Acuerdo de encargo del tratamiento de datos personales

Este acuerdo regula cómo trata Apartop, por cuenta de sus clientes, los datos personales de huéspedes, equipos, propietarios y demás personas que los clientes gestionan con Apartop. Cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD), e incluye anexos para los demás países donde se usa Apartop.

Lo acepta el titular de la cuenta en la aplicación (alta de la cuenta, tarjeta de «Hoy» o Ajustes › Privacidad y datos). Apartop guarda la versión aceptada, la fecha y hora, el usuario y la dirección IP, y el titular puede descargarlo en PDF con los datos de su cuenta.

Partes

• Responsable del tratamiento (el «Cliente»): la persona física o jurídica titular de la cuenta de Apartop que acepta este acuerdo (anfitrión, propietario, agencia o gestora, comunidad, complejo o recepción), identificada con el nombre o razón social y el NIF que constan en la aceptación.
• Encargado del tratamiento («Apartop»): GLENLAKE SOFT SL, con NIF B13872437 y domicilio en Calle Haya 9, Portal 1, 5.º A, 41927 Mairena del Aljarafe (Sevilla), España, titular de https://apartop.com. Contacto de protección de datos: hola@apartop.com.

Cuando el Cliente usa Apartop para gestionar alojamientos de terceros (por ejemplo, una agencia que gestiona los de sus propietarios), el Cliente actúa frente a Apartop como responsable o como encargado de esos terceros; en el segundo caso, Apartop es subencargado y el Cliente garantiza que tiene la autorización de su responsable para este encargo.

1. Objeto y relación con las condiciones de uso

1.1. Apartop presta al Cliente un software de gestión de alojamientos turísticos (aplicación web y apps móviles). Para ello trata datos personales de los que el Cliente es responsable. Este acuerdo fija las condiciones de ese tratamiento.

1.2. Este acuerdo forma parte de las condiciones de uso. En materia de protección de datos prevalece sobre ellas. Los anexos por país prevalecen sobre el cuerpo del acuerdo en lo que regulan para su jurisdicción.

1.3. No es objeto de este acuerdo el tratamiento que Apartop hace como responsable: los datos de la cuenta y de los usuarios (nombre, email, inicio de sesión), la facturación de la suscripción, la seguridad del servicio y el soporte. Ese tratamiento se rige por la política de privacidad.

2. Duración

2.1. El acuerdo se aplica desde su aceptación y mientras el Cliente tenga la cuenta, y después durante el tiempo necesario para devolver y suprimir los datos según la cláusula 13.

2.2. Las obligaciones de confidencialidad y de seguridad siguen vigentes mientras Apartop conserve datos del Cliente.

3. Naturaleza y finalidad del tratamiento

3.1. Naturaleza: recogida (por el Cliente, su equipo o los propios interesados a través de los formularios de Apartop, como el check-in online), registro, organización, estructuración, conservación, consulta, adaptación, uso, comunicación por transmisión cuando el Cliente lo ordena, cotejo, limitación, supresión y destrucción.

3.2. Finalidad: prestar al Cliente las funciones de Apartop que él decide usar, entre ellas:

• gestión de apartamentos, calendarios y reservas (también las importadas por iCal o por email de plataformas como Airbnb, Booking o VRBO) y reservas directas;
• check-in online de huéspedes, lectura del documento de identidad, firma y preparación de los registros de viajeros que exige el país del alojamiento (por ejemplo, SES.Hospedajes en España, Alloggiati Web en Italia, fiche individuelle de police en Francia, Meldeschein en Alemania, KBS en Turquía, FNRH en Brasil o TM.30 en Tailandia) y, cuando el Cliente lo ordena y la función existe, su envío a la autoridad;
• mensajes y emails a huéspedes, guía del alojamiento, encuestas, extras y fianzas;
• organización del equipo de limpieza, mantenimiento y oficina, sus avisos y pagos;
• facturas, gastos, tasa turística, estadísticas, liquidaciones y contratos con propietarios, y comunicaciones con vecinos y residentes en comunidades y complejos;
• copias de los archivos en el Google Drive del Cliente, si lo conecta, y las demás integraciones que el Cliente active.

3.3. Apartop no usa los datos para fines propios: no los vende, no los cede, no los usa para publicidad ni para entrenar modelos de inteligencia artificial. Solo puede obtener de ellos información agregada y anónima sobre el funcionamiento del servicio (por ejemplo, número de reservas o de emails enviados) para mantenerlo y mejorarlo.

