Política de privacidad

1. Quién es el responsable

El responsable del tratamiento es HIBCN APARTMENTS SL, NIF B56824360, con domicilio en calle Bailén 50, entresuelo 1.ª, 08009 Barcelona.

Correo de contacto para todo lo relacionado con privacidad: [email protected].

No tenemos delegado de protección de datos: por tamaño y actividad no estamos obligados a nombrarlo. Escríbenos a la dirección de arriba.

2. A quién se aplica

Esta política cubre:

a quien visita livyo.ai o nos escribe desde la web;
a las personas del equipo de nuestros clientes que tienen cuenta en el portal (portal.livyo.ai).

No cubre los datos de los huéspedes de nuestros clientes. Esos datos los tratamos por cuenta del cliente, que es quien decide sobre ellos. Lo explicamos en el apartado 4.

3. Qué datos tratamos y por qué

3.1 Si nos pides acceso o nos contactas desde la web

Datos: los que nos das en el formulario de solicitud o en tu correo: nombre, correo electrónico, teléfono si lo das, empresa, número de alojamientos, programa de gestión (PMS) que usas y lo que escribas en el mensaje.
Para qué: responder a tu solicitud, preparar una demostración, ponerte en marcha la prueba gratuita y dar de alta tu cuenta si decides contratar. No te enviaremos boletines ni publicidad por haber rellenado el formulario.
Base legal: la aplicación de medidas precontractuales a petición tuya (artículo 6.1.b del RGPD). Para enviar el formulario marcas la casilla en la que confirmas que has leído esta política; puedes pedirnos en cualquier momento que borremos tu solicitud.
Dónde se guardan: la solicitud se registra en nuestra base de datos, alojada en la Unión Europea, y nos llega un aviso por correo electrónico para poder responderte. Ese aviso llega a los buzones del equipo de Livyo: el correo corporativo y el buzón personal de una de las personas fundadoras (los proveedores de cada uno están en el apartado 7).
Protección contra abusos: de la dirección IP desde la que se envía el formulario solo guardamos su huella criptográfica (hash), nunca la IP en claro, y la borramos a las 48 horas. Nos sirve únicamente para frenar envíos masivos o automatizados.

3.2 Si tienes cuenta en el portal

Datos: nombre, correo profesional, empresa a la que perteneces, rol dentro de la cuenta y contraseña. La contraseña la guarda nuestro proveedor de autenticación solo como huella irreversible (hash bcrypt), nunca en forma legible: nadie en Livyo puede verla.
Para qué: darte acceso al portal, identificarte y prestar el servicio contratado por tu empresa.
Base legal: la ejecución del contrato entre Livyo y tu empresa (artículo 6.1.b) y nuestro interés legítimo en gestionar los accesos (artículo 6.1.f).

3.3 Registros de acceso y de actividad

Datos: fecha y hora de entrada y salida, acciones relevantes dentro del portal (invitaciones, cambios de contraseña, cambios de facturación, exportaciones, correcciones de la base de conocimiento), identificador de sesión e intentos fallidos de acceso. La dirección IP no se guarda en claro: se almacena su huella criptográfica (SHA-256), que nos sirve para limitar intentos de acceso abusivos sin conservar la IP.
Para qué: seguridad, detección de accesos indebidos, trazabilidad y resolución de incidencias.
Base legal: nuestro interés legítimo en proteger el servicio y el de nuestros clientes (artículo 6.1.f) y el cumplimiento de nuestras obligaciones de seguridad (artículo 32 del RGPD).

3.4 Registros técnicos

Datos: los registros que generan por su cuenta nuestros proveedores de infraestructura al servir la web, el portal y la base de datos: peticiones, códigos de respuesta, errores y datos de conexión.
Para qué: mantener el servicio en marcha, diagnosticar errores y protegerlo frente a ataques.
Base legal: interés legítimo (artículo 6.1.f).

3.5 Facturación

Datos: datos fiscales de la empresa cliente y de la persona de contacto, e histórico de facturación.
Para qué: facturar y cumplir las obligaciones contables y fiscales.
Base legal: ejecución del contrato (artículo 6.1.b) y obligación legal (artículo 6.1.c).

4. Los datos de los huéspedes

Para prestar el servicio tratamos mensajes y datos de los huéspedes de nuestros clientes. En esos datos nosotros no decidimos nada: actuamos como encargados del tratamiento y seguimos las instrucciones del cliente, que es el responsable.

Los guardamos en nuestra propia base de datos, alojada en la Unión Europea. No somos un simple conducto entre el PMS y el modelo: conservamos el histórico de conversaciones para que el cliente pueda supervisar el servicio, corregir lo que el asistente sabe y hacer seguimiento de los casos escalados. En concreto guardamos el nombre del huésped, el texto de su mensaje, la respuesta que le dio el asistente, las fechas de su reserva, el alojamiento, el canal y el identificador de la conversación.

Los conservamos como máximo 24 meses desde que se generan, y los suprimimos o devolvemos al cliente cuando termina su contrato (apartado 9).

