Política de Privacidad

En INDUSTRIAS TURÍSTICAS DINS PINS, S.L. nos tomamos muy en serio la privacidad de nuestros clientes. La presente Política de Privacidad (en adelante, la "Política") explica cómo recabamos, tratamos y protegemos los datos personales que nos facilita a través del sitio web udumbaraformentera.com y del centro Udumbara, de acuerdo con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y demás normativa aplicable.

1. Responsable del tratamiento

2. Datos que tratamos

En función de la relación que mantenga con nosotros recabamos las siguientes categorías de datos:

• Datos identificativos y de contacto: nombre completo, dirección de correo electrónico, número de teléfono, idioma de preferencia.
• Datos de la reserva: servicio solicitado, fecha y hora, notas adicionales, importe, referencia interna.
• Datos de pago: son tratados directamente por Stripe Payments Europe, Ltd. Nosotros no almacenamos números de tarjeta ni CVC. Conservamos únicamente el identificador de la operación, el importe y la fecha del cobro a efectos contables y de reembolso.
• Datos de navegación: dirección IP, tipo de navegador, sistema operativo, páginas visitadas, fecha y hora de acceso. Usados con fines técnicos, estadísticos y de seguridad.
• Categorías especiales de datos (datos de salud): si el cliente opta por incluir voluntariamente en el campo "Notas" información relevante para el tratamiento (embarazo, alergias, lesiones, enfermedades crónicas, medicación, etc.). Estos datos se consideran categoría especial conforme al art. 9 RGPD y reciben protección reforzada. La comunicación de esta información es siempre facultativa; el cliente puede optar por no comunicarla y en ese caso el profesional asumirá las precauciones estándar del sector.

3. Finalidades y base legal

4. ¿Durante cuánto tiempo conservamos los datos?

• Datos de la reserva y del cliente: durante la relación comercial y, después, el plazo legal exigible (6 años para facturas por obligación fiscal — art. 66 LGT y art. 30 C. Com).
• Datos de salud del cliente: se conservan únicamente mientras son necesarios para el seguimiento del cliente y, en todo caso, no más de 2 años desde la última cita; cumplido ese plazo, se suprimen o anonimizan.
• Registros de auditoría y seguridad: 12 meses.
• Registro de accesos al servidor web (incluida la dirección IP): 90 días. Cumplido ese plazo, el fichero del día correspondiente se borra automáticamente.
• Cookies: ver Política de Cookies.

5. Destinatarios: quién más ve sus datos

No vendemos sus datos personales ni los cedemos a terceros para que los usen con fines propios, salvo obligación legal. Sí acceden a ellos, por cuenta del centro y sólo para poder prestarle el servicio, las personas y los proveedores que se detallan a continuación.

5.1. Las profesionales que le atienden

Udumbara es un centro de INDUSTRIAS TURÍSTICAS DINS PINS, S.L. Los tratamientos los realizan profesionales autónomas independientes que colaboran con el centro, y no personal contratado por la sociedad. Para preparar y realizar su cita, la profesional que corresponda accede, desde el panel de gestión del centro, a los datos de su reserva: nombre, teléfono, correo electrónico, servicio, fecha y hora, y las notas que usted haya escrito, incluidas las de salud. En la agenda compartida de Google Calendar del centro figuran además su nombre, su teléfono y el tratamiento reservado. Desde el 6 de agosto de 2026 el contenido de sus notas no se copia a esa agenda: en el evento sólo aparece un aviso de que la reserva tiene notas, que la profesional lee dentro del panel de gestión. En las citas anteriores a esa fecha, esa información puede seguir figurando dentro del evento del calendario.

Para que esta información sea exacta, conviene precisar cómo funciona hoy ese acceso: el panel muestra las reservas por especialidad (masajes, tratamientos Phytomer, estética), de modo que las profesionales de una especialidad ven las reservas de esa especialidad y no únicamente las citas que atienden personalmente. La administración del centro accede a todas.

Estas profesionales tratan sus datos por cuenta del centro y sólo para atenderle. Quien decide qué datos se piden, con qué finalidad, cuánto tiempo se conservan y quién puede verlos —y quien responde ante usted del ejercicio de sus derechos— es INDUSTRIAS TURÍSTICAS DINS PINS, S.L. Todas las personas que intervienen en el tratamiento están sujetas al deber de confidencialidad del art. 5 de la LOPDGDD (la ley española de protección de datos), que subsiste aunque termine la colaboración.

5.2. Proveedores y encargados del tratamiento

El funcionamiento del sitio web, la gestión del centro y las obligaciones administrativas de la sociedad se apoyan en los siguientes proveedores y profesionales, que tratan datos personales por nuestra cuenta como encargados del tratamiento (art. 28 RGPD):

• Stripe Payments Europe, Ltd. (Irlanda) — procesamiento de pagos con tarjeta.
• Google Ireland Ltd. (Irlanda) — Gmail (Google Workspace) para correo transaccional y Google Calendar para la agenda de citas.
• Google Ireland Ltd. (Irlanda) — Google Analytics 4 para la medición de audiencia del sitio web; solo se activa si el usuario presta su consentimiento a través del banner de cookies.
• Google Ireland Ltd. (Irlanda) — Google Drive, donde se guarda la copia de seguridad diaria de la base de datos del centro (ver apartado 7).
• Cloudflare, Inc. (EE. UU.) — CDN y red de distribución global del sitio web, con Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y adhesión al EU-US Data Privacy Framework.
• Asesoría externa de contabilidad y fiscalidad — la asesoría que presta al responsable los servicios de contabilidad y fiscalidad de la sociedad y que, para ello, recibe las facturas y los justificantes de cobro y de pago en los que puede figurar el nombre de una clienta. Finalidad: cumplir las obligaciones contables y fiscales del centro; base jurídica: obligación legal (art. 6.1.c RGPD).

Transferencias internacionales: algunos de los encargados anteriores en los que se indica un país fuera del Espacio Económico Europeo procesan datos en ese país. Dichas transferencias están amparadas por decisiones de adecuación de la Comisión Europea y/o Cláusulas Contractuales Tipo. Cuando junto a un encargado no se indica ningún país, esta política no afirma que trate datos fuera del Espacio Económico Europeo ni que lo haga dentro; si se constatara una transferencia internacional, se actualizará este apartado.

Google Fonts — un caso aparte: las tipografías del sitio web se cargan desde servidores de Google LLC (EE. UU.) en cuanto se abre cualquier página de la web pública —estas páginas legales no cargan ninguna—, de modo que su navegador transmite a Google su dirección IP y los datos técnicos de la petición. Ocurre antes de que usted pueda decidir sobre las cookies, porque no es una cookie sino una descarga. No lo incluimos entre los encargados del tratamiento del art. 28: es un servicio abierto y gratuito de Google, sin cuenta de cliente ni contrato de encargo asociado, y Google trata esa dirección IP conforme a su propia política de privacidad. El centro está estudiando alojar las tipografías en su propio servidor para eliminar esa transmisión; cuando se haga, se hará constar aquí con su fecha.

Google Maps — el mismo caso: la portada y la página de contacto muestran un mapa incrustado de Google Maps. Ese mapa se carga desde servidores de Google LLC (EE. UU.): cuando la sección del mapa se acerca a la pantalla, su navegador se lo pide a Google y le transmite su dirección IP y los datos técnicos de la petición, sin que usted tenga que pulsar nada. No depende del banner de cookies: el mapa se le pide a Google decida usted lo que decida, porque no es una cookie sino una descarga. Ninguna otra página de la web incrusta el mapa, y estas páginas legales tampoco. Tampoco lo incluimos entre los encargados del tratamiento del art. 28, por la misma razón que Google Fonts: es el mapa incrustado abierto y gratuito de Google —la dirección que usamos no lleva clave ni cuenta de cliente— y no hay contrato de encargo asociado; Google trata esa dirección IP conforme a su propia política de privacidad, y el centro no controla qué recoge Google a través de ese marco. Si prefiere evitar esa conexión, la forma segura de impedirla es bloquear el contenido de terceros en su navegador. El mapa no se pide al abrir la página, sino en diferido, cuando va a aparecer en pantalla; tenga en cuenta que el enlace con nuestra dirección está al pie de la portada y de la página de contacto, es decir por debajo del propio mapa, así que llegar hasta él pasando por delante ya dispara la carga. Ese enlace sí le sirve, en cambio, para abrir la ubicación cuando usted quiera: sólo conecta con Google si lo pulsa.

