Política de privacidad.

1. Responsable del tratamiento y contacto

El responsable del tratamiento en el sentido del Reglamento General de Protección de Datos (RGPD) y de las demás leyes nacionales de protección de datos de los Estados miembros, así como de otras disposiciones en materia de protección de datos, es:

TakeMeTo Inc.

(en lo sucesivo, «nosotros» o «TakeMeTo»)

126 East 30th Street, Apt. 1D

New York, NY 10016, EE. UU.

Operación de la plataforma: www.takemeto.ai

Consultas generales: [email protected]

Protección de datos y derechos de los interesados: [email protected]

Delegado de Protección de Datos: Claudius Herz, [email protected]

Puedes consultar un aviso legal (Impressum) con información adicional (dirección) en www.takemeto.ai/impressum.

2. Ámbito de aplicación y resumen

Esta política de privacidad te informa sobre la naturaleza, el alcance y la finalidad del tratamiento de datos personales (en lo sucesivo, «datos») en el marco de nuestra oferta en línea y de los sitios web, funciones, contenidos, aplicaciones móviles y presencias en línea externas (por ejemplo, perfiles de redes sociales) asociados, denominados conjuntamente en lo sucesivo «oferta en línea».

TakeMeTo es una plataforma de planificación y reserva de viajes basada en IA que te permite planificar viajes personalizados, crear tu Travel DNA individual, compartir contenidos y realizar reservas con proveedores externos (aerolíneas, hoteles, proveedores de actividades y traslados).

Los términos utilizados (por ejemplo, «datos personales» o su «tratamiento») se entienden en el sentido de las definiciones del art. 4 RGPD.

3. Bases jurídicas del tratamiento

De conformidad con el art. 13 RGPD, te informamos de las bases jurídicas de nuestros tratamientos de datos:

• Art. 6.1.a) RGPD – consentimiento (por ejemplo, cookies analíticas, incluido Google Analytics, grabación de sesión, marketing, newsletter, integración en redes sociales)
• Art. 6.1.b) RGPD – ejecución de un contrato y medidas precontractuales (por ejemplo, registro, chat de IA y planificación de viajes, representación cartográfica, reservas)
• Art. 6.1.c) RGPD – cumplimiento de obligaciones legales (por ejemplo, conservación conforme al derecho mercantil y fiscal)
• Art. 6.1.f) RGPD – intereses legítimos (por ejemplo, operación, seguridad, medición de audiencia, atribución de registros a canales de marketing)
• Art. 9.2.a) RGPD – consentimiento explícito cuando, en casos concretos, se traten categorías especiales de datos personales

Asimismo, observamos las exigencias de la TDDDG (ley alemana de protección de datos en telecomunicaciones y servicios digitales, que sustituyó a la TTDSG en mayo de 2024), en particular su § 25 para cookies y accesos equiparables a tu dispositivo, así como los requisitos del Reglamento de IA (Reglamento (UE) 2024/1689, «AI Act») en la medida en que sean aplicables a nuestros sistemas de IA.

4. Categorías de datos tratados

Tratamos las siguientes categorías de datos:

• Datos identificativos: por ejemplo, nombres, direcciones
• Datos de contacto: por ejemplo, correo electrónico, números de teléfono
• Datos de contenido: por ejemplo, entradas de texto, fotografías, contenidos de viaje subidos
• Datos contractuales: por ejemplo, objeto del contrato, duración, categoría de cliente
• Datos de pago del fondo antiguo: registros contables del periodo en el que TakeMeTo ofrecía servicios de pago; no se generan datos de pago nuevos
• Datos de cupo: número de mensajes enviados por día natural, por cuenta y, en el uso sin cuenta, por dispositivo o sesión
• Datos de uso: por ejemplo, páginas visitadas, interés en contenidos, horas de acceso
• Metadatos / datos de comunicación: por ejemplo, información del dispositivo, direcciones IP
• Datos de viaje y preferencias: Travel DNA: estado de ánimo viajero, destinos deseados, presupuesto, meses de viaje, estilo, duración, número de viajeros
• Datos de conversación con IA: mensajes de chat, respuestas de la IA, registros de sesión
• Etiquetas de identidad: por ejemplo, «fundador», «viajero en familia», derivadas de tus entradas
• Datos de ubicación: si se autoriza
• Datos de consumo y coste de las funciones de IA: modelo utilizado, número de tokens procesados, coste generado por solicitud
• Datos de origen del registro: parámetros de campaña (UTM), página de entrada, dominio de referencia, segmento de interés derivado, idioma y momento de la primera visita (apartado 14.11)

5. Personas interesadas

Visitantes y usuarios de la oferta en línea (en lo sucesivo, conjuntamente «usuarios»).

6. Finalidades del tratamiento

• Puesta a disposición de la oferta en línea y de sus funciones
• Registro, autenticación, identificación en el inicio de sesión
• Creación y mantenimiento del Travel DNA personal
• Generación de planes y recomendaciones de viaje basados en IA
• Ejecución de reservas con proveedores externos
• Comunicación con los usuarios
• Garantía de la seguridad de la plataforma, prevención de fraude y abusos
• Medición de audiencia, mejora del producto, medición de qué canales y páginas de destino generan registros
• Detección y resolución de errores e incidencias
• Control de costes y consumo de las funciones de IA y limitación del uso diario
• Newsletter e información sobre el producto (con consentimiento)
• Medición del éxito de nuestra publicidad y remarketing a través de socios de marketing (solo con consentimiento)
• Cumplimiento de obligaciones legales

7. Registro, cuenta de usuario e identificación

Puedes registrarte en nuestra plataforma facilitando datos personales. Qué datos son obligatorios u opcionales se indica en los formularios de entrada. Utilizamos estos datos para la autenticación (inicio de sesión), la ejecución del contrato y la comunicación contigo.

Base jurídica: art. 6.1.b) RGPD.

Puedes retirar tu consentimiento en cualquier momento con efectos para el futuro.

8. Travel DNA – creación de un perfil de viaje personal

Sobre la base de los datos que nos facilitas activamente (entradas en formularios, diálogos de chat con nuestro asistente de IA, selección de destinos, interacciones en la plataforma), creamos para ti un Travel DNA. Este incluye, entre otros:

• ritmo, estilo y duración de viaje preferidos
• intereses, temáticas y preferencias de actividades
• tipos de alojamiento preferidos
• rango aproximado de presupuesto
• meses de viaje y región de salida preferidos
• etiquetas de identidad de viajero (por ejemplo, «fundador», «viajero en familia»)

Base jurídica: art. 6.1.b) RGPD (ejecución del contrato) y, en lo que vaya más allá, art. 6.1.a) RGPD.

Elaboración de perfiles (art. 4.4 RGPD): La creación del Travel DNA constituye una elaboración de perfiles. No obstante, no produce efectos jurídicos ni afecta significativamente de modo similar en el sentido del art. 22 RGPD. Sirve exclusivamente para personalizar tus sugerencias de viaje.

Tus derechos: Puedes consultar el Travel DNA en cualquier momento en los ajustes de tu perfil, editar o eliminar etiquetas y atributos individuales. También puedes oponerte en cualquier momento a la elaboración de perfiles ([email protected]).

