiento y haber informado a los huéspedes conforme a los artículos 13 y 14 del RGPD.
• Introducir únicamente datos exactos, pertinentes y limitados a lo necesario.
• Velar por el cumplimiento previo, y durante todo el tratamiento, de la normativa aplicable a su actividad, incluidas sus obligaciones ante el Ministerio del Interior.
• Custodiar sus credenciales de acceso y de API, y las credenciales de SES.Hospedajes que registre en el panel.
• Supervisar el tratamiento y comunicar a Kinapi cualquier incidencia que detecte.

6. Subencargados

El Cliente autoriza de forma general a Kinapi a recurrir a los subencargados listados a continuación, con los que Kinapi ha suscrito los contratos exigidos por el artículo 28.4 del RGPD. Kinapi responde de su actuación como de la propia.

Kinapi informará al Cliente por correo electrónico de cualquier alta o sustitución de subencargado con 30 días de antelación. El Cliente podrá oponerse por motivos razonables y fundados dentro de ese plazo; de no llegarse a una solución, podrá resolver el contrato sin penalización.

6.1. Transferencias internacionales

El tratamiento de datos personales se realiza íntegramente dentro de la Unión Europea, en la región Spain Central de Microsoft Azure. La única entidad de un país tercero es la autoridad de sellado de tiempo, que recibe exclusivamente el resumen criptográfico (hash SHA-256) del contrato — un valor del que no es posible extraer dato personal alguno — y no recibe el documento. Fuera de esto, no se realizan transferencias internacionales; si en el futuro fueran necesarias, se ampararán en una decisión de adecuación o en cláusulas contractuales tipo, y se informará previamente al Cliente.

7. Violaciones de seguridad

Kinapi notificará al Cliente cualquier violación de la seguridad de los datos personales sin dilación indebida desde que tenga conocimiento de ella, por correo electrónico a la dirección de contacto de la cuenta, y con la antelación suficiente para que el Cliente pueda cumplir su propio plazo de 72 horas del artículo 33.1 del RGPD. La notificación incluirá, con la información disponible en ese momento: naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, datos de contacto para ampliar información, consecuencias probables y medidas adoptadas o propuestas.

Corresponde al Cliente, como responsable, decidir sobre la notificación a la autoridad de control y, en su caso, a los interesados. Kinapi le prestará la asistencia razonable que precise.

8. Derechos de los interesados

El Cliente puede atender por sí mismo los derechos de acceso, rectificación y portabilidad desde el panel y la API. Para los que requieran intervención de Kinapi, esta responderá en un plazo máximo de 10 días hábiles desde la solicitud del Cliente.

9. Auditoría

Kinapi pondrá a disposición del Cliente, a su solicitud razonada y como máximo una vez al año, la información necesaria para demostrar el cumplimiento de este contrato. El Cliente podrá realizar auditorías —por sí o mediante un auditor independiente sujeto a confidencialidad— avisando con 30 días de antelación, en horario laboral, sin interrumpir el servicio y asumiendo su coste, salvo que la auditoría revele incumplimientos relevantes imputables a Kinapi.

10. Fin del encargo

Devolución. El Cliente puede exportar sus datos en cualquier momento desde el panel o la API: un archivo con los partes de viajeros, los justificantes de comunicación, los contratos firmados y la evidencia de firma de cada estancia, junto con los datos en formato estructurado. Es la forma en que Kinapi devuelve los datos al terminar el encargo (art. 28.3.g RGPD).

Baja de la cuenta. El Cliente puede pedir la baja desde el panel. Desde ese momento la cuenta queda cerrada —no se comunican partes, no se escribe a los huéspedes y la API solo permite exportar— y durante un periodo de gracia de 30 días el Cliente puede reactivarla o exportar sus datos. Al vencer ese plazo, Kinapi suprimirá los datos personales tratados por cuenta del Cliente, así como las copias existentes, salvo:

• los datos del parte de viajeros de las estancias que aún estén dentro de su plazo legal de conservación (tres años desde la salida), que se conservan bloqueados: separados de la cuenta y sin acceso del Cliente ni de Kinapi, salvo para atender el requerimiento de una autoridad competente, y se suprimen al vencer el plazo de cada uno;
• la evidencia de firma en el contenedor inmutable, hasta el vencimiento de su política de retención;
• los registros contables y fiscales de la relación comercial, que no incluyen datos de huéspedes.

