Política de privacidad

Última actualización: 30 de julio de 2026

Índice

I. Preámbulo — Ámbito de aplicación de la presente política de privacidad
II. Responsable del tratamiento
III. Personas afectadas
IV. Categorías de Datos Personales tratados
V. Recogida de Datos Personales
VI. Finalidades de los tratamientos, bases jurídicas y plazos de conservación
VII. Destinatarios de sus Datos Personales
VIII. Transferencias fuera de la Unión Europea
IX. Sus derechos
X. Modalidades de ejercicio de sus derechos — contacto del DPD
XI. Seguridad de los Datos Personales

I. Preámbulo - Ámbito de aplicación de la presente política de privacidad

En el marco de sus actividades, Tootbus (en lo sucesivo, la “Empresa” o “Nosotros”) trata datos de carácter personal que le conciernen (en lo sucesivo, los “Datos Personales”). La presente política de privacidad (en lo sucesivo, la “Política”) tiene por objeto precisar las condiciones en las que recogemos y tratamos sus Datos Personales, en calidad de responsable del tratamiento, así como informarle sobre sus derechos y las modalidades de su ejercicio.

La Política se aplica a los clientes y usuarios de los servicios de la Empresa, así como a los visitantes de su sitio web y de sus aplicaciones móviles, y más generalmente a toda persona afectada por los tratamientos de Datos Personales realizados en el marco de las actividades de la Empresa (en lo sucesivo, “Usted”).

Tratamos sus Datos Personales de conformidad con la legislación y la normativa aplicables en materia de protección de datos personales, en particular el Reglamento (UE) n.º 2016/679 de 27 de abril de 2016 (en lo sucesivo, el “RGPD”) y la Ley de Informática y Libertades n.º 78-17 de 6 de enero de 1978, en su versión modificada (en lo sucesivo, conjuntamente, la “Normativa”).

La presente Política no constituye un contrato y no genera ninguna obligación contractual. La Política puede ser modificada en cualquier momento, en particular para tener en cuenta las evoluciones legales, reglamentarias o de nuestra actividad.

II. Responsable del tratamiento

Sus Datos Personales son tratados por RATP Développement, sociedad anónima con un capital de 517.301.072,70 euros, inscrita en el Registro Mercantil de París con el número RCS 389 795 006, con domicilio social en 9 Rue Brahms, 75012 París, Francia.

III. Personas afectadas

La Política se aplica a las siguientes categorías de personas:

Clientes, sus beneficiarios y usuarios de los servicios;
Clientes potenciales (prospectos);
Visitantes y usuarios del sitio web, de las aplicaciones móviles y de otros servicios digitales propuestos por la Empresa;
Personas que se ponen en contacto con los servicios internos de la Empresa;
Candidatos a procesos de selección;
Y, en general, cualquier persona afectada por los tratamientos de Datos Personales realizados en el marco de las actividades de la Empresa descritos en la Política.

IV. Categorías de Datos Personales tratados

De conformidad con la Normativa, el término Datos Personales designa cualquier información relativa a una persona física identificada o identificable. En el marco de sus actividades, la Empresa puede recoger y tratar las siguientes categorías de Datos Personales:

Datos de identificación (por ejemplo, nombre, apellidos, fecha de nacimiento, número de cliente);
Datos de contacto (por ejemplo, dirección de correo electrónico);
Datos relativos al uso de los servicios (por ejemplo, tipo de billete, datos de validación, número de soporte, historial de uso);
Datos de pago (por ejemplo, medio de pago, importe del pedido, número de tarjeta bancaria y fecha de caducidad, incidencias de pago);
Datos de navegación y conexión (por ejemplo, dirección IP, registros de conexión, cookies y rastreadores);
Datos de localización (por ejemplo, geolocalización de la persona o de un dispositivo asociado);
Imágenes y grabaciones sonoras (por ejemplo, mediante sistemas de videovigilancia).

Durante la recogida, se le informará del carácter obligatorio u opcional de los datos solicitados. Si se niega a facilitar los datos obligatorios, no podremos prestarle los servicios solicitados (como el procesamiento de su pedido en la web o el registro en un servicio de transporte). Nos comprometemos a recoger y tratar únicamente los Datos Personales pertinentes y necesarios para la finalidad perseguida.

