DPA — Acuerdo de encargo de tratamiento

Última actualización: 25 de agosto de 2026 · Versión 2.4

1. Partes y objeto

El presente Acuerdo de Encargo de Tratamiento (Data Processing Agreement, en adelante «DPA») se celebra entre OfihotelCloudHotel S.L. (en adelante, «el Encargado») y el Cliente hotelero que contrata cualquiera de sus módulos, extensiones o conectores (en adelante, «el Responsable»). El objeto del DPA es regular el acceso y tratamiento por el Encargado, en nombre y por cuenta del Responsable, de los datos personales de los huéspedes y otros interesados cuya titularidad y responsabilidad corresponden al Responsable, en cumplimiento del artículo 28 del RGPD y de los artículos 33 y 34 de la LOPDGDD. El DPA se acepta electrónicamente por el Responsable en el momento de la activación del primer módulo y forma parte integrante del contrato principal.

2. Categorías de datos y de interesados

Los datos personales objeto del tratamiento comprenden, según el módulo activado, las categorías siguientes de datos: datos identificativos de huésped (nombre, apellidos, correo electrónico, teléfono, dirección postal, país de residencia), datos de reserva (fechas de estancia, tipo de habitación, régimen alimenticio, número de acompañantes, canal de origen), datos de identificación oficial (número y tipo de documento identificativo, fecha de nacimiento, nacionalidad, sexo) exclusivamente cuando el módulo activado incluya funcionalidades de check-in online conforme a la normativa española de registro de viajeros, datos de pago (medio de pago utilizado, importe, marca de tarjeta sin exposición de PAN), datos de consentimiento (base jurídica registrada, fecha del consentimiento, versión del texto informativo aceptado). Las categorías de interesados incluyen: los huéspedes del establecimiento hotelero, los reservantes que actúan en nombre de terceros, los usuarios del sitio web del Responsable que interactúan con los formularios del motor de reservas.

3. Naturaleza, finalidad y duración del tratamiento

La naturaleza del tratamiento corresponde al procesamiento automatizado por sistemas informáticos gestionados por el Encargado. La finalidad es exclusivamente la ejecución técnica de los módulos activados por el Responsable, sin ninguna finalidad ulterior propia del Encargado. La duración del tratamiento se extiende durante toda la vigencia del contrato principal y hasta 90 días naturales tras su extinción para permitir la extracción de datos por el Responsable, transcurrido cuyo plazo los datos serán suprimidos salvo obligación legal de conservación aplicable al Responsable (facturación electrónica: 6 años; registro del parte de viajeros: según normativa vigente).

4. Obligaciones del Encargado (artículo 28.3 RGPD)

El Encargado se compromete a: (a) tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional; en ningún caso se realizarán transferencias fuera del Espacio Económico Europeo; (b) garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad; (c) tomar todas las medidas técnicas y organizativas necesarias en virtud del artículo 32 del RGPD; (d) respetar las condiciones previstas para recurrir a subencargados; (e) ayudar al Responsable, teniendo en cuenta la naturaleza del tratamiento, mediante medidas técnicas y organizativas apropiadas, siempre que sea posible, en el cumplimiento de la obligación del Responsable de dar respuesta a las solicitudes de ejercicio de los derechos previstos en los artículos 15 a 22 del RGPD; (f) ayudar al Responsable en el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD teniendo en cuenta la naturaleza del tratamiento y la información a disposición del Encargado; (g) a elección del Responsable, suprimir o devolver todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimir las copias existentes salvo obligación legal contraria; (h) poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones previstas en el artículo 28 RGPD, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de otro auditor autorizado por dicho Responsable.

