RORAIMA

Mercado IoT

ACUERDO DE SERVICIO PARA GESTORES DELEGADOS

(Acuerdo de Gestor)

Versión 1.9 – 11 de octubre de 2026

Este Acuerdo complementa los Términos y condiciones generales de uso y rige la relación entre Operador y Gestor en relación con los servicios de reserva o alquiler para las propiedades propias de Gestor y, dentro de un Instrumento de Delegación de Gestión registrado, para propiedades de un Propietario, y en relación con los Servicios de Uso de Equipos y Espacios en las propiedades propias de Gestor.

Operador: Roraima — Startup di Dario Salaris, Via Firenze 16, 07039 Valledoria (SS), Italia

Artículo 1 – Ámbito de Aplicación y Relación con las Condiciones Generales

1.1. Este Acuerdo de Servicio para Gestores rige los términos específicos bajo los cuales el Gestor puede usar las funciones de la Plataforma como Propietario para las propiedades propias del Gestor y como Gestor delegado para propiedades de otros Propietarios, únicamente dentro de un Instrumento de Delegación de Gestión registrado.

1.2. El presente Contrato complementa y forma parte integrante de los Términos y Condiciones Generales de Uso (las “Condiciones Generales”). Todos los términos definidos utilizados en el presente documento y no definidos de otro modo tendrán el significado que se les atribuye en las Condiciones Generales. En caso de conflicto entre el presente Contrato y las Condiciones Generales, prevalecerá el presente Contrato en la medida de la incompatibilidad.

1.3. Al seleccionar el Plan Gestor y completar la incorporación de proveedores, el Gestor acepta este Acuerdo, el Acuerdo de Tratamiento de Datos y todos los Instrumento de Delegación de Gestión se aceptan para un Propietario.

Artículo 2 – Elegibilidad e Incorporación

2.1. Para registrarse como Gestor, el solicitante debe ser un profesional, estar establecido en un país elegible de Stripe y proporcionar información precisa y completa durante la incorporación.

2.2. Información requerida. El Gestor deberá proporcionar, como mínimo: nombre legal (o razón social), número de identificación fiscal (cuando corresponda), dirección del domicilio principal, correo electrónico de contacto, número de teléfono y cualquier otra información requerida por la Plataforma o por Stripe a efectos de KYC (conocimiento del cliente).

2.3. El Gestor debe crear y mantener una cuenta activa de Stripe Connect para las propiedades propias del Gestor cuando sea necesario. Esa cuenta no otorga autoridad sobre los ingresos, la cuenta o los pagos de un Propietario.

2.4. El Gestor reconoce que el Operador y/o Stripe pueden llevar a cabo verificaciones de identidad, comprobaciones crediticias y controles de cumplimiento como parte del proceso de incorporación y de forma continuada. El Gestor se compromete a cooperar plenamente con dichas verificaciones.

Artículo 3 – Planes de Suscripción y Tarifas

3.1. El Plan de suscripción disponible para el Gestor es el siguiente:

Créditos mensuales. Los Créditos mensuales indicados en la tabla se asignan como Créditos de Cortesía, regidos por el Artículo 7.8 de las Condiciones Generales.

3.2. Cuando el Plan prevea una cuota, esta se carga en el saldo contable del Gestor, que puede consultarse en la sección «Contabilidad» del panel (el «Saldo»), por su importe íntegro en el momento de la activación del Plan y, posteriormente, al inicio de cada período de facturación. El importe cargado es exigible desde el momento del cargo y se paga desde el panel, con tarjeta de pago, en la página de pago del Operador. El Operador no retiene la cuota de los cobros del Gestor, que se abonan directamente en la cuenta de Stripe de este último. Cuando el Saldo resulte negativo, el Operador lo comunicará al Gestor por correo electrónico y en el panel, indicando el importe adeudado y el plazo de pago, que será de siete (7) días naturales desde el envío de la comunicación. Transcurrido dicho plazo sin que se haya efectuado el pago, el Operador desactivará todos los anuncios de Producto del Gestor. Si el importe impagado incluye cuotas del Plan, el Operador asignará además al Gestor el Plan gratuito correspondiente a su tipología, y las cuotas impagadas relativas al Plan abandonado se considerarán extinguidas. La Cuenta no se suspende ni se desactiva: el Gestor podrá reactivar sus anuncios dentro de los límites del Plan al que esté asignado y elegir nuevamente un Plan de pago, en las condiciones vigentes en ese momento. Si el Saldo sigue siendo negativo por importes distintos de la cuota, los anuncios permanecerán desactivados hasta el pago de dichos importes.

3.3. El Gestor puede cambiar a otro Plan en cualquier momento, y el cambio surte efecto de inmediato. El cambio a un Plan de pago conlleva el cargo inmediato en el Saldo de la cuota íntegra del nuevo Plan; desde la fecha del cambio comienza a computarse el nuevo período de facturación.

3.4. El Operador se reserva el derecho de modificar las cuotas de suscripción con un preaviso escrito de al menos treinta (30) días naturales, de conformidad con el Artículo 17 de las Condiciones Generales.

Artículo 4 – Cobros y Payouts

4.1. El Operador no cobra ni retiene Comisión alguna sobre las transacciones del Gestor, de conformidad con el Artículo 8.4 de las Condiciones Generales. El precio pagado por el Comprador corresponde íntegramente al Gestor, deducidas únicamente las comisiones aplicadas por Stripe al pago.

4.2. Para las propiedades propias del Gestor, el pago del Comprador se cobra directamente en la cuenta de Stripe Connect del Gestor, sin retención alguna por parte del Operador. Los Payouts a la cuenta bancaria del Gestor los realiza Stripe.

4.3. Los plazos de Payout están sujetos a los calendarios de procesamiento estándar de Stripe. El Operador no garantiza fechas concretas de Payout y no será responsable de ningún retraso causado por Stripe, el sistema bancario o bloqueos regulatorios. Stripe puede imponer períodos de retención adicionales para cuentas nuevas o transacciones señaladas.

4.4. El Gestor es el único responsable de la exactitud de los datos de su cuenta de Stripe Connect. El Operador no será responsable de los Payouts enviados a datos de cuenta incorrectos o desactualizados.

4.5. Medidas cautelares. Cuando: (a) exista una disputa, chargeback o reclamación de reembolso pendiente; (b) el Operador sospeche razonablemente de una actividad fraudulenta; (c) el Gestor incurra en incumplimiento sustancial del presente Contrato; o (d) así lo exija la normativa aplicable o una resolución de la autoridad competente, el Operador podrá, incluso con efecto inmediato y sin preaviso, suspender la publicación de los Productos del Gestor y la aceptación de nuevos pedidos, limitar el acceso a la Cuenta con arreglo al Artículo 15.2 de las Condiciones Generales y ejercer la facultad prevista en el Artículo 8.10 de las Condiciones Generales, sin perjuicio de lo dispuesto en el Artículo 15.4 de las Condiciones Generales. En todo caso, los Payouts los realiza Stripe conforme a los términos que rigen la cuenta de Stripe Connect del Gestor.

