Privacidad — awayly

Quién es el responsable

El responsable del tratamiento de los datos de la app Awayly y de awayly.co es Awayly. Para cualquier cuestión de privacidad escribe a privacy@awayly.co.

Qué datos tratamos

Cuenta: email, nombre visible, idioma e identificador interno. Los das tú al entrar con tu email, con Google o con Apple. Con Apple puedes ocultar tu email; entonces recibimos una dirección de reenvío de Apple.
Contenido de tus viajes: viajes, miembros, propuestas, votos, actividades, datos de reservas que escribes, gastos y liquidaciones. Los añadís tú y las personas de tus viajes.
Fotos del viaje: las fotos que subes al álbum, su miniatura, el día del viaje al que pertenecen y quién la subió. Antes de guardarlas quitamos la ubicación GPS y los demás metadatos (EXIF, XMP, IPTC).
Peticiones a la IA: lo que pides en «Planear con IA» y las propuestas que devuelve, con sus fuentes.
Preferencias privadas: límites o restricciones que marcas en privado. El resto del grupo solo ve agregados de al menos 3 respuestas.
Dispositivo: identificador de instalación, plataforma, versión de la app y el token para enviarte avisos.
Uso y diagnóstico: eventos de funcionamiento (por ejemplo, «decisión creada» o «error al sincronizar»), pantalla, plataforma, versión y un código de error, vinculados a tu cuenta. No incluyen el contenido de tus viajes, importes, direcciones ni mensajes.
Importación y tickets: el texto, archivo .txt, PDF o imagen que eliges importar. No guardamos el documento original.
Compras: si en el futuro compras un pase, los identificadores de la transacción y del producto, su estado y los reembolsos. No recibimos los datos de tu tarjeta.
Reportes: al reportar una propuesta o respuesta de la IA o una foto, qué reportas (su referencia y el viaje), el motivo, la nota que escribas y la fecha. Solo los ve el equipo de Awayly; nadie del viaje sabe quién reportó.
Soporte: lo que nos escribes por email.

Usamos la cámara y tus fotos solo cuando eliges hacer o añadir una foto o leer un ticket. No usamos la ubicación de tu dispositivo, tus contactos ni tu micrófono, no accedemos a tu buzón de correo y no importamos documentos automáticamente.

Si pides llevar planes al calendario del móvil, la app escribe en él los planes que eliges y solo modifica o borra después los eventos que ella misma creó. Esos datos se quedan en tu dispositivo y en la cuenta de calendario que uses; no leemos ni enviamos tus otros eventos.

Para qué los usamos y con qué base legal

Crear tu cuenta, prestar el servicio y sincronizar los viajes del grupo: ejecución del contrato (art. 6.1.b RGPD).
Guardar el álbum del viaje y compartirlo con un enlace cuando lo pides: ejecución del contrato.
Proponer planes, alojamiento, vuelos o el viaje completo con «Planear con IA» cuando lo pides: ejecución del contrato. Además, antes de la primera consulta la app explica qué se envía a OpenAI y te pide permiso expreso; si no aceptas, no se envía nada.
Importar reservas o leer tickets cuando lo pides: ejecución del contrato. Antes de enviar, la app te indica que el contenido se enviará a OpenAI.
Enviarte avisos del viaje (votaciones, plan, gastos): ejecución del contrato. Puedes desactivarlos en los ajustes de tu teléfono.
Gestionar compras, recuperaciones y reembolsos, cuando el pase esté a la venta: ejecución del contrato y obligaciones legales (art. 6.1.c RGPD).
Seguridad, prevención de abusos y control de costes (límites de uso y verificación antibots): interés legítimo en proteger el servicio (art. 6.1.f RGPD).
Revisar los reportes de contenido y retirar o corregir lo que incumpla las condiciones: interés legítimo en mantener un servicio seguro (art. 6.1.f RGPD).
Estadísticas mínimas de uso y diagnóstico de errores: interés legítimo en mantener y mejorar la app (art. 6.1.f RGPD).

No vendemos tus datos, no los usamos para publicidad y no usamos el contenido de tus viajes para marketing. La app no tiene anuncios.

Qué recibe la IA

Para que las propuestas encajen, junto a tu petición se envía a OpenAI el contexto del viaje: su nombre, destinos, alojamiento y fechas, zona horaria, idioma, las actividades del plan, las votaciones y las reservas (sin localizadores, enlaces, gastos ni fotos), y cuántas personas sois con las fechas de llegada y salida de cada una. Los nombres de las personas no se envían: cada una aparece como «persona 1», «persona 2», etc.

