Avís de Privadesa

1. Responsable del Tractament

El responsable del tractament de les dades personals tractades en relació amb la plataforma Taplany (el "Servei") és:

Albert Sabaté Martínez @ Taplany Carrer Gretel Ammann Martinez, 12 08020 Barcelona, Catalunya NIF: ES47986151D Correu electrònic: hello@taplany.com

Quan Taplany actua com a encarregat del tractament per compte d'una organització client (una agència de viatges que utilitza el Servei per gestionar les dades dels seus viatgers finals), l'organització client és el responsable del tractament i Taplany l'encarregat. Els termes d'aquesta relació es regeixen per l'Acord de Tractament de Dades (DPA) subscrit entre Taplany i l'organització client.

2. Àmbit d'aplicació

Aquest Avís de Privadesa descriu com Taplany recull, utilitza, comunica i protegeix les dades personals de:

Visitants del lloc web comercial taplany.com
Titulars de compte i usuaris autoritzats de les organitzacions client que utilitzen el Servei
Persones que es posen en contacte amb nosaltres a través de formularis, correu electrònic o altres canals

Per a les dades personals dels viatgers finals gestionades per les organitzacions client a través del Servei, consulta l'avís de privadesa de l'agència de viatges corresponent (responsable del tractament d'aquestes dades). Taplany tracta aquestes dades únicament seguint les instruccions documentades de l'organització client, conforme al DPA.

3. Informació que Recollim

Informació que tu ens proporciones

Informació del compte: nom, adreça de correu electrònic, número de telèfon, funció dins de la teva organització, organització ocupadora, contrasenya (emmagatzemada en format hash)
Informació de facturació: denominació social, adreça fiscal, número d'identificació fiscal, dades del mitjà de pagament (processades per Stripe; no emmagatzemem números complets de targeta)
Comunicacions: el contingut de la teva correspondència amb nosaltres per correu electrònic, sol·licituds de suport, formularis de contacte, sol·licituds de demostració i comentaris
Contingut que carregues: qualsevol dada, fitxer, imatge o text que enviïs al Servei en l'exercici de l'operativa de la teva agència de viatges

Informació recollida automàticament

Dades d'ús: pàgines visitades, funcions utilitzades, clics, durada de la sessió, URL de procedència
Dades de dispositiu i connexió: adreça IP, tipus i versió de navegador, sistema operatiu, identificadors de dispositiu, idioma i fus horari
Dades de registre: registres del servidor, informes d'errors, identificadors de petició
Cookies i tecnologies similars: consulta la nostra Política de Cookies

Informació procedent de tercers

Proveïdors d'identitat: si inicies sessió a través d'un proveïdor d'identitat federada, rebem informació bàsica de perfil (nom, correu electrònic, avatar)
Meta WhatsApp Business: si la teva organització connecta un compte de WhatsApp Business, rebem les metadades de negoci i de missatges necessàries per operar la integració
Processador de pagaments: Stripe ens facilita la confirmació de l'estat del pagament, els quatre últims dígits de la targeta i el país d'emissió

4. Base Jurídica del Tractament

D'acord amb el Reglament General de Protecció de Dades (Reglament (UE) 2016/679, "RGPD") i la Llei Orgànica 3/2018 de Protecció de Dades Personals i garantia dels drets digitals ("LOPDGDD"), tractem les dades personals sobre les bases jurídiques següents:

Execució d'un contracte (art. 6.1.b RGPD): per prestar el Servei a tu o a la teva organització, gestionar el teu compte i processar pagaments
Compliment d'una obligació legal (art. 6.1.c RGPD): per complir amb la normativa fiscal, comptable, de prevenció del blanqueig de capitals i de protecció dels consumidors aplicable
Interès legítim (art. 6.1.f RGPD): per operar, assegurar i millorar el Servei; prevenir el frau i l'abús; comunicar-nos amb tu en relació amb el Servei; i defensar els nostres drets legals
Consentiment (art. 6.1.a RGPD): per a cookies no essencials, comunicacions de màrqueting i altres tractaments opcionals

5. Com Utilitzem la Teva Informació

Utilitzem les dades personals per a:

Prestar, operar i mantenir el Servei
Autenticar els usuaris i administrar els comptes
Processar els pagaments de la subscripció i emetre factures
Enviar comunicacions transaccionals (canvis de compte, facturació, alertes de seguretat, anuncis del Servei)
Prestar suport i atendre consultes
Supervisar el rendiment, depurar errors i millorar el Servei
Detectar, prevenir i abordar fraus, abusos i incidents de seguretat
Complir amb obligacions legals i atendre requeriments legítims de les autoritats públiques
Enviar comunicacions de màrqueting sobre les funcionalitats i ofertes de Taplany, quan hagis consentit o quan la llei ho permeti (pots oposar-te en qualsevol moment)

6. Rols: Responsable vs. Encarregat

Tractem les dades personals en dues qualitats diferents:

Com a responsable de: credencials i perfils dels usuaris autoritzats, registres de facturació i impostos, analítica del lloc web comercial, comunicacions de màrqueting, correspondència de suport i registres de seguretat
Com a encarregat del tractament de: dades personals pujades al Servei per les organitzacions client sobre els seus clients finals (p. ex. noms de viatgers, dades de contacte, preferències de viatge, dades de passaport, dades de pagament, comunicacions). Taplany tracta aquestes dades exclusivament d'acord amb les instruccions documentades de l'organització client, en els termes previstos en el DPA. L'organització client és la responsable del tractament i li correspon facilitar l'avís de privadesa als seus viatgers finals

7. Encarregats Addicionals i Comunicacions

Només compartim dades personals amb:

Encarregats que actuen per compte nostre, en virtut de contractes escrits que compleixen els requisits de l'art. 28 RGPD. La llista actual d'encarregats inclou:
- Cloudflare, Inc. (EUA) — distribució de contingut, edge compute, emmagatzematge d'objectes R2, protecció DDoS
- Xata.io (EUA) — allotjament gestionat de base de dades PostgreSQL
- Stripe, Inc. (EUA/IE) — processament de pagaments
- Resend, Inc. (EUA) — enviament de correu electrònic transaccional
- Anthropic PBC (EUA) — funcionalitats d'IA generativa (no s'utilitzen dades personals per entrenar models d'Anthropic)
- Sentry (Functional Software, Inc., EUA) — supervisió d'errors
- Mixpanel, Inc. (EUA) — analítica de producte
- Google Ireland Limited (IE) — Google Analytics per al lloc web comercial
- Meta Platforms Ireland Limited (IE) — WhatsApp Business API i píxel de Meta
Assessors professionals (advocats, assessors fiscals, auditors) subjectes a deure de confidencialitat
Autoritats públiques quan la llei ho exigeixi, per ordre judicial, o per a la defensa de drets
Successors legals en cas de fusió, adquisició o venda d'actius, subjecte a compromisos equivalents de protecció de dades

No venem, lloguem ni cedim dades personals amb finalitats comercials.

8. Transferències Internacionals

Alguns dels nostres encarregats estan establerts en països situats fora de l'Espai Econòmic Europeu (EEE), principalment als Estats Units. Quan les dades personals es transfereixen fora de l'EEE, ens basem en les garanties adequades del Capítol V del RGPD, entre les quals:

Decisions d'adequació de la Comissió Europea (p. ex. el Marc UE–EUA de Privadesa de Dades quan s'escaigui)
Clàusules Contractuals Tipus de la UE (Decisió (UE) 2021/914)
Mesures tècniques i organitzatives complementàries quan ho exigeixi la sentència Schrems II

Pots sol·licitar una còpia del mecanisme de transferència aplicable.

9. Conservació de les Dades

Conservem les dades personals únicament durant el temps necessari per als fins descrits en aquest avís, i en cap cas per més temps que:

Dades de compte: durant la vigència de la subscripció i fins a 12 mesos després del tancament del compte, llevat que la llei exigeixi un termini superior
Registres de facturació i impostos: 6 anys, conforme a la Llei General Tributària (Llei 58/2003) i al Codi de Comerç (Reial decret de 22 d'agost de 1885)
Correspondència de suport i contacte: fins a 3 anys des de l'última interacció
Analítica del lloc web comercial: segons la configuració de l'eina corresponent, normalment entre 14 i 26 mesos
Registres de seguretat: fins a 12 mesos

Quan les dades personals ja no són necessàries, se suprimeixen o s'anonimitzen de forma irreversible.