4.6. Moneda. Las transacciones se procesan en la moneda local del Storefront aplicable. Los Payouts se realizan en la moneda de la cuenta de Stripe Connect del Gestor. La conversión de divisas, cuando proceda, es gestionada por Stripe al tipo de cambio vigente y está sujeta a las comisiones de cambio de Stripe.

4.7. Costes derivados de disputas (chargebacks). Los importes objeto de chargeback, disputa o reversión relativos a transacciones del Gestor, junto con las comisiones y penalizaciones aplicadas por Stripe, son cargados por Stripe en la cuenta de Stripe Connect del Gestor conforme a los términos que la rigen y corren exclusivamente a cargo del Gestor, salvo que la disputa derive de un hecho directamente imputable al Operador. El Gestor cooperará de buena fe en la gestión de las disputas, facilitando sin demora la documentación solicitada por Stripe o por el Operador.

4.8. Se aplicará el límite prudencial de exposición previsto en el Artículo 8.9 de las Condiciones Generales.

4.9. El Operador pone a disposición del Gestor la herramienta para solicitar al Comprador el pago de cantidades adicionales en relación con la estancia, cobradas directamente en la cuenta de Stripe vinculada al alojamiento. El Gestor responde en exclusiva de la solicitud, de su importe y de su procedencia; el Operador no verifica su contenido.

Artículo 6 – Delegaciones a Proveedores Autorizados

6.1. El Gestor puede delegar el acceso operativo a sus dispositivos registrados a uno o varios Proveedores Autorizados generando un código de emparejamiento (formato: INS-XXXXXX) a través de la Plataforma.

6.2. Alcance de la delegación. Un Proveedor Autorizado que actúe en virtud de una Delegación podrá: gestionar dispositivos, crear Escenarios, probar automatizaciones y realizar tareas operativas en nombre del Gestor. El Proveedor Autorizado no podrá: eliminar dispositivos, modificar los tipos de dispositivo del sistema, crear sus propios Productos IoT ni subdelegar.

6.3. El Gestor puede revocar cualquier Delegación en cualquier momento, con efecto inmediato. Tras la revocación, el acceso del Proveedor Autorizado a los dispositivos delegados cesará de inmediato. Las Delegaciones también se revocan automáticamente si el perfil del Proveedor Autorizado pasa a estar inactivo.

6.4. Todas las acciones realizadas por un Proveedor Autorizado en virtud de una Delegación quedan registradas en el registro de auditoría de la Plataforma con total trazabilidad. El Gestor reconoce que la Plataforma registra la identidad, la marca de tiempo y la naturaleza de cada acción realizada en el marco de la Delegación.

6.5. Responsabilidad. El Gestor es responsable de seleccionar Proveedores Autorizados cualificados y de supervisar sus actividades. El Operador no será responsable de ninguna pérdida, daño o mal funcionamiento causado por un Proveedor Autorizado que actúe en virtud de una Delegación. El Gestor mantendrá indemne al Operador frente a cualquier reclamación derivada de los actos u omisiones de los Proveedores Autorizados que actúen en virtud de una Delegación.

Artículo 7 – Obligaciones Fiscales, Regulatorias y de Cumplimiento

7.1. Responsabilidad fiscal. El Gestor es el único responsable de determinar y cumplir todas las obligaciones fiscales derivadas de su actividad en la Plataforma, incluidos, entre otros: el impuesto sobre la renta, el IVA/GST y cualquier otro impuesto local, nacional o internacional aplicable. El Operador no presta asesoramiento fiscal.

7.2. Cuando así lo exija la normativa aplicable (incluida, entre otras, la Directiva del Consejo (UE) 2021/514 – DAC7), el Operador podrá estar obligado a recopilar y comunicar a las autoridades fiscales información relativa al Gestor y a sus transacciones. El Gestor presta su consentimiento a dicha comunicación y se compromete a proporcionar toda la información necesaria para el cumplimiento del Operador.

7.3. El Gestor deberá cumplir todas las leyes y reglamentos aplicables, incluidos, entre otros: las leyes de protección de los consumidores, la normativa de seguridad de los productos, las leyes de protección de datos, los requisitos en materia de prevención del blanqueo de capitales y cualquier normativa sectorial aplicable a los dispositivos IoT y a la domótica en la jurisdicción del Gestor.

7.4. El Gestor deberá mantener una cobertura de seguro adecuada para sus actividades en la Plataforma, incluidos, cuando corresponda, el seguro de responsabilidad civil profesional y el seguro de responsabilidad civil de producto.

Artículo 7-bis – Servicios de Cumplimiento para Establecimientos de Alojamiento

7-bis.1. Herramientas proporcionadas. Para los establecimientos situados en Italia, la Plataforma pone a disposición del Gestor herramientas para las obligaciones relacionadas con la hospitalidad: la recopilación de los datos personales de los huéspedes y de los datos exigidos por la ley; la elaboración y transmisión electrónica de los partes de alojados (“schedine alloggiati”) a la Policía del Estado italiana; la generación de los archivos para las encuestas estadísticas regionales sobre turismo; el cálculo de la tasa turística y, cuando esté habilitado, su cobro directamente en la cuenta de Stripe del Gestor.

7-bis.2. Titularidad de las obligaciones. Las obligaciones de comunicación, encuesta y pago siguen correspondiendo exclusivamente al Gestor, como gestor del establecimiento (incluidas las obligaciones establecidas en el artículo 109 del T.U.L.P.S. italiano y en el Decreto Ministeriale del 7 gennaio 2013 (decreto ministerial italiano) relativo a las comunicaciones de alojados, la normativa estadística y los reglamentos municipales sobre la tasa turística). La Plataforma es una herramienta de apoyo: no sustituye al Gestor ni presta asesoramiento legal o fiscal.

7-bis.3. El vendedor declara, el sistema prepara. Los servicios de cumplimiento funcionan conforme a este principio: (a) la activación de los servicios para un establecimiento se realiza desde el panel del vendedor y equivale a una instrucción del Gestor; (b) la transmisión de los partes de alojados solo se inicia si el Gestor ha registrado la llegada y si los datos del grupo de huéspedes están completos y la identidad de los huéspedes ha sido verificada o confirmada en persona por el Gestor; en caso contrario, la Plataforma avisa pero no transmite; (c) para las encuestas estadísticas, la Plataforma solo genera el archivo: la carga en el portal regional la realiza personalmente el Gestor con sus propias credenciales.

7-bis.4. Credenciales y límites de responsabilidad. Las credenciales de los portales de las autoridades (por ejemplo, Alloggiati Web) son proporcionadas por el Gestor, que garantiza su validez y actualización. El Operador es responsable del funcionamiento técnico de las herramientas en los términos del Acuerdo de Encargo del Tratamiento de Datos Personales que figura en el Anexo; no es responsable de las omisiones o retrasos imputables a datos ausentes o incorrectos, llegadas no registradas, credenciales no válidas o la falta de disponibilidad de los portales de las autoridades.

