Política de privacidad
Política de privacidad
Resumen en tres frases: Al realizarse una reserva, el responsable del tratamiento comunica los datos al propietario, que los necesita como contraparte contractual y, desde la transmisión, decide de forma independiente sobre su uso. El responsable del tratamiento no tiene acceso a los datos de las tarjetas; estos son tratados por el proveedor de servicios de pago. El comportamiento se analiza únicamente con el consentimiento de la persona interesada.
1. Responsable del tratamiento
MenzeMedia.de GmbH, Am Wunderhügel 27, 58644 Iserlohn, Alemania Correo electrónico: datenschutz@mallorca.com
No se ha designado a un delegado de protección de datos porque no se cumplen los requisitos legales para ello.
2. Bases jurídicas del tratamiento
El tratamiento se basa en cuatro fundamentos: el consentimiento de la persona interesada (art. 6.1.a) RGPD), la ejecución del contrato con la persona interesada (letra b), una obligación legal (letra c) y el interés legítimo del responsable del tratamiento (letra f). Cuando el tratamiento se basa en un interés legítimo, este se indica para el tratamiento correspondiente.
Los datos necesarios para una reserva son campos obligatorios. Sin ellos no puede celebrarse ni ejecutarse el contrato, por lo que no es posible hacer una reserva.
3. Visita al sitio web
Archivos de registro del servidor. En cada acceso se recopilan la dirección IP, el momento y la duración, la página visitada, el volumen de datos, la página de referencia, el navegador y el sistema operativo. Esto es técnicamente necesario y sirve para la seguridad: art. 6.1.f) RGPD, interés legítimo en un funcionamiento seguro. La eliminación se realiza a más tardar después de 30 días o, si existe una sospecha concreta de ataque, una vez esclarecida.
Cookies. Se utilizan cookies técnicamente necesarias para la selección de idioma, la sesión, el proceso de reserva y la elección de cookies (§ 25 apdo. 2 n.º 2 TDDDG (Ley alemana de protección de datos en telecomunicaciones y servicios digitales), art. 6.1.f) RGPD). Todas las demás cookies se utilizan únicamente con el consentimiento de la persona interesada (§ 25 apdo. 1 TDDDG, art. 6.1.a) RGPD). La elección puede cambiarse en cualquier momento a través de «Configuración de cookies» en el pie de página. Como prueba, se almacenan el momento, el alcance y un hash seudonimizado de la dirección IP de la persona interesada (art. 7.1 RGPD) durante tres años.
Medición de audiencia. Se utiliza Google Analytics a través de Google Tag Manager (Google Ireland Limited, Dublín). Ambos servicios se cargan únicamente después de que se haya otorgado el consentimiento en el banner; antes no se transmite nada a Google. La base jurídica es el consentimiento de la persona interesada. Google puede tratar datos en Estados Unidos; Google LLC está certificada en el marco del Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD), y además se aplican cláusulas contractuales tipo. Google elimina los datos relacionados con los usuarios a más tardar después de 14 meses. Más información: https://policies.google.com/privacy
Mapas. El servidor del responsable del tratamiento obtiene la imagen del mapa de las páginas de los alojamientos de Mapbox y la entrega. El navegador de la persona interesada no se conecta a Mapbox y su dirección IP no se transmite. Si se utiliza un mapa interactivo en casos concretos, solo se carga después del consentimiento de la persona interesada.
Búsqueda. Para la búsqueda se utiliza Meilisearch Cloud (Meili SAS, París), con servidores en la UE, como encargado del tratamiento conforme al art. 28 RGPD. Interés legítimo: una búsqueda funcional.
4. Reserva de un alojamiento
Se tratan los siguientes datos: nombre, dirección, correo electrónico y teléfono de la persona que realiza la reserva · únicamente los nombres de los acompañantes · alojamiento, fechas de viaje, número de viajeros, extras, mascotas, comentarios de la persona que realiza la reserva · precio, pagos, vencimientos, estado de pago, identificadores de transacción · ningún dato de documento de identidad o pasaporte (el propietario los recoge al hacer el check-in; véase 4.3) · como prueba, el texto informativo mostrado a la persona que realiza la reserva con marca temporal, un hash seudonimizado de su dirección IP y el identificador de su navegador.
Base jurídica: art. 6.1.b) RGPD; para los datos de prueba, letra f) (interés legítimo en la prevención de abusos y la conservación de pruebas).
4.1 Comunicación al propietario
La contraparte contractual de la persona que realiza la reserva es el propietario, no el responsable del tratamiento. Se comunican al propietario los datos necesarios para ejecutar el contrato: nombre, datos de contacto, número y nombres de los viajeros, periodo de viaje, extras, comentarios de la persona que realiza la reserva y los datos necesarios para las obligaciones de registro del propietario.
