Política de Privacidad — DreamRoutes
Última actualización: 30 de octubre de 2026 Versión: 1.3
Esta es una traducción. La versión en inglés es el texto de referencia en caso de divergencia. Para consumidores residentes en Brasil prevalece la versión en portugués.
1. Quiénes somos
DreamRoutes (https://dream-routes.com) es una plataforma que genera itinerarios de viaje
personalizados mediante inteligencia artificial.
El servicio es operado por MAYCON F S BRITO LTDA, sociedad limitada inscrita en el registro mercantil brasileño (CNPJ) con el nº 36.899.760/0001-20, con domicilio social en João Monlevade, Minas Gerais, Brasil, en calidad de responsable del tratamiento conforme a la Ley brasileña nº 13.709/2018 (Ley General de Protección de Datos — LGPD) y, cuando corresponda, al Reglamento General de Protección de Datos de la Unión Europea (RGPD).
Contacto para asuntos de privacidad y ejercicio de derechos: support@dream-routes.com
Los datos registrales completos de la empresa, incluido el domicilio social, son públicos y pueden consultarse con el CNPJ indicado arriba en el registro de la Agencia Tributaria de Brasil (Receita Federal), o solicitarse mediante la dirección anterior.
Esta Política explica qué datos recogemos, por qué, con quién los compartimos y cuáles son sus derechos. Se aplica a todas las personas que acceden al sitio, con o sin cuenta.
2. Qué datos recogemos
2.1 Datos que usted proporciona
| Dato | Cuándo | Obligatorio |
|---|---|---|
| Correo electrónico | Registro | Sí — identifica su cuenta |
| Contraseña | Registro | Sí — almacenada solo como hash, nunca en texto legible |
| País | Registro | Sí — se usa para adaptar las sugerencias del itinerario |
| Nombre visible | Registro | Derivado automáticamente de su correo |
| Avatar | Registro | Elegido automáticamente de nuestro catálogo; puede cambiarlo |
| Consentimiento de marketing | Registro | No — opcional, desmarcado por defecto |
2.2 Datos que usted crea al usar el servicio
- Parámetros del itinerario: destino, fechas o duración, presupuesto estimado, compañía de viaje, ritmo, intereses y las restricciones alimentarias que indique.
- Itinerarios generados: el contenido producido por la IA a partir de esos parámetros, incluidas todas las versiones creadas mediante refinamiento.
- Conversaciones de refinamiento: los mensajes que escribe en el chat para ajustar un itinerario.
⚠️ Atención a lo que escribe. El chat de refinamiento y los campos de intereses son texto libre enviado a un proveedor de IA (ver §4). No incluya datos sensibles — condiciones de salud, orientación sexual, convicciones religiosas o políticas, datos de terceros — salvo que sean estrictamente necesarios para el itinerario. Las restricciones alimentarias que indique se tratan como preferencia de viaje, no como dato de salud.
2.3 Datos de uso y técnicos
- Dirección IP: se usa para limitar intentos abusivos de acceso y de generación (protección contra ataques automatizados). No se usa para publicidad ni elaboración de perfiles.
- Idioma del navegador: para servir el sitio en su idioma.
- Registros de transacciones de tokens: el historial de créditos y débitos de su cuenta.
- Registro de las generaciones de itinerario: cada solicitud de generación (con los parámetros anteriores), cómo terminó y, cuando la respuesta no le llega, el tipo de navegador (p. ej., Safari, Chrome). Sirve para diagnosticar fallos y para recuperar un itinerario que quedó listo mientras se caía la conexión.
- Uso del sitio (solo con su consentimiento): páginas visitadas, idioma de la interfaz y acciones como iniciar o completar la generación de un itinerario; y la grabación de la navegación — clics, desplazamiento, movimiento del ratón y el contenido mostrado en pantalla —, con números, correos electrónicos, campos de formulario y mensajes del chat ocultos. Sirven para entender dónde se atascan las personas y mejorar el producto. De quien lo rechaza no se recoge nada de esto — ver §9.2.
2.4 Qué no recogemos
No recogemos datos de geolocalización precisa, no usamos cookies con fines publicitarios y no vendemos datos a nadie.
