Política de privacidad

Wado es operado por TODOOR CONTRACTING, LLC y Alanitech, LLC ("nosotros"). Juntas decidimos por qué y cómo se usan los datos personales descritos aquí. [TODO: confirmar los roles con el acuerdo entre ambas empresas y añadir una dirección postal.]

Esta política cubre el sitio web de Wado, el panel del hotel, el panel de soporte de Wado (que usa nuestro equipo) y las páginas de huésped que se abren desde enlaces de habitación y área, códigos QR y etiquetas NFC. Cada hotel decide qué hacer con las solicitudes de sus huéspedes; esta política describe lo que recopila y hace el propio servicio.

Contacto: privacy@heywado.com.

Información que aporta el hotel o nuestro equipo

• Datos del hotel: nombre, dirección, ciudad, país, correo y teléfono de contacto, una imagen opcional, el teléfono de recepción y el nombre de la red Wi-Fi que se muestran a los huéspedes y, si el hotel exige que los huéspedes estén en sus instalaciones para enviar solicitudes, la latitud, la longitud y el radio permitido del hotel.
• Datos del titular de la cuenta y de los administradores: nombre, correo, teléfono y estado de la cuenta. Las contraseñas las guarda nuestro proveedor de autenticación, no nuestras tablas.
• Datos del personal: nombre, ID de empleado, teléfono, preferencia de aviso, vínculos con departamentos y áreas, y turnos. El personal aparece en la lista para asignaciones y no inicia sesión en el panel. Si el hotel o nuestro equipo da a una persona un acceso a la app del personal, guardamos además una cuenta de acceso con una dirección ficticia (no un correo), el PIN como un hash de un solo sentido que nadie puede leer, la hora del último acceso y el número de PIN erróneos recientes (la cuenta se bloquea un tiempo tras errores repetidos). La app del personal muestra a cada persona solo las solicitudes que se le asignan, y registra cuándo las aceptó, rechazó o terminó.
• Alertas en un dispositivo: cuando un administrador del hotel, un usuario de departamento o una persona del personal activa las alertas en su navegador o app instalada, guardamos la dirección y las claves de notificación de ese dispositivo, con el idioma, hasta que las desactive o el dispositivo deje de aceptarlas. Las alertas se entregan mediante el servicio de notificaciones del fabricante del navegador o del teléfono (por ejemplo Google, Apple o Mozilla).
• Cuentas del equipo de Wado: nombre, correo y estado.
• Facturación: la fecha de fin de la prueba del hotel, el estado de la suscripción y el periodo de facturación, los identificadores que Stripe asigna en nuestros registros (cliente y suscripción), un registro de los cambios de la prueba hechos por nuestro equipo (quién, cuándo, fecha anterior y nueva, motivo) y qué correos de aviso de la prueba enviamos. El correo del administrador y el nombre del hotel se envían a Stripe para crear el cliente. Los datos de la tarjeta se introducen en las páginas de Stripe y nunca llegan a nuestros servidores.
• Mensajes con nuestro equipo de soporte: el texto (hasta 2000 caracteres) y el nombre y correo del remitente.
• Formulario de contacto del sitio web: el nombre, el nombre del hotel, el correo de trabajo, el número de habitaciones (opcional) y el mensaje (opcional) que escribes. Se envían a nuestro servidor, que los publica en el canal de Slack de nuestro equipo para que podamos responderte. No los guardamos en nuestra base de datos; quedan en Slack. Si el formulario no puede enviarlos, abre tu propia aplicación de correo y no nos llega nada hasta que pulses enviar allí.

Información de los huéspedes

Los huéspedes no crean cuenta y no se les pide su nombre. Cuando un huésped envía una solicitud guardamos el nombre de la habitación o área, el departamento y el servicio, una nota opcional de texto libre (hasta 500 caracteres; por favor no incluyas datos sensibles), la urgencia, el estado, las horas y a quién se asignó. Un administrador también puede crear una solicitud en nombre de un huésped.

Un huésped también puede iniciar un chat en vivo con el hotel desde la página de su habitación. La página avisa de que el chat es temporal. Sus mensajes (hasta 500 caracteres cada uno) se mantienen solo en la memoria de nuestro servidor, nunca se escriben en la base de datos ni en los registros, y se borran cuando cualquiera de las partes termina el chat o tras 10 minutos sin mensajes.

Si un hotel exige que los huéspedes estén en sus instalaciones para enviar solicitudes, el navegador del huésped pide permiso para compartir la ubicación del dispositivo cuando pulsa enviar. La posición se compara con la del hotel y se descarta: no la guardamos ni la registramos. Si el huésped la rechaza, la solicitud no se envía.