Contratos del art. 28 RGPD: la normativa exige que la relación con cada encargado del tratamiento conste por escrito en un contrato. El centro está formalizando y archivando esa documentación, tanto con los proveedores de esta lista como con las profesionales del apartado 5.1. A la fecha de esta versión no está completa, y por eso no afirmamos que lo esté. Se hará constar aquí, con su fecha, en cuanto lo esté.

6. Derechos del interesado

Puede ejercer en cualquier momento los siguientes derechos sobre sus datos personales:

• Acceso: solicitar información sobre los datos que tratamos sobre usted.
• Rectificación: solicitar la corrección de datos inexactos.
• Supresión ("derecho al olvido"): solicitar la eliminación de sus datos.
• Limitación del tratamiento.
• Portabilidad: recibir sus datos en formato estructurado.
• Oposición al tratamiento.
• Revocación del consentimiento otorgado, sin efecto retroactivo.
• No ser objeto de decisiones automatizadas: no tomamos decisiones automatizadas que produzcan efectos jurídicos sobre usted.

Para ejercerlos, envíe un email a [email protected] acompañado de copia de su DNI o documento identificativo oficial. Responderemos en un plazo máximo de un mes.

Si considera que el tratamiento no se ajusta a la normativa, también tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es).

7. Medidas de seguridad

Hemos adoptado las medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos, entre otras:

• Conexión cifrada HTTPS/TLS 1.2+ en todo el sitio.
• Cifrado AES-256-GCM de los tokens de acceso a Google Calendar almacenados en base de datos.
• Contraseñas almacenadas con bcrypt, política de contraseña robusta y bloqueo temporal del acceso tras varios intentos fallidos. El doble factor de autenticación (TOTP) está disponible en el panel de gestión y activado en la cuenta titular del centro.
• Registros de auditoría de todas las acciones administrativas.
• Copias de seguridad: la copia que sale del servidor hacia el almacenamiento en la nube (Google Drive) se cifra con AES-256 antes de salir; la copia que permanece en el propio servidor está comprimida, pero no cifrada, y sólo se puede leer desde el propio servidor o descargar desde el panel de gestión por la cuenta titular del centro.
• Acceso a los datos de salud restringido: sólo se leen dentro del panel de gestión, y únicamente por las profesionales de la especialidad correspondiente y por la administración del centro, sujetas al deber de confidencialidad del art. 5 LOPDGDD (ver apartado 5.1). Desde el 6 de agosto de 2026 no se copian a la agenda compartida de Google Calendar —en las citas anteriores a esa fecha pueden seguir figurando en el evento—, no viajan por los avisos internos y no se imprimen en la hoja de recepción.

8. Edad mínima

Los servicios ofrecidos están dirigidos a personas mayores de 18 años. Los menores de 14 a 17 años únicamente podrán reservar con el consentimiento expreso y escrito de sus padres o tutores legales. No aceptamos reservas de menores de 14 años.

9. Videovigilancia en el hotel

El establecimiento dispone de cámaras de videovigilancia en áreas comunes del hotel (recepción, pasillos, zonas exteriores) con fines de seguridad. No existen cámaras en las salas de tratamiento ni en áreas privadas. Las grabaciones se conservan un máximo de 30 días salvo requerimiento legal. El cartel informativo correspondiente se encuentra a la entrada del establecimiento.

10. Modificaciones

El RESPONSABLE podrá modificar la presente Política para adaptarla a cambios legislativos, jurisprudenciales o de funcionamiento del servicio. Los cambios sustanciales se notificarán al usuario con antelación razonable y, en todo caso, se publicarán en esta misma página.

Política de Privacitat

A INDUSTRIAS TURÍSTICAS DINS PINS, S.L. ens prenem molt seriosament la privacitat dels nostres clients. Aquesta Política de Privacitat explica com recollim, tractem i protegim les dades personals que ens facilita a través del lloc web udumbaraformentera.com i del centre Udumbara, d'acord amb el Reglament (UE) 2016/679 (RGPD), la LOPDGDD i la resta de normativa aplicable.

1. Responsable del tractament

2. Dades que tractem

• Dades identificatives i de contacte: nom complet, email, telèfon, idioma.
• Dades de la reserva: servei, data, hora, notes, import, referència.
• Dades de pagament: tractades directament per Stripe. No emmagatzemem números de targeta ni CVC.
• Dades de navegació: adreça IP, navegador, SO, pàgines visitades, data i hora.
• Categories especials (dades de salut): si el client opta per incloure voluntàriament al camp "Notes" informació rellevant (embaràs, al·lèrgies, lesions, malalties, medicació). Tractades amb protecció reforçada conforme a l'art. 9 RGPD i basades en el consentiment explícit.

3. Finalitats i base legal

4. Termini de conservació

• Dades de la reserva: durant la relació i 6 anys posteriors (obligació fiscal).
• Dades de salut: es conserven només mentre són necessàries i, en tot cas, no més de 2 anys des de l'última cita; complert aquest termini, se suprimeixen o anonimitzen.
• Registres d'auditoria: 12 mesos.
• Registre d'accessos al servidor web (inclosa l'adreça IP): 90 dies. Complert aquest termini, el fitxer del dia corresponent s'esborra automàticament.
• Galetes: veure Política de Galetes.

5. Destinataris: qui més veu les vostres dades

No venem les vostres dades personals ni les cedim a tercers perquè les facin servir amb finalitats pròpies, excepte obligació legal. Sí que hi accedeixen, per compte del centre i només per poder prestar-vos el servei, les persones i els proveïdors que es detallen a continuació.

5.1. Les professionals que us atenen

Udumbara és un centre d'INDUSTRIAS TURÍSTICAS DINS PINS, S.L. Els tractaments els fan professionals autònomes independents que col·laboren amb el centre, i no personal contractat per la societat. Per preparar i fer la vostra cita, la professional que correspongui accedeix, des del panell de gestió del centre, a les dades de la reserva: nom, telèfon, correu electrònic, servei, data i hora, i les notes que hàgiu escrit, incloses les de salut. A l'agenda compartida de Google Calendar del centre hi consten a més el vostre nom, el vostre telèfon i el tractament reservat. Des del 6 d'agost de 2026 el contingut de les vostres notes no es copia a aquesta agenda: a l'esdeveniment només hi apareix un avís que la reserva té notes, que la professional llegeix dins del panell de gestió. A les cites anteriors a aquesta data, aquesta informació pot continuar figurant dins de l'esdeveniment del calendari.

Perquè aquesta informació sigui exacta, convé precisar com funciona avui aquest accés: el panell mostra les reserves per especialitat (massatges, tractaments Phytomer, estètica), de manera que les professionals d'una especialitat veuen les reserves d'aquella especialitat i no únicament les cites que atenen personalment. L'administració del centre hi accedeix a totes.

Aquestes professionals tracten les vostres dades per compte del centre i només per atendre-us. Qui decideix quines dades es demanen, amb quina finalitat, quant temps es conserven i qui les pot veure —i qui respon davant vostre de l'exercici dels vostres drets— és INDUSTRIAS TURÍSTICAS DINS PINS, S.L. Totes les persones que intervenen en el tractament estan subjectes al deure de confidencialitat de l'art. 5 de la LOPDGDD (la llei espanyola de protecció de dades), que subsisteix encara que acabi la col·laboració.

