Contrato de encargo del tratamiento
Última actualización: 5 de noviembre de 2026
1. Partes
Responsable del tratamiento: la agencia que contrata Mituris y acepta las condiciones de contratación, de las que este contrato forma parte.
Encargado del tratamiento: Joelia Cajeao Cano, NIF 72274198X, con domicilio en Barrio La Aldea 79, bloque 3, piso 1.º A, 39690 La Concha de Villaescusa (Cantabria) y contacto hola@mituris.com («Mituris»).
La agencia lo acepta al registrarse, con el mismo valor que si lo firmara. Si necesita una copia firmada, puede pedirla en hola@mituris.com.
2. Objeto, naturaleza y duración
Mituris trata, por cuenta de la agencia, los datos personales que esta introduce en el servicio, con la única finalidad de prestárselo: guardar los viajes, mostrarlos a los viajeros por enlace, app y PDF, generar listas (pasajeros, rooming, papeles), enviar los avisos que la agencia decida o los automáticos de vuelos, leer documentos con inteligencia artificial cuando la agencia lo pide, y hacer copias de seguridad.
Las operaciones son: recogida (por la agencia), registro, conservación, consulta, comunicación a los viajeros que la agencia elige y supresión. El encargo dura lo mismo que la suscripción y lo previsto en el apartado 9.
3. Tipos de datos e interesados
- Interesados: viajeros de la agencia (incluidos menores de edad, cuando la agencia organiza viajes escolares, deportivos o familiares) y personas de contacto que la agencia incluya.
- Datos identificativos y de contacto: nombre y apellidos, teléfono, email.
- Datos del viaje: itinerario, vuelos, alojamientos, localizadores, habitaciones, documentos de viaje (billetes, bonos, seguros).
- Datos de documentación: tipo y número de documento de identidad o pasaporte, caducidad, fecha de nacimiento, nacionalidad, papeles entregados (autorizaciones).
- Categorías especiales: observaciones que la agencia decida incluir sobre salud (alergias, intolerancias, dieta, movilidad), solo para la organización del viaje.
4. Obligaciones de Mituris
- Tratar los datos solo siguiendo las instrucciones documentadas de la agencia, que son estas condiciones y lo que la agencia hace en el servicio. Si una instrucción nos parece contraria a la ley, lo diremos.
- No usar los datos para fines propios, no venderlos ni cederlos a terceros, salvo a los subencargados del apartado 6 o por obligación legal.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a guardar confidencialidad.
- Aplicar las medidas de seguridad del apartado 5 (art. 32 RGPD).
- Ayudar a la agencia a atender los derechos de los viajeros (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si un viajero se dirige a nosotros, se lo trasladaremos a la agencia en un máximo de 5 días hábiles.
- Ayudar a la agencia, con la información de que disponemos, en las evaluaciones de impacto y en las consultas a la autoridad de control cuando proceda.
- Poner a disposición de la agencia la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso de 30 días y a su cargo.
- Llevar el registro de actividades de tratamiento que hacemos por cuenta de las agencias.
5. Medidas de seguridad
- Cifrado de las comunicaciones (HTTPS) y de las contraseñas.
- Separación de los datos de cada agencia mediante reglas de acceso en la propia base de datos; dentro de la agencia, permisos por viaje (ver, editar, duplicar).
- Los datos de documentación y salud solo son accesibles para quien puede editar el viaje, y nunca se publican en la app del viajero ni en el PDF.
- Documentos en almacén privado, accesibles solo con enlaces temporales de pocos minutos.
- Borrado automático de los datos de documentación, contacto y salud de los viajeros 30 días después de terminar el viaje.
- Claves de acceso a los sistemas guardadas solo en los servidores, nunca en la parte visible de la web.
6. Subencargados
La agencia autoriza de forma general a Mituris a recurrir a los siguientes subencargados, que tienen con nosotros un contrato con las mismas obligaciones de protección de datos:
| Subencargado | Servicio | Datos | Ubicación y garantías |
|---|---|---|---|
| Supabase Inc. | Base de datos, acceso de usuarios y almacén de documentos | Todos los datos del servicio | Servidores en Irlanda (Unión Europea) |
| Vercel Inc. | Alojamiento y funcionamiento de la web | Datos en tránsito y registros técnicos | Red mundial; EE. UU. (Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo) |
| Anthropic PBC | Inteligencia artificial de Miti: lectura de los documentos que sube la agencia | Los documentos subidos para leer (pueden contener nombres y datos de reserva) | EE. UU. (cláusulas contractuales tipo); no usa los datos para entrenar sus modelos |
| Stripe Payments Europe Ltd. | Cobro de las suscripciones y facturas | Datos de facturación de la agencia (no de los viajeros) | UE y EE. UU. (Marco de Privacidad de Datos y cláusulas contractuales tipo) |
| Servicios de notificaciones del móvil (Google, Apple, Mozilla) | Entrega de los avisos al móvil del viajero que los activa | El texto del aviso, cifrado de extremo a extremo | Según el fabricante del móvil o navegador |
| AeroDataBox (vía RapidAPI) | Estado de los vuelos en directo | Solo número de vuelo y fecha; ningún dato personal | UE / EE. UU. |
| Arsys Internet S.L.U. | Correo electrónico de contacto y envíos de la cuenta | Email de los usuarios de la agencia y mensajes | España (UE) |
Avisaremos por email con al menos 30 días de antelación antes de añadir o sustituir un subencargado que trate datos de viajeros. Si la agencia se opone por motivos razonables y no encontramos una solución, podrá cancelar su suscripción sin coste.
7. Violaciones de seguridad
Si se produce una violación de seguridad que afecte a datos de la agencia, se lo notificaremos sin dilación indebida y, como máximo, en 48 horas desde que la conozcamos, con la información disponible: qué ha pasado, qué datos y cuántas personas pueden estar afectadas, consecuencias probables y medidas adoptadas. La notificación a la autoridad de control y a los interesados corresponde a la agencia, con nuestra ayuda.
8. Obligaciones de la agencia
- Tener base legal para tratar los datos de sus viajeros e informarles del tratamiento, incluido que usa Mituris como encargado.
- Para los datos de salud, contar con el consentimiento explícito del viajero (o de sus padres o tutores si es menor) o con otra base que lo permita, e incluir solo lo necesario para el viaje.
- Para los menores, contar con la autorización de sus padres o tutores.
- No incluir en la parte visible del viaje ni en los avisos datos que no deban ver todos los que tienen el enlace.
- Gestionar quién de su equipo tiene acceso a cada viaje y retirar el acceso a quien deje la agencia.
9. Fin del encargo
Al terminar la suscripción, la agencia puede pedir en hola@mituris.com una copia de sus datos en un formato habitual (por ejemplo, hojas de cálculo y los documentos originales). Pasados 90 días desde la baja, suprimimos los datos de la agencia y de sus viajeros, incluidas las copias, salvo que una ley nos obligue a conservar alguno; en ese caso quedará bloqueado y solo se usará para esa obligación.