1. Introducción
KozyHost S.L. («nosotros», «nos» o «nuestro») opera la plataforma KozyHost (kozyhost.com), una plataforma SaaS multiinquilino para los sectores de la hostelería y el comercio minorista. La presente Política de privacidad explica cómo recogemos, utilizamos, comunicamos y protegemos su información cuando utiliza nuestra plataforma, incluidas nuestras herramientas de back office, los escaparates y las integraciones con servicios de terceros.
Esta política cumple con el Reglamento General de Protección de Datos (RGPD), la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).
2. Funciones de responsable y de encargado del tratamiento
KozyHost S.L. como encargado del tratamiento: cuando las empresas utilizan la plataforma, KozyHost S.L. trata por cuenta de ellas, como encargado del tratamiento conforme al artículo 28 del RGPD, los datos que conservan en ella: reservas, pedidos, perfiles de cliente, entradas y admisiones a eventos, campañas de marketing, los mensajes y llamadas que atienden los asistentes de la plataforma, reseñas, registros de ventas y los registros de su personal, incluidos sus datos laborales, cuadrantes y registros de jornada. Cada empresa actúa como responsable del tratamiento de esos datos, y nuestro Acuerdo de Encargo del Tratamiento regula cómo los tratamos.
KozyHost S.L. como responsable del tratamiento: KozyHost S.L. es responsable del tratamiento de los datos de las cuentas de usuario que gestiona para las personas que utilizan la plataforma (identidad de acceso, credenciales y configuración de la cuenta) y de los datos de facturación de sus propios suscriptores, así como de las consultas y solicitudes de soporte que se le dirigen y de los registros de seguridad y de uso de la propia plataforma. Los registros del personal que una empresa conserva en la plataforma son datos de esa empresa, que tratamos como encargado por cuenta de ella.
Los proveedores son responsables de facilitar a sus clientes sus propias políticas de privacidad y de garantizar que el uso que hacen de los datos de sus clientes a través de la plataforma cumple con la legislación aplicable en materia de protección de datos.
3. Información que recogemos
3.1 Información que usted facilita
- Datos de registro de la cuenta (nombre, correo electrónico, número de teléfono)
- Información de la empresa (nombre del proveedor, dirección, NIF, tipo de negocio)
- Datos de pago y facturación
- Registros del personal que una empresa conserva en la plataforma (nombre, correo electrónico, teléfono, puesto, datos laborales, cuadrantes y registros de jornada), que tratamos por cuenta de esa empresa (sección 2)
- Contenidos que usted crea (cartas, productos, publicaciones, archivos multimedia, páginas legales)
- Datos de reserva de los clientes (nombre, correo electrónico, teléfono, preferencias de reserva)
- Comunicaciones con nuestro equipo de soporte
- Datos de eventos de los clientes tratados por cuenta de los establecimientos (nombre del comprador y del titular de la entrada, correo electrónico, teléfono, la admisión y la sesión adquiridas, las invitaciones enviadas por el establecimiento)
- Consultas de empresas interesadas en KozyHost enviadas a través de nuestra página de contacto comercial (nombre y tipo de negocio, ubicación, número de establecimientos, nombre, cargo, correo electrónico y teléfono de la persona de contacto, sitio web y mensaje)
3.2 Información procedente de servicios de terceros
Cuando conecta cuentas de terceros (Google Business Profile, Facebook, Instagram, WhatsApp), recibimos:
- Tokens de acceso OAuth (almacenados cifrados mediante AES-256-GCM)
- Identificadores y nombres de páginas o cuentas de empresa
- Reseñas y valoraciones de los perfiles conectados
- Estadísticas y analíticas de la página (cuando se autoricen)
No accedemos a su feed personal de redes sociales, a sus mensajes privados ni a sus listas de contactos. Solo solicitamos los permisos necesarios para la gestión de páginas de empresa.
