GDPR

El tratamiento de datos personales se lleva a cabo conforme a las obligaciones legales vigentes, de acuerdo con el Reglamento General de Protección de Datos (GDPR) de la Unión Europea y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) en España. A continuación, se describen las condiciones relativas a la recopilación, uso y protección de la información personal durante la utilización de los servicios.

1. Ámbito de aplicación

La presente política regula el tratamiento de datos personales relacionados con España, incluyendo:

• Prestación de servicios o suministro de productos dentro del territorio español, así como el seguimiento de la actividad en línea de residentes;
• Gestión de pedidos, registros, suscripciones y otras interacciones vinculadas a usuarios en España;
• Utilización de sistemas estructurados de información, como CRM, boletines informativos y registros de pedidos.

Queda excluido el tratamiento de datos en contextos exclusivamente personales o domésticos.

2. Tipos de datos tratados

Se pueden tratar, entre otros, los siguientes datos:

• Datos identificativos: nombre, dirección, documento de identidad o pasaporte;
• Datos de contacto: correo electrónico, número de teléfono y dirección postal;
• Información de transacciones: pedidos, pagos y facturación;
• Datos de navegación: dirección IP, cookies y rutas de acceso;
• Historial de atención: consultas, solicitudes postventa y reclamaciones;
• Datos obtenidos de terceros autorizados: acceso mediante cuentas de Google, Apple u otros proveedores.

3. Base jurídica del tratamiento

El tratamiento de los datos se fundamenta en una o varias de las siguientes bases:

• Consentimiento expreso, por ejemplo, en suscripciones a comunicaciones;
• Ejecución contractual, como la gestión de pedidos o facturación;
• Cumplimiento de obligaciones legales en materia fiscal, contable o de prevención del fraude;
• Interés legítimo relacionado con la seguridad o mejora de los servicios;
• Protección de intereses vitales en situaciones urgentes.

4. Finalidad del tratamiento

Los datos pueden utilizarse para:

• Gestión de pedidos, envíos y cobros;
• Atención al cliente y servicios posteriores a la compra;
• Mejora de la experiencia de navegación y personalización de contenidos;
• Realización de acciones de marketing, previa obtención de consentimiento;
• Cumplimiento de obligaciones legales y fiscales;
• Análisis de tendencias y optimización de los servicios.

5. Plazos de conservación

• Datos contables y fiscales: conservación mínima de 5 años;
• Datos utilizados con fines comerciales: eliminación tras la retirada del consentimiento;
• Cuentas inactivas: eliminación o anonimización tras 24 meses.

Antes de la supresión, se permite la exportación de los datos personales.

6. Derechos del usuario (artículos 15 a 22 del GDPR)

El usuario puede ejercer los siguientes derechos:

• Acceso a los datos personales;
• Rectificación de información inexacta o desactualizada;
• Supresión de datos conforme al derecho al olvido;
• Limitación del tratamiento en determinados supuestos;
• Portabilidad de los datos a otro proveedor;
• Oposición al tratamiento por motivos personales;
• Exclusión de decisiones automatizadas sin intervención humana.

Las solicitudes pueden realizarse a través de los canales de contacto y se gestionan en un plazo máximo de 24 horas hábiles.

7. Protección de menores

En España, el uso del servicio por menores de 14 años requiere autorización de padres o tutores. La información dirigida a menores se presenta en términos comprensibles y puede ser objeto de verificación adicional para confirmar el consentimiento.

8. Medidas de seguridad

Se aplican medidas técnicas y organizativas, entre ellas:

• Cifrado de datos durante la transmisión mediante TLS;
• Control de acceso con permisos restringidos;
• Sistemas de copia de seguridad automatizados y protección mediante cortafuegos;
• Auditorías externas periódicas y análisis de vulnerabilidades;
• Colaboración con proveedores certificados (PCI-DSS, ISO 27001);
• Registro de actividades para supervisión y control.

9. Transferencias internacionales

La transferencia de datos fuera del Espacio Económico Europeo se realiza únicamente cuando:

• El país de destino dispone de un nivel de protección adecuado reconocido por la Unión Europea;
• Se aplican cláusulas contractuales tipo aprobadas por la Comisión Europea;
• Se implementan medidas adicionales como cifrado, anonimización y control de accesos.

10. Gestión de incidentes de seguridad

En caso de incidentes que puedan implicar riesgos para los usuarios:

• Se notificará a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas;
• Se informará a los usuarios afectados;
• Se adoptarán medidas inmediatas para contener y resolver la situación;
• Un equipo especializado coordinará la gestión del incidente.

11. Supervisión y cumplimiento

• Se designa una persona responsable de supervisar el cumplimiento de esta política;
• En tratamientos de alto riesgo, se prevé la designación de un Delegado de Protección de Datos (DPO);
• Los proveedores externos suscriben acuerdos de tratamiento de datos (DPA);
• Se mantienen registros disponibles para las autoridades competentes.

12. Reclamaciones

Las reclamaciones pueden presentarse mediante los canales de contacto disponibles.
En caso de desacuerdo con la respuesta recibida, es posible dirigirse a la Agencia Española de Protección de Datos (AEPD).

13. Disposición final

El tratamiento de los datos personales se realiza conforme a principios de legalidad, transparencia y seguridad, respetando los derechos de los usuarios y manteniendo actualizadas las medidas de protección y cumplimiento.