Privacy Policy Política de Privacidad
Last updated / Última actualización: 21 July 2026 / 21 de julio de 2026
English
1. Controller and contact
- Controller
- Alfonso Arevalo, trading as VAWA
- NIF
- 30995076T
- Address
- Carrer de Malaga, s/n, 07829 Sant Josep (Ibiza), Spain
- Privacy and rights email
- booking@vawa.es
No data protection officer has been appointed. Privacy enquiries and rights requests should be addressed directly to the controller using the email above.
2. Processing activities
| Activity and data | Purpose | Legal basis | Retention |
|---|---|---|---|
| Booking form and email enquiries: name or promoter, email, event date, location or venue, production preference, message and any information voluntarily included. | Answer the enquiry, assess availability, prepare an offer and take steps requested before a possible booking. | Steps at the data subject’s request prior to entering a contract (Article 6(1)(b) GDPR). Where the sender acts for an organisation, the controller’s legitimate interest in managing professional contacts may also apply (Article 6(1)(f)). | The enquiry is retained while it remains necessary to manage professional contacts, a possible booking, the resulting relationship, applicable legal obligations and possible claims. VAWA periodically reviews whether continued retention is necessary and also considers valid erasure requests. |
| Optional Google Analytics: online identifiers, visited pages, interactions, device and browser information, approximate location and technical request data. | Produce aggregate audience and website-use statistics. | Consent (Article 6(1)(a) GDPR and Article 22.2 LSSI). Analytics does not load until the visitor accepts it and consent can be withdrawn at any time. | User- and event-level data: 2 months in the GA4 property. Aggregate reports may remain without directly identifying the visitor. Analytics cookies are described in the Cookie Policy. |
| Consent preference: accepted or rejected status and an expiry timestamp stored in the visitor’s browser. | Remember and demonstrate the visitor’s analytics choice. | Compliance with legal obligations and provision of the requested preference function (Articles 6(1)(c) and 6(1)(f) GDPR). | Up to 24 months, unless the visitor changes the choice or clears browser storage earlier. |
| Hosting and security logs: IP address, requested URL, date and time, browser or user agent, response and security-event information. | Deliver the site, maintain availability, diagnose errors and prevent or investigate abuse and security incidents. | Legitimate interest in operating and protecting the website and, where applicable, compliance with legal obligations (Articles 6(1)(f) and 6(1)(c) GDPR). | Only for the period necessary for operation, security and incident investigation, according to the hosting configuration and any applicable legal requirement. |
| Contact-form abuse prevention: keyed cryptographic hash derived from the source IP, request time and attempt count. | Limit automated or excessive contact attempts and protect the availability of the form. | Legitimate interest in operating and protecting the website (Article 6(1)(f) GDPR). | The hash and rate-limit record are retained for no more than 24 hours. This control does not store the raw IP address in the contact database. |
| Cloudflare Turnstile: IP address, browser and device signals, challenge timing, hostname, action and verification outcome generated when the booking form loads or is submitted. | Distinguish legitimate visitors from automated abuse before accepting a booking enquiry. | Legitimate interest in operating and protecting the booking service (Article 6(1)(f) GDPR). Turnstile is a necessary security control and is not used by VAWA for advertising or audience analytics. | VAWA does not store the challenge token or Cloudflare response in its contact database. Cloudflare controls provider-side retention as described in its Turnstile Privacy Addendum. |
| Remote web fonts: IP address, requested font resource, referring page, browser or user agent and other technical request data sent to Google Fonts when a page loads. | Deliver the Inter and Outfit typefaces used in the website design. | Legitimate interest in presenting a consistent and readable website (Article 6(1)(f) GDPR), balanced against the limited technical data involved. Google states that Fonts does not set cookies or use the data for targeted advertising. | VAWA does not retain a separate copy. Google controls any provider-side retention under the criteria described in its linked privacy information. |
3. Required and optional information
Fields marked as required are necessary to assess and answer a booking enquiry. Without them, VAWA may be unable to respond or prepare an offer. Visitors should not include special-category, confidential or unnecessary third-party information in the message. Analytics is entirely optional and rejecting it does not restrict access to the website.
4. Service providers and recipients
- Hostinger: provides website hosting, the private MySQL database used by the contact form, the booking mailbox, authenticated SMTP delivery, content delivery and related security infrastructure. See Hostinger’s privacy policy.
- Cloudflare: provides Turnstile on the booking page to detect automated abuse before a form submission is accepted. VAWA sends the resulting token to Cloudflare for server-side verification but does not retain it. See the Turnstile Privacy Addendum.
- Google: provides Google Analytics after consent and remotely serves the Inter and Outfit web fonts. Google Fonts receives technical request data such as IP address, requested URL, user agent and referrer, but Google states that the service does not set cookies or use the information for targeted advertising. See Google’s privacy policy and Google Fonts privacy information.
- SoundCloud and YouTube: embedded players remain blocked until the visitor clicks the load control. Once requested, the chosen provider receives technical connection data and may use cookies or similar technologies under its own policy. See SoundCloud Privacy and Google/YouTube Privacy.
