Política de privacidad

En resumen

• FlyDown solo trata los datos que necesita para funcionar: tu cuenta, tus alertas y, si las activas, las notificaciones.
• Nada de publicidad, nada de elaboración de perfiles, nada de analítica de terceros, ningún dato vendido a nadie. Registramos cómo se usa FlyDown (páginas vistas, botones pulsados) solo para mejorarla, sin cookies y sin dirección IP.
• Los datos están en un servidor virtual de OVHcloud en el Reino Unido, un país que para la Unión Europea protege los datos de forma adecuada; al sitio se llega a través de Cloudflare, que lo protege y lo hace rápido. Las fuentes, los mapas y las fotos se sirven desde nuestro servidor: tu navegador no contacta con otros servicios mientras usas FlyDown.
• Desde tu perfil puedes descargar todos tus datos y eliminar la cuenta cuando quieras.

1. Quién es el responsable del tratamiento

El responsable es Domenico Pasquale, Via Pola 18B, 75012 Bernalda (MT), Italia (NIF-IVA IT01391390778), que gestiona FlyDown. Para cualquier pregunta sobre tus datos, escribe a privacy@getflydown.com.

FlyDown no ha designado un delegado de protección de datos (DPD): para un servicio de este tamaño no es obligatorio.

2. Qué datos tratamos

Para gestionar los problemas de entrega guardamos el destinatario, el identificador del correo enviado, el código de respuesta del servidor, el estado y las fechas de los intentos. Los informes devueltos a [email protected] se leen automáticamente en modo de solo lectura: su contenido y sus adjuntos no se copian en la base de datos. Los fallos de entrega se conservan 90 días; el estado actual hasta confirmar la recepción, resolver el problema o eliminar la cuenta. Se incluyen en la exportación de tus datos. Su finalidad es gestionar las comunicaciones solicitadas y evitar envíos repetidos a buzones inaccesibles (art. 6.1.b RGPD).

Cuenta

Dirección de correo electrónico, nombre (opcional), plan elegido, fecha de registro y del último acceso, versión y fecha de aceptación de las condiciones de uso. La contraseña nunca se guarda: solo conservamos un hash irreversible (PBKDF2-SHA256), a partir del cual no se puede obtener la contraseña.

Uso del servicio

Las alertas que creas (aeropuertos, destinos, países, fechas, presupuesto, número de pasajeros, aerolíneas, ajustes para visitar varias ciudades), los destinos que excluyes, las preferencias de notificaciones (incluida la zona horaria de tu dispositivo), las ofertas encontradas para tus alertas, los vuelos que eliges seguir (ruta, fechas y precio de referencia para los avisos; se eliminan cuando dejas de seguirlos o tras la salida) y, si pides que te avisemos, los planes de pago para los que estás en lista de espera. También registramos el día en que usaste FlyDown por última vez.

Solicitud de invitación

Si pides una invitación sin tener cuenta, solo conservamos tu correo electrónico, la fecha y el canal por el que llegaste, para escribirte cuando quede una plaza libre. Base jurídica: tu consentimiento, que puedes retirar en cualquier momento escribiéndonos. Lo borramos después de invitarte o, como máximo, al cabo de 12 meses.

Correos con novedades y ofertas (solo si lo eliges)

Si marcas la casilla al registrarte o activas la opción en el perfil, usamos tu correo electrónico para escribirte de vez en cuando sobre novedades y ofertas de FlyDown, por ejemplo cuando lleguen los nuevos planes. Conservamos la fecha del consentimiento. Base jurídica: tu consentimiento, que puedes retirar en cualquier momento desde el perfil o escribiéndonos. Si estás en lista de espera para un plan, solo te escribimos sobre ese plan.

Correos electrónicos automáticos: confirmación de la dirección, acceso y contraseña

Cuando te registras, te enviamos un correo electrónico de bienvenida con un enlace para confirmar tu dirección (válido durante 7 días); registramos la fecha de la confirmación. Si te has registrado solo con el correo electrónico, o eliges entrar sin contraseña, te enviamos un enlace para entrar, de un solo uso y válido durante 30 minutos. Si pides restablecer la contraseña, te enviamos un enlace de un solo uso válido durante 60 minutos. Algunos correos contienen botones que hacen algo con un solo toque (entrar, ampliar una alerta): valen como máximo 30 días y una sola vez. De todos estos enlaces solo conservamos un hash no reversible, que se borra después de su caducidad. Base jurídica: la prestación del servicio.

