Aviso de privacidad de la plataforma LongRoadCabo

Última actualización: 14 de septiembre de 2026.

LongRoadCabo emite el presente aviso en su carácter de responsable del tratamiento de los datos personales de sus transportistas-clientes y del personal de estos, y describe además cómo trata, por cuenta de cada transportista, los datos de los pasajeros que reservan.

A.1 Identidad y domicilio del responsable

Santiago Tangassi García, persona física con actividad empresarial (régimen RESICO), que opera bajo la marca comercial LongRoadCabo, es el responsable del tratamiento de los datos personales que se describen en este aviso.

RFC: TAGS0711265B6
Domicilio (para efectos de este aviso): Calle Isla San Marcos, Mz. 5, Lt. 10, Fracc. Cumbres del Tezal, C.P. 23454, Cabo San Lucas, Baja California Sur, México.
Plataforma: la página pública, el panel y el widget de reservas de LongRoadCabo, en la dirección donde se publica este aviso.
Correo de contacto para datos personales (derechos ARCO y dudas de privacidad): santiagotangassi@gmail.com

En adelante, el correo de contacto antes señalado se denomina el «Contacto de Privacidad».

A.2 Personas cuyos datos trata LongRoadCabo bajo este aviso

Este aviso cubre los datos del transportista que contrata o prueba la plataforma y del personal que el transportista da de alta como usuarios del panel (titular, gerentes, personal de mostrador) o registra como choferes.

Cubre también los datos de los prospectos que piden una demostración desde la página pública (formulario «Pedir una demo»): nombre, correo y nombre del negocio. Se usan únicamente para dar seguimiento comercial a esa solicitud; si la contratación no se concreta, se suprimen a más tardar a los doce (12) meses.

Los datos de los pasajeros que reservan los trata el transportista como responsable, conforme a su propio aviso de privacidad; LongRoadCabo los trata solo como encargado, por cuenta del transportista y con las instrucciones y los límites que se describen en la sección A.5. Si eres pasajero, ahí está lo que hacemos y lo que no hacemos con tus datos.

A.3 Datos personales que tratamos

Para dar de alta al transportista, operar la plataforma y cobrar la comisión, tratamos:

1. Identificación y contacto del titular y de los usuarios: nombre, correo electrónico y teléfono.

2. Datos del negocio: nombre comercial, razón social o denominación, RFC, domicilio, permisos y registros aplicables (por ejemplo, el permiso de transporte turístico, la póliza de seguro de responsabilidad civil y, en su caso, el Registro Nacional de Turismo) y datos operativos que el transportista carga (vehículos, clases de vehículo, zonas, servicios, horarios, tarifas, puntos de encuentro).

3. Datos de los choferes que el transportista registra: nombre, teléfono o WhatsApp de contacto, número y fecha de vencimiento de la licencia de conducir. El nombre y el contacto del chofer asignado se comunican al pasajero de cada traslado que atiende; la licencia solo la ve el transportista y, en su caso, LongRoadCabo para verificar vigencia.

4. Credenciales de acceso: la contraseña no se almacena en texto claro; se guarda protegida mediante un algoritmo de derivación de contraseñas (hash). En su caso, la configuración de verificación en dos pasos (2FA).

5. Datos de la cuenta de cobros (Stripe Connect): el transportista conecta su propia cuenta de Stripe. Los datos bancarios y de verificación de identidad los recaba y resguarda Stripe directamente; LongRoadCabo ve el estado de la cuenta e identificadores técnicos, no los números de cuenta bancaria completos. Si el transportista pacta una cuota mensual, la tarjeta con la que se paga también la recaba y resguarda Stripe (Stripe Billing): LongRoadCabo solo ve el estado de la suscripción y la referencia y monto de cada factura, nunca el número de la tarjeta.

6. Datos fiscales del transportista, para emitir el CFDI de la comisión y cumplir obligaciones contables.

7. Datos técnicos que el sistema recolecta y que se conservan como evidencia y por seguridad:

Dirección IP y agente de usuario (user-agent) del navegador en el momento en que el titular acepta los Términos de la Plataforma. Se conservan junto con la versión exacta del texto aceptado y su huella (hash SHA-256) como evidencia de la aceptación electrónica (click-wrap), en cumplimiento de lo que exige el Código de Comercio para que un mensaje de datos se mantenga íntegro y accesible para ulterior consulta (arts. 89 bis, 90 bis y 93 del Código de Comercio).
Bitácora de auditoría (registros de actividad relevante en el panel) y estos mismos indicios (IP, user-agent, fecha y hora) con fines de seguridad y prevención de fraude.
Registros de errores técnicos de la aplicación, que pueden incluir el identificador de la cuenta, la ruta que falló y el agente de usuario, para diagnosticar y corregir fallas.

