Política de Privacidad

Quiénes somos

Argo es operada por Taurus Technology ("Argo", "nosotros"). A efectos de la LGPD y el GDPR, Taurus Technology es el responsable del tratamiento de los datos personales descritos en esta Política. Puedes contactarnos en [email protected] para cualquier asunto relacionado con tus datos o esta Política.

Qué recopilamos

Información de la cuenta

Cuando creas una cuenta: tu correo electrónico, nombre completo y una contraseña, que nunca almacenamos en texto legible — se protege con Argon2id (el algoritmo actualmente recomendado por OWASP para el almacenamiento de contraseñas) antes de que llegue a nuestra base de datos. También registramos marcas de tiempo de inicio de sesión, conteo de intentos fallidos y dirección IP en los intentos de inicio de sesión, únicamente para detectar y bloquear ataques de fuerza bruta y credential stuffing.

Contenido de los viajes

Todo lo que agregas a un viaje: destinos, fechas, elementos del itinerario, vuelos, transporte terrestre, alojamientos, categorías de presupuesto y gastos, listas de equipaje y compras. Esto es el núcleo de lo que Argo almacena en tu nombre, y es tuyo — consulta Tus derechos más abajo para saber cómo exportarlo o eliminarlo.

Conversaciones con el copiloto de IA

Si usas el asistente de IA, almacenamos el texto completo de tus mensajes y sus respuestas, vinculado al viaje y a la conversación en que ocurrieron, para que puedas retomar una conversación más tarde y para que el asistente pueda referirse al contexto anterior. Consulta Con quién lo compartimos para saber cómo estos datos llegan a nuestro proveedor de IA.

Información sobre las personas que invitas

Si invitas a alguien a colaborar en un viaje, almacenamos su correo electrónico y el rol que le asignaste (editor o visor) — incluso antes de que esa persona cree una cuenta. Si nunca acepta la invitación, este es el único dato que conservamos sobre ella, y se elimina si cancelas la invitación o eliminas el viaje.

Información de pago y créditos de IA

Cuando compras un plan Plus o Premium para un viaje, o un paquete de créditos de IA, el pago es procesado por Stripe — los datos de tu tarjeta van directamente a Stripe y nunca pasan por nuestros servidores. Almacenamos el registro resultante de la transacción (monto, moneda, qué compraste, estado e identificadores de referencia de la propia Stripe) vinculado a tu cuenta, junto con tu saldo de créditos de IA y el historial de qué se agregó o eliminó de él (una bonificación de registro, la compra de un plan, la compra de un paquete de créditos, uso de IA o un reembolso).

Información recopilada automáticamente

Para cada solicitud a nuestros servidores, registramos: dirección IP, user agent (cadena del navegador/dispositivo), el endpoint llamado y un identificador de usuario/viaje cuando estás autenticado. No registramos cuerpos de solicitud o respuesta — contraseñas, tokens, texto de conversaciones con la IA y contenido de viajes nunca aparecen en estos registros. Estos datos permanecen en infraestructura que operamos nosotros mismos; no se envían a ningún proveedor externo de analítica o registro. No usamos ningún script de publicidad, analítica o seguimiento del comportamiento en ninguna parte de Argo.

Por qué lo usamos

• Para crear y proteger tu cuenta, y para autenticarte.
• Para proporcionar el producto principal — almacenar y organizar el contenido de tus viajes.
• Para impulsar las respuestas del copiloto de IA y las acciones que realiza en tu viaje cuando se lo pides.
• Para procesar pagos y mantener un registro preciso de lo que has pagado.
• Para enviar correos transaccionales: verificación, restablecimiento de contraseña e invitaciones a viajes. No enviamos correo de marketing.
• Para detectar y prevenir abuso, fraude y acceso no autorizado.
• Para cumplir con obligaciones legales y contables (por ejemplo, conservar registros de transacciones con fines fiscales).

Base legal para el tratamiento

Dependiendo de lo que hagamos con tus datos, nos basamos en una de las siguientes bases:

• Ejecución de un contrato — la mayor parte de lo que hace Argo: almacenar el contenido de tus viajes, ejecutar el copiloto de IA cuando lo usas, procesar los pagos que solicitas.
• Interés legítimo — proteger el servicio (limitación de tasa, detección de fraude/abuso, el registro de seguridad descrito arriba), cuando esto no prevalece sobre tus propios derechos e intereses.
• Obligación legal — conservar registros de transacciones para cumplimiento contable y fiscal.
• Consentimiento — cuando lo solicitamos explícitamente (por ejemplo, si algún día añadimos comunicaciones de marketing opcionales — hoy no enviamos ninguna).

