Política de privacidad de Orclaus Management y Alohara

Versión 1.1 — vigente desde el 28 de julio de 2026

1. Alcance e identidad

Esta política se aplica a Orclaus Management S.L.U. y a su sitio de reservas de marca Alohara, www.alohara.com, así como a todos los alojamientos turísticos que Orclaus gestiona.

Dato	Información
Empresa gestora	Orclaus Management S.L.U.
NIF / VAT	B72773823 / ESB72773823
Domicilio	Calle Almería, 5, 3.º I, 12594 Oropesa del Mar (Castellón), España
Contacto de privacidad	[email protected]
Sitio web	www.alohara.com

2. Quién es responsable de cada tratamiento

Orclaus es responsable de los tratamientos que determina y realiza a través de Alohara y durante la gestión profesional de los alojamientos: funcionamiento del sitio web, consultas y reservas directas, comunicaciones, coordinación de pagos, check-in y acceso, atención al huésped, incidencias, limpieza, mantenimiento, seguridad, organización, facturación propia y defensa de reclamaciones.

Orclaus también es responsable del registro y comunicación legal de viajeros a SES Hospedajes, que realiza como empresa gestora con sus propias credenciales. Esa comunicación contiene los datos de viajeros, establecimiento, reserva o transacción y demás campos exigidos; no incorpora datos personales del propietario.

El contrato de alojamiento se celebra entre el huésped y el propietario correspondiente. Por ello, el propietario puede acceder a los datos del huésped y de la estancia que sean necesarios para:

• conocer quién se aloja en su propiedad y comprobar la ocupación autorizada;
• cumplir, gestionar y defender el contrato de alojamiento;
• gestionar cobros, liquidaciones, facturación, contabilidad o seguros;
• conocer y resolver daños, incidencias, incumplimientos o reclamaciones; y
• atender obligaciones legales o defender sus derechos en un procedimiento.

Este acceso puede comprender identidad y contacto del huésped, acompañantes, alojamiento, fechas, importes y estado del pago, comunicaciones o incidencias relevantes y documentación necesaria. No comprende números completos de tarjeta ni información de otras propiedades. El acceso se limita a los alojamientos del propietario y a la información necesaria para esas finalidades.

Cuando el propietario utiliza esos datos para sus propias obligaciones contractuales, fiscales, aseguradoras o para formular o defender reclamaciones, actúa como responsable independiente de esos tratamientos. Orclaus sigue siendo responsable de sus propios procesos de gestión y de la seguridad y administración de Alohara.

Orclaus utiliza Holidario Innovations S.L.U. como encargado del tratamiento para operar el software de gestión. Los proveedores técnicos de Holidario pueden intervenir como subencargados bajo las garantías aplicables.

Puedes escribir a [email protected] para conocer la identidad del propietario asociado a una reserva o para que Orclaus remita una solicitud relacionada con sus tratamientos.

3. Datos tratados

Según la relación y los servicios utilizados, podemos tratar:

• nombre, apellidos, documento identificativo, nacionalidad, fecha de nacimiento, sexo y datos de contacto;
• datos de acompañantes y relación entre viajeros cuando lo exige el registro;
• alojamiento, reserva, fechas, precio, preferencias, solicitudes e incidencias;
• mensajes, llamadas, archivos, imágenes y comunicaciones antes, durante y después de la estancia;
• pagos, devoluciones, facturas, referencias bancarias o de la operación;
• acceso al alojamiento, check-in, check-out, llaves y autorizaciones;
• dirección IP, dispositivo, sesión, consentimiento, seguridad y auditoría; y
• datos de propietarios, personal, contratistas y proveedores necesarios para la gestión.

Los datos proceden de ti, de la persona que reserva, del propietario, de una OTA o canal, de proveedores de pago o comunicación y de autoridades o fuentes legítimas.