9. Planificación de viajes con IA e intercambio de datos con proveedores de IA externos

Nuestra plataforma (web y aplicación móvil) incluye un chatbot de planificación de viajes basado en IA que te ayuda a crear planes y recomendaciones personalizados. A tal efecto, transmitimos determinados datos a proveedores externos de IA y a servicios que obtienen la información de viaje subyacente.

9.1 Finalidades del tratamiento

(a) Generación de recomendaciones y rutas de viaje personalizadas en tiempo real a partir de tus entradas.

(b) Derivación y almacenamiento de preferencias de viaje para mejorar las sugerencias futuras.

(c) Control de calidad, seguridad y prevención de abusos.

9.2 Categorías de datos tratados

• Contenido del chat: tus mensajes en el chat de planificación de viaje y las respuestas generadas por la IA
• Metadatos de sesión: marcas de tiempo, IDs de sesión, registros de interacción
• Detalles del viaje: destino, fechas, presupuesto, preferencias, número de viajeros
• Parámetros de planificación: estado de ánimo, mes de viaje, ciudad de salida, rango de presupuesto
• Entradas para el emparejamiento de destinos: estilo, duración, número de viajeros, presupuesto por persona, mes de viaje
• Etiquetas de identidad de viajero: por ejemplo, «fundador», «viajero en familia»; editables y eliminables en los ajustes del perfil
• Metadatos / datos de comunicación: dirección IP, información del dispositivo/red

9.3 Destinatarios

• Google LLC (Gemini) – ubicación EE. UU.; modelo de lenguaje para el chat, la planificación de viajes y la búsqueda web asociada. Mecanismo de transferencia: EU-US Data Privacy Framework (DPF) conforme al art. 45 RGPD.
• Anthropic, PBC (Claude) – sede EE. UU.; modelo de lenguaje para determinados pasos de chat y planificación. El tratamiento se realiza —en la medida garantizada contractualmente— en infraestructura de la UE. Para transferencias a terceros países: cláusulas contractuales tipo (CCT).
• Groq, Inc. – ubicación EE. UU.; conversión de tu entrada de voz en texto. Solo se transmite la grabación de audio que has realizado, sin referencia a tu cuenta.
• SerpAPI – ubicación EE. UU.; obtención de resultados de búsqueda sobre lugares, alojamientos, restaurantes, vuelos y eventos. Se transmiten los términos de búsqueda, sin referencia a tu cuenta.
• Firecrawl – ubicación EE. UU.; lectura de páginas web de acceso público para determinar precios y disponibilidad. Solo se transmiten las direcciones web que deben consultarse, sin referencia a tu cuenta.
• Open-Meteo (Europa) – datos meteorológicos del destino. Solo se transmiten las coordenadas o el nombre del lugar de destino, sin referencia a tu cuenta.
• Servicio de rutas OSRM (router.project-osrm.org) – distancias entre las paradas de una ruta. Solo se transmiten coordenadas, sin referencia a tu cuenta.

Aclaración: no utilizamos ni OpenAI/ChatGPT ni Perplexity. Versiones anteriores de esta política mencionaban a estos proveedores; era incorrecto. Tampoco existe una integración con la app de ChatGPT.

9.4 Base jurídica

Art. 6.1.b) RGPD (ejecución del contrato). El chat de planificación de viajes basado en IA no es una función adicional, sino la propia prestación que obtienes al utilizar TakeMeTo. La transmisión de tus entradas a los proveedores mencionados en el apartado 9.3 es necesaria para prestar ese servicio y, por tanto, no puede rechazarse por separado, por el mismo motivo que la representación cartográfica (apartado 11.7).

No recabamos consentimiento para el chat de IA. Versiones anteriores de esta política lo afirmaban y presentaban la función como dependiente del consentimiento, pese a que tal opción nunca existió; era incorrecto. Si no estás de acuerdo con este tratamiento, no puedes utilizar el servicio. Tus derechos de acceso, rectificación, supresión y portabilidad no se ven afectados (apartados 9.6 y 18).

9.5 Plazos de conservación

• Datos de conversación (mensajes, respuestas de la IA, metadatos de sesión): puedes eliminar tú mismo conversaciones concretas en la app en cualquier momento. Si eliminas tu cuenta, se retiran de forma irreversible una vez transcurrido el plazo de carencia de 90 días (apartado 17.2). Mientras conserves tu cuenta, tus conversaciones se mantienen para que puedas acceder a ellas.
• Perfiles de preferencias de viaje derivados (Travel DNA): hasta la supresión de la cuenta o hasta que elimines entradas concretas.
• Registros de eventos de producto relativos a acciones de IA (apartado 14.3): 90 días, después supresión automática.

9.6 Tus derechos y control

• Solo se produce una transmisión a los proveedores mencionados en el apartado 9.3 cuando formulas una solicitud. Tú decides qué introduces en el chat.
• Minimización de datos antes de cada transmisión: solo comunicamos lo necesario para la solicitud correspondiente.
• Supresión del historial de chat en los ajustes de la app.
• Exportación completa: directamente en la app mediante el botón «Exportar datos» de tu perfil. Recibirás un archivo JSON con todos los datos almacenados de tu cuenta. También basta con un correo a [email protected].
• Derechos sobre los datos de chat de IA (acceso, supresión, portabilidad): correo a [email protected] con el asunto «AI Data Request». Respuesta en un plazo de 30 días.

9.7 Medidas de protección

Suscribimos con nuestros proveedores de IA y de búsqueda contratos de encargado del tratamiento (art. 28 RGPD) y aplicamos garantías adecuadas para las transferencias internacionales de datos (Google: DPF; Anthropic: tratamiento en la UE, complementado con CCT; demás proveedores estadounidenses: CCT, véase el apartado 12). La minimización de datos es un principio obligatorio: a los servicios de búsqueda, meteorología y rutas (SerpAPI, Firecrawl, Open-Meteo, OSRM) transmitimos términos de búsqueda, direcciones web y coordenadas, pero ni tu nombre ni tus datos de cuenta o de contacto.

10. Funciones de reserva

Si utilizas las funciones de reserva de la plataforma, nos concedes el derecho a compartir los detalles de viaje necesarios para la reserva con los siguientes destinatarios:

• Compañías aéreas
• Proveedores de hoteles y alojamiento
• Proveedores de actividades, tours y experiencias
• Servicios de traslado y movilidad

Solo se comparten los datos necesarios para la ejecución de la reserva correspondiente (por ejemplo, nombre, datos de contacto, fechas de viaje, preferencias y, en su caso, datos de identidad para vuelos).

Base jurídica: art. 6.1.b) RGPD (ejecución del contrato).

Ubicación de los destinatarios: varía según el proveedor. En caso de transferencia a terceros países: art. 49.1.b) RGPD o CCT / decisión de adecuación.

11. Destinatarios / cesión de datos a terceros

Resumen de las principales categorías de destinatarios, bases jurídicas y mecanismos de transferencia:

Destinatario

Datos

Base jurídica

Ubicación / mecanismo

Hetzner Online GmbH (servidores, alojamiento)

Datos identificativos, de contacto, de contenido, contractuales, de uso, meta/comm.

