Política de Privacidad

Quiénes somos

Argo es operada por Miguel Alves, persona física domiciliada en Hortolândia, SP, Brasil, que opera bajo el nombre comercial Taurus Technology ("Argo", "nosotros"). A efectos de la LGPD y el GDPR, Miguel Alves es el responsable del tratamiento de los datos personales descritos en esta Política, y también actúa como su Delegado de Protección de Datos (DPO) — puedes contactarnos en [email protected] para cualquier asunto relacionado con tus datos o esta Política.

Qué recopilamos

Información de la cuenta

Cuando creas una cuenta: tu correo electrónico, nombre completo y una contraseña, que nunca almacenamos en texto legible — se protege con Argon2id (el algoritmo actualmente recomendado por OWASP para el almacenamiento de contraseñas) antes de que llegue a nuestra base de datos. También registramos marcas de tiempo de inicio de sesión, conteo de intentos fallidos y dirección IP en los intentos de inicio de sesión, únicamente para detectar y bloquear ataques de fuerza bruta y credential stuffing.

Contenido de los viajes

Todo lo que agregas a un viaje: destinos, fechas, elementos del itinerario, vuelos, transporte terrestre, alojamientos, categorías de presupuesto y gastos, listas de equipaje y compras. Esto es el núcleo de lo que Argo almacena en tu nombre, y es tuyo — consulta Tus derechos más abajo para saber cómo exportarlo o eliminarlo.

Conversaciones con el copiloto de IA

Si usas el asistente de IA, almacenamos el texto completo de tus mensajes y sus respuestas, vinculado al viaje y a la conversación en que ocurrieron, para que puedas retomar una conversación más tarde y para que el asistente pueda referirse al contexto anterior. Consulta Con quién lo compartimos para saber cómo estos datos llegan a nuestro proveedor de IA. No nos envíes Datos Personales Sensibles (según los define el art. 11 de la LGPD — salud, creencia religiosa, orientación sexual, afiliación política y categorías similares) a través del copiloto; no está diseñado para recibir ni proteger ese tipo de datos.

Información sobre las personas que invitas

Si invitas a alguien a colaborar en un viaje, almacenamos su correo electrónico y el rol que le asignaste (editor o visor) — incluso antes de que esa persona cree una cuenta. Si nunca acepta la invitación, este es el único dato que conservamos sobre ella, y se elimina si cancelas la invitación o eliminas el viaje. Al enviar una invitación, confirmas que estás autorizado a compartir el correo electrónico de esa persona con nosotros para este propósito.

Información de pago y créditos de IA

Cuando compras un plan Plus o Premium para un viaje, o un paquete de créditos de IA, el pago es procesado por Stripe — los datos de tu tarjeta van directamente a Stripe y nunca pasan por nuestros servidores. Almacenamos el registro resultante de la transacción (monto, moneda, qué compraste, estado e identificadores de referencia de la propia Stripe) vinculado a tu cuenta, junto con tu saldo de créditos de IA y el historial de qué se agregó o eliminó de él (una bonificación de registro, la compra de un plan, la compra de un paquete de créditos, uso de IA o un reembolso).

Información recopilada automáticamente

Para cada solicitud a nuestros servidores, registramos: dirección IP, user agent (cadena del navegador/dispositivo), el endpoint llamado y un identificador de usuario/viaje cuando estás autenticado. No registramos cuerpos de solicitud o respuesta — contraseñas, tokens, texto de conversaciones con la IA y contenido de viajes nunca aparecen en estos registros. Estos datos permanecen en infraestructura que operamos nosotros mismos; no se envían a ningún proveedor externo de analítica o registro. No usamos ningún script de publicidad, analítica o seguimiento del comportamiento en ninguna parte de Argo. Conservamos la dirección IP y los registros de conexión para cumplir con nuestra obligación, bajo el Marco Civil da Internet de Brasil (Ley 12.965/2014), de conservar registros de acceso a aplicaciones — consulta Cuánto tiempo lo conservamos para el plazo de retención.

