Política de Privacidad

Esta Política de Privacidad describe cómo se tratan los datos personales en el marco del servicio Spravio, disponible en https://sprav.io (el «Servicio»), conforme a la Ley N° 25.326 de Protección de Datos Personales y la normativa de la Agencia de Acceso a la Información Pública (AAIP).

El responsable del tratamiento es Oval S.A.S., CUIT 30-71763960-6, con domicilio en B° La Criolla S/N, Gobernador Ing. Valentín Virasoro, Provincia de Corrientes, Argentina. Contacto: hola@sprav.io.

Datos de la cuenta Spravio. Email, contraseña (almacenada únicamente como hash), nombre de empresa o marca, logo (en los planes Pro y superiores) y datos para facturación. Los proporciona el usuario al registrarse y configurar su cuenta.

Credenciales DJI del usuario. Email y contraseña de su cuenta DJI y cookies de sesión, almacenados cifrados (cifrado simétrico en reposo). Se utilizan exclusivamente para sincronizar los vuelos de esa cuenta en nombre del usuario, con la autorización expresa que este otorga al vincularla. El usuario declara ser titular de la cuenta DJI que vincula y puede desvincularla en cualquier momento, lo que elimina las credenciales almacenadas.

Datos operativos de vuelo. Telemetría de cada vuelo: coordenadas GPS del recorrido y de los lotes, área, dosis, caudal, altura, velocidad y datos de batería (número de serie, carga, temperatura); datos de los drones (número de serie, modelo, apodo, matrícula); fechas y horas. Provienen de los servicios de DJI, a los que se accede con las credenciales del usuario.

Datos de terceros cargados por el usuario. Clientes del prestador (nombre o razón social, lotes con su geometría, cultivos), pilotos (nombre, DNI/CUIT, licencias y CETA — identidad regulatoria ante ANAC) y productos aplicados (catálogo propio y vademécum público de SENASA). El usuario es responsable de contar con base legal para cargar datos personales de terceros.

Datos de pago. Los pagos se procesan a través de MercadoPago (y, eventualmente, Stripe). Spravio no almacena números de tarjeta; conserva el plan contratado, el estado de la suscripción y el historial de cobros.

Datos técnicos. Logs de acceso del servidor (dirección IP, user-agent, fecha) y cookies y almacenamiento local del navegador estrictamente técnicos (sesión de autenticación y preferencia de tema).

Estadísticas de visitas. En las páginas públicas del sitio usamos una herramienta de estadísticas propia (Umami, alojada en nuestros servidores) que registra la página vista, el origen de la visita (referencia o campaña), el tipo de dispositivo, el navegador y el país. No usa cookies ni identificadores persistentes: la dirección IP se emplea de forma transitoria para distinguir visitas y no se almacena. Los datos se conservan en forma agregada y no se comparten con terceros.

Los datos se tratan para:

• prestar el Servicio: sincronización de vuelos, procesamiento de telemetría, generación de reportes y exportaciones;
• facturación y cobro;
• soporte al usuario;
• seguridad y prevención de fraude y abuso;
• comunicaciones transaccionales por email (confirmaciones y avisos de servicio).

No se venden datos personales a terceros. No se adoptan decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre las personas.

El tratamiento se basa en:

• el consentimiento del titular, prestado al crear la cuenta y aceptar esta Política y, en el caso de las credenciales DJI, mediante la autorización expresa otorgada al vincular la cuenta;
• la necesidad del tratamiento para la relación contractual entre el usuario y Spravio (art. 5, inc. 2, Ley 25.326);
• el cumplimiento de obligaciones legales, por ejemplo en materia de facturación.

Respecto de los datos personales de terceros que el usuario carga en el Servicio, la base legal debe ser obtenida por el propio usuario, quien es responsable de contar con ella.

Para prestar el Servicio se utilizan los siguientes proveedores, que tratan datos por cuenta de Spravio o intervienen en la prestación:

• Google Cloud Platform — infraestructura y procesamiento (instancias en el exterior, por ejemplo en la región de Asia);
• Cloudflare (R2) — almacenamiento de PDFs y archivos de exportación;
• MercadoPago — procesamiento de pagos (Argentina); Stripe — pasarela alternativa, si se activa;
• Resend — envío de emails transaccionales (no-reply@send.sprav.io);
• DJI (SmartFarm / Agras Cloud) — origen de los datos de vuelo, al que se accede con las credenciales del usuario.
• Google Drive (integración opcional) — si el usuario la activa, Spravio conserva —cifrada— la autorización de acceso que Google emite y crea una carpeta en el Google Drive del propio usuario. El permiso que Spravio solicita es el más acotado que ofrece Google («drive.file»): solo alcanza a los archivos y carpetas que la propia aplicación crea, de modo que Spravio no puede ver ni acceder al resto del Google Drive del usuario. Spravio no borra nada de ese Google Drive (ver «Eliminación de la cuenta»).

