Política de Privacidad

Esta Política de Privacidad constituye el aviso de privacidad para los usuarios de México y describe el tratamiento de datos personales en el servicio Spravio, disponible en https://sprav.io (el «Servicio»), conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Se identifica al responsable y su domicilio conforme al artículo 15 de esa ley. La Ley 25.326 de Protección de Datos Personales de la República Argentina se menciona como ley del titular del Servicio, establecido en Argentina, sin desplazar los derechos que correspondan a los titulares de datos en México.

El responsable del tratamiento es Spravio S.A.S., CUIT 30-71619541-0, con domicilio en Suipacha 1111, piso 18, Ciudad Autónoma de Buenos Aires (C.A.B.A.), Argentina. Contacto: hola@sprav.io.

Datos de la cuenta Spravio. Email, contraseña (almacenada únicamente como hash), nombre y apellido del titular, país y estado donde opera, teléfono de contacto, nombre de empresa o marca, logo (según el plan contratado), la licencia de aplicador y las certificaciones de operador del titular (por ejemplo, las exigidas por la autoridad aeronáutica) y datos para facturación. Los proporciona el usuario al registrarse y configurar su cuenta.

Credenciales DJI del usuario. Email y contraseña de su cuenta DJI y cookies de sesión, almacenados cifrados (cifrado simétrico en reposo). Se utilizan exclusivamente para sincronizar los vuelos de esa cuenta en nombre del usuario, con la autorización expresa que este otorga al vincularla. El usuario declara ser titular de la cuenta DJI que vincula y puede desvincularla en cualquier momento, lo que elimina las credenciales almacenadas.

Datos operativos de vuelo. Telemetría de cada vuelo: coordenadas GPS del recorrido y de los lotes, área, dosis, caudal, altura, velocidad y datos de batería (número de serie, carga, temperatura); datos de los drones (número de serie, modelo, apodo, matrícula); fechas y horas. Provienen de los servicios de DJI, a los que se accede con las credenciales del usuario.

Datos de terceros cargados por el usuario. Clientes del prestador (nombre o razón social, lotes con su geometría, cultivos), pilotos (nombre, RFC y licencia RPAS) y productos aplicados (catálogo propio, incluidos los registros sanitarios COFEPRIS que cargue el usuario). El usuario es responsable de contar con base legal para cargar datos personales de terceros.

Datos de pago. Los pagos se procesan únicamente a través de Paddle, que recibe los datos necesarios para procesar el pago, actúa como merchant of record y emite el comprobante. Spravio no almacena números de tarjeta; conserva el plan contratado, el estado de la suscripción y el historial de cobros.

Datos técnicos. Logs de acceso del servidor (dirección IP, user-agent, fecha) y cookies y almacenamiento local del navegador estrictamente técnicos (sesión de autenticación, preferencia de tema, idioma y mercado; ver «Cookies y almacenamiento local»).

Estadísticas de visitas. En las páginas públicas del sitio usamos una herramienta de estadísticas propia (Umami, alojada en nuestros servidores) que registra la página vista, el origen de la visita (referencia o campaña), el tipo de dispositivo, el navegador y el país. No usa cookies ni identificadores persistentes: la dirección IP se emplea de forma transitoria para distinguir visitas y no se almacena. Los datos se conservan en forma agregada y no se comparten con terceros.

Los datos se tratan para:

• prestar el Servicio: sincronización de vuelos, procesamiento de telemetría, generación de reportes y exportaciones;
• facturación y cobro;
• soporte al usuario;
• seguridad y prevención de fraude y abuso;
• comunicaciones transaccionales por email (confirmaciones y avisos de servicio);
• avisos de servicio por WhatsApp al teléfono de contacto de la cuenta, cuando la cuenta tiene habilitado un módulo que los emite (por ejemplo, el aviso del sistema de aspersión de un dron). Se puede dar de baja respondiendo «BAJA» a ese mismo WhatsApp o escribiendo a hola@sprav.io; la baja no afecta el resto del Servicio.

No se venden datos personales a terceros. No se adoptan decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre las personas.

El tratamiento se basa en:

• el consentimiento del titular, prestado al crear la cuenta y aceptar esta Política y, en el caso de las credenciales DJI, mediante la autorización expresa otorgada al vincular la cuenta;
• la necesidad del tratamiento para la relación contractual entre el usuario y Spravio;
• el cumplimiento de obligaciones legales, por ejemplo en materia de facturación.

Respecto de los datos personales de terceros que el usuario carga en el Servicio, la base legal debe ser obtenida por el propio usuario, quien es responsable de contar con ella.

