Documento legalLegal document
Aviso de Privacidad IntegralPrivacy Notice
Resumen: recabamos lo mínimo para operar el servicio (email, contraseña cifrada, tu progreso y tu historial de créditos). Nunca vemos tu tarjeta (la procesa Stripe). No vendemos tus datos ni usamos publicidad de terceros. Puedes descargar o borrar tu cuenta tú mismo desde «Tu cuenta».
Este Aviso de Privacidad se emite conforme a las leyes aplicables de los Estados Unidos de América (incluidas las leyes estatales de privacidad); para usuarios en México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (publicada en el DOF el 20 de marzo de 2025, la «LFPDPPP»), cuyos estándares seguimos en lo aplicable; y, cuando corresponda por tu residencia, el Reglamento General de Protección de Datos de la UE («GDPR»).
1. Responsable del tratamiento
Travocato es un servicio de Inappbot Inc. («el Responsable»), sociedad constituida en los Estados Unidos de América, país desde el que se opera el servicio. Contacto para asuntos de privacidad: support@travocato.com (asunto: «Datos personales»). El domicilio registrado del Responsable se proporciona a cualquier titular que lo solicite por esa vía.
2. Datos personales que tratamos y su clasificación
| Categoría | Datos | Origen |
|---|---|---|
| Identificación y contacto | Correo electrónico; nombre (opcional) | Los proporcionas al crear tu cuenta |
| Credenciales | Contraseña almacenada solo como hash criptográfico (scrypt) con sal; tokens de sesión | Los proporcionas / se generan |
| Patrimoniales (limitados) | Plan contratado, historial de créditos (ledger), confirmaciones de transacción del procesador de pagos (id, producto, importe, país). No recabamos números de tarjeta ni CLABE; los procesa Stripe o NOWPayments directamente. | Procesadores de pago |
| Técnicos | Dirección IP (límites de uso y seguridad), agente de usuario, registros técnicos (logs) y fecha/hora de acceso | Se generan al usar el servicio |
| Uso del servicio | Progreso educativo (academia, entrenador, juegos), historial de análisis, puntos y desbloqueos, preferencia de idioma/tema, versión de términos aceptada | Se generan al usar el servicio |
| Contenido enviado | Enlaces, textos, números, capturas, audio o video que envías a analizar | Los proporcionas |
No recabamos datos personales sensibles (salud, origen étnico, creencias, etc.) ni datos de menores: el servicio es exclusivamente para mayores de 18 años. Te pedimos no incluir datos personales de terceros en el contenido que envías a analizar.
3. Finalidades del tratamiento
Finalidades primarias (necesarias para la relación jurídica):
- Crear y administrar tu cuenta; autenticarte y mantener tu sesión.
- Prestar las herramientas del servicio y sincronizar tu progreso entre dispositivos.
- Gestionar créditos, planes, cobros, facturación y reembolsos.
- Brindarte soporte y atender tus solicitudes.
- Seguridad: prevención de fraude y abuso, límites de tasa, integridad del servicio.
- Cumplir obligaciones legales, fiscales y requerimientos de autoridad competentes.
Finalidades secundarias (no necesarias; puedes negarte sin afectar el servicio):
- Enviarte novedades del producto y comunicaciones educativas al correo de tu cuenta.
- Elaborar estadísticas agregadas y anonimizadas para mejorar el servicio.
Puedes oponerte a las finalidades secundarias en cualquier momento escribiendo a support@travocato.com (asunto: «Baja de comunicaciones») o usando el enlace de baja incluido en cada correo. Si tratáramos tus datos para una finalidad distinta a las aquí previstas, te pediremos consentimiento nuevamente.
4. Base de licitud
Tratamos tus datos con base en: (a) la ejecución del contrato que aceptas al usar el servicio (finalidades primarias); (b) nuestro interés legítimo en la seguridad y mejora del servicio; (c) tu consentimiento, que otorgas al crear la cuenta tras consultar este aviso y que puedes revocar (finalidades secundarias); y (d) el cumplimiento de obligaciones legales.
