Esta política de privacidad explica cómo NP Somewhere trata datos personales cuando usted usa la aplicación de planificación de viajes Somewhere y su sitio web oficial en la Unión Europea. El tratamiento se rige por el RGPD y por las normas nacionales aplicables de privacidad y comunicaciones electrónicas.
1. Responsable del tratamiento
- Responsable: NP, que opera como NP Somewhere («la Empresa» o «nosotros»)
- Representante de la Empresa en la República de Corea: Sejong Lee
- Dirección: Room 402, Sinjeong Villa, 25-22 Jungang-ro 45-gil, Yangcheon-gu, Seoul 08060, República de Corea
- Solicitudes de privacidad: contact@npsomewhere.com
- Número de registro: 545-01-04035
La persona indicada representa a la empresa coreana y no es un representante en la UE conforme al artículo 27 del RGPD. No hemos designado un delegado de protección de datos porque nuestro tratamiento actual no cumple los criterios obligatorios del artículo 37. Las solicitudes se dirigen al responsable.
Estado del representante en la UE: todavía no se ha designado un representante del artículo 27. Es una obligación pendiente, no una exención por tener un único representante empresarial. Antes de ofrecer activamente el Servicio en la UE cuando sea aplicable el artículo 27, debemos designar un representante en la UE y publicar aquí su nombre y datos de contacto.
2. Datos y procedencia
- Cuenta y perfil: correo electrónico, UID de Firebase o ID de invitado, nombre o alias, imagen, proveedor e identificador de acceso.
- Viajes: título, fechas, ciudad, país, lugares, direcciones, identificadores, coordenadas, notas, preferencias, imágenes, invitaciones, permisos, gastos, moneda, forma de pago, pagador, participantes, recibos y adjuntos.
- IA: instrucciones, conversación reciente, destino, fechas, grupo, preferencias, presupuesto, idioma, detalles del viaje, respuestas y propuestas.
- Importación de Triple: código e idioma extraídos del enlace facilitado, itinerario, lugares, notas, gastos y adjuntos compatibles, hash, estado, resultado y errores. No guardamos la URL de origen completa.
- Compras, suscripción, créditos y recompensas: ID de RevenueCat, producto, tienda, compra, restauración, vencimiento, renovación, verificación, saldo e historial de créditos, ID de recompensa y momento. Las tiendas tratan los datos de tarjeta.
- Seguridad: UID, hash del correo normalizado, registros de bonificación y eliminación, token de Firebase App Check y pruebas de Google Play Integrity o Apple App Attest/DeviceCheck.
- Soporte y ubicación opcionales: correo, mensaje y archivos enviados por formulario o Instagram, y posición actual con permiso. No guardamos la posición actual en Firebase.
- Datos automáticos: dispositivo, sistema, versión, ubicación a nivel de ciudad, IP, registros de acceso y uso, diagnósticos, identificadores publicitarios, eventos y analítica.
- Diagnósticos de errores de Sentry (solo cuando se configura el DSN del proyecto y se comunica un error de inicio de sesión o un fallo de operación seleccionado): proveedor de autenticación para errores de inicio de sesión; función, nombre de la operación, fase del error y código de diagnóstico para errores seleccionados; tipo de excepción y traza de pila depurada; versión/plataforma de la aplicación y datos de diagnóstico del sistema/dispositivo. Sustituimos los mensajes de excepción por texto genérico. Los informes excluyen identificadores de cuenta, correos electrónicos, contenido de viajes/gastos, instrucciones de IA, URL/tokens, cuerpos o encabezados de solicitudes/respuestas y migas de pan. Sentry puede asociar automáticamente la IP de conexión al informe; que la conserve depende de la configuración de privacidad del proyecto. Usamos estos informes para diagnosticar errores de inicio de sesión y fallos seleccionados y mejorar la fiabilidad del Servicio.
Los datos proceden de usted, su dispositivo, participantes del viaje, proveedores de acceso, tiendas, RevenueCat y páginas compartidas que usted solicita importar. La IA, la ubicación actual y la publicidad personalizada son opcionales. No solicitamos categorías especiales; evite incluirlas en texto libre, recibos o imágenes.
3. Fines y bases jurídicas
- Cuenta, viajes, mapas, invitaciones, colaboración, gastos, IA solicitada, importaciones, suscripción y restauración: ejecución del contrato o medidas precontractuales, artículo 6.1.b.
- Seguridad, integridad, prevención del fraude, resolución de errores y estadísticas limitadas: intereses legítimos tras ponderar sus derechos, artículo 6.1.f.
- Publicidad personalizada, seguimiento y ubicación precisa opcional: consentimiento cuando sea necesario, artículo 6.1.a.
- Conservación exigida legalmente: obligación legal, artículo 6.1.c.
- Diagnosticar errores de inicio de sesión y fallos de operación seleccionados comunicados a Sentry y mejorar la fiabilidad del Servicio: nuestro interés legítimo en proteger las cuentas y mantener el Servicio, artículo 6.1.f, cuando lo permita la ley.
Cuando la normativa de comunicaciones electrónicas exige consentimiento antes de guardar o acceder a información del dispositivo, lo solicitamos previamente. Puede retirarlo en las opciones de privacidad publicitaria de la aplicación, Google UMP o los ajustes del dispositivo.
4. IA y decisiones automatizadas
Para una creación o edición solicitada enviamos a OpenAI su entrada y los detalles pertinentes del viaje. En una edición no incluimos acompañantes, gastos ni archivos fotográficos. Los nombres de lugares, el idioma y las coordenadas pueden enviarse a Google Places. Las entradas y salidas de la API de OpenAI no se usan por defecto para entrenar modelos salvo adhesión expresa nuestra; no activamos el almacenamiento de respuestas. Pueden conservarse cachés temporales y registros de seguridad conforme a sus condiciones.
