1. Quién es el responsable
La empresa indicada en los datos del prestador de esta página es la responsable del tratamiento de los datos personales que describe esta política. La única excepción son los datos de los clientes de nuestros comercios, que tratamos por cuenta del comercio (apartado 4).
Puedes escribirnos sobre tus datos a la dirección de correo electrónico indicada en los datos del prestador.
2. Visitantes de este sitio web
Cookies y medición publicitaria solo con tu consentimiento. Las tipografías y las imágenes se sirven desde nuestros propios servidores, y el sitio no contiene contenido incrustado de redes sociales. Las herramientas de estadística y publicidad (Google Analytics, Google Ads, Meta Pixel) solo se cargan si las aceptas en nuestro banner de cookies. Entonces recogen datos de tu visita, como las páginas que ves, tu dispositivo y navegador, tu dirección IP y un identificador guardado en una cookie, para medir cómo se usa el sitio y cómo funcionan nuestros anuncios. Nuestra base legal es tu consentimiento (artículo 6.1.a del RGPD), que puedes retirar cuando quieras desde «Configuración de cookies», al pie de cada página. Google y Meta también pueden usar estos datos para sus propios fines, según sus políticas de privacidad. Nuestra política de cookies enumera las cookies y lo que el sitio guarda en tu navegador.
Registros del servidor. Nuestro proveedor de alojamiento registra datos técnicos, como tu dirección IP, tu navegador y las páginas solicitadas, para servir el sitio y mantenerlo seguro. La base jurídica es nuestro interés legítimo en operar un sitio seguro (artículo 6, apartado 1, letra f, del RGPD). Los registros se conservan durante un tiempo limitado y después se eliminan.
Estadísticas. Si añadimos estadísticas de visitas, funcionarán sin cookies y de forma anónima, y nombraremos la herramienta en esta política.
Mensajes. Cuando nos escribes por correo electrónico o mediante el formulario de contacto, usamos tu nombre, tu dirección de correo, tu empresa y tu mensaje para responderte. La base jurídica es la aplicación de medidas precontractuales a petición tuya (artículo 6, apartado 1, letra b, del RGPD) o nuestro interés legítimo en responderte (letra f). Conservamos la correspondencia mientras sea necesario para atender tu solicitud y su posible seguimiento.
Acceso anticipado. Cuando te apuntas al acceso anticipado, guardamos tu nombre, tu correo, tu empresa, la web de tu tienda y cómo quieres vender, junto con el consentimiento que diste y cuándo, y te enviamos un enlace para confirmar tu dirección. La base jurídica es tu consentimiento (artículo 6, apartado 1, letra a, del RGPD). Usamos estos datos solo para informarte del acceso anticipado y del lanzamiento; puedes retirar tu consentimiento cuando quieras escribiéndonos, y entonces borramos tus datos.
3. Los comercios y sus equipos
Cuando tu empresa usa Gravilo, tratamos:
- datos de la cuenta: nombre, correo electrónico, contraseña (guardada solo como hash) y rol;
- datos de la empresa: razón social, dirección, números de registro y de IVA;
- datos de facturación: recargas, pedidos, facturas y el historial de tu saldo. Los pagos con tarjeta los gestiona Stripe; nunca vemos el número completo de la tarjeta;
- datos de uso: acciones en tu cuenta, peticiones a la API y un registro de cambios, para operar y proteger el servicio;
- los mensajes que nos envías.
Usamos estos datos para prestarte el servicio en virtud de nuestro contrato (artículo 6, apartado 1, letra b, del RGPD), para cumplir nuestras obligaciones contables y fiscales (letra c) y para mantener el servicio seguro y prevenir el fraude (letra f). Te enviamos correos sobre tu cuenta y tus pedidos. No te enviamos comunicaciones comerciales sin tu consentimiento.
Conservamos estos datos mientras tu cuenta esté abierta. Cuando la cierras, los suprimimos, salvo lo que la normativa contable y fiscal nos obligue a conservar, durante el plazo que fije.
4. Los datos de tus clientes
Cuando un cliente pide un producto de Gravilo en tu tienda, recibimos su nombre, dirección de entrega, teléfono y correo electrónico, así como las fotos y textos de su personalización.
Tratamos estos datos por cuenta tuya, solo para fabricar, enviar y atender el pedido. Tú eres el responsable del tratamiento y nosotros el encargado, según las cláusulas de tratamiento de datos de nuestros términos y condiciones. Nunca usamos estos datos para contactar con tus clientes ni con fines comerciales. Noventa días después de la entrega, o después de la cancelación si el pedido se cancela, eliminamos del pedido sus datos personales y las fotos y textos de su personalización. Ese periodo cubre las reclamaciones y devoluciones.
Tus clientes deben dirigirse a tu tienda para ejercer sus derechos, y nosotros te ayudamos a responderles.
5. Con quién compartimos los datos
Solo compartimos datos personales con proveedores que nos ayudan a operar el servicio, mediante contratos que los protegen:
- alojamiento y almacenamiento: DigitalOcean, en su centro de datos de Fráncfort;
- pagos: Stripe;
- facturación: SmartBill;
- envío de correos: Brevo (Sendinblue SAS, Francia), que almacena los datos en la UE;
- transporte: Packeta (PACKETA ROMANIA S.R.L., Rumanía), que entrega cada paquete por sí misma o a través de una empresa de mensajería asociada, y, para algunos paquetes, la plataforma de mensajería Woot (Rumanía) con sus empresas de mensajería; reciben los datos de entrega del paquete;
- estadísticas y publicidad, solo con tu consentimiento: Google (Google Ireland Limited) y Meta (Meta Platforms Ireland Limited);
- Shopify, cuando usas la app de Gravilo para Shopify.
También comunicamos datos a las autoridades cuando la ley lo exige.
6. Transferencias fuera de la UE
Almacenamos los datos en la Unión Europea. Algunos de nuestros proveedores pertenecen a grupos con sede fuera del Espacio Económico Europeo. Cuando los datos puedan consultarse desde fuera del EEE, la transferencia está amparada por el Marco de Privacidad de Datos UE-EE. UU. o por las cláusulas contractuales tipo de la Comisión Europea.
7. Seguridad
Los datos se cifran en tránsito. El acceso se limita a las personas que lo necesitan, y las cuentas del personal exigen autenticación en dos pasos. Los secretos, como los tokens de acceso, se cifran en reposo, y las claves de API se guardan solo como hash.
8. Tus derechos
Tienes derecho a acceder a tus datos personales, a rectificarlos o suprimirlos, a limitar su tratamiento u oponerte a él y a recibirlos en un formato portable. Cuando nos basamos en tu consentimiento, puedes retirarlo en cualquier momento.
Para ejercer tus derechos, escríbenos a la dirección de correo electrónico indicada en los datos del prestador. También puedes presentar una reclamación ante la autoridad rumana de protección de datos (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, www.dataprotection.ro) o ante la autoridad de tu país.
9. Cambios
Actualizamos esta política cuando cambian nuestras prácticas y mostramos arriba la fecha del último cambio. Informamos a los comercios de los cambios importantes antes de que entren en vigor.