Política de privacidad de Orclaus Management y Alohara

Versión 1.2 — vigente desde el 17 de septiembre de 2026

1. Alcance e identidad

Esta política se aplica a Orclaus Management S.L.U., a su sitio de reservas de marca Alohara, a las personas que lo visitan y a los tratamientos realizados durante la gestión de los alojamientos turísticos de Orclaus.

Dato	Información
Empresa gestora	Orclaus Management S.L.U.
NIF / VAT	B72773823 / ESB72773823
Domicilio	Calle Almería, 5, 3.º I, 12594 Oropesa del Mar (Castellón), España
Contacto de privacidad	[email protected]
Sitio web	www.alohara.com

2. Quién es responsable de cada tratamiento

Orclaus es responsable de los tratamientos que determina y realiza a través de Alohara y durante la gestión profesional de los alojamientos: funcionamiento del sitio web, consultas y reservas directas, comunicaciones, coordinación de pagos, check-in y acceso, atención al huésped, incidencias, limpieza, mantenimiento, seguridad, organización, facturación propia y defensa de reclamaciones.

Orclaus también determina las finalidades de la analítica del sitio y de la medición publicitaria, que se realizan conforme a las elecciones de consentimiento descritas en esta política y en la política de cookies.

Orclaus es responsable del registro y comunicación legal de viajeros a SES Hospedajes, que realiza como empresa gestora con sus propias credenciales. Esa comunicación contiene los datos de viajeros, establecimiento, reserva o transacción y demás campos exigidos; no incorpora datos personales del propietario.

El contrato de alojamiento se celebra entre el huésped y el propietario correspondiente. Por ello, el propietario puede acceder a los datos del huésped y de la estancia que sean necesarios para:

• Conocer quién se aloja en su propiedad y comprobar la ocupación autorizada.
• Cumplir, gestionar y defender el contrato de alojamiento.
• Gestionar cobros, liquidaciones, facturación, contabilidad o seguros.
• Conocer y resolver daños, incidencias, incumplimientos o reclamaciones.
• Atender obligaciones legales o defender sus derechos en un procedimiento.

Este acceso puede comprender identidad y contacto del huésped, acompañantes, alojamiento, fechas, importes y estado del pago, comunicaciones o incidencias relevantes y documentación necesaria. No comprende números completos de tarjeta ni información de otras propiedades. El acceso se limita a los alojamientos del propietario y a la información necesaria para esas finalidades.

Cuando el propietario utiliza esos datos para sus propias obligaciones contractuales, fiscales, aseguradoras o para formular o defender reclamaciones, actúa como responsable independiente de esos tratamientos. Orclaus sigue siendo responsable de sus propios procesos de gestión y de la seguridad y administración de Alohara.

Orclaus utiliza Holidario Innovations S.L.U. como encargado del tratamiento para operar el software de gestión y proporcionar las integraciones técnicas por cuenta de Orclaus. Los proveedores técnicos de Holidario pueden intervenir como subencargados bajo las garantías aplicables.

Para la analítica de Alohara, Orclaus contrata Google Analytics 4 con Google Ireland Limited. Google presta este servicio como encargado del tratamiento conforme a sus condiciones de tratamiento de datos.

Puedes escribir a [email protected] para conocer la identidad del propietario asociado a una reserva o para que Orclaus remita una solicitud relacionada con sus tratamientos.

3. Datos tratados

Según la relación, los servicios utilizados y tus elecciones de consentimiento, podemos tratar:

• Nombre, apellidos, documento identificativo, nacionalidad, fecha de nacimiento, sexo y datos de contacto.
• Datos de acompañantes y relación entre viajeros cuando lo exige el registro.
• Alojamiento, reserva, fechas, precio, preferencias, solicitudes e incidencias.
• Mensajes, llamadas, archivos, imágenes y comunicaciones antes, durante y después de la estancia.
• Pagos, devoluciones, facturas, referencias bancarias o de la operación.
• Acceso al alojamiento, check-in, check-out, llaves y autorizaciones.
• Dirección IP, dispositivo, sesión, consentimiento, seguridad y auditoría.
• Datos de navegación y medición: páginas y alojamientos consultados, origen de la visita, información de campaña, búsquedas de disponibilidad, número de huéspedes indicado, inicio y confirmación de reservas, importe, moneda e identificadores técnicos del navegador y de la sesión.
• Una referencia de transacción seudonimizada para evitar duplicidades en la medición de reservas.
• Datos de propietarios, personal, contratistas y proveedores necesarios para la gestión.

Los datos proceden de ti, de la persona que reserva, del propietario, de una OTA o canal, de proveedores de pago o comunicación y de autoridades o fuentes legítimas. Los datos de navegación también pueden obtenerse del navegador y de las interacciones con el sitio, conforme a la configuración de consentimiento aplicable.

Datos utilizados por Google Analytics

Google Analytics recibe los datos de navegación y medición descritos anteriormente cuando aceptas la categoría Analítica.

La integración está diseñada para medir navegación y reservas sin enviar nombres, apellidos, correos electrónicos, teléfonos, direcciones postales, documentos de identidad, mensajes, números de tarjeta ni enlaces o códigos de acceso a las reservas.

La referencia de transacción no permite, por sí sola, acceder a una reserva. Los identificadores utilizados para la medición son seudónimos y no convierten los datos en anónimos.

La conexión con Google implica transmitir la dirección IP. Google indica que, para el tráfico procedente de la Unión Europea, Suiza o el Reino Unido, la utiliza para obtener información geográfica y la descarta antes de registrarla. Esto no significa que todo el tratamiento posterior tenga lugar exclusivamente en Europa.

Información que no debes facilitar por canales inadecuados

No facilites por chat o campos libres contraseñas, números completos de tarjeta, copias de documentos, datos sanitarios u otros datos sensibles salvo que una función segura los solicite expresamente y sean necesarios.

4. Finalidades, bases y conservación

Finalidad	Base principal	Conservación ordinaria
Consultas, reserva, estancia, acceso y atención	Medidas precontractuales solicitadas por el huésped y gestión del contrato de alojamiento; interés legítimo de Orclaus y del propietario en organizar, prestar y documentar el servicio	Durante la relación y el plazo indicado para conversaciones
Registro y comunicación de viajeros	Obligación legal, incluido el Real Decreto 933/2021	El registro de viajeros se conserva 3 años desde el final del servicio, conforme a la norma
Pagos, devoluciones, facturas y contabilidad	Ejecución contractual y obligaciones fiscales o mercantiles	Documentación fiscal: 4 años; documentación mercantil y facturas: 6 años, salvo interrupción o plazo superior
Conversaciones originales con huéspedes	Ejecución del contrato e interés legítimo en atención, calidad, incidencias y defensa de derechos	Hasta 3 años desde el check-out; después se eliminan o anonimizan de forma irreversible, salvo bloqueo por una obligación o reclamación real
Tickets e incidencias operativas	Ejecución del contrato e interés legítimo en resolver y documentar el servicio	Hasta 3 años desde el cierre; después se eliminan o anonimizan de forma irreversible, salvo bloqueo por una obligación o reclamación real
Seguridad, fraude y defensa de reclamaciones	Interés legítimo y obligación legal	Durante la investigación y los plazos aplicables, con acceso limitado
Marketing propio	Consentimiento o relación previa válida para servicios similares, con derecho de oposición	Hasta retirar el consentimiento u oponerse; se conserva evidencia mínima de la baja
Analítica de visitas y del proceso de reserva mediante Google Analytics 4	Consentimiento previo para la categoría Analítica	Dos meses para los datos de usuario y de eventos sujetos al control de retención de Analytics, con las precisiones indicadas a continuación

Los tres años de conversaciones y tickets son el plazo definido por Orclaus para esas finalidades; no se presentan como un plazo legal general. Si un litigio, requerimiento u obligación concreta exige conservar un elemento, se bloqueará y limitará al tiempo aplicable.