Los resultados son ayudas de planificación. No adoptamos decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o similares; usted decide si aplica una propuesta.
5. Destinatarios
Functional Software, Inc. (Sentry) procesa informes de diagnóstico de errores de inicio de sesión y fallos de operación seleccionados cuando se configura el DSN del proyecto. Consulte su acuerdo de tratamiento de datos y la lista de subencargados.
No vendemos datos personales. Los datos de viaje se comparten con las personas invitadas que usted elija y según sus permisos. Usamos Google LLC para Firebase, App Check, Places, Forms/Drive y analítica; OpenAI OpCo, LLC para IA; y RevenueCat, Inc. para suscripciones y derechos. Google, Apple y Meta pueden actuar como responsables independientes para acceso, pagos, publicidad, analítica o Instagram. Las autoridades o tribunales pueden recibir datos cuando la ley lo exija o para formular, ejercer o defender reclamaciones.
6. Transferencias internacionales
Los diagnósticos de errores de inicio de sesión y de operaciones seleccionadas de Sentry pueden tratarse en Estados Unidos, Alemania y otras regiones de su servicio. La región configurada para el proyecto determina el almacenamiento. La IP de conexión puede asociarse automáticamente al informe; que Sentry la conserve depende de la configuración de privacidad del proyecto. Los datos se transmiten por red únicamente cuando se comunica un error de inicio de sesión o un fallo de operación seleccionado y el proyecto tiene un DSN configurado. Consulte el acuerdo de tratamiento de datos de Sentry y la lista de subencargados.
Los datos principales de Firestore y funciones configuradas para Seúl se alojan en asia-northeast3, República de Corea, país con decisión de adecuación de la Comisión Europea. Firebase Authentication, IA, analítica, publicidad, tiendas y suscripciones también pueden tratar datos en Estados Unidos y otros lugares publicados por cada proveedor.
Sin decisión de adecuación usamos un mecanismo válido del capítulo V, como las cláusulas contractuales tipo de la Comisión Europea cuando proceda, junto con medidas adicionales necesarias. Puede solicitar información y copia de las garantías en contact@npsomewhere.com. Consulte Google/Firebase, la lista de subencargados de OpenAI y el DPA de RevenueCat.
7. Conservación
- Cuenta, perfil, viajes, permisos, gastos, estado de suscripción y créditos: hasta eliminar la cuenta o cumplir el fin.
- Generación de viajes con IA: 30 días; conversaciones y ediciones con IA: 24 horas.
- Trabajos de importación Triple: 30 días; el contenido importado sigue el período ordinario del viaje.
- Prevención de bonificaciones duplicadas, restricciones tras baja y validación de recompensas: 90 días.
- Invitación: 24 horas; auditoría administrativa: 365 días; datos de usuario/evento de Google Analytics: 2 meses.
- Consultas por formulario: hasta resolverlas; caché y preferencias del dispositivo: hasta borrar la app o sus datos.
- Registros legales que realmente conservemos: el plazo exigido. Cuando se apliquen obligaciones coreanas de comercio electrónico: anuncios 6 meses; contrato, desistimiento, pago y suministro 5 años; reclamaciones y litigios 3 años.
- Informes de errores de Sentry: se conservan durante el plazo configurado para el proyecto y después se eliminan según las reglas de conservación y supresión de Sentry.
Firebase Authentication elimina datos activos y de copia en un máximo de 180 días tras una solicitud. Las cachés de OpenAI pueden durar hasta 24 horas y los registros estándar de abuso hasta 30 días, salvo excepciones legales o de seguridad.
8. Sus derechos
Con los requisitos del RGPD, puede solicitar acceso, rectificación, supresión, limitación y portabilidad; oponerse al interés legítimo o a la mercadotecnia directa; retirar el consentimiento en cualquier momento sin afectar al tratamiento anterior; y no ser objeto de una decisión exclusivamente automatizada con efectos jurídicos o similares.
Escriba a contact@npsomewhere.com. Podemos verificar su identidad y responderemos dentro del plazo legal. También puede reclamar ante la autoridad de su residencia, trabajo o lugar de la presunta infracción; consulte la lista del Comité Europeo de Protección de Datos.
9. Menores
El Servicio no se dirige a menores de 14 años. Cuando el artículo 8 se aplique a un servicio ofrecido directamente a un menor y basado en consentimiento, rige la edad del Estado miembro: 16 años por defecto, reducible hasta un mínimo de 13; por debajo se requiere autorización de quien tenga la responsabilidad parental.
10. Seguridad y brechas
Usamos controles de acceso, privilegio mínimo, restricciones técnicas y cifrado HTTPS en tránsito. Si procede notificación, informamos a la autoridad sin dilación indebida y, cuando sea posible, en 72 horas; también a las personas afectadas sin dilación indebida si existe alto riesgo, salvo excepción legal.
11. Cookies y almacenamiento
El sitio no usa cookies publicitarias propias ni scripts de publicidad conductual. El idioma y tema pueden guardarse en el almacenamiento local. En la aplicación, los SDK de analítica y publicidad pueden usar identificadores y tecnologías similares con consentimiento previo cuando sea obligatorio.
12. Cambios
Esta política de privacidad entra en vigor el 28 de septiembre de 2026. Publicaremos aquí o en el Servicio la fecha y los cambios sustanciales, avisaremos de cambios que afecten materialmente a sus derechos y pediremos consentimiento cuando sea necesario. Texto aplicable: Reglamento general de protección de datos.