Política de privacidad

Kroma («Kroma», «nosotros») es responsable del tratamiento de los datos personales que recopilamos a través de este sitio web. Para cualquier cuestión relacionada con la protección de tus datos, puedes escribirnos a privacidad@kroma.app.

• Datos de cuenta: nombre y email cuando creas una cuenta. Tu contraseña nunca se almacena en texto plano: guardamos únicamente un hash irreversible.
• Datos de reservas: espacio, fecha, horario y método de pago elegido al reservar.
• Datos de espacios publicados: si publicas un espacio, la información y fotos que nos facilitas sobre él.
• Datos técnicos: la cookie de sesión necesaria para mantenerte identificado (ver nuestra política de cookies).
• Datos de búsqueda: la categoría y la ubicación por las que filtras el catálogo, solo si tienes sesión iniciada — nos sirve para poder recomendarte espacios afines (ver «Recomendaciones por email» más abajo).
• Motivo y foto de una disputa: si cancelas una reserva ya confirmada como anfitrión, o abres una reclamación (como inquilino o como anfitrión por daños), el motivo que escribes y la foto que adjuntas como prueba (ver «Fotos de prueba en disputas» más abajo).
• Datos de pago: el importe, la fecha y el estado de cada transacción (autorizada, cobrada, reembolsada). Los datos de tu tarjeta nunca pasan por nuestros servidores — los recoge y trata directamente Stripe (ver «Pagos» más abajo).
• Resultado de la verificación de identidad: si tu identidad quedó verificada o no, y cuándo. El documento y la selfie los procesa Stripe directamente — nunca los vemos ni los guardamos. Si Stripe verifica tu documento, sí guardamos el NIF o NIE que extrae de él (ver «Verificación de identidad» más abajo).

• Crear y gestionar tu cuenta de usuario.
• Procesar y confirmar tus reservas o tus espacios publicados.
• Verificar tu identidad real, obligatorio para reservar o publicar, tanto para inquilinos como para anfitriones.
• Comunicarnos contigo sobre tu cuenta, tus reservas o cambios en el servicio.
• Mantener la seguridad del sitio y prevenir usos fraudulentos.
• Recomendarte espacios similares a los que buscas por email — puedes desactivarlo cuando quieras (ver «Recomendaciones por email»).
• Comprobar que la foto de una cancelación o una reclamación es genuina, para que ninguna de las dos partes de una disputa se quede en una situación de solo su palabra contra la del otro (ver «Fotos de prueba en disputas»).

No vendemos tus datos a terceros ni se los cedemos con fines comerciales.

Tratamos tus datos para ejecutar el contrato que aceptas al crear una cuenta o realizar una reserva (art. 6.1.b RGPD), y en algunos casos con tu consentimiento explícito o por nuestro interés legítimo en mantener el servicio seguro y en buen funcionamiento. Las recomendaciones por email se basan en un interés legítimo distinto, explicado en su propia sección más abajo.

Si tienes cuenta en Kroma, por defecto te enviamos de vez en cuando un email con espacios que podrían interesarte, a partir de las categorías y ubicaciones que más buscas en el catálogo (nunca a partir de tus reservas, mensajes ni ningún otro dato). Como mucho uno por semana.

La base legal no es tu consentimiento al crear la cuenta ni al aceptar los Términos — nunca es una condición para poder usar Kroma. Se basa en el interés legítimo de mantener informado a quien ya tiene una relación contractual con nosotros sobre servicios similares a los que busca, dentro de lo que permite el art. 21.2 de la Ley de Servicios de la Sociedad de la Información (LSSICE).

Puedes desactivarlo cuando quieras, sin que afecte al resto de tu cuenta, desde el desplegable de cuenta (tu nombre, arriba a la derecha) o desde el enlace que incluye cada email que te enviemos.

Tres gestiones dentro de Kroma exigen explicar un motivo y adjuntar una foto que lo acredite: cancelar una reserva ya confirmada como anfitrión (Términos, sección 6), abrir una reclamación como inquilino (sección 8), y abrir una reclamación de daños como anfitrión (sección 10). Es un tratamiento necesario para prevenir fraudes y para que ninguna disputa se quede en solo la palabra de una parte contra la de la otra — nuestra base legal es el interés legítimo en la seguridad del servicio (art. 6.1.f RGPD), no tu consentimiento ni una condición de los Términos.

