Erreserba-plataformak (Booking, Airbnb) landa-etxe batean: zer kontuan hartu RGPDren arabera

Edozein landa-etxeren erreserben zati handi bat gaur egun Booking, Airbnb edo landa-ostatuetan espezializatutako atari espezializatuagoen bidez iristen da. Jabearentzat, kanal horiek ezinbesteko tresna komertziala dira. Datuen babesarentzat, gonbidatuaren eta ostatuaren arteko bitarteko geruza bat dira, azterketa espezifikoa merezi duena: nor da zeren arduraduna? Zer dokumentu dagokio haiekin sinatzea? Zer gertatzen da hortik sartzen diren gonbidatuaren datuekin? Eta plataformarekiko harremana hausten denean?

Gida honek DBEOren erregimena berrikusten du landa-etxe baten eta erreserba-atarien arteko harremanari aplikatuta: arduradun independentearen eta tratamendu-eragilearen arteko bereizketa funtsezkoa, gonbidatuaren datuen benetako fluxua, DBEOren 13. artikuluko informatzeko betebeharra eta urraketa, atxikipen eta kanal-bajen kudeaketa.

Nola funtzionatzen duten erreserba-plataformek RGPDren ikuspegitik

DBEOk datu pertsonalak tratatzen dituen edozein erakunderentzat bi rol nagusi bereizten ditu:

• Tratamenduaren arduraduna (DBEOren 4.7 art.): tratamenduaren helburuak eta bideak erabakitzen dituena.
• Tratamendu-eragilea (DBEOren 4.8 art.): arduradunaren kontura datu pertsonalak tratatzen dituena, bere jarraibideak jarraituz, helburuak erabaki gabe.

Bi rol horiei arduradun paraleloak edo baterakoak (DBEOren 26. art.) gehitzen zaie, bi erakundek helburuak eta bideak batera zehazten dituztenean agertzen dena. Erreserba-atari bat arduradun independente, eragile edo arduradunkide gisa kalifikatzea datu-fluxu errealaren eta erabaki bakoitza nork hartzen duen araberakoa da.

Bereizketa funtsezkoa: arduradun independentea ala tratamendu-eragilea?

Erantzuna ez da uniformea: atari zehatzaren eta fluxuko unearen araberakoa da. Irizpide orokor gisa, azken kontsumitzaileari zuzendutako atari handiei (Booking, Airbnb, Expedia edo baliokideak) dagokienez, irakurketa hedatuena eta kontserbadoreena da normalean arduradun independente gisa jokatzen dutela gonbidatuaren datuen gainean, eta ez ostatuaren eragile gisa. Arrazoi operatiboak irakurketa horrekin koherenteak dira:

• Atariak gonbidatuaren datuak bere kontura jasotzen ditu (erabiltzailearen erregistroa atarian, bezeroaren profila, bilaketak eta erreserbak), ostatuak parte hartu aurretik.
• Gonbidatuaren datu-base propioa mantentzen du, ostatuarenetik aparte, eta atariaren helburu propioetarako erabiltzen du (gomendioak, fidelizazioa, komunikazio komertzialak, profila).
• Erreserba ostatuari transmititzen dionean, ez du ostatuaren jarraibideak jarraituz egiten, bere baldintzak aplikatuz baizik.
• Gonbidatuak atariaren pribatutasun politika propioa jasotzen du eta bere eskubideak atariaren aurrean zuzenean erabiltzen ditu.

B2B kanal espezializatuagoen kasuan (channel managerrak, eskuragarritasuna soilik banatzen duten eta ostatuaren jarraibideak jarraituz erreserbak jakinarazten dituzten nitxo-atariak) irakurketa desberdina izan daiteke: hor ariago da ataria ostatuaren tratamendu-eragile gisa jokatzea, eta horrek DBEOren 28. artikuluko kontratua aktibatzen du.

Booking, Airbnb edo edozein beste plataformaren rolari buruzko baieztapen erabatekoa eta unibertsala zuhurtziarik gabea litzateke: rol zehatza atariaren negozio-ereduaren eta datu-fluxu errealaren araberakoa da. Arau praktikoa hau da: kasuz kasu aztertu, atariak datuen tratamenduari buruz dituen klausulak irakurri eta, zalantzarik baduzu, kontsulta espezialista bati planteatu.