Cuando la IA busca en la web (vuelos, alojamiento o el viaje completo) solo se envía cuántas personas sois; OpenAI hace la búsqueda y devuelve las fuentes, que la app muestra con cada propuesta. Nada se añade al plan sin que lo confirméis.

Pedimos a OpenAI que no guarde las respuestas. Según sus condiciones para la API, OpenAI no usa estos datos para entrenar sus modelos y puede conservarlos hasta 30 días para detectar abusos.

Álbum compartido y enlaces cortos

«Compartir» en el álbum crea un enlace awayly.co/a/… que caduca a las 72 horas. Cualquiera que lo tenga puede ver y descargar las fotos del viaje mientras dure, sin necesidad de cuenta. Las fotos se sirven con direcciones firmadas que caducan en una hora y solo guardamos una huella del código del enlace, no el código.

Las invitaciones (awayly.co/i/…) y las votaciones compartidas (awayly.co/d/…) usan enlaces cortos. Quien recibe una invitación ve el nombre del viaje antes de entrar; para unirse necesita una cuenta.

Con quién los compartimos

Solo con proveedores que los tratan por nuestra cuenta y únicamente para prestarnos su servicio:

Supabase: base de datos, autenticación, archivos (fotos) y funciones del servidor. Unión Europea (Irlanda).
OpenAI: «Planear con IA», incluida la búsqueda en la web, y leer el texto, el PDF o la imagen que eliges importar. Estados Unidos.
RevenueCat: confirmar y recuperar compras, cuando el pase esté a la venta. Estados Unidos.
Expo, Google Firebase Cloud Messaging y Apple Push Notification service: entregar los avisos en tu dispositivo. Estados Unidos.
Cloudflare: servir awayly.co, la verificación antibots (Turnstile) y el reenvío del correo de awayly.co. Red global.
Resend: enviarte el enlace para entrar y avisar a nuestro equipo de cada reporte (sin la nota ni quién reporta). Estados Unidos.
Google y Apple: iniciar sesión con su cuenta, si lo eliges, y la descarga de la app y los pagos en sus tiendas, según sus propias condiciones.

Cuando un proveedor trata datos fuera del Espacio Económico Europeo, ese envío de datos se ampara en el Marco de Privacidad de Datos UE-EE. UU., si el proveedor está adherido, o en las cláusulas contractuales tipo de la Comisión Europea.

Las personas de tus viajes ven lo que compartes en esos viajes: tu nombre, tus votos (solo en recuento mientras la votación está abierta), actividades, gastos y las fotos que subes al álbum.

Cuánto tiempo los conservamos

Cuenta y contenido de los viajes: mientras tengas la cuenta.
Fotos del álbum: hasta 12 meses después de que termine el viaje, o hasta que las borres tú o se borre el viaje. Te avisamos antes de borrarlas.
Conversaciones con la IA: hasta 90 días después de que termine el viaje.
Enlaces del álbum: caducan a las 72 horas.
Eventos de uso y diagnóstico: 30 días.
Registro de seguridad (por ejemplo, quién creó un enlace): 12 meses.
Reportes de contenido: hasta que se borre tu cuenta o el viaje al que pertenecen.
Si fusionas dos cuentas, la fusión puede deshacerse durante 30 días.
Al eliminar la cuenta se borran tu identidad, tus dispositivos y tus eventos de uso. Los importes y movimientos necesarios para que las cuentas del grupo cuadren se conservan sin tu identidad.
Datos de compras: durante los plazos que exijan las obligaciones legales, fiscales y contables.

Tus derechos

Puedes pedir acceso, rectificación, supresión, oposición, limitación y portabilidad de tus datos, y retirar un permiso que hayas dado, escribiendo a privacy@awayly.co. En la app tienes además:

Ajustes → Exportar mis datos, para descargar lo que guardamos de tu cuenta.
Ajustes → Eliminar mi cuenta, para borrarla (también en awayly.co/eliminar-cuenta).

Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Menores

Awayly no está dirigida a menores de 18 años y no recogemos a sabiendas datos de menores. Si crees que un menor nos ha dado datos, escríbenos y los borraremos.

Seguridad

Las comunicaciones van cifradas (HTTPS). El acceso a los datos está limitado por viaje y por miembro en la base de datos. Las fotos se procesan en el servidor para quitar la ubicación y otros metadatos antes de guardarlas, y solo se entregan con direcciones firmadas que caducan.

Cambios

Si cambiamos esta política de forma relevante, te avisaremos en la app antes de que el cambio se aplique.