3.3 Información recogida automáticamente
- Información del dispositivo y del navegador (tipo, versión, sistema operativo)
- Dirección IP y ubicación geográfica aproximada
- Patrones de uso y datos de interacción
- Cookies de sesión para autenticación y seguridad
4. Base jurídica del tratamiento
Tratamos los datos personales con arreglo a las siguientes bases jurídicas (artículo 6 del RGPD):
- Ejecución de un contrato (art. 6.1.b): tratamiento necesario para prestar el Servicio, gestionar las cuentas, tramitar las admisiones y la compra de entradas a eventos, cumplir los contratos de suscripción y responder, a petición de la empresa, a su consulta sobre la suscripción antes de cualquier contrato
- Interés legítimo (art. 6.1.f): seguridad de la plataforma, prevención del fraude, mejora del servicio, analítica y medición de la entrega y de la apertura de enlaces de las campañas propias de un establecimiento (no se elabora ningún perfil publicitario ni se utiliza ningún rastreador de terceros)
- Consentimiento (art. 6.1.a): comunicaciones comerciales, cookies no esenciales y funciones opcionales de IA
- Obligación legal (art. 6.1.c): cumplimiento de obligaciones fiscales, comunicaciones a los organismos reguladores y notificaciones de violaciones de seguridad de los datos
5. Cómo utilizamos su información
- Prestar, operar y mantener la plataforma y sus funciones
- Procesar transacciones, gestionar suscripciones y tramitar la facturación
- Sincronizar y mostrar reseñas de las plataformas conectadas
- Publicar contenidos en las cuentas de redes sociales conectadas en su nombre
- Sincronizar cartas e información de la empresa con Google Business Profile
- Enviar correos electrónicos y mensajes transaccionales (activación, restablecimiento de contraseña, confirmaciones de reserva, entradas a eventos y sus modificaciones)
- Procesar tareas asistidas por IA (análisis de documentos, generación de contenidos, traducción)
- Mejorar nuestros servicios, desarrollar nuevas funciones y corregir errores
- Garantizar la seguridad de la plataforma, detectar fraudes y prevenir abusos
- Cumplir las obligaciones legales y atender los requerimientos legalmente exigibles
- Vender y entregar admisiones a eventos por cuenta de los establecimientos: tramitar el pedido y su pago a través de la pasarela de pago del establecimiento, emitir el recibo o la factura del establecimiento y enviar las entradas por correo electrónico, WhatsApp o SMS
- Enviar las campañas de marketing de los establecimientos a los clientes que dieron su consentimiento en su tienda en línea, y medirlas: entrega, baja con un solo clic y apertura de los enlaces del mensaje (una redirección a través de la plataforma registra el clic; no hay píxel de seguimiento ni rastreador de terceros)
6. Comunicaciones comerciales
Podremos enviarle comunicaciones comerciales sobre nuevas funciones, promociones o novedades del servicio únicamente si ha dado su consentimiento expreso para recibirlas (artículo 6.1.a del RGPD).
- Puede dar su consentimiento para recibir comunicaciones comerciales durante el registro o desde la configuración de su cuenta
- Todos los correos comerciales incluyen un enlace de baja con un solo clic
- Puede retirar su consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo
- No vendemos ni cedemos su dirección de correo electrónico a terceros para sus propios fines comerciales
- Los correos transaccionales (restablecimiento de contraseña, notificaciones de facturación, alertas de seguridad) no se consideran comunicaciones comerciales y se enviarán en todo caso
- Los establecimientos pueden enviar sus propias campañas de marketing a través de la plataforma a los clientes que dieron su consentimiento en la tienda en línea del establecimiento; cada mensaje identifica al establecimiento, incluye un enlace de baja con un solo clic y se mide según se describe en la Sección 5. El establecimiento es el responsable de ese marketing
- Cuando un establecimiento lo ofrezca, también podrá dar su consentimiento para recibir su marketing por WhatsApp o SMS; ese consentimiento es independiente, se registra con su fecha y origen y se retira respondiendo STOP o desde la página de privacidad del establecimiento. Cuando un establecimiento pertenezca a un grupo de establecimientos de una misma empresa y su aviso así lo indique, su consentimiento de marketing podrá ofrecerse para el grupo en su conjunto; nunca se amplía sin su elección
7. Almacenamiento y seguridad de los datos
Sus datos se almacenan en servidores seguros situados en la Unión Europea. Son servidores propios, en nuestra propia red en España. Aplicamos las siguientes medidas de seguridad:
- Cifrado AES-256-GCM en reposo de las credenciales (como los tokens OAuth y las claves de API) y de los campos que contienen datos personales de contacto
- Cifrado de disco completo de nuestros servidores, y copias de seguridad cifradas con nuestra clave antes de llegar a nuestro propio almacenamiento de copias
- Cifrado TLS 1.2/1.3 de todos los datos en tránsito
- Cifrado TLS 1.2/1.3 de los datos en tránsito
- Aislamiento de los datos de cada empresa y control de acceso basado en roles (RBAC)
- Autenticación de dos factores para nuestro personal y para los administradores de las empresas, y registro de la actividad en la plataforma
- Auditorías internas de seguridad periódicas, en el marco de un sistema de gestión de la seguridad de la información alineado con la norma ISO/IEC 27001 (sin certificación)
8. Integraciones de terceros y subencargados del tratamiento
8.1 Google Business Profile
Utilizamos la API de Google para sincronizar cartas, gestionar reseñas y actualizar la información de la empresa. Sus credenciales de Google se almacenan cifradas y pueden desconectarse en cualquier momento. Consulte la Política de privacidad de Google.
