GDPR

Con el objetivo de resguardar la privacidad y cumplir con las obligaciones legales vigentes, el tratamiento de datos personales se rige por el Reglamento General de Protección de Datos de la Unión Europea (GDPR) y por la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) en España. A continuación, se detalla la forma en que se recogen, utilizan y protegen los datos en el uso de los servicios.

1. Ámbito de aplicación

La presente política regula el tratamiento de datos personales vinculados a España, incluyendo:

• Prestación de servicios o comercialización de productos en territorio español, así como el seguimiento de comportamientos en línea de residentes en España.
• Gestión de pedidos, registros, suscripciones u otras interacciones relacionadas con usuarios en España.
• Uso de sistemas organizados de información como CRM, boletines informativos o historiales de pedidos.

Queda excluido el tratamiento de datos realizado en el ámbito estrictamente personal o doméstico.

2. Tipos de datos tratados

Entre otros, pueden tratarse las siguientes categorías de información:

• Datos identificativos: nombre, dirección, documento de identidad o pasaporte.
• Datos de contacto: correo electrónico, número telefónico, dirección postal.
• Información transaccional: detalles de pedidos, pagos y facturación.
• Datos de uso digital: dirección IP, cookies y recorridos de navegación.
• Historial de atención: consultas, solicitudes postventa y reclamaciones.
• Información procedente de terceros autorizados: acceso mediante cuentas de Google, Apple u otros proveedores.

3. Bases jurídicas del tratamiento

El tratamiento de los datos se fundamenta en una o varias de las siguientes bases legales:

• Consentimiento expreso, por ejemplo, en suscripciones a comunicaciones.
• Ejecución de un contrato, como la gestión de pedidos o facturación.
• Cumplimiento de obligaciones legales en materia fiscal, contable o de prevención del fraude.
• Intereses legítimos vinculados a la seguridad o mejora de los servicios.
• Protección de intereses vitales en situaciones urgentes.

4. Finalidad del uso de los datos

Los datos pueden emplearse para:

• Procesar pedidos, organizar envíos y gestionar cobros.
• Prestar atención al cliente y servicios posteriores a la compra.
• Mejorar la experiencia de navegación y adaptar contenidos.
• Realizar acciones de marketing, siempre con consentimiento previo.
• Cumplir con requisitos legales y fiscales.
• Analizar tendencias y optimizar los servicios ofrecidos.

5. Plazos de conservación

• Datos contables y fiscales: conservación mínima de 5 años.
• Datos utilizados con fines comerciales: eliminación tras la retirada del consentimiento.
• Cuentas inactivas: eliminación o anonimización tras 24 meses.

Antes de la supresión, se permite la exportación de los datos personales.

6. Derechos del usuario (artículos 15 a 22 del GDPR)

Se reconocen los siguientes derechos:

• Acceso a los datos personales.
• Rectificación de información incorrecta o desactualizada.
• Supresión de datos conforme al derecho al olvido.
• Limitación del tratamiento en determinados supuestos.
• Portabilidad de los datos hacia otro proveedor.
• Oposición al tratamiento por motivos personales.
• Exclusión de decisiones automatizadas sin intervención humana.

Las solicitudes pueden presentarse mediante los canales de contacto y se tramitan en un plazo máximo de 24 horas hábiles.

7. Protección de menores

En España, el uso del servicio por menores de 14 años requiere autorización de padres o tutores legales. La información dirigida a menores se presenta en lenguaje comprensible. Se realizan verificaciones adicionales para confirmar la existencia del consentimiento correspondiente.

8. Medidas de seguridad

Se aplican medidas técnicas y organizativas, tales como:

• Cifrado de datos en tránsito mediante TLS.
• Control de accesos con niveles de autorización definidos.
• Sistemas de copia de seguridad automatizados y protección mediante cortafuegos.
• Auditorías externas periódicas y análisis de vulnerabilidades.
• Colaboración con proveedores certificados (PCI-DSS, ISO 27001).
• Registro de actividades para supervisión y control.

9. Transferencias internacionales

La transferencia de datos fuera del Espacio Económico Europeo solo se realiza cuando:

• El país de destino dispone de un nivel de protección adecuado reconocido por la Unión Europea.
• Se aplican cláusulas contractuales tipo aprobadas por la Comisión Europea.
• Se adoptan medidas adicionales como cifrado, anonimización y control de acceso.

10. Gestión de incidentes de seguridad

En caso de incidentes que puedan implicar riesgos para los usuarios:

• Se notificará a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas.
• Se informará a las personas afectadas.
• Se adoptarán medidas inmediatas para contener y resolver la situación.
• Un equipo especializado coordinará la gestión del incidente.

11. Supervisión y cumplimiento

• Existe una persona responsable de supervisar el cumplimiento de esta política.
• En tratamientos de alto riesgo, se designará un Delegado de Protección de Datos (DPO).
• Los proveedores externos suscriben acuerdos de tratamiento de datos (DPA).
• Se mantienen registros disponibles para las autoridades competentes.

12. Reclamaciones

Las reclamaciones pueden presentarse a través de los canales de contacto disponibles.
En caso de disconformidad con la respuesta recibida, es posible dirigirse a la Agencia Española de Protección de Datos (AEPD).

13. Disposición final

El tratamiento de los datos se realiza conforme a principios de legalidad, transparencia y seguridad, con respeto a los derechos de los usuarios y actualización continua de las medidas de protección y cumplimiento.