Política de Privacidad
Esta política de privacidad se dirige a las agencias de viajes, tour operadores y sus agentes que utilizan la plataforma CapData como herramienta SaaS de gestión de reservas, así como a los titulares de las cuentas contratantes del servicio.
1. ¿Quién es el responsable del tratamiento de sus datos?
Razón social: DATACAPTURE SISTEMAS S.L.
CIF: B22488043
Domicilio social: Gremi Sabaters n.º 21, 2.ª planta B24, CP 07009, Palma de Mallorca
Teléfono: 871551200
Correo electrónico: info@capdata.es
Web: https://capdata.es
Delegado de Protección de Datos: Protecmir — protecmirlegal@protecmir.com
DATACAPTURE SISTEMAS S.L. actúa como responsable del tratamiento respecto de los datos de las agencias usuarias de la plataforma (titulares, agentes y datos de facturación). Respecto de los datos de los viajeros y clientes finales de las agencias, DATACAPTURE SISTEMAS S.L. actúa como encargado del tratamiento, siendo la agencia el responsable.
2. ¿Qué datos tratamos y de dónde proceden?
| Categoría | Tipos de datos | Origen |
|---|---|---|
| Datos de la agencia / titular | Razón social, CIF, domicilio, datos de contacto del titular, datos de facturación. | Facilitados por la agencia al contratar el servicio. |
| Datos de los agentes / usuarios | Nombre, apellidos, correo electrónico, contraseña (almacenada mediante función de derivación de clave con sal, no en claro), datos de acceso y actividad en la plataforma. | Facilitados por la agencia al dar de alta a sus agentes. |
| Datos de viajeros y clientes finales | Nombre, apellidos, documento de identidad (DNI/pasaporte), datos de reserva (vuelos, hoteles, itinerarios, localizadores, fechas, importes) y datos de contacto. | Introducidos por la agencia o extraídos automáticamente de correos y documentos por la agencia. |
| Datos de reservas y expedientes | Datos de vuelos, hoteles, servicios turísticos, precios, proveedores y localizadores. | Capturados desde webs de proveedores, importados desde correo electrónico o introducidos manualmente. |
| Datos de documentos procesados por OCR | Datos contenidos en DNI, pasaporte, facturas, tarjetas de visita y tickets subidos por la agencia. | Facilitados por la agencia mediante subida de fichero. |
| Datos de uso e integraciones | Registros de acceso, eventos de la plataforma, historial de conversaciones con el asistente de IA y webhooks configurados. | Generados automáticamente por el uso de la plataforma. |
Campos libres y personalizados. CapData permite a las agencias crear campos libres para contactos, proveedores, reservas y grupos. No solicitamos ni requerimos que se introduzcan datos de categorías especiales (salud, religión, origen étnico, etc.) en dichos campos. Si la agencia decide introducirlos, actúa como responsable del tratamiento de esos datos y debe disponer de base legal suficiente e informar a sus viajeros. CapData aplica las mismas medidas de seguridad a todo el contenido de estos campos.
3. ¿Con qué finalidad tratamos sus datos, cuál es la base legal y durante cuánto tiempo?