V. Recogida de Datos Personales

Sus Datos Personales se recogen:

Directamente de usted, por ejemplo, al comprar un servicio, utilizar la aplicación, visitar la web o interactuar con nuestra Empresa;
Indirectamente, a través de fuentes legítimas, como socios, terceros autorizados o fuentes de acceso público.

Cuando sus Datos Personales no se recojan directamente de usted, se le informará del origen de la recogida de conformidad con el RGPD.

VI. Finalidades de los tratamientos, bases jurídicas y plazos de conservación

Sus Datos Personales se recogen y tratan para finalidades determinadas, explícitas y legítimas, detalladas en la tabla siguiente, cuyas bases jurídicas son:

La ejecución de un contrato o de medidas precontractuales;
El cumplimiento de nuestras obligaciones legales;
Nuestro interés legítimo, siempre que prevalezca sobre sus intereses o derechos y libertades fundamentales;
Su consentimiento.

De conformidad con la Normativa, sus Datos Personales se conservan en la base activa durante el tiempo necesario para cumplir las finalidades, según los plazos indicados en la tabla siguiente. Al finalizar este periodo, podrán conservarse en archivo intermedio durante el plazo de prescripción legal aplicable por interés administrativo (ej. litigios) o para cumplir obligaciones legales. Posteriormente, se eliminan o se anonimizan.

Relación con el Cliente, Títulos y Servicios:

Finalidades	Bases jurídicas	Plazo de conservación
Gestión de contratos: gestión y seguimiento de pedidos, ejecución del servicio, abonos, expedición de títulos de transporte, inscripciones y reservas.	Ejecución del contrato o medidas precontractuales	Duración de la relación contractual, luego en archivo intermedio hasta el límite del plazo de prescripción aplicable (5 años en caso de litigio).
Gestión de reclamaciones y servicio posventa.	Ejecución del contrato o medidas precontractuales	Duración de la relación contractual, luego en archivo intermedio por un máximo de 5 años desde el cierre de la reclamación.
Seguimiento de la relación con el cliente: encuestas de satisfacción.	Interés legítimo o consentimiento	Duración necesaria para la encuesta o hasta la oposición o retirada del consentimiento.
Gestión de transacciones bancarias: pago de servicios, gestión de pruebas de pago y reembolsos.	Ejecución del contrato o medidas precontractuales	Duración de la transacción (pago único) o hasta el último vencimiento. Los datos de la tarjeta se archivan 13 meses desde el cargo (15 meses para tarjetas de débito diferido) en caso de disputa. El código CVV se elimina inmediatamente tras el pago.
Gestión de objetos perdidos/encontrados: responder a solicitudes, contactar con el propietario, devolución.	Interés legítimo o consentimiento	1 mes desde la declaración de pérdida o identificación del propietario, o desde la retirada del consentimiento. Si se identifica al propietario, hasta la restitución + plazo de prescripción (5 años).

Comunicación y Acciones de Prospección Comercial:

Finalidades	Bases jurídicas	Plazo de conservación
Prospección comercial electrónica (email): publicidad, promociones, boletines, concursos, etc.	Consentimiento o interés legítimo para productos/servicios similares ya adquiridos	3 años desde el fin de la relación comercial o el último contacto del cliente/prospecto, o hasta la retirada del consentimiento. Hasta 24 meses tras el concurso y la entrega de premios.
Gestión de solicitudes de información vía formulario online o email (excepto reclamaciones y posventa).	Interés legítimo	3 años tras el último contacto.
Gestión de interacciones en redes sociales: respuesta a consultas.	Interés legítimo	Según la política de la red social.

Estadísticas, Encuestas y Mejora del Servicio:

Finalidades	Bases jurídicas	Plazo de conservación
Análisis y estudios estadísticos de uso de servicios.	Interés legítimo	Proceso de anonimización al finalizar la encuesta.

Lucha Contra el Fraude:

Finalidades	Bases jurídicas	Plazo de conservación
Detección y gestión de fraude en títulos y sistemas: falsificaciones, fraude tecnológico, control de accesos, etc.	Interés legítimo	Plazo de prescripción aplicable o duración del litigio hasta agotar recursos. En fraude tecnológico, los datos de validación se conservan un máximo de 48 horas.

Seguridad de las Personas y los Bienes:

Finalidades	Bases jurídicas	Plazo de conservación
Gestión de alertas de seguridad y accidentes: seguimiento, asistencia a víctimas, expediente de seguros e indemnizaciones.	Interés legítimo	Duración de la gestión del evento + 3 años, y si aplica, durante la gestión del expediente de seguro + 5 años.

