Política de Privacidad

1. Quiénes somos

DivePilot es un producto de AskAnything GmbH, Zugerstrasse 6, CH-6330 Cham, Suiza ("nosotros", "nuestro"). Nuestra plataforma es accesible en my.divepilot.app y nuestra web de marketing en divepilot.app.

Para los datos sobre tu propio centro de buceo y sobre las personas que inician sesión en él, como los datos de la cuenta y de facturación, actuamos como responsables del tratamiento. Para los datos personales que los centros de buceo guardan sobre sus clientes (huéspedes, alumnos y buceadores) y sobre el trabajo de su propio personal, como la planificación, las ausencias y la retribución, el centro de buceo es el responsable y nosotros tratamos esos datos por cuenta del centro como encargados del tratamiento, tal y como se establece en nuestros Términos del Servicio.

Para cualquier asunto relacionado con la privacidad, puedes contactarnos en privacy@divepilot.app.

2. Datos que recogemos

Recogemos las siguientes categorías de datos:

• Datos de la cuenta: nombre, dirección de correo, contraseña (con hash), rol y permisos, preferencias de idioma y de visualización, y marca de tiempo del último acceso de los usuarios del personal.
• Datos laborales del personal: cuando un centro de buceo utiliza la planificación y las nóminas, los turnos, las ausencias (incluidas las bajas por enfermedad), los ajustes de retribución y las ganancias que registra de su personal.
• Datos del centro de buceo: nombre comercial, correo, país, zona horaria, moneda y estado de la suscripción.
• Datos de clientes: nombre, apellidos, correo, teléfono, fecha de nacimiento, nacionalidad, sexo, idioma, dirección, número de pasaporte, titulaciones y sus números, historial de inmersiones, tallas de equipo y lastre, preferencias alimentarias y notas médicas, introducidos por el personal del centro de buceo o por los propios clientes mediante el formulario de autorregistro o un enlace temporal que el centro de buceo les envía para revisar y actualizar sus datos. Un huésped que reserva en línea también puede introducir los datos de las personas para las que reserva, como familiares o amigos, y un correo electrónico opcional para cada una; el centro de buceo conserva esos datos como los de cualquier otro cliente. También registramos cuándo aceptó un cliente el aviso de privacidad y qué versión aceptó, los cambios que los clientes hacen a través de ese enlace, y qué miembro del personal verificó o rechazó una titulación y cuándo.
• Datos de exenciones y de salud: cuando un cliente firma una exención digital, guardamos el documento firmado, la firma, el nombre completo, la marca de tiempo, la dirección IP y la información del navegador como prueba legal de la firma. El padre, la madre o el tutor legal puede firmar en nombre de un menor. Cuando una exención incluye un cuestionario médico, las respuestas del cliente se guardan como datos de salud junto al registro de la firma y solo son visibles para el centro de buceo responsable.
• Datos de reservas y salidas: registros de reservas, incluidas las horas de check-in, calendarios de salidas en barco, asignaciones a grupos de buceo, alquileres, asistencia a cursos, información de los participantes, registros de inmersión y fotos de las listas de control en papel de las salidas que sube el centro de buceo.
• Datos de pago: los pagos de la suscripción los procesa Stripe. Para mostrarte tu estado de facturación y tu historial de pagos, guardamos en nuestros servidores resúmenes de facturas y metadatos del método de pago (marca de la tarjeta, últimos cuatro dígitos y fecha de caducidad). Los números completos de tarjeta y las credenciales de pago nunca llegan a nuestros servidores - los custodia exclusivamente Stripe.
• Datos de uso: registros del servidor de peticiones, errores y eventos de seguridad, que incluyen qué usuario con sesión iniciada hizo una petición y cuándo, usados con fines de seguridad y depuración. Nuestros servidores web registran además la dirección IP de cada petición.

3. Cómo usamos tus datos

Usamos los datos que recogemos para:

• Prestar, operar y mantener la plataforma DivePilot
• Procesar los pagos de la suscripción a través de Stripe
• Enviar correos transaccionales al personal (verificación de cuenta, restablecimiento de contraseña, enlaces de invitación, avisos de nuevos registros, recordatorios diarios) y al titular de la cuenta sobre la suscripción (fin del periodo de prueba, renovación, pagos fallidos o pendientes, disputas de pago, cancelación y avisos de bloqueo de la cuenta) y, en nombre del centro de buceo, correos a sus clientes (reserva recibida, confirmada, modificada o cancelada, con un archivo de calendario y un código de check-in; confirmaciones de registro; enlaces para firmar exenciones; enlaces para revisar sus datos; recordatorios de datos pendientes antes de una inmersión; registros de inmersión compartidos)
• Responder a las solicitudes de soporte
• Supervisar la seguridad, prevenir el fraude y mantener la estabilidad de la plataforma
• Cumplir con las obligaciones legales

No usamos tus datos para publicidad, elaboración de perfiles ni ningún fin más allá de operar el servicio.