Finalidad y conservación de la analítica

Utilizamos Google Analytics 4 para conocer cómo llegan las visitas al sitio, qué páginas y alojamientos se consultan, cómo se realizan las búsquedas de disponibilidad y cómo evoluciona el proceso de reserva. Esto nos permite evaluar el funcionamiento de Alohara y mejorar la experiencia de navegación y reserva.

La propiedad tiene configurada una conservación de dos meses para los datos de usuario y de eventos sujetos al control de retención de Analytics, sin reiniciar el plazo del identificador de usuario por nuevas visitas. Google aplica la eliminación en sus ciclos mensuales.

Este control no limita la conservación de los informes estadísticos estándar agregados. Tampoco debe confundirse con:

• La duración de las cookies de Analítica, configuradas para un máximo de 12 meses desde su creación, sin ampliar su vencimiento por visitas posteriores.
• La validez de la elección de consentimiento, que se renueva como máximo cada 12 meses.
• El marcador de sesión utilizado para evitar contabilizar repetidamente una misma reserva, que permanece durante la sesión de navegación salvo eliminación anterior.

El navegador puede limitar estos plazos o eliminar antes los datos almacenados.

Medición publicitaria

Cuando Orclaus tenga configurada la medición de Google Ads, se utiliza para atribuir reservas a campañas y medir sus conversiones, únicamente después de aceptar la categoría Publicidad.

La atribución publicitaria guardada localmente tiene una duración de 30 minutos. Las cookies publicitarias utilizadas por Google Ads pueden conservarse durante un máximo aproximado de 90 días, según se explica en la política de cookies.

La elección de Publicidad es independiente de la de Analítica.

Copias técnicas

Las copias técnicas de Holidario contienen los datos originales: copias diarias de base de datos durante 90 días, semanales durante 12 meses y un espejo privado diario de archivos donde las eliminaciones del origen se propagan. Los datos eliminados no vuelven al uso activo salvo recuperación autorizada.

Estos plazos de las copias de Holidario no sustituyen los plazos propios del servicio Google Analytics.

5. Destinatarios e integraciones

Podemos comunicar datos, en la medida necesaria, a:

• El propietario del alojamiento y su personal autorizado, con acceso limitado a sus propiedades y a los datos necesarios para el contrato, la gestión y la defensa de sus derechos.
• Holidario y sus proveedores de infraestructura, correo, observabilidad e IA.
• Airbnb, Booking.com y otros canales utilizados para la reserva.
• Channex para la sincronización del canal.
• Twilio, Telegram u otros operadores de comunicación habilitados.
• PrintNode para impresión remota cuando el documento deba imprimirse.
• Microsoft Azure Document Intelligence si se activa el reconocimiento de facturas.
• Mapbox para mapas, geocodificación o rutas.
• Google Ireland Limited, para Google Analytics 4 cuando aceptas Analítica.
• Google, para la medición de Google Ads cuando esté configurada y aceptes Publicidad.
• Google o YouTube cuando solicitas la reproducción de un vídeo externo.
• Redsys, el banco adquirente y las entidades bancarias para pagos.
• Scalapay, si eliges el pago aplazado.
• SES Hospedajes, AEAT, INE/IRIA, órganos judiciales, Fuerzas y Cuerpos de Seguridad y otras autoridades cuando exista obligación.
• Asesores, aseguradoras y profesionales sujetos a confidencialidad.

Redsys, Scalapay, bancos, OTAs y autoridades pueden actuar como responsables independientes para sus propias obligaciones. Sus políticas se aplican a esos tratamientos.

