Política de Privacidad
English readers: the legally binding version is the Spanish text below; an English translation is available at privacy.html. In case of conflict, the Spanish version prevails.
En esta Política explicamos quién trata tus datos personales cuando usas Underwing (la aplicación web en app.underwing.io y sus aplicaciones móviles para iOS/iPadOS), qué datos tratamos, con qué finalidad y base jurídica, con quién los compartimos, durante cuánto tiempo los conservamos y cómo puedes ejercer tus derechos. Cumplimos el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
1. Responsable del tratamiento
THE FLYING FRIENDS SOLUTIONS LLC (en adelante, «Underwing», «nosotros» o «el Responsable»), sociedad de responsabilidad limitada (Limited Liability Company) constituida conforme a las leyes del Estado de Nuevo México (Estados Unidos de América).
- Nº de entidad ante el Secretario de Estado de Nuevo México: 0008128843 (nº de expediente 3299058; constituida el 9 de septiembre de 2026).
- Agente registrado (EE. UU.): Northwest Registered Agent, Inc., 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110 (EE. UU.).
- Email de privacidad y ejercicio de derechos: support@underwing.io.
Aunque la sociedad está registrada en EE. UU., su centro principal de actividad se encuentra en España (UE). Por ello el tratamiento se somete plenamente al RGPD y a la legislación española, y la autoridad de control competente es la Agencia Española de Protección de Datos (AEPD), sin perjuicio de la autoridad de control de tu lugar de residencia en el EEE.
2. Ámbito y ley aplicable
Esta Política se aplica al tratamiento de datos de los usuarios y visitantes del servicio Underwing en el Espacio Económico Europeo (EEE) y, en general, a cualquier usuario cuyos datos tratemos. El tratamiento se rige por el RGPD, la LOPDGDD y demás normativa aplicable de la Unión Europea y de España.
3. Datos que tratamos, finalidad y base jurídica
| Dato | Finalidad | Base jurídica (RGPD) |
|---|---|---|
| Email (cuenta y lista de espera) | Crear y gestionar tu cuenta; comunicaciones de servicio | Ejecución del contrato (art. 6.1.b) / consentimiento para la lista de espera (art. 6.1.a) |
| Identificador de la cuenta y credenciales de acceso (incl. inicio de sesión con Google/Apple) | Autenticación y seguridad de la cuenta | Ejecución del contrato (art. 6.1.b) |
| Perfil de piloto: nombre, nº y tipo de licencia, habilitaciones y validez, base, aeronaves, normativa de recencia | Personalizar briefings, recencia y análisis de riesgo | Ejecución del contrato (art. 6.1.b) |
| Clase médica y caducidad del certificado — dato de salud (art. 9) | Avisos de caducidad y recencia | Consentimiento explícito (art. 9.2.a), casilla separada en el perfil. Opcional y revocable |
| Logbook sincronizado (vuelos, horas, simuladores, firmas de examinador) | Cuaderno en la nube y análisis de experiencia | Ejecución del contrato (art. 6.1.b) |
| Mínimos personales y preferencias | Configuración entre dispositivos | Ejecución del contrato (art. 6.1.b) |
| Firma manuscrita y registros de briefing firmado | Justificante auditable de la preparación del vuelo | Ejecución del contrato / interés legítimo en la trazabilidad (art. 6.1.f) |
| Extractos de importación fallida (solo si aceptas enviarlos) | Soportar nuevos formatos de logbook | Consentimiento (art. 6.1.a) |
| Documentos y consultas subidos al copiloto IA | Responder usando tus manuales y el contexto del briefing | Ejecución del contrato / consentimiento (art. 6.1.a/b) |
| Datos de facturación (si contratas un plan de pago) | Gestionar la suscripción y cumplir obligaciones fiscales | Ejecución del contrato (art. 6.1.b) / obligación legal (art. 6.1.c) |
| Datos técnicos (agente de usuario, país aproximado, identificadores de dispositivo) | Seguridad, prevención de abuso y diagnóstico | Interés legítimo (art. 6.1.f) |
| Métricas de uso (eventos: inicio de sesión, briefing generado/firmado, logbook guardado/importado) | Medir el uso del servicio y mejorarlo | Interés legítimo (art. 6.1.f); puedes oponerte |
| Email para comunicaciones comerciales (novedades, ofertas) | Marketing directo, solo si lo aceptas | Consentimiento (art. 6.1.a), revocable; baja en cada envío |
En tu propio dispositivo (localStorage/IndexedDB) se guardan además, sin enviarse a nuestros servidores salvo que actives la sincronización: borradores, preferencias y caché de datos aeronáuticos.
3.1. Dato de salud (certificado médico)
La clase y caducidad de tu certificado médico aeronáutico es un dato relativo a la salud (categoría especial, art. 9 RGPD). Solo lo tratamos si tú lo introduces voluntariamente, sobre la base de tu consentimiento explícito, solicitado en una casilla separada del perfil. Puedes retirarlo en cualquier momento borrando el campo o desmarcando la casilla, sin que afecte al resto del servicio ni a la licitud del tratamiento previo. No lo usamos para ningún otro fin ni lo cedemos a terceros con fines distintos de los descritos.
4. Origen de los datos
Los datos proceden de ti (registro, perfil, logbook, consultas al copiloto) y de los proveedores de identidad que elijas para iniciar sesión (Google o Apple), que nos comunican tu dirección de correo verificada. No compramos ni enriquecemos tus datos con fuentes externas.