No solicitamos datos personales sensibles del transportista ni de su personal para las finalidades de este aviso.

A.4 Finalidades del tratamiento

Finalidades necesarias (dan origen y sustento a la relación; no requieren consentimiento adicional):

1. Crear y administrar la cuenta del transportista y de sus usuarios, y controlar el acceso al panel.

2. Operar el sistema de reservas, cobros, comprobantes, asignación de vehículos y choferes y avisos por correo por cuenta del transportista.

3. Calcular, retener y facturar la comisión de la plataforma.

4. Brindar soporte y responder aclaraciones.

5. Registrar y conservar la evidencia de la aceptación de los Términos (incluidos IP y user-agent, véase A.3.7) y mantener las bitácoras de seguridad.

6. Cumplir obligaciones legales, fiscales, contables y de conservación mercantil (art. 49 del Código de Comercio: conservación por 10 años).

Finalidades voluntarias (el transportista puede negarse sin que afecte su servicio):

1. Informarle de mejoras, funciones nuevas y contenidos de la plataforma.

2. Invitarle a probar funciones en fase temprana.

Para negarte a las finalidades voluntarias basta con escribir al Contacto de Privacidad; no cambia nada de lo ya contratado.

A.5 Datos de los pasajeros que tratamos por cuenta del transportista

Cuando un pasajero reserva un traslado, la plataforma recaba por cuenta del transportista —que es el responsable— los datos necesarios para prestarlo:

Identificación y contacto: nombre, correo electrónico y teléfono o WhatsApp de contacto.
Datos del vuelo, cuando el traslado inicia o termina en un aeropuerto: aerolínea, número de vuelo, hora programada de llegada o de salida y, en su caso, terminal.
Origen y destino: hotel o dirección de recogida y de entrega, y el punto de encuentro.
Composición del grupo: número de pasajeros, cantidad de equipaje y, si se contrata una silla infantil, la edad del menor que la usará (solo la edad, nunca el nombre del menor ni otro dato suyo).
Extras y propina: los extras elegidos y, si el pasajero decide agregarla, la propina voluntaria para el chofer.
Notas para el chofer que el pasajero escribe libremente (pedimos no incluir en ellas datos sensibles).
Datos del pago: los procesa Stripe; LongRoadCabo solo recibe el resultado del cobro, los últimos cuatro dígitos y la marca de la tarjeta, nunca el número completo.
Evidencia de aceptación de los términos de la reserva: versión y huella del texto, fecha y hora, IP y agente de usuario.

Finalidades por cuenta del transportista: registrar la reserva; cobrarla; emitir el comprobante; coordinar la recogida con el estado del vuelo (el transportista consulta la hora real de llegada para ajustar la espera); asignar el vehículo y el chofer y comunicar al pasajero el nombre y el contacto del chofer; enviar confirmaciones y recordatorios; y conservar la evidencia de la reserva y de su aceptación para atender aclaraciones y disputas de pago.

Lo que NO hacemos con los datos del pasajero: no recabamos la geolocalización del pasajero ni del chofer; no los usamos para publicidad propia ni de terceros; no los vendemos; y no los conservamos más allá de los plazos de la sección A.8 salvo obligación legal o defensa de reclamaciones. El transportista y su chofer reciben únicamente lo indispensable para el traslado.

A.6 Encargados y proveedores que tratan datos por nuestra cuenta

Para operar utilizamos proveedores que tratan datos siguiendo nuestras instrucciones, bajo contrato y sin usarlos para fines propios (encargados/subencargados):

