Contrato de encargo del tratamiento — Servicio de reservas de VivaWebs

Versión del 2 de octubre de 2026. Lo acepta cada negocio que contrata el servicio de reservas; la aceptación se guarda con su fecha.

Partes

Responsable del tratamiento: el negocio que contrata el servicio de reservas de VivaWebs («el negocio»), con los datos que facilita en el alta.
Encargado del tratamiento: Oksigenia S.L., NIF B24911489, con domicilio social el que figura en el aviso legal de vivawebs.com («Oksigenia»). VivaWebs es el servicio de Oksigenia con el que se presta.

El negocio decide para qué y cómo se usan los datos de sus clientes. Oksigenia pone el sistema de reservas y lo mantiene, y trata esos datos solo para eso.

Contacto de protección de datos de Oksigenia: el Delegado de Protección de Datos, en [email protected], para lo que afecte al tratamiento que hace Oksigenia. Las consultas y reclamaciones de los clientes del negocio sobre sus datos las atiende el negocio, que es el responsable: si llegan a Oksigenia, se las pasa (sección 4).

1. Objeto

Oksigenia trata por cuenta del negocio los datos personales necesarios para prestar el servicio de reservas contratado (citas, mesas, alojamiento, clases y actividades, o salas y espacios):

recibir y guardar las reservas y las solicitudes;
enviar los correos de confirmación, aviso y recordatorio;
en alojamiento, sincronizar los calendarios de otras plataformas que el negocio conecte y preparar el parte de viajeros;
hacer copias de seguridad;
dar soporte técnico cuando el negocio lo pida.

2. Duración

Mientras el servicio de reservas esté contratado. Al terminar se aplica la sección 8 (entrega de los datos y borrado).

3. Datos y personas afectadas

Clientes y huéspedes del negocio:
- nombre y apellidos, correo electrónico y teléfono;
- fecha, hora y detalle de la reserva (servicio y profesional, mesa y comensales, habitación y noches, sesión o franja y servicio);
- los comentarios que escriban;
- en las reservas de mesas, clases y salas, y en las solicitudes de alojamiento, la dirección IP desde la que se envían, para frenar abusos.
Huéspedes, si el negocio usa el parte de viajeros: los datos que la normativa exige y que introduce el negocio (documento de identidad, fecha de nacimiento, nacionalidad, sexo, domicilio y parentesco en su caso).
Personal del negocio con acceso al panel: nombre, correo y registro de accesos.

El servicio no está pensado para datos de salud ni otras categorías especiales. El negocio no debe pedirlos en los comentarios ni en los campos propios. Si es un centro sanitario, tiene en cuenta que el nombre de un servicio (por ejemplo, «Fisioterapia») dice algo del cliente y decide qué servicios publica.

4. Lo que hace Oksigenia

Trata los datos solo siguiendo las instrucciones del negocio: este contrato y lo que el negocio configure en su panel. No los usa para nada propio, no los cede y no los vende. Si una instrucción le parece contraria a la normativa, se lo dice.
Las personas de Oksigenia que acceden a los datos lo hacen solo cuando hace falta y están obligadas a guardar secreto.
Aplica las medidas de seguridad del anexo I.
No lleva los datos fuera de la UE, salvo por los proveedores del anexo II que lo indican, con las garantías que exige la normativa. El anexo II (la lista de proveedores) se entrega al negocio en su portal.
Proveedores (subencargados): el negocio autoriza de forma general los del anexo II. Oksigenia avisa al negocio antes de añadir o cambiar uno, y el negocio puede oponerse con motivo. Cada proveedor queda obligado a lo mismo que Oksigenia.
Derechos de las personas: el panel permite al negocio consultar, corregir y borrar los datos de sus clientes, y desde su portal puede descargar todas sus reservas cuando quiera. Si alguien se dirige a Oksigenia, se lo pasa al negocio en cuanto pueda. Si el negocio necesita más ayuda para atenderlo, se la da.
Brechas de seguridad: si detecta una que afecte a los datos del negocio, se lo comunica sin demora, como mucho en 48 horas desde que la conoce, con lo que sepa y lo que ha hecho. La comunicación a la autoridad y a los afectados, cuando proceda, la decide el negocio.
Ayuda al negocio, si hace falta, con evaluaciones de impacto o consultas a la autoridad.
Pone a disposición del negocio la información necesaria para demostrar que cumple, y acepta auditorías razonables, con preaviso y a cargo del negocio.

