1. Responsable del tratamiento

Casa Connect es una plataforma operada por Papaya Lab LLC («Casa Connect», «nosotros»), que actúa como responsable del tratamiento de los datos personales que se tratan a través de la plataforma y de la conexión con Instagram.

Para cualquier consulta sobre privacidad o para ejercer tus derechos puedes escribir a ana@papayalab.media.

2. Qué datos tratamos

Tratamos únicamente los datos necesarios para que hoteles y creadores puedan colaborar:

• Datos de cuenta: nombre, dirección de correo electrónico, tipo de cuenta (hotel o creador) y estado de la solicitud de acceso. La contraseña se gestiona cifrada a través de nuestro proveedor de autenticación; nunca la vemos en texto plano.
• Datos de perfil: información del establecimiento o del creador, ubicación, imágenes, enlaces a redes sociales, audiencia y preferencias de colaboración.
• Datos de colaboración: campañas, propuestas, mensajes, acuerdos y reportes de resultados.
• Datos de Instagram: solo si decides conectar tu cuenta (ver apartado 3).

3. Conexión con Instagram (Instagram API con inicio de sesión de Instagram)

Cuando conectas tu cuenta utilizamos la Instagram API mediante el flujo de inicio de sesión de Instagram (Instagram Login). La autorización se realiza siempre en Instagram: nunca vemos ni almacenamos tu contraseña de Instagram.

Los permisos que solicitamos son instagram_business_basic e instagram_business_manage_insights. Con ellos leemos: (a) datos de tu perfil profesional, como el nombre de usuario, la foto de perfil y el número de seguidores; y (b) métricas de rendimiento, como alcance, impresiones y engagement.

Finalidad: mostrar esos datos dentro de Casa Connect al propio titular de la cuenta y a los hoteles con los que ese usuario colabora, para que ambas partes puedan valorar y medir la colaboración. No utilizamos estos datos para publicidad ni para elaborar perfiles con otras finalidades.

• No vendemos, alquilamos ni cedemos tus datos de Instagram a terceros.
• No accedemos a tus mensajes privados ni publicamos nada en tu nombre.
• No mostramos tus datos de Instagram a otros usuarios de la plataforma fuera de las colaboraciones de las que eres parte.

4. Cómo guardamos los tokens de acceso

El token de acceso que devuelve Instagram se guarda en el servidor, cifrado y asociado exclusivamente a tu cuenta de Casa Connect, dentro del almacén de conexiones de nuestra plataforma. El token nunca se envía al navegador ni se muestra en la interfaz.

Solo se utiliza desde nuestro backend para llamar a la Instagram API en tu nombre y leer las métricas que después se muestran en tu perfil.

Puedes revocar el acceso en cualquier momento: al desconectar la cuenta eliminamos el token y dejamos de poder leer datos de Instagram.

5. Para qué usamos tus datos (bases jurídicas)

Tratamos tus datos sobre las siguientes bases jurídicas:

• Tu consentimiento (art. 6.1.a RGPD) para conectar tu cuenta de Instagram y para leer sus datos y métricas.
• La ejecución del contrato (art. 6.1.b RGPD) para prestarte el servicio: crear tu perfil, gestionar campañas, mensajes y acuerdos.
• Nuestro interés legítimo (art. 6.1.f RGPD) en mantener la seguridad de la plataforma y prevenir usos fraudulentos.
• El cumplimiento de obligaciones legales (art. 6.1.c RGPD) cuando corresponda.

6. Cuánto tiempo conservamos los datos

• Token de Instagram: mientras la cuenta permanezca conectada. Al desconectarla, se elimina de inmediato.
• Datos y métricas importados de Instagram: hasta un máximo de 30 días desde que desconectas la cuenta.
• Datos de cuenta y perfil: mientras tu cuenta esté activa. Si solicitas su eliminación, se suprimen en un plazo máximo de 30 días.
• Mensajes y documentos de colaboración: mientras la colaboración esté activa y hasta 12 meses después, para poder atender posibles reclamaciones.
• Documentos con relevancia contable o fiscal: se conservan durante los plazos legalmente exigidos (hasta 6 años).
• Registros técnicos y de seguridad: hasta 12 meses.

7. Con quién compartimos datos

• Proveedores tecnológicos que nos prestan servicios de alojamiento, autenticación, envío de correo electrónico y generación de documentos. Actúan como encargados del tratamiento y solo tratan los datos siguiendo nuestras instrucciones.
• Hoteles y creadores: dentro de una colaboración compartimos la información necesaria para llevarla a cabo, como el perfil público, los mensajes y las métricas acordadas.
• No vendemos ni cedemos datos personales a terceros con fines comerciales.
• Si algún proveedor está situado fuera del Espacio Económico Europeo, las transferencias se amparan en las garantías previstas en el RGPD, como las cláusulas contractuales tipo de la Comisión Europea.

8. Tus derechos (RGPD)

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a ana@papayalab.media. También puedes retirar en cualquier momento el consentimiento que otorgaste para conectar Instagram, sin que ello afecte a la licitud del tratamiento realizado antes de la retirada.

Si consideras que no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) o ante la autoridad de control de tu país.

