Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento es la sociedad EXAUTHYS, con sede social en Cayena — Guayana Francesa (datos completos en los Avisos Legales). Nuestro Delegado de Protección de Datos (DPO) puede ser contactado en rgpd@exauthys.com.

2. Datos recogidos y finalidades

2.1 Creación de cuenta e identificación

Apellido, nombre, correo electrónico, contraseña (hash bcrypt cost 12), número de teléfono, idioma preferido y fecha de nacimiento cuando proceda. Base legal: ejecución del contrato (RGPD Art. 6.1.b). Conservación: durante la vida de la cuenta + 3 años (prescripción comercial).

2.2 Reservas y pagos

Historial de reservas, importes, Prestadores elegidos, fechas. EXAUTHYS nunca almacena los datos de tarjeta bancaria en claro: los números son tokenizados por el proveedor de pago certificado PCI-DSS (Stripe como primera implementación). Conservación: 10 años para los datos contables (Art. L.123-22 del Código de Comercio francés).

2.3 Programa de fidelidad

Saldo e historial de puntos (transacciones EARN / SPEND / BONUS / EXPIRE). Conservación: vida de la cuenta. Los puntos expiran automáticamente 3 años después de su adquisición.

2.4 Comunicaciones y marketing

Dirección de correo y preferencias de comunicación. Base legal: consentimiento explícito (RGPD Art. 6.1.a), revocable en cualquier momento desde el centro de preferencias o el enlace de baja presente en cada correo. Conservación: hasta la revocación del consentimiento.

2.5 Seguridad y registro de auditoría

Dirección IP, agente de usuario, marcas horarias de las conexiones, de los fallos de contraseña y de las acciones sensibles (pago, cambio de IBAN del Prestador). Base legal: interés legítimo en proteger la plataforma (RGPD Art. 6.1.f). Conservación: 5 años (alineada con la obligación antifraude, Art. L.561-12 del Código Monetario y Financiero francés).

2.6 Prestadores — información administrativa

SIRET, IBAN/BIC (cifrados AES-256), justificantes de verificación documental. Base legal: obligación legal (verificación de identidad, antiblanqueo) y ejecución del contrato de alianza.

3. Cookies y rastreadores

El detalle de las cookies utilizadas (estrictamente necesarias, análisis, marketing) está documentado en la Política de Cookies accesible desde el sumario. Ninguna cookie de análisis o de marketing se deposita antes de su consentimiento explícito recogido vía el banner CNIL.

4. Destinatarios y subcontratistas

Sus datos son accesibles únicamente a los equipos de EXAUTHYS habilitados, así como a los siguientes subcontratistas, enmarcados por un contrato conforme al artículo 28 del RGPD:

• Stripe (proveedor de pago, PCI-DSS Nivel 1) — para el tratamiento de pagos;
• Twilio — para el envío de SMS de autenticación;
• AWS / Scaleway — para el alojamiento y almacenamiento S3 de los medios;
• Nodemailer + servidor SMTP — para los correos transaccionales.

5. Transferencias fuera de la UE

EXAUTHYS aloja sus datos en la Unión Europea. Toda transferencia hacia un tercer país (por ejemplo al reservar con un Prestador situado fuera de la UE) está enmarcada por las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea (decisión 2021/914) o por una decisión de adecuación cuando exista.

6. Sus derechos

Dispone en todo momento de los siguientes derechos:

• Acceso (art. 15) — obtener una copia de los datos que le conciernen;
• Rectificación (art. 16) — corregir datos inexactos;
• Supresión / olvido (art. 17) — sujeto a las obligaciones legales de conservación;
• Limitación del tratamiento (art. 18);
• Portabilidad (art. 20) — recibir sus datos en un formato estructurado, legible por máquina;
• Oposición (art. 21) — al tratamiento basado en el interés legítimo o al perfilado de marketing;
• Directivas post-mortem (art. 40-1 LIL).

Puede ejercer estos derechos desde la pestaña “Privacidad” de su cuenta o por correo a rgpd@exauthys.com. EXAUTHYS se compromete a responder en un plazo de un mes (prorrogable de dos meses en caso de complejidad, RGPD Art. 12.3). Dispone del derecho a presentar una reclamación ante la CNIL (www.cnil.fr).

7. Seguridad

EXAUTHYS implementa medidas técnicas y organizativas adecuadas: cifrado en tránsito (TLS 1.3), cifrado en reposo para los datos sensibles (AES-256 sobre IBAN/BIC), autenticación multifactor en las cuentas administrativas, rate limiting y detección de conexiones sospechosas, registro de auditoría exhaustivo de las operaciones sensibles.

8. Menores

La inscripción está prohibida a los menores de 15 años. Entre los 15 y los 18 años, la inscripción requiere el acuerdo de un titular de la autoridad parental. EXAUTHYS se reserva el derecho a pedir un justificante y a cerrar sin previo aviso cualquier cuenta no conforme.

9. Modificaciones

Cualquier evolución sustancial de la presente política es comunicada por correo a los usuarios al menos 30 días antes de su entrada en vigor. La fecha de la última actualización figura en la cabecera de la página.