Por qué lo usamos

• Para crear y proteger tu cuenta, y para autenticarte.
• Para proporcionar el producto principal — almacenar y organizar el contenido de tus viajes.
• Para impulsar las respuestas del copiloto de IA y las acciones que realiza en tu viaje cuando se lo pides.
• Para procesar pagos y mantener un registro preciso de lo que has pagado.
• Para enviar correos transaccionales: verificación, restablecimiento de contraseña e invitaciones a viajes. No enviamos correo de marketing.
• Para detectar y prevenir abuso, fraude y acceso no autorizado.
• Para cumplir con obligaciones legales y contables (por ejemplo, conservar registros de transacciones con fines fiscales).

Base legal para el tratamiento

Dependiendo de lo que hagamos con tus datos, nos basamos en una de las siguientes bases:

• Ejecución de un contrato — la mayor parte de lo que hace Argo: almacenar el contenido de tus viajes, ejecutar el copiloto de IA cuando lo usas, procesar los pagos que solicitas.
• Interés legítimo — proteger el servicio (limitación de tasa, detección de fraude/abuso, el registro de seguridad descrito arriba), cuando esto no prevalece sobre tus propios derechos e intereses. Puedes oponerte a un tratamiento basado en este fundamento — consulta Tus derechos.
• Obligación legal — conservar registros de transacciones para cumplimiento contable y fiscal.
• Consentimiento — cuando lo solicitamos explícitamente (por ejemplo, si algún día añadimos comunicaciones de marketing opcionales — hoy no enviamos ninguna).

No comenzaremos a usar tus datos para una finalidad nueva y materialmente distinta de las indicadas arriba sin avisarte antes y, cuando la ley lo exija, solicitar un nuevo consentimiento. Cuando nos basamos en tu consentimiento para algo, puedes retirarlo en cualquier momento — esto no afecta la licitud de lo realizado antes de que lo retiraras.

Con quién lo compartimos

No vendemos tus datos personales, y no los compartimos con fines publicitarios. Solo los compartimos con los proveedores de servicios ("encargados del tratamiento") de los que Argo realmente depende para funcionar:

OpenAI no usa los datos enviados a través de su API para entrenar sus modelos — este es un compromiso previsto en los propios términos de API de OpenAI, distinto y más estricto que el comportamiento predeterminado de productos de consumo como ChatGPT. Usamos la API, no el producto de consumo, precisamente por esto.

También podemos divulgar datos cuando lo exija la ley, para cumplir con un proceso legal válido, o para proteger los derechos, la propiedad o la seguridad de Argo, nuestros usuarios o el público.

Transferencias internacionales de datos

OpenAI, Stripe y Resend procesan datos fuera de Brasil (principalmente en Estados Unidos). Cuando transferimos datos personales internacionalmente, nos basamos en los mecanismos de transferencia que estos proveedores ponen a disposición de sus clientes empresariales (como Cláusulas Contractuales Tipo) y en sus propios compromisos publicados de tratamiento de datos y seguridad — exigimos el mismo nivel de protección que esos proveedores se comprometen a ofrecer, sin importar dónde se procesen tus datos. Si deseas más detalles sobre una transferencia específica, contáctanos en [email protected].

Cuánto tiempo lo conservamos

• Datos de cuenta y viaje: se conservan mientras tu cuenta esté activa. Cuando eliminas tu cuenta o un viaje, se elimina de forma reversible de inmediato (recuperable por ti durante 30 días), y luego se elimina de forma permanente e irreversible.
• Viajes compartidos: si eres propietario de un viaje compartido con colaboradores y eliminas tu cuenta, el viaje — y el acceso de cada colaborador a él — se elimina junto con ella una vez que pasa la ventana de 30 días. Considera transferir la propiedad o exportar el contenido compartido antes, si esto te importa.
• Registros de pago: se conservan después de eliminar la cuenta, pero sin el vínculo a tu identidad, para que podamos cumplir con las obligaciones contables/fiscales sin retener datos que te identifiquen.
• Registros de intentos de inicio de sesión (usados para detección de abuso): se conservan solo por 24 horas.
• Registros del servidor: se conservan por 30 días en nuestra propia infraestructura, luego se eliminan.
• Registros de eventos de webhook (protección de idempotencia de Stripe): se conservan por 7 días.

