Política de Privacidad

Quién es el responsable

El responsable del tratamiento de los datos personales que aquí se describen es OnwardTrust S.a.r.l., Rue du puits Romain 33-39, 8070 Bertrange, Luxembourg. Los datos identificativos completos figuran en nuestro aviso legal.

Para cualquier cuestión sobre sus datos, incluida cualquiera de las solicitudes de la sección 11, escriba a help@onwardtrust.com.

Esta política cubre nuestro sitio web, las páginas de pago en onwardtrust.com/pay/ y la correspondencia que intercambiamos con usted. No cubre a la agencia de viajes con la que reservó, que decide por sí misma qué hacer con los datos que conserva y es un responsable del tratamiento distinto a esos efectos.

De dónde proceden sus datos

La mayor parte de lo que conservamos sobre un viajero no procede del viajero. Procede de uno de estos tres sitios:

• De la agencia, cuando crea un pago: el nombre del viajero, su dirección de correo electrónico, su idioma preferido, la reserva a la que se refiere y el importe a pagar.
• Del banco, cuando llega una transferencia: el nombre de la cuenta ordenante, su IBAN, el importe, la fecha valor y el concepto de texto libre que escribió el ordenante.
• De usted, si nos escribe, usa la página de pago o nos envía pruebas en apoyo de una solicitud o de una reclamación.

Qué conservamos

• Datos de identificación y de contacto — nombre, dirección de correo electrónico y cualquier dirección postal o número de teléfono que decida darnos en la correspondencia.
• Datos de pago — la referencia de pago, el importe, la divisa, el estado en que se encuentra el pago, los momentos en que cambió de estado y los datos bancarios de la cuenta desde la que salió el dinero.
• Datos de la reserva — el identificador de reserva propio de la agencia y, en el justificante de emisión que presenta una agencia, el número de billete y el nombre del pasajero de la reserva.
• Correspondencia — los mensajes que nos envía y nuestras respuestas, incluido cualquier archivo adjunto.
• Datos técnicos — nuestro servidor web registra la dirección IP, la petición, la hora y la cadena de identificación del navegador de cada petición, como hace casi cualquier servidor web. Por separado, nuestros propios registros de la aplicación recogen la tramitación de un pago, que incluye su referencia.

No pedimos ni queremos un número de tarjeta, un código de seguridad de tarjeta, una contraseña de banca en línea ni un código de un solo uso. No aceptamos tarjetas de ningún tipo, así que no hay ninguna circunstancia en la que los necesitáramos. Si alguien se los pide en nuestro nombre, consulte la sección 9 de nuestros Términos y Condiciones.

Por qué, y sobre qué base jurídica

Para operar el depósito en garantía: recibir el dinero, conciliarlo con una reserva, comunicar a la agencia que está retenido y liberarlo o devolverlo

Ejecución de un contrato (artículo 6(1)(b) del RGPD), y nuestro interés legítimo en ejecutar el contrato que tenemos con la agencia cuando el viajero no es directamente nuestra contraparte (artículo 6(1)(f)).

Para informarle de lo que ocurre con su dinero

Ejecución de un contrato, y nuestro interés legítimo en que un viajero no quede sin información sobre un dinero que ha enviado (artículo 6(1)(f)).

Para prevenir, detectar e investigar el fraude, la suplantación de identidad y el uso indebido del servicio

Nuestro interés legítimo, y el interés legítimo de todos los demás usuarios del servicio, en que un sistema de pago no se utilice para estafar a las personas (artículo 6(1)(f)).

Para cumplir nuestras obligaciones contra el blanqueo de capitales y la financiación del terrorismo, y para comprobar las listas de sanciones

Cumplimiento de una obligación legal (artículo 6(1)(c)).

Para llevar registros contables y fiscales

Cumplimiento de una obligación legal (artículo 6(1)(c)).

Para formular, ejercer o defender reclamaciones legales, incluso en un conflicto sobre una reserva

Nuestro interés legítimo en poder acreditar lo ocurrido (artículo 6(1)(f)), y el cumplimiento de una obligación legal cuando lo exija un tribunal o una autoridad.

Para mantener el servicio seguro y disponible

Nuestro interés legítimo en operar el servicio de forma segura (artículo 6(1)(f)).

No vendemos datos personales, no los compartimos para el marketing de nadie y no enviamos correos de marketing a los viajeros.

Cookies y seguimiento

Este sitio web no instala cookies, y las páginas de pago tampoco instalan cookies. En ninguno de los dos hay analítica, ni píxel publicitario, ni ningún script de terceros de ningún tipo. Por eso no se le pide que acepte nada.

Además, es una decisión de diseño y no una omisión. Su idioma procede de la dirección de la página en la que está, no de algo almacenado en su dispositivo — por eso cada idioma es una dirección web distinta — y una página de pago no arrastra ningún estado entre visitantes, de modo que el idioma o la reserva de un viajero no pueden revelarse a la siguiente persona que use un ordenador compartido.

Nuestro servidor web conserva registros de las peticiones, como se describe en la sección 3. No son cookies y no le siguen a ningún otro sitio web.