De los correos de servicio que te enviamos (avisos de vuelos, bienvenida, consejos) guardamos durante 90 días destinatario, asunto, texto y resultado del envío: sirve para comprobar qué salió de verdad cuando algo no llega. Pasados 90 días se borran solos; si eliminas la cuenta, de inmediato. Base jurídica: nuestro interés legítimo en hacer funcionar el servicio y responderte.

Para recuperar una confirmación tras un error, conservamos la solicitud de envío, con la dirección, el idioma, los datos de la plantilla y el resultado de los intentos, durante un máximo de 7 días. La solicitud se incluye en la exportación de tus datos y se elimina con la cuenta. La cola no guarda el código del enlace en texto plano.

Invita a un amigo

Cada cuenta tiene un enlace personal para invitar a otras personas. Si te registras desde el enlace de alguien, guardamos en tu cuenta quién te invitó, para darle la alerta adicional prevista cuando crees tu primera alerta. Quien te invitó solo ve cuántos amigos se han registrado desde su enlace, nunca quiénes son. Base jurídica: la prestación del servicio. El vínculo se borra al eliminarse cualquiera de las dos cuentas.

Telegram (solo si lo vinculas)

Si vinculas el bot de FlyDown en Telegram, conservamos el identificador de tu chat y la fecha de la vinculación, para enviarte allí los avisos y responderte. Los mensajes pasan por Telegram (Telegram Messenger Inc.), que los trata según su propia política de privacidad y puede estar fuera de la Unión Europea. Puedes desvincularlo cuando quieras desde el perfil o bloqueando el bot. Base jurídica: la prestación del servicio que has pedido.

Chat «Ayuda»

Si escribes a Sir Flappy, el chat de ayuda, conservamos tus mensajes y nuestras respuestas, la página desde la que escribes, el idioma y, si no tienes cuenta, el correo electrónico que nos dejas para responderte. Te responde una persona: los mensajes le llegan al responsable por Telegram. Si no tienes cuenta, el navegador conserva un código aleatorio para recuperar la conversación. Base jurídica: responder a tu solicitud (art. 6.1.b RGPD). Las conversaciones se borran 12 meses después del último mensaje, o de inmediato si eliminas la cuenta, y se incluyen en «Descargar mis datos».

Sesión

Cuando inicias sesión, el navegador recibe una cookie técnica con un código de sesión. En el servidor solo conservamos su hash, con la fecha de caducidad y la indicación del navegador utilizado (user agent), para que puedas reconocer las sesiones en tus datos exportados.

Notificaciones push (solo si las activas)

Tu navegador nos facilita una dirección de entrega en su servicio de notificaciones y las claves públicas para cifrar los mensajes. También conservamos el tipo de navegador y la fecha del último envío correcto.

Datos técnicos

El servidor web y el registro del servicio anotan, por cada solicitud, la dirección IP, la fecha y la hora, la página solicitada y el navegador. Sirven para proteger el servicio frente a abusos y averías. Los intentos de acceso, de registro y de recuperación de la contraseña se cuentan por dirección IP solo en memoria, durante unas pocas horas, para bloquear a quien se equivoca demasiadas veces, crea cuentas en serie o envía demasiadas solicitudes.

Estadísticas de uso

Para medir la espera, también conservamos durante 90 días el momento en que el servidor recibe del navegador la señal de la primera tarjeta de oferta visible de un nuevo seguimiento. La medida está vinculada al seguimiento, se incluye en la exportación de tus datos y se elimina con el seguimiento. No se recoge si el navegador envía Global Privacy Control.