Stripe — alta y operación de la cuenta de cobros del transportista, procesamiento de los pagos de los pasajeros y, si se pacta cuota mensual, su cobro recurrente (Stripe Billing).
Resend — envío de los correos transaccionales (confirmaciones, avisos, notificaciones al transportista y al chofer). Postmark puede actuar como proveedor de respaldo del mismo envío cuando el principal falla.
Proveedor de infraestructura (hoy Hostinger) — alojamiento del servidor donde se ejecuta el sistema.
Sentry — monitoreo de errores técnicos de la aplicación; recibe el registro del error con los datos técnicos descritos en A.3.7, nunca los datos de pago.
UptimeRobot — comprobación externa de que la plataforma responde; solo consulta una dirección de estado y no recibe datos personales.
Proveedores de calendario que el propio transportista conecta (por ejemplo Google Calendar o Teamup) — reciben los datos de los traslados y reservas que el transportista decide reflejar en su calendario operativo. Solo tratan datos si el transportista activa la conexión y dejan de recibirlos al desconectarla.
Datos obtenidos de Google. Cuando el transportista conecta Google Calendar, LongRoadCabo accede únicamente a los alcances «calendar.events» y «calendar.calendarlist.readonly» para leer y escribir los eventos del calendario que el transportista elige y para listar sus calendarios. Los eventos se leen para calcular disponibilidad y evitar doble asignación de un vehículo o de un chofer, y se escriben para reflejar cada traslado en el calendario elegido. El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se ajustan a la Política de Datos de Usuario de los Servicios de API de Google (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de Uso Limitado (Limited Use). Esa información no se vende, no se usa para publicidad y ninguna persona la lee, salvo con el consentimiento expreso del transportista, por razones de seguridad o para cumplir con la ley.

Alojamiento de la base de datos. La base de datos del sistema se aloja en un servidor administrado por LongRoadCabo (un VPS bajo su control), no en un servicio de base de datos de un tercero. El proveedor de infraestructura suministra el servidor; la administración de la base de datos y de la aplicación corresponde a la plataforma.

Tratamiento fuera de México. Algunos de estos proveedores (Stripe, Resend, Postmark, Sentry, UptimeRobot, Google, Teamup) procesan datos en centros de datos fuera de México, principalmente en Estados Unidos. Siguen siendo encargados: tratan los datos solo por instrucciones de LongRoadCabo —o del transportista, cuando es él quien conecta el servicio—, bajo sus propios acuerdos de tratamiento de datos, y no pueden usarlos para fines propios.

A.7 Transferencias

No vendemos ni rentamos datos personales. Solo los comunicamos: (a) a autoridades competentes cuando una ley o una orden fundada lo exige; (b) a asesores contables o legales sujetos a deber de confidencialidad, en lo estrictamente necesario; y (c) tratándose de los datos del pasajero, al transportista responsable de su reserva y, por conducto de este, al chofer asignado, en lo indispensable para el traslado. Fuera de esos supuestos, cualquier transferencia que requiera consentimiento se informará para obtenerlo antes.

A.8 Derechos ARCO y revocación del consentimiento

El transportista, sus usuarios y sus choferes pueden Acceder a sus datos, Rectificarlos, Cancelarlos y Oponerse a su tratamiento, y revocar el consentimiento otorgado. Para ejercerlos, envía al Contacto de Privacidad una solicitud con: (i) nombre y medio para responderte; (ii) identificación oficial (o el documento que acredite la representación); y (iii) la descripción clara de los datos y el derecho que quieres ejercer.

Si eres pasajero, ejerce tus derechos ARCO con el transportista de tu reserva, que es el responsable; también puedes escribir al Contacto de Privacidad y canalizaremos tu solicitud al transportista y la atenderemos en lo que nos corresponde como encargado.

Responderemos en los plazos que marca la ley. El ejercicio es gratuito; solo se cobran los costos justificados de envío o reproducción que la ley permita.

Hay datos que debemos conservar por obligación legal (fiscal, contable y la evidencia de aceptación de términos por 10 años, art. 49 del Código de Comercio) o para la defensa de reclamaciones, aun cuando se solicite su cancelación; en ese caso quedan bloqueados para cualquier otro uso hasta que venza el plazo aplicable.

A.9 Conservación y seguridad

Conservamos los datos mientras exista relación con el transportista y por los plazos que exijan las obligaciones legales, fiscales, contables y de defensa de reclamaciones; después se suprimen o se anonimizan de forma segura. Al terminar la relación con el transportista, el sistema ejecuta esa supresión a más tardar a los noventa (90) días naturales (proceso automático), dejando bloqueados —solo por su plazo legal— los registros que la ley obliga a conservar. Los datos del vuelo, las direcciones y las notas de cada reserva se conservan junto con la reserva por ese mismo régimen; las edades declaradas para sillas infantiles no se usan para ningún otro fin. La evidencia de aceptación de términos y los registros mercantiles se conservan por 10 años (art. 49 del Código de Comercio).

Mantenemos medidas de seguridad administrativas, técnicas y físicas razonables para proteger los datos (entre otras: cifrado del transporte, contraseñas resguardadas mediante hash, control de acceso por roles, aislamiento de los datos de cada transportista y bitácoras). No prometemos seguridad perfecta ni inviolabilidad absoluta —ninguna medida lo garantiza—: nos obligamos a un estándar razonable y acorde con la industria, y a exigir por contrato medidas equivalentes a nuestros encargados.