8.2 Meta (Facebook e Instagram)
Utilizamos la Graph API de Meta para publicar contenidos y gestionar páginas de empresa. Solo solicitamos los permisos necesarios para la gestión de páginas. Consulte la Política de privacidad de Meta.
8.3 Subencargados del tratamiento
La plataforma funciona en nuestros propios servidores, en nuestra propia red en España, y los correos electrónicos que envía salen de nuestros propios servidores de correo, por lo que ningún tercero aloja sus datos ni entrega esos correos. Los siguientes proveedores tratan datos personales por cuenta nuestra; respecto de los datos que tratamos por cuenta de las empresas, actúan como subencargados nuestros:
- Red perimetral — Cloudflare: todo el tráfico web de la plataforma pasa por su red (DNS, conexiones cifradas, cortafuegos y los túneles seguros hasta nuestros servidores); opera en una red mundial, en el punto más cercano a cada usuario, y sus túneles hasta nuestros servidores terminan en Madrid
- Proveedores de IA — OpenAI (conserje de voz, asistente y funciones de contenido), Anthropic, Google (Gemini) y Cerebras, que reciben los datos que necesita cada tarea de IA, según se describe en la sección 11, y Tavily, que realiza las búsquedas web del asistente; todos ellos tratan los datos en Estados Unidos
- Mensajería y telefonía — Twilio (la línea telefónica del conserje, SMS como los códigos de inicio de sesión y mensajes de WhatsApp Business: entradas, avisos de reserva y de pedido) y la plataforma WhatsApp Business de Meta, a la que los mensajes de WhatsApp llegan a través de Twilio; ambos tratan los datos en Estados Unidos
- Notificaciones push — Apple, que entrega las notificaciones enviadas a las aplicaciones del personal y del punto de venta, en Estados Unidos
- Sugerencias de direcciones — Google Maps Platform (Places), en Estados Unidos: lo que escribe en un campo de dirección se envía a Google para proponer la dirección completa; no se envía nada más
- Visualización remota de cámaras — Xirsys, que retransmite las imágenes en directo de las cámaras de un establecimiento mientras se visualizan a distancia en el módulo de videovigilancia; la plataforma no las graba
Para los datos que tratamos por cuenta de las empresas, el anexo III de nuestro Acuerdo de Encargo del Tratamiento contiene la lista completa de subencargados, con lo que hace cada uno y dónde trata los datos. Las plataformas que una empresa conecta con su propia cuenta (secciones 8.1 y 8.2), la pasarela de pago que contrata para sus propias ventas y cualquier proveedor de IA que utilice con su propia clave actúan en el marco de la relación propia de esa empresa con ellos, y no como subencargados nuestros. Las condiciones de tratamiento de datos aplicables a cada subencargado están disponibles previa solicitud en la dirección indicada en la sección 13.