Recopilada automáticamente

• Cuando un administrador acepta los Términos, guardamos la versión, la hora, la dirección IP y el texto del agente de usuario del navegador.
• Nuestro servidor usa direcciones IP para limitar la frecuencia de inicios de sesión, solicitudes de huéspedes y acciones similares. Estos contadores se guardan en memoria y no se escriben en la base de datos. [TODO: confirmar qué registran los registros de acceso del proveedor de alojamiento.]
• Nuestro servidor escribe registros operativos. [TODO: confirmar contenido, ubicación y conservación de los registros.]
• Los enlaces de habitación son tokens aleatorios; identifican una habitación, no a una persona.

De terceros

No compramos datos personales. Nuestro proveedor de autenticación y almacenamiento nos envía identificadores de cuenta de los usuarios que registra.

• Prestar el servicio (para ejecutar nuestro contrato con el hotel): mostrar solicitudes, asignar personal, mostrar historial y analíticas, enviar invitaciones y correos de contraseña, mostrar las páginas de huésped.
• Mantener la seguridad (interés legítimo): comprobaciones de acceso, límites de frecuencia, caducidad de enlaces, prevención de abusos.
• Soporte (contrato e interés legítimo): responder mensajes de chat y ayudar a los hoteles.
• Registrar la aceptación de los Términos (interés legítimo y obligación legal): la versión, la hora, la IP y el agente de usuario se conservan como prueba.
• Mensajes de contacto (contrato o consentimiento cuando se exija): textos de invitación y aviso, cuando el hotel los activa; y responder a las consultas enviadas por el formulario de contacto del sitio web (pasos previos a un contrato, interés legítimo).
• Cumplimiento legal: cuando la ley lo exija.

No usamos datos personales para publicidad ni perfiles de marketing, ni tomamos decisiones sobre personas por medios automatizados. Cuando llega una solicitud y el hotel ha activado la asignación automática, el servicio puede asignarla a un miembro del personal disponible del departamento correspondiente que esté en turno, y enviarle un mensaje de texto si eligió recibirlos; esto solo reparte trabajo dentro del hotel.

El servicio no envía datos personales a ningún proveedor de IA ni de modelos de lenguaje.

El sitio web y las páginas de huésped no usan cookies ni tienen analíticas ni scripts publicitarios.

Los paneles usan el almacenamiento local de tu navegador:

• Una entrada de sesión para el panel del hotel (heywado.hotel.session) y otra para el panel de soporte (heywado.support.session) te mantienen conectado. Guardan tokens de acceso hasta que cierras sesión o caducan. Esenciales.
• Una entrada de sesión de la app del personal (heywado.staff.session) mantiene al personal conectado de la misma forma, y la app recuerda el código del hotel escrito al iniciar sesión (heywado.staff.hotelCode) para no tener que escribirlo otra vez. Esenciales.
• Preferencia de idioma (heywado.hotel.locale, heywado.support.locale, heywado.staff.locale), estado de la barra lateral (heywado.sidebar.collapsed) y, en las apps del hotel y del personal, si el sonido de alerta está activado (heywado.hotel.chime, heywado.staff.chime). Esenciales para la interfaz.

Todos son propios y esenciales, por lo que no se usa banner de consentimiento. El formulario de contacto del sitio no usa cookies ni almacenamiento local.

Tipografías: los paneles, la app del personal y las páginas de huésped cargan tipografías e iconos desde Google Fonts, por lo que Google recibe la IP y datos del navegador del visitante al cargar una página. El sitio web sirve sus propias tipografías e iconos. [TODO: confirmar si se alojarán las tipografías en las aplicaciones.]

No vendemos datos personales ni los compartimos para publicidad dirigida. Usamos estos proveedores para operar el servicio:

• Supabase: base de datos, inicio de sesión, almacenamiento de imágenes del hotel y los correos de invitación y contraseña. Aquí se almacenan todos los datos de cuentas, solicitudes, chat y aceptaciones. [TODO: confirmar la región de alojamiento y el acuerdo con el subencargado.]
• Bird: mensajes de texto, solo cuando un hotel los activa, y correos de aviso de la prueba al administrador del hotel; Bird recibe el número de teléfono o el correo y el texto del mensaje.
• Stripe: pagos de la suscripción. Stripe recibe el nombre del hotel y el correo del administrador y recoge directamente los datos de la tarjeta y de facturación; nuestros registros solo guardan los identificadores de cliente y suscripción de Stripe y el estado de la suscripción.
• Slack: el espacio de trabajo de nuestro equipo. Para el formulario de contacto del sitio web, Slack recibe el mensaje que avisa a nuestro equipo, que contiene los datos que escribiste.
• Google Fonts: tipografías e iconos de los paneles y las páginas de huésped, como se describe arriba.
• Proveedor de alojamiento: [TODO: indicar el proveedor que ejecuta el servidor y el sitio web].

