1. Quiénes somos
Hospitalidad con Propósito es un proyecto del Instituto Tela, entidad brasileña sin fines de lucro (en adelante, "nosotros" o "el Instituto"), que actúa como responsable del tratamiento ("controlador de datos") de la información personal que recopilamos a través de esta plataforma.
Operamos una red de casas cristianas que reciben a viajeras, viajeros, estudiantes y misioneros en Brasil y España. Esta política cubre el piloto de España (dominio app.hospitalidadecomproposito.org) y se aplica a personas huéspedes, anfitrionas y anfitriones, y a cualquier visitante del sitio.
Los datos del piloto se alojan en la Unión Europea, en servidores de Supabase en Fráncfort (Alemania), y la aplicación se sirve desde la infraestructura de Vercel en la región de Fráncfort (fra1). El Instituto Tela, con sede en Brasil, permanece como responsable del tratamiento incluso cuando el alojamiento técnico está en la UE.
2. Qué datos recopilamos y para qué
Recopilamos únicamente los datos necesarios para operar cada funcionalidad del piloto. A continuación detallamos las categorías de datos por tipo de uso de la plataforma.
| Categoría | Datos tratados | Finalidad |
|---|---|---|
| Cuenta de usuario | Nombre, correo electrónico, contraseña (cifrada), idioma preferido, rol (huésped, anfitriona o administración). | Crear y gestionar tu cuenta, autenticarte y aplicar los permisos correctos según tu rol. |
| Solicitud de estancia sin cuenta | Nombre, contacto (WhatsApp y/o correo), fechas de la estancia, número de personas y propósito del viaje. | Permitir que cualquier persona solicite una estancia sin necesidad de registrarse, y que la anfitriona pueda evaluar y responder la solicitud. |
| Registro de la casa (anfitriona) | Título, descripción, fotos, ciudad y barrio aproximado (datos públicos); dirección exacta, coordenadas y teléfono de contacto (datos privados y sensibles de localización); reglas de la casa, idiomas e indicación de la iglesia que avala. | Publicar la casa en el catálogo y permitir la gestión segura de solicitudes de estancia. La dirección exacta nunca es pública: solo se revela al huésped después de que la anfitriona aprueba su solicitud. |
| Verificación de identidad (KYC de la anfitriona) | Documento de identidad y selfie, subidos a almacenamiento privado. | Confirmar que quien publica una casa es una persona real, mediante revisión humana en la curaduría. Estos archivos nunca son públicos. |
| Pago del Pasaporte del Viajero | Datos de la suscripción (plan, moneda, estado, fecha de vigencia) y recibo de pago. | Activar y renovar el Pasaporte del Viajero. Los datos de la tarjeta, Apple Pay o Google Pay se envían directamente a Stripe: nosotros nunca almacenamos el número de tarjeta ni datos de pago sensibles. |
| Correos transaccionales | Dirección de correo electrónico y contenido del mensaje enviado (confirmaciones, aprobaciones, recibos, recordatorios). | Notificarte sobre eventos relevantes de tu solicitud, cuenta o Pasaporte. Estos correos se envían mediante Resend. |
No recopilamos datos que el piloto no necesita: no hay seguimiento publicitario, no se piden datos financieros más allá de lo que gestiona directamente Stripe, y ninguna funcionalidad de donaciones está activa durante el piloto (ver sección 2 de los Términos de Uso).
3. Bases legales del tratamiento
Tratamos tus datos personales sobre la base de una de las siguientes bases legales, según el tipo de dato y finalidad:
- Ejecución de un contrato: para crear y mantener tu cuenta, procesar solicitudes de estancia, gestionar el registro de tu casa y activar el Pasaporte del Viajero. Sin estos datos no podemos prestarte el servicio que solicitas.
- Consentimiento: para comunicaciones de marketing o novedades que no sean estrictamente necesarias para el servicio. Puedes retirar tu consentimiento en cualquier momento sin afectar el resto del servicio.
- Interés legítimo: para prevención de fraude y abuso (por ejemplo, límites de envío de solicitudes) y para la curaduría de casas y pedidos, que sostiene la confianza de la red. Este interés se equilibra siempre con tus derechos y expectativas razonables de privacidad.