Baja de un titular. Cuando el Cliente deja de gestionar los alojamientos de uno de sus titulares, puede exportar sus registros y después suprimir sus datos desde el panel. Se aplica la misma regla: lo que deba conservarse queda bloqueado hasta que venza su plazo, y las reservas permanecen en la cuenta anonimizadas, sin ningún dato que identifique a los huéspedes.

Mientras la cuenta esté activa, Kinapi no suprime por su cuenta los registros de viajeros: su conservación y su supresión siguen las instrucciones del Cliente.

11. Responsabilidad

La responsabilidad frente a los interesados y frente a las autoridades de control se rige por el artículo 82 del RGPD y no queda limitada por este contrato ni por las condiciones del servicio: esa responsabilidad es indisponible entre las partes.

Entre las partes, y sin perjuicio de lo anterior, sí resulta aplicable el límite de responsabilidad de la cláusula 7 de las condiciones del servicio, también a las obligaciones de este contrato, salvo en los supuestos que la legislación imperativa no permita limitar. Cada parte responderá de los daños causados por su propio incumplimiento de la normativa de protección de datos o de este contrato.

Anexo II · Medidas de seguridad

Medidas técnicas y organizativas aplicadas conforme al artículo 32 del RGPD. Kinapi puede actualizarlas siempre que el nivel de seguridad no disminuya.

• Cifrado en tránsito: TLS obligatorio en todas las conexiones, con versiones mínimas TLS 1.2. La API pública solo acepta HTTPS.
• Cifrado en reposo: cifrado de la plataforma en base de datos y almacenamiento. Las credenciales de terceros que el Cliente registra —contraseña de SES.Hospedajes, tokens de notificación, secretos de firma de webhooks— se cifran además a nivel de aplicación (AES-256-GCM), de modo que no son legibles ni con acceso directo a la base de datos.
• Aislamiento entre clientes: todos los datos se particionan por identificador de cliente, y ese identificador se obtiene siempre de la sesión verificada o de la clave de API, nunca de un valor que la petición pueda proporcionar.
• Enlace del huésped: el enlace de check-in es una credencial portadora por reserva: permite registrar huéspedes y ver la lista del grupo con el número de documento enmascarado. Los campos que identifican a una persona —documento y fecha de nacimiento— solo se muestran al navegador que la registró y durante unas horas; después pueden corregirse, pero no leerse. El enlace caduca automáticamente a los 14 días de la salida. Aun así, el Cliente debe distribuirlo con cuidado: los huéspedes de una misma reserva son co-firmantes del contrato y este los identifica a todos.
• Control de acceso: autenticación federada mediante proveedor de identidad (Microsoft Entra External ID); no existen contraseñas propias. Acceso por roles. Las claves de API se almacenan únicamente como hash SHA-256.
• Gestión de secretos: los secretos de la plataforma residen en Azure Key Vault con acceso por identidad administrada, sin credenciales en el código ni en variables de entorno.
• Integridad y no repudio: los contratos firmados se sellan con sello de tiempo RFC 3161 y se copian a almacenamiento inmutable (WORM), con registro append-only de IP, user-agent y hash de firma por firmante.
• Minimización: no se solicita ni almacena copia del documento de identidad. Los enlaces de check-in del huésped caducan automáticamente transcurrido el plazo configurado desde la salida.
• Trazabilidad: registro de actividad de la API y de las comunicaciones a SES, con telemetría centralizada y retención acotada.
• Resiliencia: infraestructura gestionada con redundancia del proveedor, copias de seguridad automáticas y capacidad de restauración a un punto anterior en el tiempo.
• Límites de abuso: cuotas por cliente y limitación de altas por origen, para contener un uso anómalo antes de que afecte al servicio o genere datos indebidos.