Tus derechos

Bajo la LGPD y el GDPR, tienes derecho a:

• Acceder a los datos personales que tenemos sobre ti.
• Corregir datos inexactos — la mayoría de esto ya puedes hacerlo directamente en la configuración de tu cuenta.
• Eliminar tu cuenta y tus datos — de forma autónoma, desde la configuración de tu cuenta, sin necesidad de contactarnos. La eliminación es reversible durante 30 días, luego permanente.
• Exportar tus datos en un formato portátil.
• Oponerte a o restringir ciertos tratamientos, y retirar el consentimiento cuando nos basamos en él.
• Presentar una reclamación ante la autoridad de protección de datos de tu país — en Brasil, la Autoridade Nacional de Proteção de Dados (ANPD).

Para cualquier cosa no disponible directamente en el producto, escribe a [email protected] — buscamos responder dentro de 15 días.

Seguridad

• Las contraseñas se protegen con Argon2id — nunca podemos ver ni recuperar tu contraseña real.
• La autenticación usa un token de acceso de corta duración más un token de actualización almacenado en una cookie HttpOnly, Secure y SameSite — nunca en un lugar que JavaScript (o un ataque XSS) pueda leer.
• El inicio de sesión tiene limitación de tasa y puede bloquearse para frenar ataques de fuerza bruta y credential stuffing.
• Los eventos de webhook de Stripe se verifican criptográficamente antes de que actuemos sobre ellos, y se procesan exactamente una vez aunque se entreguen más de una vez.
• Cada solicitud está restringida, en el servidor, al usuario autenticado y a los viajes a los que realmente pertenece — el acceso no es solo "estar conectado", se verifica contra la propiedad/membresía real en cada solicitud.
• La seguridad es una responsabilidad compartida: no somos responsables del acceso no autorizado derivado de malware, un keylogger u otro compromiso de tu propio dispositivo, ni de una sesión robada a través de un sitio de phishing que no forma parte de Argo.

Cookies

Argo usa exactamente una cookie: refresh_token, que te mantiene conectado. Es estrictamente necesaria para el funcionamiento del servicio, HttpOnly (JavaScript no puede leerla), Secure (solo HTTPS) y restringida con SameSite=Lax. No hay cookies de terceros en ninguna parte de Argo — ninguna cookie de publicidad, analítica o seguimiento de ningún tipo — así que no hay nada más que aceptar o rechazar.

Privacidad de menores

Argo no está dirigida a, ni debe ser usada por, niños ni adolescentes menores de 18 años. No recopilamos intencionalmente datos personales de menores de edad. Como un menor no tiene plena capacidad civil para aceptar nuestros Términos de Servicio conforme a la ley brasileña, una cuenta que descubramos que pertenece a alguien menor de 18 años se elimina de forma inmediata y definitiva — la ventana de recuperación de 30 días descrita arriba no se aplica en este caso. Si crees que un menor de edad ha creado una cuenta, contáctanos en [email protected] y la eliminaremos.

Cambios a esta Política

Si hacemos un cambio sustancial a esta Política — uno que afecte la finalidad, forma, duración o el compartir tus datos — te lo notificaremos de forma clara y destacada (correo electrónico y/o un aviso dentro del producto) con al menos 15 días de antelación antes de que entre en vigor, y tendrás derecho a oponerte o a eliminar tus datos antes de que la nueva versión aplique. Un cambio cosmético (redacción, formato) puede entrar en vigor de inmediato. La fecha de "Última actualización" en la parte superior siempre refleja la versión actual.

Contáctanos

Miguel Alves, operando Argo bajo el nombre comercial "Taurus Technology"
Hortolândia, SP, Brasil
[email protected] — contacto de nuestro Delegado de Protección de Datos (DPO) para asuntos de LGPD/GDPR

Buscamos responder dentro de 48–72 horas hábiles.