5. Subencargados autorizados

El Responsable autoriza expresamente al Encargado a recurrir a los siguientes subencargados para la prestación de los servicios contratados: (i) proveedor de alojamiento en centros de datos ISO 27001 situados en Madrid (centro principal) y Fráncfort (réplica de continuidad), en calidad de subencargado técnico de infraestructura; (ii) proveedor de servicios de correo electrónico transaccional situado en la Unión Europea, para el envío de notificaciones a los interesados; (iii) proveedor de firma electrónica homologado por la FNMT, para la firma electrónica de facturas conforme al régimen Verifactu. La lista actualizada de subencargados con sus identificaciones completas y localizaciones se publica en el Área de cliente OfihotelCloudHotel del Responsable. El Encargado informará al Responsable con 30 días de antelación de cualquier cambio previsto respecto a la adición o sustitución de subencargados, dando al Responsable la posibilidad de oponerse a dichos cambios.

6. Medidas de seguridad (artículo 32 RGPD)

El Encargado aplica las siguientes medidas técnicas y organizativas: cifrado de las comunicaciones en tránsito mediante TLS 1.3 con Perfect Forward Secrecy; cifrado en reposo de las bases de datos y de los sistemas de archivo mediante AES-256; gestión de claves mediante módulos hardware de seguridad (HSM); control de acceso multifactor obligatorio para todo el personal del Encargado con acceso a datos personales; segregación estricta de entornos productivos, de pre-producción y de desarrollo; registro de auditoría inmutable de las operaciones sobre datos personales conservado durante 12 meses; copias de seguridad cifradas realizadas cada 6 horas, restaurables en un objetivo de tiempo de recuperación (RTO) inferior a 4 horas y un objetivo de punto de recuperación (RPO) inferior a 6 horas; procedimiento documentado y probado anualmente de notificación de brechas de seguridad al Responsable en el plazo máximo de 48 horas desde la detección, con arreglo al artículo 33 RGPD; test de intrusión anual realizado por auditor externo independiente; formación anual del personal en protección de datos y seguridad de la información.

7. Notificación de brechas de seguridad

En caso de brecha de seguridad de los datos personales, el Encargado notificará al Responsable en el plazo máximo de 48 horas desde el momento en que tenga conocimiento de la misma, proporcionando la información necesaria para que el Responsable pueda cumplir con su obligación de notificación a la AEPD en el plazo de 72 horas previsto por el artículo 33 RGPD. La notificación incluirá: naturaleza de la brecha, categorías y número aproximado de interesados afectados, categorías y volumen de registros de datos personales afectados, nombre y datos de contacto del DPO del Encargado, consecuencias probables de la brecha, y medidas adoptadas o propuestas para poner remedio a la brecha, incluidas, si procede, las medidas para mitigar los posibles efectos negativos.

8. Auditorías

El Responsable podrá auditar al Encargado, por sí mismo o mediante auditor externo autorizado, para verificar el cumplimiento de las obligaciones del DPA. Las auditorías se realizarán con preaviso mínimo de 30 días naturales, durante horario laboral en las oficinas del Encargado en Madrid, y no podrán interrumpir la actividad del Encargado. El Responsable soportará los costes de sus auditorías, salvo que la auditoría revele incumplimiento sustancial del DPA imputable al Encargado, en cuyo caso los costes serán a cargo del Encargado. Asimismo, el Encargado pondrá a disposición del Responsable los informes de auditoría externa anual (SOC 2 Type II e ISO 27001) que realiza sobre su infraestructura.

9. Terminación

A la terminación del contrato principal por cualquier causa, el Encargado, a elección del Responsable, devolverá los datos personales tratados en formato estructurado (JSON) o los suprimirá de forma segura y verificable. Los plazos de conservación exigidos por la normativa aplicable prevalecerán sobre la obligación de supresión (facturación electrónica: 6 años; registro del parte de viajeros: según normativa vigente).

10. Ley aplicable

El presente DPA se rige por la legislación española y por el Reglamento (UE) 2016/679. La jurisdicción exclusiva para la resolución de controversias corresponde a los Juzgados y Tribunales de la ciudad de Madrid. Autoridad de control competente: Agencia Española de Protección de Datos (AEPD), calle Jorge Juan 6, 28001 Madrid.