7-bis.5. Protección de datos. El tratamiento de los datos personales de los huéspedes en el marco de los servicios de cumplimiento se rige por el Acuerdo de Encargo del Tratamiento de Datos Personales (artículo 28 del Reglamento General de Protección de Datos, «RGPD») que figura en el Anexo al presente Contrato, del que forma parte integrante.

Artículo 8 – Contenidos, Micro-store y Marca

8.1. El Gestor puede personalizar su Micro-store dentro de los límites definidos por las directrices de diseño de la Plataforma. El Gestor es el único responsable del contenido de su Micro-store, incluidas las descripciones de los productos, las imágenes, los precios y cualquier contenido informativo.

8.2. El Gestor concede al Operador una licencia no exclusiva, mundial, gratuita y sublicenciable para utilizar, mostrar, reproducir y distribuir los anuncios de Producto y el contenido del Micro-store del Gestor con el fin de operar y promocionar la Plataforma.

8.3. Salvo lo dispuesto en el Artículo 8-bis.4, el Gestor no utilizará la Plataforma para promocionar mercados competidores, desviar tráfico fuera de la Plataforma ni llevar a cabo ninguna actividad que menoscabe los intereses comerciales de la Plataforma.

Artículo 8-bis – Portal stay.roraima.io

8-bis.1. Objeto. El Operador gestiona el portal de búsqueda accesible en la dirección stay.roraima.io (el «Portal»), que permite a cualquier usuario buscar las ofertas publicadas en la Plataforma por lugar, fechas, número de huéspedes y otros criterios, y que remite, para la reserva y el pago, al Micro-store en el que está publicada la oferta mediante un enlace que incluye los parámetros de la búsqueda. El Portal no permite celebrar contratos ni efectuar pagos; el contrato se celebra en el Micro-store, entre el Comprador y el Vendedor que ofrece el servicio, de conformidad con las Condiciones Generales.

8-bis.2. Presencia de las ofertas. Las ofertas del Gestor relativas a los inmuebles de su propiedad, activas en la Plataforma como servicios de reserva o alquiler por noches o como servicios reservables por franjas horarias, incluidas las experiencias y el uso de espacios y servicios, se muestran en el Portal; no se muestran los Servicios de Uso de Equipos y Espacios a que se refiere el Artículo 5.2. Las ofertas se muestran como una forma de promoción comprendida en la licencia a que se refiere el Artículo 8.2. El Gestor no dispone de la facultad de excluir del Portal ofertas activas concretas; una oferta desactivada, suspendida o retirada de la Plataforma deja de mostrarse en el Portal. Para cada oferta, el Portal muestra los contenidos publicados, entre ellos el título, las imágenes, la descripción, el precio, el tipo de alojamiento, la localidad y una ubicación aproximada en el mapa, situada dentro de un área de aproximadamente un kilómetro e indicada como tal; la dirección del alojamiento solo se comunica al Comprador que ha reservado. La presencia en el Portal no supone ninguna contraprestación a cargo del Gestor.

8-bis.3. Orden de los resultados. De conformidad con el artículo 5 del Reglamento (UE) 2019/1150, las ofertas se presentan en el Portal según los siguientes parámetros principales, indicados por orden de importancia relativa: (a) la distancia en línea recta entre la ubicación aproximada del alojamiento a que se refiere el Artículo 8-bis.2 y el lugar indicado en la búsqueda, en orden creciente, redondeada al kilómetro, como parámetro prevalente por corresponder al primer criterio expresado por el usuario; (b) a igualdad de distancia, el precio, en orden creciente: el precio total para las fechas y el número de huéspedes indicados o, a falta de fechas, el precio de partida indicado en la oferta; (c) a igualdad de los parámetros anteriores, la antigüedad de publicación de la oferta, con prioridad para la oferta publicada desde hace más tiempo, con el único fin de garantizar un orden estable. Cuando la búsqueda no indique un lugar, se aplican los parámetros de las letras (b) y (c). Los filtros seleccionados por el usuario excluyen las ofertas que no corresponden, sin modificar el orden de las ofertas restantes. El Plan suscrito, los Créditos Roraima y cualquier otra contraprestación directa o indirecta abonada al Operador no influyen en el orden de los resultados. El orden no se personaliza en función del perfil del usuario. La descripción de los parámetros se publica asimismo en la página «Cómo ordenamos los resultados» del Portal; sus modificaciones se comunican al Gestor de conformidad con el Artículo 17 de las Condiciones Generales.

8-bis.4. Enlace al alojamiento en Booking.com. Respecto de los inmuebles de su propiedad, el Gestor puede indicar en el panel, a su discreción, el enlace a la página del mismo alojamiento en el sitio web Booking.com. Al indicar el enlace, el Gestor autoriza al Operador a mostrarlo en el Portal junto a su oferta. El Gestor garantiza que el enlace se refiere al alojamiento objeto de la oferta y a un anuncio gestionado o autorizado por él. La indicación del enlace con arreglo al presente Artículo no constituye incumplimiento del Artículo 8.3. El Operador puede no mostrar o retirar el enlace que no cumpla dichos requisitos.

8-bis.5. Contenidos de terceros en el Portal. El Gestor reconoce que el Portal puede mostrar, separadamente de las ofertas publicadas en la Plataforma y con indicación de su naturaleza: (a) enlaces de búsqueda a sitios web de reservas de terceros; (b) establecimientos de alojamiento no registrados en la Plataforma, procedentes de listados públicos. Dichos contenidos pueden referirse también a alojamientos ofrecidos por el Gestor en otros canales en condiciones diferentes. Dichos contenidos no influyen en el orden a que se refiere el Artículo 8-bis.3. El Operador no impone al Gestor aplicar en el Micro-store precios o condiciones que no superen los aplicados en otros canales de venta.

8-bis.6. Datos generados por el Portal. El Operador recopila datos agregados sobre el uso del Portal, entre ellos el número de búsquedas por localidad, categoría y día y el número de búsquedas sin ofertas publicadas en la Plataforma; estos datos no contienen datos personales y pueden utilizarse para mejorar y promocionar la Plataforma. Los datos personales de los usuarios del Portal son tratados por el Operador en calidad de responsable del tratamiento de conformidad con la información sobre privacidad publicada en el Portal; el Vendedor que ofrece el servicio recibe únicamente los datos que el usuario le comunica al reservar en el Micro-store o al contactarlo.

8-bis.7. Inmuebles objeto de delegación. Las ofertas relativas a los inmuebles objeto de un Instrumento de Delegación de Gestión son ofertas del Propietario: su presencia en el Portal y el enlace a que se refiere el Artículo 8-bis.4 se rigen por el Artículo 8-bis del Acuerdo de Servicio para Propietarios de Dispositivos. De conformidad con el Artículo 8.1 PM, el Gestor no indica ni modifica dicho enlace por cuenta del Propietario.

