Política de privacidad

1. Responsable del tratamiento

Avesta Interactive
Titular: Amin Sepehri
Hauptstraße 208C
28816 Stuhr
Alemania

Correo electrónico: info@visaparo.de
Teléfono: +49 4206 4460745 – de lunes a viernes, de 16:00 a 19:00 h (CET/CEST)

NIF-IVA: DE294421179. No hemos designado un delegado de protección de datos; dirija sus consultas sobre protección de datos a la dirección de contacto indicada.

2. Resumen: quiénes somos y qué hacemos

Visaparo ayuda a los viajeros a preparar una solicitud de la UK ETA (Electronic Travel Authorisation) (véanse las CG). La decisión sobre la solicitud la adopta exclusivamente el Home Office británico. Para prestar este servicio debemos tratar necesariamente datos de su pasaporte y de su viaje.

3. Qué datos tratamos y con qué fin

3.1 Acceso al sitio web, registros del servidor (alojamiento)

Al acceder al sitio web, nuestro servidor web (gestionado por nuestro proveedor de alojamiento, véase el apartado 4) trata los datos de conexión técnicamente necesarios, en particular la dirección IP, la fecha y la hora, la dirección consultada (URL), el volumen de datos transferido, el código de estado y la información del navegador y del sistema operativo (archivos de registro del servidor). Estos datos son necesarios para un funcionamiento seguro y estable y se conservan como máximo 14 días.

Además, en los formularios y en los intentos de inicio de sesión, nuestra aplicación guarda su dirección IP o su dirección de correo electrónico junto con un contador durante un breve periodo (ventanas de minutos a horas; los contadores caducados se eliminan mediante un proceso de borrado periódico) para prevenir abusos y ataques de fuerza bruta (limitación de solicitudes).

Base jurídica: art. 6, apdo. 1, letra f, RGPD (interés legítimo en la seguridad, la estabilidad y la prevención de abusos).

3.2 Cuenta de cliente e inicio de sesión

Para pagar y gestionar su solicitud, usted crea una cuenta de cliente. Para ello tratamos su nombre, su dirección de correo electrónico y su contraseña (solo como hash criptográfico, no en texto claro). Al iniciar sesión, el sistema guarda además datos de la sesión (token de sesión, momento de caducidad, dirección IP e identificador del navegador del dispositivo). Una sesión es válida durante 7 días.

Base jurídica: art. 6, apdo. 1, letra b, RGPD (ejecución del contrato o medidas precontractuales); para el registro de sesiones, art. 6, apdo. 1, letra f, RGPD (seguridad de la cuenta).

3.3 Datos de la solicitud

Para preparar y revisar su solicitud de la UK ETA tratamos los datos que usted introduce en el asistente de solicitud, para sí mismo o como representante autorizado de otros viajeros (p. ej., hijos, familiares; obtenga su consentimiento o, como titular de la patria potestad, las facultades necesarias):

• datos personales: nombre, en su caso otros nombres, fecha de nacimiento, lugar y país de nacimiento, sexo, nacionalidad(es), incluidas otras nacionalidades, profesión,
• datos del pasaporte: número de pasaporte, país de expedición, fecha de caducidad (opcionalmente fecha de expedición),
• datos de contacto: dirección, número de teléfono, dirección de correo electrónico,
• datos del viaje: motivo del viaje y fecha prevista de llegada,
• respuestas a las preguntas sobre antecedentes penales y migratorios («Sí»/«No»),
• documentos cargados: foto de la página de datos del pasaporte (obligatoria) y foto del rostro (obligatoria), en formato JPEG, PNG o PDF.

Datos de otras personas (art. 14 RGPD): si facilita datos de otros viajeros, recibimos sus datos de usted. Informe a estas personas sobre esta política de privacidad (fines, bases jurídicas, destinatarios, incluido el Home Office, plazo de conservación, derechos). En el caso de los menores, actúan los titulares de la patria potestad.

Mientras no haya iniciado sesión, sus datos solo se guardan en la memoria de su navegador (sessionStorage, véase el apartado 8) y no se nos transmiten. Al crear la cuenta y a medida que avanza en el asistente, los datos se guardan en nuestro servidor; a partir de ese momento, el borrador solo se gestiona allí y los datos (entre otros, número de pasaporte, datos de nacimiento, dirección) se eliminan de la memoria del navegador.