5. Transferencias, encargados y remisiones
No vendemos ni rentamos tus datos personales. Compartimos datos únicamente con los proveedores que hacen posible el servicio (encargados o responsables independientes), bajo contratos que exigen confidencialidad y protección de datos:
| Proveedor | Función | Datos | Ubicación |
|---|---|---|---|
| Supabase | Base de datos gestionada (PostgreSQL) | Cuenta, progreso, ledger | EUA/UE (AWS) |
| Vercel | Alojamiento de la aplicación | Tráfico técnico, IP | EUA/global (CDN) |
| Cloudflare | Infraestructura y almacenamiento (R2) | Tráfico técnico; datos de mercado (no personales) | Global |
| Stripe, Inc. | Procesamiento de pagos con tarjeta y emisión de comprobantes. Trata los datos de pago conforme a su propio aviso de privacidad. | Datos de pago y facturación | EUA/global |
| NOWPayments | Procesamiento de pagos con criptomonedas | Datos de la transacción cripto | UE |
| Resend | Envío de correos transaccionales (verificación de cuenta, restablecimiento de contraseña, avisos) | Email, nombre (si lo diste) | EUA (AWS) |
| Zoho Mail | Buzón de soporte (recepción y respuesta de support@) | Correos que nos envías | EUA/UE |
| Groq | Transcripción automática del audio del contenido que envías a analizar | Audio/URL del contenido enviado | EUA |
| X Corp (API oficial) | Obtención de publicaciones públicas que envías a analizar | URL de la publicación | EUA |
| Google Fonts / CDNs | Tipografías e íconos del sitio | Petición técnica (IP) | Global |
Estas transferencias son necesarias para la relación jurídica entre tú y el Responsable, por lo que la ley no exige consentimiento adicional; aun así, quedan documentadas aquí. Algunas implican transferencias internacionales; exigimos a los proveedores salvaguardas contractuales estándar. También podremos comunicar datos cuando lo exija una ley o autoridad competente, o en una reorganización corporativa (te avisaríamos).
6. Derechos ARCO, revocación y autoservicio
Tienes derecho a Acceder a tus datos, Rectificarlos, Cancelarlos (suprimirlos) y Oponerte a su tratamiento (derechos «ARCO»), así como a revocar tu consentimiento y limitar el uso o divulgación de tus datos.
- Autoservicio inmediato: desde «Tu cuenta» puedes descargar todos tus datos en formato JSON (portabilidad) y eliminar tu cuenta definitivamente (borra del servidor tu cuenta, progreso, plan y sesiones).
- Por escrito: envía tu solicitud a support@travocato.com con asunto «Derechos ARCO», indicando: nombre y correo de la cuenta, derecho que ejerces, y descripción clara. Responderemos en un máximo de 20 días hábiles y, de ser procedente, la haremos efectiva dentro de los 15 días hábiles siguientes (o en los plazos que la ley vigente establezca).
- Solo necesitamos acreditar que controlas el correo de la cuenta; no te pediremos documentos de identidad salvo duda razonable.
Si consideras que tu derecho a la protección de datos fue vulnerado, puedes acudir a la autoridad competente en México (la Secretaría de Anticorrupción y Buen Gobierno, que asumió las funciones del extinto INAI) o, si resides en la UE/EEE, ante tu autoridad local de protección de datos.
7. Plazos de conservación
- Datos de cuenta y progreso: mientras la cuenta exista.
- Al eliminar tu cuenta: supresión inmediata de cuenta, progreso y sesiones; los registros del ledger y de facturación se conservan de forma disociada de tu perfil hasta por los plazos exigidos por obligaciones fiscales y contables aplicables, y después se suprimen o anonimizan.
- Logs técnicos y de seguridad: rotación periódica (máximo 12 meses).
- Contenido enviado a analizar: se conserva asociado al reporte del análisis; puedes pedir su supresión.
8. Medidas de seguridad
Aplicamos medidas administrativas, técnicas y físicas razonables: contraseñas con hash scrypt y sal (nunca en claro), cookies de sesión httpOnly con caducidad, TLS en tránsito, principio de mínimo privilegio en el acceso a la base de datos, ledger de créditos de solo escritura (append-only) y separación de proveedores. Ningún sistema es infalible; si ocurriera una vulneración de seguridad que afecte significativamente tus derechos, te lo notificaremos sin dilación indebida conforme a la ley, junto con las medidas adoptadas.
9. Cookies y tecnologías similares
Usamos únicamente cookies esenciales y almacenamiento local para sesión, idioma, tema y progreso. No usamos cookies publicitarias ni analítica de terceros. El detalle, incluida la forma de deshabilitarlas, está en la Política de Cookies.
10. Menores de edad
El servicio no está dirigido a menores de 18 años y no recabamos deliberadamente sus datos. En particular, no recabamos a sabiendas datos de menores de 13 años (COPPA, EUA). Si detectamos una cuenta de un menor, la eliminaremos.