No facilites por chat o campos libres contraseñas, números completos de tarjeta, copias de documentos, datos sanitarios u otros datos sensibles salvo que una función segura los solicite expresamente y sean necesarios.

4. Finalidades, bases y conservación

Finalidad	Base principal	Conservación ordinaria
Consultas, reserva, estancia, acceso y atención	Medidas precontractuales solicitadas por el huésped y gestión del contrato de alojamiento; interés legítimo de Orclaus y del propietario en organizar, prestar y documentar el servicio	Durante la relación y el plazo indicado para conversaciones
Registro y comunicación de viajeros	Obligación legal, incluido el Real Decreto 933/2021	El registro de viajeros se conserva 3 años desde el final del servicio, conforme a la norma
Pagos, devoluciones, facturas y contabilidad	Ejecución contractual y obligaciones fiscales o mercantiles	Documentación fiscal: 4 años; documentación mercantil y facturas: 6 años, salvo interrupción o plazo superior
Conversaciones originales con huéspedes	Ejecución del contrato e interés legítimo en atención, calidad, incidencias y defensa de derechos	Hasta 3 años desde el check-out; después se eliminan o anonimizan de forma irreversible, salvo bloqueo por una obligación o reclamación real
Tickets e incidencias operativas	Ejecución del contrato e interés legítimo en resolver y documentar el servicio	Hasta 3 años desde el cierre; después se eliminan o anonimizan de forma irreversible, salvo bloqueo por una obligación o reclamación real
Seguridad, fraude y defensa de reclamaciones	Interés legítimo y obligación legal	Durante la investigación y los plazos aplicables, con acceso limitado
Marketing propio	Consentimiento o relación previa válida para servicios similares, con derecho de oposición	Hasta retirar el consentimiento u oponerse; se conserva evidencia mínima de la baja

Los tres años de conversaciones y tickets son el plazo definido por Orclaus para esas finalidades; no se presentan como un plazo legal general. Si un litigio, requerimiento u obligación concreta exige conservar un elemento, se bloqueará y limitará al tiempo aplicable.

Las copias técnicas de Holidario contienen los datos originales: copias diarias de base de datos durante 90 días, semanales durante 12 meses y un espejo privado diario de archivos donde las eliminaciones del origen se propagan. Los datos eliminados no vuelven al uso activo salvo recuperación autorizada.

5. Destinatarios e integraciones

Podemos comunicar datos, en la medida necesaria, a:

• el propietario del alojamiento y su personal autorizado, con acceso limitado a sus propiedades y a los datos necesarios para el contrato, la gestión y la defensa de sus derechos;
• Holidario y sus proveedores de infraestructura, correo, observabilidad e IA;
• Airbnb, Booking.com y otros canales utilizados para la reserva;
• Channex para la sincronización del canal;
• Twilio, Telegram u otros operadores de comunicación habilitados;
• PrintNode para impresión remota cuando el documento deba imprimirse;
• Microsoft Azure Document Intelligence si se activa el reconocimiento de facturas;
• Mapbox para mapas, geocodificación o rutas;
• Redsys, el banco adquirente y las entidades bancarias para pagos;
• Scalapay si eliges el pago aplazado;
• SES Hospedajes, AEAT, INE/IRIA, órganos judiciales, Fuerzas y Cuerpos de Seguridad y otras autoridades cuando exista obligación; y
• asesores, aseguradoras y profesionales sujetos a confidencialidad.

Redsys, Scalapay, bancos, OTAs y autoridades pueden actuar como responsables independientes para sus propias obligaciones. Sus políticas se aplican a esos tratamientos.

6. Inteligencia artificial

Orclaus puede usar funciones de IA de Holidario para analizar conversaciones y proponer incidencias, buscar recursos autorizados o preparar contenido.

Antes de enviar información al proveedor:

• los identificadores de mensajes se sustituyen por índices o alias;
• el contenido SEO se anonimiza cuando puede contener datos personales;
• el asistente interno utiliza Presidio y tokens efímeros para que un nombre, código o valor de búsqueda autorizado llegue al modelo como referencia opaca; y
• los datos personales ajenos a una búsqueda autorizada bloquean el envío.