5.2. Proveïdors i encarregats del tractament

El funcionament del lloc web, la gestió del centre i les obligacions administratives de la societat es recolzen en els proveïdors i professionals següents, que tracten dades personals per compte nostre com a encarregats del tractament (art. 28 RGPD):

• Stripe Payments Europe, Ltd. (Irlanda) — pagaments.
• Google Ireland Ltd. (Irlanda) — Gmail i Calendar.
• Google Ireland Ltd. (Irlanda) — Google Analytics 4 per a la mesura d'audiència del web; només s'activa amb el consentiment de l'usuari a través del bàner de galetes.
• Google Ireland Ltd. (Irlanda) — Google Drive, on es desa la còpia de seguretat diària de la base de dades del centre (vegeu l'apartat 7).
• Cloudflare, Inc. (EUA) — CDN i xarxa global (Clàusules Contractuals Tipus + EU-US Data Privacy Framework).
• Assessoria externa de comptabilitat i fiscalitat — l'assessoria que presta al responsable els serveis de comptabilitat i fiscalitat de la societat i que, per fer-ho, rep les factures i els justificants de cobrament i de pagament en què pot figurar el nom d'una clienta. Finalitat: complir les obligacions comptables i fiscals del centre; base jurídica: obligació legal (art. 6.1.c RGPD).

Google Fonts — un cas a part: les tipografies del web es carreguen des de servidors de Google LLC (EUA) tan bon punt s'obre qualsevol pàgina del web públic —aquestes pàgines legals no en carreguen cap—, de manera que el vostre navegador transmet a Google la vostra adreça IP i les dades tècniques de la petició. Passa abans que pugueu decidir sobre les galetes, perquè no és una galeta sinó una descàrrega. No l'incloem entre els encarregats del tractament de l'art. 28: és un servei obert i gratuït de Google, sense compte de client ni contracte d'encàrrec associat, i Google tracta aquesta adreça IP d'acord amb la seva pròpia política de privacitat. El centre està estudiant allotjar les tipografies al seu propi servidor per eliminar aquesta transmissió; quan es faci, es farà constar aquí amb la seva data.

Google Maps — el mateix cas: la portada i la pàgina de contacte mostren un mapa incrustat de Google Maps. Aquest mapa es carrega des de servidors de Google LLC (EUA): quan la secció del mapa s'acosta a la pantalla, el vostre navegador el demana a Google i li transmet la vostra adreça IP i les dades tècniques de la petició, sense que hàgiu de prémer res. No depèn del bàner de galetes: el mapa se li demana a Google decidiu el que decidiu, perquè no és una galeta sinó una descàrrega. Cap altra pàgina del web incrusta el mapa, i aquestes pàgines legals tampoc. Tampoc l'incloem entre els encarregats del tractament de l'art. 28, per la mateixa raó que Google Fonts: és el mapa incrustat obert i gratuït de Google —l'adreça que fem servir no porta clau ni compte de client— i no hi ha contracte d'encàrrec associat; Google tracta aquesta adreça IP d'acord amb la seva pròpia política de privacitat, i el centre no controla què recull Google a través d'aquest marc. Si preferiu evitar aquesta connexió, la manera segura d'impedir-la és bloquejar el contingut de tercers al navegador. El mapa no es demana en obrir la pàgina, sinó de manera diferida, quan és a punt d'aparèixer a la pantalla; tingueu en compte que l'enllaç amb la nostra adreça és al peu de la portada i de la pàgina de contacte, és a dir per sota del mapa mateix, de manera que arribar-hi passant-hi pel davant ja dispara la càrrega. Aquest enllaç sí que us serveix, en canvi, per obrir la ubicació quan vulgueu: només connecta amb Google si el premeu.

Contractes de l'art. 28 RGPD: la normativa exigeix que la relació amb cada encarregat del tractament consti per escrit en un contracte. El centre està formalitzant i arxivant aquesta documentació, tant amb els proveïdors d'aquesta llista com amb les professionals de l'apartat 5.1. A la data d'aquesta versió no està completa, i per això no afirmem que ho estigui. Es farà constar aquí, amb la seva data, tan aviat com ho estigui.

6. Drets del interessat

Pot exercir en qualsevol moment els drets d'accés, rectificació, supressió, limitació, portabilitat, oposició, revocació del consentiment i a no ser objecte de decisions automatitzades.

Per exercir-los, envieu un email a [email protected] amb còpia del DNI. Respondrem en un màxim d'un mes. Podeu reclamar davant l'AEPD (www.aepd.es).

7. Mesures de seguretat

• Connexió xifrada HTTPS/TLS.
• Xifratge AES-256-GCM dels tokens sensibles.
• Contrasenyes amb bcrypt, política de contrasenya robusta i bloqueig temporal de l'accés després de diversos intents fallits. El doble factor d'autenticació (TOTP) està disponible al panell de gestió i activat al compte titular del centre.
• Registres d'auditoria.
• Còpies de seguretat: la còpia que surt del servidor cap a l'emmagatzematge al núvol (Google Drive) es xifra amb AES-256 abans de sortir; la còpia que roman al mateix servidor està comprimida, però no xifrada, i només es pot llegir des del mateix servidor o descarregar des del panell de gestió pel compte titular del centre.
• Accés a les dades de salut restringit: només es llegeixen dins del panell de gestió, i únicament per les professionals de l'especialitat corresponent i per l'administració del centre, subjectes al deure de confidencialitat de l'art. 5 LOPDGDD (vegeu l'apartat 5.1). Des del 6 d'agost de 2026 no es copien a l'agenda compartida de Google Calendar —a les cites anteriors a aquesta data poden continuar figurant a l'esdeveniment—, no viatgen pels avisos interns i no s'imprimeixen al full de recepció.

8. Edat mínima

Serveis per a majors de 18 anys. Menors de 14 a 17 anys només amb consentiment escrit dels tutors. No s'accepten menors de 14 anys.

9. Videovigilància

L'establiment disposa de càmeres a les àrees comunes del hotel amb finalitat de seguretat. No hi ha càmeres a les sales de tractament. Les gravacions es conserven un màxim de 30 dies.

10. Modificacions

El RESPONSABLE pot modificar aquesta Política per adaptar-la a canvis legislatius o de funcionament. Els canvis substancials es notificaran amb antelació raonable.

Privacy Policy

At INDUSTRIAS TURÍSTICAS DINS PINS, S.L. we take our customers' privacy very seriously. This Privacy Policy explains how we collect, process and protect the personal data you provide through the website udumbaraformentera.com and the Udumbara centre, in accordance with Regulation (EU) 2016/679 (GDPR), Spanish Organic Law 3/2018 on data protection (LOPDGDD) and other applicable regulations.

1. Data controller

2. Data we process

• Identification and contact data: full name, email, phone, preferred language.
• Booking data: service, date, time, notes, amount, internal reference.
• Payment data: processed directly by Stripe Payments Europe, Ltd. We do not store card numbers or CVC. We only keep the transaction identifier, amount and date for accounting and refund purposes.
• Browsing data: IP address, browser type, OS, pages visited, date and time. Used for technical, statistical and security purposes.
• Special categories (health data): if the customer voluntarily includes relevant information in the "Notes" field (pregnancy, allergies, injuries, chronic illnesses, medication, etc.). This data is treated as a special category under Art. 9 GDPR with reinforced protection. Providing this information is always optional.

3. Purposes and legal basis

4. Retention period

• Booking and customer data: during the commercial relationship and then the applicable legal period (6 years for invoices, Spanish tax law).
• Health data: kept only while necessary for the client's follow-up and, in any case, no longer than 2 years from the last appointment; once that period has elapsed, it is deleted or anonymised.
• Audit and security logs: 12 months.
• Web server access log (including the IP address): 90 days. Once that period has elapsed, the corresponding daily file is deleted automatically.
• Cookies: see Cookie Policy.

5. Recipients: who else sees your data

We do not sell your personal data and we do not disclose it to third parties for their own purposes, except where legally required. It is accessed, on behalf of the centre and only in order to provide you with the service, by the people and providers described below.

5.1. The professionals who attend you

Udumbara is a centre operated by INDUSTRIAS TURÍSTICAS DINS PINS, S.L. The treatments are performed by independent self-employed professionals who collaborate with the centre, not by staff employed by the company. In order to prepare and carry out your appointment, the relevant professional accesses your booking data through the centre's management panel: name, phone number, email address, service, date and time, and any notes you have written, including health notes. The centre's shared Google Calendar agenda additionally shows your name, your phone number and the booked treatment. Since 6 August 2026 the content of your notes is no longer copied into that agenda: the event only carries a warning that the booking has notes, which the professional reads inside the management panel. For appointments made before that date, that information may still appear inside the calendar event.

So that this information is accurate, it is worth being precise about how that access works today: the panel shows bookings by speciality (massage, Phytomer treatments, beauty), so the professionals of a speciality see the bookings of that speciality and not only the appointments they personally attend. The centre's management accesses all of them.

These professionals process your data on behalf of the centre and only in order to attend you. It is INDUSTRIAS TURÍSTICAS DINS PINS, S.L. that decides which data are requested, for what purpose, how long they are kept and who may see them — and that answers to you for the exercise of your rights. Everyone involved in the processing is bound by the duty of confidentiality of Art. 5 LOPDGDD (the Spanish data protection act), which remains in force even after the collaboration ends.

5.2. Providers and data processors

The operation of the website, the running of the centre and the company's administrative obligations rely on the following providers and professionals, which process personal data on our behalf as data processors (Art. 28 GDPR):

• Stripe Payments Europe, Ltd. (Ireland) — card payment processing.
• Google Ireland Ltd. (Ireland) — Gmail for transactional emails and Google Calendar for the appointments agenda.
• Google Ireland Ltd. (Ireland) — Google Analytics 4 for website audience measurement; activated only if the user gives consent via the cookie banner.
• Google Ireland Ltd. (Ireland) — Google Drive, where the daily backup of the centre's database is stored (see section 7).
• Cloudflare, Inc. (USA) — CDN and global website delivery network, covered by Standard Contractual Clauses approved by the European Commission and adherence to the EU-US Data Privacy Framework.
• External accounting and tax advisers — the firm that provides the controller with the company's accounting and tax services and which, for that purpose, receives the invoices and the collection and payment records in which a client's name may appear. Purpose: to comply with the centre's accounting and tax obligations; legal basis: legal obligation (Art. 6.1.c GDPR).

International transfers: some of the processors listed above for which a country outside the EEA is indicated handle data in that country, covered by European Commission adequacy decisions and/or Standard Contractual Clauses. Where no country is stated next to a processor, this policy makes no claim either way; should an international transfer be confirmed, this section will be updated.

Google Fonts — a separate case: the website typefaces are loaded from Google LLC (USA) servers as soon as any page of the public website is opened —these legal pages load none—, so your browser transmits your IP address and the technical data of the request to Google. This happens before you can decide about cookies, because it is not a cookie but a download. We do not list it among the Art. 28 data processors: it is an open, free Google service, with no customer account and no associated processing contract, and Google handles that IP address in accordance with its own privacy policy. The centre is considering hosting the typefaces on its own server in order to eliminate that transmission; when it does, it will be stated here with its date.

Google Maps — the same case: the home page and the contact page display an embedded Google Maps map. That map is loaded from Google LLC (USA) servers: when the map section comes close to the screen, your browser requests it from Google and transmits your IP address and the technical data of the request to Google, without you having to click anything. It does not depend on the cookie banner: the map is requested from Google whatever you decide, because it is not a cookie but a download. No other page of the website embeds the map, and neither do these legal pages. We do not list it among the Art. 28 data processors either, for the same reason as Google Fonts: it is Google's open, free embedded map —the address we use carries no customer key or account— and there is no associated processing contract; Google handles that IP address in accordance with its own privacy policy, and the centre does not control what Google collects through that frame. If you prefer to avoid that connection, the reliable way to prevent it is to block third-party content in your browser. The map is not requested when the page opens, but lazily, when it is about to appear on screen; bear in mind that the link with our address sits at the foot of the home page and of the contact page, that is, below the map itself, so reaching it by scrolling past the map already triggers the load. That link is, however, useful for opening the location whenever you wish: it only connects to Google if you click it.

Art. 28 GDPR contracts: the regulation requires the relationship with each data processor to be set out in a written contract. The centre is currently formalising and filing that documentation, both with the providers listed above and with the professionals referred to in section 5.1. As at the date of this version it is not complete, and we therefore do not claim that it is. It will be stated here, with its date, as soon as it is.

6. Your rights

You may exercise the following rights over your personal data at any time:

• Access, rectification, erasure ("right to be forgotten"), restriction, portability, objection.
• Withdraw consent previously given, without retroactive effect.
• Not to be subject to automated decisions with legal effects.

To exercise these rights, send an email to [email protected] with a copy of your ID or equivalent official document. We will respond within a maximum of one month.

If you consider that the processing does not comply with the regulations, you may also lodge a complaint with the Spanish Data Protection Agency (AEPD, www.aepd.es).

7. Security measures

• HTTPS/TLS 1.2+ encrypted connection across the entire site.
• AES-256-GCM encryption for Google Calendar access tokens stored in the database.
• Bcrypt-hashed passwords, a strong password policy and temporary lockout after repeated failed sign-in attempts. Two-factor authentication (TOTP) is available in the management panel and enabled on the centre's owner account.
• Audit logs for all administrative actions.
• Backups: the copy that leaves the server for cloud storage (Google Drive) is encrypted with AES-256 before it leaves; the copy that stays on the server itself is compressed but not encrypted, and can only be read from the server itself or downloaded from the management panel by the centre's owner account.
• Restricted access to health data: it is only read inside the management panel, and only by the professionals of the relevant speciality and by the centre's management, all bound by the duty of confidentiality of Art. 5 LOPDGDD (see section 5.1). Since 6 August 2026 it is not copied into the shared Google Calendar agenda —for appointments made before that date it may still appear in the event—, it is not sent through internal notifications and it is not printed on the reception sheet.

8. Minimum age

Services are aimed at persons aged 18 or over. Minors aged 14-17 may only book with the express written consent of their parents or legal guardians. We do not accept bookings for children under 14.

9. Video surveillance at the hotel

The establishment has CCTV cameras in common areas of the hotel (reception, corridors, outdoor areas) for security purposes. There are no cameras in treatment rooms or private areas. Recordings are kept for a maximum of 30 days unless legally required. Informative signage is placed at the entrance to the establishment.

10. Changes

The CONTROLLER may amend this Policy to reflect legal changes, case law or service operations. Substantial changes will be notified to the user with reasonable advance notice and will be published on this page.

Informativa sulla Privacy

INDUSTRIAS TURÍSTICAS DINS PINS, S.L. prende molto sul serio la privacy dei suoi clienti. La presente Informativa spiega come raccogliamo, trattiamo e proteggiamo i dati personali forniti tramite il sito udumbaraformentera.com e il centro Udumbara, in conformità al Regolamento (UE) 2016/679 (GDPR), alla Legge Organica spagnola 3/2018 (LOPDGDD) e alla normativa applicabile.

1. Titolare del trattamento

2. Dati trattati

• Dati identificativi e di contatto: nome, email, telefono, lingua.
• Dati della prenotazione: servizio, data, ora, note, importo, riferimento.
• Dati di pagamento: gestiti direttamente da Stripe. Non conserviamo numeri di carta né CVC.
• Dati di navigazione: IP, browser, SO, pagine visitate, data e ora.
• Categorie particolari (dati sanitari): se il cliente sceglie di includere volontariamente nel campo "Note" informazioni rilevanti (gravidanza, allergie, lesioni, malattie, farmaci). Trattati con protezione rinforzata ex art. 9 GDPR e basati sul consenso esplicito.

