Política de Privacidad — Viajes compartidos y encomiendas

1. Responsable

GOMO CAPITAL MANAGEMENT LTD, registrada en Inglaterra y Gales con el número 16395341, es la responsable de los datos personales tratados en todas las marcas de esta plataforma. Los datos societarios constan en el registro público de Companies House.

2. Contacto de privacidad / DPO

Cuando corresponda, designaremos un DPO. Contacto de privacidad: privacy@borai.run. Si estás fuera del Reino Unido, actuamos conforme a las reglas de representación del UK GDPR.

3. Datos que tratamos en esta actividad

• Cuenta y perfil: apodo, foto, edad, ciudad, teléfono, correo electrónico e idioma
• Conductor: licencia de conducir, datos del vehículo (modelo, color, año, placa y documento del vehículo), consumo, formas de pago aceptadas, preferencias y agenda de viajes
• Viajes y reservas: origen, destino, paradas, fechas, horarios, plazas, precios, estados de la reserva, cancelaciones y ausencias
• Encomiendas: categoría, descripción, valor declarado, foto del paquete en la recolección, código de retiro y datos del destinatario
• Ubicación: la última posición del conductor durante el viaje en curso
• Comunicación: mensajes de la reserva, respuestas del Asistente y avisos enviados
• Confianza y seguridad: sello de rostro verificado, evaluaciones, incidentes, denuncias y señales de fraude

4. Rostro verificado y licencia de conducir

Para usar los viajes compartidos y las encomiendas, el sello de rostro verificado es obligatorio para el conductor, el pasajero y el remitente, porque es la principal protección contra fraudes, asaltos y secuestros. La verificación se hace con gestos en vivo en la aplicación y compara el rostro con la foto del perfil. Guardamos el resultado y las capturas de la verificación; ningún otro usuario ve esas capturas, solo el sello.

Para llevar personas, el conductor envía la foto de una licencia de conducir vigente en el país donde conduce. La verificación es la misma para la licencia de cualquier país: la aplicación confirma que el documento es legible y compara el retrato impreso en él con el rostro verificado en vivo. Los demás usuarios solo ven la indicación de licencia aprobada, nunca el documento.

5. Ubicación

Durante un viaje en curso, la posición del conductor se usa para mostrar el trayecto, la llegada y el tiempo estimado a quienes tienen reserva en ese viaje. Solo se muestra a las partes de ese viaje y a quien recibió el enlace para compartir el viaje, y solo mientras el viaje se realiza. Guardamos únicamente la última posición, durante pocos minutos; no grabamos el historial del trayecto.

Las direcciones y ciudades que escribes se consultan en un servicio de mapas para completar y ubicar la dirección. La distancia usada en el precio sugerido se calcula a partir de las coordenadas de las paradas.

6. Datos del destinatario de la encomienda

Para entregar una encomienda, el remitente informa el nombre y el contacto de quien la va a recibir, alguien que muchas veces no es usuario de Borai. El remitente declara que está autorizado a informar esos datos. Se usan solo para enviar el enlace de seguimiento con el código de retiro y para que el conductor haga la entrega, y el enlace deja de valer cuando la encomienda termina.

7. Quién ve qué

• Cualquier persona: el perfil público del conductor (apodo, foto, calificación, sellos, agenda y ciudades de las paradas)
• Pasajero o remitente con reserva confirmada: modelo, color y placa del vehículo, punto de encuentro, avance del viaje y la conversación
• Quien recibió el enlace para compartir el viaje: el avance de ese viaje hasta la llegada
• Conductor: apodo, foto, sello, calificación y el tramo de quien reservó; de la encomienda, la declaración y el paquete, nunca el contenido más allá de lo declarado
• Destinatario: el avance de la encomienda y el código, mediante el enlace que recibió
• Nadie: las capturas de la verificación facial, la imagen de la licencia de conducir y el documento del vehículo

8. Bases legales

• Ejecución del contrato: publicar, buscar, reservar, conversar, entregar encomiendas y evaluar
• Prevención del fraude y seguridad del titular (la base legal de prevención del fraude y de seguridad prevista en la legislación aplicable): rostro verificado y comparación con la licencia de conducir
• Cumplimiento de una obligación legal: conservación de registros y atención a órdenes de autoridades
• Interés legítimo: seguridad del viaje, antifraude, reputación y mejora del servicio
• Consentimiento: permiso de ubicación del dispositivo, avisos por WhatsApp y marketing, revocables en cualquier momento

9. Decisiones automatizadas

La aprobación del sello de rostro y de la licencia de conducir, la lectura del documento y algunas señales de fraude son automáticas. Un rechazo puede impugnarse y ser revisado por una persona: escribe a privacy@borai.run o usa el canal de apelaciones. La verificación también puede repetirse desde la aplicación.