Configuración de Google Analytics

Orclaus controla la cuenta de Analytics utilizada para Alohara. Holidario proporciona la integración técnica por cuenta de Orclaus.

En esta configuración:

• No utilizamos Google Signals.
• No utilizamos la función User-ID.
• No utilizamos la recopilación de datos proporcionados por el usuario para enriquecer perfiles.
• La recopilación de ubicación y dispositivo detallados está desactivada.
• La propiedad de Analytics no se vincula con Google Ads para compartir audiencias o conversiones.
• Los datos de Analytics no se utilizan para personalizar publicidad.
• Las opciones voluntarias de compartir datos de la cuenta con Google están desactivadas.

La eventual medición publicitaria de Google Ads se gestiona por separado y requiere su propio consentimiento.

Más información:

• Condiciones de Google Analytics
• Condiciones de tratamiento de datos de Google
• Conservación de datos en Google Analytics
• Datos y privacidad en la Unión Europea, Suiza y el Reino Unido

6. Inteligencia artificial

Orclaus puede usar funciones de IA de Holidario para analizar conversaciones y proponer incidencias, buscar recursos autorizados o preparar contenido.

Antes de enviar información al proveedor:

• Los identificadores de mensajes se sustituyen por índices o alias.
• El contenido SEO se anonimiza cuando puede contener datos personales.
• El asistente interno utiliza Presidio y tokens efímeros para que un nombre, código o valor de búsqueda autorizado llegue al modelo como referencia opaca.
• Los datos personales ajenos a una búsqueda autorizada bloquean el envío.

Los chats y tokens efímeros del asistente se eliminan a los 60 minutos. Holidario utiliza una cuenta OpenRouter controlada por Orclaus y rutas upstream ZDR fijadas, con registro de prompts, entrenamiento, publicación y programas de uso de datos desactivados.

ZDR limita la retención de prompts y respuestas, pero no impide el procesamiento durante la solicitud ni posibles metadatos técnicos o de facturación. La detección no es infalible, por lo que el equipo recibe instrucciones de minimizar datos y no introducir credenciales, tarjetas completas, documentos oficiales o categorías especiales.

Las propuestas de agentes quedan sujetas a permisos y confirmación humana. No adoptamos decisiones únicamente automatizadas con efectos jurídicos o similares sobre huéspedes o trabajadores.

7. Transferencias internacionales

La infraestructura principal y las copias R2 indicadas están en el Espacio Económico Europeo. Algunos proveedores, OTAs o sus subencargados pueden tratar datos fuera del EEE.

Orclaus y Holidario utilizan el mecanismo aplicable —decisión de adecuación, cláusulas contractuales tipo y medidas complementarias u otra garantía válida— cuando contratan al destinatario como encargado.

Una integración o medio de pago elegido puede implicar una transferencia bajo las condiciones del proveedor independiente.

Google Analytics

Google Analytics puede implicar el tratamiento de información en Estados Unidos y otros países fuera del Espacio Económico Europeo.

Google informa de que utiliza el Marco de Privacidad de Datos UE-EE. UU. para las transferencias cubiertas por la certificación de Google LLC y de las entidades estadounidenses participantes, y las cláusulas contractuales tipo cuando corresponda conforme a sus condiciones.

La recogida inicial de determinados datos en servidores europeos y el descarte de la dirección IP no significan que todo el tratamiento posterior se realice exclusivamente en Europa.

Puedes consultar los mecanismos y garantías en la información de Google sobre transferencias internacionales.

Para solicitar información sobre una transferencia concreta o las garantías aplicables, escribe a [email protected].

8. Cookies y servicios del navegador

Alohara utiliza cookies y tecnologías esenciales para navegación, seguridad, idioma, disponibilidad y reserva.

Analítica

Utilizamos Google Analytics 4 para elaborar estadísticas de navegación y medir el proceso de reserva, únicamente después de que aceptes la categoría Analítica.

