Política de privacidad de Stayflow

Última actualización: 28 de septiembre de 2026

Stayflow ayuda a los establecimientos a recibir a sus huéspedes: check-in, mensajería, solicitudes, pedidos y recomendaciones locales, todo en un solo lugar. Para realizar ese trabajo, pasa información personal por nuestras manos. Esta página explica qué conservamos, por qué, durante cuánto tiempo y qué puede hacer usted al respecto.

La redactamos para que se lea. Si algo de lo que aquí figura no le resulta claro, escríbanos; la dirección se encuentra al final.

Una nota sobre las palabras: a lo largo de esta política, «establecimiento» designa el alojamiento en el que usted se hospeda o para el que trabaja, es decir, la empresa que lo invitó a Stayflow.

Quiénes somos

Stayflow es operada por 9542-4339 Québec inc., 395 rue Mathieu-Da Costa, unité 363, Québec (Québec) G2K 0P6, Canada («Stayflow», «nosotros»). Nosotros desarrollamos la plataforma; no somos el establecimiento en el que usted se hospeda.

Dos funciones, dos responsabilidades

Stayflow desempeña dos funciones distintas, y saber cuál se aplica a usted le indica quién es responsable de sus datos.

Para los huéspedes, Stayflow es un encargado del tratamiento. Cuando usted utiliza la aplicación para huéspedes de un establecimiento, ese establecimiento decide qué información solicitarle y con qué fin. El establecimiento es el responsable del tratamiento independiente de sus datos; Stayflow los trata por cuenta del establecimiento, conforme a sus instrucciones. Su primer punto de contacto para cualquier asunto relativo a sus datos es el propio establecimiento, aunque siempre puede escribirnos también a nosotros, y le ayudaremos a encaminar su solicitud.

Para los establecimientos y su personal, Stayflow es un responsable del tratamiento. Nosotros decidimos cómo se tratan los datos de cuenta, de inicio de sesión y de facturación de nuestros propios clientes, y respondemos de ello directamente.

Para los visitantes del sitio web, Stayflow es igualmente el responsable del tratamiento de lo poco que recopilamos (véase más abajo: es realmente poco).

Qué recopilamos si usted es huésped

Todo lo que figura a continuación proviene de usted o de su establecimiento. No compramos datos sobre usted y no utilizamos rastreadores publicitarios ni de analítica: ninguno, en ningún lugar.

Datos de identidad y de contacto. Su nombre, dirección de correo electrónico, número de teléfono, nacionalidad, idioma y cualquier preferencia que usted comparta. Si su reserva se creó en el sistema de reservas del establecimiento (como Mews o Cloudbeds), estos datos pueden provenir de allí. Hay algo que queremos decir con claridad: Stayflow mantiene una única ficha de huésped por dirección de correo electrónico en toda la plataforma. Si usted se hospeda en dos establecimientos distintos que utilizan Stayflow, ambos comparten la misma ficha de identidad subyacente. Esta ficha solo se elimina por completo una vez que se borra su última estancia restante en cualquier lugar de la plataforma.

Respuestas del pre-check-in. Hora de llegada, número de personas del grupo y preguntas opcionales, como desde dónde viaja, el motivo de su visita y sus intereses.

Acompañantes de viaje. Si usted añade a las personas que viajan con usted, sus nombres y datos de contacto se almacenan con su estancia, se incluyen en cualquier exportación de esta y se eliminan cuando se borra su estancia (salvo que también formen parte de otra estancia).

Documentos de identidad y firma (solo cuando su establecimiento exige un check-in verificado). Fotografías del anverso y el reverso de su documento de identidad, una selfie y su firma trazada. Se guardan en un almacenamiento privado, nunca en un enlace público: los datos de ubicación ocultos (EXIF, como las coordenadas GPS) se eliminan en el momento en que se sube una fotografía, los enlaces de visualización caducan a los 2 minutos y, cada vez que un miembro del personal consulta sus documentos, ese acceso se inscribe en un registro permanente antes de que los documentos se desbloqueen; si no puede inscribirse la entrada en el registro, los documentos permanecen bloqueados.