Sí usamos dos herramientas de analítica de terceros (Google Analytics y Microsoft Clarity), y solo con su consentimiento: si las rechaza, ninguna se carga y ningún dato suyo — ni siquiera su dirección IP — llega a Google ni a Microsoft. Detalles, y cómo cambiar de opinión en cualquier momento, en §9.2.
3. Por qué usamos sus datos (bases legales)
| Finalidad | Base legal |
|---|---|
| Crear y mantener su cuenta; autenticar el acceso | Ejecución de contrato |
| Generar, almacenar, traducir y mostrar sus itinerarios | Ejecución de contrato |
| Procesar compras y controlar su saldo de tokens | Ejecución de contrato |
| Enviar correos del servicio (confirmación, restablecimiento, avisos) | Ejecución de contrato |
| Enviar comunicaciones promocionales | Consentimiento — revocable en cualquier momento |
| Medir el uso del sitio y grabar la navegación (Google Analytics y Microsoft Clarity) | Consentimiento — revocable en cualquier momento mediante el enlace Cookies del pie de página |
| Prevenir fraude, abuso y ataques automatizados | Interés legítimo |
| Cumplir obligaciones legales y fiscales | Obligación legal |
4. Con quién compartimos
Para funcionar, DreamRoutes depende de servicios de terceros (encargados del tratamiento). Cada uno recibe solo lo necesario para su función. Ninguno recibe su contraseña.
| Servicio | Para qué | Qué recibe | Dónde procesa |
|---|---|---|---|
| Supabase | Base de datos y autenticación | Cuenta, itinerarios, transacciones | EE. UU. (AWS, Ohio) |
| Google Cloud Run | Alojamiento de la aplicación | Tráfico de la aplicación | EE. UU. (Carolina del Sur) |
| Google Gemini | Generación y refinamiento de itinerarios | Sus parámetros y mensajes del chat | EE. UU. |
| Google Places / Maps | Datos y fotos de los lugares | Nombres de los lugares consultados | EE. UU. |
| DeepL | Traducción de itinerarios publicados | Contenido del itinerario publicado | Alemania / UE |
| Resend | Envío de correos | Su correo y el contenido del mensaje | EE. UU. |
| Cloudflare | DNS y protección anti-bots (Turnstile, modo invisible) | IP y señales del navegador | Red global |
| Unsplash | Imágenes ilustrativas | Término de búsqueda (p. ej. nombre de ciudad) | EE. UU. |
| Google Analytics | Medir el uso del sitio (solo con su consentimiento) | Páginas visitadas, idioma, acciones de uso y dirección IP | EE. UU. |
| Microsoft Clarity | Grabar la navegación y generar mapas de calor (solo con su consentimiento) | Clics, desplazamiento, movimiento del ratón, contenido mostrado en pantalla (con números, correos electrónicos, campos de formulario y mensajes del chat ocultos), datos del navegador y del dispositivo y dirección IP | EE. UU. |
| Paddle | Venta y procesamiento de pagos (merchant of record) | Datos de pago y facturación, tratados directamente por ellos | Reino Unido |
Sobre los pagos: Paddle actúa como merchant of record — es quien vende, cobra y emite el recibo, y es el nombre que aparece en su extracto. Los datos de tarjeta son recogidos y procesados por ellos, no por nosotros: DreamRoutes nunca tiene acceso al número de su tarjeta.
También podemos compartir datos cuando exista obligación legal, orden judicial o requerimiento de autoridad competente.
5. Transferencias internacionales
Nuestra infraestructura y la mayoría de los encargados están fuera de Brasil, principalmente en Estados Unidos. Al usar el servicio, sus datos se transfieren y procesan en esos países, conforme al art. 33 de la LGPD.
Seleccionamos proveedores que adoptan cláusulas contractuales y estándares de seguridad reconocidos internacionalmente. Si usted está en la Unión Europea, estas transferencias se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea.
6. Cuánto tiempo conservamos
- Mientras exista su cuenta: conservamos los datos necesarios para el funcionamiento.