4. Tipos de datos personales

Según las funciones que use el Cliente y el país de cada alojamiento:

• Identificativos y de contacto: nombre y apellidos, email, teléfono, idioma, país de residencia, domicilio.
• Documento de identidad y datos del registro de viajeros: tipo, número y número de soporte del documento, país de expedición y fechas, nacionalidad, fecha y lugar de nacimiento, sexo, parentesco de los menores con el adulto que los acompaña y los demás datos que pida la norma del país (por ejemplo, datos del pago de la reserva en España, CPF o motivo del viaje en Brasil, o datos de entrada en el país en Tailandia).
• Imágenes: fotos del documento de identidad cuando el huésped las sube, firma manuscrita digitalizada, fotos del alojamiento, de limpiezas, inspecciones, incidencias y obras (en las que pueden aparecer personas de forma incidental).
• Datos de reservas y estancia: fechas, número de huéspedes, importes, canal, mensajes, hora de llegada, extras, fianzas y encuestas.
• Datos del equipo: nombre, contacto, idioma, tareas, horas, pagos y, si lo vinculan, su usuario de Telegram.
• Datos de propietarios, clientes y proveedores: nombre o razón social, NIF, contacto, cuenta bancaria, contratos firmados, liquidaciones y facturas.
• Vecinos y residentes de comunidades y complejos: nombre, unidad, contacto, avisos, paquetes, incidencias, objetos perdidos y votaciones.

Categorías especiales y datos de menores. Apartop no necesita categorías especiales de datos (art. 9 RGPD) y el Cliente no debe introducirlas salvo que una ley se lo exija. Si la norma de un país las prevé (por ejemplo, campos voluntarios de la FNRH en Brasil), el Cliente decide si las recoge y Apartop las trata solo para esa finalidad. Los registros de viajeros incluyen datos de menores, que Apartop trata con las mismas medidas y solo para cumplir esa obligación del Cliente.

5. Categorías de interesados

• Huéspedes y sus acompañantes, incluidos menores, y personas que reservan o consultan.
• Personal y colaboradores del Cliente: limpieza, mantenimiento, recepción, gestores y oficina.
• Propietarios, clientes de agencias, proveedores y contratistas del Cliente.
• Vecinos, residentes y propietarios de comunidades y complejos.
• Otros usuarios que el Cliente invita a su cuenta.

6. Obligaciones de Apartop como encargado

Apartop se obliga a:

1. Tratar los datos solo siguiendo las instrucciones documentadas del Cliente, también en lo relativo a transferencias internacionales. Son instrucciones documentadas este acuerdo y la configuración y el uso que el Cliente hace de la aplicación (por ejemplo, activar el check-in online, conectar un calendario, enviar un parte o borrar un huésped). Si Apartop está obligado por el Derecho de la Unión o de un Estado miembro a otro tratamiento, informará al Cliente antes, salvo que ese Derecho lo prohíba.
2. Avisar al Cliente inmediatamente si considera que una instrucción infringe el RGPD u otra norma de protección de datos.
3. Garantizar la confidencialidad: las personas autorizadas por Apartop para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y solo acceden a los datos cuando es necesario para prestar el servicio, resolver una incidencia o atender una petición del Cliente.
4. Aplicar las medidas de seguridad de la cláusula 8 (art. 32 RGPD).
5. Respetar las condiciones para recurrir a subencargados de la cláusula 9.
6. Ayudar al Cliente a atender los derechos de los interesados (cláusula 10) y a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa (cláusulas 11 y 12), teniendo en cuenta la naturaleza del tratamiento y la información de que dispone.
7. Devolver o suprimir los datos al terminar el servicio (cláusula 13).
8. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este acuerdo y permitir auditorías (cláusula 14).
9. Llevar el registro de las actividades de tratamiento que efectúa por cuenta del Cliente (art. 30.2 RGPD).
10. No comunicar los datos a terceros, salvo a los subencargados autorizados, a los destinatarios que el Cliente indique con sus instrucciones (cláusula 7.3) o cuando lo exija la ley.

