Acuerdo de Encargo del Tratamiento (DPA)

Última actualización: 25 de octubre de 2026

Este acuerdo ("DPA") regula el tratamiento de datos personales que KARIBAI TECH, S.L., con NIF B05711833 ("Karibai" o "el Encargado"), realiza por cuenta del anfitrión ("el Responsable") al prestar la Plataforma, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD). Forma parte de los Términos y condiciones y se acepta al contratar el servicio. Los términos definidos en el RGPD tienen aquí el mismo significado, y "Datos de huéspedes" son los descritos en el Anexo I.

1. Instrucciones

El Encargado trata los Datos de huéspedes solo por cuenta del Responsable y siguiendo sus instrucciones documentadas, que son este DPA y la configuración que el Responsable haga de la Plataforma, salvo que el Derecho de la Unión o nacional le obligue a otra cosa. Le informará si considera que una instrucción infringe la normativa de protección de datos.

El Responsable autoriza al Encargado a registrar datos de uso seudonimizados de la Plataforma, como qué páginas de la app de huéspedes se abren, si se completa el check-in o si se abre una puerta, y a tratarlos, también a través de su subencargado de analítica, para elaborar estadísticas agregadas que sirvan para mantener y mejorar el servicio. Estos datos se identifican solo con un identificador interno de la reserva y nunca incluyen nombres, datos de contacto, contenido de mensajes ni datos del registro de viajeros. El Encargado no los usará para identificar a huéspedes, elaborar perfiles individuales ni para ningún otro fin, y no instala cookies analíticas en la app de huéspedes.

El Responsable también autoriza al Encargado a registrar trazas de la actividad de los asistentes de inteligencia artificial de la Plataforma y a tratarlas, también a través de sus subencargados, solo para supervisar su funcionamiento y mejorar el servicio. Las trazas detalladas se suprimen a los 30 días. El Encargado no las usará para entrenar modelos de inteligencia artificial ni para ningún otro fin.

2. Confidencialidad

Las personas autorizadas para tratar los Datos de huéspedes están sujetas a un deber de confidencialidad.

3. Seguridad

El Encargado aplica las medidas técnicas y organizativas del Anexo II, conforme al artículo 32 del RGPD.

4. Subencargados

El Responsable autoriza con carácter general los subencargados publicados en Subencargados.
El Encargado comunicará cualquier alta o sustitución actualizando esa página antes de que se produzca. El Responsable podrá oponerse por motivos razonables de protección de datos escribiendo a privacidad@karibai.com en los 30 días siguientes; sin objeción en ese plazo, el cambio se entiende aceptado. Si la objeción no se resuelve, el Responsable podrá resolver el servicio afectado.
El Encargado impone a cada subencargado, por contrato, obligaciones equivalentes a las de este DPA y responde frente al Responsable de su cumplimiento.

5. Asistencia al Responsable

El Encargado ayudará razonablemente al Responsable, según la naturaleza del tratamiento y la información disponible, a:

Atender los derechos de los interesados. Si un huésped se dirige al Encargado, este le remitirá la solicitud sin dilación y no la responderá salvo instrucción del Responsable u obligación legal.
Cumplir sus obligaciones de seguridad, evaluaciones de impacto y consultas previas a la autoridad de control.

6. Violaciones de la seguridad

El Encargado notificará al Responsable sin dilación indebida cualquier violación de la seguridad que afecte a los Datos de huéspedes, con la información necesaria para que el Responsable cumpla sus obligaciones de notificación.

7. Auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este DPA, en primer lugar mediante documentación o cuestionarios de seguridad. Si no basta, permitirá auditorías del Responsable o de un auditor designado por él, como máximo una vez al año (salvo requerimiento de una autoridad de control o tras un incidente), con preaviso razonable, bajo confidencialidad, a costa del Responsable y sin afectar a la operativa ni a los datos de otros clientes.

8. Transferencias internacionales

El Encargado solo transferirá Datos de huéspedes fuera del Espacio Económico Europeo con garantías adecuadas conforme al RGPD, como una decisión de adecuación (incluido el EU–US Data Privacy Framework) o las cláusulas contractuales tipo de la Comisión Europea, que prevalecerán en caso de conflicto.

