Aviso de privacidad

Quién es el responsable

El responsable del tratamiento descrito en esta página es:

Consultas y solicitudes de privacidad:

support@aryaren.com

No se ha designado formalmente un delegado de protección de datos. Las preguntas y solicitudes sobre privacidad se envían a la dirección indicada arriba.

[Requiere revisión legal: si es obligatorio designar un delegado de protección de datos]

Alcance de este aviso

Aryaren es una aplicación web para planificar viajes. Las páginas públicas están en aryaren.com; la aplicación de planificación, el inicio de sesión y la API, en app.aryaren.com.

Aryaren funciona actualmente como piloto cerrado. Las cuentas solo se crean por invitación; no existe registro abierto.

Inicio de sesión y tu cuenta

El inicio de sesión lo gestiona Amazon Cognito, un servicio de AWS que funciona en la región eu-central-1 (Fráncfort). Cognito guarda:

• tu dirección de correo electrónico, que es también tu nombre de usuario;
• si tu dirección de correo está verificada;
• tu contraseña. Solo la introduces en la página de inicio de sesión de Cognito; Aryaren nunca la recibe ni la almacena.

Aryaren guarda por su parte:

• un identificador interno de cuenta vinculado a tu identificador de Cognito y el estado de tu cuenta (activa o desactivada);
• un nombre visible derivado de la parte de tu dirección de correo anterior a la arroba;
• tu idioma;
• una copia de tu dirección de correo verificada, que se actualiza en cada inicio de sesión, y la hora de tu último acceso.

Aryaren no te pide tu nombre ni recoge ningún número de teléfono. La autenticación multifactor está desactivada por ahora.

Previsto, aún no activo: para el registro público está previsto enviar códigos de seguridad de inicio de sesión por SMS, lo que requeriría un número de móvil. Este aviso describe el sistema actual y deberá actualizarse antes de que ese cambio entre en funcionamiento.

Al iniciar sesión, Aryaren crea una sesión válida durante 12 horas. La base de datos solo guarda un hash del identificador de sesión, sus horas de validez y si se ha revocado: ni dirección IP ni información del navegador. Al cerrar sesión termina la sesión de Aryaren y, después, la sesión de inicio de Cognito.

Los tokens de inicio de sesión emitidos por Cognito se comprueban una sola vez en el servidor y luego se descartan. No se almacenan, no se registran y nunca se envían a tu navegador.

Invitaciones y correo electrónico

Aryaren no tiene servicio de correo propio. Los correos de invitación y de recuperación de cuenta los envía el remitente predeterminado de Cognito. Aryaren no envía boletines ni correos de marketing.

El correo de invitación contiene un texto genérico con tu nombre de usuario, una contraseña temporal y un enlace de acceso. No incluye detalles del viaje ni el nombre de quien te invitó.

De cada invitación, Aryaren guarda la dirección de correo invitada, el rol, el estado de la invitación y de la entrega, y las fechas. Las invitaciones finalizadas (aceptadas, revocadas o caducadas) se eliminan 30 días después de finalizar.

Viajes, planes y uso compartido

Lo que introduces para un viaje se guarda en la base de datos de Aryaren:

• título, fechas, destino, moneda, idioma y zona horaria de origen;
• el grupo de viaje: el número de adultos y, de cada menor, solo una franja de edad (0–1, 2–4, 5–11 o 12–17), nunca nombres ni fechas de nacimiento;
• límite de presupuesto, ritmo e intereses;
• los elementos del plan que apruebas: tipo, título, horario, descripción del lugar y notas.

Solo el propietario de un viaje puede compartirlo, y solo con miembros activos del mismo espacio de trabajo. Las personas con quienes lo compartes lo ven según su rol. El propietario de un viaje o de un espacio de trabajo ve los nombres visibles y las direcciones de correo de sus miembros.