5. Lo que hace el negocio

Tiene una base legal para tratar los datos de sus clientes (normalmente, gestionar la reserva que le piden; en el parte de viajeros, una obligación legal).
Informa a sus clientes con su propia política de privacidad. La página de reservas enlaza a ella.
Decide qué datos pide y cuánto tiempo guarda las reservas antiguas en su panel.
Guarda sus contraseñas del panel y no las comparte fuera de su equipo.
En alojamiento, envía él el parte de viajeros a la autoridad. Oksigenia lo prepara, pero no lo envía en su nombre.
Lleva sus reservas, sus precios y la relación con sus clientes desde su panel, y responde de ellos.
El dinero es cosa del negocio. El servicio de reservas no cobra nada a los clientes del negocio, y Oksigenia no recibe ni toca ese dinero. Si el negocio cobra a sus clientes o activa otros servicios (una pasarela de pago, o plataformas como Booking o Airbnb), los pagos, las comisiones, los fallos de cobro, las devoluciones, las cancelaciones y los impagos se tratan directamente entre el negocio, sus clientes y esos servicios. Oksigenia no es parte de esas relaciones ni responde de ellas: pone el sistema de reservas y, si el negocio lo pide, lo conecta técnicamente con esos servicios.

6. Correos a los clientes del negocio

Los correos salen desde una dirección de VivaWebs con el nombre del negocio, y las respuestas le llegan al negocio. Oksigenia no los usa para publicidad propia más allá del pie «Reservas con VivaWebs».

7. Responsabilidad

Cada parte responde de lo que le toca según este contrato y la normativa. Si Oksigenia trata los datos para otra cosa o saltándose las instrucciones del negocio, pasa a ser responsable de ese tratamiento.

Si Oksigenia causa un daño al negocio por incumplir este contrato, lo que tenga que pagarle tiene un tope: lo que el negocio le haya pagado por el servicio de reservas en los doce meses anteriores. El tope no vale si hay dolo o culpa grave. Es un máximo de indemnización, no una devolución de cuotas.

8. Al terminar el servicio: entrega de los datos y borrado

Mientras el servicio está activo, el negocio descarga sus reservas cuando quiera desde su portal, en un formato abierto (una hoja de cálculo CSV), sin pedírselo a nadie.
Si el servicio está pausado o ha terminado, Oksigenia le entrega esa hoja de cálculo cuando la pida, hasta 30 días después de terminar, y también una copia completa de su base de datos si la quiere.
Pasados esos 30 días, Oksigenia borra la instalación y sus datos. Las copias de seguridad se van borrando solas en los 30 días siguientes, según su rotación.
Oksigenia solo guarda lo que una ley le obligue a conservar, bloqueado.
Impago: la página de reservas se pausa y los datos se conservan. Si el negocio no regulariza, se aplica esta misma sección.

9. Normativa

Reglamento (UE) 2016/679 (RGPD), artículo 28, y Ley Orgánica 3/2018 (LOPDGDD), artículo 33.

10. Aceptación

El negocio acepta este contrato al contratar el servicio de reservas. La aceptación se guarda con su fecha. El contrato forma parte de las condiciones del servicio de VivaWebs (sección 11).

Anexo I — Medidas de seguridad

Son las que ya están en marcha, no promesas.

Instalación separada por negocio: su propia aplicación y su propia base de datos, con un usuario que solo ve la suya.
Servidores en la UE, con acceso de administración solo con llave SSH (sin contraseñas) y cortafuegos que solo abre lo imprescindible.
Todo el tráfico cifrado (HTTPS).
Panel del negocio con contraseña: límite de intentos por minuto (y, en alojamiento, bloqueo tras varios fallos), registro de accesos durante 13 semanas y aviso si hay un ataque de contraseñas.
Formularios de reserva protegidos contra robots, sin molestar al cliente: comprobación automática en los tres tipos, que no se ve ni pide nada (en citas, una prueba que resuelve el navegador sin servicios de terceros; en mesas, alojamiento, clases y salas, la de la red de protección que ya usa la web, que solo pide un clic si ve algo raro y nunca pone puzles), límite de envíos por dirección IP y, en alojamiento, campo trampa y como mucho 3 solicitudes por hora desde la misma dirección.
Descarga de los datos por el propio negocio: desde su portal, cuando quiera, en un formato abierto. La descarga pide la clave de su instalación, que nunca viaja en una dirección web, y cada descarga queda registrada.
Copias de la base de datos cada hora, guardadas 48 horas, y una diaria durante 30 días. Copia nocturna fuera del servidor, cifrada antes de salir con una clave que solo tiene Oksigenia. La restauración se prueba cada semana.
Vigilancia cada 5 minutos, con aviso inmediato al equipo técnico si una página de reservas deja de responder o falta una copia.
Actualizaciones: versiones fijadas, revisión mensual y parches de seguridad en cuanto salen.
Ficheros de configuración y bases de datos fuera del alcance de la web.
Página de reservas sin analítica, sin anuncios y sin cookies más allá de las técnicas y de seguridad.

Última actualización: 2 de octubre de 2026