Política de privacidad

Kroma («Kroma», «nosotros») es responsable del tratamiento de los datos personales que recopilamos a través de este sitio web. Para cualquier cuestión relacionada con la protección de tus datos, escríbenos desde la pestaña de Ayuda.

• Datos de cuenta: nombre y email cuando creas una cuenta. Tu contraseña nunca se almacena en texto plano: guardamos únicamente un hash irreversible.
• Datos de reservas: espacio, fecha, horario y método de pago elegido al reservar, el texto en el que explicas para qué quieres el espacio (lo lee el anfitrión antes de aceptar tu solicitud), y la fecha y hora en que aceptaste las condiciones del anfitrión junto con una copia del texto aceptado (para que anfitrión e inquilino podáis acreditar qué se acordó).
• Datos de espacios publicados: si publicas un espacio, la información y fotos que nos facilitas sobre él.
• Datos técnicos: la cookie de sesión necesaria para mantenerte identificado (ver nuestra política de cookies), y tu dirección IP, que usamos solo para limitar el número de peticiones seguidas desde un mismo origen (protección frente a abusos y ataques automatizados) y en los registros técnicos del servidor. Los contadores por IP caducan en minutos; los registros técnicos se conservan durante un plazo breve en nuestro proveedor de alojamiento.
• Datos de búsqueda: la categoría y la ubicación por las que filtras el catálogo, solo si tienes sesión iniciada — nos sirve para poder recomendarte espacios afines (ver «Recomendaciones por email» más abajo).
• Motivo y foto de una disputa: si cancelas una reserva ya confirmada como anfitrión, o abres una reclamación (como inquilino o como anfitrión por daños), el motivo que escribes y la foto que adjuntas como prueba (ver «Fotos de prueba en disputas» más abajo).
• Datos de pago: el importe, la fecha y el estado de cada transacción (autorizada, cobrada, reembolsada). Los datos de tu tarjeta nunca pasan por nuestros servidores — los recoge y trata directamente Stripe (ver «Pagos» más abajo).
• Resultado de la verificación de identidad: si tu identidad quedó verificada o no, y cuándo. El documento y la selfie los procesa Stripe directamente — nunca los vemos ni los guardamos. Si Stripe verifica tu documento, sí guardamos el NIF o NIE que extrae de él (ver «Verificación de identidad» más abajo).
• Código de acceso al espacio: si reservas un espacio con cerradura conectada, generamos un PIN de acceso temporal, válido solo para el horario de tu reserva. Lo gestiona nuestro proveedor de accesos (Seam) — ver «Con quién compartimos tus datos» más abajo.

• Crear y gestionar tu cuenta de usuario.
• Procesar y confirmar tus reservas o tus espacios publicados.
• Verificar tu identidad real, obligatorio para reservar o publicar, tanto para inquilinos como para anfitriones.
• Comunicarnos contigo sobre tu cuenta, tus reservas o cambios en el servicio.
• Mantener la seguridad del sitio y prevenir usos fraudulentos.
• Recomendarte espacios similares a los que buscas por email — puedes desactivarlo cuando quieras (ver «Recomendaciones por email»).
• Comprobar que la foto de una cancelación o una reclamación es genuina, para que ninguna de las dos partes de una disputa se quede en una situación de solo su palabra contra la del otro (ver «Fotos de prueba en disputas»).

No vendemos tus datos a terceros ni se los cedemos con fines comerciales.

Tratamos tus datos para ejecutar el contrato que aceptas al crear una cuenta o realizar una reserva (art. 6.1.b RGPD), y en algunos casos con tu consentimiento explícito o por nuestro interés legítimo en mantener el servicio seguro y en buen funcionamiento. Las recomendaciones por email se basan en un interés legítimo distinto, explicado en su propia sección más abajo.

Si tienes cuenta en Kroma y has confirmado tu email (el enlace que te enviamos al registrarte), por defecto te enviamos de vez en cuando un email con espacios que podrían interesarte, a partir de las categorías y ubicaciones que más buscas en el catálogo (nunca a partir de tus reservas, mensajes ni ningún otro dato). Como mucho uno por semana.

La base legal no es tu consentimiento al crear la cuenta ni al aceptar los Términos — nunca es una condición para poder usar Kroma. Se basa en el interés legítimo de mantener informado a quien ya tiene una relación contractual con nosotros sobre servicios similares a los que busca, dentro de lo que permite el art. 21.2 de la Ley de Servicios de la Sociedad de la Información (LSSICE).

Puedes desactivarlo cuando quieras, sin que afecte al resto de tu cuenta, desde el desplegable de cuenta (tu nombre, arriba a la derecha) o desde el enlace que incluye cada email que te enviemos.

Si te apuntas a la lista de espera en kromaspaces.com/lista, guardamos tu nombre, tu email, tu teléfono si nos lo das y lo que nos cuentas: si buscas un espacio (qué vas a hacer, qué día, el horario, cuántas personas, la zona, cuánto pagarías por hora y lo que sea imprescindible), si tienes uno (nombre, tipo, barrio, aforo, precio orientativo, tu Instagram o web y cuándo suele estar libre), o las dos cosas. También anotamos por qué canal llegaste (por ejemplo, Instagram o un grupo de Facebook), para saber dónde tiene sentido dar a conocer Kroma. No hace falta crear una cuenta.