Algunos de los proveedores mencionados procesan o almacenan datos fuera de la República Argentina (por ejemplo, infraestructura de Google Cloud en la región de Asia). Estas transferencias internacionales se realizan de conformidad con el artículo 12 de la Ley 25.326: hacia países u organizaciones que proporcionen niveles de protección adecuados o, en su defecto, con el consentimiento del titular o mediante contratos que garanticen una protección adecuada de los datos transferidos. Al aceptar esta Política, el usuario presta su consentimiento para dichas transferencias en la medida en que resulte necesario para la prestación del Servicio.

• Datos de cuenta y operativos: mientras la cuenta esté activa.
• PDFs y archivos de exportación: según el plan contratado — 30, 90, 180 o 365 días —, con eliminación automática al vencer el plazo.
• Al desvincular la cuenta DJI: la contraseña y las cookies de sesión de esa cuenta DJI se suprimen de inmediato, sin necesidad de eliminar la cuenta Spravio.
• Al eliminar la cuenta: rigen el procedimiento y los plazos descriptos en «Eliminación de la cuenta», aquí abajo. La supresión ocurre al vencer la ventana de gracia de setenta y dos (72) horas y, en todos los casos, dentro del plazo de cinco (5) días hábiles del art. 16 de la Ley 25.326.
• Registros técnicos de acceso: los logs del servidor (dirección IP, user-agent y fecha de cada solicitud) se conservan por motivos de seguridad, no forman parte de los datos de la cuenta y siguen sus propios plazos: no se eliminan junto con ella.

El usuario puede eliminar su cuenta por sí mismo, en cualquier momento, desde el panel del Servicio, sin necesidad de enviar una solicitud ni de esperar una autorización.

Cómo funciona. Al pedir la baja, Spravio cancela la suscripción en la pasarela de pago y, una vez cerrada esa cancelación, desactiva la cuenta: se cierran las sesiones abiertas, se revocan los tokens de acceso del plugin QGIS, se elimina la autorización que le permitía a Spravio acceder al Google Drive del usuario y se detiene la sincronización con las cuentas DJI. Desde ese momento corre una ventana de gracia de setenta y dos (72) horas, durante la cual la baja puede revertirse con el enlace que se envía por email. Vencida la ventana, los datos se eliminan de forma irreversible.

Plazo máximo. Mientras la cancelación en la pasarela de pago no se cierre, la cuenta sigue activa y la suscripción puede seguir vigente: el usuario conserva el Servicio que está pagando. Esa demora, sin embargo, nunca posterga la supresión más allá del plazo del art. 16 de la Ley 25.326 —cinco (5) días hábiles desde el pedido—: la ventana de gracia se acorta, incluso hasta desaparecer, para no exceder ese plazo, y la cuenta se elimina igual aunque la pasarela no haya confirmado la baja de la suscripción (en ese caso queda el registro de incidente que se describe más abajo).

Qué se elimina. La cuenta y los datos asociados: vuelos y telemetría, reportes y exportaciones (incluidos los archivos almacenados en Cloudflare R2), órdenes de trabajo, clientes, lotes, pilotos, productos, drones, baterías, las credenciales de la cuenta DJI, la suscripción y los datos de perfil. Durante la ventana de gracia esos datos todavía existen —es precisamente lo que hace posible revertir la baja— y recién se suprimen al vencerla. Quien quiera que las credenciales de su cuenta DJI se supriman de inmediato puede desvincularla antes de pedir la baja.