- Al eliminar su cuenta: la cuenta se desactiva y deja de ser accesible, pero los registros permanecen hasta 12 meses para cumplir obligaciones legales y fiscales y prevenir fraude.
- Eliminación definitiva: puede solicitar la supresión completa de sus datos en support@dream-routes.com, y atenderemos en un plazo de 15 días, salvo los registros que la ley nos obliga a conservar (art. 16 de la LGPD).
- Grabaciones de navegación (Microsoft Clarity): se conservan durante 30 días; los mapas de calor y los datos agregados de clics, hasta 13 meses. Después, Microsoft los elimina.
- Itinerarios públicos: si publicó un itinerario, puede permanecer accesible e indexado por buscadores incluso tras eliminar la cuenta, salvo solicitud expresa de retirada. Las páginas ya visitadas pueden existir en cachés de terceros fuera de nuestro control.
7. Sus derechos
En cualquier momento y de forma gratuita, usted puede:
- Confirmar si tratamos sus datos y acceder a ellos
- Corregir datos incompletos o desactualizados (parte de ellos directamente en Ajustes)
- Solicitar anonimización, bloqueo o eliminación de datos innecesarios o tratados de forma no conforme con la ley
- Solicitar la portabilidad de sus datos
- Retirar el consentimiento de marketing — mediante el enlace de baja al pie de cada correo promocional o en Ajustes — y el de analítica, mediante el enlace Cookies del pie del sitio
- Oponerse a un tratamiento basado en interés legítimo
- Ser informado sobre con quién compartimos sus datos
- Presentar reclamación ante la autoridad brasileña de protección de datos (ANPD) o, en la UE, ante su autoridad nacional de control
Para ejercer cualquiera de ellos: support@dream-routes.com. Podemos solicitar información adicional para verificar su identidad antes de actuar — es una protección frente a solicitudes fraudulentas hechas en su nombre.
8. Cómo protegemos
- Cifrado en tránsito (HTTPS/TLS) en todo el sitio
- Contraseñas almacenadas solo como hash — ni nosotros podemos leerlas
- Aislamiento por usuario en la base de datos (Row-Level Security): cada cuenta solo alcanza sus propias filas
- Verificación anti-bots invisible (Cloudflare Turnstile) y límite de intentos en acceso, registro y restablecimiento de contraseña — ver §9.1
- Secretos de infraestructura guardados en un almacén gestionado, fuera del código
Ningún sistema es totalmente inmune. Si ocurre un incidente de seguridad que pueda suponer un riesgo relevante para usted, se lo comunicaremos a usted y a la ANPD, conforme al art. 48 de la LGPD.
9. Cookies
Usamos el mínimo necesario:
| Cookie | Para qué | ¿Esencial? |
|---|---|---|
| Sesión de autenticación | Mantenerle conectado | Sí |
| Preferencia de idioma | Recordar el idioma elegido | Sí |
| Cloudflare Turnstile | Distinguir humanos de robots en los formularios (invisible, ver §9.1) | Sí |
_ga, _ga_* (Google Analytics) | Medir el uso del sitio (ver §9.2) | No |
_clck, _clsk (Microsoft Clarity) | Reunir las páginas de una misma visita en una grabación y reconocer las visitas de regreso (ver §9.2) | No |
CLID, MUID y afines (Microsoft) | Establecidas por Microsoft Clarity en dominios de la propia Microsoft para identificar el navegador (ver §9.2) | No |
Las tres primeras son esenciales para el funcionamiento — bloquearlas en el navegador impedirá iniciar sesión. Las de Google Analytics y las de Microsoft Clarity no son esenciales: solo existen si usted consiente, y por eso mostramos un banner de consentimiento en la primera visita (ver §9.2).
No usamos ninguna cookie con fines publicitarios. Las de la última fila las establece Microsoft en sus propios dominios, no en los nuestros, y le permiten reconocer su navegador también en otros sitios que usan Clarity. Configuramos Clarity para no compartir datos con Microsoft Ads.