Antes de aceptar cualquiera de estas tres gestiones, comprobamos de forma automática que la foto parece reciente y que no se ha usado ya en otra disputa (de cualquiera de los tres tipos). Si no supera esa comprobación, no se completa la gestión por esta vía — nunca de forma irrevocable: siempre puedes pedirnos una revisión manual escribiendo a soporte@kroma.app, tal y como recoge el art. 22 RGPD para cualquier verificación automatizada que pueda afectarte.

Esas fotos pueden llevar metadatos técnicos del dispositivo con el que se hicieron (por ejemplo, cuándo se tomaron). Por eso las tratamos como documentos privados: no son ficheros públicos como las fotos de un espacio, y cada una solo puede verla quien la sube y nuestro equipo — nunca la otra parte de la reserva, ni siquiera si esa otra parte es quien recibe el resultado de la disputa.

No cedemos tus datos personales a terceros con fines comerciales. Solo los compartimos con proveedores técnicos estrictamente necesarios para operar el servicio, actuando como encargados del tratamiento bajo las garantías exigidas por el RGPD, o cuando la ley nos obligue a ello:

• Stripe (pagos, verificación de identidad y, si publicas espacios, cuenta de pago para poder cobrar) — ver «Pagos» y «Verificación de identidad» más abajo.
• Proveedores de alojamiento e infraestructura técnica.

Para reservar o publicar un espacio, tanto inquilinos como anfitriones tenéis que verificar vuestra identidad real: un documento oficial y una selfie que la compara con la foto del documento. Lo hace Stripe Identity directamente — el documento y la selfie nunca los recibimos, los vemos ni los almacenamos. Solo guardamos el resultado (verificada, pendiente o rechazada) y la fecha.

Si Stripe verifica tu documento con éxito, también extrae y comprueba tu número de documento (NIF o NIE) y nos lo facilita — lo guardamos porque estamos legalmente obligados a poder reportar los ingresos de los anfitriones a la Agencia Tributaria (obligación DAC7). No guardamos tu nombre ni tu fecha de nacimiento extraídos del documento, solo el número.

Los pagos de Kroma los procesa Stripe, una pasarela de pago externa. Cuando pagas una reserva, los datos de tu tarjeta se envían directamente a Stripe a través de un formulario propio de Stripe embebido en la página — Kroma nunca los recibe, los ve ni los almacena. Solo conservamos el resultado de cada operación (importe, fecha, estado), nunca el número de tarjeta.

Si publicas un espacio y quieres cobrar tus reservas, tienes que completar una verificación adicional directamente con Stripe (Stripe Connect) que incluye tu nombre legal, fecha de nacimiento, domicilio y datos de tu cuenta bancaria. Ese proceso ocurre enteramente en un formulario alojado por Stripe, fuera de Kroma: nosotros solo recibimos la confirmación de que se ha completado, no los datos en sí.

Stripe trata estos datos como responsable independiente del tratamiento, conforme a su propia política de privacidad (stripe.com/es/privacy).

Conservamos tus datos mientras tu cuenta esté activa. Si quieres eliminarla, escríbenos a privacidad@kroma.app; los suprimimos salvo que debamos conservar determinada información por obligación legal (por ejemplo, fiscal o contable).

El motivo y la foto de una cancelación o de una reclamación (sección «Fotos de prueba en disputas») los conservamos hasta 3 años después de que la disputa se resuelva — pasado ese plazo, se borran automáticamente, tanto de nuestros servidores como la referencia en tu cuenta. Los registros de tus transacciones (importe, fecha, estado) los conservamos más tiempo por obligación contable y fiscal.

Conforme al RGPD y la LOPDGDD, puedes ejercer en cualquier momento tus derechos de:

• Acceso a tus datos personales.
• Rectificación de datos inexactos.
• Supresión de tus datos («derecho al olvido»).
• Limitación y oposición al tratamiento.
• Portabilidad de tus datos a otro proveedor.

Puedes ejercerlos escribiendo a privacidad@kroma.app. También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras que no hemos tratado tus datos correctamente.

Aplicamos medidas técnicas razonables para proteger tus datos, incluyendo el cifrado de contraseñas mediante funciones de hash con sal y cookies de sesión marcadas como HttpOnly, para que no puedan leerse desde scripts del navegador.

Kroma no está dirigido a menores de 18 años. Si detectamos una cuenta creada por un menor sin autorización, procederemos a eliminarla.

Podemos actualizar esta política de privacidad para reflejar cambios en el servicio o en la normativa aplicable. Publicaremos cualquier cambio relevante en esta misma página junto con la fecha de la última actualización.