Artículo 9 – Información Adicional en el Checkout

9.1. El Gestor puede configurar campos personalizados para solicitar información adicional al Comprador en el checkout (por ejemplo, dirección de entrega para la instalación IoT, preferencias específicas de dispositivo). Dicha información se transmite al Gestor al confirmarse el pedido.

9.2. Protección de datos. La Plataforma no archiva la información adicional del checkout más allá de la duración de la transacción. El Gestor, como responsable independiente del tratamiento, es el único responsable de la recopilación, el tratamiento y la conservación lícitos de dichos datos de conformidad con el RGPD y la legislación nacional aplicable.

9.3. El Gestor no utilizará los campos del checkout para recopilar datos personales sensibles (según se definen en el artículo 9 del RGPD), incluidos, entre otros, datos de salud, datos biométricos, opiniones políticas o creencias religiosas, salvo que resulte absolutamente necesario para la prestación del servicio y de conformidad con el RGPD.

Artículo 10 – Controles IoT Incluidos en las Reservas y en los Servicios de Uso de Equipos y Espacios, y Gateways

10.1. Los permisos de control IoT solo podrán emitirse al Comprador o al huésped autorizado para una reserva o alquiler válido y únicamente durante la ventana de acceso configurada, o al Comprador de un Servicio de Uso de Equipos y Espacios, únicamente para las funciones configuradas por el Gestor y durante el período de uso o el programa iniciado en el lugar con arreglo al Artículo 5.2. Constituyen un componente técnico de dicho servicio y no un token o producto digital vendido por separado.

10.2. El Gestor puede configurar canales web, de API, de webhook o de gateway local únicamente como medios técnicos para prestar las funciones IoT incluidas en la reserva o el alquiler. El Gestor sigue siendo responsable de su seguridad, configuración, disponibilidad y mantenimiento. En los Servicios de Uso de Equipos y Espacios, las funciones IoT se prestan únicamente a través del gateway del Operador y de la página del Comprador en la Plataforma.

10.3. Los canales personalizados generan riesgos de seguridad adicionales. El Gestor debe aplicar controles de acceso adecuados y no podrá exponer credenciales o funciones más allá del alcance y la duración de la reserva, el alquiler o el Servicio de Uso de Equipos y Espacios correspondiente.

Artículo 11 – Suspensión, Resolución y Consecuencias

11.1. Las disposiciones del Artículo 15 de las Condiciones Generales se aplican al presente Contrato. Además, el Operador podrá suspender o resolver el acceso del Gestor específicamente si: (a) la tasa de chargebacks del Gestor supera los umbrales establecidos por Stripe o por el Operador; (b) el Gestor incumple reiteradamente el mantenimiento de la disponibilidad de los dispositivos (más de tres reclamaciones fundamentadas en cualquier período de treinta días); o (c) el Gestor publica Productos que infringen la normativa de seguridad o suponen un riesgo para personas o bienes.

11.2. Efectos sobre las reservas confirmadas. Tras la resolución, el Gestor deberá honrar las reservas confirmadas y los Servicios de Uso de Equipos y Espacios ya pagados, o proporcionar los remedios y reembolsos exigidos por la normativa aplicable y por la oferta correspondiente. Las credenciales IoT ya emitidas siguen siendo válidas únicamente para la ventana de reserva correspondiente o, en los Servicios de Uso de Equipos y Espacios, hasta el final del plazo dentro del cual, conforme a la oferta, deben utilizarse las Fichas o el tiempo de uso. El Operador podrá ordenar los reembolsos debidos por cuenta del Gestor con arreglo al Artículo 8.10 de las Condiciones Generales, incluso con posterioridad a la resolución.

11.3. Liquidación final. Tras la resolución: (a) los Payouts continúan siendo realizados por Stripe conforme a los términos que rigen la cuenta de Stripe Connect del Gestor; (b) el Operador proporcionará al Gestor un estado de liquidación final; (c) el Gestor mantendrá su cuenta de Stripe Connect vinculada a la Plataforma hasta que todos los pedidos pagados hayan sido ejecutados, reembolsados o resueltos de otro modo, a fin de permitir la gestión de los reembolsos, las disputas y los chargebacks.

11.4. El Gestor puede resolver el presente Contrato en cualquier momento cancelando su suscripción de vendedor a través de la Plataforma. La resolución surtirá efecto al final del período de facturación en curso. No se adeudará ningún reembolso por la parte restante del período de facturación en curso.

Artículo 12 – Declaraciones y Garantías

12.1. El Gestor declara y garantiza que:

(a) tiene la capacidad legal y la autoridad para celebrar y cumplir el presente Contrato;

(b) toda la información proporcionada al Operador es exacta, actual y completa;

(c) posee o controla legítimamente todos los dispositivos IoT registrados en la Plataforma;

(d) todos los Productos publicados cumplen la normativa aplicable, la normativa de seguridad y las presentes Condiciones;

(e) el uso de la Plataforma por parte del Gestor no vulnera los derechos de ningún tercero;

(f) el Gestor cumplirá todas las leyes fiscales, de protección de los consumidores y de protección de datos aplicables;

(g) el Gestor posee todas las licencias, permisos y certificaciones necesarios para sus actividades;

(h) el acceso del Operador a los datos generados por los dispositivos conectados se produce por instrucción del Gestor, con la única finalidad del servicio, y el Gestor está legitimado para ponerlos a disposición del Operador con arreglo a las condiciones del fabricante y a la normativa aplicable.

12.2. El Gestor reconoce que cualquier incumplimiento de las declaraciones y garantías establecidas en el presente Artículo constituye un incumplimiento sustancial del presente Contrato y puede dar lugar a la suspensión o resolución inmediata, sin perjuicio del derecho del Operador a reclamar daños y perjuicios.

Artículo 13 – Indemnización Específica

13.1. Sin perjuicio de lo dispuesto en el Artículo 14 de las Condiciones Generales, el Gestor se compromete específicamente a indemnizar, defender y mantener indemne al Operador frente a cualquier reclamación derivada de: (a) el mal funcionamiento de dispositivos, incluidos los daños a personas o bienes; (b) la vigilancia no autorizada, la recopilación de datos o las violaciones de la privacidad a través de dispositivos IoT; (c) las infracciones de la normativa de seguridad de productos; (d) el incumplimiento de los derechos de los consumidores; (e) los anuncios de Producto incorrectos o engañosos; (f) el incumplimiento de obligaciones fiscales; y (g) los actos u omisiones de los Proveedores Autorizados que actúen en virtud de una Delegación.

Artículo 14 – Ley Aplicable y Disposiciones Finales

14.1. El presente Contrato se regirá e interpretará de conformidad con las leyes de Italia, de conformidad con el Artículo 18 de las Condiciones Generales.

