Acuerdo de tratamiento de datos

Alcance del tratamiento

Kai trata datos personales únicamente con el fin de prestar la plataforma de gestión de activos compartidos descrita en los términos del servicio. El tratamiento incluye el almacenamiento, la recuperación, la visualización y la eliminación de datos según las instrucciones del Responsable a través del uso normal de la plataforma.

Listas de espera de los operadores

La lista de espera de un operador pertenece a ese operador. Kai la usa solo para gestionar la página de inscripción, la búsqueda de socios y los correos de ese operador. Kai nunca ofrece a las personas de la lista activos de otros operadores (barcos, aeronaves, casas o coches) ni ofertas propias, y nunca las añade a sus propias listas de correo. El operador puede exportar la lista completa en cualquier momento.

Activos que gestiona un operador

Cuando un activo (un barco, una aeronave, una casa o un coche) está en la flota de un operador, la oficina del operador ve, solo de ese activo: sus reservas y quién las hizo, el mantenimiento pendiente, los nombres y las fechas de caducidad de sus documentos, y el total de los pagos vencidos de sus propietarios con el número de propietarios que van con retraso, nunca quiénes son. La oficina no ve los mensajes, los gastos ni los archivos de los documentos del activo. Esto termina cuando el activo sale de la flota o cuando termina el plan del operador.

Categorías de datos tratados

Se tratan las siguientes categorías de datos personales:

• Datos de identidad: nombre, dirección de correo electrónico, foto de perfil
• Datos de contacto: número de teléfono, dirección de facturación
• Datos financieros: IBAN, información de facturación, registros de facturas
• Datos de uso: reservas, registros de uso, registros de gastos, registros de mantenimiento
• Datos de comunicación: mensajes, tickets de soporte
• Datos técnicos: dirección IP, tipo de navegador, registros de consentimiento
• Datos de listas de espera (búsqueda de socios, para operadores): nombre, correo, teléfono, idiomas, meses preferidos, participaciones deseadas, fecha de disponibilidad, número de personas, titulación náutica, notas, respuestas a las preguntas de inscripción del operador y registros de consentimiento

Medidas de seguridad

Kai aplica las siguientes medidas técnicas y organizativas para proteger los datos personales:

• Cifrado en tránsito (TLS 1.3) y en reposo (AES-256)
• Seguridad a nivel de fila para aislar los datos entre grupos
• Control de acceso basado en roles con el principio de mínimo privilegio
• Copias de seguridad diarias automatizadas con recuperación a un momento concreto
• Auditorías de seguridad y pruebas de penetración periódicas
• No se envía información de identificación personal a la monitorización de errores

Subencargados del tratamiento

Kai recurre a los siguientes subencargados del tratamiento. Se notificará al Responsable cualquier cambio en esta lista:

• Supabase (AWS Fráncfort, UE) — Base de datos y autenticación
• Stripe (UE/EE. UU., cláusulas contractuales tipo) — Procesamiento de pagos
• Resend (EE. UU., cláusulas contractuales tipo) — Envío de correo electrónico
• Sentry (UE) — Monitorización de errores (sin datos personales identificables)
• Vercel (UE) — Alojamiento de la aplicación
• Google Analytics y Ads (EE. UU., Marco de Privacidad de Datos) — Analítica y publicidad (sujeto a consentimiento)
• Firebase / Google Cloud (UE) — Almacenamiento de archivos
• Cloudinary (EE. UU., cláusulas contractuales tipo) — Optimización de imágenes

Notificación de violaciones de seguridad

En caso de violación de la seguridad de los datos personales, Kai lo notificará al Responsable sin dilación indebida y, a más tardar, 72 horas después de haber tenido conocimiento de ella. La notificación incluirá la naturaleza de la violación, las categorías y el número aproximado de interesados afectados, las consecuencias probables y las medidas adoptadas o propuestas para ponerle remedio.

Derechos de los interesados

Kai ayuda al Responsable a atender las solicitudes de los interesados, como:

• Derecho de acceso — los usuarios pueden ver todos sus datos en la plataforma
• Derecho de rectificación — los usuarios pueden actualizar su perfil y datos
• Derecho de supresión — la eliminación de la cuenta elimina todos los datos personales
• Derecho a la portabilidad de datos — los usuarios pueden exportar todos sus datos como JSON
• Derecho a retirar el consentimiento — las preferencias de cookies se pueden cambiar en cualquier momento

Devolución y eliminación de datos

Al finalizar el acuerdo, Kai eliminará todos los datos personales tratados por cuenta del Responsable en un plazo de 30 días, salvo que la ley aplicable exija conservarlos. El Responsable puede exportar sus datos en cualquier momento antes de la finalización mediante las funciones de exportación integradas en la plataforma.

Contacto

Si tienes preguntas sobre este DPA o quieres solicitar una copia firmada, escríbenos a [email protected]