9. Fin del servicio

Al terminar el servicio, el Encargado, a elección del Responsable, le devolverá los Datos de huéspedes que la Plataforma permita exportar o los suprimirá, y en todo caso los suprimirá en los 30 días siguientes a la baja, salvo que la ley exija conservarlos. Las copias de seguridad se eliminan según su ciclo de rotación.

10. Disposiciones generales

Este DPA está vigente mientras el Encargado trate Datos de huéspedes por cuenta del Responsable. Se rige por la legislación española y se somete a los Juzgados y Tribunales de Madrid. La responsabilidad derivada de este DPA está sujeta a los límites de los Términos y condiciones, aplicados de forma conjunta a ambos documentos. En materia de protección de datos, este DPA prevalece sobre los Términos y condiciones.

11. Registro de viajeros

Instrucción. Si el Responsable activa la comunicación del registro de viajeros, instruye al Encargado para comunicar en su nombre a SES.HOSPEDAJES las reservas y los partes de viajeros de sus propiedades, y para darlas de alta, modificarlas, anularlas y consultarlas, conforme a la autorización recogida en los Términos y condiciones. El Ministerio del Interior es el destinatario legal de esos datos, no un subencargado.
Credenciales. El Encargado guarda cifradas las credenciales del servicio web de SES.HOSPEDAJES que facilite el Responsable y solo las usa para ejecutar esta instrucción.
Conservación. Los datos del registro, las firmas, los partes y el historial de comunicaciones se conservan durante 3 años desde la fecha de salida de cada estancia y se suprimen después de forma automática. Al terminar el servicio, el Responsable puede exportar el registro antes de que se aplique el apartado 9.
Responsabilidad. El cumplimiento de las obligaciones del Real Decreto 933/2021 corresponde al Responsable. El Encargado le avisa de las comunicaciones rechazadas, pausadas o pendientes de confirmar.

Anexo I — Detalles del tratamiento

Objeto y finalidad: prestar la Plataforma al Responsable: atender y comunicarse con sus huéspedes, gestionar sus reservas, sus compras y pagos y, si el Responsable lo activa, el check-in online, incluida la comunicación del registro de viajeros al Ministerio del Interior, y elaborar estadísticas agregadas de uso del servicio con datos seudonimizados (cláusula 1).
Naturaleza: recogida, almacenamiento, consulta, traducción, procesamiento con inteligencia artificial, comunicación y supresión.
Duración: la del contrato entre el Responsable y Karibai. Los datos del registro de viajeros se conservan conforme al apartado 11.
Interesados: huéspedes del Responsable, incluidos los menores de edad que figuren en el registro de viajeros.
Datos: identificativos y de contacto, del canal de mensajería, contenido de los mensajes, datos de la reserva y de la estancia, compras y estado de los pagos y, en el check-in, los datos del registro de viajeros (sin fotografías ni copias del documento de identidad, porque el escaneo opcional del documento se lee en el dispositivo del huésped y la imagen nunca se envía) y la aceptación del contrato. No se solicitan categorías especiales de datos.
Origen: el propio huésped y los servicios que conecta el Responsable, como su PMS.

Anexo II — Medidas técnicas y organizativas

Cifrado en tránsito (TLS) y en reposo.
Control de acceso por roles, con doble factor y llaves de acceso disponibles.
Aislamiento lógico de los datos de cada cuenta.
Registro de actividad.
Alojamiento en servidores de la Unión Europea.
Copias de seguridad y procedimientos de recuperación.
En el registro de viajeros: cifrado adicional del número de documento y de soporte, la fecha de nacimiento y la dirección; firmas con hash del contenido firmado y filas firmadas inmutables; acceso a los datos de los viajeros limitado a propietarios y administradores; registro de descargas de partes, exportaciones y correcciones; sin fotografías ni copias de documentos; exclusión de esos datos de los registros técnicos y de los modelos de inteligencia artificial.