14.2. Las disposiciones de las Condiciones Generales relativas a modificaciones (Artículo 17), resolución de controversias (Artículo 16), fuerza mayor (Artículo 19.3) y divisibilidad (Artículo 19.1) se aplican mutatis mutandis al presente Contrato.

14.3. El presente Contrato, junto con las Condiciones Generales, la Política de Privacidad y cualquier otra política aplicable, constituye el acuerdo íntegro entre el Gestor y el Operador con respecto a su objeto.

Aceptación

Al seleccionar un Plan de suscripción y completar el proceso de incorporación como vendedor, el Gestor confirma que ha leído, comprendido y aceptado íntegramente el presente Acuerdo de Servicio para Gestores, conjuntamente con los Términos y Condiciones Generales de Uso y el Acuerdo de Encargo del Tratamiento de Datos Personales (artículo 28 RGPD) que figura en el Anexo, del que forma parte integrante.

Última actualización: 11 de octubre de 2026

Versión anterior: 1.8 – 6 de octubre de 2026

© 2026 Roraima – Todos los derechos reservados.

Tratamiento de los datos de acceso — Cerraduras inteligentes igloohome (Singapur)

Cuando el Gestor habilita el acceso de los huéspedes mediante cerraduras inteligentes gestionadas con igloohome, lo hace utilizando su propia cuenta de igloohome y sigue siendo el responsable del tratamiento de dicha actividad. igloohome es proporcionado por Igloocompany Pte. Ltd. (Singapur), un proveedor no perteneciente a la UE. Conforme a los términos de la API de igloohome, el Gestor debe disponer de una base jurídica válida y obtener cualquier consentimiento necesario antes de que cualquier dato personal del huésped sea facilitado a igloocompany, y es responsable de la seguridad de su cuenta y de las credenciales de la API de igloohome. La Plataforma Roraima minimiza los datos enviados a igloohome, transmitiendo únicamente una referencia neutra de la reserva (p. ej. "Roraima #<id de reserva>") y nunca el nombre ni los datos de contacto del huésped. Los eventos de acceso recibidos a través de un puente Wi-Fi activo se tratan exclusivamente con fines de seguridad y resolución de controversias. Igloocompany declara la conformidad con el RGPD y con el UK GDPR, además de con la PDPA de Singapur; las transferencias fuera del EEE se basan en las garantías adecuadas declaradas por el proveedor. Para más detalles se remite a la Política de Privacidad de Roraima.

Apéndice – Acuerdo de Encargo del Tratamiento de Datos Personales (Artículo 28 RGPD)

Apéndice a los contratos de la plataforma Roraima — parte integrante del contrato al que se adjunta. El texto de este Acuerdo, incluidos sus Anexos, está incluido en el contenido de la página contractual: la aceptación del contrato comprende el Acuerdo en la versión incluida en el texto aceptado.

Preámbulo

Cuando un Vendedor utiliza la plataforma Roraima para gestionar reservas y estancias, la plataforma recoge y trata datos personales de los huéspedes del Vendedor: datos identificativos, documentos de identidad, comunicaciones obligatorias a las autoridades, códigos de acceso. De estos datos el responsable del tratamiento es el Vendedor — porque es sobre él sobre quien la ley hace recaer las obligaciones correspondientes (notificación de los huéspedes a la Policía del Estado italiana (Polizia di Stato), encuestas estadísticas de turismo, impuesto turístico) y es él quien decide cómo gestionar a sus propios huéspedes. Roraima es el instrumento: trata esos datos por cuenta del Vendedor y conforme a sus instrucciones.

El presente Acuerdo regula esa relación en virtud del artículo 28 del Reglamento (UE) 2016/679 (el «Reglamento General de Protección de Datos» o «RGPD»). En caso de contraste con las cláusulas generales de los contratos a los que se adjunta, para las materias de protección de datos prevalece este Acuerdo (integra y precisa, en particular, el artículo 12.2, letra b, de las Condiciones Generales).

1. Partes y roles

1.1. Las partes son:

• el Vendedor (el sujeto que ha suscrito el Acuerdo de Servicio para Propietarios de Dispositivos), en calidad de responsable del tratamiento de los datos personales de sus propios huéspedes y de las personas que se alojan en sus estructuras;
• Dario Salaris — «Roraima — Startup di Dario Salaris», Via Firenze 16, 07039 Valledoria (SS), Italia, contacto de privacidad privacy@roraima.io (el «Operador»), en calidad de encargado del tratamiento.

1.2. Lo que este Acuerdo NO cubre. Quedan fuera de su ámbito, porque tienen un responsable del tratamiento distinto:

• los datos respecto de los cuales el Operador decide por cuenta propia los fines y los medios (cuentas de la plataforma, pedidos del marketplace, registros técnicos, asistentes conversacionales utilizados por el propio Vendedor): para esos datos el Operador es el responsable del tratamiento y se aplica el Aviso de Privacidad;
• los datos que el Vendedor recoge como responsable autónomo (información adicional en el proceso de compra, art. 9 del Contrato; datos recogidos en persona en la estructura);
• los datos que los proveedores de servicios externos tratan como responsables autónomos (por ejemplo Stripe para las verificaciones antifraude y la identificación de los vendedores, o los fabricantes de las cerraduras respecto de la cuenta que el Vendedor mantiene con ellos — art. 9 de este Acuerdo).

1.3. Proveedores Autorizados en delegación. Cuando el Vendedor delega en un Proveedor Autorizado (art. 6 del Contrato), el Proveedor trata los datos a los que accede como encargado del tratamiento del Vendedor, en los términos ya fijados por el art. 12 del Contrato para Proveedores Autorizados. El Operador no responde de la conducta del Proveedor delegado, pero registra sus acciones que modifican datos en el registro de actividad de la plataforma.

1.4. Gestores en virtud de mandato (cadena de tres sujetos). Cuando un Vendedor-gestor administra estructuras de otro Propietario en virtud de un mandato de gestión concedido dentro de la plataforma:

• el propietario sigue siendo el responsable del tratamiento de los datos de los huéspedes de sus propias estructuras;
• el gestor trata esos datos por cuenta del propietario, desde la concesión del mandato hasta su revocación (ambas registradas por la plataforma; la revocación es técnicamente eficaz desde su registro). Mientras las funciones de concesión y revocación no estén disponibles en el panel, el propietario las solicita al Operador (privacy@roraima.io), que las ejecuta sin demora y en todo caso dentro de las 24 horas;
• al tratar los datos del propietario, el gestor se compromete a: utilizarlos únicamente para la ejecución del mandato; no conservarlos más allá de lo necesario; adoptar medidas de seguridad adecuadas; no divulgarlos; cooperar en las solicitudes de los interesados; y notificar sin dilación indebida al propietario y al Operador en caso de violación. La aceptación del presente Acuerdo por ambos constituye la celebración, en forma electrónica, del instrumento exigido por el art. 28.3 RGPD entre propietario y gestor para los tratamientos comprendidos en el ámbito del mandato;
• el Operador sigue siendo el encargado del tratamiento del propietario; las acciones realizadas por el gestor dentro de la plataforma, dentro de los límites del mandato, valen como instrucciones del propietario a los efectos del art. 3;
• la plataforma garantiza: separación de los datos por empresa; salvaguardas que no pueden eludirse (el gestor no puede tocar el perfil, las credenciales ni los ingresos de pago del propietario); y el registro de cada acción del gestor que modifique datos, junto con su identidad.