Art. 6.1.b) / f) RGPD

Alemania

Supabase (base de datos, inicio de sesión, almacenamiento de archivos) — operado por nosotros mismos en la infraestructura indicada arriba

los mismos datos que en el alojamiento

Art. 6.1.b) / f) RGPD

Alemania

Cloudflare, Inc. (entrega del sitio web/CDN, protección antibots «Turnstile», analítica web sin cookies)

Dirección IP, momento, dirección solicitada, información de navegador/dispositivo

Art. 6.1.b) / f) RGPD

centros de datos europeos; matriz en EE. UU.

Google LLC (Maps Platform)

Dirección IP, información de dispositivo/navegador, secciones de mapa, términos de búsqueda de lugares

Art. 6.1.b) RGPD — componente necesario del servicio, véase el apartado 11.7

EE. UU. — DPF

Google LLC (Gemini)

Contenidos de chat, datos de planificación, consultas de búsqueda

Art. 6.1.b) RGPD — componente necesario del servicio, véase el apartado 9.4

EE. UU. — DPF

Google LLC (Tag Manager)

Datos de dispositivo, dirección IP — se carga solo tras el consentimiento analítico o de marketing

Art. 6.1.a) RGPD

EE. UU. — DPF

Google Ireland Limited (Google Analytics 4) — encargado del tratamiento

Eventos de uso, identificador aleatorio procedente de cookies, información del dispositivo/navegador, dirección IP — solo tras el consentimiento analítico, véase el apartado 14.9

Art. 6.1.a) RGPD

Irlanda; posible transferencia a Google LLC, EE. UU. — DPF

Socios de marketing: Google Ireland Limited (Google Ads), Meta Platforms Ireland Ltd. (Facebook, Instagram), TikTok Technology Limited (TikTok)

Actualmente solo tus señales de consentimiento a Google; los píxeles aún no están integrados — solo tras el consentimiento de marketing, véase el apartado 14.10

Art. 6.1.a) RGPD

EE. UU. — DPF (Google, Meta); TikTok: EE. UU., Singapur y, en su caso, China — CCT

Anthropic, PBC (Claude)

Contenidos de chat, datos de planificación

Art. 6.1.b) RGPD — componente necesario del servicio, véase el apartado 9.4

UE/DE, complementado con CCT

Groq, Inc. (reconocimiento de voz)

grabación de audio de tu entrada de voz — sin referencia a la cuenta

Art. 6.1.b) RGPD

EE. UU. — CCT

SerpAPI (resultados de búsqueda)

términos de búsqueda sobre lugares, alojamientos, restaurantes, vuelos, eventos — sin referencia a la cuenta

Art. 6.1.b) / f) RGPD

EE. UU. — CCT

Firecrawl (obtención de precios y disponibilidad)

direcciones web que deben consultarse — sin referencia a la cuenta

Art. 6.1.b) / f) RGPD

EE. UU. — CCT

Open-Meteo (datos meteorológicos)

coordenadas del destino — sin referencia a la cuenta

Art. 6.1.b) RGPD

Europa

Servicio de rutas OSRM (router.project-osrm.org)

coordenadas de origen y destino para calcular distancias — sin referencia a la cuenta

Art. 6.1.b) RGPD

servicio de proyecto abierto; solo se transmiten coordenadas

PostHog, Inc. (analítica de producto)

eventos de uso anónimos o —solo con consentimiento— seudónimos

Art. 6.1.f) / a) RGPD

infraestructura europea (eu.i.posthog.com)

Resend (envío de correos, p. ej. confirmaciones, invitaciones, newsletter)

dirección de correo electrónico, contenido del mensaje correspondiente

Art. 6.1.b) / a) RGPD

EE. UU. — CCT

Twilio (notificaciones por WhatsApp/SMS)

número de teléfono, contenido de la notificación

Art. 6.1.a) / b) RGPD

EE. UU. — CCT

Socios de reservas (aerolíneas, hoteles, actividades)

Detalles de viaje

Art. 6.1.b) RGPD

varía según el proveedor

Asesores financieros / jurídicos

Datos financieros, contractuales

Art. 6.1.c) / f) RGPD

UE

11.6 Servicios publicitarios y de marketing solo con consentimiento

Solo utilizamos herramientas analíticas de terceros, redes publicitarias y píxeles de conversión con tu consentimiento: Google Analytics 4 solo con el consentimiento a la categoría «Analítica» (apartado 14.9) y las herramientas de marketing de Google, Meta y TikTok solo con el consentimiento a la categoría «Marketing» (apartado 14.10). El Pixel de Meta, la Meta Conversions API, el píxel de TikTok y las etiquetas de Google Ads no están integrados actualmente; antes de activar cualquiera de ellos, completaremos esta política. No hay grabación de sesiones por parte de proveedores publicitarios; tampoco utilizamos SmartLook. Versiones anteriores de esta política mencionaban una corresponsabilidad con Meta conforme al art. 26 RGPD; era incorrecto. Actualmente no existe corresponsabilidad alguna.

11.7 Google Maps Platform: componente necesario del servicio

Los mapas, la búsqueda de lugares y la representación de lugares y rutas se proporcionan a través de la Google Maps Platform de Google LLC (EE. UU.). Al cargar un mapa se transmiten a Google tu dirección IP y la información de dispositivo y navegador; en una búsqueda de lugares, además, el término introducido.

Hasta el 31 de julio de 2026, la representación cartográfica figuraba en el banner de cookies como categoría de consentimiento independiente. Hemos eliminado esa opción porque simulaba una elección que el producto no cumplía: el mapa es una parte inseparable de la planificación de viajes. Por ello ya no recabamos un consentimiento específico para ello. La base jurídica es el art. 6.1.b) RGPD (ejecución del contrato de uso). La transferencia a EE. UU. asociada no puede rechazarse por separado: si no la deseas, no puedes utilizar el servicio. Los detalles del mecanismo de transferencia figuran en el apartado 12.

12. Tratamiento fuera de la UE/EEE

Transferimos parcialmente datos a terceros países (en particular, EE. UU.). Esto se realiza exclusivamente cumpliendo los arts. 44 y ss. RGPD.

Mecanismos de transferencia utilizados:

• Google LLC (Maps Platform, Gemini, Tag Manager), así como Google Analytics 4 y Google Ads (parte contratante Google Ireland Limited, posible transferencia a Google LLC, EE. UU.): EU-US Data Privacy Framework (DPF).
• Meta Platforms Ireland Ltd. (posible transferencia a Meta Platforms Inc., EE. UU.): EU-US Data Privacy Framework (DPF); TikTok Technology Limited (tratamiento también en EE. UU., Singapur y, en su caso, China): cláusulas contractuales tipo (CCT). En ambos casos, solo tras la activación de la herramienta de marketing correspondiente y solo con tu consentimiento de marketing (apartado 14.10).
• Anthropic, PBC: tratamiento en infraestructura de la UE en la medida garantizada contractualmente; complementado con cláusulas contractuales tipo (CCT).
• Demás proveedores con sede en EE. UU. (Cloudflare, Groq, SerpAPI, Firecrawl, Resend, Twilio, PostHog como sociedad matriz): cláusulas contractuales tipo conforme al art. 46.2.c) RGPD o —cuando el proveedor esté certificado— el EU-US Data Privacy Framework.
• Open-Meteo trata los datos en Europa; al servicio de rutas OSRM solo transmitimos coordenadas, sin referencia a la cuenta.
• El tratamiento efectivo por parte de PostHog se realiza en infraestructura europea; Cloudflare entrega nuestros contenidos a través de centros de datos europeos. Nuestra propia base de datos y todos los datos de cuenta, conversación y registro almacenados en ella se encuentran en Alemania.

No desactivable: tanto la representación cartográfica a través de la Google Maps Platform (apartado 11.7) como la planificación de viajes con IA a través de los proveedores mencionados en el apartado 9.3 (apartado 9.4) son componentes necesarios del servicio. Las transferencias asociadas se basan en el art. 6.1.b) RGPD en relación con el mecanismo indicado arriba en cada caso y no pueden rechazarse por separado.

El Privacy Shield UE-EE. UU., mencionado en versiones anteriores de esta política, fue declarado inválido por el TJUE en julio de 2020 y ya no se tiene en cuenta.

Además, en casos puntuales podemos tratar datos fuera del EEE para cumplir obligaciones contractuales, sobre la base de tu consentimiento, por requisitos legales o por intereses legítimos.

13. Cookies y tecnologías similares

13.1 ¿Qué son las cookies?

Las cookies son pequeños archivos de texto que se almacenan en tu dispositivo al visitar nuestro sitio web. Utilizamos cookies, en particular, para almacenar sesiones y garantizar el funcionamiento de la plataforma.

13.2 Categorías

Nuestro banner de cookies tiene exactamente cuatro categorías: necesarias (siempre activas, no desactivables), analítica, grabación de sesión y marketing. No existen más opciones. Jurídicamente, los almacenamientos y mediciones que utilizamos se clasifican del siguiente modo:

• Almacenamiento técnicamente necesario (sesión, inicio de sesión, seguridad, protección antibots «Turnstile» de Cloudflare): § 25.2 n.º 2 TDDDG, art. 6.1.b)/f) RGPD. No requiere consentimiento.
• Almacenamiento funcional (idioma, moneda, tu propia decisión de consentimiento): § 25.2 n.º 2 TDDDG, art. 6.1.b)/f) RGPD. Estos valores son necesarios para el servicio que has solicitado y no se explotan con fines analíticos.
• Almacenamiento temporal de la página de inicio (la solicitud de viaje que escribiste, hasta 24 horas; las imágenes y archivos PDF adjuntos, hasta 7 días; solo en tu dispositivo, en el navegador): § 25.2 n.º 2 TDDDG, art. 6.1.b) RGPD. No se requiere consentimiento. El texto y los adjuntos solo se transmiten cuando inicias sesión y después se tratan como se describe en el punto 9. Si no inicias sesión, tu navegador descarta los adjuntos a más tardar a los 7 días, sin que nosotros los recibamos nunca.
• Analítica con reconocimiento (identificador de PostHog en localStorage, Google Tag Manager, cookies de Google Analytics _ga y _ga_*): § 25.1 TDDDG, art. 6.1.a) RGPD. Solo con tu consentimiento.
• Grabación de sesión (PostHog Session Replay): § 25.1 TDDDG, art. 6.1.a) RGPD. Solo con un consentimiento adicional e independiente; los campos de entrada se enmascaran.
• Medición anónima y sin cookies (medición básica de PostHog, Cloudflare Web Analytics): no se almacena ni se lee información alguna en tu dispositivo, por lo que el § 25 TDDDG no resulta aplicable y no se requiere consentimiento (art. 6.1.f) RGPD) — véase el apartado 14.
• Marketing (señales de consentimiento a Google; en el futuro, cookies publicitarias y píxeles de Google, Meta y TikTok): § 25.1 TDDDG, art. 6.1.a) RGPD. Solo con tu consentimiento específico para la categoría «Marketing». Actualmente no utilizamos cookies de marketing ni publicitarias (apartado 14.10).

13.3 Consentimiento y retirada

Antes de cualquier almacenamiento no necesario en tu dispositivo y antes de cualquier analítica con reconocimiento recabamos tu consentimiento mediante nuestro banner de consentimiento. No hay casillas premarcadas y «Rechazar todo» está disponible en el primer nivel.

Puedes retirar tu consentimiento en cualquier momento con efectos para el futuro: mediante la entrada «Configuración de cookies» en el pie de página de cada página, a través de los ajustes de cookies en la app o de forma informal por correo a [email protected]. Tras la retirada comunicamos tu nueva elección a Google mediante el Consent Mode (apartado 14.9), finaliza la medición ampliada y se eliminan los identificadores almacenados; si retiras el consentimiento analítico, también las cookies de Google Analytics.

Dos categorías han desaparecido a 31 de julio de 2026. Representación cartográfica: dado que el mapa es un componente necesario de la planificación de viajes, ofrecer una opción no habría sido honesto; véase el apartado 11.7. Salida de voz: hemos suspendido la función de leer en voz alta las respuestas de la IA; ya no se integra ningún servicio de síntesis de voz, por lo que no queda nada que consentir. La entrada de voz —dictar un mensaje en el chat— no se ve afectada y se mantiene sin cambios (apartado 9.3).

14. Analítica de producto, medición de audiencia y registros propios

Este apartado describe de forma completa qué recopilamos sobre el uso de nuestro servicio, tanto mediante herramientas externas como en nuestros propios servidores. Solo utilizamos servicios analíticos y publicitarios de terceros (Google Analytics 4, herramientas de marketing) con tu consentimiento (apartados 11.6, 14.9 y 14.10).

14.1 PostHog (analítica de producto, alojamiento en la UE)

Para la medición de audiencia y la mejora del producto utilizamos PostHog (PostHog, Inc.; tratamiento a través de infraestructura europea, eu.i.posthog.com). Su uso se realiza en dos niveles:

• Medición anónima y sin cookies (sin consentimiento): mientras no hayas otorgado el consentimiento analítico, tratamos exclusivamente eventos anónimos y agregados (por ejemplo, la apertura de una página de destino o el envío del formulario de lista de espera). No se almacenan ni se leen cookies o información equiparable en tu dispositivo (almacenamiento solo volátil en memoria durante la visita), no se elabora ningún perfil personal y la dirección IP se descarta y no se conserva. Dado que no se accede a tu dispositivo (§ 25 TDDDG no aplicable) y no se almacenan datos personales, no se requiere consentimiento. Base jurídica, en la medida en que pudiera existir algún vínculo personal: art. 6.1.f) RGPD (interés legítimo en una medición de audiencia anónima).
• Medición ampliada (solo con consentimiento): solo con tu consentimiento PostHog almacena un identificador reconocible en tu navegador (localStorage), vincula eventos entre sesiones y crea —si además lo consientes— grabaciones de sesión seudonimizadas (Session Replay; los campos de entrada se enmascaran). También solo tras el consentimiento (analítica o marketing) cargamos Google Tag Manager (apartado 14.9). Base jurídica: art. 6.1.a) RGPD, § 25.1 TDDDG.

Puedes retirar tu consentimiento en cualquier momento con efectos para el futuro a través de nuestra herramienta de consentimiento; la medición ampliada finalizará entonces y se eliminarán los identificadores almacenados. La medición anónima y sin cookies no contiene datos personales.

14.2 Cloudflare (entrega, protección antibots, Web Analytics)

Nuestro sitio web se entrega a través de Cloudflare. Al hacerlo, Cloudflare trata datos de conexión técnicamente necesarios (dirección IP, momento, dirección solicitada, información de navegador y dispositivo) para entregar los contenidos y repeler ataques y accesos masivos automatizados. Durante el inicio de sesión y en los formularios, la protección antibots «Turnstile» comprueba además si la solicitud procede de una persona. Base jurídica: art. 6.1.b) y f) RGPD (prestación y protección del servicio).

Cloudflare Web Analytics cuenta además las páginas vistas. Al hacerlo no se instalan cookies ni se almacena o lee información alguna en tu dispositivo; no se genera ningún identificador entre dispositivos ni perfil personal. La evaluación es puramente estadística y solo la consultamos nosotros en nuestro panel interno. El § 25 TDDDG no resulta aplicable por falta de acceso a tu dispositivo; la base jurídica es el art. 6.1.f) RGPD.

14.3 Registros de eventos propios en nuestros servidores

Con independencia de las herramientas externas, registramos en nuestra propia infraestructura (base de datos en Alemania) lo que ocurre en la aplicación. Esto se realiza en dos niveles claramente separados:

• Sin consentimiento — art. 6.1.f) RGPD (operación y protección del servicio): almacenamos qué página o vista se abrió, qué acción se ejecutó, si esa acción tuvo éxito o falló y, en caso de error, un código de error. En este nivel no se almacena ningún identificador de dispositivo: las entradas individuales no pueden agruparse ni en un recorrido de visita ni, entre visitas, en un dispositivo. Si has iniciado sesión, la entrada se asocia a tu cuenta, ya que de todos modos tratamos tus datos de cuenta para prestar el servicio. Este nivel no puede desactivarse: sin él no detectaríamos incidencias ni errores. Puedes oponerte conforme al art. 21 RGPD.
• Con consentimiento analítico — art. 6.1.a) RGPD: además de la misma información, almacenamos un identificador de sesión. Con él podemos seguir el recorrido de clics dentro de una visita del navegador y detectar en qué punto se abandona una función. El identificador de sesión se asigna de nuevo en cada visita; no es un identificador permanente que abarque varias visitas.

La separación está impuesta técnicamente, no solo de forma organizativa: nuestra base de datos solo acepta un identificador de sesión si existe el consentimiento analítico. Por tanto, un error en la aplicación no puede convertir de forma inadvertida el nivel inferior en el superior. Todas las entradas se eliminan automática y definitivamente a los 90 días; para ello se ejecuta a diario una tarea de borrado.

Recuentos de campañas y de embudo: en el nivel sin consentimiento registramos además con qué frecuencia se alcanzan los pasos clave de nuestro servicio, por ejemplo, las visitas a páginas de destino y los clics en sus botones, la primera solicitud de viaje enviada (no su contenido), los planes de viaje creados, los registros iniciados y completados, los viajes en grupo creados, las invitaciones enviadas y aceptadas, las suscripciones a la newsletter, los clics en enlaces de reserva, así como la visualización del banner de cookies y la elección guardada en él (solo qué categorías se eligieron). Junto con estas entradas almacenamos además el segmento de interés, la página de entrada y la fuente y el nombre de la campaña (utm_source, utm_campaign) a través de la que llegaste. Tampoco aquí se almacena ningún identificador de dispositivo ni se guarda nada en tu dispositivo. Solo evaluamos estas entradas de forma agregada, como recuentos, para entender qué canales y páginas de destino generan uso y registros. La base jurídica es el art. 6.1.f) RGPD; puedes oponerte conforme al art. 21 RGPD. Estas entradas también se eliminan a los 90 días.

14.4 Registros de costes y tokens de las funciones de IA

Para cada solicitud de IA registramos qué modelo se utilizó, cuántos tokens se procesaron, qué costes se generaron y a qué conversación se refiere, en cada caso vinculado a tu cuenta. Lo necesitamos para dirigir nuestra explotación, detectar desviaciones de coste y detectar abusos. No sirve para la facturación: TakeMeTo es gratuito, no hay saldo ni factura. Base jurídica: art. 6.1.f) RGPD (interés legítimo en una explotación estable y sostenible y en la detección de abusos). Estos registros contienen indicadores de consumo y coste, no el texto de tus mensajes. Se eliminan con la supresión definitiva de la cuenta (apartado 17.2).

14.5 Registros de errores de la cadena de procesamiento

Si falla un paso de nuestro procesamiento de planificación de viajes, almacenamos una entrada de error con el momento, el paso afectado, el mensaje y el tipo de error. Dicha entrada puede contener también la solicitud que la desencadenó, es decir, la información transmitida en ella, como el destino, las fechas de viaje o tu entrada en el chat; de lo contrario, el error no puede reproducirse. Las credenciales y claves no se almacenan. Base jurídica: art. 6.1.f) RGPD (interés legítimo en un servicio que funcione). Conservamos esas entradas solo durante el tiempo necesario para el análisis del error; en caso de supresión de la cuenta se elimina la referencia a tu cuenta y la entrada permanece sin vínculo personal. Solo tienen acceso las personas encargadas de la resolución de errores.

14.6 Tiempo de permanencia anónimo

Contabilizamos, de forma agregada por página y día, cuántas veces y durante cuánto tiempo se abrieron las páginas. Este contador no contiene identificador alguno —ni de tu cuenta ni de tu dispositivo, ninguna dirección IP— y no permite extraer conclusiones sobre personas concretas. Se lleva de forma idéntica para visitas con y sin consentimiento, porque no contiene datos personales en el sentido del art. 4.1 RGPD.

14.7 Momento de la última actividad

Para cada cuenta almacenamos cuándo estuvo activa por última vez. Lo utilizamos para detectar cuentas inactivas, acotar el alcance de un posible incidente de seguridad y planificar capacidades. Solo se conserva el momento más reciente: se sobrescribe, por lo que no se genera un historial de actividad. Base jurídica: art. 6.1.f) RGPD.

14.8 Cupo diario

TakeMeTo es gratuito. Para que el servicio siga siendo utilizable por todos, limitamos el número de mensajes al día: 60 para usuarios registrados y 5 para el uso sin cuenta. Para ello almacenamos, por cuenta y día natural, el número de mensajes enviados y, en el uso sin cuenta, por dispositivo o sesión. Finalidad: protección frente a abusos y picos de carga. Base jurídica: art. 6.1.f) RGPD (interés legítimo en una explotación estable). El contador no contiene ningún contenido de tus mensajes. Al terminar el día el recuento empieza de cero y los valores diarios más antiguos se eliminan como máximo a los 30 días.

