Política de Privacidad

• Solo recopilamos lo necesario para procesar tu pedido, prevenir fraudes y cumplir obligaciones legales.
• No vendemos ni alquilamos tu información personal a terceros.
• Los datos de la tarjeta son gestionados directamente por Stripe (PCI DSS Nivel 1) y nunca llegan a nuestros servidores.
• Puedes solicitar acceso, corrección o eliminación de tus datos en cualquier momento.

Cuando realizas un pedido, recopilamos:

• Identidad y contacto: nombre completo, correo electrónico, número de teléfono.
• Datos de envío: dirección, piso/puerta, ciudad, provincia, código postal, país.
• Datos del pedido: los productos comprados, el importe, la fecha y el identificador del pedido.
• Datos técnicos: dirección IP, user-agent del navegador, país/región (a partir de tu IP) y un hash de huella del dispositivo que preserva la privacidad, capturados para detectar fraude y para atribución de marketing.
• Atribución de marketing: parámetros UTM e identificadores de clic de plataformas publicitarias (p. ej. fbclid, gclid, ttclid) cuando están presentes en la URL de origen.

Los datos de la tarjeta de pago son procesados directamente por Stripe (número, CVC, caducidad). Se cifran en tránsito, se tokenizan mediante Stripe y nunca llegan a nuestros servidores ni almacenamiento.

• Para procesar tu pedido y enviar los productos comprados.
• Para enviarte confirmación del pedido, actualizaciones de envío y respuestas de atención al cliente.
• Para detectar y prevenir fraude, contracargos y abuso.
• Para cumplir con nuestras obligaciones fiscales, contables y legales.
• Para medir la eficacia de nuestra publicidad mediante eventos de conversión agregados y del lado del servidor.

Usamos un número reducido de cookies, todas estrictamente necesarias para que el checkout funcione o para nuestras propias analíticas:

• Cookies de autenticación de Supabase, usadas solo por nuestro panel de administración.
• Cookie de atribución (_cp_attr): almacena identificadores de origen de marketing durante hasta 90 días para que un visitante recurrente sea correctamente atribuido a la campaña publicitaria de origen. Sin rastreo de terceros.
• Cookies de Stripe: necesarias para que Stripe renderice el campo de pago y prevenga el fraude (consulta stripe.com/cookies).

Compartimos el mínimo necesario con:

• Stripe — para procesar tu pago.
• Transportistas — para entregar tu pedido (solo nombre + dirección).
• Proveedor de email (Resend) — para enviar confirmaciones de pedido y actualizaciones de envío.
• Plataformas publicitarias (Meta, Google, TikTok) — eventos de conversión del lado del servidor, con datos hasheados, solo para atribución. Nunca compartimos correos, teléfonos o direcciones en bruto; los datos se hashean con SHA-256 antes de la transmisión según la especificación de cada plataforma.

No vendemos ni alquilamos tu información personal.

Conservamos los registros de pedidos durante el tiempo exigido por la normativa fiscal y contable aplicable (habitualmente de 5 a 7 años). Los datos técnicos y de atribución de marketing se conservan hasta 24 meses. Puedes solicitar una eliminación anticipada, sujeta a obligaciones legales que prevalezcan.

Conforme al Reglamento General de Protección de Datos (RGPD) y a la LOPDGDD española, tienes derecho a:

• Acceder a los datos personales que tenemos sobre ti.
• Solicitar la corrección de datos inexactos.
• Solicitar la eliminación de tus datos (sujeta a requisitos legales de conservación).
• Oponerte o solicitar la limitación de determinados tratamientos.
• Recibir tus datos en un formato portátil y legible por máquina.
• Retirar tu consentimiento cuando el tratamiento se base en él.

También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

Para ejercer cualquier derecho, responde al email de confirmación de tu pedido. Te responderemos en un plazo de 30 días.

Protegemos tus datos con salvaguardas estándar del sector:

• Cifrado TLS 1.3 (256 bits) para todo el tráfico entre tu navegador y nuestros servidores.
• Datos de tarjeta gestionados exclusivamente por Stripe, certificado PCI DSS Nivel 1.
• Tokens de integración sensibles cifrados en reposo con AES-256-GCM.
• Política de Seguridad de Contenido estricta, HSTS y otras cabeceras HTTP defensivas.
• Seguridad a nivel de fila en nuestra base de datos — cada vendedor solo puede acceder a sus propios pedidos.

Podemos revisar esta Política de Privacidad. La fecha de vigencia en la parte superior refleja la revisión más reciente. Los cambios importantes se comunicarán a los clientes activos por email cuando sea razonablemente posible.