Acuerdo de Procesamiento de Datos (DPA)
Este Acuerdo de Procesamiento de Datos ("APD") forma parte del contrato de servicios entre Stellar Tourism Innovations GmbH ("Procesador") y sus clientes ("Responsable del Tratamiento") y rige el procesamiento de datos personales de acuerdo con el Art. 28 del RGPD.
Última actualización: 5 de septiembre de 2026
Preámbulo
Este Acuerdo de Procesamiento de Datos regula el procesamiento de datos personales por parte de Stellar Tourism Innovations GmbH ("Xentra", "Encargado") en nombre del Cliente ("Responsable").
Xentra proporciona una plataforma SaaS para la gestión de alquileres a corto plazo, en cuyo marco se procesan datos personales de huéspedes y contactos del Cliente.
§1 Objeto y duración
El Encargado procesa datos personales en nombre del Responsable en el contexto de los siguientes servicios:
- Gestión de reservas y check-in de huéspedes
- Comunicación con huéspedes (SMS, correo, mensajería)
- Gestión de cerraduras inteligentes y accesos
- Generación de texto y análisis asistidos por IA
- Procesamiento de pagos (vía Stripe)
- Verificación de identidad y registro
§2 Categorías de interesados y datos
Interesados
- Huéspedes / viajeros del Responsable
- Contactos y socios comerciales del Responsable
- Propietarios y gestores de los inmuebles administrados por el responsable
- Empleados y prestadores de servicios del responsable con acceso a la plataforma
Categorías de datos
- Datos maestros (nombre, dirección, fecha de nacimiento)
- Datos de contacto (correo, teléfono)
- Datos de reserva (llegada, salida, precio, apartamento)
- Documentos de identidad (para check-in con verificación de ID)
- Datos de pago (procesados por Stripe)
- Contenido de comunicación (mensajes, correos)
- Datos de acceso a inmuebles (códigos de acceso, asignación de llaves) y registros de acceso
- Firmas, imágenes de documentos cargadas y fotos de tareas
- Mensajes de voz y transcripciones generadas a partir de ellos
- Datos de planificación, jornada y retribución de los prestadores de servicios del responsable
§3 Obligaciones del Encargado
- Procesamiento de datos exclusivamente según las instrucciones documentadas del Responsable
- Garantizar la confidencialidad de todas las personas encargadas del procesamiento de datos
- Adopción de todas las medidas técnicas y organizativas necesarias conforme al Art. 32 RGPD
- Apoyo al Responsable en el cumplimiento de sus obligaciones frente a los interesados
- Notificación inmediata al Responsable en caso de violaciones de datos
§4 Subencargados
El Responsable acepta el uso de los siguientes subencargados:
| Proveedor | Finalidad | Ubicación del servidor |
|---|---|---|
| Supabase Inc. | Alojamiento de base de datos, autenticación, almacenamiento | AWS eu-central-1 (Frankfurt) |
| Vercel Inc. | Alojamiento de la interfaz web, páginas de huésped y flujo de reserva | USA (SCC) |
| Google Cloud (Cloud Run) | Generación de PDF de facturas y formatos de factura electrónica | EU (Frankfurt) |
| Functional Software Inc. (Sentry) | Diagnóstico de errores y supervisión de estabilidad | EU / USA (SCC) |
| Digital Shift OÜ (Capgo) | Distribución de actualizaciones de la aplicación móvil | EU (Estland) |
| Google LLC (Gemini API) | Procesamiento de texto IA (datos anonimizados) | USA (SCC) |
| Anthropic PBC | Procesamiento de texto con IA (asistente, agente de incorporación, análisis de conversaciones) | USA (SCC) |
| Stripe Inc. / Stripe Payments Europe Ltd. | Procesamiento de pagos, depósitos, seguros | EU / USA (SCC) |
| Chargebee Inc. | Gestión de suscripciones y facturación | USA (SCC) |
| Haufe-Lexware GmbH & Co. KG | Transferencia de justificantes de factura a la contabilidad del responsable | EU (Deutschland) |
| Fatture in Cloud S.p.A. | Transmisión de facturas electrónicas al sistema de intercambio italiano (SdI) | EU (Italien) |
| Resend Inc. | Envío de correos (confirmaciones, notificaciones) | USA (SCC) |
| Twilio Inc. | Envío de SMS a huéspedes | USA (SCC) |
| Meta Platforms Ireland Ltd. | Envío y recepción de mensajes a través de WhatsApp Business | EU / USA (SCC) |
| HostU | Vía técnica de transmisión de mensajes de WhatsApp (eliminación en el proveedor tras 48 horas) | EU (DE/AT) |
| Apple Distribution International Ltd. | Notificaciones push a dispositivos iOS | EU / USA |
| Google Ireland Ltd. (FCM) | Notificaciones push a dispositivos Android y navegadores | EU / USA (SCC) |
| Chekin S.L. | Registro de huéspedes, verificación de ID, formulario | EU (Spanien) |
| AVS GmbH | Parte de viajeros electrónico y tarjetas de huésped | EU (Deutschland) |
| Feratel Media Technologies AG | Registro de viajeros y gestión de la tasa turística, tarjetas de huésped | EU (Österreich) |
