Política de privacidad

Responsable del tratamiento

La plataforma YStay está editada por [POR COMPLETAR: razón social], [POR COMPLETAR: forma jurídica] con un capital social de [POR COMPLETAR: capital social], inscrita con el número [POR COMPLETAR: número de inscripción en el registro mercantil], número de IVA intracomunitario [POR COMPLETAR: número de IVA intracomunitario], con domicilio social en [POR COMPLETAR: domicilio social].

La sociedad está en proceso de constitución: los campos anteriores se muestran como marcadores mientras la inscripción no sea efectiva. Se completarán, tanto en esta página como en el aviso legal, en el mismo despliegue.

Para cualquier cuestión relativa a sus datos personales y para ejercer sus derechos: privacy@ystay.app. Para cualquier otra consulta: contact@ystay.app.

Quién responde de qué

YStay no desempeña el mismo papel con todos los datos que trata. El reparto depende del tratamiento y determina ante quién debe ejercer sus derechos.

• YStay es responsable del tratamiento de su propia relación con el cliente: cuentas de anfitrión y miembros del equipo, facturación y suscripción, solicitudes de asistencia, lista de lanzamiento y alertas del Radar de conformidad.
• YStay es responsable del tratamiento de la propia cuenta de huésped —credenciales, idioma, preferencias, tokens de dispositivo, certificado de seguro aportado—: una cuenta es transversal a varios anfitriones y forma parte del funcionamiento de la plataforma. En cambio, YStay es encargado del tratamiento por cuenta del anfitrión para los datos de estancia de ese huésped: reserva, accesos, llegada y salida, pruebas StayProof e intercambios con el anfitrión. El anfitrión es el responsable frente a su huésped; nosotros tratamos por su cuenta y siguiendo sus instrucciones.
• YStay es encargado del tratamiento por cuenta del arrendador para las solicitudes de alquiler de larga duración (YStay Classic). Un candidato a inquilino no es un huésped: es el arrendador quien decide la finalidad y la conservación de su expediente.

Cuentas de anfitrión

Finalidad: permitir a un anfitrión —particular o empresa— crear y gestionar su cuenta, sus viviendas y anuncios, sus reservas, su equipo y su facturación.

• Interesados: anfitriones particulares, representantes de empresas anfitrionas y miembros invitados a una cuenta (gestor, miembro del equipo, solo lectura).
• Datos: identidad (nombre, nombre mostrado), datos de contacto (teléfono, dirección postal), datos de empresa (razón social, número de identificación, número de IVA, menciones legales de factura), imagen de firma de contrato, identificador de cliente del proveedor de pagos, estado de prueba y de suspensión con su motivo.
• Destinatarios: el personal autorizado de YStay; usted mismo y los miembros a los que invite, dentro de los límites de su rol; Stripe para la facturación; netcup para el alojamiento de la base de datos.
• Aislamiento: cada consulta está acotada a la cuenta propietaria. Un anfitrión nunca ve los datos de otro.
• Medimos el uso que su cuenta hace de la plataforma —funciones activadas, etapas superadas— para mejorar el servicio. Estas mediciones se basan en nuestro interés legítimo, se refieren únicamente a datos de cuenta y nunca se comparten ni se venden.

Miembros de un equipo de anfitrión

Finalidad: permitir que una persona invitada por un anfitrión —gestor, miembro del equipo, solo lectura— acceda a su cuenta dentro de los límites de su rol, e imputar cada acción a su autor.

• Interesados: las personas a las que un anfitrión invita a su cuenta, ya sean empleadas, apoderadas o proveedoras.
• Datos: nombre, dirección de correo electrónico, rol atribuido, fecha y versión de las condiciones de uso individuales aceptadas, registros de actividad (quién hizo qué y cuándo).
• Responsable del tratamiento: YStay. Usted no es parte del contrato celebrado entre YStay y el anfitrión que le invita, pero somos nosotros quienes tratamos estos datos, para hacer funcionar su cuenta y proteger la plataforma.
• Conservación: junto con la cuenta del anfitrión, según los plazos indicados más abajo; su acceso personal cesa en cuanto el titular de la cuenta lo retira.

Cuentas de huésped

Finalidad: permitir a un huésped gestionar su reserva, sus accesos y sus mensajes desde una cuenta o un enlace con token, y aportar un certificado de seguro cuando el anfitrión lo solicite.