9. Cómo desconectar tu cuenta de Instagram

• Desde Casa Connect: inicia sesión y ve a Mi Perfil → Redes → Instagram → «Desconectar». En el caso de los hoteles, la tarjeta de Instagram está en Analíticas.
• Desde Instagram: Configuración → Permisos de sitios web → Apps y sitios web → Casa Connect → Eliminar.
• En la página de Eliminación de datos encontrarás estas instrucciones con más detalle y cómo solicitar el borrado completo de tu cuenta.

10. Seguridad y menores de edad

Aplicamos medidas técnicas y organizativas para proteger tus datos, como el cifrado en tránsito, el control de acceso y el almacenamiento de los tokens en el servidor, nunca en el navegador.

El servicio está dirigido a personas mayores de 18 años. No recogemos conscientemente datos de menores de edad.

11. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales, técnicos o de producto. Publicaremos siempre la fecha de la última actualización al inicio de esta página.

1. Data controller

Casa Connect is a platform operated by Papaya Lab LLC ("Casa Connect", "we"), acting as the controller of the personal data processed through the platform and the Instagram connection.

For any privacy question or to exercise your rights, you can write to ana@papayalab.media.

2. What data we process

We only process the data needed for hotels and creators to collaborate:

• Account data: name, email address, account type (hotel or creator) and access request status. Passwords are managed in encrypted form by our authentication provider; we never see them in plain text.
• Profile data: property or creator information, location, images, social media links, audience and collaboration preferences.
• Collaboration data: campaigns, proposals, messages, agreements and performance reports.
• Instagram data: only if you choose to connect your account (see section 3).

3. Instagram connection (Instagram API with Instagram Login)

When you connect your account we use the Instagram API through Instagram Login. Authorisation always takes place on Instagram: we never see or store your Instagram password.

The permissions we request are instagram_business_basic and instagram_business_manage_insights. With them we read: (a) professional profile data such as username, profile picture and follower count; and (b) performance metrics such as reach, impressions and engagement.

Purpose: to display that data inside Casa Connect to the account holder and to the hotels that user collaborates with, so both sides can assess and measure the collaboration. We do not use this data for advertising or to build profiles for any other purpose.

• We do not sell, rent or transfer your Instagram data to third parties.
• We do not access your private messages and we never post on your behalf.
• We do not show your Instagram data to other platform users outside the collaborations you take part in.

4. How we store access tokens

The access token returned by Instagram is stored on the server, encrypted and linked exclusively to your Casa Connect account, inside our platform connection store. The token is never sent to the browser or displayed in the interface.

It is used only from our backend to call the Instagram API on your behalf and read the metrics later shown on your profile.

You can revoke access at any time: when you disconnect the account we delete the token and can no longer read Instagram data.

5. Why we use your data (legal bases)

We process your data on the following legal bases:

• Your consent (Art. 6.1.a GDPR) to connect your Instagram account and read its data and metrics.
• Performance of the contract (Art. 6.1.b GDPR) to provide the service: creating your profile and managing campaigns, messages and agreements.
• Our legitimate interest (Art. 6.1.f GDPR) in keeping the platform secure and preventing fraudulent use.
• Compliance with legal obligations (Art. 6.1.c GDPR) where applicable.

6. How long we keep data

• Instagram token: while the account stays connected. It is deleted immediately on disconnection.
• Instagram data and imported metrics: for a maximum of 30 days after you disconnect the account.
• Account and profile data: while your account is active. If you request deletion, it is erased within a maximum of 30 days.
• Messages and collaboration documents: while the collaboration is active and for up to 12 months afterwards, so we can handle any claims.
• Documents with accounting or tax relevance: kept for the legally required periods (up to 6 years).
• Technical and security logs: up to 12 months.

7. Who we share data with

• Technology providers that support hosting, authentication, email delivery and document generation. They act as processors and only handle data following our instructions.
• Hotels and creators: within a collaboration we share the information needed to carry it out, such as the public profile, messages and agreed metrics.
• We do not sell or transfer personal data to third parties for commercial purposes.
• If a provider is located outside the European Economic Area, transfers rely on the safeguards set out in the GDPR, such as the European Commission standard contractual clauses.

8. Your rights (GDPR)

You can exercise your rights of access, rectification, erasure, objection, restriction of processing and portability by writing to ana@papayalab.media. You may also withdraw at any time the consent you gave to connect Instagram, without affecting the lawfulness of processing carried out before the withdrawal.

If you believe we have not handled your request correctly, you can lodge a complaint with the Spanish Data Protection Agency (www.aepd.es) or with the supervisory authority in your country.

9. How to disconnect your Instagram account

• From Casa Connect: log in and go to My Profile → Social → Instagram → "Disconnect". For hotels, the Instagram card is on the Analytics page.
• From Instagram: Settings → Website permissions → Apps and websites → Casa Connect → Remove.
• The Data Deletion page contains these instructions in more detail, plus how to request full deletion of your account.

10. Security and minors

We apply technical and organisational measures to protect your data, such as encryption in transit, access control, and storing tokens on the server rather than in the browser.

The service is intended for people aged 18 and over. We do not knowingly collect data from minors.

11. Changes to this policy

We may update this policy to reflect legal, technical or product changes. The date of the last update is always published at the top of this page.