Política de privacidad

1. Responsable del tratamiento

• Identidad: CASMAR TECH, S.L., NIF B70962675
• Domicilio: C/ del Carme 79, 2n 3a, 17004 Girona, España
• Contacto de privacidad: admin@tropsai.com

Casmar no está obligada a designar un delegado de protección de datos. Las solicitudes relacionadas con esta política se atienden en el correo indicado.

2. Dos papeles: responsable y encargado

Casmar es responsable del tratamiento de los datos de los visitantes de la web, de las personas que solicitan una demostración o contactan con nosotros y de los usuarios que tienen cuenta en la plataforma (agentes y administradores de las agencias cliente).

Casmar es encargada del tratamiento de los datos que las agencias cliente introducen o conectan a la plataforma: correos electrónicos de sus buzones, viajeros, reservas, expedientes y reclamaciones. De esos datos es responsable la agencia, que decide los fines y los medios; Casmar los trata siguiendo sus instrucciones y un contrato de encargo (artículo 28 RGPD). Si usted es viajero o cliente de una agencia que usa TropsAI, diríjase a su agencia para ejercer sus derechos; Casmar le ayudará a responder.

3. Qué datos tratamos y con qué fin

Los números de tarjeta de pago que lleguen por correo se enmascaran en el momento de la lectura: la plataforma no conserva números completos de tarjeta.

4. Inteligencia artificial

TropsAI usa modelos de lenguaje para leer los correos de viaje, extraer la petición y redactar un borrador de respuesta con precios reales de los proveedores. Ningún borrador se envía sin que una persona de la agencia lo revise y lo apruebe. La plataforma no toma decisiones automatizadas con efectos jurídicos sobre las personas (artículo 22 RGPD). Los proveedores de modelos que usamos no emplean los datos enviados por API para entrenar sus modelos (ver sección 6).

5. Integración con Google (Gmail API): divulgación de uso limitado

Cuando una agencia conecta un buzón de Gmail, TropsAI usa los permisos gmail.readonly, gmail.send, gmail.modify y userinfo.email para leer los correos de viaje, enviar las respuestas que la agencia aprueba, marcar correos como procesados e identificar la cuenta. El uso y la transferencia de la información recibida de las API de Google cumplen la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado: solo usamos los datos de Gmail para prestar funciones visibles al usuario, no los transferimos a terceros salvo para prestar el servicio o cumplir la ley, no los usamos para publicidad y ninguna persona los lee salvo con consentimiento del usuario, por seguridad o por obligación legal.

6. Destinatarios y encargados

No vendemos datos personales. Los datos se comunican a los proveedores que necesitamos para prestar el servicio (encargados o subencargados), con contrato de encargo y las garantías que se indican:

Las reservas se envían además a los proveedores de viaje que la agencia elige (aerolíneas, hoteles, operadores ferroviarios y de autobús), que actúan como responsables independientes. También podemos comunicar datos a autoridades cuando la ley lo exija.

7. Transferencias internacionales

Los datos se almacenan en la Unión Europea (Irlanda y Países Bajos). Algunos proveedores de inteligencia artificial y de correo tratan datos en Estados Unidos. Esas transferencias se amparan en la Decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado y, en todo caso, en las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914). Puede pedir una copia de las garantías en el correo de contacto.

8. Plazos de conservación

• Correos y adjuntos de buzones conectados: hasta 24 meses desde su recepción, salvo que la agencia indique un plazo distinto. Al desconectar un buzón dejamos de leerlo.
• Trazas técnicas del copiloto (registros de las llamadas a modelos): hasta 6 meses.
• Cuentas de usuario: mientras la cuenta esté activa y hasta 12 meses después de su baja.
• Expedientes, reservas y reclamaciones: durante la relación con la agencia y los plazos que la agencia fije; los datos necesarios para facturación se conservan 6 años (Código de Comercio).
• Contactos comerciales y solicitudes de demostración: hasta 24 meses desde el último contacto.
• Copias de seguridad: se sobrescriben de forma rotatoria; un dato borrado desaparece de las copias en un máximo de 30 días.

9. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo: cifrado en tránsito (TLS) y en reposo, cifrado específico de las credenciales de los buzones conectados, control de acceso por organización y rol con seguridad a nivel de fila en la base de datos, registro de accesos, enmascarado de números de tarjeta, copias de seguridad diarias y un procedimiento de gestión de brechas con notificación a la autoridad de control en 72 horas cuando proceda.

10. Sus derechos

Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar el consentimiento en cualquier momento, escribiendo a admin@tropsai.com e identificándose. Respondemos en el plazo de un mes. Si considera que el tratamiento no se ajusta a la normativa, puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Si sus datos los trata TropsAI por cuenta de una agencia de viajes, la responsable es la agencia: puede dirigirse a ella o a nosotros, y trasladaremos la solicitud.

11. Cambios en esta política

Publicaremos aquí cualquier cambio y actualizaremos la fecha de la cabecera. Si el cambio afecta a los derechos de los usuarios de la plataforma, se lo comunicaremos también a las agencias cliente.