3. Finalità e base giuridica

4. Periodo di conservazione

• Dati della prenotazione: durante il rapporto e 6 anni successivi (fiscalità spagnola).
• Dati sanitari: conservati solo per il tempo necessario e, in ogni caso, non oltre 2 anni dall'ultimo appuntamento; decorso tale termine vengono cancellati o anonimizzati.
• Registri di audit: 12 mesi.
• Registro degli accessi al server web (compreso l'indirizzo IP): 90 giorni. Decorso tale termine, il file del giorno corrispondente viene cancellato automaticamente.
• Cookie: vedi Cookie Policy.

5. Destinatari: chi altro vede i suoi dati

Non vendiamo i suoi dati personali e non li cediamo a terzi affinché li utilizzino per finalità proprie, salvo obbligo legale. Vi accedono, per conto del centro e soltanto per poterle prestare il servizio, le persone e i fornitori indicati di seguito.

5.1. Le professioniste che la seguono

Udumbara è un centro di INDUSTRIAS TURÍSTICAS DINS PINS, S.L. I trattamenti sono eseguiti da professioniste autonome indipendenti che collaborano con il centro, e non da personale dipendente della società. Per preparare ed eseguire il suo appuntamento, la professionista competente accede, dal pannello di gestione del centro, ai dati della prenotazione: nome, telefono, email, servizio, data e ora, e le note che lei ha scritto, comprese quelle sulla salute. Nell'agenda condivisa di Google Calendar del centro figurano inoltre il suo nome, il suo telefono e il trattamento prenotato. Dal 6 agosto 2026 il contenuto delle sue note non viene più copiato in quell'agenda: nell'evento compare soltanto un avviso che la prenotazione ha delle note, che la professionista legge all'interno del pannello di gestione. Per gli appuntamenti anteriori a tale data, quell'informazione può ancora figurare all'interno dell'evento del calendario.

Perché questa informazione sia esatta, va precisato come funziona oggi tale accesso: il pannello mostra le prenotazioni per specialità (massaggi, trattamenti Phytomer, estetica), quindi le professioniste di una specialità vedono le prenotazioni di quella specialità e non solo gli appuntamenti che seguono personalmente. L'amministrazione del centro vi accede tutte.

Queste professioniste trattano i suoi dati per conto del centro e solo per assisterla. Chi decide quali dati vengono richiesti, per quale finalità, per quanto tempo sono conservati e chi può vederli —e chi risponde nei suoi confronti dell'esercizio dei suoi diritti— è INDUSTRIAS TURÍSTICAS DINS PINS, S.L. Tutte le persone che intervengono nel trattamento sono soggette al dovere di riservatezza dell'art. 5 della LOPDGDD (la legge spagnola sulla protezione dei dati), che permane anche al termine della collaborazione.

5.2. Fornitori e responsabili del trattamento

Il funzionamento del sito web, la gestione del centro e gli obblighi amministrativi della società si avvalgono dei seguenti fornitori e professionisti, che trattano dati personali per nostro conto in qualità di responsabili del trattamento (art. 28 GDPR):

• Stripe Payments Europe, Ltd. (Irlanda) — pagamenti.
• Google Ireland Ltd. (Irlanda) — Gmail e Calendar.
• Google Ireland Ltd. (Irlanda) — Google Analytics 4 per la misurazione dell'audience del sito; attivato solo se l'utente presta il consenso tramite il banner dei cookie.
• Google Ireland Ltd. (Irlanda) — Google Drive, dove viene conservata la copia di sicurezza giornaliera della banca dati del centro (vedi punto 7).
• Cloudflare, Inc. (USA) — CDN globale (CCT + EU-US DPF).
• Consulenza esterna contabile e fiscale — lo studio che fornisce al titolare i servizi di contabilità e fiscalità della società e che, a tal fine, riceve le fatture e i giustificativi di incasso e di pagamento in cui può comparire il nome di una cliente. Finalità: adempiere agli obblighi contabili e fiscali del centro; base giuridica: obbligo legale (art. 6.1.c GDPR).

Google Fonts — un caso a parte: i caratteri tipografici del sito vengono caricati dai server di Google LLC (USA) non appena si apre una qualsiasi pagina del sito pubblico —queste pagine legali non ne caricano nessuno—, per cui il suo browser trasmette a Google il suo indirizzo IP e i dati tecnici della richiesta. Accade prima che lei possa decidere sui cookie, perché non è un cookie ma un download. Non lo indichiamo tra i responsabili del trattamento dell'art. 28: è un servizio aperto e gratuito di Google, senza account cliente né contratto di responsabile del trattamento associato, e Google tratta quell'indirizzo IP secondo la propria informativa sulla privacy. Il centro sta valutando di ospitare i caratteri tipografici sul proprio server per eliminare tale trasmissione; quando avverrà, sarà indicato qui con la relativa data.

Google Maps — lo stesso caso: la pagina iniziale e la pagina dei contatti mostrano una mappa incorporata di Google Maps. Tale mappa viene caricata dai server di Google LLC (USA): quando la sezione della mappa si avvicina allo schermo, il suo browser la richiede a Google e le trasmette il suo indirizzo IP e i dati tecnici della richiesta, senza che lei debba cliccare nulla. Non dipende dal banner dei cookie: la mappa viene richiesta a Google qualunque cosa lei decida, perché non è un cookie ma un download. Nessun'altra pagina del sito incorpora la mappa, e nemmeno queste pagine legali. Non lo indichiamo neppure tra i responsabili del trattamento dell'art. 28, per la stessa ragione di Google Fonts: è la mappa incorporata aperta e gratuita di Google —l'indirizzo che utilizziamo non contiene chiave né account cliente— e non esiste un contratto di responsabile del trattamento associato; Google tratta quell'indirizzo IP secondo la propria informativa sulla privacy e il centro non controlla che cosa raccoglie Google attraverso quel riquadro. Se preferisce evitare tale connessione, il modo sicuro per impedirla è bloccare i contenuti di terze parti nel suo browser. La mappa non viene richiesta all'apertura della pagina, ma in modo differito, quando sta per comparire sullo schermo; tenga presente che il collegamento con il nostro indirizzo si trova in fondo alla pagina iniziale e alla pagina dei contatti, cioè sotto la mappa stessa, per cui raggiungerlo scorrendo oltre la mappa ne provoca già il caricamento. Quel collegamento le è invece utile per aprire la posizione quando desidera: si connette a Google solo se lo clicca.

Contratti dell'art. 28 GDPR: la normativa esige che il rapporto con ogni responsabile del trattamento sia formalizzato per iscritto in un contratto. Il centro sta formalizzando e archiviando tale documentazione, sia con i fornitori di questo elenco sia con le professioniste del punto 5.1. Alla data di questa versione non è completa, e per questo non affermiamo che lo sia. Sarà indicato qui, con la relativa data, non appena lo sarà.

6. Diritti dell'interessato

Può esercitare i diritti di accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso e a non essere sottoposto a decisioni automatizzate inviando email a [email protected] con copia del documento d'identità. Risponderemo entro un mese. Ha anche il diritto di reclamo presso l'AEPD spagnola (www.aepd.es).

7. Misure di sicurezza

• HTTPS/TLS 1.2+, cifratura AES-256-GCM per i token sensibili, password con bcrypt, requisiti di robustezza della password e blocco temporaneo dell'accesso dopo vari tentativi falliti, autenticazione a due fattori (TOTP) disponibile nel pannello di gestione e attiva sull'account titolare del centro, log di audit, accesso ai dati sanitari ristretto: si leggono solo all'interno del pannello di gestione e unicamente dalle professioniste della specialità corrispondente e dall'amministrazione del centro, soggette al dovere di riservatezza dell'art. 5 LOPDGDD (vedi punto 5.1); dal 6 agosto 2026 non vengono copiati nell'agenda condivisa di Google Calendar —negli appuntamenti anteriori a tale data possono ancora figurare nell'evento—, non viaggiano negli avvisi interni e non vengono stampati sul foglio della reception.
• Backup: la copia che esce dal server verso l'archiviazione nel cloud (Google Drive) viene cifrata con AES-256 prima di uscire; la copia che rimane sul server stesso è compressa, ma non cifrata, e può essere letta solo dal server stesso o scaricata dal pannello di gestione dall'account titolare del centro.