- Public authorities and professional advisers: only where disclosure is legally required or necessary to establish, exercise or defend legal claims.
Links to Instagram, TikTok, YouTube, SoundCloud, Google Drive and other external sites do not connect the visitor to those services until the link is followed.
5. International transfers
Some providers may process data outside the European Economic Area. Information about Hostinger’s processing locations and safeguards is available in its linked privacy policy. Cloudflare and Google describe the transfer frameworks, Standard Contractual Clauses and other applicable safeguards in their linked privacy information. Information and available safeguards can be requested from VAWA or consulted in those policies.
6. Rights
Data subjects may request access, rectification, erasure, restriction, objection and, where applicable, portability of their personal data. Consent may be withdrawn at any time without affecting processing already carried out lawfully. Send a request to booking@vawa.es, identifying the request and providing only the information reasonably necessary to verify identity.
If a person believes that the processing infringes data-protection law, they may lodge a complaint with the Spanish Data Protection Agency (AEPD) or another competent supervisory authority.
7. Automated decisions, marketing and sale of data
VAWA does not use the booking information for automated decisions producing legal or similarly significant effects, does not send marketing merely because a booking enquiry was made, and does not sell personal data.
8. Minors and third-party data
The booking service is intended for adults and professional contacts. VAWA does not knowingly request personal data from children. Anyone providing information about another person must be authorised to do so and should provide that person with this policy.
9. Security and updates
Reasonable technical and organisational measures are applied in proportion to the website’s risks. No internet service can guarantee absolute security. This policy will be reviewed when processing activities, providers or legal requirements change, and the current update date will be shown at the top of the page.
Español
1. Responsable y contacto
- Responsable
- Alfonso Arevalo, bajo el nombre comercial VAWA
- NIF
- 30995076T
- Domicilio
- Carrer de Malaga, s/n, 07829 Sant Josep (Ibiza), España
- Correo de privacidad y derechos
- booking@vawa.es
No se ha designado delegado de protección de datos. Las consultas de privacidad y solicitudes de derechos deben dirigirse directamente al responsable mediante el correo anterior.
2. Actividades de tratamiento
| Actividad y datos | Finalidad | Base jurídica | Conservación |
|---|---|---|---|
| Formulario y consultas por correo: nombre o promotor, correo, fecha del evento, ubicación o sala, preferencia de producción, mensaje y datos incluidos voluntariamente. | Responder, comprobar disponibilidad, preparar una oferta y adoptar las medidas solicitadas antes de una posible contratación. | Medidas precontractuales solicitadas por la persona interesada (artículo 6.1.b RGPD). Cuando quien escribe actúa para una organización, también puede aplicarse el interés legítimo del responsable en gestionar contactos profesionales (artículo 6.1.f). | La consulta se conserva mientras resulte necesaria para gestionar contactos profesionales, una posible contratación, la relación resultante, las obligaciones legales aplicables y posibles reclamaciones. VAWA revisa periódicamente si sigue siendo necesaria su conservación y atiende las solicitudes válidas de supresión. |
| Google Analytics opcional: identificadores en línea, páginas visitadas, interacciones, dispositivo y navegador, ubicación aproximada y datos técnicos de la petición. | Obtener estadísticas agregadas de audiencia y utilización del sitio. | Consentimiento (artículo 6.1.a RGPD y artículo 22.2 LSSI). Analytics no se carga hasta que se acepta y el consentimiento puede retirarse en cualquier momento. | Datos de usuario y evento: 2 meses en la propiedad GA4. Los informes agregados pueden permanecer sin identificar directamente a la persona. Las cookies se detallan en la Política de Cookies. |
| Preferencia de consentimiento: estado aceptado o rechazado y fecha de caducidad guardados en el navegador. | Recordar y acreditar la elección sobre Analytics. | Cumplimiento de obligaciones legales y prestación de la función solicitada (artículos 6.1.c y 6.1.f RGPD). | Hasta 24 meses, salvo que se cambie la elección o se borre antes el almacenamiento del navegador. |
| Registros de alojamiento y seguridad: IP, URL solicitada, fecha y hora, navegador o agente de usuario, respuesta e información de incidentes. | Servir la web, mantener su disponibilidad, diagnosticar errores y prevenir o investigar abusos e incidentes de seguridad. | Interés legítimo en operar y proteger el sitio y, en su caso, cumplimiento de obligaciones legales (artículos 6.1.f y 6.1.c RGPD). | Solo durante el periodo necesario para la operación, seguridad e investigación de incidentes, según la configuración del alojamiento y las obligaciones legales aplicables. |