• Interesados: huéspedes y ocupantes principales de una reserva.
• Datos: identidad (nombre, apellidos), teléfono, idioma, dirección de facturación por defecto, identificador de cliente del proveedor de pagos, tokens de dispositivo para las notificaciones de la aplicación móvil, certificado de seguro con sus fechas de validez y el motivo de un eventual rechazo.
• Destinatarios: el personal autorizado de YStay; el anfitrión de la reserva correspondiente; Expo para el envío de las notificaciones; Stripe cuando hay un pago.
• Los documentos aportados se guardan en un espacio privado: nunca se sirven desde una URL pública, sino únicamente mediante un enlace firmado de duración limitada.
• Los datos de su estancia —reserva, accesos, llegada y salida, inventario del estado del inmueble, intercambios con su anfitrión— no corresponden a esta sección: se tratan por cuenta de su anfitrión, que es el responsable. La información correspondiente se le presenta en el momento de la reserva, antes de introducir sus datos de contacto.

Reservas y estancias

Finalidad: gestionar el ciclo de vida de una reserva de corta duración —fechas, ocupantes, precio, estado, canal de origen— y la estancia asociada, de la llegada a la salida.

• Interesados: el huésped principal de una reserva, identificado por su nombre incluso sin crear una cuenta, y el anfitrión.
• Datos: fechas de estancia, número de adultos, niños y bebés, nombre, correo electrónico y teléfono del contacto principal, idioma, notas de llegada, importe total y divisa, desglose de precio, estado, canal (directo o plataforma de distribución), token público de la reserva.
• Destinatarios: el anfitrión propietario de la reserva, el personal autorizado de YStay, la plataforma de distribución de origen cuando la reserva procede de una (Airbnb, Booking.com y otras, a través de Su-API/STAAH) y el proveedor de pagos cuando corresponde.

Solicitudes de alquiler (arrendamiento de larga duración)

Finalidad: reunir y analizar una solicitud de alquiler de larga duración, con extracción automatizada de campos para agilizar el examen por parte del arrendador.

Es el tratamiento más sensible de la plataforma. El análisis automatizado nunca decide: extrae, clasifica y señala. La decisión de aceptar o descartar una candidatura corresponde al arrendador, que puede apartarse de cualquier indicación producida por la herramienta.

• Interesados: candidatos a inquilino.
• Datos: apellidos, nombre, correo electrónico, teléfono, tipo de empleo, empleador, ingresos mensuales, estado y referencia DossierFacile; y, mediante la extracción automatizada, el contenido del propio documento: texto en bruto extraído, campos reconocidos, categoría y nivel de confianza.
• Destinatarios: el arrendador propietario del expediente, el personal autorizado de YStay y DossierFacile cuando el candidato solicita una verificación.
• Antes de que aporte su primer documento, el espacio del candidato le presenta una información específica: quién es responsable de su expediente (el arrendador), qué documentos se le pueden pedir —la lista del Decreto francés n.º 2015-1437, de 5 de noviembre de 2015, es limitativa—, qué hace y qué no hace el análisis automatizado, y cómo retirar su candidatura. Usted la acepta antes de aportar nada.

Pruebas StayProof (inventarios del estado del inmueble)

Finalidad: levantar un inventario de entrada y de salida y una prueba de la estancia oponible en caso de litigio —fianza, desperfecto—, con un análisis de diferencias entre la entrada y la salida asistido por inteligencia artificial.

Este análisis está acotado, es explicable y el anfitrión puede modificarlo: nunca decide por sí solo ni produce sanción alguna. El anfitrión sigue siendo el autor de la validación o del rechazo.

Al cerrar un inventario, se inscribe en el registro de auditoría una huella criptográfica del expediente —fotografías, respuestas, firma—, donde se conserva treinta y seis meses como las demás transiciones sensibles. Permite autenticar una exportación posterior del expediente y sigue siendo legible en el registro tras la supresión de este, mientras no hayan transcurrido esos treinta y seis meses.

• Interesados: el huésped (responde y firma) y el anfitrión (valida o rechaza).
• Datos: respuestas de la lista de comprobación, fotos, firma del huésped, marcas de tiempo de finalización, validación y rechazo con su motivo, resumen generado y resultado del análisis de comparación.
• Destinatarios: el anfitrión correspondiente, el personal autorizado de YStay y Anthropic para el análisis de comparación.
• Conservación: 24 meses desde la estancia por defecto; el anfitrión, responsable de este tratamiento, puede ampliar ese plazo hasta cinco años desde los ajustes de su cuenta (titular de la cuenta). Treinta días antes de la supresión se avisa al anfitrión, que puede descargar el expediente completo.