Mensajes. Su conversación con el establecimiento —en la aplicación, y por SMS, WhatsApp o correo electrónico si usted responde a través de esos canales—, junto con las fotografías y notas de voz que envíe, y los acuses de entrega y de lectura.

Pedidos y pagos. Lo que usted pidió, cualquier nota que adjunte y el resultado del pago. El pago en sí se realiza en las propias páginas seguras de Stripe: el número de su tarjeta nunca llega a los servidores de Stayflow, y solo almacenamos las referencias y los importes de las transacciones.

Solicitudes y comentarios. Las solicitudes de servicio que usted realice (con una fotografía opcional), su valoración a la salida y cualquier comentario.

Su dispositivo y las notificaciones. Un token de inicio de sesión para su dispositivo, el tipo de navegador de este y —solo si usted lo acepta expresamente— una suscripción a notificaciones push vinculada a su estancia. Las notificaciones de una estancia cesan cuando la estancia termina, y usted puede desactivarlas en cualquier momento en la aplicación.

Informes de errores. Si la aplicación encuentra un problema en su navegador, un evento de error —con su dirección IP, los datos de su navegador y la dirección de la página depurada de todo dato sensible— se envía a nuestro servicio de monitoreo de errores para que podamos corregir los fallos.

Ubicación: se utiliza, no se recopila. Si usted permite el acceso a su ubicación para el mapa, le explicamos el motivo antes de que su teléfono se lo pregunte; su posición se difumina a unos 110 metros dentro de su propio navegador, nunca se almacena en nuestros servidores y solo se envía a Google Maps como centro de su búsqueda, sin ningún nombre ni identificador asociado. Negarse no plantea ningún problema: el mapa simplemente se centra en el establecimiento.

Recomendaciones de IA (solo si su establecimiento las activa). Para sugerirle un plan del día que se ajuste a usted, enviamos su conversación con el establecimiento y sus respuestas del pre-check-in al servicio Gemini de Google, tras haber suprimido estructuralmente su nombre y su dirección de correo electrónico. El perfil de viaje resultante se almacena con su estancia, se incluye en cualquier exportación de sus datos y se borra junto con ella.

Qué recopilamos si usted trabaja en un establecimiento

Su nombre, correo electrónico, número de teléfono y función; sus registros de inicio de sesión a través de nuestro servicio de autenticación; sus mensajes en el chat del equipo; sus suscripciones a notificaciones push (que se eliminan cuando usted cierra sesión en todas partes); y, en el caso de la persona que gestiona la suscripción, los datos de contacto de facturación y las referencias de pago conservados en Stripe. El chat del equipo es, por política, un espacio reservado al personal: los datos personales de los huéspedes no tienen cabida en él. Y si una consola encuentra un problema en su navegador, un evento de error —con su dirección IP, los datos de su navegador y las direcciones de página depuradas— se envía a nuestro servicio de monitoreo de errores para que podamos corregir los fallos.

Qué recopilamos si usted solo visita nuestro sitio web

Casi nada. Nuestros sitios no utilizan analítica, ni rastreadores publicitarios, ni contenido integrado de terceros. En el conjunto de nuestros sitios existen exactamente cuatro cookies propias: una recuerda su elección de idioma (durante un año) y tres existen únicamente para que funcione el inicio de sesión. La aplicación para huéspedes no instala ninguna cookie: guarda su configuración en el propio almacenamiento de su dispositivo, donde permanece.

Merecen mención dos terceros: cuando usted paga, se le redirige al propio sitio web de Stripe (cualquier cookie allí es de Stripe, en el dominio de Stripe y conforme a la política de Stripe), y el mapa de la aplicación para huéspedes se carga desde Google, que —como cualquier sitio web desde el que usted cargue contenido— recibe su dirección IP y los datos de su navegador.

Por qué utilizamos los datos y con qué bases jurídicas

Cuando se aplica el RGPD, todo uso de datos personales requiere una base jurídica. En el caso de los datos de los huéspedes, el establecimiento es el responsable del tratamiento y determina la base; las que figuran a continuación reflejan cómo está construida la plataforma.