Desde el 15 de octubre de 2026 los usamos para atender lo que nos pides: buscarte espacio y escribirte con opciones (por email, o por WhatsApp si nos has dado tu teléfono), o enviarte peticiones que encajen con tu espacio. También para avisarte cuando abramos la web y para decidir qué espacios y barrios priorizar. A quien se apuntó antes de esa fecha solo le escribimos para avisarle del lanzamiento, que es lo que aceptó. La base legal es tu consentimiento, que das al marcar la casilla del formulario y puedes retirar cuando quieras.

A los espacios les preguntamos por la disponibilidad y el precio sin darles tu nombre ni tu contacto; solo se los pasamos si tú nos lo pides, para que cerréis la reserva directamente. Si tienes un espacio y aceptas una petición, a quien la hizo le damos el contacto de tu espacio. Te mandamos un email de confirmación al apuntarte; no te enviamos publicidad ni compartimos estos datos con nadie más fuera de los proveedores técnicos que ya aparecen en esta política (alojamiento, base de datos y envío de emails).

Los conservamos como mucho 12 meses desde que te apuntas: pasado ese plazo se borran automáticamente. Si quieres que los borremos antes, responde al email de confirmación o escríbenos desde la pestaña de Ayuda.

Si tienes un negocio con espacio y nos has dicho por mensaje directo que te interesa Kroma, podemos anotarlo en esa misma lista aunque no hayas rellenado el formulario, para tenerlo en cuenta cuando alguien busque un espacio como el tuyo. En ese caso solo guardamos datos públicos del negocio (nombre, tipo de espacio, zona, su Instagram o web y, si nos lo has contado, cuándo suele estar libre), nunca un email ni datos personales, y la base legal es nuestro interés legítimo en darte seguimiento después de que nos dijeras que sí. Se borran igual a los 12 meses, o antes si nos lo pides por el mismo canal por el que hablamos.

Mientras las reservas están cerradas, puedes escribirnos (por email o por mensaje directo en Instagram o Facebook) con la fecha, las horas, las personas y para qué necesitas la sala, y te pasamos opciones con precio, sin coste. Usamos lo que nos cuentes solo para contestarte, buscarte opciones y hacer el seguimiento de tu petición. La base legal es atender lo que nos pides.

A las salas les preguntamos por la disponibilidad y el precio sin darles tu nombre ni tu contacto. Solo les pasamos tus datos si tú nos lo pides, para cerrar la reserva directamente con ellas. Si quieres que borremos tu petición y la conversación, pídenoslo por el mismo canal por el que nos escribiste.

Tres gestiones dentro de Kroma exigen explicar un motivo y adjuntar una foto que lo acredite: cancelar una reserva ya confirmada como anfitrión (Términos, sección 6), abrir una reclamación como inquilino (sección 8), y abrir una reclamación de daños como anfitrión (sección 10). Es un tratamiento necesario para prevenir fraudes y para que ninguna disputa se quede en solo la palabra de una parte contra la de la otra — nuestra base legal es el interés legítimo en la seguridad del servicio (art. 6.1.f RGPD), no tu consentimiento ni una condición de los Términos.

Antes de aceptar cualquiera de estas tres gestiones, comprobamos de forma automática que la foto parece reciente y que no se ha usado ya en otra disputa (de cualquiera de los tres tipos). Si no supera esa comprobación, no se completa la gestión por esta vía — nunca de forma irrevocable: siempre puedes pedirnos una revisión manual escribiéndonos desde la pestaña de Ayuda, tal y como recoge el art. 22 RGPD para cualquier verificación automatizada que pueda afectarte.

Esas fotos pueden llevar metadatos técnicos del dispositivo con el que se hicieron (por ejemplo, cuándo se tomaron). Por eso las tratamos como documentos privados: no son ficheros públicos como las fotos de un espacio, y cada una solo puede verla quien la sube y nuestro equipo — nunca la otra parte de la reserva, ni siquiera si esa otra parte es quien recibe el resultado de la disputa.

No cedemos tus datos personales a terceros con fines comerciales. Solo los compartimos con proveedores técnicos estrictamente necesarios para operar el servicio, actuando como encargados del tratamiento bajo las garantías exigidas por el RGPD, o cuando la ley nos obligue a ello:

• Stripe (pagos, verificación de identidad y, si publicas espacios, cuenta de pago para poder cobrar) — ver «Pagos» y «Verificación de identidad» más abajo.
• Resend (envío de los emails que te mandamos: verificación en dos pasos, confirmaciones de reserva y, si las tienes activadas, recomendaciones) — recibe tu nombre y tu email, nunca el contenido de tus reservas ni de tus mensajes.
• Seam (control de accesos, solo si reservas un espacio con cerradura conectada) — recibe el horario de tu reserva para generar tu PIN de acceso temporal.
• Vercel (Vercel Inc., Estados Unidos) — aloja la web y ejecuta su código; procesa tu dirección IP y los datos de cada petición mientras la sirve, y conserva registros técnicos durante un plazo breve.
• Prisma Data, Inc. (Estados Unidos) — proveedor de nuestra base de datos, donde se guardan los datos de tu cuenta, tus reservas y tus mensajes.
• Upstash (Upstash, Inc., Estados Unidos) — memoria temporal para los límites de peticiones (tu dirección IP, durante minutos) y para los códigos y enlaces de un solo uso (verificación en dos pasos, restablecer contraseña, confirmar email), siempre cifrados y con caducidad corta.
• Zoho (servidores en la Unión Europea) — nuestro correo electrónico: recibe lo que nos escribas a nuestra dirección de contacto.
• Cloudflare (Cloudflare, Inc., Estados Unidos) — protege el acceso a nuestro panel interno de administración, a través del cual nuestro equipo gestiona reservas, reclamaciones y consultas.

Varios de estos proveedores están establecidos en Estados Unidos. Para esas transferencias nos apoyamos en las garantías del art. 46 RGPD (cláusulas contractuales tipo aprobadas por la Comisión Europea, incluidas en el contrato de encargo de cada proveedor) y, además, en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. para los que están adheridos a él: Vercel, Prisma, Upstash, Resend y Stripe.

Para reservar o publicar un espacio, tanto inquilinos como anfitriones tenéis que verificar vuestra identidad real: un documento oficial y una selfie que la compara con la foto del documento. Lo hace Stripe Identity directamente — el documento y la selfie nunca los recibimos, los vemos ni los almacenamos. Solo guardamos el resultado (verificada, pendiente o rechazada) y la fecha.

Si Stripe verifica tu documento con éxito, también extrae y comprueba tu número de documento (NIF o NIE) y nos lo facilita — lo guardamos porque estamos legalmente obligados a poder reportar los ingresos de los anfitriones a la Agencia Tributaria (obligación DAC7). No guardamos tu nombre ni tu fecha de nacimiento extraídos del documento, solo el número.

Los pagos de Kroma los procesa Stripe, una pasarela de pago externa. Cuando pagas una reserva, los datos de tu tarjeta se envían directamente a Stripe a través de un formulario propio de Stripe embebido en la página — Kroma nunca los recibe, los ve ni los almacena. Solo conservamos el resultado de cada operación (importe, fecha, estado), nunca el número de tarjeta.

Si publicas un espacio y quieres cobrar tus reservas, tienes que completar una verificación adicional directamente con Stripe (Stripe Connect) que incluye tu nombre legal, fecha de nacimiento, domicilio y datos de tu cuenta bancaria. Ese proceso ocurre enteramente en un formulario alojado por Stripe, fuera de Kroma: nosotros solo recibimos la confirmación de que se ha completado, no los datos en sí.

Stripe trata estos datos como responsable independiente del tratamiento, conforme a su propia política de privacidad (stripe.com/es/privacy).

Conservamos tus datos mientras tu cuenta esté activa. Puedes eliminarla tú mismo, al instante, desde tu perfil — borramos tu nombre, tu email, tu foto y el resto de tus datos personales, salvo que debamos conservar determinada información por obligación legal (por ejemplo, los registros de tus transacciones, por obligación fiscal o contable, se conservan de forma anónima). Si prefieres pedirlo en vez de hacerlo tú mismo, escríbenos desde la pestaña de Ayuda.

Tu historial de búsquedas en el catálogo (categoría y zona, solo con sesión iniciada) se borra automáticamente a los 90 días; para las recomendaciones solo se miran los últimos 30.

El motivo y la foto de una cancelación o de una reclamación (sección «Fotos de prueba en disputas») los conservamos hasta 3 años después de que la disputa se resuelva — pasado ese plazo, se borran automáticamente, tanto de nuestros servidores como la referencia en tu cuenta. Los registros de tus transacciones (importe, fecha, estado) los conservamos más tiempo por obligación contable y fiscal.

Conforme al RGPD y la LOPDGDD, puedes ejercer en cualquier momento tus derechos de:

• Acceso a tus datos personales.
• Rectificación de datos inexactos.
• Supresión de tus datos («derecho al olvido»).
• Limitación y oposición al tratamiento.
• Portabilidad de tus datos a otro proveedor.

La supresión puedes ejercerla tú mismo, al instante, desde tu perfil. El resto (acceso, rectificación, limitación, oposición o portabilidad) puedes pedirlo escribiéndonos desde la pestaña de Ayuda. También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras que no hemos tratado tus datos correctamente.

Aplicamos medidas técnicas razonables para proteger tus datos, incluyendo el cifrado de contraseñas mediante funciones de hash con sal y cookies de sesión marcadas como HttpOnly, para que no puedan leerse desde scripts del navegador.

Kroma no está dirigido a menores de 18 años. Si detectamos una cuenta creada por un menor sin autorización, procederemos a eliminarla.

Podemos actualizar esta política de privacidad para reflejar cambios en el servicio o en la normativa aplicable. Publicaremos cualquier cambio relevante en esta misma página junto con la fecha de la última actualización.