Política de privacidad

1. Quién responde de tus datos

• Responsable del tratamiento: PRIVA SPA, S.L. (sociedad unipersonal), nombre comercial «Spafindo».
• NIF: B93940922.
• Domicilio social: Cl. Inglaterra – Faro Calaburra, 71, 29649 Mijas (Málaga), España.
• Contacto de privacidad: info@spafindo.com.
• Registro Mercantil: Registro Mercantil de Málaga. Tomo, Folio y Hoja pendientes: la sociedad se constituyó el 5 de agosto de 2026 y la inscripción está en tramitación.
• Delegado de protección de datos: no se ha designado. Nuestros tratamientos no lo exigen conforme al artículo 37 del RGPD (no hay observación a gran escala ni categorías especiales a gran escala); escríbenos a la dirección anterior con cualquier consulta de privacidad.

Cuando reservas, el establecimiento que eliges recibe además los datos de tu reserva y los utiliza, como responsable independiente, para preparar y prestar la sesión: ver la sección 4.

2. Qué recogemos y de quién

Recogemos solo lo que necesita una plataforma de reservas. Casi todo nos lo facilitas tú; el resto lo genera tu uso de la Plataforma.

• Clientes que reservan una sesión: nombre, correo electrónico, teléfono (opcional), la suite, la fecha, la hora, la duración, el número de personas, los extras elegidos, el precio, el estado del pago y una referencia de pago de Stripe, además del idioma en el que reservaste.
• Tarjetas regalo: el nombre y el email de quien compra, el nombre y el email de quien la recibe, el mensaje personal escrito en la tarjeta, el importe y el saldo que queda en el código.
• Titulares de cuenta: correo electrónico, contraseña (guardada únicamente como resumen criptográfico, nunca en claro), nombre, tus reservas, tus suites guardadas y tus reseñas.
• Reseñas: tu valoración, tu texto y el nombre de pila que se muestra, vinculados a la reserva de la que proceden.
• Consultas, listas de espera y recordatorios de ocasiones: nombre, email, el mensaje o la preferencia que nos envías, la página desde la que lo envías y, si la hay, la campaña que te trajo (etiquetas UTM y el sitio de procedencia, solo tras el consentimiento analítico).
• Propietarios de spa que solicitan publicar: nombre de contacto, email, teléfono, el nombre del establecimiento, su dirección, su web y su descripción, horarios, precios y fotografías, y los datos de identidad y bancarios que facilitas directamente a Stripe para cobrar (nosotros solo vemos si el alta se ha completado, nunca tus documentos).
• Datos técnicos: dirección IP, tipo de navegador y de dispositivo, páginas solicitadas, marcas de tiempo y registros de error, conservados en los registros de alojamiento y de la aplicación por seguridad y para resolver incidencias.
• Cookies y tecnologías similares: se describen en la Política de cookies. Google Analytics 4 solo se carga tras el consentimiento analítico; no hay ninguna etiqueta publicitaria activa. Google Maps se explica en la sección 4.4 siguiente.

No nos envíes información sobre tu salud. No la pedimos ni tenemos ningún campo para ella. Las recomendaciones de salud de nuestros Términos son para que las valores tú; nunca necesitas comunicarnos ni comunicar al establecimiento una condición médica para reservar.

Facilitar tu nombre, tu email y los datos de pago es necesario para reservar: sin ellos el contrato no puede ejecutarse. Todo lo demás es opcional.

