Aviso de privacidad

1. Quiénes somos

Converstay es un servicio operado por Rodrigo Valle Pinto, persona física con actividad empresarial registrada en México, con domicilio en Donceles 95, 06020 Cuauhtémoc, Ciudad de México, México (“Converstay”, “nosotros”).

Para cualquier pregunta o solicitud sobre privacidad, escríbenos a contact@converstay.com.

2. Nuestros dos papeles

Somos responsables (el “responsable”) de los datos del personal de hotel que usa Converstay, de las personas que nos contactan o solicitan una prueba, y de los visitantes de converstay.com.

En cuanto a los datos de los huéspedes de un hotel, el responsable es el hotel, y nosotros actuamos por su cuenta y conforme a sus instrucciones (como su “encargado” en términos de la ley mexicana). Si eres huésped, te aplica el aviso de privacidad del propio hotel, y es ante el hotel donde primero debes ejercer tus derechos; nosotros ayudamos al hotel a responder, y también puedes escribirnos y le haremos llegar tu solicitud.

3. Datos de los equipos de hotel y de nuestros clientes

Cuando un hotel usa Converstay, tratamos:

• Datos de la cuenta: nombre, correo electrónico, rol en el equipo del hotel, una contraseña cifrada mediante hash, llaves de acceso (passkeys) y configuración de verificación en dos pasos si las activas, y tu idioma.
• Sesiones de inicio de sesión: la dirección IP y el navegador (user agent) de cada sesión, para mantener seguras las cuentas.
• Datos de facturación: nombre, correo y dirección de facturación y, si nos lo das, tu RFC. Los pagos los procesa Stripe; los números de tarjeta van directamente a Stripe y nunca los vemos ni los guardamos.
• La actividad en el panel, como los cambios de configuración, que registramos para que el hotel pueda ver quién cambió qué.
• La conexión de tu hotel con Cloudbeds. Su clave de API se guarda cifrada (AES-256-GCM).

4. Datos de los visitantes y de quienes nos contactan

Nuestras páginas públicas (la página de inicio, nuestras guías, el inicio de sesión y estas páginas legales) usan Google Analytics para contar visitas, ver de dónde llegan los visitantes y qué páginas llevan a registrarse; guarda cookies (_ga y _ga_*, hasta dos años) y recibe tu dirección IP y datos de tu navegador. Google Analytics no se ejecuta en el panel con sesión iniciada y no usamos rastreadores de publicidad. Cuando nos visitas, también guardamos una cookie que recuerda tu idioma (converstay-locale, un año) y guardamos en tu navegador si usas el tema claro u oscuro. Nuestras páginas cargan tipografías desde Google Fonts, que recibe tu dirección IP como parte de esa solicitud.

Si solicitas una prueba o una llamada, conservamos el correo electrónico, el sitio web y la preferencia de llamada que nos das, y se los enviamos por correo a nuestro equipo para poder responderte.

5. Datos de los huéspedes de los hoteles

El hotel agrega nuestro script a su motor de reservas de Cloudbeds. Mientras un huésped usa ese motor de reservas, el script nos envía:

• El correo electrónico y el nombre que el huésped escribe en el formulario de reserva, a medida que los escribe, aunque no termine la reserva, y cualquier correo que ingrese en el recuadro “Send My Stay” del hotel.
• La estancia que consultó: fechas, número de adultos y niños, habitación, tarifa, precio, moneda, código promocional e idioma del motor de reservas.
• Cómo llegó: la dirección de la página, la página de referencia y las etiquetas de campaña (utm).
• Identificadores que nuestro script guarda en el almacenamiento local y de sesión del navegador para reconocer la misma visita (por ejemplo, ba_booking_session_id). No colocamos cookies en el motor de reservas.

La dirección IP del huésped se usa un instante para limitar abusos y no se guarda junto con estos datos.

De Cloudbeds, con la autorización del hotel, recibimos las reservas del hotel (nombre y correo del huésped, fechas, importe, estado y origen) para saber qué huéspedes volvieron y reservaron.

Cuando enviamos un correo a un huésped en nombre del hotel, registramos si el correo se entregó, se abrió y si se hizo clic en él. Las aperturas las mide nuestro proveedor de correo; para los clics guardamos el navegador (user agent) y un hash unidireccional de la dirección IP, no la dirección en sí. Antes del primer correo a una dirección, verificamos con un servicio de verificación de direcciones que pueda recibir correo.

Si un huésped se da de baja, o un correo rebota o se marca como spam, conservamos la dirección en la lista de no enviar de ese hotel para no volver a escribirle.

