Politica de Privacidad

Koatrip es un planificador de viajes impulsado por inteligencia artificial. Esta política describe qué datos recopilamos, por qué los necesitamos y cómo los protegemos.

El responsable del tratamiento de tus datos es Koatrip. Para cualquier consulta relacionada con la privacidad puedes escribirnos a koatrip.app@gmail.com.

1. Datos que recopilamos

• Datos de tu cuenta de Google: nombre, correo electrónico y foto de perfil. Los obtenemos al iniciar sesión con Google OAuth.
• Preferencia de idioma: el idioma que seleccionas en los ajustes de tu cuenta (español o inglés).
• Conversaciones: los mensajes que intercambias con el asistente de viajes. Sólo se guardan si decides guardar el chat explícitamente.
• Itinerarios de viaje: destino, fechas, presupuesto, transporte, alojamiento y pasos del itinerario.
• Notas de viaje: notas que tú u otros miembros del viaje añadís a un itinerario. Pueden contener datos personales de cualquier participante.
• Gastos compartidos: importes, descripciones, quién pagó y el reparto de costes entre miembros del viaje.
• Documentos: archivos que subes a un viaje (por ejemplo, reservas, documentos de identidad o pasaportes). Se almacenan en Google Cloud Storage.
• Datos de colaboración e invitaciones: si compartes un viaje con otros usuarios, almacenamos la relación de miembros, sus roles y las direcciones de correo electrónico de las personas invitadas (incluso si aún no tienen cuenta en Koatrip).
• Dirección IP: utilizada exclusivamente para el control de límites de uso (rate limiting). Se almacena de forma temporal con una ventana de 24 horas.

2. Servicios de terceros

Para funcionar, Koatrip utiliza los siguientes servicios externos:

• Google OAuth: autenticación. Google recibe la solicitud de inicio de sesión; nosotros sólo almacenamos tu nombre, correo y foto de perfil.
• Google Cloud (Vertex AI): procesa tus mensajes de chat para generar itinerarios. Los datos se procesan en servidores europeos (Bélgica) y no se almacenan más allá de la solicitud.
• Google Cloud Storage: almacena los documentos que subes a tus viajes y los archivos de exportación de datos. Los datos residen en la Unión Europea.
• Vercel: aloja la aplicación web y ejecuta las funciones del servidor. La infraestructura se encuentra en Dublín, Irlanda (eu-west-1). Además, utilizamos Vercel Analytics para recopilar métricas de uso agregadas (páginas visitadas, referencia de origen). Este servicio no utiliza cookies ni rastrea usuarios de forma individual.
• Google Analytics: recopila datos de navegación (páginas visitadas, duración de la sesión, tipo de dispositivo, ubicación aproximada) mediante cookies propias (_ga, _ga_*). Los datos se procesan por Google en sus servidores globales. Puedes consultar cómo Google utiliza estos datos en su política de privacidad.
• Neon (neon.tech): aloja nuestra base de datos PostgreSQL en Londres (eu-west-2). Todos los datos se cifran en reposo con AES-256.
• Upstash: gestión de límites de uso (rate limiting) en Irlanda (eu-west-1). Sólo almacena tu identificador de usuario o dirección IP con una ventana de 24 horas.
• Resend: envío de correos electrónicos transaccionales (invitaciones a viajes, exportaciones de datos, notificaciones de eliminación de cuenta). Los datos de correo se almacenan en Estados Unidos (consulta la sección 4 sobre transferencias internacionales).

3. Base legal del tratamiento

Tratamos tus datos personales conforme al Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD), bajo las siguientes bases legales:

• Ejecución del contrato (Art. 6.1.b RGPD): datos de cuenta, itinerarios, gastos compartidos y colaboración entre miembros — necesarios para prestarte el servicio.
• Consentimiento (Art. 6.1.a RGPD): conversaciones guardadas y documentos subidos — sólo se almacenan cuando tú decides hacerlo explícitamente.
• Interés legítimo (Art. 6.1.f RGPD): dirección IP para rate limiting (seguridad del servicio), invitaciones a viaje (permitir la colaboración entre usuarios) y analítica de uso (Google Analytics) para mejorar el servicio.

4. Transferencias internacionales de datos

La mayor parte de tus datos se procesan y almacenan dentro de la Unión Europea. Sin embargo, los siguientes servicios implican transferencias fuera del Espacio Económico Europeo:

• Resend (Estados Unidos): los datos de correo electrónico (dirección del destinatario, contenido del mensaje) se almacenan en servidores en EE.UU. Esta transferencia está amparada por las Cláusulas Contractuales Tipo (SCCs) de la Comisión Europea.
• Google (global): los tokens de autenticación de Google OAuth y los datos de analítica de Google Analytics se procesan en la infraestructura global de Google, cubierta por las Cláusulas Contractuales Tipo (SCCs) y el marco de privacidad de datos UE-EE.UU.

5. Cookies

Utilizamos las siguientes cookies:

• Cookie de sesión (httpOnly): necesaria para mantener tu sesión iniciada.
• Cookies de analítica (_ga, _ga_*): establecidas por Google Analytics para distinguir usuarios y sesiones. Se conservan hasta 2 años.

No utilizamos cookies de publicidad ni rastreo de terceros.

6. Seguridad

• Cifrado en reposo AES-256 en la base de datos (Neon)
• Conexiones exclusivamente por HTTPS
• Consultas parametrizadas para prevenir inyección SQL
• Sesiones firmadas con JWT (no se almacenan en el servidor)
• Autenticación sin contraseña (sólo Google OAuth)

7. Retención de datos

Tus datos se conservan de forma indefinida mientras mantengas tu cuenta activa. Puedes eliminar chats y viajes individuales en cualquier momento desde la aplicación.

Eliminación de cuenta: puedes eliminar tu cuenta directamente desde la sección de Ajustes de la aplicación. Al hacerlo:

• Se eliminan tus datos personales, chats guardados y viajes de los que eres el único miembro.
• En viajes compartidos, tus gastos se anonimizan (se reasignan a un usuario genérico) y tus notas se vacían, para preservar la integridad del viaje sin conservar tus datos personales.
• Los demás miembros de tus viajes compartidos son notificados por correo electrónico para que revisen y eliminen cualquier documento o nota que pudiera contener tus datos personales (Art. 17.2 RGPD).

Exportación de datos: los archivos ZIP generados al exportar tus datos se almacenan temporalmente en Google Cloud Storage. El enlace de descarga expira a las 48 horas.

8. Tus derechos

De acuerdo con el RGPD y la LOPDGDD, tienes derecho a:

• Acceso: solicitar una copia de los datos que tenemos sobre ti.
• Rectificación: corregir datos inexactos.
• Supresión: eliminar tu cuenta y datos personales. Puedes hacerlo directamente desde Ajustes en la aplicación, sin necesidad de contactarnos.
• Portabilidad: recibir tus datos en un formato estructurado (JSON). Disponible desde Ajustes en la aplicación — recibirás un enlace de descarga por correo.
• Oposición: oponerte al tratamiento de tus datos basado en interés legítimo.
• Limitación del tratamiento: solicitar la restricción del tratamiento de tus datos en determinadas circunstancias.

Para ejercer los derechos de acceso, rectificación, oposición o limitación, contáctanos en la dirección indicada abajo. La supresión y la portabilidad están disponibles directamente desde la aplicación.

Si consideras que tus derechos no han sido atendidos adecuadamente, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

9. Contacto

Para consultas sobre privacidad o para ejercer tus derechos, escríbenos a koatrip.app@gmail.com.