Base jurídica: art. 6, apdo. 1, letra b, RGPD (ejecución del contrato). Sin estos datos no podemos preparar la solicitud; está obligado contractualmente a facilitarlos, pero no legalmente.

3.4 Datos sensibles (art. 9 y 10 RGPD)

Las preguntas de la solicitud de la UK ETA se refieren, entre otras cosas, a condenas, procesos penales e infracciones migratorias (datos relativos a condenas e infracciones penales, art. 10 RGPD) y, en su caso, a circunstancias de las que pueden deducirse categorías especiales de datos personales (art. 9 RGPD). Guardamos sus respuestas («Sí»/«No») exclusivamente para revisar y presentar su solicitud. La base jurídica es su consentimiento explícito conforme al art. 9, apdo. 2, letra a, RGPD, que usted otorga en el asistente de solicitud antes de responder a estas preguntas y que documentamos con marca de tiempo y versión. Puede retirar el consentimiento en cualquier momento con efectos para el futuro (contacto, véase arriba); en ese caso no podremos seguir tramitando la solicitud. La licitud del tratamiento realizado hasta entonces no se ve afectada. El consentimiento es voluntario; si no lo otorga, no es posible presentar la solicitud a través de nosotros, pero puede presentarla directamente en gov.uk. Tratamos los datos sobre condenas penales e infracciones migratorias únicamente porque el Home Office los exige obligatoriamente para la solicitud y solo durante el tiempo necesario para su presentación. Suprimimos automáticamente estos datos, así como la copia del pasaporte y la foto del rostro, a más tardar 30 días después de la recepción del pago, aunque el encargo no haya concluido para entonces (apartado 6). Quedan excluidos los datos de facturación y de pago.

Nosotros no analizamos biométricamente su foto del rostro; revisamos la foto del pasaporte y la copia del pasaporte únicamente en cuanto a su legibilidad y su coincidencia con sus datos. Transmitimos la foto del rostro al Home Office porque es necesaria para la UK ETA; según sus propias indicaciones, el Home Office la utiliza para cotejar su identidad con su pasaporte (de forma automatizada y, en caso necesario, mediante un tramitador) y, por regla general, conserva los datos biométricos faciales durante 3 años (gov.uk, «Electronic travel authorisation: privacy information notice» y guía de la ETA, consultados el 17.10.2026).

3.5 Seguridad de los documentos del pasaporte cargados

Los documentos cargados no se guardan en un directorio de acceso público, sino en la base de datos, donde se cifran con AES-256-GCM (cifrado en reposo; la clave se guarda separada de la base de datos). La transmisión se realiza mediante HTTPS. Solo determinadas funciones del personal (tramitación/revisión, administración) tienen acceso a los documentos; cada consulta queda registrada en el registro de auditoría. El personal con funciones exclusivamente de asistencia o contabilidad solo ve los números de pasaporte enmascarados y no ve documentos. Asimismo, los datos de la solicitud especialmente sensibles (número de pasaporte, fecha de nacimiento, lugar y país de nacimiento, fechas de expedición y caducidad del pasaporte, dirección, respuestas a las preguntas sobre antecedentes penales y migratorios) se guardan en la base de datos cifrados campo por campo con AES-256-GCM (clave separada de la base de datos, versionada para un posterior cambio de clave). Solo usted y las funciones del personal con acceso a documentos los reciben en texto claro. Para buscar un número de pasaporte (p. ej., en caso de consultas) se guarda un valor de control irreversible (HMAC), no el número en sí.

3.6 Pedido, pago y factura

En un pedido tratamos el paquete elegido, el importe, el estado del pago, los datos de facturación (número de factura, fecha, importe, nombre y dirección del destinatario de la factura) y la prueba de sus consentimientos en el proceso de pedido (aceptación de las CG y de la política de privacidad, toma de conocimiento de la información sobre el desistimiento, solicitud expresa del inicio de la prestación, momento y versión de los textos). Ponemos la confirmación del pedido a su disposición en su cuenta de cliente y, además, se la enviamos por correo electrónico (véase 3.9).