Desde la transmisión, el propietario es responsable independiente (art. 4.7 RGPD). Trata los datos conforme a sus propias indicaciones, no por cuenta del responsable del tratamiento. Se ha acordado contractualmente con el propietario que los utilizará únicamente para la estancia y sus obligaciones legales, y no con fines publicitarios ni para terceros. La confirmación de reserva identifica al propietario. Las solicitudes de acceso o supresión relativas a su tratamiento deben dirigirse al propietario. Base jurídica: art. 6.1.b) RGPD.
Los propietarios están establecidos en España y, por tanto, en la UE. Si, excepcionalmente, un propietario o una administración estuviera establecido fuera de la UE y del EEE, la transferencia se basará en el art. 49.1.b) RGPD; se informará de ello a la persona que realiza la reserva antes de la reserva.
4.2 Acompañantes
Cuando se realiza una reserva para otras personas, el responsable del tratamiento trata únicamente sus nombres recibidos de la persona que realiza la reserva (art. 14 RGPD), para las mismas finalidades, sobre las mismas bases y durante el mismo plazo. Se solicita a la persona que realiza la reserva que informe a sus acompañantes de esta declaración. Al realizar la reserva, dicha persona confirma que está autorizada a proporcionar esos datos.
4.3 Obligaciones de registro en España
España exige que el propietario recopile los datos de todos los huéspedes que llegan y los comunique a las autoridades de seguridad. El propietario recoge estos datos al hacer el check-in, no el responsable del tratamiento. En el proceso de reserva, el responsable del tratamiento solo solicita los nombres de los viajeros para que el propietario sepa quién llega. El responsable del tratamiento no almacena datos de documentos de identidad ni pasaportes.
El responsable del tratamiento tiene una obligación de comunicación propia. Como plataforma intermediaria, debe comunicar cada reserva a las autoridades españolas en un plazo de 24 horas: nombre y datos de contacto de la persona que realiza la reserva, referencia y fecha de reserva, llegada y salida, dirección del alojamiento, así como fecha y forma de pago. También se comunican los cambios y las cancelaciones. No se incluyen datos de documentos de identidad.
La base jurídica de la comunicación del responsable del tratamiento y de la recogida de datos de documentos de identidad por el propietario es, respectivamente, el art. 6.1.c) RGPD en relación con las disposiciones españolas; para comunicar los nombres al propietario, el art. 6.1.b) RGPD. El impuesto de estancias turísticas balear (ecotasa) lo adeuda la persona viajera en su condición de huésped; corresponde al propietario ingresarlo (art. 6.2 de la Ley 2/2016). El impuesto se paga en el alojamiento al propietario y no se gestiona a través del responsable del tratamiento.
4.4 Tramitación de pagos
El pago se tramita a través de Stripe (Stripe Payments Europe, Limited, Dublín; técnicamente también Stripe, Inc., EE. UU.). El responsable del tratamiento no tiene acceso a los datos de las tarjetas. Estos se introducen directamente en el formulario de Stripe; el responsable del tratamiento solo recibe el estado del pago, el tipo de medio de pago, los últimos dígitos y los identificadores de transacción. Se transmiten a Stripe el nombre, correo electrónico, dirección de facturación, importe y una referencia de reserva.
Stripe actúa en parte por cuenta del responsable del tratamiento (art. 28 RGPD), pero como responsable independiente en materia de prevención del fraude, prevención del blanqueo de capitales y su propia gestión de riesgos; a ese respecto se aplican las indicaciones de Stripe. Bases: letra b) para la tramitación, letra f) para la prevención del fraude y letra c) para las obligaciones legales de Stripe. La transferencia a Estados Unidos se realiza mediante cláusulas contractuales tipo y, cuando corresponde, el Marco de Privacidad de Datos UE-EE. UU. Más información: https://stripe.com/de/privacy
4.5 Correos electrónicos sobre la reserva
Las confirmaciones, el aviso y la confirmación del pago restante, la información de llegada y las confirmaciones de cancelación se envían a través de Resend (Resend, Inc., EE. UU.; encargo conforme al art. 28 RGPD, cláusulas contractuales tipo). Estos correos forman parte del contrato y no son publicidad, por lo que no es posible darse de baja mientras la reserva esté en curso.
5. Consultas sin reserva
En caso de consultas, se tratan el nombre, los datos de contacto y el contenido del mensaje para responder: art. 6.1.b) RGPD si la consulta se refiere a un contrato; de lo contrario, letra f). Los datos se eliminan cuando el asunto se haya resuelto, a más tardar después de dos años, salvo que se aplique un plazo de conservación.
