Encargo de tratamiento (DPA)

Marco y partes

Este documento regula el tratamiento de datos personales que Rentee Vacational Fintech, S.L. ("el Encargado") realiza por cuenta del cliente ("el Responsable") al prestar el servicio Rentee, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

Estas condiciones forman parte de los Términos y condiciones de Rentee: el cliente las acepta al aceptar los Términos, sin necesidad de firmar un documento aparte. Rigen desde su aceptación; para los clientes dados de alta antes, desde que las aceptan expresamente o, en su defecto, desde el 1 de noviembre de 2026. En lo relativo a protección de datos, este Encargo prevalece sobre los Términos.

El Responsable es el gestor de alquiler vacacional que contrata Rentee y que decide sobre los fines y medios del tratamiento de los datos de sus propietarios, huéspedes, proveedores y demás interesados. El Encargado trata esos datos únicamente para prestar el servicio, siguiendo las instrucciones del Responsable.

Objeto, duración, naturaleza y finalidad

• Objeto: el tratamiento necesario para prestar el servicio: conciliación bancaria, cálculo de liquidaciones a propietarios, gestión de gastos, comisiones y proveedores, informes financieros y, si el Responsable la activa, la asistencia con inteligencia artificial (RentIA).
• Duración: mientras el cliente use el servicio y hasta la supresión de los datos al terminar, incluido el plazo de treinta (30) días para exportarlos.
• Naturaleza y finalidad: recogida por importación o conexión, almacenamiento, organización, consulta, cálculo, conservación, comunicación a los subencargados necesarios y, si RentIA está activada, envío de los datos de movimientos descritos en los Términos a proveedores de modelos de IA para generar sugerencias.
• Tipos de datos: identificativos (nombre, NIF), de contacto (email, teléfono, dirección) y económico-financieros (IBAN, importes, movimientos bancarios, reservas y liquidaciones). No incluye categorías especiales de datos.
• Categorías de interesados: propietarios, huéspedes, proveedores y empleados del Responsable, y las personas que aparecen en sus movimientos bancarios.

Obligaciones del Encargado

El Encargado se obliga a:

• Tratar los datos solo según las instrucciones documentadas del Responsable, que son estos Términos, este Encargo y la configuración que haga del servicio (incluida la activación de RentIA), también en lo relativo a transferencias internacionales. Si el Derecho de la Unión o el español le obligaran a otro tratamiento, se lo comunicará antes, salvo que la ley lo prohíba, y le avisará de inmediato si una instrucción le parece contraria a la normativa de protección de datos.
• Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad.
• Aplicar las medidas técnicas y organizativas del artículo 32 RGPD, entre ellas cifrado en tránsito, control de acceso por cuenta y rol, aislamiento de los datos de cada cliente, registro de actividad, copias de seguridad y supresión de identificadores antes de enviar datos a proveedores de IA. A petición, facilitará al Responsable la descripción detallada de las medidas aplicadas.
• Trasladar al Responsable, como tarde el día laborable siguiente, cualquier solicitud de ejercicio de derechos que reciba de un interesado, y asistirle para responderla.
• Asistir al Responsable en la seguridad del tratamiento, la notificación de violaciones de seguridad y las evaluaciones de impacto (artículos 32 a 36), facilitándole la información de que disponga, incluidas las garantías de las transferencias.
• Al terminar el servicio y pasados los treinta (30) días para exportar, suprimir los datos en un plazo máximo de treinta (30) días y certificarlo a petición; las copias de seguridad se eliminarán en su ciclo ordinario de rotación. Si una norma obliga al Responsable a conservarlos, se los devolverá. El Encargado podrá conservarlos bloqueados mientras puedan derivarse responsabilidades de la ejecución del encargo.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías e inspecciones del Responsable o de un auditor que designe, con un preaviso de treinta (30) días y sin acceso a datos de otros clientes.

Subencargados

El Responsable autoriza al Encargado a recurrir a subencargados: el proveedor de alojamiento en la nube, el de correo transaccional y, solo si el Responsable activa RentIA, proveedores de modelos de inteligencia artificial que pueden tratar los datos en Estados Unidos. La lista de subencargados, con la identidad, el servicio y la ubicación de cada uno, forma parte de este Encargo y está a disposición del Responsable a petición.

El Encargado avisará al titular de la cuenta con al menos treinta (30) días de antelación de cualquier alta o sustitución de subencargados. Si el Responsable se opone de forma razonada y no hay una alternativa viable, podrá resolver el contrato sin penalización antes de que el cambio se aplique.

El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este Encargo y responderá ante el Responsable de su cumplimiento.

Brechas de seguridad

El Encargado notificará al Responsable, sin dilación indebida y a más tardar en 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales. La notificación incluirá, en la medida en que se conozca, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, sus consecuencias probables y las medidas adoptadas o propuestas; si no es posible dar toda la información a la vez, se facilitará por fases. El Encargado no notificará a la AEPD ni a los interesados salvo instrucción del Responsable.

Ubicación y transferencias internacionales

Con carácter general, los datos del servicio se alojan en servidores ubicados en el Espacio Económico Europeo (EEE). Si el Responsable activa RentIA, los datos descritos en los Términos se envían a proveedores de modelos de IA que pueden tratarlos en Estados Unidos. Esa transferencia se ampara en las garantías del capítulo V del RGPD: las cláusulas contractuales tipo de la Comisión Europea o, cuando el proveedor esté adherido, el Marco de Privacidad de Datos UE-EE. UU. El Encargado facilitará al Responsable, a petición, información sobre esas garantías.

Obligaciones del Responsable

• Facilitar al Encargado los datos necesarios para prestar el servicio y darle sus instrucciones por escrito, incluida la configuración del servicio.
• Velar, antes y durante el tratamiento, por que se cumpla el RGPD: base jurídica, información a los interesados y respuesta a sus derechos.
• Supervisar el tratamiento, incluidas las auditorías e inspecciones previstas en este Encargo.

Responsabilidad

Cada parte responde de los daños que cause por incumplir sus obligaciones de protección de datos. Entre las partes rige el límite de responsabilidad de los Términos, salvo dolo o culpa grave y sin perjuicio de los derechos de los interesados (artículo 82 RGPD).

El Responsable garantiza que dispone de base jurídica para los datos que incorpora a Rentee y que ha informado a los interesados, y mantendrá indemne al Encargado frente a reclamaciones derivadas de sus instrucciones o de la falta de base jurídica o de información.