Qué datos son exactamente, para qué se usan, qué medidas de seguridad se aplican, quiénes son los subencargados y qué pasa al terminar el contrato está detallado en el anexo de tratamiento de datos que recibe cada cliente al contratar.

Si eres huésped de un alojamiento gestionado con Livyo y quieres ejercer tus derechos, dirígete a la empresa que gestiona tu alojamiento. Si nos escribes a nosotros, trasladaremos tu solicitud a esa empresa y te lo diremos.

5. Cookies

Sin analítica, sin publicidad, sin rastreadores

Esta web no instala ninguna cookie. No usamos ninguna herramienta de analítica, no usamos cookies de publicidad y no incrustamos rastreadores de terceros. Por eso no verás un banner de cookies.

El portal usa una sola cookie, estrictamente necesaria:

__Host-livyo_sessio: mantiene tu sesión iniciada. Es HttpOnly (el JavaScript de la página no puede leerla), Secure (solo viaja por HTTPS) y SameSite=Strict (no se envía desde otros sitios). Caduca a los 7 días de haber iniciado sesión (y también si pasas 7 días sin actividad); en las sesiones del equipo de administración de Livyo, a las 8 horas. Se borra al cerrar sesión.

Por ser estrictamente necesaria para un servicio que has pedido, esta cookie no requiere consentimiento previo.

El portal guarda además, en el almacenamiento local de tu navegador (no son cookies y no se envían a ningún servidor), tu idioma preferido, la vista de alojamientos que has elegido y, durante el alta, el identificador del formulario que estás rellenando. Puedes borrarlos desde tu navegador.

Esta web no carga ningún recurso de terceros. Las tipografías, las imágenes, los estilos y el poco JavaScript que hay se sirven desde nuestro propio dominio; no hay ninguna petición a servicios externos de tipografías, a una CDN ajena, a redes sociales ni a ningún otro servidor externo. Por el hecho de visitar esta página, tu navegador no envía tu dirección IP a nadie más que a nosotros y a nuestros proveedores de infraestructura. Solo si envías el formulario de solicitud, los datos viajan directamente a nuestro servidor, en la Unión Europea. En el portal ocurre lo mismo.

6. De dónde salen los datos

Los datos nos llegan de ti directamente (formularios de la web, alta en el portal) o de la empresa cliente que te da de alta como usuario del portal. No compramos listas ni obtenemos datos de fuentes públicas para hacer prospección.

7. Con quién los compartimos

No vendemos datos ni los cedemos a terceros para sus propios fines. Los compartimos únicamente con los proveedores que necesitamos para funcionar, que los tratan por cuenta nuestra. Con cada uno se aplica su acuerdo de tratamiento de datos (DPA) estándar, que forma parte de sus condiciones de servicio:

Tipo de proveedor	Para qué	Dónde trata los datos
Proveedor de infraestructura en la nube (base de datos y servidores)	Guarda las cuentas, las sesiones, los registros de actividad, las solicitudes recibidas desde la web, la configuración de cada cliente y el histórico de conversaciones con los huéspedes (mensajes, respuestas, casos escalados y contexto de cada alojamiento).	Unión Europea
Proveedor de alojamiento web y red de distribución, y envío de los correos de aviso	Sirve la web y el portal, reenvía el correo dirigido a `livyo.ai` y envía los correos de aviso.	Red global; el tráfico con origen en la UE se atiende en Europa
Proveedor de correo electrónico corporativo	Correo electrónico de Livyo (por ejemplo, `[email protected]`), donde recibimos los avisos de las solicitudes de la web.	Unión Europea
Proveedor de correo electrónico del buzón personal de una persona fundadora	Recibe el aviso por correo de las solicitudes enviadas desde el formulario de la web. Solo para esta finalidad: nunca recibe datos de huéspedes.	Puede implicar tratamiento fuera de la UE
Proveedor de inteligencia artificial	Redacta las respuestas a los huéspedes. Solo recibe lo necesario para generar cada respuesta.	Estados Unidos

Si quieres saber la identidad de un proveedor concreto, escríbenos a [email protected] y te lo diremos.

También podemos comunicar datos a autoridades, juzgados o administraciones cuando una norma nos obligue.

8. Transferencias fuera de la UE

La base de datos está en la Unión Europea. La excepción principal es el modelo de inteligencia artificial.

Las respuestas las genera nuestro proveedor de inteligencia artificial, que trata los datos en Estados Unidos, así que hay una transferencia internacional, amparada en su acuerdo de tratamiento de datos y en las cláusulas contractuales tipo de la Comisión Europea.

Sobre qué hace nuestro proveedor de inteligencia artificial con lo que le enviamos, según sus condiciones comerciales y su documentación de privacidad:

No entrena sus modelos con el contenido que le enviamos. Sus condiciones comerciales lo dicen expresamente y su documentación de privacidad lo confirma.
Las entradas y las salidas se borran automáticamente en un plazo de 30 días desde que se reciben o se generan.
Excepción: si un contenido se marca por incumplir su política de uso, nuestro proveedor de inteligencia artificial puede conservar las entradas y salidas hasta 2 años, y las puntuaciones de clasificación de seguridad hasta 7 años. En ese caso, personal del proveedor puede revisar ese contenido para comprobar el incumplimiento.
Los derechos sobre lo que se envía siguen siendo del cliente, y el cliente es titular de lo que el modelo genera a partir de ello.

