Política de Privacidad

Versión en inglés. En caso de conflicto, esta versión en español prevalece cuando aplique la ley colombiana de protección al consumidor o de protección de datos personales.

ETERNUS LLC, haciendo negocios como CAXA Stays ("CAXA", "nosotros", "el operador") administra propiedades de alojamiento turístico de corta estancia en Medellín y El Retiro, Antioquia, Colombia, y ofrece reservas directas a través de caxastays.com y www.caxastays.com. Esta Política de Privacidad también funciona como aviso de privacidad y política de tratamiento de datos personales para efectos de la normativa colombiana.

Al enviar una solicitud de reserva, completar el check-in digital, comunicarte con nosotros u hospedarte en una propiedad administrada por CAXA, autorizas el tratamiento descrito aquí. Si entregas información de otros huéspedes, incluidos menores de edad, declaras que estás autorizado para hacerlo y para compartir esta política con ellos.

1. Responsable y contacto

Responsable del tratamiento: ETERNUS LLC dba CAXA Stays.
Operaciones: Medellín y El Retiro, Antioquia, Colombia.
Contacto de privacidad: zach@caxastays.com.

2. Datos que recopilamos

• Datos de reserva y estadía: nombre, correo electrónico, teléfono, propiedad seleccionada, fechas de entrada y salida, número de adultos/niños/mascotas, extras o solicitudes seleccionadas, estado de la reserva, precio, moneda, estado de cancelación, mensajes, notas de incidentes e historial de soporte.
• Datos de pago y control de fraude: ID de sesión de pago de Stripe, ID de intento de pago, ID de setup intent, referencia de método de pago guardado, monto, moneda, estado del pago, estado de reembolso, registros de disputa o contracargo, metadatos de facturación, dirección IP, agente de usuario y marcas de tiempo. No recibimos ni almacenamos números completos de tarjeta, CVV ni fecha de vencimiento.
• Datos de identidad y registro legal: nombre legal completo, tipo y número de documento, fecha de nacimiento, nacionalidad, país/ciudad de residencia, imagen de pasaporte o documento cuando se entregue, y campos relacionados del formulario de check-in requeridos para verificar identidad y cumplir con las obligaciones colombianas de TRA/SIAT y SIRE.
• Datos sensibles o de mayor riesgo: imágenes de documentos de identidad, nacionalidad, fecha de nacimiento y cualquier información biométrica que pueda ser visible en una imagen de documento. Los recopilamos solo cuando sea necesario para verificación de identidad, seguridad del alojamiento, cumplimiento legal, defensa en disputas o reportes gubernamentales, y no solicitamos información sensible no relacionada.
• Datos del sitio web y analítica: dispositivo, navegador, región derivada de IP, fuente de referencia, vistas de página, eventos del embudo de reserva, identificadores de Google Ads (por ejemplo gclid, gbraid, wbraid), cookies/local storage y marcas de tiempo.
• Registros operativos: logs de acceso, auditoría, estado de tareas de cumplimiento, eventos automatizados, alertas de seguridad y registros necesarios para administrar la propiedad, prevenir fraude y documentar consentimiento.

3. Finalidades y bases

Tratamos datos solo para finalidades definidas. Según el contexto, la base es tu autorización, la ejecución del contrato de reserva, el cumplimiento de obligaciones legales, el interés operativo legítimo o la protección de huéspedes, personal, propiedad y derechos legales.

• Cotizar precios, verificar disponibilidad, recibir solicitudes de reserva, autorizar pago, aprobar o rechazar solicitudes, confirmar estadías y prestar soporte al huésped.
• Cobrar, reembolsar, conciliar, facturar, prevenir fraude, responder disputas de pago y defendernos frente a contracargos o reclamaciones legales.
• Recolectar y enviar registros obligatorios de alojamiento, incluida la Tarjeta de Registro de Alojamiento (TRA/SIAT) para huéspedes y el Sistema de Información para el Reporte de Extranjeros (SIRE) para huéspedes extranjeros.
• Verificar identidad, hacer cumplir reglas de la casa, investigar incidentes, documentar daños, proteger vecinos y propiedad, y cooperar con autoridades competentes cuando sea legalmente requerido.
• Operar, asegurar, depurar y mejorar nuestro sitio web, flujo de reserva, automatización de cumplimiento y operaciones internas.
• Medir desempeño publicitario y del embudo de reserva. No vendemos datos personales de huéspedes.

4. Información obligatoria

Los datos de contacto de reserva, pago, ocupación y registro legal son necesarios para solicitar o completar una estadía. Si tú o cualquier huésped se niega a entregar datos obligatorios de identidad o registro, podremos rechazar la solicitud, cancelar la reserva, negar el check-in o terminar la estadía según los Términos de Reserva. Algunos datos enviados a sistemas gubernamentales no pueden ser eliminados por nosotros porque pasan a formar parte de registros oficiales.

