GDPR

El tratamiento de la información personal se realiza conforme a la normativa vigente en materia de protección de datos, en particular el Reglamento General de Protección de Datos (GDPR) de la Unión Europea y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) de España. A continuación se detallan las condiciones aplicables a la recogida, uso y protección de los datos durante la utilización de los servicios.

Ámbito de aplicación

Esta política regula el tratamiento de datos personales relacionados con España, incluyendo:

• La oferta de productos o servicios en territorio español o el seguimiento del comportamiento en línea de residentes en España
• La gestión de pedidos, registros, suscripciones y otras interacciones vinculadas a usuarios en España
• Sistemas estructurados de información, como CRM, boletines y registros de pedidos

Quedan excluidos los tratamientos realizados con fines exclusivamente personales o domésticos.

Categorías de datos tratados

Entre la información que puede ser objeto de tratamiento se incluyen, entre otros:

• Datos identificativos: nombre, dirección, documento de identidad o pasaporte
• Datos de contacto: correo electrónico, número de teléfono y dirección postal
• Información transaccional: pedidos, pagos y datos de facturación
• Datos de uso en línea: dirección IP, cookies y rutas de navegación
• Historial de atención: consultas, solicitudes posteriores a la compra y reclamaciones
• Datos procedentes de terceros autorizados: acceso mediante cuentas de Google, Apple u otros proveedores

Base jurídica del tratamiento

El tratamiento de los datos se basa en una o varias de las siguientes condiciones legales:

• Consentimiento expreso, por ejemplo para suscripciones o comunicaciones
• Ejecución de un contrato, como la gestión de pedidos y facturación
• Cumplimiento de obligaciones legales, incluidas las fiscales, contables y de prevención del fraude
• Interés legítimo, vinculado a la seguridad y mejora de los servicios
• Protección de intereses vitales en situaciones urgentes

Finalidad del tratamiento

Los datos personales pueden utilizarse para:

• Gestionar pedidos, envíos y cobros
• Proporcionar atención al cliente y soporte posterior
• Mejorar la experiencia de navegación y adaptar contenidos
• Realizar acciones de marketing, previa autorización del usuario
• Cumplir obligaciones legales y fiscales
• Analizar tendencias y optimizar los servicios

Plazos de conservación

• Datos contables y fiscales: conservación mínima de 5 años
• Datos con fines comerciales: eliminación tras la retirada del consentimiento
• Cuentas sin actividad: eliminación o anonimización después de 24 meses

Antes de la eliminación definitiva, se permite la exportación de los datos.

Derechos del usuario (artículos 15 a 22 del GDPR)

El usuario puede ejercer en cualquier momento los siguientes derechos:

• Acceso a sus datos personales
• Rectificación de información inexacta o desactualizada
• Supresión de datos conforme al derecho al olvido
• Limitación del tratamiento en determinados supuestos
• Portabilidad de los datos hacia otro proveedor
• Oposición al tratamiento por motivos personales
• No ser objeto de decisiones automatizadas sin intervención humana

Las solicitudes pueden enviarse a través de los canales de contacto disponibles y se gestionan en un plazo máximo de 24 horas laborables.

Protección de menores

En España, los menores de 14 años deben contar con autorización de padres o tutores para utilizar el servicio. La información dirigida a menores se presenta de forma clara y se aplican controles adicionales para verificar dicha autorización.

Medidas de seguridad

Se aplican medidas técnicas y organizativas destinadas a la protección de los datos:

• Cifrado de la información durante la transmisión mediante protocolo TLS
• Control de accesos con niveles de autorización definidos
• Sistemas de copia de seguridad y protección mediante cortafuegos
• Auditorías externas periódicas y análisis de vulnerabilidades
• Colaboración con proveedores certificados conforme a estándares como PCI-DSS e ISO 27001
• Registro de actividades para supervisión y control

Transferencias internacionales

La transferencia de datos fuera del Espacio Económico Europeo solo se realiza cuando se cumplen las siguientes condiciones:

• El país de destino dispone de un nivel de protección adecuado reconocido por la Unión Europea
• Se aplican cláusulas contractuales tipo aprobadas por la Comisión Europea
• Se implementan medidas adicionales como cifrado, anonimización y control de acceso

Gestión de incidentes de seguridad

En caso de producirse un incidente que implique riesgo para los usuarios:

• Se notificará a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas
• Se informará a los usuarios afectados
• Se adoptarán medidas inmediatas para contener y resolver la incidencia
• Un equipo especializado coordinará las actuaciones correspondientes

Supervisión y cumplimiento

• Se asigna una función interna encargada de supervisar el cumplimiento de esta política
• En tratamientos de alto riesgo, se designa un Delegado de Protección de Datos (DPO)
• Los proveedores externos suscriben acuerdos de tratamiento de datos (DPA)
• Se mantienen registros disponibles para las autoridades competentes

Reclamaciones

Las reclamaciones pueden presentarse a través de los canales de contacto habilitados.
En caso de disconformidad con la respuesta recibida, se puede acudir a la Agencia Española de Protección de Datos (AEPD).

Disposiciones finales

El tratamiento de los datos se realiza conforme a criterios de legalidad, transparencia y seguridad, respetando los derechos del usuario y aplicando mejoras continuas en materia de protección y cumplimiento normativo.