Propuestas generadas por IA

Cuando pides una propuesta, Aryaren envía una solicitud minimizada al modelo de IA Claude Haiku 4.5 de Anthropic a través de Amazon Bedrock. Solo se permite un perfil de inferencia de la UE, por lo que la solicitud puede procesarse en una de estas regiones de AWS en la UE:

• eu-central-1
• eu-north-1
• eu-south-1
• eu-south-2
• eu-west-1
• eu-west-3

Se envía: el texto de tu solicitud, las condiciones del viaje (destino, grupo de viaje con franjas de edad de los menores, presupuesto, ritmo, intereses), las fechas del viaje, la zona horaria del destino, la moneda de visualización, el idioma de la respuesta y tus elementos fijos del plan (tipo, título, descripción del lugar, horario).

No se envía: nombres ni direcciones de correo tuyos o de otros miembros, identificadores internos, el título del viaje, notas, referencias de reserva, archivos importados ni candidatos de importación sin revisar.

El modelo no tiene herramientas: no puede navegar por internet, reservar ni pagar nada.

La respuesta del modelo se comprueba y se guarda como propuesta para que la revises. El texto de tu solicitud se elimina en cuanto termina la ejecución.

[Requiere revisión legal: conservación de datos y postura sobre el entrenamiento de modelos del proveedor de IA]

Archivos importados

Puedes subir archivos, por ejemplo confirmaciones de reserva, en formato .txt o .ics de hasta 256 KiB cada uno. Cada archivo se analiza en busca de malware en el propio servidor de Aryaren; no se envía a ningún otro lugar para analizarlo.

El archivo original se guarda cifrado en Amazon S3, en la región eu-central-1.

Aryaren extrae del archivo posibles elementos del plan. El texto extraído completo no se conserva, las referencias de reserva se reducen a sus dos últimos caracteres y las direcciones de correo y los números de teléfono del texto se enmascaran.

Puedes eliminar una importación en cualquier momento; el archivo guardado se borra entonces de forma definitiva. Los archivos de importaciones rechazadas o fallidas se eliminan a los 7 días y los infectados, de inmediato. Los archivos de importaciones correctas se conservan hasta que elimines la importación.

Seguridad, registros y telemetría

Todos los datos se almacenan en la región eu-central-1 de AWS: la base de datos en discos cifrados de un único servidor; los archivos y las copias de seguridad, en almacenamiento S3 cifrado.

Aryaren no guarda tu dirección IP ni información de tu navegador en su base de datos, y no hay configurado ningún registro de accesos del servidor web.

La telemetría operativa (trazas, métricas y registros) solo contiene identificadores, códigos de estado y contadores; nunca texto de mensajes, títulos ni otro contenido. Se conserva en el servidor durante 14 días; los registros operativos en Amazon CloudWatch, durante 30 días.

Los eventos de seguridad de inicios de sesión e invitaciones y el registro de auditoría de acciones (quién cambió qué elemento y cuándo) no contienen direcciones de correo, direcciones IP ni contenido, y cada uno se elimina a los 90 días.

El acceso a los sistemas de producción está limitado a los operadores de Aryaren. Acceden al servidor solo a través de AWS Systems Manager; no hay acceso SSH abierto. Los comandos de operador usan un rol de base de datos separado con permisos mínimos, y restaurar una copia de seguridad requiere un rol separado con autenticación multifactor. Quien tenga acceso de operador al servidor puede, técnicamente, leer la base de datos.

Comunica cualquier sospecha de incidente de seguridad o privacidad a la dirección indicada en «Quién es responsable». Internamente, el incidente se detecta, se contiene, se evalúa y se documenta, y después se decide si notificarlo a las autoridades y a las personas afectadas.

[Requiere revisión legal: obligaciones y plazos para notificar a las autoridades y a las personas afectadas tras una brecha de datos]

Copias de seguridad

La base de datos se copia a diario y de forma continua en almacenamiento S3 cifrado en eu-central-1. Las copias quedan bloqueadas frente a su eliminación durante 35 días y caducan a los 36 días aproximadamente.

Por eso, los datos eliminados del sistema en funcionamiento permanecen en las copias de seguridad hasta que estas caducan.