9.1 Verificación anti-bots invisible (Cloudflare Turnstile)
Para frenar ataques automatizados en el acceso, el registro y el restablecimiento de contraseña, usamos Cloudflare Turnstile en modo invisible. No hay casilla ni rompecabezas: la verificación ocurre automáticamente en segundo plano, sin requerir ninguna acción suya y sin indicación visual en pantalla.
Para ello, Cloudflare analiza señales de su navegador y dispositivo — como dirección IP, identificación del navegador y patrones de interacción — para distinguir humanos de robots. No lee el contenido del formulario, y nosotros no usamos esas señales con fines publicitarios ni de elaboración de perfiles.
Base legal: interés legítimo en proteger las cuentas frente a fraude y ataques de fuerza bruta. Cloudflare actúa como encargado del tratamiento, y su tratamiento de estos datos se describe en el Adenda de Privacidad de Cloudflare Turnstile.
9.2 Cookies de análisis y su consentimiento
En su primera visita mostramos un banner con dos opciones del mismo peso: aceptar o rechazar. Mientras no elija, no se mide nada.
- Si rechaza: no se cargan ni Google Analytics ni Microsoft Clarity. No se descarga ningún script de ellos, no se crea ninguna cookie y ningún dato suyo — incluida su dirección IP — llega a Google ni a Microsoft. Nada del sitio deja de funcionar por ello.
- Si acepta: cargamos dos herramientas.
- Google Analytics 4, para medir páginas visitadas y acciones de uso (por ejemplo, iniciar y completar la generación de un itinerario). No enviamos su correo electrónico, su nombre ni el identificador de su cuenta — solo si ha iniciado sesión o no.
- Microsoft Clarity, que graba su navegación — clics, desplazamiento, movimiento del ratón y el contenido mostrado en pantalla, como el itinerario que está viendo — para que entendamos dónde el sitio confunde o se traba. Los números, las direcciones de correo electrónico, lo que escribe en los campos de formulario, los mensajes del chat de refinamiento y sus notas en los itinerarios se ocultan en su propio navegador y nunca llegan a Microsoft. El área de administración del sitio nunca se graba. El tratamiento que hace Microsoft se describe en la Declaración de privacidad de Microsoft.
- Cambiar de opinión: el enlace Cookies, en el pie de cualquier página, vuelve a abrir el banner cuando quiera. Si rechaza después de haber aceptado, eliminamos de su navegador las cookies de Google Analytics y de Microsoft Clarity guardadas en nuestro dominio y recargamos la página, para que la grabación se detenga por completo. Las cookies que Microsoft establece en sus propios dominios no podemos eliminarlas nosotros: puede borrarlas en la configuración de su navegador.
- Herramienta nueva: si empezamos a usar otra herramienta de analítica, el banner volverá a preguntar para que decida sobre ella — lo que aceptó antes no cubre algo que no conocía.
Su elección se guarda en el almacenamiento local de su propio navegador, no en una cookie — por eso no aparece en la tabla anterior. Vale para ese navegador: en otro dispositivo, el banner volverá a preguntar.
10. Menores de edad
DreamRoutes está destinado a mayores de 18 años. No recogemos intencionadamente datos de niños ni adolescentes. Si detectamos una cuenta de un menor, será eliminada. Los responsables que lo sospechen pueden escribirnos a support@dream-routes.com.
11. Decisiones automatizadas
Los itinerarios son generados por inteligencia artificial a partir de los parámetros que usted proporciona. Se trata de contenido sugerido, no de decisiones que afecten a sus derechos, su crédito o su acceso a servicios. Puede solicitar revisión humana de cualquier resultado en support@dream-routes.com.
12. Cambios en esta Política
Podemos actualizar esta Política. La fecha del encabezado siempre indica la versión vigente. Los cambios relevantes se comunicarán por correo o mediante aviso en el sitio antes de entrar en vigor. Seguir usando el servicio tras el cambio significa aceptar la nueva versión.
13. Contacto
Dudas, solicitudes o reclamaciones sobre privacidad:
Aviso: este documento fue redactado para reflejar con precisión el funcionamiento actual de la plataforma, pero no sustituye el asesoramiento jurídico. Se recomienda revisión por un abogado antes de operar a escala.