7. Obligaciones del Cliente

7.1. El Cliente, como responsable, garantiza que:

• tiene base jurídica para tratar los datos que introduce o recoge con Apartop y para encargar su tratamiento a Apartop;
• informa a los interesados del tratamiento (por ejemplo, con la información del check-in online, que puede adaptar) y atiende sus derechos;
• los datos son exactos y se limitan a lo necesario, y no introduce categorías especiales de datos salvo obligación legal;
• sus instrucciones cumplen la normativa aplicable en el país de cada alojamiento y en el de los interesados;
• realiza las evaluaciones de impacto, inscripciones, registros y notificaciones que le correspondan como responsable (por ejemplo, la evaluación de impacto de Quebec o la notificación de cláusulas tipo en Turquía, ver anexos).

7.2. El Cliente es responsable de las credenciales que guarda en Apartop (por ejemplo, las de SES.Hospedajes o las de sus cerraduras) y de la gestión de los usuarios y permisos de su cuenta.

7.3. Destinatarios elegidos por el Cliente. Cuando el Cliente ordena comunicar datos a terceros que él elige (autoridades a las que envía partes de viajeros, plataformas de reservas, cerraduras inteligentes, su propio Google Drive, los asistentes de IA que conecta a su cuenta, sus propietarios o su equipo), esos terceros no son subencargados de Apartop: son responsables independientes o proveedores del propio Cliente, y el Cliente decide si tiene base para comunicarles los datos.

8. Medidas de seguridad

Teniendo en cuenta el estado de la técnica, los costes y los riesgos, Apartop aplica estas medidas técnicas y organizativas, que puede mejorar sin reducir el nivel de protección:

• Ubicación: la base de datos y los archivos están en Supabase, en la región de la Unión Europea de Irlanda (eu-west-1), con las copias de seguridad del proveedor en la misma región.
• Separación por cuenta y control de acceso: cada fila de datos pertenece a una cuenta y la base de datos aplica seguridad a nivel de fila (Row Level Security de PostgreSQL), de modo que cada consulta se hace con la sesión del usuario y solo ve lo de sus cuentas. Dentro de cada cuenta hay roles (titular, gestor, limpieza, mantenimiento), permisos por módulo y por apartamento.
• Autenticación: inicio de sesión con proveedores de identidad mediante OAuth (Google); Apartop no guarda contraseñas de los usuarios. Las sesiones caducan y los enlaces de huéspedes, equipo y propietarios son personales y difíciles de adivinar.
• Cifrado: todas las comunicaciones van cifradas (HTTPS/TLS). El proveedor de la base de datos cifra los datos en reposo. Las credenciales de terceros que guarda el Cliente (tokens de Google Drive, contraseñas de servicios de registro de viajeros, accesos a cerraduras) se guardan además cifradas con AES-GCM con una clave que no está en la base de datos. De los tokens de los asistentes de IA solo se guarda su huella (hash).
• Documentos de identidad, fotos y firmas: en almacenamiento privado, accesibles solo con enlaces temporales firmados y solo para los gestores con permiso. La lectura de la zona MRZ del documento se hace en el propio dispositivo del huésped. Los datos de identidad se borran solos al vencer el plazo legal del registro de viajeros del país del alojamiento (por ejemplo, 3 años desde la salida en España según el RD 933/2021; en otros países, el plazo que fija su módulo de normativa en Apartop).
• Minimización: el formulario de check-in pide solo los datos que exige la norma del país del alojamiento y a quien la norma se lo exige. Las fotos completas pueden pasar al Google Drive del Cliente; Apartop guarda una miniatura.
• Red e infraestructura: la aplicación se ejecuta en Cloudflare, con protección frente a ataques de denegación de servicio y tráfico abusivo, y sin servidores propios que mantener.
• Trazabilidad: historial de cambios de la cuenta (quién cambió qué y cuándo, sin contraseñas ni credenciales) durante 180 días y registro de las consultas y cambios de los asistentes de IA durante un año.
• Desarrollo y operación: pruebas automáticas, revisión de seguridad de los cambios, protección frente a falsificación de peticiones y SSRF, secretos fuera del código, acceso a producción limitado a quien lo necesita y registro de errores sin datos de huéspedes cuando es posible.
• Continuidad: copias de seguridad del proveedor de la base de datos y posibilidad de que el Cliente descargue todos sus datos en cualquier momento (Ajustes › Privacidad y datos).