| Prevención de abusos en el formulario: hash criptográfico con clave derivado de la IP de origen, hora de la petición y número de intentos. | Limitar envíos automatizados o excesivos y proteger la disponibilidad del formulario. | Interés legítimo en operar y proteger el sitio web (artículo 6.1.f RGPD). | El hash y el registro de limitación se conservan un máximo de 24 horas. Este control no guarda la IP sin transformar en la base de datos de contactos. |
| Cloudflare Turnstile: dirección IP, señales del navegador y dispositivo, tiempo del desafío, hostname, acción y resultado de verificación generados al cargar o enviar el formulario. | Distinguir visitantes legítimos de abusos automatizados antes de aceptar una consulta. | Interés legítimo en operar y proteger el servicio de contratación (artículo 6.1.f RGPD). Turnstile es un control de seguridad necesario y VAWA no lo utiliza para publicidad ni analítica de audiencia. | VAWA no guarda el token ni la respuesta de Cloudflare en su base de datos de contactos. Cloudflare controla su conservación como proveedor según el Anexo de Privacidad de Turnstile. |
| Fuentes web remotas: IP, recurso tipográfico solicitado, página de referencia, navegador o agente de usuario y otros datos técnicos enviados a Google Fonts al cargar una página. | Servir las tipografías Inter y Outfit utilizadas en el diseño del sitio. | Interés legítimo en presentar un sitio coherente y legible (artículo 6.1.f RGPD), ponderado frente a los datos técnicos limitados implicados. Google indica que Fonts no instala cookies ni usa los datos para publicidad dirigida. | VAWA no conserva una copia separada. Google controla cualquier conservación propia conforme a los criterios descritos en la información de privacidad enlazada. |
3. Datos obligatorios y opcionales
Los campos marcados como obligatorios son necesarios para valorar y responder una consulta. Sin ellos, VAWA puede no poder contestar o preparar una oferta. No deben incluirse categorías especiales, información confidencial ni datos innecesarios de terceros. Analytics es totalmente opcional y rechazarlo no limita el acceso al sitio.
4. Encargados, proveedores y destinatarios
- Hostinger: presta el alojamiento web, la base MySQL privada utilizada por el formulario, el buzón de contratación, el envío SMTP autenticado, la distribución de contenidos y la infraestructura de seguridad. Consulta la política de Hostinger.
- Cloudflare: presta Turnstile en la página de contratación para detectar abusos automatizados antes de aceptar un envío. VAWA remite el token resultante a Cloudflare para verificarlo en el servidor, pero no lo conserva. Consulta el Anexo de Privacidad de Turnstile.
- Google: presta Google Analytics tras el consentimiento y sirve remotamente las fuentes Inter y Outfit. Google Fonts recibe datos técnicos como IP, URL solicitada, agente de usuario y referencia, aunque Google indica que no instala cookies ni utiliza esa información para publicidad dirigida. Consulta la privacidad de Google y la información de Google Fonts.
- SoundCloud y YouTube: los reproductores permanecen bloqueados hasta pulsar el control de carga. Al solicitarlo, el proveedor elegido recibe datos técnicos y puede usar cookies o tecnologías similares conforme a su política. Consulta SoundCloud Privacy y Google/YouTube Privacy.
- Autoridades y asesores profesionales: únicamente cuando la comunicación sea legalmente obligatoria o necesaria para formular, ejercer o defender reclamaciones.
Los enlaces a Instagram, TikTok, YouTube, SoundCloud, Google Drive y otros sitios externos no conectan al visitante con dichos servicios hasta que sigue el enlace.
5. Transferencias internacionales
Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. La información sobre los lugares de tratamiento y garantías de Hostinger está disponible en su política enlazada. Cloudflare y Google describen los marcos de transferencia, Cláusulas Contractuales Tipo y demás garantías aplicables en la información de privacidad enlazada. La información y garantías disponibles también pueden solicitarse a VAWA.
6. Derechos
Las personas interesadas pueden solicitar acceso, rectificación, supresión, limitación, oposición y, cuando proceda, portabilidad. El consentimiento puede retirarse en cualquier momento sin afectar al tratamiento previo lícito. La solicitud debe enviarse a booking@vawa.es, indicando el derecho que se desea ejercer y aportando solo la información razonablemente necesaria para verificar la identidad.
Si se considera que el tratamiento incumple la normativa, puede presentarse una reclamación ante la Agencia Española de Protección de Datos (AEPD) u otra autoridad de control competente.
7. Decisiones automatizadas, marketing y venta
VAWA no utiliza los datos de contratación para adoptar decisiones automatizadas con efectos jurídicos o similares, no envía publicidad por el mero hecho de recibir una consulta y no vende datos personales.
8. Menores y datos de terceros
El servicio de contratación está dirigido a personas adultas y contactos profesionales. VAWA no solicita conscientemente datos de menores. Quien facilite datos de otra persona debe estar autorizado y proporcionarle esta política.
9. Seguridad y actualizaciones
Se aplican medidas técnicas y organizativas razonables y proporcionales a los riesgos del sitio. Ningún servicio de Internet puede garantizar seguridad absoluta. La política se revisará cuando cambien los tratamientos, proveedores o requisitos legales, indicando siempre la fecha de la versión vigente.