Acord d'Encarregament del Tractament

Dades de les parts

1. Objecte de l'encàrrec

Mitjançant el present acord s'habilita Estada, com a Encarregat del Tractament, per tractar dades personals per compte del Responsable, en el marc de la prestació del servei de gestió i automatització del registre de viatgers exigit per la Llei Orgànica 4/2015, de 30 de març, de protecció de la seguretat ciutadana, i pel Reial decret 933/2021, i les instruccions dels Mossos d'Esquadra (format V24).

El tractament consistirà en: recollida, emmagatzematge, processament, generació del fitxer oficial de registre i transmissió de les dades dels viatgers a l'establiment per a la seva presentació a les autoritats competents.

2. Durada

El present acord té la mateixa vigència que la relació contractual entre les parts per a la prestació del servei d'Estada, i s'extingeix automàticament quan aquesta s'acaba, en la forma i amb els preavisos que preveuen els Termes i Condicions.

L'extinció de l'acord no comporta per si sola l'eliminació de les dades: la seva destinació es regeix per l'apartat 8. Mentre Estada conservi dades personals per compte del Responsable, també després de la baixa o de l'extinció de la relació i fins a la seva supressió definitiva, incloses les còpies de seguretat, continuen vigents totes les obligacions de l'Encarregat d'aquest acord.

3. Dades objecte del tractament

Categories de dades personals

Les dades tractades per Estada per compte del Responsable són exclusivament les necessàries per al compliment de l'obligació legal de registre de viatgers:

• Nom i cognoms
• Tipus i número de document d'identitat (DNI, NIE, passaport o altres), número de suport i data d'expedició
• Nacionalitat
• Data de naixement i sexe
• Adreça postal completa
• Telèfon i correu electrònic de contacte
• Relació de parentesc (en el cas de menors d'edat)
• Dades de l'estada: dates i hores d'entrada i sortida, número de reserva, nombre de persones i d'habitacions, i tipus de pagament
• Dades tècniques del registre: idioma triat i data i hora en què s'envia el formulari

No es tracten categories especials de dades en el sentit de l'art. 9 del RGPD (dades de salut, origen racial, opinions polítiques, etc.).

Categories d'interessats

Els viatgers allotjats a l'establiment del Responsable, inclosos els menors d'edat que els acompanyin.

Base jurídica del tractament

Compliment d'una obligació legal (art. 6.1.c del Reglament (UE) 2016/679, RGPD), en concret la Llei Orgànica 4/2015 i el Reial decret 933/2021 sobre registre obligatori de viatgers en establiments d'allotjament turístic.

4. Obligacions d'Estada (Encarregat)

Estada i tot el seu personal es compromet a:

a) Finalitat i instruccions

Tractar les dades únicament per a la finalitat objecte d'aquest encàrrec. En cap cas podrà utilitzar les dades per a fins propis o aliens a la prestació del servei.

b) Confidencialitat

Mantenir el deure de secret i confidencialitat respecte a les dades personals a les quals tingui accés en virtut d'aquest encàrrec, fins i tot un cop finalitzat el contracte. Tot el personal autoritzat a accedir a les dades haurà d'estar degudament format i compromès amb el respecte a la confidencialitat.

c) Seguretat

Aplicar les mesures tècniques i organitzatives necessàries per garantir la confidencialitat, integritat, disponibilitat i resiliència dels sistemes de tractament, d'acord amb l'art. 32 del RGPD. Entre d'altres: xifrat de dades en trànsit (TLS 1.2 o superior) i en repòs (AES-256), control d'accés per rols (RBAC), segregació de dades a la mateixa base de dades (Row Level Security) i còpies de seguretat periòdiques.

Les còpies de seguretat s'efectuen automàticament, com a mínim cada cinc dies i habitualment cada dia; van xifrades amb una clau que custodia exclusivament l'Encarregat, i es conserven a la Unió Europea (a Amazon Web Services, Irlanda, i a l'equip de l'Encarregat) amb supressió automàtica als 400 dies. Contenen dades de viatgers.

d) Notificació de bretxes de seguretat

Notificar al Responsable, sense dilació indeguda i en qualsevol cas en un termini màxim de 48 hores, qualsevol bretxa de seguretat que pugui afectar les dades personals objecte d'aquest encàrrec, indicant: naturalesa de la bretxa, categories i nombre aproximat d'interessats afectats, conseqüències possibles i mesures adoptades.

A petició del Responsable, Joel Prat Turró comunicarà en el menor temps possible aquestes violacions de la seguretat de les dades als interessats, quan sigui probable que la violació suposi un alt risc per als drets i les llibertats de les persones físiques.

La comunicació es farà en un llenguatge clar i senzill i inclourà els elements que en cada cas assenyali el Responsable i, com a mínim:

• La naturalesa de la violació de dades.
• Les dades del punt de contacte del Responsable o de l'Encarregat on es pugui obtenir més informació.
• La descripció de les possibles conseqüències de la violació de la seguretat de les dades personals.
• La descripció de les mesures adoptades o proposades pel Responsable per posar solució a la violació, incloent-hi, si escau, les mesures adoptades per mitigar-ne els possibles efectes negatius.
• La posada a disposició del Responsable de tota la informació necessària per demostrar el compliment de les seves obligacions, així com per a la realització, si escau, de les auditories o inspeccions que es puguin dur a terme.

e) Exercici de drets dels interessats

Assistir el Responsable per donar resposta a les sol·licituds d'exercici de drets (accés, rectificació, supressió, portabilitat, oposició i limitació) en un termini màxim de 10 dies hàbils des de la recepció de la sol·licitud.