4. Base jurídica del tratamiento

Tratamos los datos personales sobre las siguientes bases jurídicas del RGPD:

• Ejecución del contrato: para prestar el servicio que has contratado.
• Intereses legítimos: para la supervisión de la seguridad, la prevención del fraude y la mejora del servicio.
• Obligación legal: cuando lo exija la legislación aplicable.
• Consentimiento: cuando lo hayas prestado expresamente, como durante el autorregistro de clientes.

5. Almacenamiento y seguridad

Todos los datos se almacenan en servidores situados dentro de la Unión Europea. Aplicamos medidas de seguridad estándar del sector, entre ellas:

• Cifrado TLS/SSL para todos los datos en tránsito
• Contraseñas cifradas con hash bcrypt
• Autenticación basada en tokens con tokens de acceso de corta duración y tokens de refresco rotatorios
• Controles de acceso basados en roles dentro de la plataforma
• Revisiones de seguridad periódicas

Los formularios públicos, como el registro, la reserva y la firma de exenciones, están protegidos por una comprobación automática contra abusos que se ejecuta en el navegador del visitante. No instala cookies, no implica a terceros y no trata datos personales.

6. Comunicación de datos

Solo compartimos datos con los siguientes proveedores externos que los tratan por cuenta nuestra:

• Stripe: procesamiento de pagos. Stripe recibe el nombre y el correo del centro de buceo, y la pantalla de suscripción carga el formulario de pago de Stripe desde los servidores de Stripe. Sujeto a la propia política de privacidad de Stripe.
• PurelyMail (Add Rabbit, LLC): envío de correos transaccionales desde servidores en los Estados Unidos (Amazon Web Services, Virginia).
• Hetzner Online GmbH: alojamiento de la plataforma, de su base de datos, de los archivos subidos y de las copias de seguridad en el centro de datos de Hetzner en Núremberg (Alemania).
• Open-Meteo: previsiones meteorológicas en el panel. Tu navegador las solicita directamente a Open-Meteo y solo envía las coordenadas de los puntos de inmersión, aunque, como en cualquier petición web, Open-Meteo puede ver tu dirección IP.
• OpenStreetMap Foundation: los mapas de los puntos de inmersión cargan sus teselas, y el asistente de configuración busca la posición de tu país, directamente desde los servidores de OpenStreetMap. Como en cualquier petición web, la OpenStreetMap Foundation (Reino Unido) puede ver tu dirección IP; no se envía ningún otro dato personal.

Stripe trata datos en los Estados Unidos al amparo del Marco de Privacidad de Datos UE-EE. UU. y del Marco de Privacidad de Datos Suiza-EE. UU. PurelyMail (Add Rabbit, LLC) envía nuestros correos desde servidores en los Estados Unidos, donde la legislación de protección de datos no ofrece el mismo nivel de protección que en Suiza o en la Unión Europea. La OpenStreetMap Foundation tiene su sede en el Reino Unido, al que la Comisión Europea reconoce un nivel de protección adecuado.

Tanto la plataforma como nuestros sitios web sirven todas las fuentes y los archivos desde nuestros propios servidores - no se hacen peticiones de fuentes ni de analítica a Google ni a otras empresas de publicidad. Nuestra web de marketing y nuestro centro de ayuda (help.divepilot.app) miden las visitas con Umami, una herramienta de analítica de código abierto que funciona en nuestros propios servidores en Europa: cuenta de forma agregada las páginas vistas, los sitios de origen y algunas interacciones, como reproducir un vídeo del producto. No instala cookies, no guarda direcciones IP y no comparte nada con terceros.

No vendemos, alquilamos ni intercambiamos datos personales con terceros. Solo comunicaremos datos a las autoridades si la ley lo exige.

Pantallas del panel de salidas: un centro de buceo puede mostrar sus próximas salidas en una pantalla de su local mediante un enlace secreto que no requiere iniciar sesión. La pantalla muestra los nombres de los clientes (completos, o el nombre de pila y la inicial del apellido, según elija el centro de buceo), su nivel de titulación y si a una reserva todavía le falta una exención, una titulación verificada o el equipo, así como los nombres de la tripulación. El centro de buceo decide dónde se coloca la pantalla y puede revocar el enlace en cualquier momento.

7. Conservación de datos

Conservamos los datos mientras tu cuenta esté activa. Si el periodo de prueba o la suscripción han terminado y la cuenta sigue bloqueada, conservamos los datos durante 12 meses, te enviamos un correo 30 días y 7 días antes de que termine ese plazo y después desactivamos la cuenta; sus datos se borran de forma definitiva 30 días más tarde. Mientras la cuenta esté bloqueada, puedes descargar todos los datos de clientes en una única hoja de cálculo desde la pantalla de suscripción.