Para entender qué funciona y qué no, registramos las interacciones con FlyDown: páginas vistas, clics en enlaces y botones (el nombre del botón, nunca lo que escribes), clics en «Reservar» con aerolínea y ruta, y las acciones en la cuenta (registro, acceso, alerta creada, modificada o eliminada, lista de espera, notificaciones). Por cada acción guardamos la fecha y la hora, la página, el idioma de la página y del navegador, el tipo de dispositivo (teléfono, ordenador, app), el país (dos letras, por ejemplo «IT»), el canal desde el que has llegado (por ejemplo «instagram») y el dominio del sitio que te ha traído hasta aquí. También anotamos si en la página hubo al menos un gesto (desplazarte, tocar, usar el ratón o el teclado), sí o no: sirve para no contar como personas a los programas automáticos que leen las páginas.

Para las estadísticas no guardamos la dirección IP, el correo electrónico ni el texto que escribes, no usamos cookies y no guardamos identificadores en tu navegador. Para saber cuántas personas nos visitan, y no solo cuántas páginas se abren, calculamos un código a partir de tu dirección IP y de tu navegador mezclados con un número aleatorio que cambia cada día: del código no se puede volver a la dirección, la dirección no se guarda en ningún sitio y mañana el mismo visitante tiene un código distinto, así que no podemos seguirte de un día para otro. El país lo deduce Cloudflare, que nos hace llegar el sitio, a partir de la dirección IP de tu conexión y nos lo pasa con la solicitud: conservamos solo las dos letras, no la dirección. El canal de llegada pasa de una página a otra dentro de los enlaces. Si has iniciado sesión, la acción queda vinculada a tu cuenta. Si el navegador envía la señal Global Privacy Control, no registramos las interacciones de la página.

Los datos solo los ve el responsable del tratamiento. A las aerolíneas les mostramos, como máximo, cifras agregadas (por ejemplo, cuántos clics en «Reservar» ha recibido una aerolínea), nunca datos referidos a una persona. Base jurídica: interés legítimo en mejorar el servicio y medir su uso (art. 6.1.f RGPD); puedes oponerte escribiéndonos. Tus acciones registradas se incluyen en «Descargar mis datos».

Pagos (solo si compras el Plus)

Si compras el Plus, el pago se hace en Stripe (Stripe Payments Europe, Ltd., Irlanda). Stripe recibe tu correo electrónico y los datos de la tarjeta que introduces y los trata según su propia política de privacidad (stripe.com/es/privacy). FlyDown no ve ni guarda los datos de la tarjeta: solo conserva los identificadores del cliente y de la suscripción en Stripe, los importes, las fechas de los periodos pagados y los resultados de los pagos (correctos, fallidos, reembolsados, disputados).

Qué no tratamos

Datos de la tarjeta (solo los trata Stripe, si compras el Plus), ubicación, contactos, datos sensibles. No creamos perfiles con fines publicitarios y no tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti: los avisos siguen únicamente las reglas que tú configuras.

3. Por qué los tratamos y con qué base

El correo electrónico y la contraseña son necesarios para tener una cuenta; sin ellos, no se puede usar FlyDown. El nombre es opcional. Las notificaciones son siempre opcionales y se desactivan desde el perfil o desde los ajustes del navegador.

