Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de datos personales en relación con Packbay es:

2. Datos que tratamos

• Cuenta y hogar: nombre, dirección de correo electrónico, hash de la contraseña, idioma, roles, pertenencia al hogar y datos de invitación e inicio de sesión.
• Planificación de viajes: viajes, alojamientos, actividades, planes diarios, listas, notas y datos de presupuesto, incluidos importes, categorías, pagadores y repartos.
• Premium y pagos: tarifa, duración, estado de la suscripción e identificadores de transacción de Apple, Google Play o, en una suscripción web, Stripe. No recibimos datos de pago completos. En el buzón de viajes Premium tratamos los correos entrantes y sus adjuntos, que también pueden contener datos de terceros.
• Informes de países con IA: Si solicitas un informe, tratamos el destino y el informe generado. Para este fin no se transmiten al proveedor de IA datos de cuenta, contacto ni otros contenidos del viaje.
• Denuncias en la aplicación y moderación: si denuncias contenido u otro miembro del hogar, guardamos la vinculación con tu cuenta y hogar, una referencia del recurso validada por el servidor, el motivo, tu comentario opcional, el estado de tramitación, la nota interna de moderación y la medida adoptada. El contenido denunciado no se copia en la denuncia y su envío no genera una notificación push.
• Dispositivo, seguridad y diagnóstico: token push opcional o endpoint Web Push con claves de entrega, identificador de instalación de Firebase en Android, identificador aleatorio de dispositivo de Packbay, idioma y presentación y, en accesos y eventos de seguridad, dirección IP, hora, agente de usuario, ubicación aproximada obtenida localmente y datos técnicos de registro o error. Los informes de errores pueden contener la versión de la app, el tipo de dispositivo, la función afectada e identificadores técnicos seudónimos.
• Soporte y declaraciones contractuales: datos de contacto, mensajes, adjuntos, historial y estado de tramitación. En una cancelación o desistimiento se añaden el tipo de declaración, la descripción o identificador del contrato, la hora de recepción y datos opcionales. Para prevenir abusos pueden guardarse valores técnicos de comprobación seudónimos.

Los datos proceden de ti, de otros miembros del hogar, de remitentes a un buzón de viajes o soporte y, en las compras, de Apple, Google Play o Stripe. El nombre, correo electrónico, contraseña y los campos marcados como obligatorios son necesarios para celebrar o ejecutar el contrato; sin ellos no podemos ofrecer la función correspondiente. Los demás datos y las notificaciones push son opcionales.

Si introduces datos de otras personas o reenvías mensajes, infórmalas cuando sea necesario. Cuando el art. 14 del RGPD nos obligue a informar y no se aplique una excepción, informaremos al interesado dentro del plazo legal.

3. Fines y bases jurídicas

• Ejecución de un contrato (art. 6.1.b RGPD): registro, gestión de la cuenta, planificación compartida, Premium, estado de pagos, buzón de viajes, informes de países solicitados y gestión de soporte contractual, cancelaciones y desistimientos.
• Consentimiento (art. 6.1.a RGPD): notificaciones push. Puedes retirar el consentimiento en cualquier momento desde los ajustes del dispositivo.
• Obligaciones legales (art. 6.1.c RGPD): en particular conservación fiscal y mercantil y recepción y confirmación de declaraciones contractuales previstas legalmente.
• Intereses legítimos (art. 6.1.f RGPD): proteger cuentas y sistemas, prevenir abusos, diagnosticar errores, garantizar un funcionamiento estable, revisar denuncias en la aplicación, moderar, atender consultas generales y formular, ejercer o defender reclamaciones. El canal de denuncia también sirve para ejecutar el contrato conforme al art. 6.1.b RGPD. Nuestro interés es prestar un servicio seguro y fiable con el menor tratamiento de datos posible.

No adoptamos decisiones basadas únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre ti o te afecten significativamente de modo similar.

4. Destinatarios y servicios

Solo comunicamos datos cuando es necesario para el fin correspondiente:

• Microsoft 365 / Microsoft Graph: buzones de viajes y soporte y envío de correos de cuenta, seguridad, exportación y contrato; se tratan direcciones de correo y contenidos de mensajes.
• Sentry (Functional Software, Inc.): datos minimizados de errores, fallos y rendimiento en la región de datos de la UE.
• Google Ireland Limited / Google LLC: búsquedas o destinos para Places, las coordenadas exactas del alojamiento previsto para el viaje, únicamente cuando se solicita la vista previa del mapa del viaje, y coordenadas aproximadas obtenidas localmente para mapas en correos de seguridad; si se activan voluntariamente las notificaciones de Android, un identificador de instalación de Firebase e identificadores técnicos de evento y navegación para Firebase Cloud Messaging. El mensaje de Android no contiene texto libre ni contenido concreto de viajes, buzones, listas, itinerarios o finanzas; Android crea localmente un aviso genérico y solo vuelve a cargar los datos funcionales con una sesión activa. En una suscripción Android, Google trata el token de compra, el producto, la transacción y el estado de la suscripción. Google Play trata la compra y el pago bajo su propia responsabilidad; nosotros no recibimos datos de pago completos. Google Maps está sujeto a las Condiciones adicionales para usuarios finales de Google Maps; encontrarás más información en la Política de Privacidad de Google.
• Apple: entrega de notificaciones push y, para una suscripción de iPhone, gestión independiente de compra y pago. Recibimos datos de transacción y estado de la suscripción.
• Proveedor Web Push del navegador elegido: Si se activan voluntariamente las notificaciones del navegador, se tratan un endpoint push técnico, claves de entrega y un identificador mínimo del evento. El mensaje no contiene datos de viajes, correos ni finanzas; Packbay vuelve a cargar los datos funcionales después de abrirlo.
• Stripe Payments Europe, Ltd.: pagos de una suscripción ofrecida en la web. Recibimos identificadores de cliente, suscripción y estado, pero no datos de pago completos.
• Cloudflare, Inc.: entrega y protección del sitio web y las interfaces y prevención de abusos con Turnstile; se tratan, en particular, dirección IP y datos del navegador y de interacción.
• Anthropic, PBC: El destino solo se transmite cuando solicitas activamente un informe de país.
• Pushover, LLC: Puede activarse un aviso interno fijo sin contenido del caso cuando llega un nuevo caso de soporte o queda pendiente una cancelación o desistimiento. Pushover trata metadatos técnicos de solicitud, cuenta y dispositivo para la entrega. Más información: Política de privacidad de Pushover.