5. Con quién compartimos datos

Compartimos datos solo cuando sea necesario para reserva, pago, operación de propiedad, cumplimiento legal, seguridad, analítica o defensa en disputas:

• Stripe, Inc. — autorización de pago, captura, reembolso, control de fraude, disputas y registros tributarios/de pago. stripe.com/privacy
• Hostaway — gestión de reservas, sincronización de calendario, mensajería, check-in digital y operaciones de canales. hostaway.com/privacy-policy
• Supabase y Fly.io — base de datos, alojamiento de aplicación, logs y automatización backend. supabase.com/privacy · fly.io/legal/privacy-policy
• Vercel — alojamiento del sitio estático y entrega edge. vercel.com/legal/privacy-policy
• Google — analítica, tag management, atribución publicitaria y medición de conversiones. policies.google.com/privacy
• Mincit / SIAT / TRA, Migración Colombia / SIRE, DIAN, jueces, policía, autoridades administrativas, aseguradoras, abogados, contadores, bancos, redes de tarjetas, propietarios y administraciones o copropiedades — solo cuando sea requerido o razonablemente necesario para cumplimiento legal, administración del alojamiento, manejo de incidentes, contabilidad, seguros, resolución de disputas o defensa de nuestros derechos.

No vendemos ni alquilamos datos de identidad de huéspedes. Podemos divulgar datos operativos agregados, desidentificados o anonimizados que no identifiquen razonablemente a una persona natural.

6. Transferencias internacionales

Nuestro negocio usa infraestructura y proveedores transfronterizos. Tus datos pueden tratarse en Colombia, Estados Unidos, Brasil, el Espacio Económico Europeo y otros países donde operen nuestros encargados. Al reservar con nosotros o entregar datos, autorizas estas transferencias para las finalidades descritas en esta política. Nos apoyamos en contratos con encargados, controles de acceso, compromisos de seguridad y minimización de datos.

7. Retención

Conservamos datos solo durante el tiempo necesario para la finalidad de recolección, retención legal, defensa en disputas, contabilidad, impuestos, cumplimiento turístico, prevención de fraude y auditabilidad. Registros de reserva, pago, consentimiento, impuestos y cumplimiento pueden conservarse hasta por diez (10) años o más cuando exista una reclamación, investigación, obligación legal, contracargo o requerimiento gubernamental abierto. Los registros de seguridad suelen conservarse por periodos operativos más cortos salvo que sean necesarios para investigación. Los registros enviados a TRA/SIAT, SIRE, DIAN, jueces, policía u otras autoridades se conservan por dichas autoridades bajo sus propias reglas.

8. Seguridad

Los datos de pago son tratados por Stripe. Nuestros sistemas usan TLS, acceso basado en roles, acceso administrativo limitado, registros de auditoría, controles de secretos de entorno y row-level security cuando está disponible. Limitamos el acceso a personas y encargados con necesidad operativa. Ningún sistema en línea puede garantizar seguridad perfecta, pero mantenemos salvaguardas administrativas, técnicas y organizacionales razonables para el tamaño y naturaleza del negocio.

9. Tus derechos

Sujeto a límites legales, puedes solicitar acceso, corrección, actualización, prueba de autorización, información sobre el uso de tus datos, supresión, revocatoria de autorización y copia de tus datos personales. La supresión o revocatoria podrá negarse o limitarse cuando debamos conservar datos por el contrato de reserva, cumplimiento legal, reportes gubernamentales, contabilidad, prevención de fraude, seguridad, defensa frente a contracargos o reclamaciones legales.

Para ejercer derechos, escribe a zach@caxastays.com con el asunto "Solicitud Habeas Data" e información suficiente para verificar tu identidad y ubicar la reserva. Responderemos consultas y reclamos dentro de los términos exigidos por la normativa colombiana aplicable. Si consideras que tu solicitud no fue atendida correctamente, puedes acudir ante la Superintendencia de Industria y Comercio después de presentar primero tu solicitud ante nosotros.

10. Niños, niñas y adolescentes

Solo adultos mayores de 18 años pueden reservar. Los menores pueden hospedarse únicamente con un adulto responsable. Podemos recopilar datos de identidad de menores cuando sea legalmente requerido para registro de alojamiento, seguridad o cumplimiento. El adulto que reserva es responsable de contar con la autorización necesaria, y tratamos datos de menores solo para finalidades definidas de alojamiento, seguridad, cumplimiento y defensa en disputas, teniendo en cuenta su interés superior.

11. Cookies e identificadores publicitarios

Usamos cookies, local storage y tecnologías similares para operar el sitio, recordar identificadores de atribución, medir el embudo de reserva y mejorar el servicio. La configuración del navegador puede permitir bloquear o eliminar cookies, pero partes del flujo de reserva podrían no funcionar correctamente sin almacenamiento esencial.

12. Actualizaciones

Podemos actualizar esta política ocasionalmente. La versión publicada cuando envíes una solicitud de reserva regirá esa solicitud, salvo que una versión posterior sea requerida por ley o sea más protectora de tus derechos. Los cambios materiales se publicarán aquí con una nueva fecha de "Última actualización".