4. Plazos de conservación
Conservamos los datos personales solo durante el tiempo necesario para las finalidades descritas, según los siguientes plazos:
- Contacto de la persona huésped en una solicitud de estancia (Inquiry): se elimina 60 días después de la decisión (aprobación, rechazo o expiración de la solicitud).
- Documentos de verificación de identidad (KYC) de la anfitriona: se eliminan 30 días después de completada la verificación.
- Exclusión de cuenta: al solicitar la baja, tu cuenta se desactiva de inmediato y tus datos personales se anonimizan en un plazo máximo de 72 horas.
- Registros de auditoría de acciones sensibles (curaduría, cortesías, cambios de estado): se conservan como registro inmutable por motivos de seguridad e integridad de la plataforma, sin datos de contacto directo cuando ya no son necesarios.
5. Con quién compartimos tus datos
No vendemos tus datos personales. Los compartimos únicamente con los encargados del tratamiento estrictamente necesarios para operar la plataforma, todos bajo contrato de tratamiento de datos:
- Supabase (base de datos, autenticación y almacenamiento de archivos) — región Fráncfort, UE.
- Vercel (alojamiento de la aplicación) — región Fráncfort, UE (fra1).
- Stripe (procesamiento de pago del Pasaporte del Viajero) — recibe directamente los datos de pago; nosotros no los almacenamos.
- Resend (envío de correos electrónicos transaccionales) — recibe tu correo y el contenido del mensaje enviado.
También podemos compartir datos con autoridades públicas cuando exista una obligación legal, o con la iglesia/comunidad que avala una casa, limitado a la información pública del aval (nunca datos privados del huésped).
6. Transferencias internacionales de datos
El Instituto Tela tiene sede en Brasil y los datos del piloto se alojan en la Unión Europea. Esto implica flujos de datos entre Brasil y la UE en ambos sentidos (por ejemplo, para la administración de la plataforma por el equipo del Instituto).
Estas transferencias se amparan en el Capítulo V del Reglamento General de Protección de Datos (RGPD/GDPR) de la UE y en el artículo 33 de la Ley General de Protección de Datos de Brasil (LGPD), mediante Cláusulas Contractuales Tipo (Standard Contractual Clauses), conforme al modelo aprobado por la Resolución CD/ANPD n.º 19/2024 de la Autoridad Nacional de Protección de Datos de Brasil.
7. Tus derechos y cómo ejercerlos
Conforme al RGPD y a la LGPD, tienes derecho a:
- Acceso y portabilidad: solicitar una copia de tus datos personales y exportarlos en un formato legible, desde tu cuenta o escribiéndonos.
- Rectificación: corregir datos inexactos o incompletos.
- Supresión ("derecho al olvido"): solicitar la eliminación de tus datos, sujeto a los plazos de conservación legales descritos en la sección 4.
- Oposición: oponerte al tratamiento basado en interés legítimo, o retirar tu consentimiento para comunicaciones de marketing en cualquier momento.
Puedes ejercer estos derechos directamente en tu cuenta (sección de privacidad, exportación y exclusión) o escribiendo al encargado de protección de datos indicado en la sección 10. Respondemos toda solicitud en un plazo razonable y, en cualquier caso, dentro de los plazos exigidos por la ley aplicable.
8. Seguridad de la información
Aplicamos privacidad desde el diseño: toda tabla de nuestra base de datos nace con seguridad a nivel de fila (RLS) habilitada y con política de negación por defecto, de modo que ningún dato es público a menos que lo hayamos decidido explícitamente. La dirección exacta de una casa, el teléfono, el correo y los documentos de identidad nunca son legibles públicamente. Las fotos de documentos se guardan en almacenamiento privado con enlaces de acceso firmados y de corta duración.
Los roles de usuario (huésped, anfitriona, administración) se verifican siempre en el servidor, nunca a partir de información editable desde el navegador de la persona usuaria.
10. Cambios en esta política
Podemos actualizar esta política cuando cambien nuestras prácticas o la normativa aplicable. Publicaremos siempre la versión y la fecha de la última actualización en la parte superior de esta página. Si el cambio es sustancial, te lo notificaremos por los medios habituales de la plataforma.
Esta es la versión 1.0, publicada el 06/08/2026.
11. Contacto y encargado de protección de datos (DPO)
Para cualquier consulta sobre esta política o para ejercer tus derechos, puedes escribirnos a contacto@hospitalidadecomproposito.org.