Política de privacidad

TodsAI LLC, 30 N Gould St Ste N, Sheridan, WY 82801, USA, opera el sitio web y el servicio. Contacto: hello@nelxa.com. Contacto de protección de datos: hello@todsai.com.

Para los visitantes de este sitio web y para las personas que tienen cuentas de Nelxa (personal de agencias), somos el responsable del tratamiento.

Para los datos personales que una agencia guarda en su espacio de trabajo sobre sus viajeros y contactos comerciales, la agencia es la responsable y nosotros somos su encargado, actuando conforme a sus instrucciones bajo el Acuerdo de tratamiento de datos. Si usted es viajero y tiene preguntas sobre sus datos en el espacio de una agencia, contacte primero con esa agencia; la ayudaremos a responder.

El sitio web establece una cookie estrictamente necesaria (nelxa_site_lang) para recordar su elección de idioma. No usa cookies publicitarias ni de seguimiento. Si activamos analítica web, funciona sin cookies y sin identificarle.

Nuestro proveedor de alojamiento conserva registros estándar del servidor (dirección IP, página solicitada, tipo de navegador, hora) por seguridad y operación.

Si solicita una demo, tratamos los datos que introduce (nombre, correo, nombre de la agencia, teléfono opcional, tamaño del equipo, mensaje y su idioma) para responderle y, si se convierte en cliente, para configurar su cuenta. Los conservamos el tiempo necesario para dar seguimiento.

Cuando crea una cuenta tratamos su nombre, su dirección de correo y, si inicia sesión con Google, los datos de perfil que Google proporciona. La autenticación la gestiona Firebase Authentication; las sesiones usan una cookie firmada.

Mientras usa el servicio registramos a qué espacio de trabajo pertenece y con qué rol, y las acciones atribuidas a su cuenta, como ejecuciones de automatizaciones, ediciones y firmas recogidas, para que la agencia disponga de un registro fiable. Las conversaciones de soporte se conservan para resolver su solicitud.

Según lo que la agencia introduzca, un espacio de trabajo puede contener, por viajero: nombre y datos de contacto; datos de documentos de identidad (número de pasaporte o DNI, caducidad, copias subidas) necesarios para las reservas; idioma de comunicación; vínculos familiares; historial de viajes; calendarios de plazos, pagos, reembolsos y declaraciones de pago; contratos, firmas con hora, dirección y navegador; códigos de acceso al portal y mensajes; y, para pasajeros de grupo, necesidades dietéticas, notas médicas y contactos de emergencia.

No usamos estos datos para fines propios, no los vendemos y no los usamos para entrenar modelos de IA. Los archivos subidos se guardan en rutas por agencia controladas por el servidor; los números de documentos de identidad se guardan en la base de datos del espacio de trabajo y solo son visibles para el personal de la agencia según su rol.

La base de datos (PostgreSQL) se ejecuta en Supabase en Fráncfort (Alemania). La aplicación se ejecuta en Google Cloud (Firebase App Hosting) en la región europe-west4, y los PDF los genera un servicio privado en Google Cloud Run en la misma región. El inicio de sesión usa Firebase Authentication, un servicio global de Google; los archivos subidos se guardan en Firebase Storage en la Unión Europea.

Cuando una agencia conecta servicios propios, los datos fluyen hacia ellos según sea necesario: Stripe (pagos con tarjeta, la cuenta de Stripe de la agencia); el proveedor de correo elegido por la agencia (Brevo, Resend o su propio servidor SMTP) para los correos a los viajeros; un proveedor de IA (OpenAI, Anthropic o Google) solo cuando la agencia ha introducido su propia clave y solo para el contenido que envía; Google Calendar cuando está conectado. Las búsquedas de números de vuelo (AeroDataBox), lugares (Google Places) y fotos de archivo (Unsplash, Pexels, Pixabay) envían únicamente los términos de búsqueda.

La lista completa, con ubicaciones, está en la página del Acuerdo de tratamiento de datos. Cuando un proveedor trata datos fuera de la UE/EEE, la transferencia se basa en las garantías de las condiciones de ese proveedor, como las cláusulas contractuales tipo de la UE.

Los datos de la cuenta se conservan mientras exista la cuenta. Los datos del espacio de trabajo se conservan mientras el espacio esté activo. Los registros que una agencia elimina van a la papelera del espacio y se purgan definitivamente 30 días después de eliminarse; los viajes que contienen registros financieros (pagos, reembolsos, modificaciones aceptadas) se conservan con fines contables en lugar de purgarse. Los contratos firmados conservan la instantánea sobre la que se firmaron durante toda la vida del viaje.

Cuando se cierra un espacio de trabajo, eliminamos o devolvemos sus datos según lo acordado en el Acuerdo de tratamiento de datos, salvo que la ley exija una conservación más larga.

Cada registro lleva su agencia y la seguridad a nivel de fila de PostgreSQL impone esa frontera; las rutas de la API comprueban el usuario, el espacio de trabajo y el rol en cada petición. El tráfico se cifra en tránsito. Las claves de proveedores que introducen las agencias se cifran en reposo (AES-256-GCM). Los enlaces del portal son tokens personales con caducidad y los códigos de un solo uso tienen límite de intentos. Los registros eliminados pueden recuperarse antes de la purga, y las ejecuciones de automatizaciones y las firmas quedan registradas.

Conforme al RGPD puede solicitar acceso a sus datos personales, rectificación, supresión, limitación, portabilidad, y puede oponerse a tratamientos basados en intereses legítimos. Escriba a hello@nelxa.com. Si usted es viajero, su agencia es la responsable de los datos de su espacio de trabajo y puede atender su solicitud directamente; nosotros la apoyamos en ello.

También tiene derecho a presentar una reclamación ante la autoridad de control de protección de datos del Estado miembro de la UE en el que resida o trabaje o en el que se haya producido la presunta infracción; en Grecia es la Autoridad Helénica de Protección de Datos (www.dpa.gr).

Las cuentas de Nelxa son para usuarios profesionales. Las agencias pueden registrar viajeros de cualquier edad (por ejemplo, niños en una reserva familiar); hacerlo es responsabilidad de la agencia como responsable del tratamiento.

Actualizamos esta política cuando cambian el software o la ley. La fecha de la parte superior indica la versión vigente; los cambios sustanciales se comunican a los propietarios de cuenta.