10. Els Teus Drets en virtut del RGPD

T'assisteixen els drets següents sobre les teves dades personals:

Dret d'accés (art. 15): obtenir una còpia de les dades personals que tenim sobre tu
Dret de rectificació (art. 16): que es rectifiquin les dades inexactes o incompletes
Dret de supressió (art. 17): sol·licitar la supressió, amb subjecció a les obligacions legals de conservació
Dret a la limitació del tractament (art. 18): en els supòsits previstos al RGPD
Dret a la portabilitat de les dades (art. 20): rebre les teves dades en un format estructurat, d'ús comú i de lectura mecànica
Dret d'oposició (art. 21): oposar-te al tractament basat en l'interès legítim i, en qualsevol moment, al tractament amb fins de màrqueting directe
Dret a retirar el consentiment (art. 7.3): en qualsevol moment, sense que afecti la licitud del tractament previ a la retirada
Dret a no ser objecte de decisions automatitzades (art. 22): Taplany no adopta decisions que produeixin efectes jurídics o similars basades exclusivament en un tractament automatitzat

Per exercir qualsevol d'aquests drets, escriu-nos a hello@taplany.com des de l'adreça de correu electrònic associada al teu compte, indicant a l'assumpte "Sol·licitud de Drets de l'Interessat". Respondrem en el termini d'un mes, prorrogable per dos mesos addicionals en cas de sol·licituds complexes, conforme a l'art. 12.3 RGPD. Si ets un viatger final les dades del qual estan en possessió d'una organització client, adreça la teva sol·licitud directament a aquesta organització (responsable del tractament); assistirem el responsable segons el que preveu el DPA.

11. Seguretat

Implementem mesures tècniques i organitzatives adequades per protegir les dades personals, conforme a l'art. 32 RGPD, entre les quals:

Xifrat TLS en trànsit i xifrat AES en repòs
Seguretat a nivell de fila (RLS) i aïllament per tenant a la capa de base de dades
Control d'accés basat en rols amb principi de mínim privilegi
Registre d'auditoria i monitoratge de seguretat
Revisions periòdiques de dependències, vulnerabilitats i accessos
Procediments de resposta a incidents i notificació de bretxes en 72 hores conforme a l'art. 33 RGPD

12. Cookies i Tecnologies Similars

El Servei i el lloc web comercial utilitzen cookies i tecnologies similars. Consulta la nostra Política de Cookies per conèixer les cookies que utilitzem, la seva finalitat, durada i com gestionar les teves preferències.

13. Privadesa dels Menors

El Servei és un producte B2B destinat a agències de viatges professionals i al seu personal autoritzat. No s'adreça a menors de 16 anys i no recollim conscientment dades personals de menors. Si tenim coneixement d'haver-les recollit sense el consentiment parental verificable, les suprimirem sense demora.

14. Reclamacions

Si consideres que el tractament de les teves dades personals infringeix el RGPD o la normativa espanyola de protecció de dades, pots presentar una reclamació davant l'Agència Espanyola de Protecció de Dades:

Agencia Española de Protección de Datos (AEPD) C/ Jorge Juan, 6 28001 Madrid, Espanya Web: www.aepd.es

També pots presentar una reclamació davant l'autoritat de control del país de l'EEE on resideixis.

15. Modificacions d'aquest Avís

Podem actualitzar aquest Avís de Privadesa per reflectir canvis en les nostres pràctiques, en la tecnologia o en la normativa aplicable. La data d'"Última actualització" indicada al principi d'aquest document mostra quan van entrar en vigor les últimes modificacions. Comunicarem els canvis substancials per correu electrònic o a través del Servei.

16. Contacte

Per a qualsevol qüestió relativa a aquest Avís de Privadesa o al tractament de les teves dades personals, contacta amb nosaltres a:

Albert Sabaté Martínez @ Taplany Carrer Gretel Ammann Martinez, 12 08020 Barcelona, Catalunya Correu electrònic: hello@taplany.com