5. Copiloto IA (Underwing)
Si usas el copiloto, enviamos a Anthropic PBC (proveedor del modelo Claude) tu pregunta y el contexto del briefing actual, junto con los documentos que tú subas para consultarlos. No enviamos tu email ni tu firma. Anthropic actúa como encargado del tratamiento y, según sus condiciones comerciales (API), no utiliza estos datos para entrenar sus modelos. No adoptamos decisiones automatizadas con efectos jurídicos o similares sobre ti: el copiloto es una herramienta de apoyo y la decisión operacional corresponde siempre al piloto.
6. Destinatarios y encargados del tratamiento
No vendemos tus datos. Para prestar el servicio recurrimos a proveedores que actúan como encargados del tratamiento bajo contrato conforme al art. 28 RGPD:
| Proveedor | Función | Ubicación de tratamiento |
|---|---|---|
| Supabase | Base de datos, autenticación y almacenamiento | UE (eu-west-1, Irlanda) |
| Cloudflare | Alojamiento web, CDN, funciones y almacenamiento de objetos (R2) | Red global (con DPA y garantías del art. 46) |
| Fly.io | Infraestructura del backend de APIs aeronáuticas | UE / global (según región) |
| Anthropic PBC | Copiloto IA (modelo Claude) | EE. UU. |
| Sentry | Monitorización técnica de errores (recibe datos técnicos del navegador y un identificador interno de cuenta; nunca tu email, nombre ni IP, que se descarta) | UE |
| Brevo (Sendinblue SAS) | Envío de correos de la cuenta (confirmación de registro, restablecimiento de contraseña) y, con tu consentimiento, comunicaciones comerciales | UE (Francia) |
| Stripe Payments Europe, Ltd. | Procesamiento de pagos (solo si contratas un plan de pago) | UE (Irlanda) / EE. UU. |
| Google / Apple | Proveedores de identidad para «Iniciar sesión con Google/Apple» (solo si eliges esa opción) | Según sus políticas |
Las fuentes oficiales de datos aeronáuticos y meteorológicos y los proveedores de cartografía que utilizamos no reciben datos personales identificativos: solo códigos de aeropuerto, rutas y parámetros de la consulta. Podremos comunicar datos a autoridades o terceros cuando exista una obligación legal.
7. Transferencias internacionales
Con carácter general, tus datos de cuenta se alojan en la Unión Europea (Supabase en Irlanda; Sentry y Brevo en la UE). Algunos proveedores pueden tratar datos fuera del EEE, en particular en Estados Unidos (Anthropic para el copiloto; Cloudflare como red global; y, en su caso, Stripe). El propio Responsable es una entidad estadounidense. Estas transferencias se amparan en las Cláusulas Contractuales Tipo (SCC) de la Comisión Europea u otras garantías adecuadas del art. 46 RGPD y, cuando el proveedor esté certificado, en el EU-U.S. Data Privacy Framework. Puedes solicitarnos información sobre las garantías aplicables escribiendo a support@underwing.io.
8. Plazos de conservación
- Cuenta y datos asociados (perfil, logbook, mínimos, preferencias): mientras la cuenta esté activa. Al eliminar la cuenta se suprimen, salvo lo que debamos conservar por obligación legal.
- Registros de briefing firmado: mientras exista la cuenta; se suprimen con ella.
- Datos de facturación: el plazo exigido por la normativa mercantil y fiscal aplicable (con carácter general, hasta 6 años).
- Extractos de importación y logs técnicos: máximo 90 días.
- Métricas de uso: mientras la cuenta esté activa.
- Datos de la lista de espera y de marketing: hasta que retires el consentimiento o solicites la baja.
9. Cookies y almacenamiento local
Underwing no utiliza cookies de publicidad ni de seguimiento de terceros. Empleamos exclusivamente almacenamiento técnico imprescindible para el funcionamiento del servicio: cookies o tokens de sesión para mantenerte identificado y almacenamiento local del navegador (localStorage/IndexedDB) para guardar tus preferencias, borradores y una caché de datos aeronáuticos en tu dispositivo. Al tratarse de almacenamiento estrictamente necesario, no requiere consentimiento previo conforme al art. 22.2 de la LSSI. Puedes borrarlo desde los ajustes de tu navegador o del dispositivo.
10. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión («derecho al olvido»), oposición, limitación del tratamiento, portabilidad y a retirar el consentimiento en cualquier momento (sin efecto retroactivo). Para ello:
- Escribe a support@underwing.io, o
- Usa las opciones de la app en tu perfil: «Descargar mis datos» (portabilidad) y «Eliminar cuenta y datos» (supresión).
Responderemos en el plazo legal (un mes, ampliable). Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD) o ante la autoridad de control de tu país de residencia en el EEE.
11. Menores
El servicio está dirigido a pilotos y personas mayores de edad. No tratamos conscientemente datos de menores de 16 años. Si detectamos que hemos recopilado datos de un menor sin la base jurídica adecuada, los suprimiremos.
12. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo: cifrado en tránsito (HTTPS), aislamiento por usuario (Row-Level Security), claves y secretos solo en servidor, almacenamiento privado de firmas y PDF, control de acceso y registros de auditoría con modificación restringida. En caso de una violación de seguridad que suponga un alto riesgo para tus derechos, te lo notificaremos conforme a los arts. 33 y 34 RGPD.
13. Cambios en esta Política
Publicaremos las nuevas versiones con su fecha y número. Si el cambio es sustancial, te avisaremos por un medio adecuado (p. ej., en la app o por email) y, cuando proceda, te pediremos de nuevo tu consentimiento.
14. Contacto
Para cualquier cuestión relativa a esta Política o al tratamiento de tus datos: support@underwing.io.