• Ejecución del contrato de su estancia: reservas, check-in, mensajería, pedidos, solicitudes y su acceso a la aplicación para huéspedes. Este es el trabajo cotidiano de la plataforma.
• Su consentimiento: mensajes de marketing (se solicita por separado para cada finalidad: el marketing por correo electrónico y el marketing por SMS son decisiones de sí o no independientes, cada una inscrita en un registro inalterable, descrito más abajo), la ubicación para el mapa y las notificaciones push. Cada uno de ellos es verdaderamente opcional, se solicita en términos claros y puede rechazarse sin perder el servicio.
• Obligaciones legales e intereses legítimos: llevar registros exactos de facturación y de pagos, proteger la seguridad de la plataforma, prevenir el fraude en los pagos —incluido el intercambio de señales de fraude con nuestro procesador de pagos— y mantener el registro de accesos que protege sus documentos de identidad.

Un detalle honesto: Stayflow registra el consentimiento de marketing, pero actualmente no envía mensajes de marketing. El registro existe para que, si algún día un establecimiento realiza una campaña, solo pueda llegar a los huéspedes que realmente dijeron que sí.

En el caso de las cuentas de los establecimientos (en las que Stayflow es el responsable del tratamiento), tratamos los datos para prestar y facturar el servicio (contrato), para protegerlo (interés legítimo) y para cumplir las obligaciones fiscales y contables (obligación legal).

Ley 25 (Loi 25) de Quebec

Stayflow se desarrolla desde Quebec, y la Ley sobre la protección de la información personal en el sector privado (Loi sur la protection des renseignements personnels dans le secteur privé), en su versión modificada por la Ley 25 (Loi 25), determina nuestra forma de trabajar.

• La persona responsable de la protección de la información personal (personne responsable de la protection des renseignements personnels) es Marc-Antoine Claveau, director general (CEO), a quien puede contactarse en marc@stayflow.com.
• Incidentes de confidencialidad. Si un incidente que afecte a información personal presenta un riesgo de perjuicio grave, nos comprometemos a notificarlo a la Commission d'accès à l'information, a las personas afectadas y —en el caso de los datos de los huéspedes— al establecimiento de que se trate, así como a llevar un registro de incidentes conforme a lo exigido por la ley.
• La privacidad por defecto no es un eslogan aquí: sin rastreadores, notificaciones sujetas a aceptación expresa, ubicación difuminada en su propio dispositivo, metadatos ocultos de las fotografías eliminados al subirlas y consentimiento inscrito en un registro que ni siquiera nuestro propio personal puede reescribir.

Sus derechos, y los mecanismos que los respaldan

Usted tiene derecho a acceder a sus datos, a recibir una copia de ellos, a rectificarlos, a que se supriman y a retirar su consentimiento. En virtud del RGPD, también puede oponerse a determinados tratamientos y presentar una reclamación ante su autoridad de control; en Quebec, ante la Commission d'accès à l'information.

Estos derechos no son meras palabras en una política: están integrados en el producto.

• Acceso y portabilidad. El establecimiento puede generar una exportación completa de su estancia: identidad, respuestas del pre-check-in, solicitudes, pedidos y registros de pago, mensajes, dispositivos y el perfil de viaje de IA, exactamente tal como están almacenados. La propia exportación queda inscrita en el registro de accesos.
• Supresión. El establecimiento puede iniciar una purga irreversible de su estancia. Esta elimina en una sola operación las fotografías de su documento de identidad, su firma, el chat y sus archivos multimedia, las fotografías de las solicitudes, el perfil de viaje y los dispositivos, y anonimiza lo que debe conservarse (véase Conservación); las suscripciones a notificaciones push se eliminan cuando usted cancela la suscripción o cuando su navegador las descarta. La purga se registra únicamente mediante recuentos —nunca por su contenido— y los datos suprimidos desaparecen de nuestras copias de seguridad en un plazo de 14 días. Una excepción que no vamos a ocultar: los registros de entrega de los mensajes de WhatsApp conservan actualmente el número de destino; estamos subsanando esta deficiencia.
• El registro de accesos. Un historial de solo adición —la propia base de datos rechaza las modificaciones y las eliminaciones— deja constancia de las exportaciones, las supresiones y cada comunicación de documentos de identidad. Los establecimientos pueden consultarlo en su consola.
• El registro de consentimientos. Cada decisión de consentimiento de marketing es un evento de solo adición que deja constancia de la redacción exacta que usted vio, en su idioma, con su versión. El personal puede registrar su retiro del consentimiento en su nombre, pero la base de datos impide materialmente que el personal registre un otorgamiento: solo usted puede decir que sí.