Plataformak arduradun independente gisa jokatzen duenean

Eszenatoki honetan —Booking eta Airbnb-rekin ohikoena dena— bi aldeak arduradun paraleloak dira gonbidatuaren datuen gainean, bakoitza bere tratamendu-zatiagatik:

• Ataria jasotzearen, erabiltzailearen profilaren, atariaren marketinaren, bere datu-base historiko propioaren eta gonbidatuaren eskubideei zati horren aurrean erantzutearen arduraduna da.
• Landa-etxea, bere aldetik, egonaldia kudeatzeko jasotzen dituen datuen arduraduna da: erreserbaren berrespena, ostatu-zerbitzuaren prestazioa, 933/2021 Errege Dekretua betetzea, fakturazioa, erreklamazioak artatzea eta, dagokionean eta oinarri propioarekin, komunikazio komertzialak edo fidelizazio-programa propioa.

Alde bakoitzak gonbidatuari erantzuten dio bere tratamendu-kuotagatik. Ostatua ez da askatzen DBEOtik plataforma baten bidez erreserba sartu izanagatik: jasotzen dituen datuekin egiten duen tratamenduaren arduraduna da artean.

Plataformak tratamendu-eragile gisa jokatzen duenean

Kontsumitzaileari zuzendutako atari handiekin ez da hain ohikoa, baina channel managerrekin, integratutako erreserba-motoreekin eta B2B kanal espezializatu jakin batzuekin gertatzen da: atariak ostatuaren kontura tratatzen ditu gonbidatuaren datuak, bere jarraibideak jarraituz, helburu propio esanguratsurik gabe. Kasu horretan:

• DBEOren 28. artikuluko tratamendu-eragilearen kontratua sinatzea dagokio, 28.3 artikuluko gutxieneko edukiarekin (objektua, iraupena, tratamenduaren izaera eta helburua, datu-mota, arduradunaren betebeharrak eta eskubideak, etab.).
• Eragileak ostatuaren jarraibide dokumentatuen arabera lan egin behar du, langileen konfidentzialtasunarekin konprometitu, neurri tekniko eta antolakuntzakoak aplikatu eta arduradunari urraketak jakinarazi.
• Kontratua amaitzean, DBEOren 28.3.g artikulua aplikatzen da: eragileak datuak itzuli edo ezabatu behar ditu, arduradunaren aukeran. Praktikan, lehenik datu-basea formatu erabilgarrian ostatura esportatu eta horren ondoren bakarrik eragilearen sistemetan ezabatzeari ekin.

Plataformatik ostatuak gonbidatuaren zer datu jasotzen dituen eta nola tratatu

Erreserba bat ataririk bidez iristen denean, ostatuak normalean datu-multzo mugatu bat jasotzen du: gonbidatu nagusiaren izena, harremana, datak, pertsona-kopurua, zenbatekoa eta, kasu batzuetan, ordainketaren datu partzialak. Arau praktikoa hau da:

• Datu horiek erreserbaren helburuetarako bakarrik tratatu: zerbitzuaren prestazioa, RD 933/2021 betetzea, fakturazioa eta, hala badagokio, gonbidatuarekiko komunikazio operatiboak.
• Check-inean ezinbestekoa osatu (identitate-dokumentuaren datuak bidaiarien parterako), gidaren urrezko araua aplikatuz: datuak idatzi, ez dokumentua fotokopiatu.
• Datuak ez erabili marketin propiorako oinarri legitimo propiorik gabe (gonbidatuaren baimena landa-etxeari, edo lehendik dagoen bezeroengan produktu analogoen interes legitimoa, LSSICEren 21.2 artikuluko terminoetan).
• Fluxua RATen dokumentatu: datuaren jatorria (plataforma), helburuak, oinarri juridikoa eta epeak.