1.5. Propietarios ajenos a la plataforma. Cuando el Vendedor trata datos de huéspedes como encargado del tratamiento por cuenta de un propietario tercero que no es vendedor de la plataforma, el Operador actúa como subencargado del tratamiento a los efectos del art. 28.4 RGPD, y el Vendedor garantiza que su acuerdo con el propietario permite las condiciones del presente Acuerdo.

2. Objeto, duración, naturaleza y finalidades del tratamiento

2.1. El Operador trata por cuenta del Vendedor las categorías de datos y de interesados descritas en el Anexo 1, que forma parte integrante del presente Acuerdo. En síntesis, los tratamientos son: recogida de los datos personales de los huéspedes y de la información previa a la llegada; verificación de la identidad de los huéspedes (video-mensaje, o procesamiento de las fotografías del documento en el mini-PC de la estructura, con comparación biométrica entre rostro y documento); composición y transmisión de los registros de notificación de huéspedes (schedine alloggiati) a la Policía del Estado; generación de los archivos para las encuestas estadísticas regionales; cálculo y cobro del impuesto turístico en la cuenta del Vendedor; generación y revocación de los códigos de acceso físico; envío de comunicaciones a los huéspedes por cuenta del Vendedor; entrega al Vendedor de los documentos cargados por el comprador durante la verificación del pedido.

2.2. Categorías especiales de datos y menores. La verificación de la identidad implica una comparación biométrica (art. 9 RGPD) realizada exclusivamente en el mini-PC instalado en la estructura, con modelos locales: ningún servicio externo de inteligencia artificial recibe las imágenes. Los menores nunca son sometidos a tratamiento biométrico: para ellos solo se recogen los datos textuales necesarios para cumplir las obligaciones legales.

2.3. Duración. El tratamiento dura mientras dure la relación contractual, sin perjuicio de los plazos de conservación establecidos en el Anexo 1 y de las obligaciones legales que sobreviven a la terminación (art. 11).

2.4. Dos modos de operar, dos responsabilidades. El Vendedor toma nota de la siguiente distinción, que delimita aquello de lo que responde el Operador:

• Alloggiati Web: el Operador transmite. Con las credenciales de la estructura facilitadas por el Vendedor, la plataforma compone la notificación de huéspedes y la envía directamente al portal de la Policía del Estado. La transmisión se inicia solo si el Vendedor ha registrado la llegada, los datos del grupo de viaje están completos y la identidad de los huéspedes ha sido verificada (o confirmada en persona por el Vendedor, en caso de renuncia a la verificación por vídeo); en caso contrario la plataforma avisa al Vendedor pero no transmite.
• Encuestas estadísticas (ISTAT): el Operador solo prepara. La plataforma genera el archivo en el formato exigido por la Región; es el Vendedor quien lo descarga y lo carga personalmente en el portal regional con sus propias credenciales. No se produce ninguna transmisión automática.

2.5. Autoridades destinatarias. La Policía del Estado y los organismos estadísticos reciben los datos como autoridades destinatarias previstas por la ley: no tratan por cuenta de ninguna de las partes y no son subencargados del tratamiento.

3. Instrucciones del Vendedor (art. 28.3, letra a)

3.1. La configuración es la instrucción. Las instrucciones documentadas del Vendedor se imparten a través de la configuración del panel del vendedor, que la plataforma registra y conserva. En particular:

• al activar el cumplimiento de la notificación de huéspedes para una estructura e introducir las credenciales emitidas por la Policía del Estado, el Vendedor instruye al Operador para que recoja los datos personales de los huéspedes y transmita las notificaciones para esa estructura;
• si el Vendedor no activa nada, el Operador no transmite nada y la recogida de datos desciende al perfil mínimo;
• el interruptor que incluye las reservas importadas de calendarios externos (Airbnb, Booking.com y similares) en las notificaciones obligatorias está desactivado hasta que el Vendedor lo active para la estructura individual;
• el plazo de supresión de los datos de la persona que realizó la reserva no está hoy a disposición del Vendedor: es un plazo fijo de la plataforma, de 730 días desde la salida, igual para todos, y el Operador no pone a disposición ninguna función para modificarlo. En ningún caso el tratamiento desciende por debajo de un mínimo inderogable de 180 días, necesario para cubrir los plazos de impugnación de pagos (chargebacks). Si en el futuro el Operador permite que el Vendedor configure ese plazo, la elección del Vendedor tendrá la consideración de instrucción a todos los efectos dentro de ese mínimo, y el presente Acuerdo se actualizará en consecuencia;
• el perfil de recogida sigue las activaciones: mientras una empresa no tenga ningún servicio de cumplimiento activado, la plataforma aplica automáticamente el perfil de recogida mínimo (solo los datos esenciales); la activación de un solo servicio extiende la recogida a los datos exigidos por las obligaciones italianas para todas las estructuras de la empresa.

3.2. El Operador trata los datos solo sobre la base de estas instrucciones documentadas, incluso con respecto a las transferencias de datos a terceros países u organizaciones internacionales (art. 9), salvo que una obligación del Derecho de la Unión o italiano a la que el Operador esté sujeto le imponga otra cosa: en tal caso, el Operador informa al Vendedor de dicho requisito antes del tratamiento, a menos que la ley lo prohíba.

3.3. Instrucciones manifiestamente ilícitas. Si, a juicio del Operador, una instrucción infringe el RGPD u otras disposiciones sobre protección de datos, el Operador informará inmediatamente al Vendedor y podrá suspender la ejecución de dicha instrucción.

3.4. Quién puede impartir instrucciones y cómo. Las instrucciones son válidas si son impartidas por el Vendedor a través de su propio panel, por uno de sus usuarios autorizados, por un Proveedor Autorizado dentro del alcance de la delegación (art. 1.3), o por un gestor dentro del alcance del mandato (art. 1.4). Las instrucciones que no puedan impartirse a través del panel podrán impartirse por escrito a privacy@roraima.io por el titular de la cuenta: el Operador confirma su recepción y viabilidad y conserva el intercambio como instrucción documentada.

