Política de privacitat

1. Responsable del tractament

Grup Bages Formadors SL, NIF B61690723, amb domicili a C/ Dupont 34, 08262 Callús (Barcelona, Espanya). Contacte per a qualsevol assumpte de privacitat: hola@forholidays.app.

Delegat de Protecció de Dades: [COMPLETAR: confirmar si se ha designado Delegado de Protección de Datos; si no, indicar que el contacto es hola@forholidays.app]

En els casos en què gestionem dades de viatgers per compte d'un Operador (vegeu l'apartat 3), el responsable és l'Operador i For Holidays actua com a encarregat del tractament.

2. Quines dades tractem, per a què i amb quina base legal

• Operadors (negocis que publiquen activitats): nom o raó social, NIF/CIF, contacte, dades de l'activitat, dades bancàries per a les liquidacions i comunicacions. Finalitat: crear i gestionar el compte, prestar el servei, liquidar i facturar. Base: execució del contracte i obligacions legals.
• Viatgers (qui reserva): nom, correu electrònic, telèfon (si se sol·licita), dades de la reserva (activitat, data, persones, import), estat del pagament i l'adreça IP i dades tècniques necessàries per a la seguretat. Finalitat: gestionar la reserva, processar el pagament, enviar confirmacions, atendre incidències, prevenir el frau i complir obligacions comptables. Base: execució del contracte, obligació legal i interès legítim (seguretat i prevenció del frau).
• Sol·licituds i contacte comercial (formularis de sol·licitud, demo o correu): dades de contacte i del negoci. Finalitat: respondre a la teva sol·licitud. Base: el teu consentiment o l'aplicació de mesures precontractuals a petició teva.
• Visitants del web: dades tècniques de navegació i, només si ho acceptes a l'avís de cookies, estadístiques d'ús mitjançant Google Analytics 4. Base: consentiment (art. 6.1.a RGPD). Més detalls a la política de cookies.
• Comunicacions comercials a professionals: si reps de nosaltres una comunicació comercial per mitjans electrònics, t'hi pots oposar en qualsevol moment (art. 21 LSSI i art. 21 RGPD) responent al missatge o escrivint a hola@forholidays.app. Base: interès legítim a promocionar els nostres serveis entre negocis, o el teu consentiment [COMPLETAR: confirmar amb el gestor la base legal de la prospecció comercial].

No prenem decisions automatitzades amb efectes jurídics sobre tu. No dirigim el servei a menors de 14 anys i no recollim conscientment les seves dades sense autorització dels seus representants.

3. El nostre paper respecte de les dades dels viatgers

Per a la seva pròpia operativa (cobrament, prevenció del frau, facturació, seguretat, suport de la plataforma) For Holidays és responsable del tractament. Per gestionar les reserves de l'Operador i enviar confirmacions en nom seu, For Holidays és encarregat i tracta les dades seguint les seves instruccions segons l'Acord d'encàrrec de tractament. L'Operador és responsable de l'ús que faci de les dades que rep per prestar l'activitat.

4. Amb qui compartim les teves dades (encarregats i destinataris)

No venem les teves dades. Les comuniquem únicament als proveïdors que fan possible el servei, que actuen sota contracte conforme a l'art. 28 RGPD:

• Supabase — base de dades i autenticació (allotjament de la informació de comptes i reserves).
• Vercel — allotjament i execució del web i l'aplicació.
• Stripe — processament de pagaments i reemborsaments. Stripe tracta les dades de pagament com a responsable independent per a les seves obligacions de prevenció del frau i reguladores; consulta la seva política de privacitat.
• Google — enviament de correus transaccionals (confirmacions de reserva) mitjançant l'API de Gmail, sincronització opcional amb Google Calendar per als Operadors que l'activin i, només amb el teu consentiment, Google Analytics 4.
• Upstash — servei de limitació de peticions (rate limiting) per protegir els formularis i l'API davant abusos; tracta l'adreça IP de manera transitòria, quan és actiu.
• L'Operador de l'activitat que reserves, que rep les dades necessàries per prestar-la.
• Autoritats i assessors, quan la llei ho exigeixi o sigui necessari per a la gestió fiscal, comptable i jurídica de l'empresa.

5. Transferències internacionals

Alguns proveïdors (per exemple Stripe, Google, Vercel o Upstash) poden tractar dades fora de l'Espai Econòmic Europeu, en particular als Estats Units. En aquests casos la transferència s'empara en una decisió d'adequació de la Comissió Europea (com el Marc de Privacitat de Dades UE-EUA, quan el proveïdor està certificat) o en les clàusules contractuals tipus de la Comissió, amb mesures complementàries quan escaigui. La regió d'allotjament de la base de dades és [COMPLETAR: regió de Supabase (p. ex. UE – Frankfurt/Irlanda) i de Vercel; confirmar].

6. Terminis de conservació

• Dades de reserves, pagaments i facturació: durant el temps necessari i, després, bloquejades durant els terminis legals de prescripció de les obligacions mercantils i fiscals (amb caràcter general, fins a 6 anys).
• Dades del compte de l'Operador: mentre el compte sigui actiu i, després, durant els terminis legals aplicables.
• Sol·licituds i contactes comercials: mentre es mantingui la relació o la sol·licitud i, com a màxim, [COMPLETAR: termini, p. ex. 24 mesos] des de l'últim contacte.
• Estadístiques (Google Analytics): segons la configuració de l'eina, [COMPLETAR: període de retenció configurat a GA4].

En acabar els terminis suprimim o anonimitzem les dades.

7. Els teus drets

Pots exercir en qualsevol moment els teus drets d'accés, rectificació, supressió, oposició, limitació del tractament i portabilitat, i retirar el consentiment que hagis donat, escrivint a hola@forholidays.app i indicant la teva petició (et podem demanar verificar la teva identitat). Responem en el termini màxim d'un mes.

Si consideres que els teus drets no s'han atès, pots presentar una reclamació davant l'Agència Espanyola de Protecció de Dades (aepd.es) o davant l'autoritat de control del teu país de residència.

8. Seguretat

Apliquem mesures tècniques i organitzatives raonables per protegir les dades: connexions xifrades (HTTPS), control d'accés i separació de dades entre operadors, no emmagatzematge de les dades de targeta (gestionades per Stripe) i limitació de l'accés del personal al necessari. Si es produeix una bretxa de seguretat que t'afecti, la notificarem a l'autoritat i, quan escaigui, a tu, conforme a la llei.

9. Canvis en aquesta política

Podem actualitzar aquesta política per reflectir canvis en el servei o en la llei. La data de la part superior indica l'última revisió. Si el canvi és substancial, te'l comunicarem per un mitjà adequat.