Cuánto tiempo se conservan los datos

Estos plazos de borrado están implementados hoy en el sistema:

No hay un plazo de eliminación automático para tu cuenta y su copia del correo, los espacios de trabajo y las membresías, los viajes, las restricciones, las propuestas y los elementos del plan, ni para los registros de coste de IA. Se conservan mientras exista tu cuenta y se eliminan cuando tu cuenta se elimina a petición (consulta «Tus derechos»); tu usuario de Cognito se elimina al mismo tiempo.

Proveedores de servicios

Aryaren utiliza los siguientes servicios. La tabla describe únicamente su función técnica.

[Requiere revisión legal: papel jurídico de cada proveedor de servicios (encargado, subencargado o responsable) y los contratos en que se basa]

[Requiere revisión legal: transferencias internacionales de datos y las garantías aplicadas]

Bases jurídicas

Cada finalidad descrita aquí (inicio de sesión, invitaciones, planificación de viajes, propuestas de IA, importaciones, registros de seguridad y auditoría, copias de seguridad, telemetría operativa, la cookie de idioma) necesita una base jurídica conforme al RGPD y, en su caso, a la ley turca de protección de datos (KVKK). Aún no se han determinado.

[Requiere revisión legal: base jurídica de cada finalidad del tratamiento]

Tus derechos

Según la legislación aplicable, como el RGPD o la KVKK, puedes tener derecho a acceder a tus datos, a su rectificación o supresión, a limitar el tratamiento u oponerte a él, a la portabilidad de los datos y a presentar una reclamación ante una autoridad de control.

En la aplicación puedes cerrar sesión y eliminar importaciones concretas. Todas las demás solicitudes – acceso a tus datos, rectificación, eliminación de tu cuenta, o limitación u oposición al tratamiento – las gestiona un operador; envíalas a la dirección indicada en «Quién es responsable».

Para proteger tu cuenta, antes de actuar respondemos a la dirección de correo de la cuenta afectada o te pedimos que confirmes la solicitud desde ella. Cada solicitud se registra junto con la fecha en que se respondió.

[Requiere revisión legal: plazos legales de respuesta a las solicitudes de los interesados (RGPD, KVKK)]

Cuando se elimina tu cuenta, un operador cierra todas sus sesiones, elimina tu usuario de Cognito y tus archivos de importación almacenados, y elimina tu espacio de trabajo con sus viajes, restricciones, propuestas, elementos del plan e importaciones, tus membresías y accesos compartidos, y la copia de tu dirección de correo. Los viajes en espacios de trabajo de otras personas permanecen allí. Tu cuenta queda solo como un marcador anónimo para que los registros de seguridad sigan siendo coherentes; estos registros no contienen direcciones de correo, direcciones IP ni contenido y se eliminan a los 90 días. Las copias de seguridad conservan el estado anterior hasta que caducan, al cabo de unos 36 días.

Menores

Las cuentas de Aryaren son solo para personas de 18 años o más. Aryaren no está dirigido a menores y no invita ni anima a nadie menor de 18 años a crear una cuenta.

No existe un proceso de consentimiento parental: una persona menor de 18 años no puede tener una cuenta de Aryaren, ni siquiera con el permiso de sus padres.

Aryaren solo guarda datos de menores como una franja de edad que un adulto introduce para el grupo de viaje.

Para planificar viajes, Aryaren nunca pide el nombre, la fecha de nacimiento exacta ni los datos de contacto de un menor. Un menor del grupo de viaje se registra solo como una franja de edad (0–1, 2–4, 5–11 o 12–17).

Si sabemos que una cuenta pertenece a una persona menor de 18 años, un operador la desactiva de inmediato – lo que cierra todas sus sesiones y bloquea el inicio de sesión – y después la elimina como se describe en «Tus derechos». Cuando proceda, informamos a la dirección de correo de la cuenta antes de eliminarla. Se conserva una huella (hash) de la dirección de correo para que no pueda crearse una cuenta nueva con ella; la dirección en sí no se conserva.

Páginas relacionadas

• Cookies y almacenamiento
• Condiciones de uso
• Contacto