8. Età minima

Servizi per maggiorenni (18+). Minori 14-17 solo con consenso scritto dei tutori. Minori di 14 anni non ammessi.

9. Videosorveglianza

Presente solo nelle aree comuni dell'hotel (reception, corridoi, esterni) per finalità di sicurezza. Non ci sono telecamere nelle sale di trattamento. Registrazioni conservate massimo 30 giorni.

10. Modifiche

Il TITOLARE può modificare la presente Informativa per adeguarla a variazioni normative o del servizio; le modifiche sostanziali saranno notificate con ragionevole anticipo.

Politique de Confidentialité

Chez INDUSTRIAS TURÍSTICAS DINS PINS, S.L. nous prenons très au sérieux la confidentialité de nos clients. La présente Politique explique comment nous recueillons, traitons et protégeons les données personnelles que vous nous fournissez via le site udumbaraformentera.com et le centre Udumbara, conformément au Règlement (UE) 2016/679 (RGPD), à la Loi Organique espagnole 3/2018 (LOPDGDD) et à la réglementation applicable.

1. Responsable du traitement

2. Données traitées

• Données d'identification et de contact : nom, email, téléphone, langue.
• Données de la réservation : service, date, heure, notes, montant, référence.
• Données de paiement : traitées directement par Stripe. Nous ne stockons ni numéros de carte ni CVC.
• Données de navigation : IP, navigateur, SE, pages visitées, date et heure.
• Catégories particulières (données de santé) : si le client décide d'inclure volontairement dans le champ "Notes" des informations pertinentes (grossesse, allergies, blessures, maladies, médication). Traitées avec protection renforcée selon l'art. 9 RGPD et basées sur le consentement explicite.

3. Finalités et base juridique

4. Durée de conservation

• Données de la réservation : durée de la relation + 6 ans (fiscalité espagnole).
• Données de santé : conservées uniquement le temps nécessaire et, en tout état de cause, pas plus de 2 ans depuis le dernier rendez-vous ; ce délai écoulé, elles sont supprimées ou anonymisées.
• Registres d'audit : 12 mois.
• Journal des accès au serveur web (adresse IP incluse) : 90 jours. Ce délai écoulé, le fichier du jour correspondant est supprimé automatiquement.
• Cookies : voir Politique de Cookies.

5. Destinataires : qui d'autre voit vos données

Nous ne vendons pas vos données personnelles et nous ne les cédons pas à des tiers pour qu'ils les utilisent à leurs propres fins, sauf obligation légale. Y accèdent, pour le compte du centre et uniquement afin de vous fournir le service, les personnes et les prestataires détaillés ci-dessous.

5.1. Les professionnelles qui vous reçoivent

Udumbara est un centre d'INDUSTRIAS TURÍSTICAS DINS PINS, S.L. Les soins sont réalisés par des professionnelles indépendantes qui collaborent avec le centre, et non par du personnel salarié de la société. Pour préparer et réaliser votre rendez-vous, la professionnelle concernée accède, depuis le panneau de gestion du centre, aux données de votre réservation : nom, téléphone, adresse email, prestation, date et heure, ainsi qu'aux notes que vous avez écrites, y compris celles de santé. L'agenda partagé Google Calendar du centre indique en outre votre nom, votre téléphone et le soin réservé. Depuis le 6 août 2026, le contenu de vos notes n'est plus copié dans cet agenda : l'événement ne porte qu'un avertissement indiquant que la réservation comporte des notes, que la professionnelle lit dans le panneau de gestion. Pour les rendez-vous antérieurs à cette date, cette information peut encore figurer à l'intérieur de l'événement du calendrier.

Pour que cette information soit exacte, il convient de préciser comment fonctionne aujourd'hui cet accès : le panneau affiche les réservations par spécialité (massages, soins Phytomer, esthétique), de sorte que les professionnelles d'une spécialité voient les réservations de cette spécialité et non uniquement les rendez-vous qu'elles réalisent personnellement. L'administration du centre accède à toutes.

Ces professionnelles traitent vos données pour le compte du centre et uniquement pour vous recevoir. C'est INDUSTRIAS TURÍSTICAS DINS PINS, S.L. qui décide quelles données sont demandées, dans quel but, combien de temps elles sont conservées et qui peut les consulter — et qui répond devant vous de l'exercice de vos droits. Toutes les personnes qui interviennent dans le traitement sont soumises au devoir de confidentialité de l'art. 5 de la LOPDGDD (la loi espagnole de protection des données), qui subsiste même après la fin de la collaboration.

5.2. Prestataires et sous-traitants

Le fonctionnement du site web, la gestion du centre et les obligations administratives de la société s'appuient sur les prestataires et professionnels suivants, qui traitent des données personnelles pour notre compte en qualité de sous-traitants (art. 28 RGPD) :

• Stripe Payments Europe, Ltd. (Irlande) — paiements.
• Google Ireland Ltd. (Irlande) — Gmail et Calendar.
• Google Ireland Ltd. (Irlande) — Google Analytics 4 pour la mesure d'audience du site ; activé uniquement si l'utilisateur donne son consentement via le bandeau de cookies.
• Google Ireland Ltd. (Irlande) — Google Drive, où est conservée la sauvegarde quotidienne de la base de données du centre (voir point 7).
• Cloudflare, Inc. (USA) — CDN mondial (CCT + EU-US DPF).
• Cabinet externe de comptabilité et de fiscalité — le cabinet qui fournit au responsable les services de comptabilité et de fiscalité de la société et qui, à cette fin, reçoit les factures et les justificatifs d'encaissement et de paiement où peut figurer le nom d'une cliente. Finalité : respecter les obligations comptables et fiscales du centre ; base juridique : obligation légale (art. 6.1.c RGPD).

Google Fonts — un cas à part : les polices du site sont chargées depuis des serveurs de Google LLC (USA) dès l'ouverture de n'importe quelle page du site public —ces pages légales n'en chargent aucune—, de sorte que votre navigateur transmet à Google votre adresse IP et les données techniques de la requête. Cela se produit avant que vous puissiez vous prononcer sur les cookies, car il ne s'agit pas d'un cookie mais d'un téléchargement. Nous ne le faisons pas figurer parmi les sous-traitants de l'art. 28 : c'est un service ouvert et gratuit de Google, sans compte client ni contrat de sous-traitance associé, et Google traite cette adresse IP conformément à sa propre politique de confidentialité. Le centre étudie la possibilité d'héberger les polices sur son propre serveur afin d'éliminer cette transmission ; le cas échéant, cela sera indiqué ici avec sa date.

Google Maps — le même cas : la page d'accueil et la page de contact affichent une carte Google Maps intégrée. Cette carte est chargée depuis des serveurs de Google LLC (USA) : lorsque la section de la carte approche de l'écran, votre navigateur la demande à Google et lui transmet votre adresse IP ainsi que les données techniques de la requête, sans que vous ayez à cliquer sur quoi que ce soit. Cela ne dépend pas du bandeau de cookies : la carte est demandée à Google quelle que soit votre décision, car il ne s'agit pas d'un cookie mais d'un téléchargement. Aucune autre page du site n'intègre la carte, et ces pages légales non plus. Nous ne le faisons pas figurer non plus parmi les sous-traitants de l'art. 28, pour la même raison que Google Fonts : il s'agit de la carte intégrée ouverte et gratuite de Google —l'adresse que nous utilisons ne comporte ni clé ni compte client— et aucun contrat de sous-traitance n'y est associé ; Google traite cette adresse IP conformément à sa propre politique de confidentialité, et le centre ne contrôle pas ce que Google recueille au travers de ce cadre. Si vous préférez éviter cette connexion, le moyen sûr de l'empêcher est de bloquer les contenus tiers dans votre navigateur. La carte n'est pas demandée à l'ouverture de la page, mais en différé, lorsqu'elle est sur le point d'apparaître à l'écran ; sachez que le lien vers notre adresse se trouve en pied de la page d'accueil et de la page de contact, c'est-à-dire au-dessous de la carte elle-même, de sorte que l'atteindre en faisant défiler la page devant la carte en déclenche déjà le chargement. Ce lien vous sert en revanche à ouvrir l'emplacement quand vous le souhaitez : il ne se connecte à Google que si vous cliquez dessus.