Solicitudes de asistencia

Finalidad: atender las solicitudes de asistencia de los anfitriones, los miembros de equipo y los huéspedes, y avisar a nuestra guardia cuando un acceso queda bloqueado durante una estancia en curso, fuera del horario laboral.

Conviven dos canales, y no recogen lo mismo.

• Desde su espacio (anfitrión, miembro del equipo o huésped con la sesión iniciada): el contenido de sus mensajes, los archivos que adjunte, la categoría, la prioridad, el estado y el contexto de la solicitud. Cada vez que nuestro equipo abre un hilo, ese acceso queda registrado.
• Desde el formulario público, sin iniciar sesión («no consigo iniciar sesión», «solicito la eliminación de mi cuenta»): su mensaje y, en lugar de su dirección de correo electrónico, una huella criptográfica de esta. Su dirección no se almacena en claro en ninguna columna. Un enlace de continuación le permite seguir la conversación.
• Este segundo canal está deliberadamente minimizado: quien lo utiliza no está identificado como cliente. Los intercambios se conservan durante 30 días desde el último mensaje, frente a 24 meses en los canales con sesión iniciada.
• Destinatarios: el personal autorizado de YStay; Resend para el envío de los correos electrónicos y la pasarela SMS de OVH para las alertas de guardia.

Lista de lanzamiento (newsletter)

Finalidad: avisarle de la apertura de la plataforma y enviarle noticias de producto poco frecuentes.

• Responsable del tratamiento: YStay.
• Base jurídica: su consentimiento, confirmado con un clic en el correo electrónico que le enviamos (doble opt-in). Sin esa confirmación, su dirección nunca se utiliza para un envío y se suprime al cabo de 30 días.
• Datos recogidos: su dirección de correo electrónico, el idioma y la página de origen. Ni dirección IP, ni elaboración de perfiles publicitarios, ni venta o cesión a terceros con fines de prospección.
• Conservación: hasta su baja y, después, 3 años para poder acreditar el consentimiento y su retirada (recomendación de la CNIL aplicable a los clientes potenciales). Los registros se suprimen después automáticamente.
• Retirada: cada correo electrónico incluye un enlace de baja que no exige autenticación, y la retirada es inmediata.
• Alojamiento: Unión Europea. Destinatario: Resend, para el envío.

Alerta de conformidad (Radar)

Finalidad: avisarle cuando cambie la normativa sobre alojamientos turísticos de su municipio, o cuando la verifiquemos por primera vez. Su diagnóstico no desencadena ninguna prospección.

• Responsable del tratamiento: YStay.
• Base jurídica: su consentimiento, prestado mediante una casilla que nunca está marcada de antemano y confirmado después con un clic en el correo electrónico que le enviamos (doble opt-in). Sin esa confirmación, su dirección nunca se utiliza para un envío y se suprime al cabo de 30 días.
• Datos recogidos: su dirección de correo electrónico, el código INSEE del municipio sobre el que desea recibir alertas (cinco caracteres, por ejemplo 74010), el idioma y la página de origen. Ni dirección IP, ni elaboración de perfiles publicitarios, ni venta o cesión a terceros con fines de prospección.
• Lo que nunca conservamos: el resultado de su diagnóstico. Ni el estado, ni el importe de riesgo, ni ninguna de sus respuestas: el cálculo se realiza en su navegador y nada sale de él. Ninguna columna de nuestra base de datos puede albergarlos.
• Conservación: hasta su baja y, después, 3 años para poder acreditar el consentimiento y su retirada (recomendación de la CNIL aplicable a los clientes potenciales). El municipio desaparece con el registro, en los mismos plazos: no genera ninguna conservación adicional.
• Retirada: cada correo electrónico incluye un enlace de baja que no exige autenticación, y la retirada es inmediata; también puede utilizar la página de baja.
• Cambiar el municipio seguido: una nueva solicitud desde el Radar completa el municipio si no había declarado ninguno. Para cambiarlo, dese de baja y vuelva a suscribirse, o escríbanos: no dejamos que un formulario anónimo redirija las alertas de una dirección ya confirmada.
• Alojamiento: Unión Europea. Destinatario: Resend, para el envío.

