Política de privacidad

1. Responsable del tratamiento

Grup Bages Formadors SL, NIF B61690723, con domicilio en C/ Dupont 34, 08262 Callús (Barcelona, España). Contacto para cualquier asunto de privacidad: hola@forholidays.app.

Delegado de Protección de Datos: [COMPLETAR: confirmar si se ha designado Delegado de Protección de Datos; si no, indicar que el contacto es hola@forholidays.app]

En los casos en que gestionamos datos de viajeros por cuenta de un Operador (ver apartado 3), el responsable es el Operador y For Holidays actúa como encargado del tratamiento.

2. Qué datos tratamos, para qué y con qué base legal

• Operadores (negocios que publican actividades): nombre o razón social, NIF/CIF, contacto, datos de la actividad, datos bancarios para las liquidaciones y comunicaciones. Finalidad: crear y gestionar la cuenta, prestar el servicio, liquidar y facturar. Base: ejecución del contrato y obligaciones legales.
• Viajeros (quienes reservan): nombre, correo electrónico, teléfono (si se solicita), datos de la reserva (actividad, fecha, personas, importe), estado del pago y la dirección IP y datos técnicos necesarios para seguridad. Finalidad: gestionar la reserva, procesar el pago, enviar confirmaciones, atender incidencias, prevenir el fraude y cumplir obligaciones contables. Base: ejecución del contrato, obligación legal e interés legítimo (seguridad y prevención del fraude).
• Solicitudes y contacto comercial (formularios de solicitud, demo o correo): datos de contacto y del negocio. Finalidad: responder a tu solicitud. Base: tu consentimiento o la aplicación de medidas precontractuales a petición tuya.
• Visitantes de la web: datos técnicos de navegación y, solo si lo aceptas en el aviso de cookies, estadísticas de uso mediante Google Analytics 4. Base: consentimiento (art. 6.1.a RGPD). Más detalles en la política de cookies.
• Comunicaciones comerciales a profesionales: si recibes de nosotros una comunicación comercial por medios electrónicos, puedes oponerte a recibir más en cualquier momento (art. 21 LSSI y art. 21 RGPD) respondiendo al mensaje o escribiendo a hola@forholidays.app. Base: interés legítimo en promocionar nuestros servicios entre negocios, o tu consentimiento [COMPLETAR: confirmar con el gestor la base legal de la prospección comercial].

No tomamos decisiones automatizadas con efectos jurídicos sobre ti. No dirigimos el servicio a menores de 14 años y no recogemos conscientemente sus datos sin autorización de sus representantes.

3. Nuestro papel respecto de los datos de los viajeros

Para su propia operativa (cobro, prevención del fraude, facturación, seguridad, soporte de la plataforma) For Holidays es responsable del tratamiento. Para gestionar las reservas del Operador y enviar confirmaciones en su nombre, For Holidays es encargado y trata los datos siguiendo sus instrucciones según el Acuerdo de encargo de tratamiento. El Operador es responsable del uso que haga de los datos que recibe para prestar la actividad.

4. Con quién compartimos tus datos (encargados y destinatarios)

No vendemos tus datos. Los comunicamos únicamente a los proveedores que hacen posible el servicio, que actúan bajo contrato conforme al art. 28 RGPD:

• Supabase — base de datos y autenticación (alojamiento de la información de cuentas y reservas).
• Vercel — alojamiento y ejecución de la web y la aplicación.
• Stripe — procesamiento de pagos y reembolsos. Stripe trata los datos de pago como responsable independiente para sus obligaciones de prevención del fraude y regulatorias; consulta su política de privacidad.
• Google — envío de correos transaccionales (confirmaciones de reserva) mediante la API de Gmail, sincronización opcional con Google Calendar para los Operadores que la activen y, solo con tu consentimiento, Google Analytics 4.
• Upstash — servicio de limitación de peticiones (rate limiting) para proteger los formularios y la API frente a abusos; trata la dirección IP de forma transitoria, cuando está activo.
• El Operador de la actividad que reservas, que recibe los datos necesarios para prestarla.
• Autoridades y asesores, cuando la ley lo exija o sea necesario para la gestión fiscal, contable y jurídica de la empresa.

5. Transferencias internacionales

Algunos proveedores (por ejemplo Stripe, Google, Vercel o Upstash) pueden tratar datos fuera del Espacio Económico Europeo, en particular en Estados Unidos. En esos casos la transferencia se ampara en una decisión de adecuación de la Comisión Europea (como el Marco de Privacidad de Datos UE-EE. UU., cuando el proveedor está certificado) o en las cláusulas contractuales tipo de la Comisión, con medidas complementarias cuando proceda. La región de alojamiento de la base de datos es [COMPLETAR: región de Supabase (p. ej. UE – Fráncfort/Irlanda) y de Vercel; confirmar].

6. Plazos de conservación

• Datos de reservas, pagos y facturación: durante el tiempo necesario y, después, bloqueados durante los plazos legales de prescripción de las obligaciones mercantiles y fiscales (con carácter general, hasta 6 años).
• Datos de la cuenta del Operador: mientras la cuenta esté activa y, después, durante los plazos legales aplicables.
• Solicitudes y contactos comerciales: mientras se mantenga la relación o la solicitud y, como máximo, [COMPLETAR: plazo, p. ej. 24 meses] desde el último contacto.
• Estadísticas (Google Analytics): según la configuración de la herramienta, [COMPLETAR: periodo de retención configurado en GA4].

Al terminar los plazos suprimimos o anonimizamos los datos.

7. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar el consentimiento que hayas dado, escribiendo a hola@forholidays.app e indicando tu petición (podemos pedirte verificar tu identidad). Respondemos en el plazo máximo de un mes.

Si consideras que tus derechos no han sido atendidos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es) o ante la autoridad de control de tu país de residencia.

8. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger los datos: conexiones cifradas (HTTPS), control de acceso y separación de datos entre operadores, no almacenamiento de los datos de tarjeta (gestionados por Stripe) y limitación del acceso del personal a lo necesario. Si se produce una brecha de seguridad que te afecte, la notificaremos a la autoridad y, cuando proceda, a ti, conforme a la ley.

9. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el servicio o en la ley. La fecha de la parte superior indica la última revisión. Si el cambio es sustancial, te lo comunicaremos por un medio adecuado.