Data Processing Annex (DPA)

This document is provided in Spanish, which is the binding version for all purposes. The full Spanish text follows. If you need help understanding any clause, write to hello@anpira.com.

Última actualización: julio de 2026 · Versión: 1.0

Este Anexo regula, conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), el tratamiento de datos personales que Yassin Boujendar Monzón, NIF 42218936K, Calle Dinamarca 5, 35100 Playa del Inglés, San Bartolomé de Tirajana (Las Palmas) ("el Encargado" o "Anpira") realiza por cuenta del Cliente ("el Responsable") en la prestación del Servicio. Contacto de protección de datos: privacy@anpira.com.

1. Objeto y prelación

1.1. El Encargado tratará por cuenta del Responsable los datos personales descritos en el Anexo I, exclusivamente para prestar el Servicio conforme a los Términos del Servicio. 1.2. En materia de protección de datos, este Anexo prevalece sobre cualquier otra previsión del Acuerdo.

2. Duración

2.1. Este Anexo estará vigente mientras lo esté el Acuerdo. Las obligaciones de confidencialidad y las relativas a la supresión o devolución de los datos subsistirán tras su terminación.

3. Instrucciones del Responsable

3.1. El Encargado tratará los datos únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo que una norma de la Unión o española le imponga otra cosa, en cuyo caso informará previamente al Responsable salvo prohibición legal. 3.2. La configuración y el uso del panel por el Responsable y sus usuarios autorizados constituyen instrucciones documentadas (incluida la activación o desactivación de funciones como la geolocalización del sellado de Verify o el asistente de IA). 3.3. El Encargado informará inmediatamente al Responsable si, a su juicio, una instrucción infringe el RGPD u otra normativa de protección de datos.

4. Confidencialidad

4.1. El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido a la confidencialidad o están sujetas a una obligación legal equivalente, y que reciben la formación necesaria. 4.2. El acceso del personal del Encargado a los datos se limita a lo estrictamente necesario para operar, mantener y dar soporte al Servicio.

5. Seguridad

5.1. El Encargado aplicará las medidas técnicas y organizativas del Anexo II, apropiadas al riesgo conforme al art. 32 RGPD, y las mantendrá actualizadas sin reducir el nivel de protección durante la vigencia del Acuerdo. 5.2. El Encargado asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en el cumplimiento de sus obligaciones de los arts. 32 a 36 RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas).

6. Subencargados

6.1. El Responsable autoriza de forma general la contratación de los subencargados del Anexo III, cuya lista actualizada se publica en anpira.com/legal/subencargados. 6.2. El Encargado comunicará cualquier adición o sustitución con al menos quince (15) días de antelación (email o aviso en el panel). El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si la oposición no puede resolverse, el Responsable podrá resolver el Acuerdo sin penalización, con devolución proporcional de lo pagado por adelantado. 6.3. El Encargado impondrá a cada subencargado, por contrato, obligaciones equivalentes a las de este Anexo, y responderá ante el Responsable del cumplimiento de sus subencargados.

7. Derechos de los interesados

7.1. El Encargado asistirá al Responsable, mediante las herramientas del Servicio y, cuando no basten, mediante asistencia razonable, para atender las solicitudes de ejercicio de derechos (arts. 15 a 22 RGPD). 7.2. Si un interesado se dirige directamente al Encargado, este trasladará la solicitud al Responsable sin dilación indebida y, salvo instrucción en contrario, no responderá por sí mismo más allá de indicar al interesado la identidad del Responsable.

8. Violaciones de seguridad

8.1. El Encargado notificará al Responsable, sin dilación indebida y en todo caso en un máximo de cuarenta y ocho (48) horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales, con la información del art. 33.3 RGPD disponible en ese momento, completándola a medida que se disponga de ella. 8.2. El Encargado documentará las violaciones y colaborará con el Responsable en su gestión, notificación a la autoridad y, en su caso, comunicación a los interesados. La notificación a la AEPD y a los interesados corresponde al Responsable.

9. Transferencias internacionales

9.1. El Encargado no transferirá datos fuera del Espacio Económico Europeo sin garantías del Capítulo V RGPD (decisiones de adecuación, cláusulas contractuales tipo o el Marco de Privacidad de Datos UE-EE. UU.), identificadas por subencargado en el Anexo III.

10. Auditorías

10.1. El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Anexo, incluida la documentación de medidas de seguridad y, cuando existan, certificaciones o informes de terceros. 10.2. El Responsable podrá realizar una auditoría por año natural (o adicionales tras una violación de seguridad que le afecte), con preaviso mínimo de quince (15) días, en horario laboral, sin acceso a datos de otros clientes ni a secretos empresariales del Encargado, asumiendo sus propios costes y suscribiendo compromisos de confidencialidad.

11. Fin del tratamiento

11.1. A la terminación del Acuerdo, y a elección del Responsable, el Encargado suprimirá o devolverá todos los datos personales en un plazo de treinta (30) días, y suprimirá las copias existentes, certificándolo por escrito, salvo que una norma exija su conservación, en cuyo caso los mantendrá bloqueados (art. 32 LOPDGDD) el tiempo imprescindible. 11.2. Los datos exportables estarán disponibles para el Responsable mediante las herramientas del panel durante los treinta (30) días siguientes a la terminación.