6. Boletín
Al suscribirse al boletín, se trata la dirección de correo electrónico para el envío de consejos de viaje, ofertas y fincas nuevas — art. 6.1.a RGPD.
Se utiliza el doble opt-in: tras la suscripción se envía un correo de confirmación y el alta solo se realiza cuando se pulsa el enlace. Se registran la suscripción, la confirmación y el momento de ambas para poder acreditar el consentimiento.
Se mide si los destinatarios del boletín abren un mensaje y en qué enlaces hacen clic, y se ajustan los contenidos a ello. La base es el mismo consentimiento que para el envío; el formulario lo indica antes de la suscripción.
Del envío se encarga Brevo por cuenta del responsable del tratamiento (art. 28 RGPD), véase el apartado 10.
El consentimiento puede revocarse en cualquier momento mediante el enlace de baja de cada correo o dirigiéndose al responsable del tratamiento. La revocación surte efecto hacia el futuro; la licitud del tratamiento anterior no se ve afectada. Después se elimina la dirección de la lista y se conserva solo la prueba del consentimiento y de su revocación.
7. Cuenta de usuario y uso entre portales
Es posible reservar sin cuenta. Al crear una cuenta, se tratan el correo electrónico, el nombre, una contraseña almacenada de forma cifrada, así como los datos de registro y uso (art. 6.1.b) RGPD). La persona interesada puede eliminar la cuenta en cualquier momento; los datos de reserva sujetos a plazos de conservación no se ven afectados.
fincas.de y mallorca.com son gestionados por la misma sociedad y utilizan una base de datos común. La misma GmbH es responsable en ambos casos, por lo que no hay comunicación a otra empresa. La persona interesada puede consultar su cuenta y sus reservas en ambos portales. No se realiza ningún seguimiento del comportamiento entre portales.
8. Oferta de un alojamiento
De los propietarios o agencias se tratan los siguientes datos: nombre o razón social, dirección, persona de contacto, datos de contacto · número de identificación fiscal, número de IVA, número del registro mercantil y, en el caso de personas físicas, fecha de nacimiento · datos bancarios · datos del alojamiento con dirección, imágenes, precios y calendario de ocupación · números de licencia y de registro · datos contractuales y de liquidación.
Bases: art. 6.1.b) RGPD para la colaboración y letra c) para las obligaciones fiscales de comunicación y conservación. El nombre, la dirección y los números de licencia de los propietarios profesionales se muestran públicamente en la página del alojamiento en cumplimiento de una obligación legal.
Comunicación a la administración tributaria. Cada año, el responsable del tratamiento debe comunicar a las autoridades fiscales las remuneraciones que ha abonado a los propietarios, junto con sus datos identificativos y la dirección de la unidad (Ley alemana de Transparencia Fiscal de Plataformas, «DAC7»). El destinatario es la Oficina Central Federal de Impuestos, que transmite los datos a la administración tributaria extranjera competente. Los huéspedes no se ven afectados.
9. Calendarios de ocupación de otros portales
Para mostrar solo periodos disponibles, se consultan los calendarios facilitados por los propietarios. Con frecuencia proceden de Airbnb o Booking.com y normalmente contienen solo periodos e identificadores técnicos. Según el portal, también pueden contener un nombre o una referencia de reserva, es decir, datos de personas que no han reservado a través del responsable del tratamiento. Estos datos no se han recogido de esas personas, sino del calendario del propietario (art. 14.2.f) RGPD).
Solo se evalúan los días ocupados. Todos los demás datos se descartan al importarlos y no se almacenan. Base jurídica: art. 6.1.f) RGPD, interés legítimo en evitar dobles reservas.
A la inversa, se pone a disposición de cada propietario un calendario de las reservas realizadas a través del responsable del tratamiento. Este contiene solo periodos y un número de reserva, sin nombres de huéspedes.