Usted paga mediante transferencia bancaria (pago anticipado). Para asignar su pago tratamos los datos del cobro recibido: nombre del titular de la cuenta, IBAN, importe, fecha y concepto. El destinatario es nuestro banco, Sparkasse Bremen, Bremen, que es responsable de forma independiente de la gestión de la cuenta. Base jurídica: art. 6, apdo. 1, letra b) del RGPD; para la conservación de los extractos bancarios y justificantes contables, art. 6, apdo. 1, letra c) del RGPD en relación con el § 147 AO y el § 257 HGB. Los reembolsos se transfieren a la cuenta desde la que se realizó el pago. La tasa oficial del Home Office incluida en el precio total la abonamos nosotros mismos en nombre propio y por cuenta propia; para ello no transmitimos datos de pago del cliente.

Base jurídica: art. 6, apdo. 1, letra b, RGPD (ejecución del contrato); para la conservación de facturas y justificantes contables, art. 6, apdo. 1, letra c, RGPD (§ 147 AO, § 257 HGB, § 14b UStG); para la documentación de los consentimientos, art. 6, apdo. 1, letras c y f, RGPD (obligaciones de acreditación, interés legítimo en la defensa jurídica).

3.7 Mensajes, consulta del estado y formulario de contacto

Los mensajes en la cuenta de cliente, las notificaciones de estado y el historial de su expediente (registro de eventos) se guardan para que podamos responder a consultas y documentar la tramitación. En la consulta pública del estado comprobamos el número de referencia y el apellido y solo le mostramos el estado de tramitación.

Si utiliza el formulario de contacto, guardamos su nombre, su dirección de correo electrónico, el asunto y el mensaje para responder a su consulta. Los datos del formulario son voluntarios; sin ellos no podemos responder a su consulta. No envíe a través del formulario números de pasaporte ni otros datos sensibles. Suprimimos la consulta a más tardar 180 días después de su recepción, salvo que lo impidan obligaciones de conservación (p. ej., para cartas comerciales) o que dé lugar a un contrato.

Base jurídica: art. 6, apdo. 1, letra b, RGPD (contrato o consulta precontractual); en lo demás, art. 6, apdo. 1, letra f, RGPD (tramitación eficiente de consultas).

3.8 Registro de auditoría y prevención de abusos

Las modificaciones esenciales de solicitudes y cuentas, así como los accesos del personal (entre otros, consultas de documentos y cambios de funciones), se registran en el registro de auditoría para poder rastrear los accesos y esclarecer abusos. Base jurídica: art. 6, apdo. 1, letra f, RGPD (seguridad de los datos y trazabilidad), art. 32 RGPD.

3.9 Envío de correos electrónicos (confirmación del pedido)

Tras su pedido, le enviamos una confirmación del pedido a la dirección de correo electrónico registrada en la cuenta de cliente. Contiene los datos del pedido (número de referencia, paquete, precio total, número de factura), las CG, la información sobre el desistimiento y el modelo de formulario de desistimiento (rellenado previamente con los datos de su pedido), así como la confirmación de su consentimiento al inicio anticipado de la prestación. Con ello cumplimos nuestra obligación de confirmarle el contenido del contrato en un soporte duradero (§ 312f, apdo. 3, BGB). El correo electrónico no contiene datos del pasaporte, de nacimiento ni de dirección.

Para que una confirmación no se pierda en caso de problemas temporales de entrega, se guarda en una cola de envío («outbox») de nuestra base de datos (destinatario, asunto, contenido, estado del envío, momentos de los intentos de envío) y, en caso de error, se reenvía varias veces. Suprimimos estas entradas transcurridos 180 días. El envío se realiza a través de nuestro proveedor de alojamiento Hetzner Online GmbH, Gunzenhausen (véase el apartado 4); la transmisión está cifrada en tránsito (TLS) siempre que el servidor de recepción lo admita.

Base jurídica: art. 6, apdo. 1, letra b, RGPD (ejecución del contrato) y letra c, RGPD (obligación legal derivada del § 312f, apdo. 3, BGB).

