Política de privacidad

1. Responsable del tratamiento

Ibai Moledo Hernandez, NIF 54170162X, con domicilio en Cortijo de Belén, 15. Contacto para cuestiones de privacidad: moledoibai@gmail.com. Dado el volumen y naturaleza del tratamiento, no resulta legalmente exigible la designación de un Delegado de Protección de Datos (DPD), sin perjuicio de lo cual cualquier consulta sobre privacidad se atiende en la dirección indicada.

2. Principios que aplicamos

Tratamos tus datos conforme a los principios del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD): licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; integridad y confidencialidad; y responsabilidad proactiva. Solo recogemos los datos estrictamente necesarios para cada finalidad y no los reutilizamos para fines incompatibles sin informarte.

3. Categorías de datos que tratamos

Datos de cuenta: nombre, email, teléfono (opcional) y, en su caso, credenciales de acceso biométrico (Face ID / huella) gestionadas mediante estándares WebAuthn; nunca almacenamos datos biométricos brutos, sino claves criptográficas asociadas a tu dispositivo.
Datos de compra y envío: direcciones de entrega/facturación, historial de pedidos, incidencias.
Datos de pago: marca de tarjeta y últimos 4 dígitos únicamente (metadato no sensible); el número completo, CVV y demás datos sensibles de la tarjeta son tratados exclusivamente por nuestros proveedores de pago (Stripe, SumUp), que actúan como responsables independientes de dicho tratamiento conforme a sus propias políticas de privacidad.
Datos fiscales de Vendedores: NIF/CIF, razón social, domicilio fiscal, IBAN y, cuando resulte aplicable por normativa de facturación electrónica (sistema VERI*FACTU), certificado digital de firma, custodiado de forma cifrada y utilizado únicamente para el envío de registros de facturación a la Agencia Tributaria.
Datos de navegación: páginas visitadas, tipo de dispositivo/navegador, idioma, de forma agregada y anónima a través de nuestra herramienta de analítica (ver sección 9).
Contenido que publicas voluntariamente: valoraciones, comentarios, imágenes de producto (si eres Vendedor).

4. Origen de los datos

La práctica totalidad de los datos que tratamos nos los facilitas directamente tú, al registrarte, comprar, vender o navegar por la Plataforma. Los datos de navegación agregados se generan automáticamente por tu interacción técnica con el sitio. No obtenemos datos tuyos de fuentes de terceros ajenas a la propia Plataforma, salvo la verificación técnica de tarjetas/pagos realizada por los proveedores de pago.

5. Finalidad del tratamiento

Gestionar tu registro, tu cuenta y tu acceso (incluido el acceso biométrico si lo activas).
Procesar y hacer seguimiento de tus pedidos, pagos, envíos y devoluciones.
Permitir la comunicación estrictamente necesaria entre Comprador y Vendedor para ejecutar el pedido.
Emitir facturas y cumplir obligaciones fiscales y contables, incluyendo el envío de registros de facturación a la Agencia Tributaria cuando el Vendedor esté sujeto al sistema VERI*FACTU.
Prevenir el fraude y verificar la identidad de Usuarios y Vendedores.
Atender consultas, incidencias y ejercicios de derechos.
Medir el uso agregado del sitio para mejorarlo (analítica, sección 9).
Enviarte comunicaciones comerciales, únicamente si has prestado tu consentimiento expreso.

6. Base jurídica de cada tratamiento

Ejecución de un contrato (art. 6.1.b RGPD): gestión de cuenta, pedidos, pagos, comunicación comprador-vendedor.
Obligación legal (art. 6.1.c RGPD): facturación, conservación fiscal/contable, envío de registros a la AEAT (VERI*FACTU), atención de requerimientos de autoridades.
Interés legítimo (art. 6.1.f RGPD), ponderado y no prevalente sobre tus derechos: prevención de fraude, seguridad de la cuenta, mejora del servicio a partir de datos agregados.
Consentimiento (art. 6.1.a RGPD), revocable en cualquier momento: comunicaciones comerciales, analítica de medición no esencial, uso de acceso biométrico.

7. Destinatarios y encargados del tratamiento

Proveedores de pago (Stripe, SumUp): procesan el cobro y, en su caso, la liquidación al Vendedor. Actúan como responsables independientes respecto de los datos financieros que tratan directamente.
Proveedor de correo transaccional: envío de emails de cuenta, pedido y facturación.
Proveedor de hosting e infraestructura técnica (bases de datos, almacenamiento, cola de tareas).
Agencia Estatal de Administración Tributaria (AEAT): recepción de registros de facturación de Vendedores sujetos al sistema VERI*FACTU, conforme al Reglamento que lo regula.
El Vendedor correspondiente: recibe los datos de comprador estrictamente necesarios (nombre, dirección de envío, teléfono de contacto) para preparar y entregar tu pedido, actuando respecto de ellos como responsable independiente sujeto a su propia obligación de cumplir el RGPD.
Autoridades públicas, cuando exista una obligación legal o un requerimiento judicial válido.
No vendemos tus datos personales a terceros ni los cedemos con fines publicitarios de terceros.

