RGPD

1. Alcance de aplicación

La presente política regula las actividades de tratamiento de datos personales relacionadas con usuarios ubicados en España, incluyendo, entre otras:

• La oferta y prestación de productos o servicios a personas situadas en territorio español.
• El análisis técnico necesario de la actividad realizada por los usuarios en el sitio web, como el registro de accesos o navegación.
• La gestión de pedidos, registros de cuentas, suscripciones y comunicaciones de atención al cliente.
• El almacenamiento de información dentro de sistemas organizados de tratamiento de datos, incluidos sistemas de pedidos o herramientas de gestión de clientes.

Quedan excluidos de esta política los tratamientos efectuados exclusivamente para fines personales o domésticos.

2. Categorías de información recopilada

Durante la utilización de los servicios podrán tratarse las siguientes categorías de datos personales:

• Datos identificativos, incluidos nombre y datos de entrega cuando corresponda.
• Datos de contacto, tales como dirección de correo electrónico, número de teléfono y dirección postal.
• Datos relacionados con transacciones, incluyendo historial de pedidos, estado de pagos e información de facturación.
• Datos técnicos, como dirección IP, características del dispositivo, actividad de navegación y datos asociados a cookies.
• Información derivada de comunicaciones con atención al cliente, solicitudes de asistencia o reclamaciones.
• Datos obtenidos mediante autorizaciones concedidas a través de servicios de terceros, incluidos Google o Apple, cuando resulte aplicable.

La recopilación se limita a la información necesaria para la finalidad concreta del servicio prestado.

3. Base jurídica para el tratamiento

De conformidad con el artículo 6 del Reglamento General de Protección de Datos (GDPR), el tratamiento puede fundamentarse en una o varias de las siguientes bases legales:

• Consentimiento otorgado por el usuario, por ejemplo para recibir comunicaciones promocionales o notificaciones.
• Necesidad contractual vinculada a la gestión de pedidos, pagos y entregas.
• Cumplimiento de obligaciones legales en materia fiscal, contable o regulatoria.
• Interés legítimo relacionado con la seguridad del sitio web, la mejora de los servicios o la prevención de riesgos.
• Protección de intereses vitales en situaciones que puedan afectar a los derechos o intereses esenciales del usuario.

4. Finalidades del tratamiento

La información recopilada podrá utilizarse para las siguientes finalidades:

• Administración de pedidos, pagos y procesos de envío.
• Gestión de consultas, asistencia al cliente y servicios posteriores a la venta.
• Desarrollo y optimización de funcionalidades y experiencia de uso del sitio web.
• Envío de comunicaciones comerciales cuando exista consentimiento previo.
• Cumplimiento de obligaciones legales, fiscales y administrativas.
• Elaboración de análisis destinados a mejorar la calidad de los servicios ofrecidos.

Los datos personales no serán utilizados para finalidades no autorizadas.

5. Conservación de la información

Los periodos de conservación dependerán de la naturaleza de los datos tratados:

• Los registros financieros y de pedidos se conservarán durante un mínimo de cinco años cuando así lo exijan las disposiciones legales aplicables.
• La información utilizada con fines promocionales será eliminada cuando el usuario retire su consentimiento.
• Los datos asociados a cuentas sin actividad continuada durante veinticuatro meses podrán ser eliminados o sometidos a procesos de anonimización.

Antes de la supresión de los datos, podrá solicitarse el acceso, obtención o exportación de la información personal correspondiente.

6. Derechos de los interesados

De acuerdo con los artículos 15 a 22 del GDPR, los usuarios pueden ejercer los siguientes derechos:

• Acceder a sus datos personales y obtener copia de los mismos.
• Solicitar la rectificación de información inexacta o incompleta.
• Pedir la supresión de datos personales conforme al denominado derecho al olvido.
• Solicitar la limitación del tratamiento cuando proceda legalmente.
• Ejercer el derecho a la portabilidad de los datos.
• Oponerse a tratamientos basados en intereses legítimos.
• No quedar sujeto a decisiones adoptadas exclusivamente mediante procesos automatizados.

Las solicitudes podrán remitirse utilizando los canales de contacto habilitados y serán gestionadas dentro de un plazo razonable.

7. Protección de menores

De acuerdo con la normativa aplicable en España:

• Los usuarios menores de 14 años deberán contar con la autorización de sus representantes legales para utilizar los servicios.
• Los datos relacionados con menores estarán sujetos a medidas de protección reforzadas.
• Cuando se detecte una recopilación de datos realizada sin la autorización requerida, la información correspondiente podrá ser eliminada.

8. Medidas de seguridad

Para reducir riesgos asociados al tratamiento de datos personales se aplican, entre otras, las siguientes medidas:

• Protección de las comunicaciones mediante cifrado TLS (HTTPS).
• Sistemas de control de acceso destinados a limitar la utilización de los datos a personal autorizado.
• Uso de cortafuegos y mecanismos de supervisión de seguridad.
• Revisiones periódicas de seguridad y evaluaciones de posibles vulnerabilidades.
• Colaboración con proveedores que cumplan estándares reconocidos de seguridad, incluidos los requisitos PCI-DSS.
• Mantenimiento de registros y trazabilidad para fines de control y gestión de riesgos.

9. Transferencias internacionales de datos

Cuando resulte necesario transferir información fuera del Espacio Económico Europeo (EEE), dichas transferencias se efectuarán bajo condiciones que garanticen un nivel adecuado de protección, incluyendo:

• Destinos reconocidos por la Unión Europea como adecuados en materia de protección de datos.
• Aplicación de Cláusulas Contractuales Tipo (SCC).
• Implementación de medidas complementarias, tales como cifrado y restricciones de acceso.

10. Gestión de incidentes de seguridad

En caso de producirse un incidente de seguridad susceptible de afectar a los derechos o intereses de los usuarios:

• Se notificará a la autoridad competente dentro de los plazos establecidos por la legislación aplicable, con un límite máximo de 72 horas cuando corresponda.
• Los usuarios afectados podrán ser informados cuando resulte necesario.
• Se adoptarán medidas destinadas a contener, analizar y corregir la situación.
• La gestión y seguimiento del incidente será realizada por personal específicamente designado para dicha función.

11. Cumplimiento normativo y supervisión

Para garantizar la observancia de las obligaciones en materia de protección de datos se establecen las siguientes prácticas:

• Implementación de procedimientos internos de gestión de protección de datos.
• Designación de un Responsable de Protección de Datos (DPO) cuando la normativa así lo requiera.
• Formalización de acuerdos de tratamiento de datos (DPA) con proveedores externos cuando corresponda.
• Conservación de documentación y registros necesarios para eventuales revisiones por parte de autoridades competentes.

12. Disposiciones finales

El tratamiento de datos personales se realiza conforme a los principios de licitud, transparencia y minimización de datos.

Todas las actividades relacionadas con la gestión de información personal se desarrollan teniendo en cuenta la protección de los derechos de los usuarios y el cumplimiento de la normativa aplicable, incorporando de forma continua mejoras en materia de protección de datos.