Política de privacidad

1. Responsable del tratamiento

• Responsable: Jorge Donet Alberola
• DNI: 20025823E
• Dirección: Avda. de la Valldigna, 9, 46750 Simat de la Valldigna, Valencia (España)
• Correo: kidstoride@gmail.com
• Contacto de privacidad: privacidad@kidstoride.com

2. Datos que tratamos

• Datos identificativos: nombre, apellidos, DNI/NIE cuando proceda.
• Datos de contacto: correo electrónico, teléfono.
• Datos de las personas menores: nombre, apellidos y fecha de nacimiento, aportados por la madre, padre o tutor/a legal.
• Datos de pago: gestionados íntegramente por Stripe Payments Europe Ltd. No almacenamos número de tarjeta.
• Datos de uso de la plataforma: viajes publicados, reservas, valoraciones.
• Datos de geolocalización en tiempo real durante un trayecto activo, con tu consentimiento expreso. Se almacenan en Redis con un TTL máximo de 1 hora y nunca se persisten en bases de datos relacionales.

3. Finalidades y bases jurídicas

• Ejecución del contrato: prestación del servicio de la plataforma, registro, gestión de viajes, cobros y comunicaciones operativas.
• Cumplimiento de obligaciones legales: facturación, fiscalidad, atención a requerimientos administrativos o judiciales.
• Interés legítimo: prevención del fraude, seguridad de la plataforma y mejora del servicio.
• Consentimiento: envío de comunicaciones comerciales, geolocalización en tiempo real, cookies analíticas y publicitarias.

4. Conservación de los datos

Conservaremos los datos mientras se mantenga la relación contractual y, una vez finalizada, durante los plazos legalmente exigibles para atender posibles responsabilidades (con carácter general, hasta seis años para fines fiscales).

Las posiciones GPS solo se conservan durante el trayecto activo, con eliminación automática transcurrida 1 hora.

5. Destinatarios y encargados

No cedemos sus datos a terceros salvo obligación legal. Para prestar el servicio empleamos los siguientes encargados del tratamiento:

• Stripe Payments Europe Ltd. (pasarela de pagos, Merchant of Record).
• Cloudflare Inc. — R2 (almacenamiento de archivos: avatares, documentos e imágenes subidas por los usuarios).
• Fly.io Inc. (alojamiento de la API y servicios de backend).
• Vercel Inc. (alojamiento y CDN de la aplicación web).
• Upstash Inc. (Redis gestionado para datos efímeros de sesión y GPS, y cola de tareas asíncronas QStash).
• Resend Inc. (envío de correos electrónicos transaccionales).
• MapTiler AG (mosaicos de mapa, geocodificación y rutas — UE).
• Google LLC — Firebase Cloud Messaging (notificaciones push), Google Analytics (analítica web) y Google OAuth (autenticación social).
• Apple Inc. (autenticación social — Sign in with Apple).
• Mistral AI S.A.S. (funcionalidades de inteligencia artificial — Francia, UE).
• PostHog Inc. (analítica de producto, servidor en UE).
• LiveKit Inc. (comunicación de voz y vídeo en tiempo real).

6. Transferencias internacionales

Algunos encargados pueden tratar datos fuera del Espacio Económico Europeo. En tal caso, se garantizan mediante Cláusulas Contractuales Tipo aprobadas por la Comisión Europea u otras garantías reconocidas por el RGPD.

7. Sus derechos

Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y revocación del consentimiento escribiendo a kidstoride@gmail.com o a la dirección postal indicada, acompañando copia de un documento de identidad.

Si considera que el tratamiento no se ajusta a la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

8. Datos de menores

Los datos de las personas menores de 14 años son aportados exclusivamente por su madre, padre o tutor/a legal, quien asume la responsabilidad de su veracidad y la legitimación para facilitarlos. La plataforma no permite el registro autónomo de personas menores de 14 años.

Entre los datos de los menores se incluyen la talla (`heightCm`) y el peso (`weightKg`), utilizados exclusivamente para determinar el tipo de sistema de retención infantil homologado requerido para la seguridad vial del menor durante los trayectos. Estos datos se tratan con base en el consentimiento del tutor legal (Art. 6.1.a RGPD) y, por su posible relación con la salud, también con consentimiento explícito del tutor conforme al Art. 9.2.a RGPD. No se utilizan para ninguna otra finalidad ni se ceden a terceros.

10. Decisiones automatizadas y perfilado antifraude

La plataforma utiliza un sistema automatizado de evaluación del riesgo (`riskScore`) para prevenir el fraude y proteger la seguridad de los usuarios. Este sistema analiza patrones de comportamiento en la plataforma (cancelaciones, disputas, actividad anómala) y puede asignar a una cuenta el estado `creditBlocked`, que impide realizar nuevas reservas.

Esta decisión tiene efectos significativos para el usuario y está sujeta al Art. 22 RGPD. Tiene derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado, a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión. Para ejercer este derecho, contacte con nosotros en privacidad@kidstoride.com indicando en el asunto "Impugnación decisión automatizada".

9. Seguridad

Aplicamos las medidas técnicas y organizativas necesarias para garantizar la confidencialidad, integridad y disponibilidad de los datos: cifrado en tránsito (TLS 1.2+), cifrado en reposo, control de accesos, autenticación reforzada con JWT y refresh tokens, registro de actividad y revisiones periódicas.