11. Cambios a este aviso
Cualquier cambio se publicará en /legal/privacy con nueva fecha de versión. Los cambios materiales (por ejemplo, nuevas finalidades) se anunciarán en el sitio y, cuando la ley lo exija, se te pedirá nuevo consentimiento.
12. Residentes de Estados Unidos (derechos estatales de privacidad)
Si resides en un estado de EUA con ley de privacidad (California/CPRA, Texas, Virginia, Colorado, Connecticut y otros), tienes —según tu ley— derecho a: conocer y acceder a los datos que tenemos sobre ti, corregirlos, eliminarlos, obtener una copia portable, y excluirte de la «venta» o «compartición» de datos personales y de la publicidad dirigida. No vendemos ni compartimos datos personales para publicidad dirigida ni hacemos perfilado con efectos significativos, por lo que no hay nada de qué excluirse; honramos igualmente las señales de exclusión reconocidas (como Global Privacy Control) en lo que resulten aplicables. Ejercer tus derechos nunca implica trato discriminatorio. Puedes ejercerlos con el autoservicio de la sección 6 o por correo (también mediante agente autorizado, acreditándolo); apelamos negativas si tu ley lo prevé.
13. Usuarios en la UE/EEE y otras jurisdicciones (GDPR)
Si resides en la UE/EEE o Reino Unido, además de lo anterior te asisten los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición del GDPR, con las bases de licitud descritas en la sección 4. Puedes ejercerlos por los mismos medios de la sección 6 y presentar reclamación ante tu autoridad de control local.
Summary: we collect the minimum needed to run the service (email, encrypted password, your progress and your credit history). We never see your card (Stripe processes it). We don't sell your data and run no third-party advertising. You can export or delete your account yourself from “Your account”.
This Privacy Notice is issued under the applicable laws of the United States of America (including state privacy laws); for users in Mexico, the Federal Law on the Protection of Personal Data Held by Private Parties (published in the Official Gazette on March 20, 2025, the “LFPDPPP”), whose standards we follow where applicable; and, where applicable due to your residence, the EU General Data Protection Regulation (“GDPR”). The Spanish version prevails in case of conflict.
1. Data controller
Travocato is a service of Inappbot Inc. (the “Controller”), a corporation organized in the United States of America, from which the service is operated. Privacy contact: support@travocato.com (subject: “Personal data”). The Controller's registered address is provided to any data subject who requests it through that channel.
2. Personal data we process and its classification
| Category | Data | Source |
|---|---|---|
| Identification & contact | Email; name (optional) | Provided when you create your account |
| Credentials | Password stored only as a salted cryptographic hash (scrypt); session tokens | Provided / generated |
| Financial (limited) | Plan, credit ledger, payment-processor transaction confirmations (id, product, amount, country). We do not collect card numbers; Stripe or NOWPayments process them directly. | Payment processors |
| Technical | IP address (rate limits and security), user agent, technical logs, access timestamps | Generated by use |
| Service usage | Educational progress (academy, trainer, games), analysis history, points and unlocks, language/theme preference, accepted terms version | Generated by use |
| Submitted content | Links, text, numbers, screenshots, audio or video you submit for analysis | Provided by you |
We do not collect sensitive personal data (health, ethnicity, beliefs, etc.) or children's data: the service is strictly for adults 18+. Please do not include third parties' personal data in content you submit.
3. Purposes of processing
Primary purposes (necessary for the legal relationship): creating and managing your account; authentication and sessions; providing the tools and syncing your progress; managing credits, plans, billing and refunds; support; security (fraud and abuse prevention, rate limits); compliance with legal and tax obligations and lawful requests from authorities.
Secondary purposes (optional; refusing them does not affect the service): sending product news and educational communications to your account email; producing aggregated, anonymized statistics to improve the service.
You may opt out of secondary purposes at any time by writing to support@travocato.com (subject: “Unsubscribe”) or via the unsubscribe link in each email. If we ever needed to process your data for a different purpose, we would ask for your consent again.
4. Legal bases
(a) Performance of the contract you accept by using the service (primary purposes); (b) our legitimate interest in securing and improving the service; (c) your consent, given when creating the account after being shown this notice, revocable at any time (secondary purposes); and (d) compliance with legal obligations.