12. Responsabilidad

12.1. Cada parte responderá conforme al art. 82 RGPD y al régimen sancionador aplicable por los incumplimientos que le sean imputables. El Encargado responderá de los daños causados por un tratamiento solo si no ha cumplido las obligaciones del RGPD dirigidas específicamente a los encargados o ha actuado al margen o en contra de las instrucciones legales del Responsable.

Naturaleza. Prestación de la plataforma Anpira: portal del huésped, gestión de accesos, coordinación de limpiezas (CleanerLink/Verify), mensajería y automatizaciones: Recogida, registro, estructuración, conservación, consulta, comunicación al Responsable y supresión, por medios automatizados.

Finalidad. Prestación de la plataforma Anpira: portal del huésped, gestión de accesos, coordinación de limpiezas (CleanerLink/Verify), mensajería y automatizaciones: Gestionar la estancia de los huéspedes y la operativa del alojamiento del Responsable.

Categorías de interesados. Prestación de la plataforma Anpira: portal del huésped, gestión de accesos, coordinación de limpiezas (CleanerLink/Verify), mensajería y automatizaciones: Huéspedes y acompañantes; personal de limpieza y colaboradores del Responsable.

Categorías de datos. Prestación de la plataforma Anpira: portal del huésped, gestión de accesos, coordinación de limpiezas (CleanerLink/Verify), mensajería y automatizaciones: Identificativos y de contacto; datos de reserva; datos de uso del portal y de accesos (dispositivos autorizados, aperturas, códigos); mensajes; perfil profesional del personal; tareas y estados; fotos de verificación con metadatos (huella, fecha/hora{, ubicación puntual en el sellado si el Responsable la activa}).

Categorías especiales. Prestación de la plataforma Anpira: portal del huésped, gestión de accesos, coordinación de limpiezas (CleanerLink/Verify), mensajería y automatizaciones: No previstas. El Responsable se obliga a no introducirlas en el Servicio.

Plazos. Prestación de la plataforma Anpira: portal del huésped, gestión de accesos, coordinación de limpiezas (CleanerLink/Verify), mensajería y automatizaciones: Los definidos por el Responsable en el panel dentro de los rangos del Servicio; en su defecto, los indicados en la Documentación.

Cifrado de datos en tránsito (TLS) y en reposo.

Aislamiento lógico de datos por cliente (tenant) en base de datos y almacenamiento.

Control de acceso basado en roles y credenciales individuales; autenticación reforzada para operaciones sensibles (vinculación de dispositivos, aprobaciones step-up).

Registro de actividad y de accesos, con registros de evidencia de solo escritura y encadenado criptográfico (SHA-256).

Sellado criptográfico de las evidencias de Verify desde su generación.

Copias de seguridad periódicas y procedimientos de recuperación probados; colas de reintento y registro de errores (dead letter) para garantizar la integridad de las operaciones.

Minimización: los identificadores de dispositivo se almacenan con hash y sal por cliente; no se almacenan PIN ni contraseñas en claro.

Gestión de vulnerabilidades y actualización continua de dependencias; entorno de infraestructura gestionada (Cloudflare) con protección perimetral.

Procedimiento interno de gestión de incidentes y violaciones de seguridad.

Anexo III. Subencargados autorizados

Lista publicada y actualizada en anpira.com/legal/subencargados.

Cloudflare, Inc.. Servicio: Infraestructura de red, seguridad y almacenamiento de imágenes. Ubicación / transferencia: UE/EE. UU.. Garantía: DPF + SCCs.

Vercel Inc.. Servicio: Alojamiento y computación de la plataforma. Ubicación / transferencia: UE/EE. UU.. Garantía: DPF.

Neon, Inc.. Servicio: Base de datos (alojada en la UE, Fráncfort). Ubicación / transferencia: UE (proveedor de EE. UU.). Garantía: SCCs.

Seam Labs, Inc.. Servicio: Orquestación de cerraduras y accesos. Ubicación / transferencia: EE. UU.. Garantía: SCCs.

Nota sobre PMS / channel manager: el sistema de gestión que el Responsable conecte a Anpira (cualquiera de la lista de integraciones publicada) lo contrata el Responsable directamente con su proveedor y no es subencargado de Anpira. El intercambio de datos de reserva entre ese sistema y Anpira se realiza por instrucción del Responsable, bajo las condiciones de su propio contrato con dicho proveedor.

Stripe Payments Europe, Ltd.. Servicio: Cobro de suscripciones y pagos (datos del Cliente, no de interesados del Responsable). Ubicación / transferencia: UE/EE. UU.. Garantía: DPF + SCCs.

Resend (Plus Five Five, Inc.). Servicio: Email transaccional del Servicio. Ubicación / transferencia: EE. UU.. Garantía: SCCs.

Anthropic, PBC. Servicio: Modelos de IA del asistente (solo si el Responsable lo activa); sin retención para entrenamiento. Ubicación / transferencia: EE. UU.. Garantía: DPF.

Upstash, Inc.. Servicio: Límites de tráfico y protección frente a abuso. Ubicación / transferencia: UE/EE. UU.. Garantía: SCCs.