10. Compartición

No vendemos tus datos. Compartimos solo con procesadores esenciales (hosting, autenticación, antifraude, moderación, soporte) bajo contrato, y con autoridades cuando la ley lo exija. Ver Subprocesadores.

Usamos Google reCAPTCHA Enterprise para proteger el acceso a la cuenta frente a abusos e intentos automatizados de inicio de sesión. Se ejecuta de forma invisible en ese paso y envía a Google datos de uso — dirección IP, información del dispositivo y del navegador e interacciones en la página — para calcular una puntuación de riesgo; no lo utilizamos con fines publicitarios. Ese tratamiento se rige por la Política de Privacidad y los Términos del Servicio de Google (policies.google.com/privacy y policies.google.com/terms).

11. Grupo HZION y centralización de identidad

Borai es una marca white-label servida por HZION, la plataforma central del grupo. Tu cuenta, tu identidad y tus datos de perfil se crean y se mantienen UNA SOLA VEZ en la infraestructura central de HZION — no existe una copia por marca — aunque te hayas registrado e inicies sesión en borai.run.

HZION es operada por el MISMO responsable, GOMO CAPITAL MANAGEMENT LTD: esta centralización no es comunicación a un tercero, y por eso no aparece en la lista de encargados de la sección anterior. La infraestructura está distribuida globalmente, por lo que el tratamiento puede ocurrir en más de un país — ver la sección de transferencias internacionales.

En la práctica: una cuenta creada en cualquier marca del grupo es la misma cuenta ante HZION; un derecho que ejerzas rige para todas a la vez; y borrar tu cuenta borra el registro central, no solo la marca en la que te registraste. Dudas: privacy@borai.run.

Cada marca puede tratar datos propios de su actividad — por ejemplo, la ruta y la ubicación de un viaje, la dirección de entrega de un pedido o el relato de un caso jurídico. Esos datos también se mantienen en la infraestructura central de HZION, bajo el mismo responsable, y se describen, con finalidad, base legal y plazo, en la Política de Privacidad de la marca en la que usas esa actividad.

12. Transferencias internacionales

Las transferencias restringidas usan salvaguardas del UK GDPR: decisiones de adecuación, el UK International Data Transfer Agreement (IDTA), el UK Addendum a las SCCs u otro mecanismo válido.

13. Por cuánto tiempo conservamos los datos

• Reservas, viajes, encomiendas, incidentes y evaluaciones: durante el plazo para reclamos de consumo que exija la ley del país del usuario
• Posición del conductor: solo la última, durante pocos minutos, mientras el viaje se realiza; el trayecto no se graba
• Datos del destinatario: hasta el fin del plazo de reclamo de la encomienda
• Capturas de la verificación facial e imagen de la licencia de conducir: mientras el sello o la licencia se usen en la cuenta y hasta 6 meses después, para investigar fraudes
• Registros de acceso: durante el plazo que exija la ley del país del usuario
• Una vez eliminada la cuenta, los datos se borran o se anonimizan al término de esos plazos

14. Tus derechos (Art. 15-22)

• Acceder a una copia de tus datos
• Corregir datos incompletos o desactualizados
• Solicitar el borrado
• Restringir u oponerte a tratamientos
• Portabilidad
• Retirar el consentimiento
• Reclamar ante la ICO en ico.org.uk

15. Seguridad y violaciones

Usamos cifrado en tránsito y en reposo, control de acceso y moderación continua. Ante una violación con riesgo relevante, notificaremos a la ICO en hasta 72 horas y te comunicaremos cuando sea exigido. Contacto: privacy@borai.run.

Conversaciones privadas y moderación. Los mensajes privados están cifrados de extremo a extremo y el servidor que los transporta no puede leerlos. Para investigar denuncias y hacer cumplir los Términos y las Directrices — por ejemplo captación de menores, estafas o acoso —, tus dispositivos guardan también una copia de la clave de tu historial cifrada para la moderación de la plataforma. Con ella, el equipo de soporte puede leer, en una sesión de soporte registrada en auditoría, el historial guardado de la cuenta (hasta 72 horas, según el plazo de retención elegido) y decidir un bloqueo o una suspensión. Fuera de esa sesión, nadie de la plataforma abre esos mensajes.