9. Transferencias internacionales de datos
Sus datos se almacenan en nuestros propios servidores en España. Algunos de los proveedores indicados en la sección 8.3 tratan parte de ellos fuera del Espacio Económico Europeo (EEE):
- OpenAI, Anthropic, Google, Cerebras, Tavily, Twilio, Meta y Apple los tratan en Estados Unidos, para las tareas descritas en la sección 8.3
- Cloudflare gestiona el tráfico web en su red mundial, en el punto más cercano a cada usuario (sus túneles hasta nuestros servidores terminan en Madrid), y Xirsys puede retransmitir las imágenes de las cámaras visualizadas a distancia a través de servidores situados fuera del EEE
- Cada una de estas transferencias se basa en una decisión de adecuación de la Comisión Europea, como el Marco de Privacidad de Datos UE-EE. UU. para un proveedor certificado conforme a él, o, cuando no exista decisión de adecuación, en las cláusulas contractuales tipo adoptadas por la Comisión Europea
- Los datos que una empresa envía, siguiendo sus propias instrucciones, a una plataforma que conecta con su propia cuenta (por ejemplo, una publicación en su página de Facebook) se envían en el marco de la relación propia de esa empresa con dicha plataforma
10. Comunicación de datos
No vendemos sus datos personales. Podremos comunicar información a:
- Proveedores de servicios: los proveedores indicados en la sección 8.3, vinculados por condiciones de tratamiento de datos, y Redsys, la pasarela de pago de nuestro banco, BBVA, que procesa los pagos con tarjeta de nuestros suscriptores conforme a nuestro contrato de TPV virtual
- Plataformas conectadas y proveedores propios de una empresa: las plataformas que una empresa conecta con su propia cuenta (como Google Business Profile, Facebook e Instagram), la pasarela de pago que contrata para sus propias ventas (como Redsys, Stripe o Adyen) y cualquier proveedor de IA que utilice con su propia clave reciben únicamente los datos que esa empresa autoriza, siguiendo sus instrucciones y en el marco de su propia relación con ellos
- Requerimientos legales: cuando lo exija una ley, un reglamento, una resolución judicial o un procedimiento legal
- Operaciones societarias: en el marco de una fusión, adquisición o venta de activos, con notificación previa
11. Tratamiento mediante IA y decisiones automatizadas
La plataforma utiliza funciones basadas en IA para el procesamiento de documentos, la generación de contenidos, la traducción y la inteligencia de negocio. En cuanto al tratamiento mediante IA:
- Algunas tareas de IA se ejecutan en un modelo que alojamos en nuestros propios servidores, y en ese caso ningún dato sale de ellos; las demás se envían a los proveedores de IA indicados en la sección 8.3: el conserje telefónico transmite el audio de la persona que llama al servicio en tiempo real de OpenAI mientras dura la llamada, las funciones de asistente y de contenido envían el texto que necesita cada tarea (por ejemplo, una carta, una solicitud de reserva o un documento) a OpenAI, Anthropic, Google (Gemini) o Cerebras, y las búsquedas web del asistente se envían a Tavily
- Solo se envían los datos que la tarea concreta requiere, y únicamente para esa tarea; los proveedores actúan como encargados del tratamiento y figuran como subencargados en la sección 8.3, salvo el proveedor que una empresa utilice con su propia clave, que actúa en el marco del contrato propio de esa empresa con él
- El tratamiento mediante IA se utiliza como apoyo, no para adoptar decisiones autónomas con efectos jurídicos o significativos
- No se adoptan decisiones basadas únicamente en el tratamiento automatizado (en el sentido del artículo 22 del RGPD) sin supervisión humana
- Puede desactivar las funciones asistidas por IA en cualquier momento desde la configuración de su cuenta
- Los contenidos generados por IA (incluidos los documentos legales) deben ser revisados por el usuario antes de su publicación
12. Notificación de violaciones de seguridad de los datos
Lo que KozyHost S.L. hace ante una violación de la seguridad de los datos personales depende de a quién correspondan los datos afectados:
- Datos que tratamos por cuenta de una empresa (sección 2): notificamos la violación a esa empresa sin dilación indebida y, en todo caso, en un plazo de 72 horas desde que tengamos conocimiento de ella, con la información que necesite sobre su naturaleza, su alcance y sus consecuencias probables
- Esa empresa, como responsable del tratamiento, decide si notifica la violación a la autoridad de control (Agencia Española de Protección de Datos) y si la comunica a las personas afectadas, y colaboramos con ella para que pueda hacerlo
- Datos de los que somos responsables (las cuentas de usuario que gestionamos y la facturación de nuestros suscriptores): notificamos la violación a la Agencia Española de Protección de Datos en un plazo de 72 horas cuando pueda entrañar un riesgo para los derechos y libertades de las personas afectadas (artículo 33 del RGPD), y se la comunicamos a esas personas sin dilación indebida cuando sea probable que entrañe un alto riesgo para ellas (artículo 34 del RGPD)
- En todos los casos, adoptamos medidas inmediatas para contener la violación y mitigar sus efectos, y documentamos la violación, sus efectos y las medidas correctivas adoptadas
13. Sus derechos
En virtud del RGPD y de la LOPDGDD, usted tiene derecho a:
- Acceder a sus datos personales (art. 15)
- Rectificar los datos inexactos o incompletos (art. 16)
- Solicitar la supresión («derecho al olvido») (art. 17)
- Limitar el tratamiento de sus datos (art. 18)
- La portabilidad de los datos — recibir sus datos en un formato estructurado y de lectura mecánica (art. 20)
- Oponerse al tratamiento basado en el interés legítimo (art. 21)
- Retirar su consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo (art. 7.3)
- Desconectar las integraciones de terceros desde la configuración de la plataforma
- Presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es)
Para ejercer sus derechos sobre los datos de los que somos responsables, contacte con nosotros en [email protected]. Responderemos en un plazo de 30 días, conforme exige la ley. Si su solicitud se refiere a datos que una empresa conserva sobre usted en la plataforma, como una reserva, un pedido o un mensaje, esa empresa es la responsable del tratamiento y es quien la atiende: le trasladaremos su solicitud sin dilación indebida y la ayudaremos a responder.