4. Obligaciones y derechos del Vendedor

4.1. Obligaciones. El Vendedor, en calidad de responsable del tratamiento:

• garantiza que dispone de una base jurídica válida para los tratamientos encomendados al Operador, incluida una condición de licitud conforme al art. 9.2 RGPD para la verificación biométrica de la identidad de los huéspedes adultos que consientan en ella;
• proporciona a los huéspedes la información exigida por los arts. 13-14 RGPD. Desde el 3 de agosto de 2026, el recorrido digital del huésped incorpora, por cuenta del Vendedor, la información completa del art. 13 y el consentimiento explícito a la comparación biométrica y al vídeo, mostrados antes de la recogida correspondiente y registrados como prueba (texto mostrado, su huella, versión, lengua y momento). El Operador se compromete a mantener disponibles esos textos y a conservar su prueba, y a mantener disponible al menos una alternativa a la comparación biométrica sin penalizaciones para el huésped — vídeo con revisión humana o verificación en persona —, pues sin ella el consentimiento no sería libre. Un recorrido adyacente se declara aún no cubierto: el recorrido «derecho de acceso» sigue permitiendo un vídeo de identidad sin consentimiento registrado (evaluación de impacto sobre la verificación de la identidad, doc. 05);
• responde de la licitud de las instrucciones que imparte y de la exactitud de los datos que carga;
• activa las funciones de cumplimiento solo para las estructuras que gestiona legítimamente, y custodia con la debida diligencia las credenciales que confía a la plataforma.

4.2. Derechos. El Vendedor tiene derecho a: impartir y modificar instrucciones (art. 3); oponerse a los nuevos subencargados del tratamiento (art. 7.2); recibir asistencia respecto de los derechos de los interesados, las violaciones de datos personales y las evaluaciones de impacto (art. 10); elegir entre la devolución y la supresión de los datos a la terminación (art. 11); y verificar el cumplimiento del presente Acuerdo (art. 12).

5. Personas autorizadas y confidencialidad (art. 28.3, letra b)

5.1. El Operador garantiza que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad, y limita su acceso a lo necesario.

6. Seguridad (art. 28.3, letra c — art. 32 RGPD)

6.1. El Operador adopta y mantiene todas las medidas exigidas por el art. 32 RGPD, adecuadas al riesgo y a la naturaleza de los datos tratados (incluidos los datos del art. 9), entre ellas: cifrado de los datos más sensibles, tanto en reposo como en tránsito; separación de los datos por empresa, de modo que el panel de un vendedor no pueda alcanzar los datos de otro; minimización de los datos compartidos con los proveedores externos; control de accesos y registro de las operaciones sensibles.

6.2. El acceso del personal de asistencia a los datos de configuración del Vendedor se produce solo con un permiso específico otorgado por el Vendedor, que este puede revocar en cualquier momento desde su panel y que en todo caso caduca automáticamente transcurridos 7 días, con cada acción registrada.

6.3. Una descripción más detallada de las medidas se pone a disposición del Vendedor a petición, en la forma establecida en el art. 12.

7. Subencargados del tratamiento (arts. 28.2 y 28.3, letra d)

7.1. Autorización general. El Vendedor otorga su autorización general para que el Operador contrate a los subencargados del tratamiento enumerados en el Anexo 2. A partir de la fecha de eficacia del presente Acuerdo, la lista actualizada se mantiene en la página «Subencargados del tratamiento» del sitio web.

7.2. Actualizaciones. Para añadir o sustituir a un subencargado del tratamiento, el Operador actualiza esa página y avisa a los Vendedores al menos 15 días antes de que el nuevo proveedor reciba dato alguno. El Vendedor puede oponerse por motivos justificados de protección de datos; si la oposición no se resuelve, el Vendedor puede desistir del servicio afectado antes de su activación. Los cambios en la lista siguen este procedimiento y no requieren una nueva aceptación del presente Acuerdo.

7.3. Mismas garantías. Con cada subencargado del tratamiento el Operador celebra un contrato que impone obligaciones de protección de datos equivalentes a las del presente Acuerdo. El Operador sigue siendo plenamente responsable ante el Vendedor de la actuación de los subencargados del tratamiento.

7.4. Quién NO es subencargado del tratamiento. No son subencargados del tratamiento, y el Vendedor toma nota de ello: las autoridades destinatarias (art. 2.5); los proveedores técnicos que no reciben datos personales de los huéspedes (entre ellos los servicios en la nube de los fabricantes de las cerraduras conectadas, a los que la plataforma envía únicamente códigos de acceso, ventanas de validez y una referencia neutra de la reserva — nunca el nombre, los contactos o los documentos del huésped); y los responsables autónomos (como Stripe para las verificaciones exigidas por la ley, y los fabricantes con los que el Vendedor mantiene su propia cuenta — art. 9).

8. Destinatarios elegidos por el Vendedor

8.1. La plataforma permite al Vendedor conectar servicios externos elegidos por él mismo: calendarios de portales de reserva (Airbnb, Booking.com, Vrbo u otras direcciones configuradas por el Vendedor), webhooks hacia sus propios sistemas, interfaces API personales, su propia instancia de Home Assistant, un broker MQTT propio. En estos casos el destinatario es determinado por el Vendedor: la configuración constituye una instrucción para enviar datos a ese servicio o recibirlos de él, y la elección y la seguridad del destinatario son responsabilidad del Vendedor.

8.2. El Operador aplica a estas conexiones las protecciones técnicas de la plataforma (controles de direcciones, límites, registro) pero no responde del tratamiento realizado por el servicio elegido por el Vendedor.

9. Transferencias fuera del Espacio Económico Europeo

9.1. Los datos tratados por cuenta del Vendedor residen en la Unión Europea. Algunos subencargados del tratamiento implican transferencias fuera de la UE, sujetas a las garantías indicadas en el Anexo 2 (certificación EU-US Data Privacy Framework y/o Cláusulas Contractuales Tipo).

9.2. A los fabricantes de cerraduras extra-UE no se transfieren datos personales de los huéspedes (art. 7.4). Las credenciales que el Vendedor utiliza con esos fabricantes pertenecen a su propia relación contractual con ellos: respecto de esas credenciales, el fabricante es un responsable autónomo y se aplican sus propias condiciones y su propio aviso de privacidad.

10. Asistencia al Vendedor (art. 28.3, letras e-f)

10.1. Derechos de los interesados. Si un huésped ejerce un derecho (acceso, rectificación, supresión, limitación, portabilidad, oposición), el destinatario de la solicitud es el Vendedor, en calidad de responsable del tratamiento. El Operador lo asiste: ejecuta las rectificaciones y supresiones solicitadas por el Vendedor dentro de los 30 días siguientes a la solicitud y confirma el resultado por escrito, indicando los eventuales datos conservados por obligación legal y su plazo (una notificación de huésped ya transmitida a la Policía del Estado, o un dato aún dentro de un plazo de conservación obligatoria, no pueden suprimirse antes de que ese plazo expire). Si una solicitud llega directamente al Operador, este la remite al Vendedor sin pronunciarse sobre el fondo, salvo la asistencia acordada.