Gestión de Infracciones y Litigios:

Finalidades	Bases jurídicas	Plazo de conservación
Gestión de procedimientos judiciales y administrativos.	Interés legítimo	Durante todo el litigio hasta agotar las vías de recurso.

Cumplimiento de Obligaciones Legales y Reglamentarias:

Finalidades	Bases jurídicas	Plazo de conservación
Gestión de solicitudes de ejercicio de derechos.	Obligación legal	5 años desde el cierre de la solicitud.
Contabilidad: obligaciones contables, fiscales, etc.	Obligación legal	Archivo intermedio durante el plazo legal (10 años para contabilidad).
Gestión de solicitudes de mediación ante la Mediadora de RATP online.	Obligación legal	3 años desde la solicitud a la Mediadora.
Respuesta a requerimientos de terceros autorizados por ley (judiciales, etc.).	Obligación legal	Plazo de prescripción aplicable, a título de prueba.

Gestión de Páginas Web y Aplicaciones Móviles:

Finalidades	Bases jurídicas	Plazo de conservación
Gestionar el funcionamiento técnico de la web/app, medición de audiencia.	Interés legítimo	Consulte nuestra política de cookies.

Localización:

Finalidades	Bases jurídicas	Plazo de conservación
Geolocalización (cuando se activa el servicio).	Interés legítimo o ejecución contractual	Según base legal: hasta el fin del contrato o de la suscripción al servicio.

Selección de Personal (Recrutamiento):

Finalidades	Bases jurídicas	Plazo de conservación
Gestión de candidaturas: selección, entrevistas.	Ejecución del contrato o medidas precontractuales	Duración del proceso de selección + 5 años desde que se cubre el puesto, con fines probatorios.
Constitución de base de datos de CV.	Interés legítimo o consentimiento	Hasta 2 años desde el último contacto con el candidato, o hasta oposición/retirada del consentimiento.

VII. Destinatarios de sus Datos Personales

Sus Datos Personales pueden ser transmitidos a:

Servicios internos autorizados de la Empresa (atención al cliente, marketing, personal de seguridad);
RATP Développement y sus filiales;
Proveedores y subcontratistas (mantenimiento informático, alojamiento, proveedores de pago, agencias de comunicación);
Autoridades administrativas o judiciales competentes.

VIII. Transferencias fuera de la Unión Europea

Alojamos sus Datos Personales en servidores situados en el Espacio Económico Europeo (EEE). Si se transfieren fuera, garantizamos la implementación de cláusulas contractuales tipo u otros mecanismos equivalentes reconocidos por la Normativa para asegurar un nivel de protección adecuado.

IX. Sus derechos

Conforme a la Normativa, dispone de los siguientes derechos:

Acceso: Derecho a obtener copia de sus Datos Personales.
Rectificación: Corregir datos inexactos o incompletos.
Supresión (Derecho al olvido): Solicitar la eliminación de sus datos, salvo obligación legal o contractual de conservación.
Limitación del tratamiento: Solicitar la suspensión temporal del tratamiento de sus datos.
Oposición: Oponerse al tratamiento basado en interés legítimo (no aplica a videovigilancia).
Portabilidad: Recibir sus datos en un formato estructurado y de uso común.
Retirada del consentimiento: Retirar el consentimiento en cualquier momento.
Directrices post-mortem: Definir directrices sobre sus datos tras su fallecimiento.

X. Modalidades de ejercicio de sus derechos - contacto del DPD

Para ejercer sus derechos, puede contactar con nuestro delegado de protección de datos (DPD):

Por correo: Tootbus – Filiale de RATP Développement, Délégué à la protection des données, 9 rue Brahms, 75012 París, Francia.
Por correo electrónico: [email protected]

Se podrá solicitar copia de su documento de identidad en caso de duda razonable. Se responderá en un plazo máximo de un mes (ampliable dos meses más por complejidad). Puede presentar una reclamación ante la CNIL (https://www.cnil.fr).

XI. Seguridad de los Datos Personales

Implementamos las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad óptimo y proteger sus Datos Personales contra destrucción, pérdida o acceso no autorizado (cifrado, seudonimización). Los subcontratistas están sujetos a compromisos contractuales de seguridad. La web puede contener enlaces a sitios de terceros que operan bajo su propia responsabilidad. En caso de violación de datos con alto riesgo, se le notificará conforme a la Normativa.