Con quién lo compartimos

• Nuestro banco, necesariamente, para poder recibir y enviar el dinero.
• La agencia de viajes de su reserva: que se ha recibido y retenido un pago, que se ha liberado o devuelto, y la referencia a la que corresponde. No facilitamos a la agencia los datos bancarios de la cuenta desde la que pagó.
• Nuestros proveedores de servicios, principalmente de alojamiento y de envío de correo electrónico, con contratos escritos que solo les permiten actuar siguiendo nuestras instrucciones.
• Nuestros asesores profesionales — contables, auditores y abogados — cuando lo necesitan y están sujetos a confidencialidad.
• Las autoridades públicas, cuando la ley lo exige, incluso en relación con el blanqueo de capitales, las sanciones, los impuestos o una orden judicial.

Dónde se almacena

Nuestros servidores están ubicados en la Unión Europea, y los datos personales descritos en esta política se almacenan allí. No los transferimos habitualmente fuera del Espacio Económico Europeo. Si eso cambia alguna vez, utilizaremos un mecanismo de transferencia reconocido en el capítulo V del RGPD, como las cláusulas contractuales tipo de la Comisión Europea, y lo advertiremos aquí antes de hacerlo.

Cuánto tiempo lo conservamos

• El registro de un pago, y su página de estado — 24 meses desde la fecha en que el pago se completó o se devolvió, para que ambas partes de una reserva puedan seguir consultando el mismo registro si algo se cuestiona más adelante.
• Los registros contables, incluidos los datos de las transacciones subyacentes — diez años, que es el periodo durante el cual el derecho mercantil luxemburgués nos obliga a conservarlos.
• Los registros conservados para cumplir las obligaciones contra el blanqueo de capitales — cinco años desde el fin de la relación de negocio o de la transacción, como exige esa legislación.
• Correspondencia — 24 meses, o más cuando se refiera a una reclamación todavía abierta o a una acción legal.
• Los registros de peticiones del servidor web — 14 días.
• Los registros de la aplicación, que recogen la tramitación de un pago y no una petición web — 8 semanas.

Cuando dos de estos plazos se apliquen a los mismos datos, rige el más largo, porque no podemos suprimir algo que la ley nos obliga a conservar.

Decisiones automatizadas

Ninguna decisión sobre su dinero se toma de forma automática. Conciliar una transferencia con una reserva, verificar un justificante de emisión, liberar fondos y devolver fondos son decisiones que toma en cada caso un miembro de nuestro personal, y por encima de un umbral una liberación requiere además a una segunda persona. No hay elaboración de perfiles automatizada ni ninguna decisión con efectos jurídicos que se tome sin una persona.

Cómo lo protegemos

Las conexiones a este sitio y a las páginas de pago están cifradas en tránsito. El acceso a los registros de pago está limitado a miembros del personal designados por su nombre, cada uno con su propia cuenta, y el permiso para liberar dinero lo tienen menos personas que el permiso para leer un registro.

Cada cambio en un pago se escribe en un registro de auditoría al que solo se añaden entradas y que recoge qué cambió, cuándo y quién lo provocó. Ese registro no pueden editarlo ni borrarlo las personas cuyas acciones recoge.

A una página de pago puede llegar cualquiera que tenga su dirección, que es la forma en que un viajero llega a ella sin registrarse. La dirección contiene una referencia aleatoria larga que no puede adivinarse ni enumerarse, y la página está excluida de los buscadores. Trate el enlace como trataría los propios datos de pago.

Sus derechos

En virtud del RGPD, puede pedirnos que:

• le facilitemos una copia de los datos personales que conservamos sobre usted, y que le digamos qué hacemos con ellos;
• corrijamos cualquier dato que sea erróneo o esté incompleto;
• suprimamos los datos, cuando ya no tengamos un motivo para conservarlos;
• limitemos lo que hacemos con ellos mientras se resuelve una discrepancia sobre su exactitud o sobre los fundamentos que invocamos;
• le entreguemos, a usted o a otro responsable del tratamiento, una copia portátil de los datos que usted nos facilitó, cuando los conservemos sobre la base de un contrato; y
• dejemos de tratarlos cuando nos basemos en el interés legítimo — lo haremos salvo que tengamos motivos que prevalezcan sobre los suyos, y le explicaremos cuáles.

Escriba a help@onwardtrust.com. Respondemos en el plazo de un mes. Puede que necesitemos comprobar quién es usted antes de actuar, sobre todo cuando una solicitud afecta a dinero — le pediremos lo mínimo con lo que podamos arreglarnos.

Algunos de estos derechos tienen límites. No podemos suprimir un registro que la ley nos obliga a conservar, y no podemos limitar el tratamiento hasta el punto de no poder devolverle el dinero que retenemos para usted.

Reclamar ante la autoridad de control

Preferimos que nos lo diga antes a nosotros, en help@onwardtrust.com, para que podamos arreglarlo. No está obligado a hacerlo.

Puede reclamar ante la autoridad luxemburguesa de protección de datos, la Commission nationale pour la protection des données (CNPD), cuyos datos de contacto se publican en cnpd.lu. También puede reclamar ante la autoridad de control del país en el que vive o trabaja.

Cambios en esta política

La fecha que figura al principio de esta página es la fecha de la versión que está leyendo. Cuando un cambio afecte de forma sustancial a cómo usamos datos que ya conservamos, se lo diremos directamente a las personas afectadas en lugar de confiar en que se vuelva a leer esta página.