5. Transfers, processors and disclosures
We do not sell or rent your personal data. We share data only with the providers that make the service possible (processors or independent controllers), under contracts requiring confidentiality and data protection:
| Provider | Role | Data | Location |
|---|---|---|---|
| Supabase | Managed database (PostgreSQL) | Account, progress, ledger | USA/EU (AWS) |
| Vercel | Application hosting | Technical traffic, IP | USA/global (CDN) |
| Cloudflare | Infrastructure and storage (R2) | Technical traffic; market data (non-personal) | Global |
| Stripe, Inc. | Card payment processing and receipts. Handles payment data under its own privacy policy. | Payment and billing data | USA/global |
| NOWPayments | Cryptocurrency payment processing | Crypto transaction data | EU |
| Resend | Transactional email delivery (account verification, password reset, notices) | Email, name (if provided) | USA (AWS) |
| Zoho Mail | Support mailbox (receiving and answering support@) | Emails you send us | USA/EU |
| Groq | Automatic transcription of audio in content you submit | Audio/URL of submitted content | USA |
| X Corp (official API) | Retrieval of public posts you submit for analysis | Post URL | USA |
| Google Fonts / CDNs | Site typography and icons | Technical request (IP) | Global |
These transfers are necessary for the legal relationship between you and the Controller, so no additional consent is legally required; they are documented here regardless. Some involve international transfers; we require standard contractual safeguards from providers. We may also disclose data where required by law or competent authority, or in a corporate reorganization (with notice to you).
6. ARCO rights, revocation and self-service
You have the rights of Access, Rectification, Cancellation (erasure) and Objection (“ARCO”), plus revocation of consent and limitation of use or disclosure.
- Immediate self-service: from “Your account” you can download all your data as JSON (portability) and permanently delete your account (removes your account, progress, plan and sessions from the server).
- In writing: send your request to support@travocato.com with subject “ARCO rights”, stating: account name and email, the right you exercise, and a clear description. We answer within 20 business days and, where warranted, give effect within the following 15 business days (or within the periods set by current law).
If you believe your data-protection rights were violated you may complain to Mexico's competent authority (the Secretaría de Anticorrupción y Buen Gobierno, which assumed the functions of the former INAI) or, if you reside in the EU/EEA, to your local data-protection authority.
7. Retention
- Account and progress data: for as long as the account exists.
- On account deletion: immediate removal of account, progress and sessions; ledger and billing records are kept, dissociated from your profile, only as long as tax and accounting obligations require, then erased or anonymized.
- Technical and security logs: periodic rotation (12 months maximum).
- Content submitted for analysis: kept with its analysis report; you may request deletion.
8. Security measures
We apply reasonable administrative, technical and physical measures: scrypt-hashed salted passwords (never plaintext), expiring httpOnly session cookies, TLS in transit, least-privilege database access, an append-only credit ledger, and provider separation. No system is infallible; if a security breach significantly affecting your rights occurred, we would notify you without undue delay as required by law, together with the measures taken.
9. Cookies and similar technologies
We use only essential cookies and local storage for session, language, theme and progress. No advertising cookies, no third-party analytics. Details, including how to disable them, are in the Cookie Policy.
10. Minors
The service is not directed at children under 18 and we do not knowingly collect their data. In particular, we do not knowingly collect data from children under 13 (COPPA). Accounts found to belong to minors will be deleted.
11. Changes to this notice
Changes will be published at /legal/privacy with a new version date. Material changes (e.g., new purposes) will be announced on the site and, where the law requires it, your consent will be requested again.
12. United States residents (state privacy rights)
If you reside in a U.S. state with a privacy law (California/CPRA, Texas, Virginia, Colorado, Connecticut and others), you have — depending on your law — the rights to: know and access the data we hold about you, correct it, delete it, obtain a portable copy, and opt out of the “sale” or “sharing” of personal data and of targeted advertising. We do not sell or share personal data for targeted advertising and do no profiling with significant effects, so there is nothing to opt out of; we likewise honor recognized opt-out signals (such as Global Privacy Control) where applicable. Exercising your rights never results in discriminatory treatment. Exercise them through the self-service in section 6 or by email (including via an authorized agent with proof of authority); denials can be appealed where your law provides for it.
13. EU/EEA users (GDPR)
If you reside in the EU/EEA or UK, you additionally hold the GDPR rights of access, rectification, erasure, restriction, portability and objection, under the legal bases described in section 4. Exercise them through the channels in section 6; you may lodge a complaint with your local supervisory authority.