f) Subcontractació

El Responsable autoritza de manera general Estada a recórrer als subencarregats de l'apartat 6. Estada l'informarà per correu electrònic, amb una antelació mínima de trenta (30) dies, de tota incorporació o substitució de subencarregats, i el Responsable s'hi podrà oposar dins d'aquest termini per motius raonables de protecció de dades. Si Estada manté el canvi, el Responsable podrà donar-se de baixa sense cap penalització abans que s'apliqui. Estada imposarà a cada subencarregat, per contracte, les mateixes obligacions de protecció de dades d'aquest acord.

g) Auditories

Posar a disposició del Responsable la informació necessària per demostrar el compliment de l'art. 28 del RGPD, en primer lloc per escrit. Les auditories o inspeccions, a càrrec del Responsable, s'han de demanar amb un preavís mínim de trenta (30) dies i com a màxim un cop l'any, llevat que hi hagi hagut una violació de seguretat o ho requereixi una autoritat de control, i s'han de fer en dies laborables, per un auditor obligat a confidencialitat i sense accés a dades d'altres clients ni als sistemes dels proveïdors.

5. Obligacions del Responsable (establiment)

Correspon al Responsable del Tractament:

• Facilitar a Estada l'accés als sistemes necessaris per prestar el servei contractat.
• Garantir que les dades dels viatgers introduïdes a la plataforma són correctes i veraces. Estada no és responsable dels errors o inexactituds en les dades subministrades.
• Informar els viatgers del tractament de les seves dades personals en el moment de la recollida, d'acord amb els arts. 13 i 14 del RGPD.
• Presentar el fitxer de registre de viatgers als Mossos d'Esquadra dins el termini legal establert (24 hores des de l'entrada del viatger). Estada facilita el fitxer però no en gestiona la presentació directa.
• Atendre les sol·licituds d'exercici de drets dels viatgers en els terminis legals, amb el suport d'Estada quan sigui necessari.

6. Subcontractistes autoritzats

El Responsable autoritza expressament Estada a subcontractar els serveis dels proveïdors tecnològics següents, que accedeixen a les dades personals en el marc de la prestació del servei:

Estada vetllarà perquè tots els subcontractistes apliquin les mateixes garanties de protecció de dades exigides pel present acord.

7. Transferències internacionals

Les dades personals s'emmagatzemen íntegrament en servidors de la Unió Europea (Supabase i Amazon Web Services a Irlanda, Sentry a Alemanya, Hostinger a Lituània). Els proveïdors Vercel, Resend i Cloudflare, amb matriu als EUA, accedeixen únicament a dades tècniques, de notificació o de protecció antifrau. Aquestes transferències estan cobertes per les Clàusules Contractuals Estàndard (SCC) aprovades per la Comissió Europea.

8. Extinció del contracte i destinació de les dades

Un cop finalitzada la relació contractual, i d'acord amb l'art. 28.3.g del RGPD, la destinació de les dades la decideix el Responsable:

• La baixa del servei no comporta l'eliminació de les dades. El Responsable conserva l'accés al seu compte i pot consultar-les i exportar-les en qualsevol moment, mentre es conservin. El que la baixa tanca és la creació de reserves noves i l'enviament d'enllaços a hostes nous; els enllaços ja enviats que els hostes encara no han fet servir deixen de funcionar (Termes i Condicions, clàusula 9).
• Estada les conserva mentre duri l'obligació legal de conservació que recau sobre el Responsable (els tres anys que exigeix la normativa de registre de viatgers) perquè pugui complir-la i mostrar-les en cas d'inspecció.
• Un cop exhaurit aquest termini, les dades dels viatgers s'eliminen automàticament de manera permanent i segura. El procés d'eliminació s'executa mensualment.
• Si el Responsable demana la supressió anticipada de dades de viatgers, abans del venciment del termini legal, les dades no se suprimeixen sinó que queden bloquejades: es reserven de manera que no s'utilitzin per a cap finalitat que no sigui el compliment d'aquella obligació legal, i s'eliminen en complir-se el termini.
• Si el Responsable esborra des del panell una reserva, un viatger o un menor, les dades desapareixen del panell però no se suprimeixen: queden bloquejades en els mateixos termes fins al venciment del termini legal, i Estada les posa a disposició del Responsable si les necessita per complir aquella obligació, per exemple davant d’una inspecció.
• El Responsable pot demanar l'eliminació permanent del seu compte. Estada eliminarà el compte i les dades associades, llevat de les dades dels viatgers sotmeses a l'obligació legal de conservació, que es mantenen bloquejades fins al venciment del termini. Un cop eliminat el compte el Responsable perd l'accés, de manera que li correspon haver exportat abans el registre.
• Les còpies de seguretat xifrades que encara continguin dades ja suprimides es conserven sense cap altre ús fins que vencen, com a màxim 400 dies després, i llavors s'esborren automàticament.

9. Llei aplicable i jurisdicció

El present acord es regeix per la legislació espanyola i, en particular, pel Reglament (UE) 2016/679 (RGPD) i la Llei Orgànica 3/2018 (LOPDGDD). La jurisdicció és la que preveu la clàusula 18 dels Termes i Condicions. En matèria de protecció de dades, aquest acord preval sobre els Termes i Condicions.

Última actualització: Vic, 25 de setembre de 2026. Versió 1.6.
Referència RGPD: arts. 28, 29 i 32 del Reglament (UE) 2016/679