trata datos personales en esta aplicación. Aquí se explica qué datos son, para qué se usan, con qué base legal, cuánto tiempo se guardan y quién más los toca — tal y como la aplicación funciona hoy.
Quién responde de tus datos
Responsable del tratamiento: — decide qué datos se tratan y para qué; ante él se ejercen los derechos.
Delegado de protección de datos:
Encargado del tratamiento: Ilya Labs, que desarrolla y mantiene la aplicación y trata los datos solo por cuenta del responsable (art. 28 RGPD). No los usa para fines propios ni los cede fuera de la tabla siguiente.
Una excepción: la bandeja de soporte es de Ilya Labs, que ahí actúa como responsable. Esas incidencias no viven en la base de datos del negocio; para lo que escribas ahí, los derechos se ejercen ante lucas@ilyalabs.es.
Dónde están los datos y quién más los toca
| Quién | Qué hace | Dónde |
|---|
| Ilya Labs (España) | Mantiene la aplicación; para reparar una avería puede acceder a los datos. Encargado. | España |
| Supabase | Base de datos, cuentas de acceso y ficheros subidos. Subencargado. | Irlanda (eu-west-1) |
| Netlify | Sirve la aplicación y ejecuta sus funciones de servidor; sus registros técnicos guardan IP, fecha y hora. Subencargado. | Irlanda (eu-west-1); las páginas se entregan por su red mundial |
| Resend, Inc. | Envía los correos de la aplicación (código de firma, avisos). Su papel es entregarlos, no almacenarlos: los datos del negocio no viven allí. Subencargado. | Estados Unidos |
| Ilya Soporte (Ilya Labs) | Las incidencias del botón de soporte. El widget consulta el servidor de Ilya Labs al usar la aplicación y esa conexión registra la IP. Aquí Ilya Labs es responsable. | Irlanda; sus correos, por Resend |
Supabase Inc. y Netlify Inc. son sociedades estadounidenses, aunque el tratamiento esté configurado en Irlanda. Fuera de esta lista no se comunican datos a nadie, salvo obligación legal.
Salidas fuera del Espacio Económico Europeo
Una: los correos (Resend), en Estados Unidos. La garantía del art. 46 RGPD que la ampara (Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo) puede pedirse por el canal de derechos de abajo.
Seguridad
Los datos viajan por HTTPS y se guardan con el cifrado en reposo del proveedor. Al panel solo se entra con la sesión iniciada. Hay pantallas públicas que funcionan con un enlace de código largo, sin contraseña: quien tenga el enlace las ve, así que conviene no reenviarlo — aquí abajo se dice cuáles son y cómo se revocan. Dentro del negocio no hay roles: toda cuenta ve todo.
¿Estás obligado a dar estos datos?
Los marcados como obligación legal, sí. Los del contrato son necesarios para prestar el servicio. Los basados en consentimiento son voluntarios, y el permiso se puede retirar cuando quieras.
Si estos datos no los diste tú
Puede haberlos introducido el negocio, o llegar importados de otra aplicación — el apartado de abajo dice cuáles y de dónde. Nunca proceden de fuentes públicas ni se han comprado, y tus derechos son los mismos.
Qué trata Ilya Events
Datos de clientes y organizadores, de quien firma el contrato, del personal asignado, de proveedores y, si se importan reservas de Ilya Stays, del huésped, que figura como cliente del evento.
