Política de privacidad

1. Responsable del tratamiento

Identidad: Xavier Manosalvas Hurtado
NIF: 49462221P
Email de contacto para protección de datos: hola@tewebquiero.com

Esta política se redacta conforme al Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

2. Qué datos tratamos y de dónde proceden

Los datos del comprador, de contacto y de las personas que dejan una valoración se obtienen directamente de ellas mediante Stripe y los formularios del Sitio. Los datos de la persona destinataria del regalo y de quienes aparezcan en fotografías o textos proceden del comprador. En estos casos, el comprador debe estar autorizado para facilitar el contenido y se informará a las personas afectadas cuando corresponda, de acuerdo con el artículo 14 RGPD y sus excepciones.

Categorías de datos tratados: datos identificativos y de contacto (nombre y email); datos de facturación gestionados por Stripe; contenido aportado para crear el regalo (nombres, fecha especial, carta, lugar, frase, hasta 5 fotografías y sus descripciones); resultado hash de la respuesta de acceso opcional; datos de pedidos y comunicaciones; y datos técnicos de seguridad y funcionamiento, como dirección IP, navegador o user-agent, fecha, hora, URL solicitada e identificadores de sesión.

El servicio no solicita categorías especiales de datos del artículo 9 RGPD. El comprador debe evitar incluir información sobre salud, ideología, religión, orientación sexual u otros datos especialmente sensibles en los campos libres o imágenes. Si se detecta contenido de esta naturaleza que no sea necesario para prestar el servicio, podrá solicitarse su retirada o eliminarse.

3. Tratamientos, finalidades y base jurídica

3.1. Gestión de la compra y el pago.
Finalidad: procesar el pago del pedido y gestionarlo administrativamente.
Base jurídica: ejecución de un contrato (Art. 6.1.b RGPD).
Datos: email, nombre, dirección de facturación, importe, estado del pago.
Destinatario: Stripe (encargado del tratamiento para el cobro).
Conservación: si el formulario no se envía en 30 días, el pedido se suspende y pueden eliminarse los borradores o archivos temporales. Los datos mínimos del pedido y del pago se conservarán mientras sean necesarios para permitir su reactivación, atender una cancelación y cumplir obligaciones legales. Si se emite factura, la documentación mercantil se conservará durante 6 años conforme al artículo 30 del Código de Comercio.

3.2. Creación del regalo personalizado.
Finalidad: recibir el contenido aportado por el usuario (nombres, fecha, carta, lugar, frase, fotografías, contraseña opcional) y generar con él la web-regalo contratada.
Base jurídica: ejecución de un contrato (Art. 6.1.b RGPD), ya que es el objeto mismo del servicio contratado.
Datos: los descritos en el apartado 2.
Destinatarios: Supabase (base de datos y almacenamiento de fotografías durante la producción del pedido) y, en el momento de publicación de la web-regalo, GitHub (repositorio donde se genera el archivo de la web) y Vercel (plataforma de despliegue donde queda accesible la URL final).
Conservación: los datos de producción y las fotografías originales alojados en Supabase se eliminarán en un plazo máximo de 90 días desde la publicación, una vez resueltas posibles incidencias; actualmente este control es manual. El contenido incorporado a la web-regalo se conservará durante el periodo mínimo de publicación de 24 meses y, después, mientras el servicio siga activo o hasta que el comprador solicite su eliminación conforme al apartado 8.

3.3. Almacenamiento de fotografías.
Finalidad: incorporar las fotografías aportadas a la web-regalo.
Base jurídica: ejecución de contrato.
Datos: archivos de imagen y su descripción/pie de foto.
Destinatarios: Supabase (almacenamiento durante la producción) y GitHub/Vercel (publicación de las versiones optimizadas). La web-regalo se entrega mediante una URL única, pero sus archivos pueden ser accesibles para quien conozca o reciba esa dirección. La pregunta de acceso opcional es una barrera básica de visualización y no equivale a un sistema de confidencialidad absoluta ni a un control de acceso en el servidor.
Conservación: nos comprometemos a eliminar de Supabase las fotografías originales subidas en un plazo máximo de 90 días de publicarse la web-regalo (ver apartado 3.2, eliminación actualmente manual); las versiones optimizadas incorporadas a la web-regalo se conservan mientras esta permanezca publicada.