9. Subencargados

9.1. Autorización general. El Cliente autoriza a Apartop a recurrir a los subencargados de la lista siguiente. Apartop impone a cada uno, por contrato, obligaciones de protección de datos equivalentes a las de este acuerdo y sigue siendo responsable ante el Cliente de su cumplimiento.

9.2. Cambios. Apartop avisará de cualquier alta o sustitución de un subencargado con al menos 30 días de antelación, por email al titular de la cuenta y en esta página. El Cliente puede oponerse por motivos razonables relacionados con la protección de datos escribiendo a hola@apartop.com dentro de ese plazo. Si no se encuentra una solución, el Cliente puede dar de baja la cuenta antes de que el cambio se aplique y Apartop le devolverá la parte pagada y no disfrutada de su suscripción. En casos urgentes (por ejemplo, la sustitución de un proveedor por motivos de seguridad), el plazo podrá ser menor y se avisará lo antes posible.

9.3. Lista de subencargados (a 12 de octubre de 2026):

9.4. Proveedores que no tratan datos por cuenta del Cliente. Stripe (Stripe Payments Europe, Ltd., Irlanda, y Stripe, LLC, EE. UU.) cobra la suscripción a Apartop y solo trata los datos de facturación del Cliente, como proveedor de Apartop en su condición de responsable; no recibe datos de huéspedes. Google, cuando el Cliente entra con su cuenta de Google o conecta su Google Drive, trata los datos según el contrato del Cliente con Google: Apartop solo accede a los archivos que la propia aplicación crea en ese Drive (permiso drive.file).

10. Derechos de los interesados

10.1. Si un interesado se dirige a Apartop para ejercer sus derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad u otros que reconozca la ley aplicable) sobre datos de los que el Cliente es responsable, Apartop le dará traslado al Cliente en un plazo máximo de 5 días hábiles y no responderá al interesado salvo para indicarle que se dirija al Cliente o con su autorización.

10.2. Apartop facilita herramientas para que el Cliente atienda los derechos por sí mismo: consultar, corregir, exportar y borrar los datos de huéspedes, reservas, equipo y propietarios, y descargar todos los datos de la cuenta. Si el Cliente necesita más ayuda, Apartop la prestará en un plazo razonable.

11. Brechas de seguridad

11.1. Apartop notificará al Cliente, sin dilación indebida y en cualquier caso en un plazo máximo de 48 horas desde que tenga conocimiento, toda violación de la seguridad que afecte a datos de los que el Cliente es responsable, por email al titular de la cuenta y, si es posible, con un aviso en la aplicación.

11.2. La notificación incluirá, en la medida en que se conozca (y, si no, en cuanto se conozca): la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, el contacto donde obtener más información, las consecuencias probables y las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos.

11.3. Corresponde al Cliente, como responsable, notificar a la autoridad de control y a los interesados cuando proceda (en la UE, en 72 horas según el art. 33 RGPD; en otros países, en los plazos de sus anexos). Apartop le ayudará con la información que tenga. Apartop documenta todas las violaciones de seguridad, también las que no se notifican.

12. Evaluaciones de impacto y consultas previas

Apartop ayudará al Cliente, cuando proceda, a realizar evaluaciones de impacto relativas a la protección de datos y consultas previas a la autoridad de control, facilitándole la información sobre el tratamiento, la ubicación de los datos, los subencargados y las medidas de seguridad que figura en este acuerdo y la que razonablemente le pida.

13. Fin del servicio: devolución y supresión

13.1. El Cliente puede descargar todos sus datos en cualquier momento, en formatos de uso común (JSON y CSV), desde Ajustes › Privacidad y datos, también antes de dar de baja la cuenta.

13.2. Cuando el Cliente borra la cuenta tiene 14 días para cancelar el borrado. Pasado ese plazo, Apartop suprime todos los datos de los que el Cliente es responsable, salvo que una ley de la Unión o de un Estado miembro le obligue a conservarlos. Las copias de seguridad del proveedor se sobrescriben en su ciclo ordinario y, mientras tanto, no se usan para otra cosa que recuperar el servicio. Los archivos que estén en el Google Drive del Cliente se quedan en su Drive.

13.3. La conservación de los datos que la ley obliga al Cliente a guardar (por ejemplo, el registro de viajeros o las facturas) es responsabilidad del Cliente: debe descargarlos antes de borrar la cuenta.