6. Para qué los usamos

• Para prestar Converstay: encontrar a los huéspedes que salieron del motor de reservas, enviar los correos de seguimiento del hotel y mostrarle al hotel qué reservas volvieron.
• Para administrar las cuentas, la seguridad y el soporte, y para enviar correos del servicio como invitaciones, recordatorios de la prueba, resúmenes semanales y alertas.
• Para cobrar las suscripciones y cumplir nuestras obligaciones fiscales y contables.
• Para responder a quienes nos contactan.
• Para mantener el servicio funcionando y corregir problemas, mediante registros técnicos.

No vendemos datos personales, no los usamos para publicidad y no usamos los datos de los huéspedes para ningún fin propio distinto de prestar el servicio a ese hotel.

Cuando una ley de protección de datos como el RGPD (GDPR) exige una base jurídica: para los equipos de hotel y la facturación, nos basamos en nuestro contrato con el hotel y en nuestras obligaciones legales; para la seguridad y los correos del servicio, en nuestro interés legítimo en operar un servicio confiable; para los huéspedes, en la base que tenga el hotel, como responsable, respecto de sus propios huéspedes.

7. Quién más trata los datos

Usamos estos proveedores, cada uno solo para la finalidad indicada:

• Cloudflare: alojamiento, base de datos, registros y envío de nuestros propios correos (todos los datos).
• Resend: envío de los correos del hotel a los huéspedes (correo y nombre del huésped, y la estancia incluida en el correo).
• Emailable: verificar que la dirección de correo de un huésped pueda recibir correo (solo la dirección).
• Stripe: suscripciones, pagos y facturas (datos de facturación).
• Cloudbeds: el sistema de gestión hotelera del hotel, que consultamos con la autorización del hotel.
• Google Fonts: las tipografías de nuestro sitio web y del panel (direcciones IP de los visitantes).
• Google Analytics: estadísticas de visitas de nuestras páginas públicas (direcciones IP de los visitantes, datos del navegador y cookies de analítica).

También podemos revelar datos cuando la ley lo exija, o a un comprador del negocio, que seguiría obligado por este aviso.

8. Transferencias internacionales

Nuestros proveedores tratan datos en Estados Unidos y otros países. Cuando los datos salen de México, del Espacio Económico Europeo o del Reino Unido, nos apoyamos en las garantías contractuales de nuestros proveedores, como las cláusulas contractuales tipo de la Comisión Europea.

9. Cuánto tiempo los conservamos

• Visitas al motor de reservas que no terminaron en una reserva: se eliminan tras 365 días sin actividad, junto con sus correos y clics.
• Visitas vinculadas a una reserva, las reservas del hotel y los resultados que reportamos: se conservan mientras la cuenta del hotel esté abierta, porque son el registro del hotel de sus reservas recuperadas.
• Listas de no enviar: se conservan mientras la cuenta del hotel esté abierta, para que las bajas sigan funcionando.
• Diagnóstico técnico: 7 días. Copias de las notificaciones de Cloudbeds: 30 días.
• Datos de la cuenta y del equipo: mientras la cuenta esté abierta.
• Facturas y registros de facturación: el tiempo que exija la legislación fiscal mexicana (actualmente cinco años).

Cuando un hotel cierra su cuenta, eliminamos sus datos dentro de los 30 días siguientes a su solicitud, salvo lo que la ley nos obligue a conservar. El hotel puede exportar sus datos como archivos CSV desde el panel en cualquier momento.

10. Tus derechos

Según dónde vivas, puedes solicitar el acceso, la rectificación o la cancelación de tus datos personales, oponerte a su uso o limitarlo, revocar tu consentimiento y recibirlos en un formato portable. En México, estos son los derechos ARCO.

Escribe a contact@converstay.com indicando quién eres y qué solicitas. Podemos pedirte que acredites tu identidad. Respondemos en un plazo de 20 días hábiles. Si eres huésped de un hotel, remitimos tu solicitud al hotel y le ayudamos a responder.

También puedes presentar una queja ante la autoridad de protección de datos de tu país.

11. Seguridad

Los datos viajan cifrados (HTTPS). Las claves de API de Cloudbeds se guardan cifradas, las contraseñas se almacenan como hashes, las cuentas del personal pueden usar llaves de acceso (passkeys) y verificación en dos pasos, y cada hotel ve solo sus propios datos. Ningún sistema es perfectamente seguro; si una vulneración afecta tus datos, lo informaremos a los hoteles y personas afectados conforme lo exija la ley.

12. Menores de edad

Converstay es un servicio para empresas y no está dirigido a menores de edad. Los hoteles no deben usarlo para enviar correos a huéspedes menores de edad.

13. Cambios a este aviso

Cuando cambiemos este aviso, actualizaremos la fecha que aparece arriba. Si un cambio es relevante para la forma en que usamos tus datos, lo informaremos por correo a las cuentas de hotel antes de que entre en vigor.