Ospikey está en fase de lanzamiento: el envío automático a SES.Hospedajes está en pruebas con el Ministerio del Interior y se activará en breve.
Servidores en la UE · Privacidad desde el diseño · Datos cifrados
Los datos de tus huéspedes, protegidos desde el diseño
Un documento de identidad es un dato de alto riesgo. Lo protegemos desde el diseño, no como un añadido.
-
Servidores en la UE Hetzner, Alemania
-
Datos sensibles cifrados Documentos, firmas y credenciales SES
-
Fotos borradas a los 30 días Tras la salida, automáticamente
-
Verificación en dos pasos Con app o código por email
Cuatro pilares
Cómo protegemos los datos
Cada documento, firma y dato personal pasa por medidas pensadas para datos de alto riesgo.
-
Servidores en la UE
Servidores y proveedores en la Unión Europea
El servicio funciona en servidores de Hetzner en Alemania: base de datos, archivos y copias de seguridad. Los emails automáticos salen con Brevo, en Francia. No transferimos datos fuera del Espacio Económico Europeo.
- Base de datos, archivos y copias de seguridad en Alemania (Hetzner)
- Emails automáticos con Brevo, en Francia
- Acuerdo de tratamiento de datos (art. 28 RGPD) con cada proveedor
-
Cifrado
Datos sensibles cifrados
Los datos de identidad, las firmas, las fotos de los documentos y las credenciales de SES.Hospedajes se guardan cifrados con libsodium. Cada tipo de dato tiene su propia clave, guardada fuera de la base de datos.
- Conexiones solo por HTTPS, con HSTS
- Contraseñas guardadas con Argon2id
- Ningún dato personal en los registros técnicos
-
Pocos datos
Solo los datos necesarios, borrados automáticamente
Recogemos los datos que pide el Real Decreto 933/2021. Las fotos de los documentos son opcionales: solo se piden si activas la función y se borran 30 días después de la salida.
- Datos de los huéspedes borrados 3 años después de la salida, como exige la ley
- Fotos limpias de metadatos, ubicación GPS incluida
- Lectura del documento en el móvil: la imagen de la cámara no llega a nuestros servidores
-
Accesos
Verificación en dos pasos y permisos
Cada persona del equipo tiene su usuario, con contraseña y verificación en dos pasos: app de autenticación, código por email o códigos de respaldo. Quien aún no ha activado la app recibe un código por email para las acciones delicadas.
- Roles y alojamientos: cada uno ve solo lo que le asignas
- Para ver un documento o cambiar las credenciales de SES se pide otra vez el código
- Contraseñas comprobadas contra las que ya se han filtrado
Entre bastidores
Separación entre clientes y envío a las autoridades
Hoy enviamos a SES.Hospedajes (España). Así funciona por dentro.
-
Cada cliente ve solo sus datos
PostgreSQLLa separación está en el código y también en la propia base de datos (Row Level Security de PostgreSQL), y la comprueban pruebas automáticas.
- Row Level Security: la propia base de datos filtra las filas de cada cliente
- Tests automáticos: comprueban que un cliente no ve los datos de otro
- Permisos por alojamiento: también en tu equipo cada persona ve solo los alojamientos que le asignas
Separación en el código y en la base de datos -
Envío a SES.Hospedajes
Real Decreto 933/2021Código de arrendador, usuario y contraseña del servicio web se guardan cifrados: la contraseña no se vuelve a mostrar y para cambiarlos hace falta la verificación en dos pasos. Si el servicio del Ministerio no responde, el envío se repite más tarde.
- Credenciales cifradas: código de arrendador, usuario y contraseña del servicio web
- Reintentos: a los 1, 2, 5, 10 y 30 minutos, luego cada hora, sin duplicados
- Justificante guardado: el lote y el código de comunicación quedan con la reserva
España · todos los planes -
Registro de actividad
Registro de auditoríaCada acción sensible, como abrir la foto de un documento o cambiar las credenciales de SES, queda en el registro de auditoría: quién, qué, cuándo y desde qué IP. El registro no se puede modificar y no contiene datos personales.