• Cuando borras registros o tu cuenta, los datos se desactivan ("borrado lógico") y dejan de ser accesibles en la plataforma, pero permanecen almacenados en nuestros sistemas como protección frente a borrados accidentales. Si borras tu cuenta, esta se desactiva de inmediato y todos sus datos se borran de forma definitiva y automática 30 días después, salvo cuando su conservación sea legalmente obligatoria. Durante esos 30 días puedes escribir a support@divepilot.app para que restauremos la cuenta.
• En todos los demás casos, el borrado definitivo se realiza a petición: escribe a privacy@divepilot.app y borraremos los datos de forma irreversible en un plazo de 30 días, salvo cuando su conservación sea legalmente obligatoria.
• Las facturas de tu suscripción las conserva durante 10 años nuestro proveedor de pagos Stripe, según exige la legislación contable suiza. No se borran cuando se borra tu cuenta.
• Los registros del servidor se conservan entre 7 y 90 días según su tipo: los registros de peticiones, 7 días; los registros generales (que incluyen los destinatarios de los correos que enviamos), 14 días; los registros de errores, 30 días, y los registros de seguridad, 90 días. Los registros del servidor web que contienen direcciones IP se rotan automáticamente y se sobrescriben cuando alcanzan un tamaño fijo.
• Las copias de seguridad de la base de datos se conservan hasta 4 semanas (las últimas 7 copias diarias y 4 semanales) y solo se usan para restaurar el servicio. Los datos borrados de la plataforma pueden permanecer en estas copias hasta que se sobrescriban, como máximo 4 semanas después.
• Las exenciones firmadas, incluidas la firma y las respuestas médicas, se conservan como prueba de lo que aceptó el cliente mientras el centro de buceo las conserve, incluso cuando el centro de buceo anonimiza el resto de los datos del cliente, porque pueden ser necesarias para la formulación, el ejercicio o la defensa de reclamaciones.
• Los enlaces enviados a los clientes caducan: los enlaces para firmar exenciones, a las 48 horas, y los enlaces para actualizar sus datos, como máximo a los 30 días. Los enlaces del panel de salidas y los enlaces a registros de inmersión compartidos siguen siendo válidos hasta que el centro de buceo los revoca.

8. Tus derechos

Conforme al RGPD y a la ley suiza de protección de datos (nLPD), tienes derecho a:

• Acceso: solicitar una copia de tus datos personales
• Rectificación: corregir datos inexactos
• Supresión: solicitar el borrado de tus datos
• Portabilidad: recibir tus datos en un formato legible por máquina
• Oposición: oponerte al tratamiento basado en intereses legítimos
• Limitación: solicitar la limitación del tratamiento

Para ejercer cualquiera de estos derechos, escríbenos a privacy@divepilot.app. Responderemos en un plazo de 30 días.

También tienes derecho a presentar una reclamación ante una autoridad de control - en Suiza, el Comisionado Federal de Protección de Datos y Transparencia (FDPIC), o la autoridad de protección de datos de tu país de residencia.

9. Cookies y almacenamiento local

DivePilot utiliza dos cookies en la plataforma, ambas estrictamente necesarias para iniciar sesión: una cookie de sesión y una cookie de renovación, que te autentican ante nuestros servidores y no pueden ser leídas por ningún script que se ejecute en la página. Al ser estrictamente necesarias, no requieren consentimiento según el RGPD/la Directiva ePrivacy. Algunas preferencias de visualización y un aviso de que has iniciado sesión se guardan en el almacenamiento local de tu navegador; las páginas para clientes recuerdan el idioma elegido y guardan en el navegador un formulario sin terminar durante un máximo de cuatro horas. No usamos cookies de publicidad ni de seguimiento, y en nuestra plataforma no se cargan scripts de analítica de terceros. La pantalla de suscripción carga el formulario de pago de Stripe, que puede instalar cookies propias de Stripe para prevenir el fraude; estas se rigen por la política de privacidad de Stripe.

Nuestra web de marketing y nuestro centro de ayuda no instalan cookies: su recuento de visitas (Umami, descrito en el apartado Comunicación de datos) no usa cookies y no identifica a ningún visitante.

10. Privacidad de los menores

DivePilot es una plataforma entre empresas dirigida a operadores de centros de buceo. Los centros de buceo pueden registrar datos de menores que bucean con ellos, como buceadores júnior; la exención de un menor la firma su padre, su madre o su tutor legal, y el centro de buceo es responsable de obtener cualquier consentimiento que la ley exija en el caso de un menor. No recogemos conscientemente datos directamente de menores de 16 años. Si crees que se han introducido datos de un menor sin el consentimiento necesario, ponte en contacto con nosotros de inmediato.

11. Cambios en esta política

Podemos actualizar esta política de privacidad de vez en cuando. Cuando hagamos cambios significativos, avisaremos por correo a los titulares de las cuentas y actualizaremos arriba la fecha de "Última actualización". El uso continuado de la plataforma tras el aviso constituye aceptación de la política actualizada.

Esta política de privacidad se redactó en inglés. Las traducciones a otros idiomas se ofrecen únicamente por comodidad. En caso de discrepancia entre la versión en inglés y una traducción, prevalecerá la versión en inglés.

12. Contacto

Para cualquier duda sobre esta política de privacidad o sobre cómo tratamos tus datos: