Política de privacidad

Última actualización: 1 de noviembre de 2026.

Esta política vale para el sitio siboncharters.com y para las apps Sibon (iPhone y Android). Explica qué datos usamos, para qué, con quién los compartimos, cuánto tiempo los guardamos y cómo ejerces tus derechos.

1. Quién cuida tus datos

Responsable (viajes y reservas): Sibon Charters, Jl. Pulau Karam, Berok Nipah, Padang Barat, Padang 25119, Indonesia. Es quien decide para qué y cómo se usan los datos de las reservas.
Encargada del tratamiento (sitio y apps): A. E. B. Soncini Tecnologia LTDA, CNPJ 49.519.854/0001-78, Florianópolis/SC, Brasil, que desarrolla, aloja y publica el sitio y las apps en nombre de Sibon Charters y solo trata los datos para eso.
Contacto de privacidad: dpo@siboncharters.com. Delegado de protección de datos: Alessi Eduardo Brancher Soncini. [A CONFIRMAR: representante en la Unión Europea (art. 27 del RGPD)]

2. Qué recopilamos

Cuando solicitas plazas (sitio o app): nombre, e-mail, WhatsApp (opcional), el viaje, cuántas personas, el mensaje que escribas y el código de descuento, si lo usas.

En la ficha de cada huésped, una vez reservadas las plazas: nombre completo, e-mail, nacionalidad, número y vencimiento del pasaporte, vuelos de llegada y salida en Padang, seguro de viaje (compañía, póliza y contacto), nivel de surf, restricciones alimentarias, cerveza extra, observaciones y, si la marcas, la autorización de uso de imagen, con la fecha en que aceptaste.

Si creas una cuenta (opcional): e-mail, nombre, idioma y contraseña (guardada como hash seguro, nunca en texto). En la cuenta puedes guardar un perfil de viajero con los mismos datos de la ficha, alertas de plazas y de precio, reseñas (texto y, si quieres, una foto) y la elección de recibir promociones por e-mail, con la fecha en que aceptaste. Si permites notificaciones en la app con la cuenta abierta, guardamos también el identificador de notificación del dispositivo (creado por Apple o por Google), el tipo de dispositivo y cuándo se vio, para enviar los avisos de la tripulación en el mural del viaje y los avisos de la reserva (plazas reservadas, plazos de pago, fichas, pago confirmado).

Pago por transferencia: el comprobante que envías (foto o PDF, que puede mostrar tus datos bancarios), con monto, moneda y fecha, y los pagos que registra el equipo. No recibimos datos de tarjeta.

Durante el viaje, en la app:

Una foto por día: tomada solo con la cámara de la app, nunca de la galería, y enviada solo si la guardas. Solo tú la ves con el enlace de la reserva.
Pasaporte de olas: las olas que marcas, el día y la nota que des; guardamos junto el swell de ese día.
Compartir mi día: el servidor recibe solo la ola elegida, el clima y el formato de la imagen. La imagen no lleva tu nombre ni tu posición y no se guarda.

Lo que queda solo en tu teléfono y nunca va a Sibon:

Salud: las sesiones de surf se leen de los entrenamientos de la app Salud (iPhone) o de Health Connect (Android), solo lectura, solo en las fechas del viaje, solo con tu permiso. No existe envío de estos datos al servidor.
Ubicación: el GPS se usa en la tarjeta de emergencia (para que leas o envíes tu posición) y para sugerir la ola más cercana en "Compartir mi día". El cálculo se hace en el teléfono; la posición no se envía.
Copias para usar sin internet: el enlace de la reserva (en el Llavero del iPhone o cifrado en Android), una copia de "Mi reserva" sin nada de la ficha, la confirmación en PDF para inmigración (que tiene el pasaporte) y las fotos del mural ya abiertas. Quedan fuera de la copia de seguridad en la nube y se borran cuando quitas la reserva del teléfono, cuando el enlace deja de valer o 90 días después del viaje.
Avisos sin cuenta: sin la cuenta abierta en la app, ella misma revisa el mural del viaje de vez en cuando y muestra una notificación local, sin enviar nada del dispositivo a Sibon.

En el sitio: cookies de idioma y de tema y, si entras, la cookie de inicio de sesión. No usamos cookies de publicidad ni de estadística. Para limitar abusos, el servidor usa la dirección IP de quien hace solicitudes y entra en la cuenta. Los registros de acceso del servidor (IP, fecha, hora, dirección solicitada, navegador y página de origen) se guardan 6 meses y después se borran.

3. Para qué y con qué base

Las bases legales siguientes siguen el art. 6 del RGPD (Unión Europea), el art. 20 de la UU PDP 27/2022 (Indonesia) y el art. 7 de la LGPD (Brasil).

Ejecución del contrato (RGPD art. 6.1.b; UU PDP art. 20.2.b; LGPD art. 7, V): la solicitud de plazas, la reserva y la ficha; reservar tus plazas, cobrar, recogerte en el aeropuerto, cocinar para ti, mostrar la reserva en las apps, mantener tu cuenta y actuar en una emergencia.
Obligación legal (RGPD art. 6.1.c; UU PDP art. 20.2.c; LGPD art. 7, II): los datos de pasaporte y nacionalidad de la lista de pasajeros que registramos en la capitanía, como exige Indonesia, y los registros de pago de la contabilidad. Por la ley brasileña (solo LGPD art. 7, II), también la conservación de los registros de acceso del servidor durante 6 meses, que el art. 15 del Marco Civil da Internet (Ley 12.965/2014) exige a la encargada del tratamiento; para el RGPD y la UU PDP, esa conservación se apoya en el interés legítimo de abajo.
Consentimiento (RGPD art. 6.1.a; UU PDP art. 20.2.a; LGPD art. 7, I), que puedes retirar cuando quieras: promociones por e-mail, uso de imagen en las fotos y videos de la tripulación, autorizar una foto del día para las redes sociales, mostrar tu nombre, país y nivel de surf a los demás huéspedes del mismo viaje, publicar una reseña y la lectura de los entrenamientos de Salud o Health Connect.
Interés legítimo (RGPD art. 6.1.f; UU PDP art. 20.2.f; LGPD art. 7, IX): seguridad de las cuentas y del sistema, como el límite de intentos por IP, los registros de acceso y el registro de quién cambió cada reserva.

No vendemos tus datos ni los usamos para publicidad.

4. Uso de imagen

Foto del día: el equipo solo ve, descarga y publica en las redes de Sibon las fotos que autorices, una por una (la autorización viene apagada y queda registrada con la fecha). Quitar la autorización quita la foto del equipo; lo que ya se publicó sigue publicado.
Mural del viaje: la tripulación publica fotos del día, que pueden mostrar a los huéspedes. Solo se abren con el enlace de quien está en el viaje.
Reseña: nombre, texto y foto solo aparecen en el sitio después de que lo autorizas y el equipo lo aprueba, sin e-mail.
Fotos y videos de la tripulación en las redes: a bordo, la tripulación hace fotos y videos para las redes sociales de Sibon. Solo aparece en ellos quien lo autorizó en la ficha: la casilla viene desmarcada y la autorización queda registrada con la fecha. Cada huésped adulto decide sobre su propia imagen; quien llena la ficha de otra persona solo marca la casilla si ella lo autorizó. Sin autorización, no apareces en ninguna publicación, y la tripulación ve en el manifiesto del viaje quién no la dio. Puedes retirarla en cualquier momento en dpo@siboncharters.com (el equipo la retira en el sistema y, después, la ficha no la vuelve a marcar), o en la propia ficha mientras se pueda editar (hasta la víspera del viaje); la retirada vale desde ese momento.

5. Quién los ve y con quién los compartimos

El equipo de Sibon, cada persona con acceso limitado a su función, con contraseña y verificación en dos pasos.
Autoridades de Indonesia: la lista de pasajeros para la capitanía.
Alojamiento del sistema: GoDaddy (GoDaddy.com, LLC), con el servidor en Estados Unidos, donde están el sitio, la parte de servidor de las apps y la base de datos.
Envío de e-mails: Elastic Email recibe tu e-mail y el texto de los mensajes de la reserva para entregarlos.
Notificaciones push: Apple (Apple Push Notification service, en iPhone) y Google (Firebase Cloud Messaging, en Android) reciben el identificador de notificación del dispositivo, el título y el texto del aviso para entregarlo.
Mapas: en el iPhone el mapa de olas es el de Apple; en Android, los mapas vienen de OpenStreetMap, que recibe la dirección IP del teléfono al descargar las imágenes del mapa.
En el sitio: las fuentes vienen de Google Fonts y los videos, de YouTube (modo sin cookies), que reciben la dirección IP de quien abre la página.

Transferencia internacional: como el servidor está en Estados Unidos, tus datos se transfieren fuera de la Unión Europea y de Brasil. Esa transferencia se apoya en garantías contractuales, las cláusulas tipo de protección de datos del contrato con el proveedor de alojamiento (capítulo V del RGPD; art. 33 de la LGPD).

6. Cuánto tiempo los guardamos

Ficha del huésped: guardada hasta 5 años después del fin del viaje, como registro de tus viajes. Después, se borran el pasaporte, la nacionalidad, el vencimiento, el e-mail, el seguro, los vuelos, las restricciones alimentarias y las observaciones; quedan solo el nombre, el nivel de surf, la cerveza extra y las elecciones de compartir con el viaje y de uso de imagen (con la fecha), para las cuentas, el historial y la prueba de la autorización.
Comprobante de pago: el archivo se borra 90 días después del fin del viaje y la observación que escribiste, 5 años después; monto, moneda, fecha y decisión quedan para la contabilidad.
Enlace de la reserva: deja de funcionar 90 días después del fin del viaje.
Fotos del mural: se borran 90 días después del fin del viaje.
Fotos del día: quedan mientras exista una cuenta confirmada con el e-mail de la reserva; sin cuenta, se borran 90 días después del fin del viaje. Puedes borrar cada una en la app.
Cuenta, perfil, alertas y reseñas: hasta que elimines la cuenta.
Reservas y pagos: el teléfono, el mensaje de la solicitud y las notas del equipo se borran 5 años después del fin del viaje. El nombre y el e-mail de quien reservó, los montos y los pagos quedan como registro de la contabilidad y para que la reserva siga apareciendo en tu cuenta.
Promociones: hasta que salgas con el enlace del e-mail, con un clic.
Notificaciones: el identificador del dispositivo se borra cuando cierras la sesión (en cualquier dispositivo), eliminas la cuenta, cuando Apple o Google dicen que ya no vale (90 días después) o tras 270 días sin abrir la app con la cuenta. Cada notificación en la cola de envío se borra 90 días después.
E-mails que te enviamos (destinatario y texto, que puede citar nombre, viaje, montos y el enlace de la reserva): destinatario, asunto y texto se borran 5 años después del fin del viaje (e-mails de la reserva) o del envío (los demás); queda solo el registro de que hubo un envío.
Registros de acceso del servidor (IP, fecha, hora, dirección solicitada, navegador y página de origen): 6 meses, después se borran. Es la conservación mínima que el Marco Civil da Internet (art. 15) exige a la encargada brasileña; también sirven a la seguridad del sistema (interés legítimo).

7. Cómo los protegemos

Conexión siempre cifrada (HTTPS). Pasaporte, seguro, comprobantes y fotos del día están cifrados en la base de datos, con la clave guardada fuera de ella y fuera de la copia de seguridad. Cada cambio en los datos de la reserva queda registrado con quién lo hizo, sin el valor del dato personal.

8. Tus derechos

Puedes pedir ver, corregir, llevarte o borrar tus datos, y oponerte a un uso o retirar un consentimiento, escribiendo a dpo@siboncharters.com. Respondemos en un plazo de 15 días. También puedes reclamar ante la autoridad de protección de datos: en la Unión Europea, la de tu país; en Brasil, la ANPD; en Indonesia, la autoridad prevista en la UU PDP 27/2022.

Eliminar la cuenta: en la app (pestaña Mi reserva, Cuenta, Eliminar cuenta) o en el sitio (Mi cuenta). Mira lo que se borra y lo que queda en Eliminar cuenta.

9. Menores de edad

Solo los mayores de 18 años hacen reservas o crean cuenta. Los menores de 18 embarcan solo acompañados del responsable que hizo la reserva, que llena su ficha y proporciona sus datos. No pedimos fecha de nacimiento: en la solicitud de plazas, en el registro y en la ficha, quien envía declara que tiene 18 años o más.

10. Cambios

Cuando esta política cambie, la fecha de arriba cambia también. Los cambios importantes se avisarán por e-mail a quien tenga reserva o cuenta.