14.9 Google Analytics 4 y Google Consent Mode

Si consientes la categoría «Analítica», utilizamos además Google Analytics 4, un servicio de analítica web de Google Ireland Limited (Irlanda), que integramos a través de Google Tag Manager. Google Analytics almacena en cookies (_ga, _ga_*) un identificador aleatorio de tu navegador y registra cómo utilizas nuestras páginas y la app: páginas visitadas, incluidos los parámetros de campaña, la página de procedencia, interacciones como crear un plan de viaje o registrarte, el segmento de interés y el idioma, así como información del dispositivo y del navegador y tu dirección IP. No transmitimos a Google nombres, direcciones de correo electrónico ni el contenido de tus conversaciones. Utilizamos los informes para entender qué canales y contenidos generan uso y registros, y para mejorar nuestro servicio.

Consent Mode: utilizamos Google Consent Mode (versión 2) en modo básico. Antes de que decidas, no se carga ningún servicio de Google ni se instala ninguna cookie de Google. Tras tu decisión, comunicamos tu elección a Google como señales de consentimiento: para analítica (analytics_storage) y para marketing (ad_storage, ad_user_data, ad_personalization). Google Analytics solo funciona si has consentido la analítica. Si cambias o retiras tu elección, enviamos las señales actualizadas; si retiras el consentimiento analítico, eliminamos además las cookies de Google Analytics.

Encargo del tratamiento y transferencia internacional: Google Ireland Limited trata los datos como nuestro encargado del tratamiento (art. 28 RGPD). Es posible una transferencia a Google LLC en EE. UU.; Google LLC está certificada conforme al EU-US Data Privacy Framework (apartado 12). Google Signals está desactivado, por lo que tu uso no se combina entre dispositivos a través de cuentas de Google; la recopilación de datos granulares de ubicación y dispositivo también está desactivada.

Plazo de conservación: Google Analytics elimina automáticamente los datos de eventos registrados a los 14 meses. Las cookies _ga y _ga_* caducan a los 2 años; si retiras tu consentimiento analítico, las eliminamos de inmediato.

Base jurídica: tu consentimiento conforme al art. 6.1.a) RGPD y al § 25.1 TDDDG. Puedes retirarlo en cualquier momento con efectos para el futuro a través de «Configuración de cookies» en el pie de página (apartado 13.3).

14.10 Marketing (consentimiento específico)

Nuestro banner de cookies incluye la categoría «Marketing»; está desactivada por defecto. Con tu consentimiento a esta categoría podemos utilizar herramientas con las que medimos el éxito de nuestros anuncios (por ejemplo, si tras hacer clic en un anuncio se produce un registro) y volvemos a mostrar nuestra publicidad, en las plataformas de los proveedores, a personas que han visitado nuestras páginas (remarketing). Los destinatarios previstos son:

• Google Ireland Limited (Google Ads y las señales de consentimiento de Google Consent Mode); posible transferencia a Google LLC, EE. UU.: EU-US Data Privacy Framework (DPF)
• Meta Platforms Ireland Ltd. (Facebook, Instagram); posible transferencia a Meta Platforms Inc., EE. UU.: DPF
• TikTok Technology Limited, Irlanda (TikTok); tratamiento también en EE. UU., Singapur y, en su caso, China: cláusulas contractuales tipo (CCT)

Situación actual: los píxeles publicitarios de Meta y TikTok y las etiquetas de Google Ads aún no están integrados. Por ahora, la categoría solo hace que guardemos tu decisión y la comuniquemos a Google como señal de consentimiento (apartado 14.9); para ello cargamos Google Tag Manager aunque solo hayas consentido el marketing y no la analítica. En ese caso, Google Analytics permanece desactivado. Solo activamos una herramienta de marketing si has consentido esta categoría. Antes de integrar cualquiera de ellas, completaremos esta política con los datos tratados, las cookies instaladas, el plazo de conservación y, en su caso, una corresponsabilidad conforme al art. 26 RGPD.

Base jurídica: tu consentimiento conforme al art. 6.1.a) RGPD y al § 25.1 TDDDG. Puedes retirarlo en cualquier momento con efectos para el futuro a través de «Configuración de cookies» en el pie de página; a continuación enviamos a Google la señal actualizada, dejamos de cargar herramientas de marketing y eliminamos las cookies que hayan instalado.

14.11 Origen de tu registro (atribución del primer contacto)

Cuando creas una cuenta, guardamos una única vez, junto con tu cuenta, cómo llegaste a nosotros. Esto se hace sin consentimiento, sobre la base de nuestro interés legítimo (art. 6.1.f) RGPD), y comprende exclusivamente:

• los parámetros de campaña de la dirección a través de la que llegaste a nuestra web (utm_source, utm_medium, utm_campaign, utm_content, utm_term), si existen;
• la página de entrada (por ejemplo, una página de destino concreta) y el dominio de la web de referencia (solo el nombre de dominio, no la dirección completa);
• el segmento de interés derivado de ello (viaje en grupo, luna de miel u otro, en su caso con una subcategoría como despedida de soltero) y de dónde se derivó;
• el idioma de la página y el momento en que abriste nuestra web por primera vez en esa sesión.

No almacenamos ninguna dirección IP, ningún identificador de dispositivo o navegador ni textos libres, y no guardamos nada en tu dispositivo para ello: hasta el registro, los datos solo se mantienen en la memoria de trabajo de la página abierta. Si no creas una cuenta, no se guarda nada.

Finalidad e interés legítimo: queremos medir qué canales (por ejemplo, redes sociales, newsletter, prensa) y qué páginas de destino generan realmente registros, para utilizar nuestra publicidad y nuestros contenidos de forma específica. Los datos solo los evaluamos internamente y de forma agregada, no se ceden a socios publicitarios y no se utilizan para tomar decisiones sobre ti como persona. Al tratarse de pocos datos no sensibles que solo se evalúan internamente, según nuestra ponderación tus intereses no prevalecen.

Plazo de conservación: mientras exista tu cuenta. Los datos se eliminan con la supresión definitiva de tu cuenta (apartado 17.2) y se incluyen en la exportación de datos de tu perfil (apartado 18).

Oposición: puedes oponerte a este tratamiento en cualquier momento conforme al art. 21 RGPD, de forma informal por correo a [email protected] indicando la dirección de correo electrónico de tu cuenta. En ese caso eliminaremos sin demora, a más tardar en 30 días, los datos de origen de tu cuenta; tu cuenta no se verá afectada.

15. Newsletter

Enviamos newsletters con contenido publicitario únicamente con tu consentimiento expreso mediante el procedimiento de doble opt-in.

• Base jurídica: art. 6.1.a) RGPD, § 7.2 UWG (ley alemana contra la competencia desleal).
• Alta: registro (momento, dirección IP, confirmación) como prueba.
• Baja: en cualquier momento mediante el enlace incluido en cada newsletter o por correo a [email protected].

Las pruebas del consentimiento se conservan hasta tres años después de la retirada.