También compartimos datos con el hotel al que pertenecen y cuando la ley lo exige, para proteger nuestros derechos o en una transferencia del negocio.

El servicio no elimina automáticamente la mayoría de los registros. [TODO: definir y confirmar la conservación de cada categoría antes de publicar.]

• Los enlaces de habitación caducan transcurrido un tiempo desde el primer uso y se sustituyen; el código QR y la etiqueta siguen funcionando.
• Solicitudes e historial: se conservan hasta que se elimina la cuenta del hotel. [TODO: confirmar.]
• Mensajes del chat de soporte: se conservan hasta que se elimina la cuenta del hotel. [TODO: confirmar.]
• Mensajes del chat en vivo con huéspedes: nunca se guardan; se borran al terminar el chat o tras 10 minutos sin mensajes.
• Registros de personal, hotel y cuenta: se conservan mientras exista la cuenta. Al eliminar un hotel se elimina su chat; las solicitudes conservan los nombres registrados cuando se crearon.
• Registros de aceptación de los Términos: se conservan mientras exista la cuenta del usuario.
• Registros de facturación, el registro de cambios de la prueba y el registro de avisos: se conservan mientras exista la cuenta del hotel. [TODO: confirmar; las facturas y los registros de pago los conserva Stripe según su propia política y obligaciones legales.]
• Consultas del formulario de contacto: el mensaje de Slack. [TODO: confirmar cuánto tiempo las conserva el equipo y la conservación de Slack.]
• Contadores de límite de frecuencia: solo en memoria.

Medidas vigentes hoy:

• La seguridad por filas está activada en todas las tablas de la base de datos, sin acceso público; solo nuestro servidor lee y escribe datos.
• El inicio de sesión usa correo y contraseña mediante nuestro proveedor de autenticación; el inicio de sesión, la recuperación de contraseña y las acciones de huéspedes tienen límite de frecuencia.
• Las imágenes del hotel se guardan en un depósito privado y se muestran con enlaces que caducan.
• Los enlaces de habitación son tokens aleatorios largos que caducan y pueden regenerarse; las claves de las etiquetas NFC se derivan y no se almacenan.
• El servidor rechaza datos inesperados y limita qué sitios web pueden llamarlo.

Ningún sistema es perfectamente seguro. Los tokens de sesión de los paneles y de la app del personal se guardan en el almacenamiento local del navegador, así que protege tu dispositivo y cierra sesión en equipos compartidos. Avísanos en privacy@heywado.com si sospechas un problema.

Puedes pedirnos acceder a tus datos personales, corregirlos, eliminarlos o exportarlos, oponerte a su uso o limitarlo, o retirar el consentimiento cuando nos basemos en él. Escribe a privacy@heywado.com; procuramos responder en 30 días. [TODO: confirmar el plazo de respuesta.] Podemos necesitar verificar tu identidad antes. Cuando el responsable de los datos es el hotel, podemos dirigir tu solicitud al hotel.

EEE, Reino Unido y leyes similares (RGPD / RGPD del Reino Unido). Tienes los derechos anteriores y puedes reclamar ante tu autoridad de protección de datos. Nuestras bases legales se describen en la sección 3.

California (CCPA / CPRA). Puedes preguntar qué información personal recopilamos, usamos y divulgamos, y pedir que la corrijamos o eliminemos, sin recibir un trato distinto por ello. No vendemos ni compartimos información personal para publicidad comportamental entre contextos.

Otros estados de EE. UU. Si tu estado te concede derechos de privacidad, contáctanos y los respetaremos como exija la ley.

Personal y huéspedes: si un hotel introdujo tus datos, contacta primero con el hotel.

Los datos los tratan los proveedores indicados, que pueden estar fuera de tu país. [TODO: confirmar las ubicaciones de tratamiento y las garantías de transferencia.]

El servicio es para empresas y no se dirige a menores. [TODO: confirmar la edad mínima, por ejemplo 13 años, o 16 donde se exija.] Los huéspedes envían solicitudes sin dar su nombre; si crees que datos personales de un menor han llegado a nosotros, contáctanos y los eliminaremos.

Los hoteles pueden añadir enlaces, como sitios web o teléfonos, a sus listas de servicios. Esos sitios tienen sus propias prácticas de privacidad.

Cuando cambiemos esta política, actualizaremos la fecha de arriba y, si los cambios son importantes, avisaremos a los administradores del hotel en el panel o por correo.

Preguntas y solicitudes de privacidad: privacy@heywado.com.