4. Dónde están los datos y quién los ve

• Servidor: un servidor virtual (VPS) proporcionado por OVHcloud en su centro de datos de Erith, en el Reino Unido. La Comisión Europea ha adoptado una decisión de adecuación para el Reino Unido: allí los datos están protegidos como en la Unión Europea, sin necesidad de otras garantías. OVHcloud aloja el servidor como encargado del tratamiento y no usa los datos para otros fines.
• Cloudflare: al sitio se llega a través de Cloudflare, Inc. (Estados Unidos), que lo protege de ataques y abusos y lo hace más rápido. Mientras pasan las solicitudes, Cloudflare ve la dirección IP, el navegador y la página solicitada, como encargado del tratamiento conforme a su propio acuerdo de tratamiento de datos; la transferencia está cubierta por el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) y por las cláusulas contractuales tipo de la Comisión Europea.
• Stripe: si compras el Plus, Stripe Payments Europe, Ltd. (Irlanda), con empresas del grupo también en Estados Unidos, cobra el pago y gestiona el portal de clientes para tarjeta, facturas y cancelación. Recibe tu correo y los datos de pago. Las transferencias fuera del Espacio Económico Europeo se hacen con las garantías previstas por Stripe.
• Copias de seguridad: cada noche se hace una copia de la base de datos, que se verifica y se guarda durante 14 días en el mismo servidor; una segunda copia, también durante 14 días, está en Oracle Cloud Infrastructure en Milán (Unión Europea), que la custodia como encargado del tratamiento.
• Telegram (solo si vinculas el bot o escribes en el chat «Ayuda»): los avisos que pides por Telegram, y los mensajes del chat que le llegan al responsable, pasan por Telegram Messenger Inc., que puede estar fuera de la Unión Europea y los trata según su propia política de privacidad.
• Servicios de notificaciones del navegador (solo si activas las notificaciones): el mensaje pasa por el servicio de tu navegador, por ejemplo Google (Chrome, Android), Apple (Safari, iPhone), Mozilla (Firefox) o Microsoft (Edge). El contenido viaja cifrado y el servicio no puede leerlo; solo ve la dirección de entrega. Estos servicios pueden estar fuera de la Unión Europea: las transferencias se realizan con las garantías previstas por el RGPD, como el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) o las cláusulas contractuales tipo de la Comisión Europea.
• Correo electrónico: si escribes a FlyDown, tu correo lo gestiona el proveedor del buzón de correo del responsable. El buzón de correo y el envío de los correos automáticos (bienvenida y confirmación de la dirección, enlaces para la contraseña y, si los has elegido, novedades y ofertas) están encomendados a Hostinger International Ltd. (Chipre, Unión Europea), que actúa como encargado del tratamiento.

Nadie más recibe tus datos. No los vendemos ni los cedemos con fines publicitarios.

Enlaces a aerolíneas y a FlixBus. Cuando pulsas «Reservar» o un trayecto en autobús, abres la web de esa empresa, que trata los datos según su propia política de privacidad. El enlace solo contiene el trayecto, las fechas y el número de pasajeros, no tus datos. El botón «Reservar» de algunas aerolíneas (hoy Vueling) y los enlaces a los servicios en el destino son de afiliación: contienen un código que identifica a FlyDown, nunca a ti. Los servicios en el destino llevan la mención «enlace de afiliado». El socio puede usar sus propias cookies después de que hayas abierto su web; consulta Cómo se financia FlyDown.

5. Durante cuánto tiempo

6. Tus derechos

En cualquier momento puedes solicitar el acceso a tus datos, su rectificación, su supresión, la limitación de su tratamiento, recibirlos en un formato legible por máquina (portabilidad) y oponerte a los tratamientos basados en el interés legítimo (arts. 15–21 RGPD).

• Por tu cuenta, al momento: en el perfil encontrarás «Descargar mis datos», que genera un archivo con todo lo que FlyDown conserva sobre ti, y «Eliminar cuenta».
• Por correo electrónico: escribe a privacy@getflydown.com. Respondemos en un plazo de 30 días.
• Reclamación: si consideras que tus datos no se tratan correctamente, puedes dirigirte al Garante per la protezione dei dati personali (autoridad italiana de protección de datos, garanteprivacy.it) o a la autoridad del país en el que vives.

7. Seguridad

Las contraseñas, los códigos de sesión y los enlaces enviados por correo electrónico se conservan solo como hashes irreversibles, las cookies están protegidas frente al acceso de los scripts, los accesos repetidos con contraseña errónea se bloquean y los mensajes de las notificaciones viajan cifrados. Ningún sistema es seguro al 100 %: en caso de una violación de datos que te afecte, te lo comunicaremos según lo previsto por el RGPD.

8. Menores

FlyDown está reservada a personas mayores de edad. Si detectamos que una cuenta pertenece a un menor, la eliminamos.

9. Cambios

Si FlyDown cambia la forma en que trata los datos, por ejemplo añadiendo pagos o nuevos proveedores, esta política se actualizará antes del cambio, con la nueva fecha arriba. Los cambios importantes se te indicarán en la app.