14. Información y auditorías

14.1. Apartop pondrá a disposición del Cliente la información necesaria para demostrar que cumple este acuerdo (este documento, la descripción de las medidas de seguridad, la lista de subencargados y las certificaciones o informes de sus proveedores que pueda compartir) y contestará a los cuestionarios razonables del Cliente.

14.2. Si esa información no basta, el Cliente puede realizar, por sí mismo o mediante un auditor independiente obligado a confidencialidad, una auditoría al año con un preaviso de 30 días, en horario laboral, sin afectar a la seguridad ni a los datos de otros clientes y a su cargo. También podrá hacerlo cuando lo exija una autoridad de control o después de una violación de seguridad que le afecte.

15. Transferencias internacionales

15.1. Los datos se alojan en la Unión Europea. Apartop solo transfiere datos fuera del Espacio Económico Europeo a los subencargados de la cláusula 9 y con alguna de las garantías del capítulo V del RGPD: una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para las empresas certificadas) o las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, con las medidas complementarias que sean necesarias.

15.2. Cuando el Cliente está fuera del Espacio Económico Europeo, el envío de datos desde su país a Apartop y su alojamiento en la UE se rigen además por el anexo de su país.

16. Responsabilidad

Cada parte responde de sus obligaciones conforme al artículo 82 del RGPD y a la ley aplicable. En lo demás se aplica la cláusula de responsabilidad de las condiciones de uso, en la medida en que la ley lo permita. Si Apartop determina por sí mismo los fines y medios de un tratamiento, será considerado responsable de ese tratamiento.

17. Cambios del acuerdo

17.1. Apartop puede actualizar este acuerdo para adaptarlo a cambios legales, a nuevas funciones o subencargados (con el aviso de la cláusula 9.2) o a criterios de las autoridades. Cada versión lleva número y fecha. Las versiones nuevas se comunican por email y en la aplicación, y se pide de nuevo su aceptación al titular de la cuenta.

17.2. Hasta que el Cliente acepte la nueva versión sigue aplicándose la anterior, salvo en los cambios que imponga la ley. Si el Cliente no está de acuerdo con la nueva versión puede dar de baja la cuenta.

18. Ley aplicable y jurisdicción

Este acuerdo se rige por la ley española y por el RGPD, sin perjuicio de las normas imperativas de protección de datos del país del Cliente que recogen los anexos. Los conflictos se resolverán según la cláusula de jurisdicción de las condiciones de uso, sin perjuicio de la competencia de las autoridades de control.

Anexo: países fuera de España

Estos anexos se aplican cuando el Cliente, sus alojamientos o los interesados están sujetos a la ley de protección de datos de cada país. Completan el cuerpo del acuerdo y prevalecen sobre él en lo que regulan. Cuando un anexo remite a cláusulas tipo de una autoridad, esas cláusulas se incorporan tal como las publica la autoridad y prevalecen en caso de contradicción.

A. Unión Europea y Espacio Económico Europeo (Francia, Italia, Alemania y demás)

El cuerpo del acuerdo cumple el artículo 28 del RGPD en todos los Estados miembros, y su aceptación electrónica cumple el requisito de forma escrita del artículo 28.9. La autoridad de control competente frente al Cliente es la de su establecimiento (por ejemplo, la CNIL en Francia, el Garante en Italia o la autoridad del Land en Alemania). Para Alemania, este acuerdo es el contrato de encargo (Auftragsverarbeitungsvertrag) del artículo 28 RGPD.

B. Reino Unido

• Si el tratamiento está sujeto al UK GDPR y a la Data Protection Act 2018 (modificados por la Data (Use and Access) Act 2025), las referencias al RGPD se entienden hechas al UK GDPR, y la autoridad de control es la Information Commissioner's Office (ICO).
• El envío de datos del Cliente desde el Reino Unido a Apartop (España) está amparado por la Data Protection Act 2018 (anexo 21), que considera aprobadas las transferencias a los Estados del Espacio Económico Europeo; no hace falta otro instrumento.
• Para las transferencias posteriores a subencargados en países sin adecuación del Reino Unido, se aplica el International Data Transfer Addendum a las cláusulas contractuales tipo de la UE publicado por la ICO o, para las empresas certificadas, la extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. A efectos del Addendum: las partes son las de este acuerdo; las cláusulas son las de la Decisión (UE) 2021/914 en el módulo que corresponda; la información de los anexos es la de este acuerdo, y cualquiera de las partes puede terminarlo según la sección 19 del Addendum.