3.10 Desistimiento mediante la función «Desistir del contrato»

Si desiste de su contrato mediante nuestra función en línea «Desistir del contrato», tratamos su nombre, su dirección de correo electrónico, el número de referencia (si lo indica), un mensaje opcional, el contenido de su declaración de desistimiento, la fecha y la hora de recepción y el idioma elegido. Asignamos el desistimiento a su pedido mediante el número de referencia y su dirección de correo electrónico o su apellido, lo anotamos en el expediente y en el registro de auditoría y le enviamos por correo electrónico un acuse de recibo con su contenido, fecha y hora (a través de nuestro proveedor de servicios de correo electrónico, véase el apartado 4).

Base jurídica: art. 6, apdo. 1, letra c, RGPD, en relación con los requisitos legales de la función de desistimiento (§ 356a BGB) (obligación legal de ofrecer la función de desistimiento y de acusar recibo) y art. 6, apdo. 1, letra b, RGPD (liquidación del contrato); para la documentación, art. 6, apdo. 1, letra f, RGPD (prueba de la recepción, defensa de reclamaciones).

Plazo de conservación: conservamos el registro del desistimiento hasta que finalice el plazo de prescripción ordinario (3 años a contar desde el final del año de recepción); si forma parte de la contabilidad (p. ej., en caso de reembolso), se aplican los plazos legales de conservación (hasta 8 años, § 147 AO, § 257 HGB). Suprimimos el acuse de recibo de la cola de envío transcurridos 180 días (véase 3.9).

4. Destinatarios y encargados del tratamiento

• Alojamiento: Nuestro sitio web y los datos correspondientes se alojan en servidores ubicados en la UE de Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemania. Con Hetzner existe un contrato de encargo del tratamiento conforme al art. 28 del RGPD.
• Envío de correos electrónicos y buzones: Las confirmaciones de pedido, los demás correos electrónicos relacionados con el pedido, los mensajes del formulario de contacto y nuestros buzones se gestionan también a través de Hetzner Online GmbH (dirección, véase arriba) sobre la base del mismo contrato de encargo del tratamiento (art. 28 del RGPD). Se tratan las direcciones del destinatario y del remitente, el asunto y el contenido del correo electrónico. En este proceso no se realiza ninguna transferencia a un tercer país.
• Home Office (Reino Unido): véase el apartado 5.
• Personal: internamente, solo tienen acceso las personas que lo necesitan para su tarea (concepto de autorizaciones basado en funciones).
• Obligaciones fiscales y jurídicas: en la medida en que la ley lo exija, comunicamos datos a autoridades, tribunales o asesores encargados del ejercicio de acciones legales (art. 6, apdo. 1, letra c o f, RGPD).

No se comunican datos con fines publicitarios. No vendemos datos.

5. Transmisión al Home Office en el Reino Unido (tercer país)

La finalidad del contrato es solicitar una autorización electrónica de viaje (UK ETA) al Home Office británico (UK Visas and Immigration). Para ello, sus datos de la solicitud (en particular, datos personales, datos del pasaporte, foto del rostro y respuestas a las preguntas sobre antecedentes penales y migratorios) se transmiten en su nombre y a petición suya al Home Office en el Reino Unido. Para el Reino Unido existe una decisión de adecuación de la Comisión Europea (Decisión de Ejecución (UE) 2025/2574, de 19.12.2025, válida hasta el 27.12.2031), que desde su renovación también abarca las transferencias con fines de control de la inmigración (art. 45 RGPD). El solicitante ante el Home Office es usted; nosotros transmitimos los datos en su nombre como proveedor de servicios encargado por usted. El Home Office trata los datos bajo su propia responsabilidad conforme al derecho británico; encontrará información al respecto en los avisos de privacidad del sitio web del Home Office gov.uk/eta. Si no desea que sus datos se transmitan al Home Office, no puede presentar la solicitud a través de nosotros.