Puedes rechazar esta medición sin que ello afecte a la navegación, a la consulta de alojamientos ni a la posibilidad de reservar.

Publicidad

La medición publicitaria de conversiones de Google Ads, cuando esté configurada, solo se activa después de que aceptes la categoría Publicidad.

Aceptar Analítica no autoriza Publicidad y aceptar Publicidad no autoriza Analítica.

Mapas, vídeos y pagos

Los mapas de Mapbox se cargan automáticamente al acceder a una ficha de alojamiento o al área del huésped porque forman parte de la función de localización ofrecida en esas páginas. Mapbox puede recibir la IP y datos técnicos de la sesión necesarios para servir y contabilizar el mapa; la recopilación opcional de métricas de rendimiento está desactivada.

Los vídeos externos permanecen bloqueados hasta que solicitas su reproducción.

Los componentes del medio de pago pueden comunicar IP, dispositivo y contexto técnico cuando utilizas esa función.

Gestión del consentimiento

El gestor de cookies permite aceptar, rechazar o configurar por separado las categorías no esenciales disponibles. Estas categorías permanecen desactivadas hasta que las aceptas. Continuar navegando, aceptar las condiciones de reserva o realizar una reserva no equivale a consentir Analítica o Publicidad.

Puedes cambiar o retirar tu elección en cualquier momento desde el icono de cookies del sitio.

Al retirar Analítica, dejamos de enviar sus eventos y eliminamos las cookies de Analítica accesibles desde el sitio. La retirada no elimina automáticamente la información que Google haya recibido con anterioridad.

La elección tiene una validez máxima de 12 meses. Al volver al sitio después de ese plazo se solicita una nueva decisión. También se renueva cuando cambian sustancialmente las finalidades o los proveedores de forma que afecte al consentimiento otorgado.

La información detallada sobre nombres, finalidades, proveedores, duración y retirada está disponible en la Política de cookies.

9. Menores

Podemos tratar datos de viajeros menores cuando formen parte de una reserva y sean necesarios para prestar el alojamiento o cumplir el registro legal. La persona que reserva debe estar legitimada para facilitarlos.

No utilizamos datos de menores para perfiles publicitarios.

10. Derechos

Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad u oposición, cuando proceda, y retirar el consentimiento sin afectar a la licitud del tratamiento realizado antes de retirarlo. También puedes oponerte al marketing directo.

Escribe a [email protected], indicando la reserva o relación y el derecho que deseas ejercer. Podemos pedir información ya proporcionada para verificar tu identidad.

Orclaus responderá respecto de sus propios tratamientos. Si la solicitud se refiere al tratamiento independiente realizado por el propietario, te indicará su identidad o le trasladará la solicitud para que pueda atenderla.

Para retirar el consentimiento de Analítica o Publicidad, puedes utilizar directamente el icono de cookies del sitio. Para solicitar acceso o supresión de datos personales de medición ya tratados, puedes contactar con Orclaus. Cuando sea necesario para localizar esos datos, podremos solicitar información adicional limitada a la necesaria para atender la solicitud.

Retirar el consentimiento de medición no cancela una reserva ni impide que conservemos los datos necesarios para cumplir el contrato, atender obligaciones legales o defender reclamaciones.

Puedes reclamar ante la Agencia Española de Protección de Datos.

11. Seguridad, incidentes y cambios

Orclaus y Holidario aplican roles y permisos, mínimo privilegio, protección de credenciales, cifrado en tránsito, copias privadas, registros depurados, actualizaciones, gestión de incidentes y seudonimización de IA.

Si detectas un acceso o uso no autorizado, escribe cuanto antes a [email protected].

Publicaremos la versión vigente y su fecha. Los cambios materiales se comunicarán por un medio adecuado cuando corresponda. Si afectan al consentimiento de Analítica o Publicidad, se solicitará una nueva elección antes de aplicar los tratamientos que requieran ese consentimiento.