| WINTOP Software | Parte de viajeros electrónico | EU (DE/AT) |
| Nuki Home Solutions GmbH | Integración de cerraduras inteligentes | EU (Österreich) |
| Seam Labs Inc. | Integración de cerraduras inteligentes | USA (SCC) |
| Salto Systems S.L. | Integración de cerraduras inteligentes | EU (Spanien) |
| Ring LLC (Amazon.com Inc.) | Integración de cerraduras inteligentes e intercomunicadores | USA (SCC) |
| Tedee sp. z o.o. | Integración de cerraduras inteligentes, códigos de acceso | EU (Polen) |
| Sciener / TTLock | Integración de cerraduras inteligentes, códigos de acceso | China (SCC) |
| igloocompany Pte Ltd | Integración de cerraduras inteligentes, códigos de acceso | Singapur (SCC) |
| Wonderlabs (SwitchBot) | Control de dispositivos de acceso | Hongkong (SCC) |
| Channex Ltd. | Integración de gestor de canales | EU |
| Smoobu GmbH | PMS, sincronización de reservas, comunicación con huéspedes | EU (Deutschland) |
| iLoca Services GmbH | Integración PMS, sincronización de reservas, comunicación con huéspedes | EU (Deutschland) |
| V-Office (Ferienhausmiete GmbH) | Integración PMS, sincronización de reservas y disponibilidad | EU (Deutschland) |
| Beds24 (Cousins Online Ltd.) | Integración PMS, sincronización de reservas | EU / UK |
| Lodgify S.L. | Integración PMS, sincronización de reservas | EU (Spanien) |
| Octorate S.r.l. | Integración PMS, sincronización de reservas | EU (Italien) |
| Smily (BookingSync S.A.S.) | Integración PMS, sincronización de reservas, mensajería | EU (Frankreich) |
| Hostfully Inc. | Integración PMS, sincronización de reservas | USA (SCC) |
| Hospitable Inc. | Integración PMS, sincronización de reservas | USA (SCC) |
| Hostaway Pty Ltd | Integración PMS, sincronización de reservas | USA (SCC) |
| Guesty Inc. | Integración PMS, respuestas automáticas | USA (SCC) |
| PriceLabs | Fijación dinámica de precios a partir de datos de ocupación y reservas | USA / Indien (SCC) |
| Google LLC (Drive) | Almacenamiento y gestión de documentos | USA (SCC) |
| Google LLC (OAuth) | Autenticación mediante Google OAuth | USA (SCC) |
| Google LLC (Maps Geocoding) | Conversión de direcciones de inmuebles en coordenadas | USA (SCC) |
Para subencargados ubicados fuera del EEE, se han acordado Cláusulas Contractuales Tipo (CCT) de la Comisión Europea.
El encargado podrá incorporar nuevos subencargados o sustituirlos. Lo anunciará por escrito con al menos cuatro semanas de antelación. Dentro de ese plazo, el responsable podrá oponerse a un nuevo subencargado por un motivo relevante de protección de datos; si con ello la función afectada no puede prestarse, el responsable podrá rescindir la parte correspondiente del servicio. Prevalece la versión vigente de esta tabla.
Para atender solicitudes de soporte y subsanar averías, el personal del encargado puede acceder a la cuenta del responsable. Dichos accesos están vinculados a un motivo concreto, limitados en el tiempo y quedan registrados. Las grabaciones de pantalla y audio solo se realizan a instancia del responsable o con su participación.
§5 Medidas técnicas y organizativas
El Encargado ha implementado las siguientes medidas:
- Cifrado de todos los datos en tránsito (TLS 1.2+) y en reposo (AES-256)
- Seguridad a nivel de fila (RLS) — cada usuario solo ve sus propios datos
- Anonimización de datos personales antes de la transmisión a servicios de IA (Google Gemini)
- Registro de auditoría de todas las operaciones de procesamiento de IA (sin PII en los registros)
- Autenticación multifactor para accesos administrativos
- Revisiones de seguridad y actualizaciones regulares
- Cifrado de claves API con pgcrypto para todas las integraciones externas
§6 Eliminación y devolución
Tras la finalización de la relación contractual, el encargado elimina los datos personales del responsable, salvo que exista una obligación legal de conservación. Determinados conjuntos de datos están sujetos a plazos propios ya durante la vigencia: los datos de registro en los protocolos de transmisión a los portales se eliminan 30 días después de la transmisión confirmada, las grabaciones de soporte a los 30 días y los registros técnicos de acceso e interfaz entre 7 y 30 días.
El Responsable puede solicitar la exportación de sus datos en formato legible por máquina en cualquier momento.
§7 Derechos de auditoría
El Responsable tiene derecho a verificar el cumplimiento de este acuerdo mediante medidas apropiadas, incluidas inspecciones.
El Encargado proporcionará al Responsable toda la información necesaria para demostrar el cumplimiento a solicitud.
§8 Contacto
Para preguntas sobre el procesamiento de datos, contacte:
Stellar Tourism Innovations GmbH
Torstrasse 105-107
10119 Berlin
E-Mail: datenschutz@myxentra.com