Política de privacidad

1. Introducción

Coastbook (en adelante "nosotros", "nos" o "Plataforma") se compromete a proteger sus datos personales de acuerdo con el Reglamento General de Protección de Datos (UE) 2016/679 ("RGPD"), la Ley griega 4624/2019 y cualquier otra legislación de protección de datos aplicable.

Esta Política de Privacidad explica en detalle qué datos recopilamos, por qué los recopilamos, cómo los utilizamos, con quién los compartimos, cuánto tiempo los conservamos y cuáles son sus derechos. Se aplica a todos los usuarios de la plataforma, incluidos los propietarios de negocios (bares de playa), clientes que realizan reservas y visitantes del sitio web.

Al utilizar la plataforma Coastbook, usted reconoce que ha leído y entendido esta política. Si no está de acuerdo con la forma en que procesamos sus datos, por favor no utilice nuestros servicios.

2. Responsable de datos

El responsable del tratamiento de sus datos es Coastbook, con sede en Grecia. Para cualquier asunto relacionado con sus datos personales, puede contactarnos:

• Correo electrónico: privacy@coastbook.gr
• Delegado de Protección de Datos (DPD): dpo@coastbook.gr

Nuestro Delegado de Protección de Datos está disponible para responder cualquier pregunta sobre cómo procesamos sus datos personales y para ayudarle a ejercer sus derechos.

3. Datos que recopilamos

Recopilamos varias categorías de datos personales dependiendo de cómo interactúe con nuestra plataforma:

A. Datos del Cliente (Reservas)

• Nombre completo — para la identificación de la reserva
• Dirección de correo electrónico — para enviar confirmaciones, recordatorios y actualizaciones
• Número de teléfono (opcional) — para comunicarnos en caso de cambios
• Fecha y hora de la reserva, camas de playa seleccionadas y zona
• Monto del pago y método de pago (en línea o en el sitio)

B. Datos de Pago

• Los pagos con tarjeta son procesados exclusivamente por Stripe, Inc.
• Coastbook no almacena números de tarjeta, CVV, ni detalles completos de pago
• Solo almacenamos: monto de la transacción, estado del pago, identificador de Stripe

C. Datos de la Cuenta Empresarial

• Nombre del propietario, correo electrónico y contraseña (encriptada)
• Nombre del negocio, descripción, dirección, teléfono, sitio web, redes sociales
• Logo y foto de portada
• Detalles de Stripe Connect para recibir pagos
• Coordenadas geográficas (latitud/longitud) de la ubicación

D. Datos Técnicos

• Dirección IP
• Tipo de navegador y sistema operativo
• Páginas visitadas y tiempo transcurrido
• URL de referencia
• Cookies y tecnologías similares (ver Política de Cookies)

4. Finalidad del tratamiento

Utilizamos sus datos para los siguientes propósitos específicos:

• Procesamiento de reservas: Crear, confirmar, modificar y cancelar reservas de camas de playa
• Procesamiento de pagos: Cobro a través de Stripe, emisión de recibos, gestión de reembolsos
• Comunicación: Envío de correos electrónicos de confirmación de reservas, recordatorios previos a la fecha, informes diarios a los propietarios, notificaciones de cancelación
• Gestión de cuentas: Creación y mantenimiento de cuentas comerciales, autenticación, gestión de suscripciones
• Mejora de la plataforma: Análisis de uso, detección de errores, optimización del rendimiento, pruebas A/B
• Seguridad: Prevención de fraudes, detección de actividades sospechosas, protección contra el uso malicioso
• Cumplimiento legal: Cumplimiento de obligaciones fiscales, respuesta a órdenes judiciales o solicitudes de autoridades

5. Base legal para el tratamiento

Cada actividad de procesamiento de datos se basa en una de las siguientes bases legales del GDPR:

• Ejecución del contrato (Artículo 6(1)(b)): El procesamiento es necesario para cumplir con reservas, pagos y operar cuentas comerciales. Sin estos datos, no podemos proporcionar nuestros servicios.
• Interés legítimo (Artículo 6(1)(f)): Para la mejora de la plataforma, análisis de uso, prevención de fraudes y seguridad. Realizamos una prueba de balance para asegurar que nuestros intereses no prevalezcan sobre sus derechos.
• Consentimiento (Artículo 6(1)(a)): Para cookies de análisis y marketing. Puede retirar su consentimiento en cualquier momento a través de la configuración de cookies o contactándonos.
• Obligación legal (Artículo 6(1)(c)): Para mantener documentos fiscales y registros contables de acuerdo con el Código de Procedimiento Fiscal Griego (Ley 4174/2013) y el Código de Libros y Registros.

6. Destinatarios de los datos

Sus datos pueden ser compartidos con los siguientes destinatarios, exclusivamente para los fines descritos anteriormente:

• Empresas de playa: Los propietarios reciben detalles de la reserva (nombre, correo electrónico, teléfono, detalles de la reserva) para atenderle. Las empresas actúan como controladores de datos independientes para los datos que reciben.
• Stripe, Inc.: Para el procesamiento de pagos. Stripe tiene sede en EE. UU. y está certificado bajo el marco de privacidad de datos UE-EE. UU. Política de privacidad de Stripe.
• Cloudflare, Inc.: Para CDN (Red de entrega de contenido), protección DDoS y almacenamiento de archivos (R2). Política de privacidad de Cloudflare.
• Mapbox, Inc.: Para proporcionar mapas y servicios geoespaciales. Política de privacidad de Mapbox.
• Proveedores de correo electrónico: Para el envío de correos electrónicos transaccionales (confirmaciones, recordatorios, etc.).
• Google Analytics: Para análisis de uso (solo con su consentimiento). Política de privacidad de Google.