Contrats de l'art. 28 RGPD : la réglementation exige que la relation avec chaque sous-traitant soit consignée par écrit dans un contrat. Le centre est en train de formaliser et d'archiver cette documentation, tant avec les prestataires de cette liste qu'avec les professionnelles du point 5.1. À la date de cette version, elle n'est pas complète, et nous n'affirmons donc pas qu'elle le soit. Cela sera indiqué ici, avec sa date, dès que ce sera le cas.

6. Droits des personnes concernées

Vous pouvez exercer à tout moment vos droits d'accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement et de ne pas faire l'objet de décisions automatisées, en envoyant un email à [email protected] avec copie de votre pièce d'identité. Nous répondrons dans un délai maximum d'un mois. Vous pouvez également déposer une réclamation auprès de l'AEPD espagnole (www.aepd.es).

7. Mesures de sécurité

• HTTPS/TLS 1.2+, chiffrement AES-256-GCM des tokens sensibles, mots de passe bcrypt, exigences de robustesse du mot de passe et blocage temporaire de l'accès après plusieurs tentatives échouées, authentification à deux facteurs (TOTP) disponible dans le panneau de gestion et activée sur le compte titulaire du centre, journaux d'audit, accès aux données de santé restreint : elles ne sont lues qu'à l'intérieur du panneau de gestion, et uniquement par les professionnelles de la spécialité concernée et par l'administration du centre, soumises au devoir de confidentialité de l'art. 5 LOPDGDD (voir point 5.1) ; depuis le 6 août 2026 elles ne sont pas copiées dans l'agenda partagé Google Calendar —pour les rendez-vous antérieurs à cette date, elles peuvent encore figurer dans l'événement—, ne circulent pas dans les alertes internes et ne sont pas imprimées sur la feuille de réception.
• Sauvegardes : la copie qui quitte le serveur vers le stockage dans le cloud (Google Drive) est chiffrée en AES-256 avant de sortir ; la copie qui reste sur le serveur lui-même est compressée, mais non chiffrée, et ne peut être lue que depuis le serveur lui-même ou téléchargée depuis le panneau de gestion par le compte titulaire du centre.

8. Âge minimum

Services destinés aux personnes majeures (18+). Mineurs 14-17 ans uniquement avec consentement écrit des tuteurs. Mineurs de moins de 14 ans non admis.

9. Vidéosurveillance

Caméras présentes uniquement dans les parties communes de l'hôtel (réception, couloirs, extérieurs) à des fins de sécurité. Pas de caméras dans les salles de soin. Enregistrements conservés 30 jours maximum.

10. Modifications

Le RESPONSABLE peut modifier la présente Politique pour l'adapter à l'évolution législative ou du service ; les modifications substantielles seront notifiées avec un préavis raisonnable.

Datenschutzerklärung

Bei INDUSTRIAS TURÍSTICAS DINS PINS, S.L. nehmen wir den Datenschutz unserer Kunden sehr ernst. Diese Datenschutzerklärung erläutert, wie wir die personenbezogenen Daten erheben, verarbeiten und schützen, die Sie uns über die Website udumbaraformentera.com und das Zentrum Udumbara zur Verfügung stellen, im Einklang mit der Verordnung (EU) 2016/679 (DSGVO), dem spanischen Organgesetz 3/2018 (LOPDGDD) und weiteren geltenden Vorschriften.

1. Verantwortlicher

2. Verarbeitete Daten

• Identifikations- und Kontaktdaten: Name, E-Mail, Telefon, bevorzugte Sprache.
• Buchungsdaten: Behandlung, Datum, Uhrzeit, Notizen, Betrag, Referenz.
• Zahlungsdaten: direkt von Stripe verarbeitet. Wir speichern weder Kartennummern noch CVC.
• Nutzungsdaten: IP-Adresse, Browser, Betriebssystem, besuchte Seiten, Datum und Uhrzeit.
• Besondere Datenkategorien (Gesundheitsdaten): wenn der Kunde freiwillig im Notizfeld relevante Informationen (Schwangerschaft, Allergien, Verletzungen, chronische Erkrankungen, Medikation) mitteilt. Diese werden gemäß Art. 9 DSGVO mit verstärktem Schutz verarbeitet und basieren auf der ausdrücklichen Einwilligung.

3. Zwecke und Rechtsgrundlagen

4. Speicherdauer

• Buchungs- und Kundendaten: während der Geschäftsbeziehung und 6 Jahre danach (spanische Steuerpflicht).
• Gesundheitsdaten: nur so lange gespeichert, wie erforderlich, und in keinem Fall länger als 2 Jahre nach dem letzten Termin; nach Ablauf dieser Frist werden sie gelöscht oder anonymisiert.
• Audit- und Sicherheitsprotokolle: 12 Monate.
• Zugriffsprotokoll des Webservers (einschließlich IP-Adresse): 90 Tage. Nach Ablauf dieser Frist wird die Datei des betreffenden Tages automatisch gelöscht.
• Cookies: siehe Cookie-Richtlinie.

5. Empfänger: wer Ihre Daten sonst noch sieht

Wir verkaufen Ihre personenbezogenen Daten nicht und geben sie nicht an Dritte weiter, damit diese sie für eigene Zwecke nutzen — außer wenn gesetzlich vorgeschrieben. Zugriff haben, im Auftrag des Zentrums und ausschließlich zur Erbringung der Leistung, die nachstehend genannten Personen und Anbieter.

5.1. Die Fachkräfte, die Sie behandeln

Udumbara ist ein Zentrum der INDUSTRIAS TURÍSTICAS DINS PINS, S.L. Die Behandlungen werden von selbstständigen, unabhängigen Fachkräften durchgeführt, die mit dem Zentrum zusammenarbeiten, und nicht von Angestellten der Gesellschaft. Zur Vorbereitung und Durchführung Ihres Termins greift die jeweilige Fachkraft über das Verwaltungspanel des Zentrums auf Ihre Buchungsdaten zu: Name, Telefonnummer, E-Mail-Adresse, Behandlung, Datum und Uhrzeit sowie die von Ihnen verfassten Notizen, einschließlich der Gesundheitsnotizen. Im gemeinsam genutzten Google-Kalender des Zentrums erscheinen zusätzlich Ihr Name, Ihre Telefonnummer und die gebuchte Behandlung. Seit dem 6. August 2026 wird der Inhalt Ihrer Notizen nicht mehr in diesen Kalender kopiert: Im Termineintrag steht nur noch ein Hinweis darauf, dass die Buchung Notizen enthält, die die Fachkraft im Verwaltungspanel liest. Bei Terminen vor diesem Datum kann diese Information weiterhin im Kalendereintrag enthalten sein.

Damit diese Information zutrifft, sei genau beschrieben, wie dieser Zugriff heute funktioniert: Das Panel zeigt die Buchungen nach Fachbereich (Massagen, Phytomer-Behandlungen, Kosmetik), sodass die Fachkräfte eines Bereichs die Buchungen dieses Bereichs sehen und nicht nur die Termine, die sie persönlich betreuen. Die Verwaltung des Zentrums hat Zugriff auf alle.

Diese Fachkräfte verarbeiten Ihre Daten im Auftrag des Zentrums und ausschließlich zu Ihrer Betreuung. Wer entscheidet, welche Daten erhoben werden, zu welchem Zweck, wie lange sie gespeichert bleiben und wer sie einsehen darf — und wer Ihnen gegenüber für die Ausübung Ihrer Rechte einsteht —, ist INDUSTRIAS TURÍSTICAS DINS PINS, S.L. Alle an der Verarbeitung beteiligten Personen unterliegen der Verschwiegenheitspflicht nach Art. 5 LOPDGDD (spanisches Datenschutzgesetz), die auch nach Ende der Zusammenarbeit fortbesteht.