Registros de auditoría

Finalidad: dejar constancia de quién hizo qué y cuándo en las transiciones sensibles de la plataforma —reserva, apertura de cerradura, entrada y salida, incidencia, firma, documento, consulta de una solicitud de asistencia por parte de nuestro equipo— con fines de prueba y de seguridad.

Estos registros se conservan durante 36 meses. Solo son accesibles para el personal autorizado de YStay; las consultas internas de un hilo de asistencia nunca se muestran al anfitrión.

Bases jurídicas

Cada tratamiento se apoya en una de las bases previstas en el artículo 6 del RGPD. La tabla siguiente indica la que aplicamos en cada caso. Están siendo revisadas con nuestro asesor jurídico en el momento de esta publicación; esta sección se actualizará si alguna de ellas cambia.

Plazos de conservación

Los plazos indicados a continuación son los que aplicamos. El fin de la relación es la fecha de baja cuando existe; en su defecto, se fija en 24 meses de inactividad real de la cuenta.

Una reserva se anonimiza tres años después de la estancia: el nombre, el correo electrónico y el teléfono del contacto principal y las notas de llegada desaparecen, y los agregados permanecen. La factura de esa misma estancia, en cambio, lleva su nombre y debe conservarse diez años por obligación contable. Tras la anonimización, su identidad ya solo subsiste en dos lugares: los documentos de facturación (10 años) y la prueba de su aceptación de las condiciones (versión, fecha, nombre, dirección de correo electrónico — 5 años, 10 años para un consumidor).

Estos plazos son plazos máximos de conservación, y no la descripción de un borrado ya completamente automatizado: los mecanismos de supresión y de anonimización correspondientes se van poniendo en servicio con nuestros despliegues. Puede solicitar la eliminación de su cuenta en cualquier momento (véase «Sus derechos»).

Tres plazos se apartan de la regla de los tres años, y no están en nuestra mano: la ley francesa de 21 de junio de 2004 impone a todo alojador de contenidos conservar la identidad civil del titular de una cuenta cinco años después de su cierre, y los datos de conexión registrados en el momento de la creación un año. La prueba de su aceptación de nuestras condiciones se conserva cinco años desde el fin del contrato, diez años si contrató en calidad de consumidor.

• Estas pruebas de aceptación nunca se muestran —ni en su espacio ni en el sitio— y no sirven para ninguna otra finalidad: establecen, en caso de litigio, qué versión aceptó, cuándo y desde qué dispositivo.

Destinatarios y encargados del tratamiento

No vendemos ningún dato ni compartimos ninguno con fines de prospección de terceros. Los proveedores indicados a continuación son nuestros encargados del tratamiento: intervienen por nuestra cuenta, siguiendo nuestras instrucciones y únicamente para el papel señalado.

• Dos herramientas, cuando su anfitrión las utiliza, son proveedores suyos y no nuestros: la cerradura conectada que enlaza con su propia cuenta y la herramienta de tarificación dinámica que activa él mismo. Sus relaciones con ellas no corresponden a la presente política.
• Nuestra propia contabilidad se lleva con un proveedor establecido en Francia. Solo interviene sobre nuestros datos de facturación, nunca sobre los datos de estancia de sus huéspedes.

Terceros destinatarios por cuenta propia

Tres terceros reciben algunos de sus datos por cuenta propia, y no siguiendo nuestras instrucciones. Son responsables de sus propios tratamientos; sus políticas de privacidad se aplican además de la nuestra.

Transferencias fuera de la Unión Europea

Una parte de nuestros tratamientos no sale nunca de la Unión Europea; la otra se apoya en proveedores establecidos en otros lugares. Ambas se indican a continuación, proveedor por proveedor.

Algunos de nuestros proveedores están establecidos fuera de la Unión Europea. Cada transferencia se basa en una garantía adecuada en el sentido del capítulo V del RGPD, indicada a continuación; puede obtener copia de ella con una simple solicitud a privacy@ystay.app.

La aplicación principal, la base de datos, el almacenamiento de sus documentos y archivos y la geocodificación de las direcciones permanecen, en cambio, en la Unión Europea.

Seguridad

Las medidas indicadas a continuación son las que están en servicio. No pretenden ser exhaustivas y evolucionan con la plataforma.

