Política de Privacidad

1. Responsable del Tratamiento

No ha sido designado un Delegado de Protección de Datos, al no concurrir ninguno de los supuestos del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD.

2. Datos que Tratamos y Origen

Todos los datos proceden del propio interesado, bien porque los facilita en un formulario, bien porque se generan automáticamente al navegar. No obtenemos datos de terceros ni de fuentes de acceso público.

• Datos de identificación: nombre, apellidos y, cuando sea necesario para la facturación, DNI/NIF.
• Datos de contacto: dirección de correo electrónico, número de teléfono y dirección postal de envío y facturación.
• Datos de acceso: correo electrónico y contraseña. Las contraseñas se almacenan cifradas mediante funciones hash; en ningún momento tenemos acceso a la contraseña en claro.
• Datos de transacción: productos adquiridos, importes, historial de pedidos y estado de los envíos.
• Datos de navegación y seguridad: dirección IP, tipo de navegador y dispositivo, páginas visitadas, fecha y hora, página de procedencia e intentos de inicio de sesión.

3. Finalidades y Base Legal

Tratamos sus datos para las siguientes finalidades, cada una con su base de legitimación conforme al artículo 6 del RGPD:

No se toman decisiones automatizadas ni se elabora perfilado sobre sus datos.

4. Estadísticas de Visitas

Para saber cómo funciona el sitio registramos en nuestro propio servidor cada visita, guardando la dirección IP, el navegador y dispositivo, la página visitada, la fecha y hora y la página de procedencia. No utilizamos Google Analytics ni ninguna otra herramienta de análisis de terceros, ni cookies de seguimiento; los datos no salen de nuestro servidor y no se emplean para publicidad.

La base legal es nuestro interés legítimo (art. 6.1.f RGPD) en conocer el uso del sitio y detectar incidencias. Puede oponerse a este tratamiento escribiéndonos a cosaspabrujas@gmail.com.

5. Destinatarios y Encargados del Tratamiento

Sus datos personales podrán ser comunicados a:

• Empresas de transporte: para la entrega de los pedidos (nombre, dirección, teléfono y correo electrónico).
• Stripe Payments Europe, Ltd. (Irlanda): pasarela de pago que procesa las transacciones con tarjeta.
• Proveedor de alojamiento web: que da soporte técnico a la infraestructura, bajo contrato de encargo de tratamiento (art. 28 RGPD).
• Administraciones públicas, jueces y tribunales: cuando exista obligación legal.

Con todos los proveedores que acceden a datos personales se suscriben los correspondientes contratos de encargo de tratamiento exigidos por el artículo 28 del RGPD. No se realizan cesiones de datos distintas de las indicadas ni se venden datos a terceros.

6. Transferencias Internacionales

Algunos de los proveedores que utilizamos tratan datos fuera del Espacio Económico Europeo:

• Stripe: la entidad contratante es irlandesa, pero puede transferir datos a Stripe, Inc. (EE. UU.), adherida al Marco de Privacidad de Datos UE-EE. UU.
• Google (Google Fonts): al cargar las tipografías del sitio se comunica su dirección IP a Google LLC (EE. UU.), igualmente adherida al Marco de Privacidad de Datos UE-EE. UU.

Estas transferencias se amparan en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 y, subsidiariamente, en cláusulas contractuales tipo. Al margen de estos supuestos, no se realizan transferencias internacionales de datos.

7. Plazos de Conservación

• Datos de clientes y pedidos: mientras se mantenga la relación comercial y, después, durante los plazos legales de prescripción: 4 años para obligaciones fiscales (Ley General Tributaria), 6 años para la documentación contable y mercantil (art. 30 del Código de Comercio) y 5 años para las acciones derivadas de la falta de conformidad.
• Datos de la cuenta de usuario: hasta que solicite la supresión de la cuenta.
• Consultas del formulario de contacto: hasta resolver la consulta y, después, un máximo de 1 año.
• Suscripción al boletín: hasta que revoque el consentimiento o solicite la baja.
• Estadísticas de visitas y registros de seguridad: un máximo de 24 meses, transcurridos los cuales se eliminan o anonimizan.

8. Sus Derechos

Usted tiene derecho a:

• Acceso: conocer qué datos personales tenemos sobre usted y cómo los tratamos.
• Rectificación: solicitar la corrección de datos inexactos o incompletos.
• Supresión ("derecho al olvido"): solicitar la eliminación de sus datos cuando ya no sean necesarios.
• Oposición: oponerse al tratamiento de sus datos basado en el interés legítimo.
• Limitación: solicitar que se limite el tratamiento en determinadas circunstancias.
• Portabilidad: recibir sus datos en un formato estructurado, de uso común y lectura mecánica.
• Retirar el consentimiento: en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.
• No ser objeto de decisiones automatizadas: aunque en este sitio no se adoptan.

Para ejercer estos derechos basta con escribir a cosaspabrujas@gmail.com indicando el derecho que desea ejercer. Solo le solicitaremos un documento acreditativo de su identidad si existen dudas razonables sobre quién realiza la solicitud (art. 12.6 RGPD).

Responderemos a su solicitud en el plazo máximo de un mes, prorrogable por dos meses más en casos de especial complejidad. El ejercicio de estos derechos es gratuito.

Si considera que sus derechos no han sido debidamente atendidos, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es.

9. Comunicaciones Comerciales

Solo le enviaremos el boletín de novedades y ofertas si nos ha dado su consentimiento expreso, conforme al artículo 21 de la LSSI-CE. Este consentimiento es siempre voluntario y su denegación no afecta a la posibilidad de comprar en la tienda.

Puede darse de baja en cualquier momento a través del enlace incluido en cada comunicación o escribiendo a cosaspabrujas@gmail.com. La baja se hará efectiva de forma inmediata y sin coste alguno.

10. Menores de Edad

Los servicios de este sitio web están dirigidos a mayores de 18 años. No recogemos conscientemente datos de menores. Si detectamos que se han facilitado datos de un menor sin la autorización de quienes ejerzan su patria potestad o tutela, los eliminaremos. Si es usted padre, madre o tutor y detecta esta situación, puede comunicárnoslo en cosaspabrujas@gmail.com.

11. Medidas de Seguridad

En Cosas Pa Brujas aplicamos las medidas técnicas y organizativas apropiadas exigidas por el artículo 32 del RGPD, entre ellas:

• Cifrado SSL/TLS en todas las comunicaciones con el sitio web.
• Almacenamiento de contraseñas mediante funciones hash irreversibles.
• Protección de los formularios frente a ataques CSRF y limitación de intentos de acceso.
• Acceso a los datos restringido al personal estrictamente necesario.
• Copias de seguridad periódicas y registro de eventos de seguridad.

En caso de producirse una violación de seguridad que suponga un alto riesgo para sus derechos, se lo comunicaremos sin dilación indebida y lo notificaremos a la AEPD conforme a los artículos 33 y 34 del RGPD.

12. Modificaciones de la Política

Nos reservamos el derecho de modificar esta Política de Privacidad para adaptarla a novedades legislativas o jurisprudenciales, o a cambios en la forma de prestar el servicio. Los cambios se publicarán en esta página con su fecha de actualización.

13. Contacto

Si tiene cualquier duda sobre esta Política de Privacidad o sobre el tratamiento de sus datos, puede contactarnos en: