Aviso de privacidad

Quién es el responsable

El responsable del tratamiento es TPC Aviation L.L.C-FZ, sociedad de zona franca inscrita en Dubái (Emiratos Árabes Unidos), en Meydan Grandstand, 6.ª planta, Meydan Road, Nad Al Sheba, Dubái, Emiratos Árabes Unidos.

Para cualquier cosa de este aviso — una pregunta, una rectificación, un borrado — escriba a info@tpcaptain.com indicando «protección de datos». Llega a las personas que contestan las consultas, que en una empresa de este tamaño son también las que custodian los datos.

No hemos designado delegado de protección de datos y no estamos obligados: el artículo 10 de la ley emiratí de protección de datos personales (Decreto-ley federal 45/2021) reserva esa obligación a los tratamientos de alto riesgo, a la evaluación sistemática de datos sensibles y a grandes volúmenes de ellos. Un formulario de contacto profesional no es nada de eso. Su ausencia no reduce ninguno de los derechos que figuran más abajo.

TPC Aviation L.L.C-FZ no tiene establecimiento en la Unión Europea. Cuando este aviso se aplica a personas que están en la Unión lo hace por el artículo 3(2) del RGPD, y hasta que se designe un representante del artículo 27 toda solicitud nos llega directamente a la dirección de arriba y se contesta en el plazo de un mes.

Qué recogemos, para qué, y con qué base

Solo lo que pide el formulario, más lo que cualquier servidor web registra para seguir en pie. No hay ningún píxel de seguimiento en esta web, ni lista de difusión, y nada se compra ni se vende a nadie.

Dos campos son obligatorios — su nombre y su correo profesional — porque sin ellos no podemos contestar. Todo lo demás es opcional: dejar un campo vacío solo le cuesta una respuesta más lenta o más vaga. Donde invocamos el interés legítimo, ese interés es concreto y estrecho: contestar una consulta profesional que usted nos ha enviado y mantener en funcionamiento el canal que la transporta.

Le pedimos que no incluya datos de categorías especiales en el campo libre — salud, opiniones políticas o religiosas, afiliación sindical, nada de índole penal. No lo necesitamos para colocar ni para inspeccionar una aeronave, y un campo libre es el sitio equivocado para eso. Si llega de todos modos, borramos esa parte y se lo decimos.

Quién más lo ve

Cada destinatario está nombrado en la tabla de abajo. Nadie más recibe sus datos: ni un intermediario de datos, ni un socio, ni otro cliente. Si eso cambia algún día, esta tabla cambia antes.

Hay una distinción que importa más de lo que parece, y es donde la mayoría de los avisos de privacidad hace trampa sin decirlo. Un encargado actúa solo siguiendo nuestras instrucciones y nosotros respondemos por él. Un responsable independiente decide sus propias finalidades y responde de ellas él mismo; no podemos darle instrucciones y no cobijamos nuestro propio uso bajo sus contratos. Google es del segundo tipo, y Meta también. Decir lo contrario haría este aviso más fácil de escribir y falso.

Enviar el formulario no es una transferencia internacional. Las cookies sí lo serían.

Estas dos cosas se confunden constantemente y son genuinamente distintas.

Cuando rellena el formulario, entrega sus datos directamente a nosotros, un responsable en Emiratos Árabes Unidos. No hay exportador en el Espacio Económico Europeo y por tanto no hay transferencia en el sentido del capítulo V del RGPD — es el ejemplo 1 de las Directrices 05/2021 del Comité Europeo de Protección de Datos. Lo que sí se nos aplica es el artículo 3(2): el RGPD rige lo que hacemos después con sus datos, y este aviso es parte de cómo lo cumplimos. La ausencia de un mecanismo de transferencia aquí no es un hueco: es la respuesta correcta.

Las cookies serían el otro caso. Hoy este sitio no pone ninguna, así que nada de su visita va a Google ni a nadie más. Si algún día se introducen cookies de medición o publicidad y usted las acepta, los datos de su visita irían a Google como responsable propio y saldrían de su país. Eso sí sería una transferencia internacional, apoyada en los mecanismos que Google publica — las cláusulas contractuales tipo de la UE y, donde aplique, el marco de protección de datos UE–EE. UU.—. Por eso la decisión sobre cookies sería independiente del envío del formulario: rechazarlas no tendría ningún efecto sobre su consulta ni sobre la respuesta que reciba.

En sentido contrario, cuando enviamos datos personales fuera de Emiratos Árabes Unidos se aplican los artículos 22 y 23 de la ley emiratí de protección de datos: un destino adecuado, o un contrato que imponga las protecciones de esa ley, o su consentimiento explícito, o la necesidad de un contrato del que usted sea parte.

Consentimiento: dónde se aplicaría y cómo funcionaría

Hoy nada en este sitio funciona con consentimiento. No hay cookies de medición ni de publicidad, y el formulario no le pide aceptar nada más que el envío de su consulta. Contestarle nunca se basa en el consentimiento — usted nos escribió, y eso lo cubre el artículo 6(1)(b) — y no usamos su consulta para contacto comercial más allá de responderla.

Si algún día se introducen cookies de medición o publicidad, funcionarán solo con su consentimiento, pedido en un banner antes de guardar nada. El artículo 7(1) nos pide poder demostrar ese consentimiento, no solo obtenerlo. Así que entonces guardaríamos, finalidad por finalidad, su decisión, la fecha y la hora, la versión de la política de cookies vigente y un identificador técnico de ese registro — sin su nombre. El registro se conservaría 12 meses, tras los cuales se le volvería a preguntar, y se conservaría también después de una retirada, porque una retirada es precisamente lo que puede que tengamos que demostrar que respetamos.

Retirarlo costaría el mismo clic que darlo, desde un enlace de ajustes de cookies que entonces aparecería en el pie de cada página. Rechazar sería tan fácil como aceptar, en la primera pantalla, sin casillas premarcadas y sin muro delante del contenido. Nada de esto está hoy en el sitio porque todavía no hay nada que consentir; la política de cookies cambiará antes de que lo esté.

Retirar el consentimiento detiene el tratamiento desde ese momento. No convierte en ilícito lo que ocurrió antes, y no puede alcanzar datos que ya han ido a un responsable independiente bajo su propia responsabilidad — para esa parte valen las herramientas de ese responsable, y le indicaremos dónde están.

Sus derechos, y qué hace falta para ejercerlos

Puede ejercer cualquiera de ellos escribiendo a info@tpcaptain.com. Contestamos en el plazo de un mes. Podemos pedirle que confirme la dirección de correo desde la que llegó la consulta: es la única comprobación de identidad que necesita una consulta profesional, y no le vamos a pedir un pasaporte para cerrar un formulario de contacto.

No cuesta nada, y ejercer un derecho no tiene ningún efecto sobre una operación en curso.

• Acceso: una copia de lo que tenemos sobre usted y de dónde salió.
• Rectificación: lo que esté mal se corrige, también en el hilo del buzón.
• Supresión: vea el párrafo siguiente, porque es el que de verdad se quiere.
• Limitación: lo conservamos pero dejamos de usarlo mientras algo esté en disputa.
• Oposición: a todo lo que basemos en el interés legítimo, en cualquier momento.
• Portabilidad: los datos que usted nos dio, en un fichero estructurado y legible por máquina.
• Retirada del consentimiento: en cualquier momento y sin tener que explicar por qué.
• Reclamación ante una autoridad de control, sin pasar antes por nosotros.

Si está en la Unión Europea o en el Espacio Económico Europeo, puede reclamar ante la autoridad de protección de datos del Estado miembro en el que reside o trabaja, o de aquel en el que crea que se produjo la infracción. El Comité Europeo de Protección de Datos publica la lista de esas autoridades: autoridades nacionales de protección de datos (CEPD)

Cómo pedir el borrado, concretamente

Escriba a info@tpcaptain.com con la palabra supresión y la dirección de correo que usó. Borramos la consulta y sus adjuntos del buzón, de los registros del servicio de formularios y del expediente de la operación, y confirmamos por escrito qué se borró y cuándo.

Dos cosas sobreviven, y conviene saberlo. Guardamos un registro mínimo de que se pidió un borrado y de cuándo — sin los datos en sí — porque ese registro es como demostramos que la petición se atendió. Y si hubo operación, las normas contables y fiscales nos obligan a conservar los documentos contractuales durante su propio plazo; los limitamos a esa única finalidad en vez de borrarlos, y le decimos cuáles son.

Los registros del servidor no se pueden consultar por nombre, así que no se borran a petición: caducan solos, dentro del periodo corto descrito en la tabla de arriba.

Ninguna decisión automatizada sobre usted

Nada en esta web decide nada sobre usted automáticamente, y no le perfilamos. Una consulta la lee una persona, y la respuesta la escribe una persona. No hay puntuación, ni ranking, ni rechazo automático.

Si consiente las cookies publicitarias, Google puede perfilarle para sus propias finalidades, como responsable independiente. Ese es su tratamiento, bajo sus avisos y sus controles, y no influye en cómo atendemos su consulta.

Menores de edad

Este sitio y los servicios que describe son para empresas: aerolíneas, operadores, arrendadores, intermediarios y las personas que trabajan para ellos. No están dirigidos a menores de 18 años, y no recogemos a sabiendas datos personales suyos.

Si sabemos que una consulta o cualquier otro dato procede de un menor de 18 años, lo borramos y no le damos curso.

Seguridad, y qué pasa si falla

La web se sirve solo por HTTPS. El acceso a las consultas está limitado a las personas que las contestan, en cuentas de nuestro propio tenant de Microsoft 365 con autenticación multifactor. No guardamos copia de las consultas en el portátil de nadie.

Si hay una brecha que ponga en riesgo sus datos, notificamos a la autoridad de control competente en 72 horas por el artículo 33 del RGPD y a la Data Office de Emiratos de forma inmediata por el artículo 9 de su ley de protección de datos, y se lo comunicamos a usted directamente cuando el riesgo para usted sea alto.

Emiratos Árabes Unidos: la PDPL

Estamos establecidos en Emiratos, así que el Decreto-ley federal 45/2021 de protección de datos personales se nos aplica junto con el RGPD. Somos una sociedad de zona franca registrada en Dubái y no estamos establecidos en ninguna de las zonas francas financieras (DIFC o ADGM), que tienen sus propias leyes de protección de datos; entendemos, por tanto, que el régimen que se nos aplica es el federal.

El artículo 13 de esa ley nos pide decirle, antes de empezar a tratar, cuáles son las finalidades, con quién se compartirán los datos dentro y fuera de Emiratos, y cómo se protegen cuando cruzan una frontera. Para eso están las tablas de arriba. El artículo 4 se apoya en el consentimiento más que el RGPD; donde invocamos la necesidad de un contrato o de actuaciones previas lo decimos en la tabla, y donde invocamos el consentimiento se le habrá pedido.

Los artículos 13 a 18 le dan acceso, portabilidad, rectificación, supresión, limitación y oposición, incluida la oposición a decisiones automatizadas. Son los mismos derechos de arriba y se ejercen en la misma dirección. Las reclamaciones van a la Data Office de Emiratos.

Suiza

Si está en Suiza, a este tratamiento se le aplica la ley federal revisada de protección de datos. Su artículo 19 exige que se le informe de quién es el responsable, cuál es la finalidad y quiénes son los destinatarios en el momento de la recogida: eso es este aviso, y las tablas de arriba lo cubren.

La autoridad de control es el Encargado Federal de Protección de Datos y Transparencia. Si el artículo 14 nos obliga a designar representante en Suiza depende de umbrales que estamos evaluando; si se designa uno, su nombre y dirección aparecerán aquí, y en ningún otro sitio antes.

Si este aviso cambia

La versión y la fecha de arriba cambian con él, y la versión anterior queda disponible si la pide. Un cambio de redacción no requiere que usted haga nada.

Un cambio de finalidad sí. Si algún día quisiéramos usar datos que usted nos dio para algo que este aviso no describe, el artículo 13(3) nos obliga a decírselo antes, con la nueva finalidad y su base jurídica — y si esa base es el consentimiento, a pedírselo.