10. Proveedores de servicios utilizados
| Servicio | Proveedor | Finalidad |
|---|---|---|
| Alojamiento | Vercel Inc., EE. UU. | Entrega del sitio web |
| Base de datos, inicio de sesión, archivos | Supabase Inc., EE. UU. | Datos de reservas y alojamientos |
| Pagos | Stripe Payments Europe, Ltd., Irlanda | Apartado 4.4 |
| Envío de correo electrónico | Resend, Inc., EE. UU. | Apartado 4.5 |
| Envío del boletín | Brevo (Sendinblue SAS, 17 rue Salneuve, 75017 París, Francia) | Apartado 6 |
| Búsqueda | Meili SAS, Francia | Apartado 3 |
| Mapas | Mapbox Inc., EE. UU. | Apartado 3, del lado del servidor |
| Procesos en segundo plano | Trigger.dev | Sincronización de calendarios, recordatorios de pago |
| Medición de audiencia | Google Ireland Limited, Irlanda | Apartado 3, solo con consentimiento |
Con excepción de Stripe (véase el apartado 4.4), todos tratan datos por cuenta del responsable del tratamiento conforme al art. 28 RGPD y están vinculados contractualmente; Google únicamente sobre la base del consentimiento de la persona interesada. Para las transferencias a Estados Unidos se aplican cláusulas contractuales tipo (art. 46.2.c) RGPD) y, cuando el proveedor está certificado, el Marco de Privacidad de Datos UE-EE. UU.
11. Plazos de conservación
| Datos | Plazo |
|---|---|
| Archivos de registro del servidor | 30 días |
| Datos de reserva | Hasta el final de la estancia; después, conforme a los plazos de conservación |
| Facturas y justificantes de reserva | 10 años (§ 147 AO (Código Tributario alemán)) |
| Correspondencia comercial, p. ej., correspondencia de reservas | 6 años (§ 257 HGB (Código de Comercio alemán)) |
| Consultas sin reserva | Hasta su resolución, como máximo 2 años |
| Cuenta de usuario | Hasta su eliminación por la persona interesada |
| Prueba de la elección de cookies | 3 años |
| Suscripción al boletín | hasta la revocación; prueba 3 años después |
| Datos de ocupación de calendarios | Hasta que haya transcurrido el periodo |
Después los datos se eliminan o anonimizan. Durante un plazo de conservación en curso, el tratamiento se limita a la conservación.
12. Destinatarios de los datos
Los destinatarios son el propietario del alojamiento (4.1), el proveedor de servicios de pago (4.4), los proveedores de servicios del responsable del tratamiento (10), las autoridades españolas en el marco de las obligaciones de comunicación (4.3: el responsable del tratamiento comunica los datos de reserva y el propietario los datos de documentos de identidad), la administración tributaria (8), así como asesores fiscales, abogados y auditores, cuando sea necesario. Cualquier otra comunicación de datos se realiza únicamente con el consentimiento de la persona interesada o cuando sea necesaria para ejecutar el contrato, exista una obligación legal o sirva para ejercer acciones legales.
13. Derechos de la persona interesada
La persona interesada puede solicitar acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación (art. 18) y portabilidad de los datos (art. 20), retirar el consentimiento en cualquier momento (art. 7.3) y presentar una reclamación ante una autoridad de control (art. 77).
La autoridad competente es la Comisionada Estatal de Protección de Datos y Libertad de Información de Renania del Norte-Westfalia, Kavalleriestraße 2–4, 40213 Düsseldorf, https://www.ldi.nrw.de. La persona interesada también puede dirigirse a la autoridad de su lugar de residencia o, en España, a la Agencia Española de Protección de Datos.
Basta con enviar un correo electrónico a datenschutz@mallorca.com; el responsable del tratamiento responderá en el plazo de un mes. Se solicita que no se envíe una copia del documento de identidad sin que se haya solicitado.
Los datos ya transmitidos al propietario son tratados por este bajo su propia responsabilidad. Las solicitudes relativas a ese tratamiento deben dirigirse al propietario; a petición de la persona interesada, el responsable del tratamiento las reenviará.
14. Derecho de oposición
Cuando los datos se tratan sobre la base de intereses legítimos (art. 6.1.f) RGPD), la persona interesada puede oponerse con arreglo al art. 21 RGPD si existen motivos relacionados con su situación particular.
La persona interesada puede oponerse a la publicidad directa en cualquier momento y sin indicar motivos. En ese caso, los datos dejarán de tratarse para ese fin.
La oposición puede comunicarse de manera informal a datenschutz@mallorca.com.
15. Otros aspectos
Decisiones automatizadas. No hay decisiones automatizadas. No se realiza una elaboración de perfiles conforme al art. 22 RGPD que produzca efectos jurídicos para la persona interesada. El orden de los resultados de búsqueda se basa en criterios objetivos que se explican en la plataforma.
Seguridad. Se adoptan medidas técnicas y organizativas conforme al art. 32 RGPD. La transmisión está cifrada de extremo a extremo (TLS); el acceso a los datos de reserva se limita a las personas que lo necesitan.
Cambios. Esta declaración se adaptará cuando cambie el tratamiento del responsable o la situación jurídica. Se aplica la versión publicada aquí en cada momento.
Fecha: septiembre de 2026