Política de Privacidad

1. Responsable del tratamiento

2. Datos personales que recopilamos

En función de tu interacción con la Plataforma, podemos tratar las siguientes categorías de datos personales:

2.1. Datos facilitados directamente por el usuario

• Datos de registro y reserva: nombre, apellidos, correo electrónico, teléfono, país de residencia y, en su caso, contraseña cifrada.
• Datos de los participantes: número de adultos y niños, idioma preferido para la actividad y, cuando el organizador lo requiera, nombre del titular del ticket.
• Datos de facturación: dirección, NIF/DNI o equivalente cuando solicites factura.
• Datos de pago: procesados de forma segura a través de Stripe. No almacenamos en nuestros servidores los números completos de tarjetas bancarias.
• Comunicaciones: mensajes, valoraciones, reseñas y consultas que nos envíes.

2.2. Datos recopilados automáticamente

• Datos de navegación: dirección IP, tipo de navegador, sistema operativo, páginas visitadas y tiempo de permanencia.
• Datos de dispositivo: identificadores únicos, modelo, configuración de idioma y divisa preferida.
• Cookies y tecnologías similares: consulta nuestra Política de Cookies.

2.3. Datos de tus reservas y tickets

• Historial de reservas: actividades reservadas, fechas, importes, divisa mostrada (EUR/USD/GBP/MAD), tipo de cambio aplicado y método de pago.
• Datos del ticket QR: código firmado, estado (válido / usado / anulado), fecha y hora de validación y, en su caso, validador que escaneó el ticket.

3. Finalidades y bases legales

Tratamos tus datos personales para las siguientes finalidades, con las correspondientes bases legales del artículo 6 del RGPD:

4. Destinatarios de los datos

4.1. Organizadores de las actividades

Cuando reservas una actividad, comunicamos al organizador que la opera (por ejemplo, la propia CARAI MELILLA S.L. cuando la actividad es propia, o un tercer organizador colaborador) los datos mínimos necesarios para la prestación del servicio: nombre, apellidos, correo electrónico, número de participantes, idioma y datos del ticket. El organizador actúa como responsable independiente respecto del control de acceso y la ejecución de la actividad.

4.2. Proveedores de servicios (encargados del tratamiento)

• Stripe Payments Europe, Ltd. — pasarela de pago y emisión de recibos.
• Supabase / proveedor de base de datos en la UE — almacenamiento de datos de reservas, usuarios y tickets.
• Railway / Vercel — alojamiento del backend y frontend de la Plataforma.
• Proveedor de correo transaccional — envío de confirmaciones de reserva, vouchers y recordatorios.
• Google Analytics (si has consentido cookies analíticas) — análisis estadístico de uso.

4.3. Administraciones públicas y autoridades

Podremos comunicar tus datos a las autoridades competentes cuando exista una obligación legal (Agencia Tributaria, Fuerzas y Cuerpos de Seguridad, Juzgados y Tribunales).

5. Transferencias internacionales

Tus datos se almacenan principalmente en el Espacio Económico Europeo (EEE). Algunos proveedores (por ejemplo, ciertos servicios de Google o Stripe) pueden tratar datos fuera del EEE. En tales casos, garantizamos las salvaguardas adecuadas previstas en el RGPD: decisiones de adecuación de la Comisión Europea, cláusulas contractuales tipo u otros mecanismos válidos.

6. Plazos de conservación

7. Tus derechos

De conformidad con el RGPD y la LOPDGDD, puedes ejercer los siguientes derechos:

• Acceso: conocer si tratamos tus datos y obtener copia de los mismos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión («derecho al olvido»): eliminar tus datos cuando ya no sean necesarios o retires tu consentimiento.
• Oposición: oponerte al tratamiento, especialmente para marketing directo.
• Limitación: solicitar la limitación del tratamiento en determinados supuestos.
• Portabilidad: recibir tus datos en formato estructurado y de uso común.
• No ser objeto de decisiones automatizadas con efectos jurídicos.
• Retirar el consentimiento en cualquier momento.

¿Cómo ejercer tus derechos?

Deberás acompañar tu solicitud de copia de tu DNI o documento identificativo equivalente. Te responderemos en el plazo máximo de un mes, prorrogable en casos complejos.

Reclamación ante la Autoridad de Control

Si consideras que el tratamiento de tus datos vulnera la normativa vigente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6 — 28001 Madrid — www.aepd.es.

8. Medidas de seguridad

• Cifrado en tránsito (HTTPS/TLS) y en reposo.
• Contraseñas almacenadas con algoritmos de hash seguros (bcrypt).
• Códigos QR firmados digitalmente con JWT para evitar duplicación y falsificación.
• Control de acceso basado en roles (Administrador, Organizador, Validador, Cliente) y principio de mínimo privilegio.
• Copias de seguridad periódicas y monitorización continua.
• Procesamiento de pagos delegado en Stripe, certificado PCI-DSS nivel 1.

9. Menores de edad

La contratación de actividades a través de la Plataforma está dirigida a personas mayores de 18 años. Los menores de edad podrán participar como acompañantes siempre bajo la responsabilidad y con el consentimiento de sus padres o tutores legales, conforme al artículo 8 del RGPD y al artículo 7 de la LOPDGDD.

10. Modificaciones

Nos reservamos el derecho de modificar esta Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales o a nuestra práctica empresarial. Notificaremos cualquier cambio significativo en este sitio web o por correo electrónico. Te recomendamos revisar esta página periódicamente.