Dicho de forma directa: el modelo no se queda con los datos ni aprende de ellos, pero sí salen de la Unión Europea mientras se genera la respuesta.

Algunos de nuestros proveedores de infraestructura son empresas con sede en Estados Unidos. Aunque los datos se alojan o se sirven en Europa, cualquier acceso desde fuera de la UE queda cubierto por las garantías de sus acuerdos de tratamiento de datos (cláusulas contractuales tipo y, cuando corresponda, el Marco de Privacidad de Datos UE-EE. UU.).

9. Cuánto tiempo los guardamos

Datos	Plazo
Mensajes de huéspedes, respuestas del asistente y datos de conversación, guardados en nuestra base de datos por cuenta del cliente	Como máximo 24 meses desde que se generan. Al terminar el contrato con el cliente se suprimen o se le devuelven, en los plazos del anexo de tratamiento de datos que recibe el cliente
Cuenta del portal (nombre, correo, rol, pertenencia a un cliente)	Mientras la cuenta esté activa; se elimina al darla de baja o al terminar el contrato con su empresa
Registros de acceso y de actividad del portal	Mientras la cuenta esté activa y, después, el plazo necesario para atender reclamaciones o cumplir obligaciones legales
Claves de acceso al PMS del cliente	Mientras dure el contrato; se eliminan al terminarlo
Solicitudes de acceso y consultas recibidas desde la web	Hasta 12 meses desde la fecha de la solicitud, si no se convierten en contrato; si contratas, pasan a formar parte de los datos de tu cuenta
Huella (hash) de la dirección IP desde la que se envía el formulario de la web	48 horas
Facturación y documentación contable	Los plazos que exija la normativa fiscal y mercantil

Pasados estos plazos, los datos se suprimen. En las copias de seguridad de nuestro proveedor de base de datos desaparecen cuando esas copias caducan con su rotación normal.

10. Cómo los protegemos

Todo el tráfico va cifrado con TLS (HTTPS), tanto la web como el portal y las llamadas a nuestros proveedores.
Las claves de acceso a los PMS de los clientes se guardan cifradas con AES-GCM de 256 bits. La clave de cifrado vive fuera de la base de datos y el sistema se niega a funcionar si no está bien configurada. Una vez guardadas, no se vuelven a mostrar enteras.
Los identificadores de sesión y los tokens de invitación nunca se guardan en claro: en la base de datos solo se almacena su huella SHA-256.
Las contraseñas nunca se guardan en forma legible. Las gestiona nuestro proveedor de autenticación, que solo almacena una huella irreversible (hash bcrypt). Nadie en Livyo puede verlas y no se registran en ningún log.
Aislamiento por cliente: los datos de cada cliente están separados y las tablas tienen activado el control de acceso a nivel de fila; el acceso solo es posible desde el backend del portal, que comprueba a qué cliente pertenece cada usuario.
Acceso restringido: al entorno de producción solo acceden los socios fundadores de Livyo, cada uno con una cuenta de administración nominativa e individual. No hay cuentas compartidas ni personal externo con acceso.
Datos en la Unión Europea: la base de datos donde se guardan las conversaciones con los huéspedes está en la Unión Europea. La única salida de la UE de los datos de los huéspedes es el modelo de IA (apartado 8).
Trazabilidad: las acciones sensibles del portal quedan registradas en un registro de auditoría.

Ningún sistema es infalible. Si se produjera una brecha de seguridad que afecte a tus datos, actuaremos como exige el RGPD: la notificaremos a la Agencia Española de Protección de Datos en un máximo de 72 horas cuando haya riesgo para las personas, y te avisaremos directamente si el riesgo es alto. Si afecta a datos de huéspedes, avisaremos al cliente responsable en los plazos del anexo de tratamiento de datos que recibe al contratar.

11. Tus derechos

Puedes ejercer en cualquier momento tus derechos de:

Acceso: saber qué datos tuyos tratamos.
Rectificación: corregir los que sean inexactos.
Supresión: pedir que los borremos.
Oposición: oponerte a un tratamiento basado en nuestro interés legítimo.
Limitación: pedir que los conservemos pero no los usemos.
Portabilidad: recibir en un formato de uso común los datos que nos diste.
Retirar el consentimiento cuando el tratamiento se base en él, sin que eso afecte a lo hecho antes.

Escríbenos a [email protected] indicando qué derecho quieres ejercer. Responderemos en el plazo de un mes. Podemos pedirte que acredites tu identidad si no podemos confirmarla de otro modo.

Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid).

12. Cambios en esta política

Si cambiamos esta política, publicaremos la versión nueva en esta página con una fecha de actualización nueva. Si el cambio es relevante, avisaremos por correo a los usuarios del portal.

Última actualización: 11 de noviembre de 2026