| Finalidad | Datos tratados | Base legal | Plazo |
|---|---|---|---|
| Prestación del servicio SaaS de gestión de reservas | Todos los datos de la agencia, agentes y viajeros. | Art. 6.1.b RGPD — ejecución del contrato. | Vigencia del contrato y 5 años desde su finalización. |
| Gestión de accesos, autenticación y seguridad de la plataforma | Credenciales, registros de acceso y eventos de auditoría. | Art. 6.1.f RGPD — interés legítimo en la seguridad. | 2 años. |
| Facturación y gestión del contrato con la agencia | Datos de la agencia, CIF y datos de facturación. | Art. 6.1.b RGPD — ejecución del contrato. | 5 años (fiscales) / 6 años (mercantiles). |
| Extracción automatizada de reservas desde correo electrónico (con IA) | Contenido de los correos de reserva (asunto, cuerpo y adjuntos). | Art. 6.1.b RGPD — ejecución del contrato. Requiere activación previa por la agencia. | Los datos extraídos se conservan mientras la agencia los mantenga en su cuenta; la responsabilidad de conservación corresponde a la agencia. |
| OCR de documentos (DNI, pasaporte, facturas) | Datos contenidos en los documentos subidos por la agencia. | Art. 6.1.b RGPD — ejecución del contrato. La agencia sube el fichero voluntariamente. | Los datos extraídos se conservan mientras la agencia los mantenga en su cuenta y se eliminan cuando la agencia procede a su borrado. |
| Captura de reservas desde webs de proveedores (extensión de navegador) | Datos de reserva capturados en el navegador del agente. | Art. 6.1.b RGPD — ejecución del contrato. | Se conservan mientras la agencia los mantenga en su cuenta. |
| Análisis técnico del código de la página por la extensión | Código de la página web en la que opera la extensión, que puede contener datos personales visibles en ella. | Art. 6.1.f RGPD — interés legítimo técnico. | No se almacena en la plataforma: se transmite para su análisis y se descarta. |
| Chat con asistente de IA y base de conocimiento (RAG) | Contenido de las conversaciones y documentos indexados en la base de conocimiento. | Art. 6.1.b RGPD — ejecución del contrato. | Conversaciones: 2 años. Índices de la base de conocimiento: vigencia del asistente activo. |
| Envío automático de datos a sistemas de terceros (webhooks, CRM, ERP) | Datos de reservas y contactos, según la configuración de cada agencia. | Art. 6.1.b RGPD — instrucción de la agencia como responsable del tratamiento. | El envío es puntual; CapData no conserva copias adicionales. |
| Integraciones OAuth (Google Calendar, Gmail, Outlook) | Datos del calendario o del correo del usuario, según los permisos OAuth concedidos. | Art. 6.1.b RGPD — ejecución del contrato. El usuario activa la integración voluntariamente. | Vigencia de la integración activa. |
| Soporte técnico y gestión de incidencias | Datos de contacto, descripción de la incidencia y registros relevantes. | Art. 6.1.b RGPD — ejecución del contrato. | 2 años. |
4. Uso de inteligencia artificial
CapData integra funcionalidades de inteligencia artificial en determinados flujos de la plataforma: extracción de datos de reservas desde correo electrónico, reconocimiento óptico de caracteres (OCR), sugerencia de correspondencia de columnas en importaciones, análisis técnico del código de las páginas en las que opera la extensión y asistente de chat con base de conocimiento. Todos los resultados generados por la IA son revisables y editables por el agente antes de cualquier uso operativo o contractual.
Los proveedores de IA con los que opera CapData no utilizan los datos de los usuarios de la plataforma para entrenar sus modelos, conforme a los contratos de encargo del tratamiento suscritos, que incluyen cláusulas de no entrenamiento.
Los índices vectoriales de la base de conocimiento se almacenan en la propia infraestructura de CapData, dentro del Espacio Económico Europeo.
CapData no adopta ninguna decisión automatizada que produzca efectos jurídicos sobre los viajeros ni que les afecte de forma significativa (véase el apartado 7).
Para información completa sobre el funcionamiento del sistema de inteligencia artificial, los niveles de control humano, la clasificación regulatoria conforme al Reglamento (UE) 2024/1689 y las instrucciones de uso, las agencias usuarias pueden consultar el Canal de Información e Instrucciones de Uso del Sistema de IA, disponible dentro de la plataforma.
5. ¿Con quién compartimos sus datos?
DATACAPTURE SISTEMAS S.L. no vende ni cede datos personales a terceros con fines comerciales propios. Los datos pueden comunicarse a los siguientes destinatarios, siempre en el marco de la prestación del servicio.
5.1 Subencargados del tratamiento
| Subencargado | Sede | Actividad | Garantía para la transferencia |
|---|---|---|---|
| OpenAI, L.L.C. | EE. UU. | Extracción de reservas desde correo, estructuración de datos de OCR, generación de índices de la base de conocimiento, asistente de IA y análisis técnico del código de las páginas. | Cláusulas Contractuales Tipo + DPA con cláusula de no entrenamiento y retención cero (ZDR). |
| Google Cloud (Google LLC) | EE. UU. | Reconocimiento óptico de caracteres (OCR) de documentos. | Cláusulas Contractuales Tipo + DPA con Google Cloud. |
| SERED | España (EEE) | Alojamiento de la aplicación y de la base de datos. | Dentro del EEE. DPA firmado. |
| Stripe, Inc. | EE. UU. | Procesamiento de pagos y gestión de suscripciones. | Cláusulas Contractuales Tipo / Marco de Privacidad UE-EE. UU. (DPF). |
| Google LLC (Calendar / Gmail) | EE. UU. | Integración de calendario y correo, únicamente si el usuario activa la integración OAuth. | Cláusulas Contractuales Tipo / DPF. |
| Microsoft Corporation | EE. UU. | Integración de correo Outlook y autenticación multifactor, únicamente si el usuario activa la integración OAuth. | Cláusulas Contractuales Tipo / DPF. |
Con todos los subencargados anteriores existe un contrato de encargo del tratamiento (DPA) que garantiza el cumplimiento del RGPD y un nivel de protección adecuado.