C. Suiza

Si el tratamiento está sujeto a la Ley Federal de Protección de Datos (LPD/nFADP, en vigor desde el 1 de septiembre de 2023), las referencias al RGPD se entienden hechas a la LPD y la autoridad es el Encargado Federal de Protección de Datos y Transparencia (PFPDT/FDPIC). Suiza reconoce a los Estados del EEE un nivel de protección adecuado. Las transferencias posteriores se hacen con las cláusulas contractuales tipo de la UE con las adaptaciones reconocidas por el PFPDT o, para las empresas certificadas, con el Swiss-U.S. Data Privacy Framework.

D. Canadá y Quebec

• Canadá (PIPEDA y leyes provinciales): el Cliente sigue siendo responsable de la información que confía a Apartop como proveedor de servicios; este acuerdo es el medio contractual para garantizar un nivel de protección comparable. Apartop avisará al Cliente de cualquier violación de seguridad en los plazos de la cláusula 11 para que pueda valorar si existe un riesgo real de perjuicio significativo, notificarlo y llevar el registro de brechas que exige la ley.
• Quebec (Ley sobre la protección de la información personal en el sector privado, modificada por la Ley 25): este acuerdo es el contrato escrito con el prestador de servicios. Apartop usará la información solo para ejecutar el mandato, aplicará las medidas de seguridad de la cláusula 8, no la conservará cuando termine el contrato (cláusula 13), avisará sin demora al responsable de la protección de la información personal del Cliente de cualquier incidente de confidencialidad o intento, y permitirá las verificaciones de la cláusula 14.
• Comunicación fuera de Quebec y evaluación de impacto (EFVP): Apartop guarda los datos fuera de Quebec, en la Unión Europea (Irlanda). Antes de comunicar información personal fuera de Quebec, el Cliente debe hacer una evaluación de los factores relativos a la vida privada que tenga en cuenta la sensibilidad de la información, la finalidad, las medidas de protección (también las contractuales) y el régimen jurídico del lugar de destino. Para ayudarle, Apartop le facilita esta información: ubicación de los datos y subencargados (cláusula 9), medidas de seguridad (cláusula 8), finalidades (cláusula 3) y régimen jurídico aplicable en el destino (el RGPD, con autoridades de control independientes y derechos de acceso, rectificación, supresión y recurso efectivos). Apartop contestará las preguntas adicionales que el Cliente necesite para su evaluación.

E. Brasil

• Conforme a la Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD), el Cliente es el controlador y Apartop el operador, que trata los datos según las instrucciones del controlador (art. 39) y con las medidas de seguridad del art. 46. En la FNRH, en la que el Ministério do Turismo actúa como controlador y el alojamiento como operador, Apartop actúa por cuenta del Cliente.
• Transferencia internacional: los datos se alojan fuera de Brasil (Unión Europea). La transferencia se ampara en las cláusulas contractuales estándar aprobadas por la ANPD (Resolución CD/ANPD n.º 19/2024), que se incorporan a este acuerdo sin cambios, con el Cliente como exportador y Apartop como importador, y prevalecen sobre él para las transferencias desde Brasil.
• Incidentes: Apartop avisará al Cliente según la cláusula 11 para que pueda comunicar a la ANPD y a los titulares, en el plazo de 3 días hábiles de la Resolución CD/ANPD n.º 15/2024, los incidentes que puedan acarrear riesgo o daño relevante.
• Los datos sensibles que pueda pedir la FNRH (por ejemplo, raza o color, o discapacidad) son voluntarios para el huésped; el Cliente decide si los recoge y Apartop no los usa para nada más.

F. México

• Conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-03-2025), el Cliente es el responsable y Apartop el encargado. Este acuerdo es el instrumento jurídico que acredita la relación.
• Apartop trata los datos solo conforme a las instrucciones del Cliente, no los usa para finalidades distintas, aplica las medidas de seguridad de la cláusula 8, guarda confidencialidad, suprime los datos al terminar la relación salvo obligación legal y solo los comunica a los subencargados de la cláusula 9, con las mismas obligaciones.
• Las comunicaciones entre el Cliente y Apartop como encargado no requieren el consentimiento de los titulares ni su inclusión en el aviso de privacidad como transferencias. El Cliente es quien debe tener su aviso de privacidad y atender los derechos ARCO; Apartop le ayudará según la cláusula 10.
• Apartop avisará al Cliente de las vulneraciones de seguridad según la cláusula 11 para que pueda informar a los titulares de forma inmediata cuando afecten de forma significativa a sus derechos.