Con quién lo compartimos

No vendemos tus datos personales, y no los compartimos con fines publicitarios. Solo los compartimos con los proveedores de servicios ("subencargados") de los que Argo realmente depende para funcionar:

También podemos divulgar datos cuando lo exija la ley, para cumplir con un proceso legal válido, o para proteger los derechos, la propiedad o la seguridad de Argo, nuestros usuarios o el público.

Transferencias internacionales de datos

OpenAI y Resend procesan datos fuera de Brasil (principalmente en Estados Unidos). Cuando transferimos datos personales internacionalmente, nos basamos en los mecanismos de transferencia que estos proveedores ponen a disposición de sus clientes empresariales (como Cláusulas Contractuales Tipo) y en sus propios compromisos publicados de tratamiento de datos y seguridad. Si deseas más detalles sobre una transferencia específica, contáctanos en [email protected].

Cuánto tiempo lo conservamos

• Datos de cuenta y viaje: se conservan mientras tu cuenta esté activa. Cuando eliminas tu cuenta o un viaje, se elimina de forma reversible de inmediato (recuperable por ti durante 30 días), y luego se elimina de forma permanente e irreversible.
• Viajes compartidos: si eres propietario de un viaje compartido con colaboradores y eliminas tu cuenta, el viaje — y el acceso de cada colaborador a él — se elimina junto con ella una vez que pasa la ventana de 30 días. Considera transferir la propiedad o exportar el contenido compartido antes, si esto te importa.
• Registros de pago: se conservan después de eliminar la cuenta, pero sin el vínculo a tu identidad, para que podamos cumplir con las obligaciones contables/fiscales sin retener datos que te identifiquen.
• Registros de intentos de inicio de sesión (usados para detección de abuso): se conservan solo por 24 horas.
• Registros del servidor: se conservan por 30 días en nuestra propia infraestructura, luego se eliminan.
• Registros de eventos de webhook (protección de idempotencia de Stripe): se conservan por 7 días.

Tus derechos

Bajo la LGPD y el GDPR, tienes derecho a:

• Acceder a los datos personales que tenemos sobre ti.
• Corregir datos inexactos — la mayoría de esto ya puedes hacerlo directamente en la configuración de tu cuenta.
• Eliminar tu cuenta y tus datos — de forma autónoma, desde la configuración de tu cuenta, sin necesidad de contactarnos. La eliminación es reversible durante 30 días, luego permanente.
• Exportar tus datos en un formato portátil.
• Oponerte a o restringir ciertos tratamientos, y retirar el consentimiento cuando nos basamos en él.
• Presentar una reclamación ante la autoridad de protección de datos de tu país — en Brasil, la Autoridade Nacional de Proteção de Dados (ANPD).

Para cualquier cosa no disponible directamente en el producto, escribe a [email protected] y responderemos dentro del plazo exigido por la ley aplicable.

Seguridad

• Las contraseñas se protegen con Argon2id — nunca podemos ver ni recuperar tu contraseña real.
• La autenticación usa un token de acceso de corta duración más un token de actualización almacenado en una cookie HttpOnly, Secure y SameSite — nunca en un lugar que JavaScript (o un ataque XSS) pueda leer.
• El inicio de sesión tiene limitación de tasa y puede bloquearse para frenar ataques de fuerza bruta y credential stuffing.
• Los eventos de webhook de Stripe se verifican criptográficamente antes de que actuemos sobre ellos, y se procesan exactamente una vez aunque se entreguen más de una vez.
• Cada solicitud está restringida, en el servidor, al usuario autenticado y a los viajes a los que realmente pertenece — el acceso no es solo "estar conectado", se verifica contra la propiedad/membresía real en cada solicitud.

Cookies

Argo usa exactamente una cookie: refresh_token, que te mantiene conectado. Es estrictamente necesaria para el funcionamiento del servicio, HttpOnly (JavaScript no puede leerla), Secure (solo HTTPS) y restringida con SameSite=Lax. No usamos cookies de publicidad, analítica ni ninguna cookie de seguimiento de terceros — no hay nada más que aceptar o rechazar.

Privacidad de menores

Argo no está dirigida a, ni debe ser usada por, personas menores de 18 años. No recopilamos intencionalmente datos personales de menores. Si crees que un menor ha creado una cuenta, contáctanos en [email protected] y la eliminaremos.

Cambios a esta Política

Si hacemos un cambio material a esta Política, te notificaremos por correo electrónico y/o mediante un aviso dentro del producto antes de que entre en vigor. La fecha de "Última actualización" en la parte superior siempre refleja la versión actual.

Contáctanos

Taurus Technology — [email protected]