| Qué datos |
Para qué |
En qué se apoya |
Cuánto se guarda |
| Nombre del cliente, empresa y un contacto (teléfono o correo); notas del evento; documentos que se suban (menús, PDF de tastings) |
Preparar el presupuesto y organizar el evento: propuesta, timing, tastings, briefing |
Ejecución del contrato (art. 6.1.b RGPD) con quien contrata; son datos necesarios para prestar el servicio. Para las personas de contacto que no son parte del contrato —incluido el huésped importado de Stays—, interés legítimo en poder coordinar el servicio (art. 6.1.f) |
Mientras dure el encargo y 5 años más, que es lo que tardan en prescribir las acciones derivadas del contrato (art. 1964.2 del Código Civil). La aplicación solo permite archivar el evento: archivar deja de servir el enlace público, pero no borra nada |
| Datos fiscales del cliente (nombre fiscal, NIF, correo, dirección, ciudad, CP, provincia, país), pagos, cobros y movimientos de caja |
Soporte contable y fiscal del negocio |
Obligación legal del responsable (art. 6.1.c RGPD): son obligatorios, sin ellos no se puede facturar |
6 años, que es el plazo más largo de los dos que aplican: 4 años de prescripción tributaria (arts. 66 y 67 de la Ley 58/2003) y 6 años de conservación de libros y documentación (art. 30 del Código de Comercio) |
| Acta de firma: nombre y correo de quien firma, huella (hash) del documento firmado, dirección IP, navegador, fecha y hora y la casilla de aceptación |
Firmar el contrato del evento y poder acreditar después quién firmó qué y cuándo |
Ejecución del contrato (art. 6.1.b) para el nombre y el correo; interés legítimo en poder probar la firma (art. 6.1.f) para la IP, el navegador y la hora |
Ninguna norma fija un plazo (el valor probatorio de la firma se apoya en el Reglamento (UE) 910/2014 y en la Ley 6/2020, que no imponen conservación). Criterio del responsable: mientras el contrato pueda producir efectos y 5 años más, por la prescripción de las acciones personales (art. 1964.2 del Código Civil). La aplicación no las borra: hay que pedir la supresión al vencer el plazo |
| Código de un solo uso para verificar el correo del firmante: correo de destino, IP de origen, huella del código, intentos y caducidad |
Comprobar que quien firma es el titular de ese correo |
Ejecución del contrato (art. 6.1.b) e interés legítimo en la seguridad del proceso de firma (art. 6.1.f) |
Se borran solos: al generar un código nuevo, la base de datos elimina los que llevan más de un día caducados. Es el único borrado automático de este módulo, y es una decisión de diseño propia, no una obligación legal |
| Personal: nombre, rol, tarifa por hora, notas; y su asignación a cada evento con las horas previstas |
Organizar el equipo del evento y estimar su coste |
Relación laboral o mercantil con esa persona (art. 6.1.b) e interés legítimo en organizar el servicio (art. 6.1.f) |
Mientras dure la colaboración y el tiempo necesario para responder de ella; el plazo lo fija el responsable, porque aquí no hay norma que lo imponga. Las horas de la asignación son una previsión para calcular el coste: esto no es un registro de jornada, y por eso no le aplican los 4 años del art. 34.9 del Estatuto de los Trabajadores |
| Proveedores: nombre, categoría, teléfono, correo y notas |
Mantener el listado y poder contactar con ellos |
Interés legítimo en la gestión de la relación comercial (art. 6.1.f). Son datos de contacto profesional |
Mientras dure la relación comercial. Sin norma que imponga plazo |
| Apertura de la propuesta: cuándo se abrió el enlace por primera vez, cuándo por última y cuántas veces |
Saber si el cliente ha visto la propuesta, para el seguimiento comercial |
Interés legítimo del negocio en seguir su propia oferta (art. 6.1.f). Es un registro de uso de un enlace que se te ha enviado, y puedes oponerte a él |
Viven dentro del propio evento y siguen su plazo: la aplicación no los borra por separado |
Pantallas sin cuenta
Tres: la propuesta, la firma y el cobro. Se abren con un enlace de código largo y cada una muestra solo su evento. Archivar el evento deja los enlaces sin servicio — así se revocan.
Si estos datos no los diste tú
Si eres personal o proveedor, los introdujo el negocio. Si eres huésped de una villa, tu nombre puede llegar importado de Ilya Stays.
Lo que sale fuera de la UE en este módulo
El correo con el código de firma se envía por Resend (Estados Unidos). Las funciones de servidor corren en Irlanda (eu-west-1), y por ellas pasan el nombre, correo, IP y navegador del firmante antes de guardarse, también en Irlanda. El parte meteorológico se consulta a MET Norway (Noruega, EEE) desde el servidor, con coordenadas fijas: no viaja ningún dato de la aplicación.
Datos de salud
Esta aplicación no pide ni trata datos de salud ni de ninguna categoría especial (art. 9 RGPD). Los campos de notas son texto libre: no escribas ahí alergias ni datos médicos — pasarían a estar especialmente protegidos sin que la aplicación lo tenga previsto.
Tus derechos
Acceso, rectificación, supresión, limitación, oposición y portabilidad; el consentimiento se puede retirar. Contra los usos basados en interés legítimo puedes oponerte por motivos de tu situación particular. El responsable contesta en un mes (art. 12.3 RGPD). Lo que una norma obliga a conservar no se borra: queda bloqueado (art. 32 de la LO 3/2018) hasta vencer su plazo, y la supresión hay que pedirla — no es automática. Si no te contestan o no estás conforme: Agencia Española de Protección de Datos, www.aepd.es (art. 77 RGPD).
Cómo ejercerlos:
Lo que esta aplicación no hace
No toma decisiones automatizadas con efectos jurídicos ni elabora perfiles (art. 22 RGPD).
Última actualización:
