Política de privacidad

1. Quién trata tus datos

El responsable del tratamiento es:

Razón social

etlas OÜ

Identificador fiscal

17550182

Domicilio

Sepapaja tn 6, Lasnamäe linnaosa, 15551 Tallinn (Estonia)

Correo de contacto

david@etlas.me

Nombre comercial

Reviews NFC

El responsable está establecido en la Unión Europea, en el domicilio que consta arriba, así que todo el tratamiento se hace dentro del Espacio Económico Europeo salvo lo que se dice en el apartado 4. No tenemos delegado de protección de datos: por tamaño y por tipo de actividad no estamos obligados a nombrarlo. Para cualquier asunto de privacidad, el correo de arriba es la vía.

2. Qué datos tratamos y por qué

Cada tratamiento va por separado: qué recogemos, para qué sirve, qué nos permite hacerlo (la base legal del artículo 6 del RGPD) y cuánto tiempo lo guardamos.

2.1 Compras en la tienda

• Qué: nombre, nombre del negocio, correo, teléfono, dirección de entrega, código postal y las notas que nos dejes en el pedido.
• Para qué: preparar el pedido, llevártelo, emitir la factura y atender garantías o devoluciones.
• Base legal: ejecución del contrato de compraventa y cumplimiento de obligaciones legales fiscales y contables.
• Cuánto tiempo: mientras dure la relación y después el plazo que exige la normativa mercantil y fiscal (hasta 6 años para los libros y justificantes).

2.2 El pago

El cobro con tarjeta lo procesa Stripe en su propia pasarela. Los datos de tu tarjeta se escriben en la página de Stripe y nunca pasan por nuestros servidores: nosotros no vemos, ni recibimos, ni guardamos el número, la fecha de caducidad ni el CVV. De la operación sólo conservamos el identificador del pago, el importe y si salió bien, que es lo que hace falta para la contabilidad y las devoluciones.

2.3 Mensajes de contacto

• Qué: nombre, correo, teléfono si lo pones, nombre del negocio y el texto del mensaje.
• Para qué: contestarte y hacer seguimiento de la conversación.
• Base legal: tu consentimiento al enviarlo y, cuando preguntas antes de comprar, la aplicación de medidas precontractuales.
• Cuánto tiempo: hasta un año después de cerrar el asunto, salvo que nos pidas que lo borremos antes.

2.4 Boletín de novedades

• Qué: tu dirección de correo y la fecha de alta.
• Para qué: avisarte de novedades del producto. No mandamos correo comercial a quien no se ha apuntado.
• Base legal: tu consentimiento, que puedes retirar cuando quieras desde el enlace de baja de cualquier correo o escribiéndonos.
• Cuánto tiempo: hasta que te des de baja.

2.5 Cuenta del panel del comercio

• Qué: correo, contraseña (guardada cifrada de forma irreversible, nadie de aquí la puede leer), nombre del negocio, logotipo si lo subes y el enlace a tu ficha de Google.
• Para qué: darte acceso al panel, enseñarte tus estadísticas y hacer funcionar la página a la que llevan tus carteles.
• Base legal: ejecución del contrato.
• Cuánto tiempo: mientras tengas la cuenta activa. Si pides darte de baja, se borra.

3. Qué se guarda de los escaneos del cartel

Este apartado interesa sobre todo a la persona que acerca el móvil a un cartel en un bar. Merece explicación aparte porque es donde una herramienta así suele pasarse, y aquí no se pasa.

El código diario, explicado

Para que un comercio no vea diez escaneos cuando sólo ha venido una persona que ha recargado la página, hay que poder distinguir un móvil de otro dentro del mismo día. Se hace así: se toman la IP, un trozo del navegador, la fecha de hoy y el código del cartel, se mezclan con una clave secreta del servidor y se pasan por una función criptográfica de un solo sentido. Se guarda únicamente el resultado, que es una cadena de 32 caracteres sin significado.

• No hay vuelta atrás: del código no se puede sacar la IP ni ningún otro dato.
• Cambia cada día, porque la fecha entra en el cálculo. El código de hoy no sirve para reconocer a nadie mañana.
• Cambia también de un cartel a otro, así que no permite seguir a una persona entre dos negocios distintos.
• Sirve para una sola cosa: no contar dos veces a la misma persona en la misma jornada.

Con eso el comercio puede ver cuántos escaneos ha tenido, cuántos han acabado en clic a Google, a qué horas se usa el cartel y si alguno lleva días parado (que casi siempre significa que está mal colocado). La base legal es nuestro interés legítimo y el del comercio en medir el uso de un servicio propio, y el diseño está pensado justo para que esa medición no se convierta en un fichero de personas.

Las opiniones privadas

Si el comercio activa el buzón de opinión privada, quien puntúa puede escribir un mensaje y, si quiere, dejar un teléfono o un correo para que le contesten. Ese dato lo pone la persona voluntariamente y lo lee su comercio, que es el responsable de lo que haga con él; nosotros lo alojamos y sólo entramos si nos lo piden para dar soporte.

4. Quién más ve tus datos

No vendemos datos ni los cedemos a nadie para que te haga publicidad. Sí trabajamos con proveedores que tratan datos por cuenta nuestra, con contrato de encargado del tratamiento de por medio:

• Stripe — cobro con tarjeta.
• El proveedor de correo — envío de confirmaciones de pedido, avisos y respuestas.
• El proveedor de alojamiento — servidores donde vive la aplicación y la base de datos.
• Google — sólo cuando el cliente pulsa el botón y sale de nuestra página hacia su formulario de reseña. A partir de ese salto manda la política de privacidad de Google.

Alguno de estos proveedores es estadounidense y puede tratar datos fuera del Espacio Económico Europeo. En esos casos la transferencia se ampara en el marco de adecuación vigente o en las cláusulas contractuales tipo aprobadas por la Comisión Europea.

5. Tus derechos

Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar el consentimiento que hayas dado sin que eso afecte a lo tratado antes.

Se ejercen escribiendo a nuestro correo de contacto, diciendo qué derecho quieres ejercer. Podemos pedirte que acredites quién eres, sobre todo si la petición llega desde una dirección distinta a la del pedido. Contestamos en un mes como máximo.

Si crees que no te hemos atendido bien, puedes reclamar ante la autoridad de control de tu país de residencia. Si resides en España, es la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es). Como estamos establecidos en Estonia, también puedes dirigirte a la autoridad estonia de protección de datos, la Andmekaitse Inspektsioon (www.aki.ee), que es nuestra autoridad principal. Agradecemos que nos lo digas antes a nosotros, pero no es obligatorio.

6. Seguridad

• Todo el sitio va por HTTPS, incluida la página que se abre desde el cartel.
• Las contraseñas se guardan con una función de hash lenta, no en claro y no reversible.
• Las claves de servicios externos se guardan cifradas en la base de datos.
• El acceso al panel de administración está separado del panel de los comercios y cada comercio sólo ve sus propios datos.

Ningún sistema es infalible. Si alguna vez hubiera una brecha que pueda afectarte, te lo contaríamos, y a la autoridad de control también, dentro de los plazos que marca el RGPD.

7. Menores

La tienda se dirige a empresas y profesionales. No vendemos a menores de 18 años ni recogemos datos suyos a propósito. La página del cartel no pide ningún dato personal a quien la abre, tenga la edad que tenga.

8. Cambios en esta política

Si cambiamos algo importante, cambiamos la fecha de arriba y, cuando el cambio te afecte de verdad, te avisamos por correo. La versión que manda es siempre la publicada en esta página.