Borrador pendiente de revisión jurídica. Describe lo que hace hoy la web. Los apartados marcados como [PENDIENTE] debe completarlos o validarlos un profesional antes del lanzamiento.
1. Responsable del tratamiento
[PENDIENTE: nombre o razón social, NIF, domicilio y correo de contacto para protección de datos. Indicar si hay delegado de protección de datos (DPO) y su contacto.]
2. Qué datos tratamos y para qué
| Datos | Para qué | Dónde se guardan | Base jurídica |
|---|---|---|---|
| Correo electrónico y contraseña (cifrada por el proveedor) | Crear y mantener tu cuenta, verificar tu correo y recuperar el acceso | Supabase (servidores en la Unión Europea, Irlanda) | Ejecución del servicio que solicitas (art. 6.1.b RGPD) [PENDIENTE: validar] |
| Viajes: origen, destino, fechas, viajeros y edades de los menores, habitaciones, presupuesto, intereses, servicios elegidos, enlaces abiertos, itinerario y notas propias | Guardar y recuperar tus viajes y preparar tu hoja de ruta | En tu navegador y, si inicias sesión y lo aceptas, en tu cuenta (Supabase, UE). Al descargar la hoja de ruta, el viaje se envía a nuestro servidor solo para generar el PDF y no se guarda | Ejecución del servicio (art. 6.1.b) [PENDIENTE: validar, en especial para los datos de menores] |
| Preferencias de viaje (incluido el campo opcional de necesidades de accesibilidad) | Personalizar recomendaciones | Solo en tu navegador | Ejecución del servicio [PENDIENTE: el campo de accesibilidad puede considerarse dato de salud (art. 9 RGPD); valorar consentimiento explícito] |
| Mensajes del asistente con IA | Responder a tus preguntas sobre viajes | Historial solo en tu navegador; ver apartado 4 | [PENDIENTE: base jurídica (ejecución del servicio o consentimiento)] |
| Dirección IP | Limitar abusos (número de peticiones por minuto) | Solo en la memoria del servidor durante unos minutos; no se registra | Interés legítimo en la seguridad del servicio (art. 6.1.f) |
No usamos analítica, publicidad ni perfiles comerciales, y no vendemos tus datos.
3. Datos de menores
- Para crear una cuenta debes tener 14 años o más. [PENDIENTE: confirmar la edad mínima y el procedimiento]
- Las edades de los menores que viajan solo se usan para calcular ocupación y precios. Se guardan en tu navegador y, si lo aceptas, en tu cuenta. No se envían al asistente con IA.
4. Asistente con inteligencia artificial
Cuando el asistente está conectado, tus mensajes (los últimos de la conversación) y un resumen de tus preferencias se envían desde nuestro servidor a Anthropic, el proveedor del modelo de IA, para generar la respuesta. Ese resumen no incluye las edades de los menores ni las necesidades de accesibilidad. Al regenerar un día del itinerario se envían los lugares de la guía, sin tus notas propias.
- Anthropic está en Estados Unidos: es una transferencia internacional de datos. [PENDIENTE: garantía aplicable (Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo), contrato de encargo y condiciones de conservación y uso para entrenamiento según el contrato con Anthropic]
- Nuestro servidor no guarda las conversaciones. El historial queda en tu navegador y puedes borrarlo con «Nueva conversación».
- No escribas en el chat datos personales sensibles (salud, documentos de identidad, datos bancarios…).
5. Encargados del tratamiento y terceros
| Quién | Para qué | Ubicación |
|---|---|---|
| Supabase | Cuentas y viajes guardados | Unión Europea (Irlanda) |
| Anthropic | Asistente con IA (cuando está conectado) | Estados Unidos |
| Vercel (Web Analytics) | Medir las visitas de forma agregada, solo si aceptas «Analítica» en el aviso de privacidad | [PENDIENTE: confirmar ubicación (Vercel Inc., Estados Unidos)] |
| Travelpayouts (Aviasales) | Buscar precios de referencia de vuelos cuando usas «Planifica y reserva» y convertir los enlaces de Aviasales, WeGoTrip, Klook, Tiqets, KKday y Go City en enlaces de afiliado. Nuestro servidor envía solo origen, destino, fechas, moneda y las direcciones de esos enlaces; ningún dato personal ni tu IP | [PENDIENTE: confirmar entidad y ubicación del proveedor] |
| WeGoTrip | Buscar actividades del destino cuando usas «Planifica y reserva». Nuestro servidor envía solo el nombre del destino y la moneda; ningún dato personal ni tu IP | [PENDIENTE: confirmar entidad y ubicación del proveedor] |
| Travelpayouts Drive (Go Travel Un Limited) | Enlaces de afiliado y ofertas de socios, y atribución de las reservas para pagarnos la comisión. Solo si aceptas «Marketing y afiliación» | [PENDIENTE: confirmar ubicación y transferencias internacionales] |
| Google (Tag Manager y Google Analytics) | Medir el uso de la web, solo si aceptas «Analítica» en el aviso de privacidad | [PENDIENTE: confirmar ubicación y transferencias (Google Ireland Ltd. / Google LLC, Estados Unidos)] |
| [PENDIENTE: proveedor de alojamiento web (previsto: Vercel)] | Servir la web | [PENDIENTE] |
Al cargar algunas páginas, tu navegador pide imágenes y mapas directamente a terceros, que reciben tu dirección IP y el dominio de esta web (no la página concreta): Unsplash y Wikimedia Commons (fotografías) y OpenStreetMap (teselas del mapa). [PENDIENTE: valorar servir estos recursos desde nuestro propio dominio]
Los enlaces a proveedores de reservas (Booking.com, Google Flights, GetYourGuide, Airbnb, Klook, Tiqets, KKday, Go City, WeGoTrip…) solo llevan el destino o la actividad. No incluyen tus fechas, viajeros ni datos personales. Algunos son enlaces de afiliado: pasan antes por Travelpayouts (tp.media), que registra el clic para atribuirnos la comisión. Al pulsarlos pasas a la web del proveedor y a su política de privacidad.[PENDIENTE: confirmar con el abogado el texto sobre el registro del clic en los enlaces de afiliado]
6. Cuánto tiempo guardamos los datos
- Cuenta y viajes en la cuenta: hasta que elimines la cuenta o los viajes. [PENDIENTE: fijar un plazo de conservación para cuentas inactivas y viajes pasados]
- Datos en tu navegador: hasta que los borres. Puedes hacerlo al cerrar sesión o desde los ajustes de tu navegador.
- Direcciones IP del límite de uso: unos minutos, solo en memoria.
7. Tus derechos
Tienes derecho de acceso, rectificación, supresión, portabilidad, oposición y limitación del tratamiento.
- Desde tu cuenta puedes descargar tus datos (archivo JSON) y eliminar tu cuenta con todos sus viajes.
- Para el resto de derechos, escríbenos a [PENDIENTE: correo de contacto].
- Si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).
8. Seguridad
Cada cuenta solo puede leer y modificar sus propios viajes; la base de datos lo garantiza con reglas de acceso por usuario. Las comunicaciones van cifradas (HTTPS) y las claves de los servicios nunca llegan al navegador.
9. Cambios en esta política
Si cambiamos cómo tratamos tus datos, actualizaremos esta página e indicaremos la fecha. Última actualización: [PENDIENTE: fecha de publicación]