15.1 Alta a través del formulario de nuestro sitio web

En nuestra página de inicio puedes suscribirte a la newsletter sin tener una cuenta de usuario. La finalidad del tratamiento es exclusivamente el envío de la newsletter con ideas de viaje, novedades del producto y ofertas de TakeMeTo. La base jurídica es tu consentimiento conforme al art. 6.1.a) RGPD (en relación con el § 7.2 n.º 3 UWG).

El alta se realiza mediante el procedimiento de doble opt-in: tras introducir tu dirección de correo te enviamos un mensaje de confirmación con un enlace válido durante 72 horas. Solo cuando haces clic en ese enlace te incluimos en la lista de distribución. Si no lo haces, tu dirección queda sin confirmar y no se utiliza para ningún envío.

Se almacenan: tu dirección de correo electrónico, el idioma de la página de alta, el momento del alta, el momento de la confirmación y el origen del alta (por ejemplo, «landing»). Para protegernos de altas masivas automatizadas utilizamos Cloudflare Turnstile; en ese proceso se transmiten a Cloudflare Inc. tu dirección IP y datos técnicos de tu navegador.

El envío técnico lo realiza Resend Inc., 2261 Market Street #5039, San Francisco, CA 94114, Estados Unidos, como encargado del tratamiento conforme al art. 28 RGPD. En ese proceso tu dirección de correo y el contenido del mensaje se transmiten a Estados Unidos, es decir, a un tercer país. La transferencia se basa en las cláusulas contractuales tipo de la Comisión Europea conforme al art. 46.2.c) RGPD y, de forma complementaria, en la certificación de Resend bajo el EU-US Data Privacy Framework, en la medida en que exista. Pese a estas garantías no puede descartarse que autoridades estadounidenses accedan a los datos y que no dispongas frente a ello de recursos equiparables a los de la UE.

Puedes retirar tu consentimiento en cualquier momento con efectos para el futuro y sin coste alguno. Basta con el enlace de cancelación de suscripción que aparece al final de cada newsletter; también puedes escribirnos sin formalidades a [email protected]. La retirada no afecta a la licitud del tratamiento realizado hasta ese momento. Tras la retirada eliminamos tu dirección de la lista; la prueba del consentimiento original se conserva hasta tres años.

Si eliminas tu cuenta de usuario, borramos también el alta en la newsletter asociada a esa misma dirección de correo. La información conforme al art. 15 RGPD (exportación de datos) incluye igualmente ese registro.

El envío técnico de la newsletter y de todos los correos transaccionales (por ejemplo, confirmaciones, invitaciones o avisos sobre tu cuenta) lo realiza nuestro proveedor Resend; allí se transmiten tu dirección de correo electrónico y el contenido del mensaje correspondiente (véase el apartado 11). Las notificaciones por WhatsApp o SMS se envían a través de Twilio; allí se transmite tu número de teléfono.

16. Integraciones de redes sociales (Instagram, TikTok, YouTube, Facebook)

16.1 Generalidades

Al acceder a contenidos incrustados (vídeos, publicaciones, botones) pueden transmitirse datos personales (en particular, dirección IP, información del dispositivo/navegador, IDs de cookies) a los proveedores correspondientes. Cuando es técnicamente posible utilizamos soluciones de dos clics, de modo que los datos solo se transmiten tras tu consentimiento.

Base jurídica: art. 6.1.a) RGPD (consentimiento).

16.2 Instagram

Proveedor: Meta Platforms Ireland Ltd., Irlanda / Meta Platforms Inc., EE. UU. Política de privacidad: https://privacycenter.instagram.com/policy. Mecanismo de transferencia EE. UU.: DPF.

16.3 TikTok

Proveedor: TikTok Technology Limited, Irlanda / TikTok Ltd.; tratamiento adicional en EE. UU., Singapur y, en su caso, China. Política de privacidad: https://www.tiktok.com/legal/privacy-policy. Mecanismo de transferencia: CCT.

16.4 YouTube

Proveedor: Google Ireland Limited; Google LLC, EE. UU. La incrustación se realiza a través de youtube.com y solo se carga tras tu clic. Política de privacidad: https://policies.google.com/privacy. Mecanismo de transferencia EE. UU.: DPF.

16.5 Facebook

Proveedor: Meta Platforms Ireland Ltd., Irlanda / Meta Platforms Inc., EE. UU. Solo incrustamos publicaciones de vídeo concretas compartidas por usuarios, y únicamente tras tu clic. Actualmente no utilizamos el Pixel de Meta, la Meta Conversions API ni una integración con Messenger; un Pixel de Meta solo se cargaría con tu consentimiento de marketing (apartados 11.6 y 14.10). Política de privacidad: https://www.facebook.com/privacy/policy. Mecanismo de transferencia EE. UU.: DPF.

17. Conservación y supresión de datos

Conservamos los datos personales únicamente durante el tiempo necesario para los fines correspondientes o mientras existan obligaciones legales de conservación.

Categoría

Orientación

Cuenta de usuario / datos maestros

hasta la supresión de la cuenta

Datos contractuales y de reserva

hasta 10 años (§ 147 AO, § 257 HGB)

Documentos relevantes a efectos fiscales

10 años

Datos de comunicación (mercantiles)

6 años (§ 257 HGB)

Datos de conversaciones con IA (chats)

hasta que los elimines; a más tardar 90 días después de la supresión de la cuenta

Travel DNA / perfiles de preferencias

hasta la supresión de la cuenta

Registros de costes y tokens de IA (apartado 14.4)

hasta la supresión de la cuenta

Registros de errores de la cadena de procesamiento (apartado 14.5)

el tiempo necesario para el análisis del error; al suprimir la cuenta se elimina el vínculo personal

Contador anónimo de tiempo de permanencia (apartado 14.6)

de forma permanente: no contiene vínculo personal alguno

Contador del cupo diario (apartado 14.8)

como máximo 30 días

Registros de eventos de producto, incluidos los recuentos de campañas y de embudo (apartado 14.3)

90 días, después supresión automática

Google Analytics 4 (apartado 14.9)

Datos de eventos 14 meses; cookies hasta la retirada, como máximo 2 años

Origen del registro (apartado 14.11)

hasta la supresión de la cuenta

Registros contables del fondo antiguo (apartado 17.3)

10 años (§ 147 AO, § 257 HGB) — tras la supresión de la cuenta, solo de forma seudonimizada, véase el apartado 17.3

Datos de registros y seguridad

30–90 días

Consentimientos de marketing/newsletter (prueba)

3 años tras la retirada

Una vez vencidos los plazos de conservación, tus datos se suprimen o anonimizan.

17.1 Supresión de contenidos concretos

Puedes eliminar en cualquier momento, directamente en la app, conversaciones concretas, contenidos subidos y entradas de tu Travel DNA. Esta supresión surte efecto de inmediato.

17.2 Supresión de la cuenta: plazo de carencia y supresión definitiva

Puedes eliminar tu cuenta completa en los ajustes de la cuenta. La supresión se desarrolla en dos pasos:

• De inmediato: tu cuenta se marca como suprimida y deja de poder utilizarse. Tus datos de perfil se anonimizan, tu dirección de correo electrónico queda bloqueada para un nuevo registro y los contenidos que hayas publicado se desvinculan de la cuenta.
• A los 90 días: una tarea automática que se ejecuta a diario elimina de forma irreversible tus datos personales de todas las tablas afectadas de nuestra base de datos, incluida tu cuenta de acceso, tus conversaciones, tu Travel DNA y los registros de costes y tokens. Dentro de esos 90 días aún puedes revocar la supresión; después, los datos ya no podrán recuperarse, tampoco por nuestra parte.