5.2 Integraciones activadas por la agencia
Cuando la agencia configura integraciones con sistemas de terceros (CRM, ERP, sistemas de gestión de agencias, plataformas de visados y seguros, u otros sistemas mediante webhooks), los datos de reservas y contactos se envían al sistema que la propia agencia haya configurado. En estos casos:
- la agencia actúa como responsable del tratamiento respecto del sistema de destino;
- CapData actúa como encargado que ejecuta la instrucción de envío dada por la agencia;
- la agencia es responsable de que el sistema de destino cumpla con el RGPD y, si se encuentra fuera del EEE, de garantizar la existencia de garantías adecuadas para la transferencia internacional.
Ninguna integración transfiere datos hasta que la agencia introduce sus credenciales y la activa de forma expresa. El catálogo de integraciones disponibles está accesible dentro de la plataforma.
5.3 Acceso del administrador de la plataforma
El personal técnico de DATACAPTURE SISTEMAS S.L. dispone de un panel de administración desde el que puede acceder a información de las cuentas cliente con la finalidad exclusiva de prestar soporte técnico y administrar el servicio. Este acceso es inherente a la relación entre encargado y responsable del tratamiento, está recogido en el Contrato de Encargo del Tratamiento suscrito con cada agencia y está sujeto al deber de confidencialidad.
5.4 Administraciones públicas y obligaciones legales
CapData puede comunicar datos a Administraciones Públicas, Fuerzas y Cuerpos de Seguridad o autoridades judiciales cuando así lo exija la normativa aplicable o lo requiera una resolución judicial o administrativa.
6. Transferencias internacionales de datos
Determinados subencargados de CapData operan fuera del Espacio Económico Europeo, concretamente en Estados Unidos. Las transferencias a dichos proveedores se realizan con las siguientes garantías:
| Proveedor | Garantía aplicable | Garantías adicionales |
|---|---|---|
| OpenAI, L.L.C. | Cláusulas Contractuales Tipo adoptadas por la Comisión Europea (Decisión 2021/914) — art. 46.2.c RGPD. | DPA con cláusula de no utilización de datos para el entrenamiento de modelos y retención cero (ZDR): los datos no se conservan en la infraestructura del proveedor más allá del tiempo de procesamiento. |
| Google Cloud (OCR) | Cláusulas Contractuales Tipo (Decisión 2021/914) — art. 46.2.c RGPD. | DPA con Google Cloud. |
| Google LLC (Calendar, Gmail) y Microsoft Corporation (Outlook, doble factor) | Cláusulas Contractuales Tipo y Marco de Privacidad UE-EE. UU. (DPF) — art. 45 RGPD. | Solo aplica cuando el usuario activa voluntariamente la integración OAuth. |
| Stripe, Inc. | Cláusulas Contractuales Tipo y DPF — art. 45 RGPD. | Tratamiento exclusivamente para la gestión de pagos y suscripciones. |
La infraestructura principal de la plataforma (alojamiento y base de datos), así como los índices vectoriales de la base de conocimiento, se ubican en España, dentro del Espacio Económico Europeo.
7. ¿Tomamos decisiones automatizadas?
DATACAPTURE SISTEMAS S.L. no lleva a cabo decisiones basadas únicamente en el tratamiento automatizado de datos, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre las personas o que les afecten significativamente, en el sentido del artículo 22 del RGPD.
Las funcionalidades de inteligencia artificial de CapData tienen carácter exclusivamente asistivo:
- la extracción de datos de reservas desde correos o documentos se limita a estructurar y mover información de una reserva ya contratada entre sistemas de la agencia, y no determina si se presta o deniega ningún servicio al viajero;
- el asistente de chat responde consultas operativas de los agentes y no adopta ninguna decisión con efectos sobre los viajeros;
- el agente puede revisar, corregir y eliminar cualquier resultado generado por la IA antes de que se utilice en procesos comerciales, contractuales u operativos.