5.2. Anbieter und Auftragsverarbeiter

Für den Betrieb der Website, die Verwaltung des Zentrums und die administrativen Pflichten der Gesellschaft nutzen wir folgende Anbieter und Berufsträger, die personenbezogene Daten in unserem Auftrag als Auftragsverarbeiter verarbeiten (Art. 28 DSGVO):

• Stripe Payments Europe, Ltd. (Irland) — Zahlungsabwicklung.
• Google Ireland Ltd. (Irland) — Gmail und Calendar.
• Google Ireland Ltd. (Irland) — Google Analytics 4 zur Reichweitenmessung der Website; nur aktiviert, wenn der Nutzer über das Cookie-Banner einwilligt.
• Google Ireland Ltd. (Irland) — Google Drive, wo die tägliche Sicherungskopie der Datenbank des Zentrums gespeichert wird (siehe Abschnitt 7).
• Cloudflare, Inc. (USA) — globales CDN (SCC + EU-US Data Privacy Framework).
• Externe Buchhaltungs- und Steuerkanzlei — die Kanzlei, die für den Verantwortlichen die Buchhaltung und die Steuerangelegenheiten der Gesellschaft übernimmt und dafür die Rechnungen sowie die Zahlungs- und Einnahmebelege erhält, auf denen der Name einer Kundin erscheinen kann. Zweck: Erfüllung der buchhalterischen und steuerlichen Pflichten des Zentrums; Rechtsgrundlage: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

Google Fonts — ein Sonderfall: Die Schriftarten der Website werden von Servern der Google LLC (USA) geladen, sobald irgendeine Seite der öffentlichen Website geöffnet wird — diese Rechtsseiten laden keine. Ihr Browser übermittelt Google dabei Ihre IP-Adresse und die technischen Daten der Anfrage. Das geschieht, bevor Sie über Cookies entscheiden können, denn es handelt sich nicht um ein Cookie, sondern um einen Download. Wir führen Google Fonts nicht als Auftragsverarbeiter nach Art. 28 auf: Es ist ein offener, kostenloser Google-Dienst ohne Kundenkonto und ohne zugehörigen Auftragsverarbeitungsvertrag, und Google verarbeitet diese IP-Adresse nach seiner eigenen Datenschutzerklärung. Das Zentrum prüft, die Schriftarten auf dem eigenen Server zu hosten, um diese Übermittlung zu beseitigen; sobald das geschehen ist, wird es hier mit Datum vermerkt.

Google Maps — derselbe Fall: Auf der Startseite und auf der Kontaktseite wird eine eingebettete Google-Maps-Karte angezeigt. Diese Karte wird von Servern der Google LLC (USA) geladen: Sobald sich der Kartenabschnitt dem Bildschirm nähert, fordert Ihr Browser die Karte bei Google an und übermittelt dabei Ihre IP-Adresse und die technischen Daten der Anfrage, ohne dass Sie etwas anklicken müssen. Das hängt nicht vom Cookie-Banner ab: Die Karte wird bei Google angefordert, wie auch immer Sie entscheiden, denn sie ist kein Cookie, sondern ein Download. Keine andere Seite der Website bindet die Karte ein, diese Rechtsseiten ebenfalls nicht. Auch Google Maps führen wir nicht als Auftragsverarbeiter nach Art. 28 auf, aus demselben Grund wie bei Google Fonts: Es handelt sich um die offene, kostenlose eingebettete Karte von Google — die von uns verwendete Adresse enthält weder Kundenschlüssel noch Kundenkonto — und es besteht kein zugehöriger Auftragsverarbeitungsvertrag; Google verarbeitet diese IP-Adresse nach seiner eigenen Datenschutzerklärung, und das Zentrum kontrolliert nicht, was Google über diesen Rahmen erhebt. Wenn Sie diese Verbindung vermeiden möchten, ist der sichere Weg, Inhalte Dritter in Ihrem Browser zu blockieren. Die Karte wird nicht beim Öffnen der Seite angefordert, sondern verzögert, kurz bevor sie auf dem Bildschirm erscheint; beachten Sie dabei, dass der Link mit unserer Adresse am Fuß der Startseite und der Kontaktseite steht, also unterhalb der Karte selbst, sodass bereits das Vorbeiscrollen an der Karte das Laden auslöst. Dieser Link ist Ihnen dagegen nützlich, um den Standort zu öffnen, wann immer Sie möchten: Er verbindet sich nur mit Google, wenn Sie ihn anklicken.

Verträge nach Art. 28 DSGVO: Die Verordnung verlangt, dass das Verhältnis zu jedem Auftragsverarbeiter schriftlich in einem Vertrag festgehalten wird. Das Zentrum ist dabei, diese Unterlagen zu formalisieren und abzulegen, sowohl mit den hier genannten Anbietern als auch mit den Fachkräften aus Abschnitt 5.1. Zum Datum dieser Fassung ist das nicht abgeschlossen, und deshalb behaupten wir auch nicht, dass es das wäre. Sobald es so weit ist, wird es hier mit Datum vermerkt.

6. Betroffenenrechte

Sie können jederzeit die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung und darauf, keiner automatisierten Entscheidung unterworfen zu werden, ausüben. Senden Sie dazu eine E-Mail an [email protected] mit einer Kopie Ihres amtlichen Ausweises. Wir antworten innerhalb eines Monats. Sie können auch Beschwerde bei der spanischen Datenschutzbehörde AEPD einlegen (www.aepd.es).

7. Sicherheitsmaßnahmen

• HTTPS/TLS 1.2+, AES-256-GCM-Verschlüsselung für sensible Tokens, Bcrypt-Passwörter, Vorgaben zur Passwortstärke und vorübergehende Sperre des Zugangs nach mehreren Fehlversuchen, Zwei-Faktor-Authentifizierung (TOTP) im Verwaltungsbereich verfügbar und für das Inhaberkonto des Zentrums aktiviert, Audit-Protokolle, eingeschränkter Zugriff auf Gesundheitsdaten: Sie werden nur innerhalb des Verwaltungspanels gelesen, und zwar ausschließlich von den Fachkräften des jeweiligen Fachbereichs und von der Verwaltung des Zentrums, die der Verschwiegenheitspflicht nach Art. 5 LOPDGDD unterliegen (siehe Abschnitt 5.1); seit dem 6. August 2026 werden sie nicht in den gemeinsam genutzten Google-Kalender kopiert —bei Terminen vor diesem Datum können sie noch im Kalendereintrag enthalten sein—, gehen nicht durch interne Benachrichtigungen und werden nicht auf dem Rezeptionsblatt ausgedruckt.
• Backups: Die Kopie, die den Server in Richtung Cloud-Speicher (Google Drive) verlässt, wird vor dem Versand mit AES-256 verschlüsselt; die Kopie, die auf dem Server selbst verbleibt, ist komprimiert, aber nicht verschlüsselt, und kann nur vom Server selbst gelesen oder über das Verwaltungspanel vom Inhaberkonto des Zentrums heruntergeladen werden.

8. Mindestalter

Leistungen richten sich an Personen ab 18 Jahren. Minderjährige zwischen 14 und 17 Jahren können nur mit schriftlicher Einwilligung der Erziehungsberechtigten buchen. Unter 14 Jahren werden keine Buchungen angenommen.

9. Videoüberwachung

Im Hotel gibt es Überwachungskameras in Gemeinschaftsbereichen (Rezeption, Flure, Außenbereiche) zu Sicherheitszwecken. In den Behandlungsräumen und privaten Bereichen gibt es keine Kameras. Aufnahmen werden maximal 30 Tage gespeichert.

10. Änderungen

Der VERANTWORTLICHE behält sich das Recht vor, diese Erklärung an gesetzliche oder betriebliche Änderungen anzupassen; wesentliche Änderungen werden mit angemessener Frist mitgeteilt.