Anexo de tratamiento de datos

Alcance y funciones

El cliente es el responsable del tratamiento de los datos personales de los viajeros que agrega a GroupArrivals. GroupArrivals es el encargado del tratamiento y trata esos datos solo para prestar el servicio.

Detalles del tratamiento

Objeto: seguimiento de los vuelos de los viajeros, check-in en aeropuertos, tableros y alertas. Duración: la vigencia del acuerdo, más el período de conservación indicado abajo. Interesados: los viajeros de los grupos del cliente. Datos: nombres y, de forma opcional, email, teléfono, subgrupo, notas, números de vuelo y fechas, y horas de check-in. El servicio no requiere datos de categorías especiales. El cliente no debe agregarlos.

Instrucciones

GroupArrivals trata los datos solo según las instrucciones documentadas del cliente, que son el acuerdo y el uso que el cliente hace de la configuración de la app. Avisaremos al cliente si creemos que una instrucción infringe la ley de protección de datos.

Confidencialidad

Todas las personas de GroupArrivals con acceso a datos del cliente están obligadas a mantener la confidencialidad.

Medidas de seguridad

Cifrado en tránsito y en reposo. Separación de los datos de cada espacio de trabajo aplicada en la base de datos. Tokens con hash para los enlaces públicos, PIN opcionales y la posibilidad de revocar enlaces. Acceso del personal solo cuando hace falta para dar soporte al cliente. Copias de seguridad diarias de nuestro proveedor de base de datos. Ningún nombre de viajero se envía a los proveedores de datos de vuelos.

Subencargados

El cliente autoriza a los subencargados que aparecen en la Política de privacidad: Supabase, Vercel, Resend, Stripe y FlightAware. GroupArrivals avisará antes de agregar o reemplazar un subencargado que trate datos de viajeros, y el cliente podrá oponerse por motivos razonables. Cada subencargado está obligado por términos de protección de datos al menos tan protectores como estos.

Asistencia y solicitudes

GroupArrivals ayudará al cliente a responder las solicitudes de los viajeros para acceder, corregir o borrar sus datos, sobre todo con las herramientas de la propia app, y le enviará cualquier solicitud que reciba directamente.

Violaciones de datos personales

GroupArrivals notificará al cliente sin demora indebida, y en un plazo de 72 horas cuando sea posible, después de tener conocimiento de una violación de datos personales que afecte los datos del cliente, con la información que el cliente necesita para cumplir sus propias obligaciones.

Borrado y devolución

Los datos personales de los viajeros se borran automáticamente 60 días después del último día de un grupo, o antes si el cliente lo pide o cuando se borra el espacio de trabajo. El cliente puede exportar un grupo como CSV antes del borrado. Las copias de seguridad se sobrescriben en su ciclo normal.

Transferencias internacionales

Los datos se tratan en Estados Unidos. Para transferencias desde el Espacio Económico Europeo, el Reino Unido o Suiza, las partes se basan en las Cláusulas Contractuales Tipo de la UE (módulo de responsable a encargado) y sus anexos para el Reino Unido y Suiza, que se incorporan por referencia.

Información y auditorías

GroupArrivals pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este anexo y responderá las preguntas razonables por escrito del cliente sobre su seguridad.