• Cifrado de las comunicaciones entre su navegador, nuestras aplicaciones móviles y nuestros servidores.
• Documentos y archivos almacenados en un espacio privado, servidos únicamente mediante enlaces firmados de duración limitada. Ningún documento sensible se expone a través de una URL pública.
• Aislamiento estricto por cuenta: cada consulta de negocio está acotada a la cuenta propietaria de los datos.
• Autenticación de doble factor disponible en las cuentas de anfitrión.
• Registro de las transiciones sensibles, conservado durante 36 meses.
• Sellado de los expedientes de inventario mediante una huella inscrita en el registro.
• Copias de seguridad cifradas que permiten una restauración a un instante determinado.

Inteligencia artificial

Varias funciones de la plataforma están asistidas por un modelo de lenguaje. Asisten: ninguna decide. Ningún contenido transmitido se utiliza para entrenar un modelo, y ningún tratamiento automatizado produce efectos jurídicos respecto de usted en el sentido del artículo 22 del RGPD.

Ninguna de estas funciones se aplica al conjunto de sus datos: cada una recibe únicamente lo que se le somete, en el momento en que se utiliza, y nada se envía fuera de esos momentos. Los datos transmitidos son los que se indican a continuación.

El proveedor de estas funciones es Anthropic, PBC (Estados Unidos). Los contenidos transmitidos no se utilizan para entrenar sus modelos y solo se conservan en su poder treinta días como máximo. La transferencia está amparada por las cláusulas contractuales tipo de la Comisión Europea, completadas con un análisis de impacto de la transferencia; el documento correspondiente está en curso de archivo y puede preguntarnos por su estado en privacy@ystay.app.

Sus derechos

Dispone de los derechos previstos en los artículos 15 a 22 del RGPD. Envíe su solicitud a privacy@ystay.app; si es huésped o candidato a inquilino, diríjase primero al anfitrión o al arrendador correspondiente (véase «Quién responde de qué» más arriba); si nos escribe directamente, trasladamos su solicitud y ayudamos a responderla.

El artículo 12 del RGPD nos concede un mes para responder, plazo prorrogable en dos meses si su solicitud es compleja; en ese caso se lo comunicamos y le indicamos el motivo.

Cuando su solicitud se refiere a un tratamiento del que es responsable el anfitrión o el arrendador, se la trasladamos en un plazo de cinco días hábiles, se lo comunicamos y le asistimos para responderla. Nunca respondemos sobre el fondo en su lugar.

• Acceso: obtener una copia de los datos que conservamos sobre usted.
• Rectificación: corregir un dato inexacto o incompleto, directamente desde su espacio en la mayoría de los campos.
• Supresión: solicitar la eliminación de su cuenta desde la página dedicada, desde su espacio o desde nuestras aplicaciones móviles. La solicitud la gestiona nuestro equipo tras una verificación. Algunos datos se conservan cuando una obligación legal lo impone: sus facturas, diez años.
• Limitación: solicitar la congelación del tratamiento de sus datos mientras se examina una impugnación.
• Oposición: oponerse a un tratamiento basado en nuestro interés legítimo, por motivos relacionados con su situación particular.
• Portabilidad: recibir los datos que nos ha facilitado en un formato estructurado y legible por máquina.
• Retirada del consentimiento: en cualquier momento, para la lista de lanzamiento y las alertas del Radar, sin efecto sobre los envíos ya realizados.
• Reclamación: puede dirigirse a la CNIL (cnil.fr), autoridad de control francesa, en cualquier momento.
• Denegación: toda denegación se le notifica con su motivo, la mención de su derecho a dirigirse a la CNIL y la de su derecho a la tutela judicial.

Cookies y rastreadores

El sitio de presentación no utiliza ninguna cookie publicitaria por defecto. La instalación de rastreadores sujetos a consentimiento está bloqueada mientras usted no los acepte, y su elección es revocable en cualquier momento.

Plausible se carga sin consentimiento al amparo de la exención de la CNIL para la «medición de audiencia»: finalidad estrictamente limitada a nuestra propia estadística de visitas, sin cookies, con datos agregados y anónimos.

El panel de control app.ystay.app solo utiliza cookies estrictamente necesarias —sesión autenticada, protección contra la falsificación de peticiones, preferencia de idioma—, exentas de consentimiento.

Gérer les cookies

Modificaciones de esta política

Esta política puede evolucionar con la plataforma y con la validación jurídica en curso. La versión en vigor es la publicada en esta página; su fecha de última actualización figura en el encabezado.

Le invitamos a consultarla cuando utilice el servicio.