Los chats y tokens efímeros del asistente se eliminan a los 60 minutos. Holidario utiliza una cuenta OpenRouter controlada por Orclaus y rutas upstream ZDR fijadas, con registro de prompts, entrenamiento, publicación y programas de uso de datos desactivados.

ZDR limita la retención de prompts y respuestas, pero no impide el procesamiento durante la solicitud ni posibles metadatos técnicos o de facturación. La detección no es infalible, por lo que el equipo recibe instrucciones de minimizar datos y no introducir credenciales, tarjetas completas, documentos oficiales o categorías especiales.

Las propuestas de agentes quedan sujetas a permisos y confirmación humana. No adoptamos decisiones únicamente automatizadas con efectos jurídicos o similares sobre huéspedes o trabajadores.

7. Transferencias internacionales

La infraestructura principal y las copias R2 indicadas están en el Espacio Económico Europeo. Algunos proveedores, OTAs o sus subencargados pueden tratar datos fuera del EEE. Orclaus y Holidario utilizan el mecanismo aplicable —decisión de adecuación, cláusulas contractuales tipo y medidas complementarias u otra garantía válida— cuando contratan al destinatario como encargado.

Una integración o medio de pago elegido puede implicar una transferencia bajo las condiciones del proveedor independiente. Puedes pedir información sobre una operación concreta en [email protected].

8. Cookies y servicios del navegador

Alohara utiliza cookies y tecnologías esenciales para navegación, seguridad, idioma, disponibilidad y reserva. La medición publicitaria de conversiones de Google Ads, cuando esté configurada, solo se carga después del consentimiento correspondiente. Alohara no utiliza actualmente Google Analytics para elaborar estadísticas generales de navegación.

Los mapas de Mapbox se cargan automáticamente al acceder a una ficha de alojamiento o al área del huésped porque forman parte de la función de localización ofrecida en esas páginas. Mapbox puede recibir la IP y datos técnicos de la sesión necesarios para servir y contabilizar el mapa; la recopilación opcional de métricas de rendimiento está desactivada. Los vídeos externos permanecen bloqueados hasta que el usuario solicita su reproducción. Los componentes del medio de pago pueden comunicar IP, dispositivo y contexto técnico cuando se utiliza esa función.

El gestor de cookies permite aceptar, rechazar o cambiar las categorías no esenciales y renueva la decisión, como máximo, cada 12 meses. La información detallada se encuentra en la política de cookies.

9. Menores

Podemos tratar datos de viajeros menores cuando formen parte de una reserva y sean necesarios para prestar el alojamiento o cumplir el registro legal. La persona que reserva debe estar legitimada para facilitarlos. No utilizamos datos de menores para perfiles publicitarios.

10. Derechos

Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad u oposición y retirar el consentimiento sin afectar al tratamiento previo. También puedes oponerte al marketing directo.

Escribe a [email protected], indicando la reserva o relación y el derecho. Podemos pedir información ya proporcionada para verificar tu identidad. Orclaus responderá respecto de sus propios tratamientos. Si la solicitud se refiere al tratamiento independiente realizado por el propietario, te indicará su identidad o le trasladará la solicitud para que pueda atenderla.

Puedes reclamar ante la Agencia Española de Protección de Datos.

11. Seguridad, incidentes y cambios

Orclaus y Holidario aplican roles y permisos, mínimo privilegio, protección de credenciales, cifrado en tránsito, copias privadas, registros depurados, actualizaciones, gestión de incidentes y seudonimización de IA.

Si detectas un acceso o uso no autorizado, escribe cuanto antes a [email protected].

Publicaremos la versión vigente y su fecha. Los cambios materiales se comunicarán por un medio adecuado cuando corresponda.