5. Transferencias internacionales

Microsoft, Sentry, Google, Apple, el proveedor Web Push correspondiente, Stripe, Cloudflare, Anthropic y Pushover pueden tratar datos en Estados Unidos u otro país fuera del Espacio Económico Europeo. Según el destinatario y la vía de transferencia, esta se basa en una decisión de adecuación conforme al art. 45 RGPD o en garantías adecuadas conforme al art. 46 RGPD, en particular las cláusulas contractuales tipo de la UE. Puedes solicitar información sobre la base aplicada a un tratamiento concreto y una copia de las garantías disponibles en datenschutz@packbay.app.

6. Conservación y supresión

• Cuenta y contenido de viajes: en general, hasta la eliminación de la cuenta. Tras la solicitud, la cuenta se bloquea de inmediato y se elimina o anonimiza después de 30 días. Los contenidos compartidos pueden permanecer para otros miembros del hogar. Las copias de seguridad ordinarias se sobrescriben en unas tres semanas.
• Premium y contratos: los justificantes y las confirmaciones contractuales sujetos al derecho fiscal o mercantil se conservan durante los plazos aplicables, por regla general ocho años. Los demás justificantes de cancelación y desistimiento se conservan, por regla general, hasta el final del tercer año natural posterior a su recepción. La prueba de aceptación de las Condiciones se conserva mientras exista la cuenta. Tras eliminarla, el registro mínimo seudónimo se suprime cuando vence el plazo calculado desde la aceptación. Un caso o una reclamación pendiente puede suspender la supresión hasta que se resuelva.
• Buzón de viajes: Tras finalizar Premium, el buzón se elimina una vez transcurrido el periodo necesario de transición y desactivación.
• Identificadores push y de dispositivo: Packbay elimina el registro push del servidor al cerrar sesión, desactivarlo, cambiar de dispositivo o eliminar la cuenta, en cuanto la operación pueda ejecutarse técnicamente. Los proveedores pueden conservar copias de seguridad conforme a sus propios plazos. Google indica que un identificador de instalación de Firebase eliminado mediante su API se borra de los sistemas activos y de copia de seguridad en un plazo máximo de 180 días.
• Soporte: Conservamos chats, correos y tickets hasta cerrar la solicitud y después solo mientras sea necesario para consultas posteriores, prevención de abusos, obligaciones legales o reclamaciones. Se guardan separados de la cuenta de producto y por ello no se eliminan automáticamente con ella. Puedes solicitar su supresión en support@packbay.app.
• Datos de seguridad y diagnóstico: hasta que deje de existir la finalidad de análisis o protección; un incidente concreto o una obligación legal puede exigir una conservación más prolongada.
• Denuncias en la aplicación: las denuncias abiertas se conservan hasta su resolución. Tras su resolución o desestimación, conservamos el registro de moderación durante otros 180 días y después lo eliminamos automáticamente. Si se elimina la cuenta denunciante, se suprime su vinculación; al eliminar el hogar se elimina también la denuncia.

Cuando no se indica un plazo fijo, la duración viene determinada por la finalidad, la necesidad y los posibles plazos legales de documentación o prescripción. Después eliminamos o anonimizamos los datos.

7. Cookies y almacenamiento local

El sitio y la web app solo usan cookies de sesión e idioma técnicamente necesarias. La sesión caduca, como máximo, a los 30 días y la elección de idioma al año. El tema y un identificador aleatorio del dispositivo se guardan localmente; este último sirve para el estado de lectura por dispositivo y se transmite con las solicitudes de la app. Cloudflare Turnstile, nuestro chat autogestionado y el portal de soporte también pueden crear entradas necesarias. La base jurídica para el acceso al dispositivo es el § 25.2 n.º 2 TDDDG.

8. Tus derechos

Conforme al RGPD, tienes en particular los siguientes derechos:

• acceso (art. 15),
• rectificación (art. 16),
• supresión (art. 17),
• limitación del tratamiento (art. 18),
• portabilidad de los datos (art. 20),
• oposición a tratamientos conforme al art. 6.1.e o f (art. 21),
• retirada del consentimiento con efectos futuros y
• reclamación ante una autoridad de protección de datos.

Nuestra autoridad competente es el Comisionado Sajón de Protección de Datos y Transparencia, Maternistraße 17, 01067 Dresde, Alemania. Para ejercer tus derechos, escribe a datenschutz@packbay.app.

Oposición: Cuando el tratamiento se base en intereses legítimos, puedes oponerte por motivos relacionados con tu situación particular. Dejaremos de tratar los datos salvo que prevalezcan motivos legítimos imperiosos o reclamaciones.