Para prestar el Servicio se utilizan los siguientes proveedores, que tratan datos por cuenta de Spravio o intervienen en la prestación:

• Google Cloud Platform — infraestructura y procesamiento (instancias en el exterior, por ejemplo en la región de Asia);
• Cloudflare (R2) — almacenamiento de PDFs y archivos de exportación;
• Paddle.com Market Limited — merchant of record de las compras realizadas a través de Paddle (Reino Unido);
• Resend — envío de emails transaccionales (no-reply@send.sprav.io);
• DJI (SmartFarm / Agras Cloud) — origen de los datos de vuelo, al que se accede con las credenciales del usuario.
• Google Drive (integración opcional) — si el usuario la activa, Spravio conserva —cifrada— la autorización de acceso que Google emite y establece una carpeta en el Google Drive del propio usuario. El permiso que Spravio solicita es el más acotado que ofrece Google («drive.file»): solo alcanza a los archivos y carpetas que la propia aplicación haya creado, de modo que Spravio no puede ver ni acceder al resto del Google Drive del usuario. Spravio no borra nada de ese Google Drive (ver «Eliminación de la cuenta»).

El responsable está establecido en Argentina y algunos proveedores procesan o almacenan datos fuera de México, por ejemplo Google Cloud en la región de Asia y Paddle en el Reino Unido. Las transferencias internacionales y el acceso de los proveedores se destinan a las finalidades descritas en esta Política: infraestructura, almacenamiento, sincronización, cobro y comunicaciones del Servicio. Se comunica a los destinatarios este aviso y las finalidades del tratamiento, y se establecen las obligaciones de protección correspondientes. Cuando la normativa aplicable requiera consentimiento para una transferencia, se solicitará al titular; las excepciones legales se aplicarán sólo cuando corresponda.

• Datos de cuenta y operativos: mientras la cuenta esté activa.
• PDFs y archivos de exportación: según el plan contratado — 30, 90, 180 o 365 días —, con eliminación automática al vencer el plazo.
• Al desvincular la cuenta DJI: la contraseña y las cookies de sesión de esa cuenta DJI se suprimen de inmediato, sin necesidad de eliminar la cuenta Spravio.
• Al eliminar la cuenta: rigen el procedimiento y los plazos descriptos en «Eliminación de la cuenta», aquí abajo. La supresión ocurre al vencer la ventana de gracia de setenta y dos (72) horas; la atención de solicitudes de derechos ARCO se describe en la sección 9.
• Registros técnicos de acceso: los logs del servidor (dirección IP, user-agent y fecha de cada solicitud) se conservan por motivos de seguridad, no forman parte de los datos de la cuenta y siguen sus propios plazos: no se eliminan junto con ella.

El usuario puede eliminar su cuenta por sí mismo, en cualquier momento, desde el panel del Servicio, sin necesidad de enviar una solicitud ni de esperar una autorización.

Cómo funciona. Al pedir la baja, Spravio cancela la suscripción en la pasarela de pago y, una vez cerrada esa cancelación, desactiva la cuenta: se cierran las sesiones abiertas, se revocan los tokens de acceso del plugin QGIS, se elimina la autorización que le permitía a Spravio acceder al Google Drive del usuario y se detiene la sincronización con las cuentas DJI. Desde ese momento corre una ventana de gracia de setenta y dos (72) horas, durante la cual la baja puede revertirse con el enlace que se envía por email. Vencida la ventana, los datos se eliminan de forma irreversible.

Plazo máximo. Mientras la cancelación en la pasarela de pago no se cierre, la cuenta permanece activa y la suscripción puede seguir vigente: el usuario conserva el Servicio que está pagando. La ventana de gracia puede acortarse, incluso hasta desaparecer, para respetar los plazos legales aplicables. Si la cuenta se elimina sin que la pasarela haya confirmado la baja de la suscripción, se conserva el registro de incidente que se describe más abajo. Las solicitudes de derechos ARCO se atienden por el canal y en el plazo indicados en la sección 9.

Qué se elimina. La cuenta y los datos asociados: vuelos y telemetría, reportes y exportaciones (incluidos los archivos almacenados en Cloudflare R2), órdenes de trabajo, clientes, lotes, pilotos, productos, drones, baterías, las credenciales de la cuenta DJI, la suscripción y los datos de perfil. Durante la ventana de gracia esos datos todavía existen —es precisamente lo que hace posible revertir la baja— y recién se suprimen al vencerla. Quien quiera que las credenciales de su cuenta DJI se supriman de inmediato puede desvincularla antes de pedir la baja.

Qué se conserva, y por qué. La supresión puede estar sujeta a las obligaciones legales de conservación y a las excepciones permitidas por la normativa aplicable. Sobreviven a la eliminación de la cuenta:

• Comprobantes e información de facturación — en la medida en que exista una obligación legal de conservarlos, por los plazos fiscales y comerciales aplicables.
• Registros de incidentes de cobro — si al pedir la baja hubiera un cobro, un intento de cobro o una suscripción que la pasarela no confirmó como cancelada —o si la pasarela informara un cobro después de eliminada la cuenta—, se conserva el registro de ese incidente. El registro guarda los identificadores que asigna la pasarela (pago, suscripción o referencia de la operación), el monto, la moneda, el motivo técnico y un identificador interno de la cuenta eliminada; no incluye el email ni el nombre del titular. Es el único rastro que permite detener un débito posterior o gestionar una devolución a favor del usuario: sin él, un cobro indebido sobre una cuenta ya borrada sería invisible. Se conserva mientras el incidente siga abierto y, después, por los plazos aplicables a la documentación de cobros.
• Marca del período gratuito — si la cuenta DJI que estuvo vinculada consumió el período gratuito de evaluación, se conserva un código irreversible derivado de su email —calculado con una función de un solo sentido y una clave secreta—, junto con la fecha en que se consumió ese período y la de registro de la marca. El código no permite reconstruir el email ni ningún otro dato: solo sirve para compararlo contra una cuenta DJI que se vincule en el futuro e impedir que la misma cuenta DJI obtenga períodos gratuitos de evaluación en forma repetida creando cuentas nuevas (prevención del fraude y del abuso del Servicio, interés legítimo).

Los registros técnicos de acceso al servidor no forman parte de los datos de la cuenta: se rigen por lo indicado en «Plazos de conservación».

Google Drive del usuario. Al eliminar la cuenta se revoca el acceso de Spravio al Google Drive del usuario: se borra la autorización que Spravio tenía guardada y, sin ella, Spravio ya no puede acceder a ese Drive. Lo que no se toca es el Drive en sí — Spravio no borra nada del Google Drive del usuario: ni la carpeta que creó al conectarse ni ningún otro contenido de esa cuenta de Google, que está fuera de los sistemas de Spravio y bajo el control exclusivo del usuario. Si el usuario quiere borrar ese contenido, debe hacerlo desde su propio Google Drive. Revocar el acceso de Spravio tampoco retira por sí solo el permiso del lado de Google: quien además quiera retirarlo allí puede hacerlo desde la configuración de seguridad de su cuenta de Google.

Reversión. Revertir la baja dentro de la ventana de gracia restablece el acceso a la cuenta y a sus datos, pero no restituye: la suscripción (al revertir se informa su estado: si la cancelación en la pasarela quedó confirmada, debe contratarse nuevamente; si aún no se confirmó, no debe contratarse otra hasta tener esa confirmación, para evitar un débito duplicado), la autorización de acceso al Google Drive (hay que volver a conectarlo) ni los tokens de acceso del plugin QGIS, que quedan revocados y deben generarse otra vez. Las sesiones cerradas tampoco se reabren: hay que iniciar sesión de nuevo.

El titular de los datos puede ejercer los derechos ARCO: acceso, rectificación, cancelación y oposición, conforme a la LFPDPPP.

El canal de atención de estas solicitudes es el email de privacidad: hola@sprav.io. La solicitud debe indicar el nombre del titular, un medio para recibir la respuesta, los datos sobre los que se solicita el ejercicio del derecho y una descripción clara de lo solicitado, junto con los documentos necesarios para acreditar su identidad o representación. Para rectificaciones, deben indicarse los cambios y la documentación que los respalde.

Spravio comunicará la determinación adoptada dentro de los veinte (20) días hábiles desde la recepción de la solicitud. Si resulta procedente, se hará efectiva dentro de los quince (15) días hábiles siguientes a la comunicación de la respuesta, conforme a la LFPDPPP.

Por el mismo canal se puede solicitar la revocación del consentimiento o la limitación del uso o divulgación de los datos, conforme a la normativa aplicable. La cancelación puede estar sujeta a los períodos de bloqueo y conservación legal que correspondan.

El usuario también puede corregir datos desde el panel o eliminar su cuenta por sí mismo, con el procedimiento descrito en «Eliminación de la cuenta». Estas opciones no sustituyen el canal para ejercer los derechos ARCO.

Spravio aplica medidas técnicas y organizativas razonables y proporcionales al riesgo, incluyendo controles de acceso, protección de credenciales, registro de eventos, cifrado cuando corresponde y procedimientos de recuperación y respuesta ante incidentes. No se publican detalles de configuración que faciliten eludir esos controles. Spravio no almacena números de tarjeta: los pagos los procesan las pasarelas correspondientes.

El Servicio utiliza cookies y almacenamiento local para la sesión de autenticación y la preferencia de tema de la interfaz. La cookie spv_locale conserva la preferencia de idioma y la cookie spv_market conserva la preferencia de mercado (Argentina o México). Ambas duran un año y permiten mantener esas preferencias entre visitas; no contienen credenciales ni datos de pago. Las estadísticas de visitas se generan con una herramienta propia, sin cookies ni identificadores persistentes (ver sección 2); no se utilizan herramientas de analítica de terceros ni publicidad.

El Servicio está dirigido a prestadores profesionales y no está destinado a menores de 18 años. No se recogen deliberadamente datos personales de menores.

Esta Política puede actualizarse. La versión vigente se publica en esta página con su fecha de última actualización, y los cambios relevantes se comunican por email o mediante un aviso en la aplicación.

Por consultas sobre esta Política o sobre el tratamiento de datos personales, el titular puede escribir a hola@sprav.io.