GDPR

El tratamiento de la información personal se realiza en cumplimiento de las obligaciones legales aplicables, conforme al Reglamento General de Protección de Datos (GDPR) de la Unión Europea y a la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) en España. A continuación, se detallan los criterios de recogida, uso y protección de los datos durante la utilización de los servicios.

1. Ámbito de aplicación

Esta política regula el tratamiento de datos personales vinculados a España, incluyendo:

• Prestación de servicios o comercialización de productos en territorio español, así como el seguimiento de la actividad en línea de residentes;
• Gestión de pedidos, registros, suscripciones y otras interacciones relacionadas con usuarios en España;
• Uso de sistemas estructurados de datos como CRM, boletines informativos y registros de pedidos.

Queda excluido el tratamiento de datos realizado en el ámbito estrictamente personal o doméstico.

2. Tipos de datos tratados

Entre otros, pueden tratarse las siguientes categorías de datos:

• Datos de identificación: nombre, dirección, documento de identidad o pasaporte;
• Datos de contacto: correo electrónico, número telefónico y dirección postal;
• Información de transacciones: pedidos, pagos y facturación;
• Datos de navegación: dirección IP, cookies y rutas de acceso;
• Historial de atención al cliente: consultas, solicitudes postventa y reclamaciones;
• Datos procedentes de terceros autorizados: acceso mediante cuentas de Google, Apple u otros proveedores.

3. Base jurídica del tratamiento

El tratamiento de los datos se fundamenta en una o varias de las siguientes bases legales:

• Consentimiento expreso, por ejemplo, en suscripciones a comunicaciones;
• Ejecución de un contrato, como la gestión de pedidos o facturación;
• Cumplimiento de obligaciones legales en materia fiscal, contable o de prevención del fraude;
• Interés legítimo relacionado con la seguridad o mejora de los servicios;
• Protección de intereses vitales en situaciones urgentes.

4. Finalidad del tratamiento

Los datos pueden utilizarse para:

• Gestión de pedidos, envíos y cobros;
• Atención al cliente y servicios posteriores a la compra;
• Mejora de la experiencia de navegación y personalización de contenidos;
• Realización de acciones de marketing, previa obtención de consentimiento;
• Cumplimiento de obligaciones legales y fiscales;
• Análisis de tendencias y optimización de los servicios.

5. Plazos de conservación

• Datos contables y fiscales: conservación mínima de 5 años;
• Datos utilizados con fines comerciales: eliminación tras la retirada del consentimiento;
• Cuentas inactivas: eliminación o anonimización tras 24 meses.

Antes de la eliminación, se ofrece la posibilidad de exportar los datos personales.

6. Derechos del usuario (artículos 15 a 22 del GDPR)

Se reconocen los siguientes derechos:

• Acceso a los datos personales;
• Rectificación de información incorrecta o desactualizada;
• Supresión de datos conforme al derecho al olvido;
• Limitación del tratamiento en determinados supuestos;
• Portabilidad de los datos hacia otro proveedor;
• Oposición al tratamiento por motivos personales;
• Exclusión de decisiones automatizadas sin intervención humana.

Las solicitudes pueden presentarse a través de los canales de contacto y se gestionan en un plazo máximo de 24 horas hábiles.

7. Protección de menores

En España, el uso del servicio por menores de 14 años requiere autorización de padres o tutores legales. La información dirigida a menores se presenta en lenguaje comprensible y puede ser objeto de verificaciones adicionales para confirmar el consentimiento.

8. Medidas de seguridad

Se aplican medidas técnicas y organizativas, tales como:

• Cifrado de datos durante la transmisión mediante TLS;
• Control de acceso con permisos restringidos;
• Sistemas de copia de seguridad automatizados y protección mediante cortafuegos;
• Auditorías externas periódicas y análisis de vulnerabilidades;
• Colaboración con proveedores certificados (PCI-DSS, ISO 27001);
• Registro de actividades para supervisión y control.

9. Transferencias internacionales

La transferencia de datos fuera del Espacio Económico Europeo se realiza únicamente cuando:

• El país de destino cuenta con un nivel de protección adecuado reconocido por la Unión Europea;
• Se aplican cláusulas contractuales tipo aprobadas por la Comisión Europea;
• Se implementan medidas adicionales como cifrado, anonimización y control de accesos.

10. Gestión de incidentes de seguridad

En caso de incidentes que puedan implicar riesgos para los usuarios:

• Se notificará a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas;
• Se informará a los usuarios afectados;
• Se adoptarán medidas inmediatas para contener y resolver la situación;
• Un equipo especializado coordinará la gestión del incidente.

11. Supervisión y cumplimiento

• Se designa una persona responsable de supervisar el cumplimiento de esta política;
• En tratamientos de alto riesgo, se prevé la designación de un Delegado de Protección de Datos (DPO);
• Los proveedores externos suscriben acuerdos de tratamiento de datos (DPA);
• Se mantienen registros disponibles para las autoridades competentes.

12. Reclamaciones

Las reclamaciones pueden presentarse a través de los canales de contacto disponibles.
En caso de disconformidad con la respuesta recibida, es posible dirigirse a la Agencia Española de Protección de Datos (AEPD).

13. Disposición final

El tratamiento de los datos personales se realiza conforme a criterios de legalidad, transparencia y seguridad, con respeto a los derechos de los usuarios y actualización de las medidas de protección y cumplimiento.