3.4. Protección con contraseña.
Finalidad: permitir que el comprador proteja el acceso a la web-regalo mediante una respuesta secreta.
Base jurídica: ejecución de contrato.
Datos: se guarda un hash SHA-256 de la respuesta para compararla durante la verificación, no la respuesta en texto legible. No obstante, una respuesta corta o previsible podría averiguarse mediante intentos, y esta función debe entenderse como una barrera básica de acceso.
Destinatarios: Supabase; el hash se incorpora también al archivo publicado de la web-regalo para poder validar el acceso.
Conservación: igual que el resto de contenido del pedido.

3.5. Envío de emails relacionados con el pedido.
Finalidad: confirmar la compra, el envío del formulario y las manifestaciones realizadas sobre el inicio de la ejecución y el desistimiento; facilitar el enlace de personalización; notificar la entrega; y, si procede, invitar a dejar una valoración.
Base jurídica: ejecución de contrato. Estos envíos son comunicaciones necesarias para prestar el servicio, no comunicaciones comerciales.
Datos: email, nombre, referencia del pedido, enlaces de acceso.
Destinatario: Resend (proveedor de envío de correo transaccional).
Conservación: se guarda un registro del envío (fecha, estado de entrega) asociado al pedido, mientras este exista.

3.6. Atención al cliente / formulario de contacto.
Finalidad: responder a consultas planteadas a través del formulario de contacto del Sitio.
Base jurídica: consentimiento explícito, prestado mediante la casilla de aceptación del formulario (Art. 6.1.a RGPD).
Datos: nombre, email, asunto, mensaje.
Destinatario: Resend, para el envío del correo al responsable.
Conservación: el mensaje se envía por correo electrónico y no se guarda en una base de datos aparte; se conserva en la bandeja de correo del responsable durante un máximo de 12 meses desde su recepción, salvo que exista una consulta o incidencia abierta que justifique conservarlo más tiempo.

3.7. Reseñas y valoraciones.
Finalidad: publicar la opinión del cliente sobre el servicio recibido, con fines de prueba social.
Base jurídica: consentimiento explícito, prestado mediante la casilla de consentimiento de publicación incluida en el formulario de valoración.
Datos: puntuación, comentario, nombre público (opcional).
Destinatario: ninguno externo; se muestra en el propio Sitio.
Conservación: de forma indefinida mientras la reseña permanezca publicada, hasta que el usuario solicite su retirada.

3.8. Prevención de abuso del formulario de contacto.
Finalidad: evitar envíos masivos o automatizados (spam).
Base jurídica: interés legítimo del responsable en la seguridad del servicio (Art. 6.1.f RGPD).
Datos: dirección IP, contador de intentos.
Conservación: 1 hora, en memoria temporal del servidor; no se persiste en base de datos.

3.9. Gestión y seguridad del panel de administración.
Finalidad: garantizar que solo personal autorizado pueda acceder al panel de gestión de pedidos.
Base jurídica: interés legítimo del responsable en la seguridad de sus sistemas.
Datos: cookie de sesión firmada, huella (hash) del user-agent del navegador.
Conservación: 4 horas desde el inicio de sesión.

3.10. Cumplimiento de obligaciones legales.
Cuando resulte aplicable (por ejemplo, obligaciones fiscales o requerimientos de autoridades competentes), los datos del pedido se conservarán durante el plazo legalmente exigido, con base jurídica en el Art. 6.1.c RGPD.

3.11. Funcionamiento, seguridad y recursos externos.
Finalidad: servir el Sitio, diagnosticar errores, prevenir usos abusivos y cargar recursos solicitados por el usuario.
Base jurídica: interés legítimo en mantener la seguridad y el funcionamiento del servicio (Art. 6.1.f RGPD) y, para los recursos expresamente solicitados, la prestación del servicio pedido.
Datos: dirección IP, navegador o user-agent, fecha, hora, URL solicitada y registros técnicos. Al cargar fuentes desde Google Fonts se establece una conexión con Google. Google Maps solo se carga cuando el usuario pulsa el botón para mostrar el mapa. Al visitar la página de pago de Stripe se aplican las condiciones y políticas propias de Stripe.
Destinatarios y conservación: Vercel y, cuando se solicitan esos recursos, Google o Stripe. Los registros se conservan durante los plazos operativos y de seguridad establecidos por cada proveedor y durante el tiempo imprescindible para investigar una incidencia.

3.12. Medición de visitas y conversiones con Meta Pixel.
Finalidad: medir visitas y conversiones y analizar la eficacia de campañas en las plataformas de Meta.
Base jurídica: consentimiento (Art. 6.1.a RGPD y Art. 22.2 LSSI-CE). El píxel permanece bloqueado hasta que el usuario acepta y la elección puede retirarse posteriormente.
Datos: URL visitada, eventos como PageView y futuras conversiones, dirección IP, navegador, identificadores de cookie y parámetros de atribución.
Destinatario: Meta Platforms Ireland Limited, que puede tratar los datos conforme a sus propias condiciones aplicables.
Conservación: la elección se guarda localmente hasta que se cambie o elimine; las cookies del píxel pueden conservarse hasta 3 meses. Meta aplica sus propios plazos a la información recibida.

No se envían comunicaciones comerciales en la actualidad. Si en el futuro se incorporase esta funcionalidad, se solicitaría un consentimiento específico, informado, previo y separado, conforme al Art. 21 LSSI-CE.

4. Analítica y publicidad

El Sitio utiliza Meta Pixel, con el identificador 1001044869663291, para medir páginas vistas y conversiones. Solo se carga después del consentimiento del usuario. La elección puede cambiarse desde la Política de cookies. Google Maps tampoco se carga hasta que el usuario solicita expresamente mostrarlo.

5. Destinatarios y encargados del tratamiento

Para prestar el servicio se utilizan los siguientes proveedores. Actúan como encargados del tratamiento cuando procesan datos por cuenta de TeWebQuiero y, en determinadas operaciones, pueden actuar como responsables independientes conforme a sus propias políticas:

• Stripe (procesamiento de pagos): recibe datos de facturación y pago necesarios para completar la transacción. TeWebQuiero no almacena los datos de la tarjeta. Stripe puede actuar como responsable independiente para prevención del fraude y cumplimiento de sus obligaciones legales.
• Supabase (base de datos y almacenamiento de archivos): aloja la información del pedido, la personalización y las fotografías durante la gestión y producción del regalo.
• Resend (envío de correo electrónico): procesa el email y el contenido necesario para enviar las comunicaciones transaccionales descritas en el apartado 3.
• Vercel (alojamiento y ejecución del sitio y sus funciones de servidor): procesa el tráfico, las peticiones y aloja la web publicada, incluidas las webs-regalo entregadas.
• GitHub (repositorio de código y automatización de publicación): almacena el archivo generado de cada web-regalo (nombres, fecha, carta, fotografías procesadas) como parte del proceso de publicación en producción.
• Google (Google Fonts y Google Maps): puede recibir datos técnicos de conexión. Maps solo se solicita tras una acción expresa del usuario para mostrarlo.
• Meta Platforms Ireland Limited (Meta Pixel): recibe los datos de navegación y eventos descritos en el apartado 3.12 únicamente después del consentimiento.

No se cede información a terceros con fines distintos a los descritos en esta política. Meta Pixel puede utilizarse para medición y atribución publicitaria únicamente con consentimiento.