La agencia, como responsable del tratamiento de los datos de sus viajeros, es la única que puede adoptar decisiones con efectos sobre ellos.
8. Sus derechos en materia de protección de datos
Usted tiene derecho a obtener el acceso a sus datos personales, así como a solicitar la rectificación de los datos inexactos o, en su caso, su supresión cuando, entre otros motivos, los datos ya no sean necesarios para los fines para los que fueron recogidos. En determinadas circunstancias podrá solicitar la limitación del tratamiento, en cuyo caso únicamente conservaremos los datos para el ejercicio o la defensa de reclamaciones. Asimismo, por motivos relacionados con su situación particular, podrá oponerse al tratamiento de sus datos. Cuando sea técnicamente posible, podrá solicitar la portabilidad de sus datos a otro responsable del tratamiento.
Para ejercer estos derechos puede dirigirse por correo postal, adjuntando copia de un documento acreditativo de su identidad, a DATACAPTURE SISTEMAS S.L., Gremi Sabaters n.º 21, 2.ª planta B24, CP 07009, Palma de Mallorca, o al correo electrónico info@capdata.es.
8.1 ¿Quién puede ejercer estos derechos?
Los viajeros y clientes finales de las agencias que deseen ejercer sus derechos respecto de los datos gestionados en CapData deben dirigirse a la agencia correspondiente, que actúa como responsable del tratamiento de sus datos. La agencia trasladará la solicitud a CapData cuando resulte necesario.
Los titulares de agencias y los agentes usuarios de CapData pueden ejercer sus derechos directamente ante DATACAPTURE SISTEMAS S.L. a través de los medios indicados en el apartado 11.
8.2 Plazos de respuesta
Respondemos a las solicitudes de ejercicio de derechos en el plazo máximo de un mes desde su recepción. En casos complejos, el plazo puede ampliarse hasta tres meses, previa notificación al interesado.
8.3 Reclamación ante la AEPD
Si considera que el tratamiento de sus datos personales no se ajusta a la normativa aplicable, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), autoridad de control competente en España: www.aepd.es — C/ Jorge Juan, 6, 28001 Madrid — Teléfono: 901 100 099 / 91 266 35 17.
9. Seguridad de la información
Disponemos de medidas de seguridad técnicas y organizativas adecuadas para proteger los datos personales contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, asegurando su integridad y confidencialidad. Estas medidas permiten garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de incidente físico o técnico; y verificar, evaluar y valorar de forma regular su eficacia.
Entre otras, se aplican las siguientes medidas: cifrado de las comunicaciones en tránsito; autenticación reforzada con doble factor; almacenamiento de contraseñas mediante función de derivación de clave con sal, resistente a ataques de fuerza bruta; aislamiento de los datos de cada organización, con verificación en cada operación; permisos granulares bajo el principio de mínimo privilegio; protección frente a inyección, XSS y CSRF; validación de tipo y tamaño en las subidas de ficheros; gestión de credenciales fuera del código fuente; autenticación y validación de los webhooks; y registro de auditoría de accesos y operaciones sensibles.
Estas medidas han sido diseñadas teniendo en cuenta nuestra infraestructura, el estado de la técnica, el coste de aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que este entraña.
En caso de producirse una violación de seguridad que pueda entrañar un riesgo para los derechos y libertades de los interesados, DATACAPTURE SISTEMAS S.L. la notificará a la AEPD en el plazo máximo de 72 horas desde que tenga conocimiento de ella, conforme al artículo 33 del RGPD, y la comunicará a las agencias afectadas en el plazo máximo de 48 horas para que estas puedan cumplir sus propias obligaciones de notificación.
10. Cambios en esta política
DATACAPTURE SISTEMAS S.L. puede actualizar esta política de privacidad para reflejar cambios en las funcionalidades de la plataforma, en la normativa aplicable o en las prácticas de tratamiento de datos. Cuando los cambios sean significativos, informaremos a los usuarios registrados por correo electrónico o mediante aviso en la propia plataforma con al menos 30 días de antelación. Le recomendamos revisar periódicamente esta política.
11. Contacto y ejercicio de derechos
Correo electrónico: info@capdata.es
Delegado de Protección de Datos: Protecmir — protecmirlegal@protecmir.com
Dirección postal: DATACAPTURE SISTEMAS S.L. — Gremi Sabaters n.º 21, 2.ª planta B24, CP 07009, Palma de Mallorca (A/A: Delegado de Protección de Datos)
Web: https://capdata.es