10.1-bis. Un dato conservado para la defensa, no por obligación legal. En el caso de las reservas importadas desde un canal externo (Airbnb, Booking.com y similares), la supresión solicitada por el interesado no elimina la copia cifrada de la comunicación original del canal: es la única prueba de lo que el canal comunicó y se conserva para la formulación, el ejercicio o la defensa de reclamaciones (art. 17.3, letra e), en interés tanto del Vendedor como del Operador. Las copias operativas de esos datos — el nombre, el correo electrónico y el idioma del huésped facilitados por el canal — se suprimen, en cambio, junto con el resto. La copia conservada se elimina al vencimiento del plazo ordinario de conservación de la reserva. El Operador declara esta excepción al huésped en el texto del botón de supresión y al Vendedor en el panel; el Vendedor la tiene en cuenta al responder al interesado.

10.2. Violaciones de datos personales. El Operador notifica al Vendedor sin dilación indebida cualquier violación de datos personales tratados por su cuenta de la que tenga conocimiento, facilitando la información pertinente exigida por el art. 33.3 RGPD (naturaleza de la violación, categorías y número aproximado de interesados, consecuencias probables, medidas adoptadas o propuestas) y actualizándola a medida que esté disponible. La notificación se envía a la dirección de correo electrónico del Vendedor registrada en el panel. El Operador documenta cada violación y pone la documentación a disposición del Vendedor a los efectos de los arts. 33 y 34; la notificación a la autoridad de control y a los interesados sigue siendo una decisión del Vendedor, en la que el Operador presta asistencia.

10.3. Evaluaciones de impacto y autoridad de control. El Operador asiste al Vendedor, en lo que sea de su competencia, en las evaluaciones de impacto relativas a la protección de datos (art. 35) y en las eventuales consultas con la autoridad de control (art. 36), poniendo a disposición su documentación técnica pertinente.

11. Devolución y supresión (art. 28.3, letra g)

11.1. Durante la relación. El Operador suprime los datos al vencimiento de los plazos establecidos en el Anexo 1, sin perjuicio de los plazos que determine la ley o las instrucciones del Vendedor.

11.2. A la terminación: el Vendedor elige. A la terminación de la relación, el Operador pregunta al Vendedor, a través del panel o en los datos de contacto registrados, si prefiere la devolución o la supresión de los datos tratados por su cuenta. A petición, el Operador devuelve todos los datos — incluidos los registros de los cumplimientos — en un formato estructurado y legible, dentro de 30 días. A falta de elección dentro de los 60 días siguientes a la terminación, el Operador procede a la supresión. La supresión se extiende a las copias en poder de los subencargados del tratamiento; los datos contenidos en las copias de seguridad se extinguen con el ciclo normal de rotación de las copias y, mientras tanto, no se restauran ni se utilizan, salvo obligación legal.

11.3. Excepciones. Se exceptúan: (a) los datos cuya conservación se impone al Operador por una obligación del Derecho de la Unión o italiano, conservados solo por el tiempo y con la finalidad exigidos por la ley; (b) los registros de los cumplimientos realizados a través de la plataforma (resultados, fechas, identificadores de los recibos — sin el contenido subyacente), que el Operador conserva en calidad de responsable autónomo, para la tutela de sus propios derechos, por el plazo indicado en el Aviso de Privacidad.

11.4. A petición escrita del Vendedor, el Operador certifica que la supresión se ha completado.

12. Auditorías e información (art. 28.3, letra h)

12.1. El Operador pone a disposición del Vendedor la información necesaria para demostrar el cumplimiento del art. 28 — incluido el registro de las actividades de tratamiento (sección de encargado), la descripción de las medidas de seguridad y la lista actualizada de subencargados del tratamiento — y permite y contribuye a las auditorías a los efectos del art. 28.3, letra h.

12.2. La modalidad ordinaria es una auditoría documental al año, con preaviso razonable. El Vendedor conserva el derecho a una inspección, directamente o a través de un auditor designado que no sea competidor del Operador, cuando: (a) la documentación resulte insuficiente a su juicio motivado; (b) se haya producido una violación de datos personales que le afecte; (c) lo exija una autoridad de control. La inspección se realiza con un preaviso de 30 días (reducido en caso de violación), en horario laboral, con un compromiso de confidencialidad, y con un alcance que excluye los datos de otros vendedores (la plataforma es compartida). Los costes de las auditorías adicionales a la documental anual corren a cargo del Vendedor, salvo que la auditoría constate un incumplimiento del Operador.

12.3. Las operaciones que modifican datos realizadas por Proveedores Autorizados en delegación o por gestores en virtud de mandato son registradas por la plataforma junto con la identidad de quien las realiza; el Vendedor puede solicitar en cualquier momento un extracto al Operador, que lo facilita dentro de 7 días.

13. Ausencia de uso secundario

El Operador no utiliza los datos de los huéspedes del Vendedor para fines propios: nada de perfilado, nada de publicidad, nada de cesión o venta a terceros, nada de entrenamiento de modelos de inteligencia artificial. Este compromiso es parte esencial del presente Acuerdo.

14. Responsabilidad

14.1. Cada parte responde de los daños conforme al art. 82 RGPD: el Operador por los daños causados por el tratamiento cuando no haya cumplido las obligaciones que el RGPD impone a los encargados del tratamiento, o cuando haya actuado en contra de las instrucciones lícitas del Vendedor; el Vendedor por lo demás.

14.2. Se mantienen las indemnidades y los límites de responsabilidad de los contratos a los que se adjunta el presente Acuerdo, en la medida en que sean compatibles con las normas imperativas en materia de protección de datos.

15. Duración, modificaciones y disposiciones finales

15.1. El presente Acuerdo permanece en vigor mientras el Operador trate datos personales por cuenta del Vendedor, y se extingue con la supresión o devolución final de los datos (art. 11).

15.2. Las modificaciones siguen la misma forma que los contratos a los que se adjunta el presente Acuerdo: publicación de una nueva versión, aviso y aceptación registrada por la plataforma. La aceptación comprende el presente Acuerdo y sus Anexos en la versión incluida en el texto aceptado; las actualizaciones de la lista de subencargados del tratamiento siguen el art. 7.2. Las aceptaciones registradas conservan el texto aceptado y nunca se reescriben.

15.3. Se aplica la ley italiana; son competentes los tribunales de Sassari, sin perjuicio de cualquier fuero imperativo previsto por la ley. En caso de divergencia entre las versiones lingüísticas, prevalece el texto en inglés, sin perjuicio de las protecciones inderogables vinculadas a la propia lengua del Vendedor.

Anexo 1 — Descripción de los tratamientos

Anexo 2 — Subencargados del tratamiento autorizados (a la fecha del presente Acuerdo)

La lista actualizada, con el detalle por proveedor, se mantiene en la página «Subencargados del tratamiento» del sitio web a partir de la fecha de eficacia del presente Acuerdo.