17.3 Excepción: registros contables del fondo antiguo

TakeMeTo es gratuito desde el 15 de septiembre de 2026 y ya no se generan nuevas operaciones de pago, apuntes de saldo ni asignaciones de suscripción. Del periodo anterior siguen existiendo registros contables. Estos registros del fondo antiguo quedan excluidos de la supresión definitiva porque debemos conservarlos conforme al derecho mercantil y fiscal (§ 147 AO, § 257 HGB); el art. 17.3.b) RGPD los excluye por ello del derecho de supresión.

En su lugar los desvinculamos de tu persona: en la supresión definitiva se elimina la referencia a tu cuenta y se sustituye por un seudónimo que no permite extraer conclusiones sobre ti. Los registros subsisten entonces únicamente como justificantes contables seudonimizados y se utilizan exclusivamente para cumplir esa obligación legal de conservación, no con fines de análisis, elaboración de perfiles o publicidad.

18. Tus derechos como interesado

Tienes frente a nosotros los siguientes derechos respecto a los datos personales que te conciernen:

• Derecho de acceso – art. 15 RGPD
• Derecho de rectificación – art. 16 RGPD
• Derecho de supresión («derecho al olvido») – art. 17 RGPD
• Derecho a la limitación del tratamiento – art. 18 RGPD
• Derecho a la portabilidad de los datos – art. 20 RGPD
• Derecho a retirar el consentimiento prestado – art. 7.3 RGPD
• Derecho a presentar una reclamación ante una autoridad de control – art. 77 RGPD

Para ejercer estos derechos puedes dirigirte a [email protected] (asuntos de protección de datos) o a [email protected] (consultas generales). Responderemos a tu solicitud en un plazo de 30 días conforme al RGPD.

Acceso y portabilidad sin pasar por nosotros: en tu perfil encontrarás un botón con el que puedes iniciar tú mismo una exportación completa de tus datos. Recibirás de inmediato un archivo JSON con todos los datos almacenados de tu cuenta: datos de cuenta y perfil, conversaciones, Travel DNA, favoritos, decisiones de consentimiento, los datos de origen de tu registro (apartado 14.11), así como los registros de costes y errores descritos en el apartado 14. Si prefieres recibir la exportación por correo electrónico, basta con un mensaje a [email protected].

18.1 Derecho de oposición (art. 21 RGPD)

Tienes derecho a oponerte en cualquier momento, por motivos relacionados con tu situación particular, al tratamiento de datos personales que te conciernan basado en el art. 6.1.e) o f) RGPD; esto se aplica también a la elaboración de perfiles basada en dichas disposiciones.

Cuando tus datos personales se traten con fines de mercadotecnia directa, tendrás derecho a oponerte en cualquier momento al tratamiento de los datos personales que te conciernan para tales fines; esto se aplica también a la elaboración de perfiles en la medida en que esté relacionada con dicha mercadotecnia directa. Si te opones al tratamiento con fines de mercadotecnia directa, tus datos personales dejarán de tratarse para tales fines.

Puedes dirigir la oposición de forma libre a [email protected].

18.2 Autoridad de control competente

La autoridad de control de protección de datos competente para nosotros como entidad no pública es:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA — Oficina Bávara de Supervisión de la Protección de Datos)

Promenade 18

91522 Ansbach

Alemania

Teléfono: +49 (0) 981 180093-0

Fax: +49 (0) 981 180093-800

Correo: [email protected]

Web: https://www.lda.bayern.de

Sin perjuicio de tu derecho a dirigirte a cualquier otra autoridad de control en un Estado miembro de la UE, en particular la de tu residencia habitual, tu lugar de trabajo o el lugar de la presunta infracción (art. 77.1 RGPD).

A título informativo – para asuntos de derecho público en Baviera:

Bayerischer Landesbeauftragter für den Datenschutz (BayLfD — Comisionado Bávaro para la Protección de Datos)

Wagmüllerstraße 18, 80538 München

Correo: [email protected]

Web: https://www.datenschutz-bayern.de

Nota: Para TakeMeTo Inc. como empresa privada, el BayLDA en Ansbach es la autoridad de control pertinente; el BayLfD se indica solo a título informativo.

19. Decisiones automatizadas

No se produce una toma de decisiones exclusivamente automatizada en el sentido del art. 22 RGPD que produzca efectos jurídicos respecto a ti o te afecte significativamente de modo similar. La elaboración de perfiles en el marco del Travel DNA y del emparejamiento de destinos sirve exclusivamente para personalizar tus sugerencias de viaje.

20. Uso de IA generativa – transparencia conforme al AI Act

Nuestra plataforma utiliza sistemas de IA para generar contenidos y sugerencias de viaje. De conformidad con las obligaciones de transparencia del art. 50 del Reglamento (UE) 2024/1689 (AI Act), advertimos lo siguiente:

• Las respuestas de nuestro chatbot de planificación de viaje pueden estar generadas por IA.
• Las salidas de la IA pueden contener errores, imprecisiones o elementos ficticios; los detalles esenciales de reserva deben comprobarse antes de celebrar el contrato.
• No realizamos categorización biométrica, reconocimiento de emociones ni puntuación social en el sentido del AI Act.
• No utilizamos sistemas de IA de alto riesgo en el sentido del anexo III del AI Act ni prácticas prohibidas por el art. 5 del AI Act.
• Los contenidos generados por IA se etiquetan de forma visible y/o legible por máquina conforme al art. 50 del AI Act.

Las comunicaciones sobre comportamiento inadecuado de la IA o daños relacionados con la IA puedes dirigirlas a [email protected].

21. Seguridad de los datos

Adoptamos las medidas técnicas y organizativas (MTO) adecuadas conforme al art. 32 RGPD para proteger tus datos frente a destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado, accidentales o ilícitos. Esto incluye, en particular:

• Cifrado en tránsito (TLS 1.2+)
• Almacenamiento cifrado en base de datos de los campos sensibles
• Controles de acceso según el principio de «necesidad de saber»
• Actualizaciones de seguridad periódicas y pruebas de penetración
• Registro de los accesos críticos

22. Menores de edad

Nuestra oferta en línea no está dirigida a personas menores de 16 años. Los menores no deben transmitirnos datos personales sin el consentimiento de sus representantes legales. Si tenemos conocimiento de tal tratamiento, suprimiremos los datos sin demora.

23. Modificaciones de esta política de privacidad

Nos reservamos el derecho a adaptar esta política de privacidad para ajustarla a cambios en la legislación o a modificaciones del servicio o del tratamiento de datos. Te informaremos a tiempo de los cambios sustanciales de forma adecuada (por ejemplo, por correo electrónico o aviso en la aplicación).

Actualizado: 2 de noviembre de 2026 · Versión: 1.3