14. Conservación de los datos
Conservamos sus datos con arreglo a los siguientes plazos:
- Cuentas activas: los datos se conservan mientras su cuenta permanezca activa
- Cuentas eliminadas: los datos personales (nombre, correo electrónico, teléfono, dirección) se eliminan mediante un proceso diario una vez transcurridos 30 días desde la eliminación de su último rol; una solicitud de supresión del interesado se ejecuta en el momento de su recepción
- Integraciones desconectadas: los tokens de acceso y de actualización se eliminan en el momento en que se desconecta la integración
- Registros de facturación: los registros anonimizados de transacciones se conservan durante el periodo legalmente exigido (6 años conforme a la legislación fiscal española)
- Registros de auditoría: los registros de la aplicación se conservan durante 90 días y los registros de acceso al servidor durante un máximo de 6 meses; el registro de auditoría de las acciones realizadas en su cuenta se conserva mientras la plataforma deba poder acreditar su funcionamiento (hasta 5 años), eliminándose de él sus datos personales cuando se suprime su cuenta; el registro de los mensajes que se le han enviado se conserva durante 12 meses
- Copias de seguridad: los datos pueden persistir en copias de seguridad cifradas: las copias diarias se conservan durante 30 días y las mensuales durante 12 meses; las copias de seguridad no se consultan salvo para restablecer el servicio
- Registros de eventos y campañas: los pedidos de entradas son registros de ventas y siguen el plazo de facturación anterior; los datos personales de una entrada (nombre del titular, contacto) se eliminan cuando se suprimen los datos del comprador conforme a la Sección 13. Los registros de entrega y de clics de las campañas hacen referencia a la cuenta del destinatario y nunca copian su identidad, por lo que quedan anónimos cuando esa cuenta se suprime; el historial de campañas de un establecimiento se conserva mientras su cuenta permanezca activa
- Consultas de posibles clientes: una consulta enviada a través de la página de contacto comercial se elimina 12 meses después de nuestro último contacto sobre ella, salvo que dé lugar a una suscripción, en cuyo caso se conserva con la cuenta
15. Cookies
Las páginas propias de la plataforma solo instalan las cookies que necesitan para funcionar, como la sesión, la seguridad, su idioma y su elección sobre cookies. La tienda en línea de un local puede cargar además las etiquetas de analítica y publicidad propias de ese local (Google Analytics, Google Ads, Meta Pixel), y solo después de que usted las acepte.
- Cookies estrictamente necesarias: el inicio de sesión, la seguridad, el idioma y el recuerdo de su elección sobre cookies. No pueden desactivarse.
- Cookies de analítica y publicidad: las etiquetas propias de un local, que solo se instalan con su consentimiento.
La Política de cookies, más abajo, enumera cada cookie y explica cómo cambiar o retirar su elección en cualquier momento con el control «Configuración de cookies» situado al pie de cada página.
16. Privacidad de los menores
Nuestra plataforma está concebida para uso empresarial y no se dirige a menores de 16 años. No recogemos a sabiendas datos personales de menores. Si tenemos conocimiento de haber recogido datos de un menor de 16 años, adoptaremos las medidas necesarias para eliminarlos con prontitud.
17. Cambios en esta política
Podremos actualizar esta Política de privacidad periódicamente. Le notificaremos los cambios sustanciales publicando la política actualizada en esta página, actualizando la fecha de «Última actualización» y enviando una notificación a su dirección de correo electrónico registrada. El uso continuado del Servicio una vez que los cambios surtan efecto constituye la aceptación de la política actualizada.
18. Delegado de Protección de Datos
Para cuestiones relativas a esta Política de privacidad, para ejercer sus derechos en materia de protección de datos o para presentar una reclamación sobre nuestras prácticas de tratamiento de datos, contacte con nuestro Delegado de Protección de Datos:
KozyHost S.L.
Calle Aragón 3, Sotogrande, 11310 San Roque (Cádiz), Spain
Correo electrónico del DPD: [email protected]
Autoridad de control: Agencia Española de Protección de Datos (AEPD)
Plataforma: kozyhost.com