A.10 Cookies

La plataforma utiliza únicamente cookies estrictamente necesarias y una cookie de preferencia de tema. No usamos cookies de analítica, de rastreo ni de publicidad de terceros. El detalle está en la Parte C — Política de cookies.

A.11 Autoridad

Si consideras vulnerado tu derecho a la protección de datos, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en la materia (el INAI fue extinguido por la reforma publicada en el DOF el 20 de marzo de 2025).

A.12 Cambios a este aviso

Cualquier cambio se publicará en la dirección donde se aloje este aviso, con su fecha de actualización. Si un cambio implica nuevas finalidades que requieran consentimiento, se pedirá antes de aplicarlas.

Política de cookies

Esta política aplica a la plataforma LongRoadCabo y describe las cookies que el sistema instala.

C.1 Qué es una cookie

Una cookie es un pequeño archivo de texto que un sitio guarda en tu navegador para recordar información entre páginas o visitas.

C.2 Qué cookies usamos (y cuáles NO)

El sistema solo usa cookies estrictamente necesarias para funcionar y una cookie de preferencia. No usamos cookies de analítica (no hay Google Analytics ni similares), ni de rastreo entre sitios, ni de publicidad de terceros, ni redes sociales. No vendemos ni compartimos información de navegación con terceros con fines publicitarios.

Estas son las cookies que instala la plataforma, con su nombre técnico, para qué sirven, si son estrictamente necesarias, sus atributos HttpOnly y SameSite, y su duración:

Sesión — nombre técnico: thr_session. Sirve para mantener tu sesión iniciada en el panel después de que entras con tu usuario y contraseña. Es estrictamente necesaria. HttpOnly: sí. SameSite: Lax. Duración: aproximadamente 12 horas.
Pre-sesión (2FA) — nombre técnico: thr_pre_session. Es el paso intermedio de seguridad entre «la contraseña es correcta» y «tecleaste el código de verificación»; sin ella no se puede completar el segundo factor. Es estrictamente necesaria. HttpOnly: sí. SameSite: Lax. Duración: aproximadamente 10 minutos.
Preferencia de tema — nombre técnico: lrc-tema. Sirve para recordar si elegiste el modo claro, oscuro o el del sistema, para no parpadear al cargar; guarda literalmente «claro», «oscuro» o «sistema». No es de rastreo: es una preferencia tuya. HttpOnly: no, de forma deliberada, porque el navegador debe leerla para pintar el tema sin parpadeo. SameSite: Lax. Duración: aproximadamente 1 año.

Las cookies thr_session y thr_pre_session se emiten con el atributo Secure en producción (solo viajan por HTTPS). La cookie de tema no es sensible (no identifica ni rastrea) y también se guarda en el almacenamiento local del navegador como respaldo.

C.3 El widget de reservas incrustado

La página pública de reservas y el checkout (el widget que el transportista incrusta en su sitio) no instala cookies propias para el pasajero conforme a la implementación actual: el pago lo procesa Stripe, que instala sus propias cookies estrictamente necesarias para operar el cobro y prevenir fraude (por ejemplo __stripe_mid y __stripe_sid), gobernadas por su política de cookies: https://stripe.com/legal/cookies-policy. Si el transportista incrusta el widget dentro de su propio sitio, las cookies de ese sitio son responsabilidad del transportista.

C.4 ¿Hace falta un banner de consentimiento de cookies?

Las cookies que usamos son estrictamente necesarias para prestar el servicio y una cookie de preferencia que tú mismo activas al elegir el tema. Por su naturaleza no requieren un banner de consentimiento previo, y por eso el sistema no muestra uno: sería declarar un consentimiento que estas cookies no necesitan. Esta política cumple la función de informarte con transparencia.

C.5 Cómo controlarlas

Puedes borrar o bloquear cookies desde la configuración de tu navegador. Ten en cuenta que si bloqueas las cookies estrictamente necesarias (thr_session y thr_pre_session), no podrás iniciar sesión en el panel. Bloquear la cookie de tema solo hará que no se recuerde tu preferencia de modo claro/oscuro.

C.6 Lugar en el paquete legal

Esta política forma parte del paquete legal de la plataforma, junto con los Términos de la Plataforma y el Aviso de privacidad. Cada versión se publica con su fecha, y se conserva con su huella criptográfica SHA-256; las versiones anteriores permanecen íntegras y disponibles para consulta, en los mismos términos que el resto de los documentos legales de la plataforma.