3. Para qué los tratamos y con qué base jurídica

• Aceptar, confirmar y gestionar tu reserva, comunicarla al establecimiento y enviarte la confirmación, los recordatorios y los avisos de cancelación — ejecución de tu contrato con nosotros, art. 6.1.b RGPD.
• Crear y mantener tu cuenta y mostrarte tus reservas, tus suites guardadas y tus reseñas — ejecución de un contrato, art. 6.1.b.
• Emitir, entregar y canjear tarjetas regalo y llevar su saldo — ejecución de un contrato, art. 6.1.b.
• Cobrar el pago y tramitar los reembolsos a través de Stripe — ejecución de un contrato, art. 6.1.b, y obligaciones legales en materia de servicios de pago y prevención del fraude, art. 6.1.c.
• Responder a tus consultas y a tus solicitudes de lista de espera o de recordatorio — medidas precontractuales a petición tuya, art. 6.1.b, o tu consentimiento cuando pides que te avisemos al abrir en tu zona, art. 6.1.a.
• Revisar y gestionar la solicitud de un spa, publicar su anuncio y liquidar sus pagos — ejecución del contrato con el colaborador, art. 6.1.b, y obligaciones legales, art. 6.1.c.
• Publicar reseñas procedentes de reservas verificadas — nuestro interés legítimo, y el del establecimiento, en un marketplace fiable, art. 6.1.f.
• Mantener segura la Plataforma: limitación de peticiones, prevención de spam y fraude, investigación de abusos, copias de seguridad y registros — nuestro interés legítimo en un servicio seguro, art. 6.1.f. Lo hemos ponderado con tus derechos: los datos utilizados son mínimos y nunca sirven para elaborar perfiles comerciales.
• Saber qué campaña originó una consulta — tu consentimiento, art. 6.1.a. Tras el consentimiento analítico, las etiquetas UTM, el origen del sitio de procedencia y la ruta de entrada se guardan en el navegador hasta 12 meses y pueden acompañar un formulario o una reserva que envíes. No recogemos identificadores de clic publicitario en este registro.
• Cumplir obligaciones fiscales, contables, de facturación y de consumo, y atender reclamaciones o acciones legales — obligación legal, art. 6.1.c, e interés legítimo en la formulación o defensa de reclamaciones, art. 6.1.f.
• Medición analítica — tu consentimiento, art. 6.1.a, revocable en cualquier momento desde Configurar cookies. Google Analytics 4 recibe identificadores del navegador y de sesión, eventos de páginas públicas y reservas, etiquetas de campaña y datos técnicos de conexión. Las URL de página de los eventos excluyen parámetros y fragmentos. No se envían vistas de cuentas o inicio de sesión, datos de contacto del huésped, tokens de pago ni códigos de canje de regalos. La medición publicitaria está inactiva.
• Comunicaciones comerciales por email — tu consentimiento, art. 6.1.a. Hoy enviamos únicamente emails transaccionales (confirmaciones, recordatorios, cancelaciones, peticiones de reseña y avisos a colaboradores). Si algún día enviamos una newsletter, será con alta voluntaria y cada mensaje llevará una baja en un clic.

No adoptamos decisiones automatizadas sobre ti con efectos jurídicos ni elaboramos perfiles publicitarios.

4. Quién recibe tus datos

4.1 El establecimiento que reservas

El establecimiento recibe tu nombre, tu email, tu teléfono si lo has facilitado, la fecha, la hora, la duración, el número de personas y los extras elegidos: lo que necesita para preparar la suite y recibirte. Nunca recibe los datos de tu tarjeta. Para ese uso, el establecimiento es responsable independiente y responde conforme a su propia política de privacidad; pregúntale directamente si quieres saber más.

4.2 Nuestros encargados del tratamiento

Estos proveedores tratan los datos únicamente siguiendo nuestras instrucciones, mediante contratos conforme al artículo 28 del RGPD:

• Supabase, Inc. (Estados Unidos): nuestra base de datos, el sistema de inicio de sesión y el almacenamiento de fotografías. Los datos se alojan en la región de AWS ap-southeast-2 (Sídney, Australia) de Supabase.
• Vercel, Inc. (Estados Unidos): alojamiento, distribución de contenidos y las funciones de servidor que hacen funcionar el sitio; también registros breves de peticiones y de errores.
• Stripe Payments Europe, Ltd. (Irlanda), con Stripe, Inc. (Estados Unidos): pagos con tarjeta, reembolsos y liquidaciones a colaboradores. Stripe es además responsable independiente en materia de prevención del fraude y de las verificaciones de identidad que le exige la normativa de pagos, conforme a su propia política de privacidad.
• Resend, Inc. (Estados Unidos): envío de nuestros emails transaccionales.
• Google Ireland Ltd. (Google Analytics 4): analítica, que se carga solo tras el consentimiento a las cookies analíticas. Google recibe identificadores del navegador y de sesión, los eventos descritos y datos técnicos de conexión conforme a su Política de privacidad. Meta Pixel no está activo.

También comunicamos datos a nuestra asesoría contable y jurídica, sujetas a secreto profesional, y a las administraciones públicas, juzgados o fuerzas de seguridad cuando la ley lo exige. Nunca vendemos tus datos personales.

4.3 Transferencias fuera del EEE

Por los proveedores anteriores, tus datos se almacenan y se tratan fuera del Espacio Económico Europeo: en Australia (la base de datos y el almacenamiento de archivos) y en Estados Unidos (alojamiento, email y parte de la cadena de pago). Ninguno de esos países cuenta con una decisión de adecuación general para estos proveedores, de modo que las transferencias se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea junto con las medidas complementarias previstas en el contrato de encargo de cada proveedor: cifrado en tránsito y en reposo, control de accesos y compromiso de impugnar los accesos ilícitos de autoridades. Cuando un proveedor estadounidense está certificado en el Marco de Privacidad de Datos UE-EE. UU., ese marco se aplica además. Puedes pedirnos una copia de las garantías en info@spafindo.com.

4.4 Google Maps

Cuando está activado, Google Maps se carga al elegir Mostrar mapa en los resultados de búsqueda o al acercarte a la sección de ubicación de una suite. Nuestros mapas utilizan coordenadas de localidades; no facilitamos a Google la dirección exacta ni los datos de contacto del establecimiento, ni solicitamos la ubicación precisa de tu dispositivo.