6. Transferencias internacionales

La región principal del proyecto de Supabase se configura en el Espacio Económico Europeo. Algunos proveedores o sus subencargados pueden tratar datos desde países situados fuera de él. Cuando exista una transferencia internacional, se utilizará el mecanismo válido que figure en la documentación contractual vigente del proveedor, como una decisión de adecuación, el Marco de Privacidad de Datos UE-EE. UU. cuando resulte aplicable o las Cláusulas Contractuales Tipo de la Comisión Europea, junto con medidas complementarias cuando sean necesarias.

La ubicación, los subencargados y los mecanismos de transferencia pueden cambiar. TeWebQuiero revisará la documentación contractual y los acuerdos de tratamiento de Stripe, Supabase, Resend, Vercel, GitHub, Google y Meta y actualizará esta información cuando haya un cambio relevante.

7. Plazos de conservación

Como criterio general, los datos se conservarán durante el tiempo necesario para cumplir su finalidad y, después, durante los plazos de prescripción aplicables. Los pedidos pendientes se suspenden tras 30 días sin formulario; los borradores y archivos temporales pueden eliminarse entonces. El contenido bruto de producción en Supabase se elimina en un máximo de 90 días desde la publicación, mediante un control actualmente manual. La web-regalo se mantiene durante un mínimo de 24 meses y después mientras el servicio siga activo o hasta que se solicite su eliminación. La documentación mercantil se conserva durante 6 años; los mensajes de contacto, normalmente 12 meses; y los registros técnicos y copias de seguridad, durante los plazos operativos y de seguridad necesarios de cada proveedor.

8. Derechos de las personas usuarias

Cualquier persona tiene derecho a obtener confirmación sobre si en TeWebQuiero se están tratando datos personales que le conciernen, y en tal caso, a ejercer los siguientes derechos reconocidos por el RGPD y la LOPDGDD:

• Acceso: conocer qué datos se tratan.
• Rectificación: corregir datos inexactos.
• Supresión ("derecho al olvido"): solicitar la eliminación de los datos, incluida la despublicación de la web-regalo asociada, cuando ya no sean necesarios o se retire el consentimiento.
• Oposición: oponerse a un tratamiento basado en interés legítimo.
• Limitación del tratamiento.
• Portabilidad: recibir los datos aportados en un formato estructurado de uso común.
• Retirada del consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.

Estos derechos pueden ejercerse escribiendo a hola@tewebquiero.com e indicando el derecho solicitado y la información necesaria para localizar los datos. No se exige una copia del DNI con carácter general; solo podrá solicitarse información adicional proporcionada cuando existan dudas razonables sobre la identidad. Se responderá en el plazo máximo de un mes, ampliable dos meses más cuando la complejidad o el número de solicitudes lo requieran, informando de la ampliación.

No se adoptan decisiones automatizadas ni se elaboran perfiles con efectos jurídicos o similares sobre las personas usuarias.

Asimismo, se informa del derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), a través de su sede electrónica (www.aepd.es), si se considera que el tratamiento no se ajusta a la normativa vigente.

9. Medidas de seguridad

Se aplican medidas técnicas y organizativas razonables para proteger los datos personales frente a accesos no autorizados, pérdida o alteración, entre ellas: restricciones de acceso a la gestión de pedidos, hash de la respuesta opcional en lugar de almacenarla como texto legible, comunicaciones mediante HTTPS y sesión protegida para el panel de administración. Ningún sistema ofrece seguridad absoluta. En particular, la pregunta de una web-regalo es una barrera básica del lado del navegador y no impide por sí sola el acceso directo a todos los archivos publicados si alguien obtiene sus direcciones.

10. Menores de edad

La contratación del servicio está limitada a personas mayores de 18 años o con capacidad legal suficiente para contratar. El comprador debe contar con autorización para aportar imágenes o datos de menores que aparezcan de manera incidental en el regalo. Los representantes legales pueden solicitar el ejercicio de derechos o la retirada de ese contenido escribiendo a hola@tewebquiero.com.