Aviso y política de privacidad

1. Quién es el responsable

• Responsable: NovaKeys
• Domicilio: San Salvador, El Salvador
• Delegado de protección de datos: Responsable de privacidad de NovaKeys
• Contacto para solicitudes de privacidad: info@nova-keys.com

2. Qué datos tratamos

• Huéspedes: nombre y apellido, correo y teléfono (cuando los da la plataforma de reserva o tú), país, fechas de la reserva, número de huéspedes, montos de la reserva, notas que nos compartes, solicitudes (salida tarde, noches extra), reportes de incidencias con fotos y compras de la tiendita.
• Personas que nos escriben desde la web: nombre, mensaje, fechas e invitados por los que preguntan, idioma y una huella cifrada (hash) de la dirección IP para frenar abusos.
• Propietarios: nombre, empresa, correo, teléfono, NIT o DUI (cifrado), datos para transferirles pagos (cifrados), comisiones y liquidaciones.
• Nuestro equipo (administración y limpieza): nombre, correo, teléfono, rol, registro de actividad, fotos de evidencia y pagos por limpieza.
• Datos técnicos: dirección IP, navegador, fecha y hora de acceso, para seguridad.

No pedimos datos sensibles (salud, creencias, biometría…). Si nos compartes alguno por tu cuenta (por ejemplo, una necesidad de accesibilidad), solo lo usamos para atenderla, con tu consentimiento expreso, y nunca estás obligado a darlo.

3. Para qué los usamos y con qué base legal

• Gestionar tu reserva, la llegada, el acceso al apartamento, la limpieza y la atención durante tu estadía — relación contractual (art. 28 f).
• Responder los mensajes que nos envías desde la web — tu consentimiento al enviarlos (arts. 26 y 27).
• Liquidar a los propietarios y pagar a nuestro equipo — relación contractual.
• Cumplir obligaciones contables y tributarias — obligación legal.
• Mantener el servicio seguro (prevenir fraudes y accesos indebidos) — deber de seguridad (art. 36).

No usamos tus datos para publicidad, no los vendemos y no hacemos perfiles.

4. Con quién los compartimos

Proveedores que tratan datos por nuestra cuenta (encargados), obligados por contrato a protegerlos:

• Hetzner Online GmbH — Servidores y base de datos · Alemania (Unión Europea) · política de privacidad
• Cloudflare, Inc. — Entrega del sitio, cifrado y protección contra ataques · Estados Unidos / red global · política de privacidad
• Resend (Plus Five Five, Inc.) — Envío y recepción de los correos del sistema · Estados Unidos · política de privacidad
• Zoho Corporation — Buzón de correo de atención · Estados Unidos / India · política de privacidad
• Telegram — Avisos internos al equipo y a los propietarios que los activan · Emiratos Árabes Unidos / global · política de privacidad

Las plataformas de reserva (Airbnb, Booking.com y otras) son responsables independientes: de ellas recibimos los datos de tu reserva. Si decides escribirnos por WhatsApp, Meta trata esa conversación según su propia política. Solo compartimos datos con autoridades cuando la ley lo exige.

Algunos de estos proveedores están fuera de El Salvador. Solo trabajamos con proveedores que aplican estándares internacionales de protección de datos (como el Reglamento General de Protección de Datos de la Unión Europea) y medidas contractuales de seguridad. Al usar nuestros servicios y aceptar este aviso consientes estas transferencias (art. 44).

5. Cuánto tiempo los guardamos

• Reservas, liquidaciones y pagos: el plazo que exigen las leyes tributarias y mercantiles (en general, hasta 10 años).
• Consultas desde la web y registros técnicos de actividad: se borran automáticamente al vencer el plazo de conservación configurado (12 meses por defecto).
• Correos de reservas recibidos de las plataformas: 90 días.
• Cuentas del equipo y de propietarios: mientras dure la relación; después se desactivan y se eliminan o anonimizan cuando ya no hacen falta.

6. Cómo los protegemos

• Conexión cifrada (HTTPS con HSTS) en todo el sitio.
• Contraseñas guardadas con Argon2id; NIT/DUI, datos de pago y contraseñas de Wi-Fi cifrados con AES-256-GCM.
• Acceso por roles: cada persona solo ve lo que su trabajo necesita.
• Sesiones cortas con tokens que rotan, límites de intentos y protección contra bots.
• Copias de seguridad diarias y registro de actividad.

Si una vulneración de seguridad afectara tus datos, lo notificaremos a la Agencia de Ciberseguridad del Estado, a la Fiscalía General de la República y a ti en un máximo de 72 horas, como exige el artículo 25.

7. Tus derechos (ARCO-POL) y cómo ejercerlos

Puedes pedir el acceso a tus datos, su rectificación, su cancelación (supresión), oponerte a su tratamiento, su portabilidad, el olvido y la limitación de su tratamiento, y puedes revocar tu consentimiento en cualquier momento.

Escribe a info@nova-keys.com indicando: tu nombre, domicilio y medio para notificarte; un documento que acredite tu identidad (y la de tu representante, si lo hay); la descripción clara de los datos y del derecho que quieres ejercer; y tu firma o un medio equivalente (art. 18). Si falta algo te lo pediremos una sola vez y tendrás 10 días hábiles para completarlo.

• Respondemos en un máximo de 20 días hábiles, prorrogables una sola vez por otros 20 con causa justificada (art. 20).
• Las revocaciones del consentimiento se procesan en un máximo de 5 días hábiles (art. 30).
• Es gratuito: solo las copias físicas o el envío pueden tener costo; la entrega electrónica nunca (art. 23).
• Si no quedas conforme, puedes presentar tu denuncia ante la Agencia de Ciberseguridad del Estado (ACE) (art. 31).

8. Cookies y almacenamiento del navegador

Solo usamos lo necesario para que el sitio funcione: no hay cookies de analítica, publicidad ni rastreo.

• nk_refresh (cookie segura, inaccesible para JavaScript): mantiene abierta la sesión del equipo; 7 días.
• nk_role (cookie): recuerda qué panel abrir; 30 días.
• nk_lang (cookie): tu idioma; 1 año.
• Almacenamiento local: nk_theme (modo noche), nk_guest_token y nk_guest_content (acceso al portal del huésped durante tu estadía, también sin internet), nk_kiosk_token y nk_kiosk_unit (la tableta del apartamento), nk_calendar_view y nk_ios_install_hint (preferencias de pantalla).
• Cloudflare puede guardar cookies técnicas (como __cf_bm) para distinguir personas de bots.
• Las fotos de algunos alojamientos se cargan desde los servidores de Airbnb, que pueden ver tu dirección IP.

Puedes borrarlas desde tu navegador; después el sitio puede pedirte iniciar sesión de nuevo.

9. Menores de edad

Nuestros servicios son para personas adultas: las reservas las hacen adultos y de los menores solo registramos cuántos vienen en la estadía. Si crees que tenemos datos de un menor, escríbenos y los eliminaremos (art. 42).

10. Visitantes de otros países

Si vives en la Unión Europea u otro país con su propia ley de protección de datos, también puedes ejercer los derechos que esa ley te da escribiendo a la misma dirección.

11. Cambios a este aviso

Publicamos cualquier cambio en esta página con su fecha. Si el cambio es importante también lo anunciaremos en el sitio y lo enviaremos por correo al equipo y a los propietarios.