Qué se conserva, y por qué. La supresión cede, en los términos del art. 16 de la Ley 25.326, ante una obligación legal de conservar los datos o ante un interés legítimo. Sobreviven a la eliminación de la cuenta:

• Comprobantes e información de facturación — en la medida en que exista una obligación legal de conservarlos, por los plazos fiscales y comerciales aplicables.
• Registros de incidentes de cobro — si al pedir la baja hubiera un cobro, un intento de cobro o una suscripción que la pasarela no confirmó como cancelada —o si la pasarela informara un cobro después de eliminada la cuenta—, se conserva el registro de ese incidente. El registro guarda los identificadores que asigna la pasarela (pago, suscripción o referencia de la operación), el monto, la moneda, el motivo técnico y un identificador interno de la cuenta eliminada; no incluye el email ni el nombre del titular. Es el único rastro que permite detener un débito posterior o gestionar una devolución a favor del usuario: sin él, un cobro indebido sobre una cuenta ya borrada sería invisible. Se conserva mientras el incidente siga abierto y, después, por los plazos aplicables a la documentación de cobros.
• Marca de prueba gratuita — si la cuenta DJI que estuvo vinculada consumió el período de prueba gratuito, se conserva un código irreversible derivado de su email —calculado con una función de un solo sentido y una clave secreta—, junto con la fecha en que se consumió esa prueba y la de registro de la marca. El código no permite reconstruir el email ni ningún otro dato: solo sirve para compararlo contra una cuenta DJI que se vincule en el futuro e impedir que la misma cuenta DJI obtenga períodos de prueba en forma repetida creando cuentas nuevas (prevención del fraude y del abuso del Servicio, interés legítimo).

Los registros técnicos de acceso al servidor no forman parte de los datos de la cuenta: se rigen por lo indicado en «Plazos de conservación».

Google Drive del usuario. Al eliminar la cuenta se revoca el acceso de Spravio al Google Drive del usuario: se borra la autorización que Spravio tenía guardada y, sin ella, Spravio ya no puede acceder a ese Drive. Lo que no se toca es el Drive en sí — Spravio no borra nada del Google Drive del usuario: ni la carpeta que creó al conectarse ni ningún otro contenido de esa cuenta de Google, que está fuera de los sistemas de Spravio y bajo el control exclusivo del usuario. Si el usuario quiere borrar ese contenido, debe hacerlo desde su propio Google Drive. Revocar el acceso de Spravio tampoco retira por sí solo el permiso del lado de Google: quien además quiera retirarlo allí puede hacerlo desde la configuración de seguridad de su cuenta de Google.

Reversión. Revertir la baja dentro de la ventana de gracia restablece el acceso a la cuenta y a sus datos, pero no restituye: la suscripción (al revertir se informa su estado: si la cancelación en la pasarela quedó confirmada, debe contratarse nuevamente; si aún no se confirmó, no debe contratarse otra hasta tener esa confirmación, para evitar un débito duplicado), la autorización de acceso al Google Drive (hay que volver a conectarlo) ni los tokens de acceso del plugin QGIS, que quedan revocados y deben generarse otra vez. Las sesiones cerradas tampoco se reabren: hay que iniciar sesión de nuevo.

El titular de los datos puede ejercer en cualquier momento los derechos de acceso, rectificación, actualización y supresión previstos por la Ley 25.326.

Supresión. No hace falta pedirla: el usuario puede eliminar su cuenta y sus datos por sí mismo, desde el panel del Servicio, con el procedimiento y los plazos descriptos en «Eliminación de la cuenta». Si prefiere hacerlo por escrito, igualmente puede solicitarla a hola@sprav.io. En ambos casos rige el plazo de cinco (5) días hábiles del art. 16 de la Ley 25.326.

Acceso, rectificación y actualización. Buena parte de los datos de la cuenta se corrige desde el propio panel; además, el titular puede escribir a hola@sprav.io. El derecho de acceso es gratuito a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto.

Se aplican medidas técnicas y organizativas razonables para proteger los datos personales. Entre otras: las contraseñas de cuenta se almacenan únicamente como hash; las credenciales DJI se almacenan cifradas en reposo; Spravio no almacena números de tarjeta (los pagos los procesa la pasarela correspondiente).

El Servicio utiliza únicamente cookies y almacenamiento local estrictamente técnicos: la sesión de autenticación y la preferencia de tema de la interfaz. Las estadísticas de visitas se generan con una herramienta propia, sin cookies ni identificadores persistentes (ver sección 2); no se utilizan herramientas de analítica de terceros ni publicidad.

El Servicio está dirigido a prestadores profesionales y no está destinado a menores de 18 años. No se recogen deliberadamente datos personales de menores.

Esta Política puede actualizarse. La versión vigente se publica en esta página con su fecha de última actualización, y los cambios relevantes se comunican por email o mediante un aviso en la aplicación.

Por consultas sobre esta Política o sobre el tratamiento de datos personales, el titular puede escribir a hola@sprav.io.