G. Turquía

• Conforme a la Ley n.º 6698 de Protección de Datos Personales (KVKK), el Cliente es el responsable (veri sorumlusu) y Apartop el encargado (veri işleyen). Apartop aplica las medidas de seguridad de la cláusula 8 y reconoce la responsabilidad solidaria que el art. 12 prevé para la seguridad de los datos.
• Transferencia al extranjero: los datos se alojan fuera de Turquía (Unión Europea). La transferencia se ampara en el contrato tipo de transferencia de responsable a encargado aprobado por la Autoridad de Protección de Datos Personales (KVKK), que se usa sin cambios y en su texto en turco, y que Apartop firmará a petición del Cliente. El Cliente, como exportador, debe notificarlo a la Autoridad en el plazo de 5 días hábiles desde su firma (art. 9 KVKK).
• El Cliente es quien debe inscribirse en VERBİS cuando le corresponda e informar a los interesados. Apartop avisará al Cliente de las violaciones de seguridad según la cláusula 11 para que pueda notificarlas a la Autoridad y a los interesados en el plazo que esta fija.

H. Tailandia

• Conforme a la Personal Data Protection Act B.E. 2562 (2019) (PDPA), el Cliente es el responsable (data controller) y Apartop el encargado (data processor). Apartop trata los datos solo según las instrucciones del Cliente, aplica las medidas de seguridad de la cláusula 8, le avisa de las violaciones de seguridad según la cláusula 11 y lleva el registro de las actividades de tratamiento (sección 40).
• Transferencia al extranjero: los datos se alojan fuera de Tailandia (Unión Europea). La transferencia se hace con las garantías adecuadas de la sección 29 y de la notificación del Personal Data Protection Committee (PDPC) sobre transferencias internacionales (en vigor desde el 24 de marzo de 2024), que admite cláusulas contractuales tipo con el contenido que exige el PDPC; a estos efectos, las partes aplican las cláusulas de este acuerdo y, en lo que haga falta, las cláusulas contractuales tipo de la Decisión (UE) 2021/914.
• El Cliente debe notificar las violaciones de seguridad a la PDPC en el plazo de 72 horas desde que tenga conocimiento cuando proceda; por eso Apartop le avisa en un máximo de 48 horas.

I. Estados Unidos

• Cuando al Cliente le aplique la California Consumer Privacy Act, modificada por la California Privacy Rights Act (CCPA, Cal. Civ. Code § 1798.100 y ss.) o leyes de privacidad equivalentes de otros estados, Apartop actúa como su «service provider» o «processor», y trata la información personal solo para los fines empresariales limitados y especificados de este acuerdo: prestar el servicio de Apartop descrito en la cláusula 3.
• Apartop no vende ni comparte (sell / share) la información personal; no la conserva, usa ni divulga para ningún otro fin, incluido ningún fin comercial distinto de los fines empresariales especificados, ni fuera de la relación comercial directa con el Cliente; y no la combina con información personal que reciba de otras personas o que recoja por su cuenta, salvo en los casos que permite la normativa.
• Apartop cumple las obligaciones que la CCPA impone a los service providers y da a la información personal el mismo nivel de protección de privacidad que exige la CCPA. Apartop notificará al Cliente si determina que ya no puede cumplir esas obligaciones.
• El Cliente puede tomar medidas razonables y apropiadas para asegurarse de que Apartop usa la información personal de forma coherente con sus obligaciones (cláusula 14) y, previo aviso, para detener y remediar cualquier uso no autorizado.
• Apartop ayudará al Cliente a atender las solicitudes de los consumidores (cláusula 10) y solo recurre a subcontratistas con un contrato escrito que les impone las mismas restricciones (cláusula 9). Apartop certifica que entiende estas restricciones y que las cumplirá.

Historial de versiones

• Versión 1.0 (12 de octubre de 2026): primera versión.

Privacidad · Términos · Encargo del tratamiento · hola@apartop.com