Cómo ejercer sus derechos, en la práctica: hoy en día la aplicación para huéspedes no ofrece un botón de autoservicio, por lo que debe enviar su solicitud a su establecimiento: este ejerce la función de responsable del tratamiento y dispone de las herramientas descritas más arriba. Si no puede comunicarse con él, o si su solicitud se refiere a la propia Stayflow, escriba a marc@stayflow.com y actuaremos o la encaminaremos y, en cualquier caso, responderemos en un plazo de 30 días.

Personal de los establecimientos y titulares de cuentas: escríbannos directamente a la misma dirección.

Durante cuánto tiempo conservamos la información

Cifras reales, porque «durante el tiempo necesario» no le sirve a nadie:

Cuando una estancia se anonimiza, la reserva subsiste únicamente como un registro no personal (fechas, habitación, estado) para que el historial del establecimiento siga cuadrando.

Dónde se encuentran sus datos y hacia dónde viajan

Sus datos se encuentran en el propio servidor de Stayflow, alojado por Hostinger en Estados Unidos, en el que funcionan nuestros propios sistemas de base de datos, de almacenamiento de archivos y de mensajería: la mayor parte de la plataforma está autoalojada, en lugar de estar dispersa entre servicios en la nube. Las copias de seguridad cifradas de ese servidor se envían cada noche a Google Cloud Storage y se conservan durante 14 días.

Algunas de las empresas que nos ayudan a prestar el servicio —por ejemplo, Stripe (pagos), Twilio (SMS y WhatsApp) y Google (mapas, IA)— tratan datos en Estados Unidos y en otros lugares. Nuestro propio servidor se encuentra en Estados Unidos, y varios de nuestros proveedores también tratan datos allí. Para cada transferencia fuera de Quebec, nos basamos en los compromisos contractuales de protección de datos del proveedor y evaluamos, tal como lo exige la Ley 25 (Loi 25) de Quebec (art. 17), que la información recibe una protección equivalente.

Las empresas que nos ayudan

Recurrimos a un número reducido de proveedores de servicios —para el alojamiento, la protección del tráfico, la mensajería, los pagos, los mapas, la IA, las copias de seguridad y el monitoreo de errores— y los nombramos a todos, indicando qué datos llegan a cada uno, en nuestra página de Subencargados. Conviene destacar aquí dos de ellos: las recomendaciones de IA solo funcionan para los establecimientos que las activan, y el sistema de reservas de un establecimiento (Mews, Cloudbeds) solo se conecta por decisión propia de ese establecimiento.

Cambios en esta política

Cuando modifiquemos esta política de manera relevante, actualizaremos la fecha que figura al principio e informaremos a los establecimientos a través de la consola; los establecimientos son responsables de informar a sus huéspedes de los cambios que les afecten. Mantenemos las versiones anteriores disponibles previa solicitud.

Contacto

9542-4339 Québec inc. (Stayflow) 395 rue Mathieu-Da Costa, unité 363, Québec (Québec) G2K 0P6, Canada Privacidad: marc@stayflow.com — consultas generales: info@stayflow.com Persona responsable de la protección de la información personal: Marc-Antoine Claveau, director general (CEO) — marc@stayflow.com

Esta política se rige por las leyes de Quebec y las leyes de Canadá que resulten aplicables.