No vendemos, alquilamos ni intercambiamos sus datos personales con terceros para sus propios fines comerciales.

7. Conservación de datos

Retenemos sus datos solo durante el tiempo necesario para el propósito para el cual fueron recopilados:

• Datos de reservas de clientes: 3 años después de la fecha de reserva, para gestionar posibles reclamaciones o disputas
• Documentos fiscales y recibos: 5 años de acuerdo con el Código de Procedimiento Fiscal griego (Ley 4174/2013)
• Datos de cuentas empresariales: Hasta la eliminación de la cuenta por parte del usuario, más un período de gracia de 30 días
• Registros técnicos: 90 días
• Datos analíticos (agregados): 26 meses

Una vez que expire el período de retención, los datos se eliminan permanentemente o se anonimiza completamente para que ya no puedan asociarse con usted.

8. Seguridad de los datos

Implementamos medidas técnicas y organizativas adecuadas (Artículo 32 del RGPD) para proteger sus datos contra el acceso no autorizado, la pérdida, la destrucción o la alteración:

Medidas técnicas:

• Cifrado SSL/TLS (TLS 1.2+) en todas las comunicaciones
• Almacenamiento seguro de contraseñas con hash bcrypt
• Protección CSRF en todos los formularios
• Copia de seguridad automatizada de bases de datos
• Firewall de Aplicaciones Web (WAF) a través de Cloudflare
• Cumplimiento de PCI DSS a través de Stripe (no almacenamos datos de tarjetas)

Medidas organizativas:

• Principio de menor privilegio — acceso restringido únicamente al personal autorizado
• Auditorías de seguridad regulares
• Protocolo de respuesta a incidentes de violación de datos

9. Sus derechos

Bajo el RGPD (Artículos 15-22), usted tiene los siguientes derechos respecto a sus datos personales:

• Derecho de acceso (Artículo 15): Conocer si procesamos sus datos, recibir una copia de los mismos y información sobre el procesamiento
• Derecho de rectificación (Artículo 16): Solicitar la corrección de datos inexactos o la completación de datos incompletos
• Derecho de supresión (Artículo 17): Solicitar la eliminación de sus datos bajo ciertas condiciones
• Derecho a la restricción (Artículo 18): Solicitar la restricción del procesamiento mientras se examina una disputa
• Derecho a la portabilidad de los datos (Artículo 20): Recibir sus datos en un formato legible por máquina (JSON/CSV)
• Derecho de oposición (Artículo 21): Oponerse al procesamiento basado en interés legítimo o para marketing directo
• Derecho a retirar el consentimiento: Retirar su consentimiento en cualquier momento, sin afectar la legalidad del procesamiento previo

Responderemos a su solicitud en un plazo de 30 días. En casos complejos, el plazo puede extenderse hasta 60 días, con notificación a usted.

Para obtener información detallada e instrucciones sobre cada derecho, visite la página de Derechos del GDPR.

10. Transferencias internacionales de datos

Algunos de nuestros proveedores de servicios están ubicados fuera del Espacio Económico Europeo (EEE), principalmente en EE. UU. En estos casos, garantizamos que sus datos estén protegidos a través de:

• Marco de Privacidad de Datos UE-EE. UU. (DPF): Stripe y Cloudflare están certificados bajo el DPF
• Cláusulas Contractuales Estándar (SCC): Donde no existe una decisión de adecuación, utilizamos SCC aprobadas por la Comisión Europea

Puede solicitar una copia de las salvaguardias adecuadas contactando a privacy@coastbook.gr.

11. Cookies

Utilizamos cookies y tecnologías similares para el funcionamiento, análisis y mejora de la plataforma. Las cookies se clasifican en necesarias, analíticas y de marketing. Las cookies no esenciales se activan solo con su consentimiento explícito.

Para obtener información detallada sobre las cookies que utilizamos, sus propósitos y cómo gestionarlas, consulte nuestra Política de Cookies.

12. Privacidad de los niños

La plataforma Coastbook no está dirigida a personas menores de 18 años. No recopilamos intencionadamente datos de menores. Las reservas deben ser realizadas por adultos (18+). Si descubrimos que hemos recopilado datos de un menor, los eliminaremos de inmediato. Si cree que un menor nos ha proporcionado datos personales, por favor contacte a privacy@coastbook.gr.

13. Cambios a esta Política

Podemos actualizar esta política de vez en cuando para reflejar cambios en nuestras prácticas, legislación o servicios. En caso de cambios materiales:

• Publicaremos la política actualizada en nuestro sitio web
• Actualizaremos la fecha de "Última actualización" en la parte superior
• Para cambios significativos, le notificaremos por correo electrónico o mediante una notificación en la plataforma

Le recomendamos que revise periódicamente esta página. El uso continuado de la plataforma tras la publicación de cambios constituye la aceptación de la política actualizada.