Informatzeko betebeharraren (DBEOren 13. art.) koordinazioa plataformarekin

DBEOren 13. artikuluko informatzeko betebeharra aktibatzen da ostatuak datu pertsonalak biltzen dituen bakoitzean, kanala edozein dela. Plataformaren pribatutasun politikak atariaren tratamendu-zatia bakarrik estaltzen du. Praktikan:

• Gonbidatuak atariaren pribatutasun politika propioa jasotzen du erregistratzean eta plataforman erreserbatzean.
• Landa-etxearekin kontaktu zuzena duenean —ostatuaren berrespeneko posta elektronikoa, check-in aurreko mezua, iristean betetzeko erregistro-fitxa— ostatuaren informazio-klausula propioa ere jaso behar du.
• Ostatuaren klausulak plataforma datuaren jatorri gisa aipatu behar du (hala denean) eta Segurtasun Indar eta Kidegoak nahitaezko jakinarazpenaren hartzaile gisa (RD 933/2021).

Informazio bikoitz hori ez da soberakoa: alde bakoitzak bere tratamendu-kuotaren berri ematen du.

Segurtasun-urraketak plataforman

Atari handi baten sistemetan urraketa bat eszenatoki errealista da. Erantzukizunen banaketa eragindako datuen gaineko alde bakoitzaren rolaren araberakoa da:

• Urraketak atariaren kontrolpean dauden datuei eragiten badie arduradun independente gisa, AEPDri eta, hala badagokio, eraginpekoei jakinarazteko betebeharra plataformari dagokio batez ere (DBEOren 33. eta 34. art.).
• Urraketak ostatuak jadanik bere kontrolpean dituen datuei eragiten badie —fitxak bere softwarean, parte fisikoak, kontratuak— jakinarazpen-betebeharra ostatuari dagokio arduradun gisa.
• Plataformak eragile gisa jokatzen badu eta urraketa bat jasaten badu, ostatuari (arduraduna) atzerapen bidegabekorik gabe jakinarazi behar dio (DBEOren 33.2 art.), eta ostatuak agintariari eta eraginpekoei jakinaraztea baloratzen du.

Horregatik garrantzitsua da urraketen barne-protokolo bat izatea, ataritik horretarako edozein komunikazio jasotzean balorazioa aktibatzen duena.

Plataformarekiko harremana amaitzen denean

Kanaletik irtetea arauak argi izan behar diren unea da:

• Plataforma tratamendu-eragile gisa ari bazen, DBEOren 28.3.g artikulua aplikatzen da: datuak formatu erabilgarrian (CSV, Excel) osorik itzultzeko eskubidea, eragilearen sistemetan ezabatu aurretik. Eragiketa zuzena da lehenik esportatzea, gero egiaztatzea eta amaieran idatziz ezabaketa eskatzea.
• Plataforma arduradun independente gisa ari bazen, ez da 28.3.g artikulua aplikatzen —ez zen eragilea—. Alde bakoitzak bere datu-basearen atxikipena kudeatzen du bere legezko epe eta betebeharren arabera. Ostatuak berak bildutako datuak osorik gordetzen ditu (bidaiarien partea, fakturazioa, fitxa propioak) dagokion denboraz.

Hortik gomendio praktiko funtsezko bat: ez egon atariaren mende bakarrik gonbidatuaren informazioa gordetzeko. RD 933/2021 betetzeko, fakturaziorako eta erreklamazioak artatzeko ezinbesteko datuak ostatuaren sistema propioan egon behar dira (edo giltzapean gordetzen den formatu fisikoan), ez atariaren interfazean soilik.

Landa-etxe bat edo ostatu turistiko txiki bat kudeatzen baduzu eta zure datuen babeseko dokumentazioa berrikusi nahi baduzu, Certixen landa-etxeekin bereziki lan egiten dugu. Komertzialik gabe: lehen kontaktutik, espezialista batekin hitz egingo duzu.

Eduki hau soilik orientagarria eta dibulgaziozkoa da; ez du inolaz ere aholkularitza juridiko espezializatua osatzen. Autonomia-erkidegoetako araudi sektorialak estatuko arauaren epeak eta betekizunak zabaldu edo aldatu ditzake. Araudia kasu zehatz bakoitzari aplikatzeak banakako azterketa eskatzen du.