8. Transferencias internacionales

Algunos de nuestros proveedores (pago, correo, infraestructura) pueden procesar datos en servidores ubicados fuera del Espacio Económico Europeo. En dichos casos, nos aseguramos de que la transferencia cuente con una garantía adecuada reconocida por el RGPD (decisión de adecuación de la Comisión Europea o cláusulas contractuales tipo).

9. Analítica web sin cookies

Medimos el uso del sitio con Ackee, una herramienta de analítica autoalojada en nuestra propia infraestructura y que no utiliza cookies. No compartimos estos datos con terceros ni permiten identificarte personalmente. Recogemos, de forma agregada y anónima, páginas visitadas, procedencia (referrer), tipo de navegador, sistema operativo, dispositivo, tamaño de pantalla e idioma. La base jurídica es tu consentimiento para la medición no esencial, otorgado mediante el banner de cookies/consentimiento, y estos datos se purgan a los 90 días.

10. Decisiones automatizadas y elaboración de perfiles

No sometemos a los Usuarios a decisiones basadas únicamente en tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre ellos o les afecten significativamente de forma similar.

11. Plazo de conservación

Datos de cuenta: mientras la cuenta permanezca activa; si solicitas la baja, se anonimizan (ver sección 13) salvo los datos que deban conservarse por obligación legal.
Pedidos y facturas: se conservan por el plazo exigido por la normativa mercantil, fiscal y contable (con carácter general, hasta 6 años desde el último asiento conforme al Código de Comercio, sin perjuicio de plazos fiscales específicos), aunque la cuenta se haya dado de baja.
Datos personales de envío (nombre, teléfono, dirección) asociados a un pedido entregado: se purgan automáticamente a los 180 días de la entrega, conservando el registro del pedido sin dichos datos personales.
Datos de navegación/analítica agregada: 90 días.
Reto de verificación de acceso biométrico: de un solo uso, se descarta inmediatamente tras su verificación.

12. Medidas de seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas: cifrado en reposo de las categorías de datos personales más sensibles (identificativos, direcciones, datos fiscales de contacto, credenciales de pasarelas de envío), almacenamiento de contraseñas mediante funciones de derivación de clave no reversibles (nunca en texto plano), control de acceso por roles, y comunicaciones cifradas en tránsito. Ninguna medida de seguridad es infalible al 100%; ante cualquier incidente de seguridad que suponga un riesgo para tus derechos, te lo notificaremos conforme a los plazos y requisitos del RGPD y, en su caso, a la AEPD.

13. Tus derechos

Puedes ejercer en cualquier momento y de forma gratuita tus derechos de acceso, rectificación, supresión ("derecho al olvido"), oposición, limitación del tratamiento y portabilidad, así como retirar tu consentimiento sin que ello afecte a la licitud del tratamiento previo. Puedes ejercerlos: (a) directamente desde tu panel de cuenta, donde puedes exportar tus datos y solicitar la eliminación de tu cuenta (los Vendedores deben contactar con administración, al mantener obligaciones de conservación derivadas de su catálogo y pedidos de terceros); o (b) escribiendo a moledoibai@gmail.com indicando el derecho que deseas ejercer y acreditando tu identidad. Responderemos en el plazo máximo de un mes. Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es).

14. Baja de cuenta y anonimización

Cuando un Usuario solicita la eliminación de su cuenta, procedemos a anonimizar sus datos identificativos (el email se sustituye por un identificador anónimo y se elimina la contraseña) y a borrar sus direcciones y tarjetas guardadas. Los pedidos ya realizados se conservan, sin datos personales asociados más allá de los estrictamente exigidos por la normativa fiscal, por la obligación legal de conservación mercantil y contable. Los Vendedores no pueden autoeliminarse mientras mantengan catálogo, pedidos de terceros o facturación activa; deben solicitarlo a administración para gestionar la baja ordenada de la tienda.

15. Menores de edad

La Plataforma no está dirigida a menores de edad y no recogemos conscientemente datos de menores sin la capacidad legal necesaria para contratar. Si detectamos un registro de este tipo, procederemos a cancelar la cuenta.

16. Cambios en esta política

Podemos actualizar esta Política de privacidad para adaptarla a cambios normativos o del servicio. Los cambios sustanciales se comunicarán con antelación razonable a través de la Plataforma o por email. Te recomendamos revisarla periódicamente.