6. Plazo de conservación

• Archivos de registro del servidor: como máximo 14 días.
• Chat de asistencia: sin contenidos; contadores anónimos con un identificador aleatorio de conversación durante 30 días, véase el apartado 10.
• Contadores de limitación de solicitudes: brevemente (hasta que expire la ventana temporal; después, eliminación mediante el proceso de borrado).
• Documentos cargados (pasaporte, foto de pasaporte): en los encargos concluidos, se suprimen automáticamente 30 días después de la última modificación del expediente y, en todo caso, a más tardar 30 días después de la recepción del pago (aunque el encargo no haya concluido). Puede eliminar usted mismo los documentos antes en el asistente de solicitud.
• Cola de envío de correos electrónicos (outbox): 180 días después del envío o del fallo definitivo. La confirmación del pedido sigue disponible, además, en su buzón y como factura en su cuenta de cliente.
• Solicitudes no pagadas e interrumpidas: se suprimen por completo, incluidos los archivos cargados, los mensajes y el registro de eventos, tras 60 días sin actividad.
• Datos de encargos pagados (datos de la solicitud, datos de facturación y de pago, mensajes, pruebas de consentimiento): los conservamos mientras sea necesario para la ejecución del contrato, para la defensa o el ejercicio de reclamaciones (prescripción ordinaria: 3 años a contar desde el final del año) y para el cumplimiento de obligaciones legales de conservación (justificantes contables y facturas 8 años, cartas comerciales 6 años, §§ 147 AO, 257 HGB, 14b UStG). Después, o a petición suya en la medida en que no lo impidan otras obligaciones, los suprimimos.
• Respuestas a las preguntas sobre antecedentes penales y migratorios (art. 9/10 RGPD): se suprimen junto con los documentos a más tardar 30 días después de la recepción del pago. Quedan excluidos los datos de facturación y de pago.
• Consultas de contacto: 180 días después de su recepción (véase 3.7).
• Declaraciones de desistimiento (función en línea): 3 años a contar desde el final del año de recepción; las partes relevantes para la contabilidad, hasta 8 años.
• Copias de seguridad de la base de datos: se sobrescriben a más tardar a los 14 días; hasta entonces, los datos ya suprimidos pueden seguir figurando en las copias de seguridad.
• Cuenta de cliente: hasta que solicite su supresión, salvo que lo impidan obligaciones legales de conservación.

Los procesos de borrado mencionados se ejecutan automáticamente a intervalos regulares; dentro de estos intervalos, los datos pueden conservarse brevemente durante más tiempo.

7. Sus derechos

Frente a nosotros tiene los siguientes derechos en relación con sus datos personales:

• acceso (art. 15 RGPD),
• rectificación (art. 16 RGPD),
• supresión (art. 17 RGPD),
• limitación del tratamiento (art. 18 RGPD),
• portabilidad de los datos (art. 20 RGPD),
• oposición a tratamientos basados en el art. 6, apdo. 1, letra f, RGPD por motivos relacionados con su situación particular (art. 21 RGPD),
• retirada de los consentimientos otorgados con efectos para el futuro (art. 7, apdo. 3, RGPD).

Derecho de oposición (art. 21 RGPD): en la medida en que tratemos datos sobre la base de intereses legítimos (art. 6, apdo. 1, letra f, RGPD), puede oponerse en cualquier momento por motivos relacionados con su situación particular; en ese caso dejaremos de tratar los datos, salvo que acreditemos motivos legítimos imperiosos o que el tratamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones.

Para ejercer sus derechos basta con un mensaje informal a la dirección de contacto indicada. Actualmente no ofrecemos un procedimiento automatizado de autoservicio (p. ej., exportación de datos). No se toman decisiones automatizadas, incluida la elaboración de perfiles (art. 22 RGPD).

Derecho a presentar una reclamación: tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos (art. 77 RGPD). La autoridad competente para nosotros es:

Die Landesbeauftragte für den Datenschutz Niedersachsen (la Comisionada de Protección de Datos del Estado federado de Baja Sajonia, autoridad de control competente)
Prinzenstraße 5, 30159 Hannover
https://www.lfd.niedersachsen.de

También puede dirigirse a la autoridad de control de su lugar de residencia.