- Quién, qué, cuándo: usuario, acción, fecha y dirección IP de cada acción sensible
- No modificable: la base de datos rechaza cambios y borrados del registro
- Sin datos personales: los datos de los huéspedes no acaban en el registro
Cada fila enlazada con la anterior
Próximamente Portugal (SIBA) Italia (Alloggiati Web)
Nuestro modelo
Tus huéspedes son tus huéspedes. No vendemos sus datos.
Ospikey vive de las suscripciones de los anfitriones. No usamos los datos de los huéspedes para fines propios, no hacemos perfiles y no los cedemos a nadie con fines comerciales.
-
Sin publicidad para los huéspedes
En la app de check-in no hay banners, ofertas ni emails promocionales.
-
Ninguna cesión
Compartimos los datos de los viajeros solo con SES.Hospedajes, en tu nombre, y con los proveedores que nos ayudan a prestar el servicio.
-
Ninguna cookie en la web
La web pública no usa cookies ni herramientas de análisis o publicidad, y no carga recursos de terceros.
Funciones claras
Quién hace qué
Para el RGPD, tú eres el responsable del tratamiento de los datos de tus huéspedes y Ospikey es el encargado que los trata en tu nombre.
-
Encargado del tratamiento (art. 28)
Lo que hace Ospikey
Trata los datos de tus huéspedes solo según tus instrucciones: las Condiciones de uso y los ajustes que eliges en el panel.
- Seguridad: Protege los datos con las medidas de esta página
- Borrado: Borra fotos y datos en los plazos previstos
- Violaciones: Te avisa sin demora si hay una violación de datos
- Solicitudes de huéspedes: Te ayuda a responder a las solicitudes de los huéspedes
-
Responsable del tratamiento
Lo que te toca a ti
Por ley eres tú quien registra a los viajeros: Ospikey te ayuda, pero la obligación sigue siendo tuya.
- Usuarios personales: Da a cada colaborador su propio usuario: una cuenta no se comparte
- Credenciales SES: No compartas las credenciales de SES.Hospedajes en chats u hojas de cálculo
- Resultado de los envíos: Revisa en el panel el resultado de los envíos
- Solicitudes de huéspedes: Responde a las solicitudes de los huéspedes sobre sus datos; nosotros te ayudamos
Preguntas frecuentes
Preguntas sobre seguridad y RGPD
Conservación, funciones, cifrado: las respuestas a las preguntas más frecuentes.
¿Ospikey firma un acuerdo de tratamiento de datos?
Sí. El acuerdo de tratamiento de datos (art. 28 RGPD) es la sección 20 de las Condiciones de uso, que aceptas al registrarte: no hay que firmar nada aparte.
¿Qué pasa si SES.Hospedajes no responde?
El envío se queda en cola y se repite más tarde automáticamente. En el panel ves el estado de cada comunicación y, si un dato está mal, cuál corregir.
¿Las fotos de los documentos se guardan para siempre?
No. Son opcionales, solo se piden si activas la función y se borran automáticamente 30 días después de la salida. Mientras tanto están cifradas y cada vez que alguien las abre queda registrado.
¿Quién de mi equipo ve los datos de los huéspedes?
Solo quien tiene el permiso adecuado y solo en los alojamientos que le asignas. Para ver los documentos se pide además otra vez el código de la verificación en dos pasos.
¿Es segura la lectura del documento con la cámara?
Sí. La lectura se hace en el propio móvil: la imagen de la cámara no se envía a nuestros servidores. Solo se rellenan los campos, que el huésped revisa antes de enviar.
Un huésped pide borrar sus datos: ¿qué hago?
La solicitud te corresponde a ti, que eres el responsable. Recuerda que la ley española obliga a conservar los datos de los viajeros 3 años: desde el panel puedes consultarlos y corregirlos, y para lo demás te ayudamos nosotros.
El primer año gratis para todos los que se registren antes del 1 de diciembre de 2026.
El check-in de tus huéspedes, en buenas manos
Empiezas en pocos minutos. ¿Tienes una pregunta sobre seguridad? Escríbenos.
- Servidores en Alemania (Hetzner)
- Segundo código para las acciones delicadas
- Fotos de documentos borradas a los 30 días