Al cargar un mapa, tu navegador se conecta con Google. Google registra datos técnicos de la petición, como tu dirección IP, la URL y sus parámetros, la hora y las cabeceras del navegador y del sistema operativo. Su Política de privacidad rige el tratamiento de estos datos, incluidos su conservación y tus controles de privacidad. Este servicio de mapas es independiente de Google Analytics y no activa nuestras etiquetas de analítica ni publicidad.

5. Cuánto tiempo los conservamos

• Reservas, pagos y tarjetas regalo: durante la vigencia del contrato y después 6 años desde el cierre del ejercicio correspondiente, como exigen la normativa mercantil y la tributaria (art. 30 del Código de Comercio y art. 66 de la Ley General Tributaria). El registro de una tarjeta regalo se conserva hasta que caduca o se agota, y después los mismos 6 años.
• Tu cuenta: mientras esté abierta. Cuando pides cerrarla, suprimimos o anonimizamos tus datos personales en 30 días y conservamos solo los registros de reserva y facturación que exige la normativa anterior, que quedan bloqueados (art. 32 LOPDGDD) y no se usan para nada más.
• Reseñas: mientras el anuncio esté publicado; siguen visibles con tu nombre de pila aunque cierres la cuenta, y retiramos o anonimizamos una reseña si nos lo pides.
• Consultas, listas de espera y recordatorios de ocasiones: hasta 24 meses desde tu último contacto, o hasta que retires el consentimiento.
• Solicitudes de spa que no aprobamos: 12 meses, para poder explicar la decisión, y después se eliminan.
• Registros de seguridad y de servidor: hasta 30 días, y más tiempo solo si hay un incidente en investigación.
• Copias de seguridad: una copia diaria conservada 30 días de forma rotativa en un almacenamiento privado con control de accesos; las supresiones que solicites se propagan a las copias dentro de ese plazo.
• Preferencias de cookies: guardadas en tu navegador hasta 12 meses, o hasta que las cambies o borres. La elección controla si puede ejecutarse la analítica opcional.

6. Cómo los protegemos

El acceso a la base de datos está restringido por usuario mediante seguridad a nivel de fila, de modo que ningún cliente puede leer las reservas de otro ni un spa las de otro. El tráfico va cifrado con HTTPS, las contraseñas se guardan solo como resúmenes criptográficos, los números de tarjeta nunca llegan a nuestros sistemas, el acceso administrativo se limita a quien lo necesita y la base de datos se respalda a diario. Si una brecha llegara a suponer un riesgo alto para tus derechos, lo notificaríamos a la AEPD en 72 horas y te informaríamos sin dilación indebida.

7. Tus derechos

Puedes ejercer gratuitamente todos los derechos siguientes escribiendo a info@spafindo.com. Respondemos en el plazo de un mes, prorrogable dos más en solicitudes complejas, y te avisaremos si necesitamos más tiempo. Solo pedimos acreditar la identidad cuando existan dudas razonables sobre quién solicita.

• Acceso: una copia de los datos que tenemos sobre ti. Si tienes cuenta, también puedes descargarlos tú desde Mis reservas.
• Rectificación: corregir lo que sea inexacto o esté incompleto.
• Supresión: borrar tus datos cuando ya no los necesitemos. Las reservas que debemos conservar por motivos fiscales y contables quedan bloqueadas en lugar de suprimirse.
• Limitación: congelar un tratamiento mientras se resuelve una discrepancia sobre él.
• Oposición: oponerte en cualquier momento a los tratamientos basados en nuestro interés legítimo, alegando motivos relacionados con tu situación.
• Portabilidad: recibir en un formato estructurado y legible por máquina los datos que nos facilitaste, o que se los enviemos a otro responsable.
• Retirar el consentimiento: cuando quieras, sin que afecte a lo que era lícito antes. Las preferencias de cookies se cambian desde «Configurar cookies», en el pie de página.

Si crees que no hemos atendido tus derechos, puedes reclamarnos primero a nosotros —preferimos arreglarlo— y, en todo caso, ante la autoridad de control española: Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es. También puedes acudir a los tribunales.

8. Menores

La Plataforma es para personas adultas: hay que ser mayor de 18 años para reservar o tener cuenta. No recogemos conscientemente datos de menores. Si nos llegan datos de un menor, escríbenos y los eliminaremos.

9. Cambios en esta política

Actualizamos esta política cuando cambian nuestros tratamientos, nuestros proveedores o la ley. La fecha de arriba indica siempre la versión vigente, y los cambios que te afecten de forma sustancial se anuncian en la Plataforma antes de aplicarse.

Relacionado: Cookies · Términos · Aviso legal