8. Cookies, memoria del navegador y contenidos de terceros

• Cookie de sesión: tras el inicio de sesión, utilizamos una cookie de sesión técnicamente necesaria (__Host-grok-auth.session_token; HttpOnly, Secure, SameSite=Lax, duración de hasta 7 días). Sirve únicamente para reconocerle como usuario que ha iniciado sesión.
• sessionStorage en el navegador: el asistente de solicitud guarda sus datos (antes del inicio de sesión, incluidos el número de pasaporte, los datos de nacimiento y la dirección), el paquete elegido y, en su caso, un token de inicio de sesión en el sessionStorage de su navegador. En cuanto su borrador se guarda en nuestro servidor, allí solo quedan el paquete, el paso y el identificador de la solicitud, pero ya no datos personales. Tras enviar el pedido y al cerrar la sesión, el borrador se suprime; se descarta a más tardar tras 2 horas de inactividad. Los datos se suprimen además al cerrar la pestaña del navegador. No utilice la solicitud en dispositivos ajenos o públicos.
• Sin herramientas de publicidad ni de análisis: actualmente no utilizamos servicios de seguimiento, análisis ni marketing. Las fuentes tipográficas se sirven desde nuestro propio servidor (sin consulta a Google Fonts).

Base jurídica de la cookie y de la memoria del navegador: § 25, apdo. 2, n.º 2, TDDDG (estrictamente necesario desde el punto de vista técnico, sin necesidad de consentimiento) en relación con el art. 6, apdo. 1, letras b y f, RGPD.

9. Seguridad de los datos

Adoptamos medidas técnicas y organizativas conforme al art. 32 RGPD, entre otras: transmisión cifrada (HTTPS/HSTS), contraseñas con hash, cifrado de los documentos cargados y de los datos sensibles de la solicitud en la base de datos (AES-256-GCM), limitación de los intentos de inicio de sesión, restricción de acceso del personal basada en funciones y registro de los accesos sensibles, cortafuegos y bastionado del servidor (solo los puertos necesarios, protección contra intentos de inicio de sesión por fuerza bruta, actualizaciones de seguridad automáticas), copias de seguridad periódicas de la base de datos y procesos de borrado automatizados. Ningún sistema es absolutamente seguro; elija una contraseña segura que utilice solo aquí (al menos 10 caracteres).

10. Chat de asistencia (asistente de IA)

En nuestro sitio web puede utilizar un asistente de chat. El asistente es una IA en el sentido de un sistema automatizado, no una persona; está identificado como tal. Funciona íntegramente en nuestro propio servidor y asigna su pregunta, mediante palabras clave y similitud, a una base de conocimientos mantenida por nosotros. No se utiliza ningún modelo de IA externo ni ningún proveedor de IA; sus preguntas no se transmiten a nadie. Solo responde a preguntas de servicio sobre la UK ETA, no ofrece asesoramiento jurídico ni promete que la ETA se apruebe.

• Finalidad y base jurídica: responder a sus preguntas y protección frente a abusos (art. 6, apdo. 1, letra f, RGPD, interés legítimo en un servicio de atención al cliente que funcione).
• Sin registros del chat: sus mensajes y las respuestas no se guardan. Solo registramos contadores anónimos (p. ej., número de preguntas, preguntas sin respuesta, mensajes bloqueados, su valoración «útil/no útil») con un identificador aleatorio de conversación que se suprime a los 30 días.
• Datos del pasaporte: su navegador ya detecta números de pasaporte y datos de nacimiento, de pago o de salud; esos mensajes no se envían. Introduzca esos datos solo en la solicitud.
• Derivación a la asistencia: si el asistente no puede ayudar, le remite a nuestra asistencia por correo electrónico (info@visaparo.de). Si utiliza el formulario de contacto del chat, tratamos su nombre, su dirección de correo electrónico y su mensaje para tramitar su petición (art. 6, apdo. 1, letra b, RGPD) y los suprimimos a los 180 días.
• Estado del pedido: si lo desea, consultamos el estado, solo en modo de lectura, con su número de referencia y la dirección de correo electrónico del pedido; ninguno de los dos se guarda.
• Memoria del navegador: el historial visible solo se guarda en el sessionStorage de la pestaña de su navegador (termina al cerrar la pestaña); sin cookies ni seguimiento.
• Sin decisiones automatizadas: el asistente no adopta decisiones con efectos jurídicos (art. 22 RGPD).

11. Modificaciones de esta política

Adaptamos esta política de privacidad cuando cambian los tratamientos o la situación jurídica. Se aplica la versión disponible aquí en cada momento.