Política de privacidad

1. Responsable del tratamiento

De conformidad con el Reglamento (UE) 2016/679, General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), el responsable del tratamiento de los datos personales recabados a través de este Sitio es:

• Identidad: Tever Díaz García, persona física.
• NIF: 71661831H.
• Domicilio: C/ Xeneral Elorza 72, 1D, CP 33001, Uviéu, Asturies.
• Contacto: [email protected].
• Delegado de Protección de Datos (DPO): no es obligatorio nombrar uno. La ley solo exige DPO a partir de cierto volumen o tipo de tratamiento (art. 37.1 RGPD) — por ejemplo, tratar datos sensibles a gran escala o vigilar a personas de forma sistemática. Esta tienda no hace ninguna de esas cosas: solo gestiona los datos necesarios para enviar pedidos y facturarlos.

2. Datos personales que se tratan

A través del proceso de compra se recaban los siguientes datos:

• Nombre y apellidos (obligatorio) — identificación del comprador, envío, facturación.
• Correo electrónico (obligatorio) — confirmación de pedido, comunicaciones sobre el pedido, consulta de pedido sin cuenta.
• Teléfono (obligatorio) — exclusivamente para incidencias de reparto (contacto del transportista/proveedor de fabricación en caso de problema con la entrega).
• Dirección de envío (obligatoria) — entrega física del producto.
• Dirección de facturación (opcional, por defecto la de envío) — solo si el cliente indica una distinta.
• NIF/NIE/CIF (obligatorio) — obligación fiscal de emisión de factura.
• Historial de pedido (generado, no introducido por el usuario) — gestión del pedido, atención postventa, consulta vía email + código de acceso.

No se solicitan datos de categorías especiales (art. 9 RGPD: salud, ideología, orientación sexual, etc.). No hay creación de cuentas de usuario ni perfiles: el Sitio no almacena contraseñas ni historial de navegación asociado a una identidad persistente más allá del propio pedido.

El NIF/NIE/CIF nunca se envía al proveedor de fabricación (Printful): se reserva exclusivamente para emitir la factura, como medida de minimización de datos aplicada por diseño (art. 25 RGPD). Sí se envía, junto con el resto de datos de facturación, al sistema de gestión que emite la factura — ver apartado 4.

Datos de pago: el Sitio no recaba ni almacena datos de tarjeta. El pago se procesa íntegramente a través de Stripe (Payment Intents API); el servidor de La Vieya Asturies nunca recibe ni ve el número de tarjeta, CVC o fecha de caducidad — estos viajan directamente del navegador del cliente a Stripe.

3. Base jurídica del tratamiento

De conformidad con el art. 6.1 RGPD:

• Ejecución de un contrato (art. 6.1.b): tratamiento de nombre, email, teléfono, dirección de envío/facturación — necesarios para gestionar la compra, fabricar y entregar el producto.
• Cumplimiento de una obligación legal (art. 6.1.c): tratamiento del NIF/NIE/CIF, necesario para la emisión de factura conforme a la normativa fiscal (Reglamento de facturación, RD 1619/2012, y normativa Veri*Factu).
• No se trata ningún dato sobre la base de consentimiento en el proceso de compra en sí. El Sitio no realiza envío de comunicaciones comerciales ni marketing por email en el estado actual.

4. Destinatarios de los datos (cesiones y encargados de tratamiento)

Los datos se comunican a los siguientes terceros, solo en la medida necesaria para prestar el servicio contratado:

• Printful (fabricación bajo demanda): recibe nombre, dirección de envío completa y teléfono si se facilitó — nunca el email ni el NIF. Lo usa para fabricar y enviar el producto. Actúa como encargado del tratamiento (art. 28 RGPD).
• Stripe (pasarela de pago): gestiona íntegramente los datos de pago, que nunca pasan por el servidor de La Vieya Asturies; puede recibir también nombre y email para procesar el pago y prevenir fraude. Actúa como encargado del tratamiento (art. 28 RGPD) y, para su función propia de prevención de fraude, como responsable independiente conforme a su propia política de privacidad.
• Dolibarr / Xiringase (sistema de gestión que emite la factura): recibe nombre, email, NIF/NIE/CIF, dirección de facturación y el importe del pedido, únicamente para generar la factura. Actúa como encargado del tratamiento (art. 28 RGPD).

No se ceden datos a terceros con fines de marketing. No hay venta de datos a terceros.

5. Transferencias internacionales

Stripe y Printful pueden tratar datos fuera del Espacio Económico Europeo (ambos tienen matriz en Estados Unidos). Cada uno lo ampara así:

• Stripe: adherido al marco de adecuación UE-EE.UU. (Data Privacy Framework, Decisión de Ejecución (UE) 2023/1795), reforzado con Cláusulas Contractuales Tipo (art. 46 RGPD) como garantía adicional.
• Printful: mediante Cláusulas Contractuales Tipo (art. 46 RGPD), conforme a la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea.

Dolibarr/Xiringase trata los datos dentro de España, sin transferencia internacional.

6. Plazo de conservación

Los datos del pedido (identificación, dirección, factura) se conservan mientras exista obligación legal de hacerlo: 4 años a efectos fiscales (art. 66 y ss. Ley 58/2003 General Tributaria) y 6 años a efectos mercantiles (art. 30 Código de Comercio). Pasado ese plazo, se suprimen o anonimizan, salvo que la ley obligue a bloquearlos en vez de borrarlos.

7. Comunicaciones comerciales / marketing

Esta tienda no envía publicidad ni newsletters por email. Si eso cambia en el futuro, esta página se actualizará para explicar la base legal (tu consentimiento, art. 6.1.a RGPD) y cómo darte de baja, conforme también al art. 21 de la Ley 34/2002 (LSSI-CE).

8. Facturación y Veri*Factu

El NIF/NIE/CIF que facilitas en el checkout se usa para emitir tu factura, a través de Dolibarr/Xiringase (ver apartado 4). La normativa antifraude de facturación (RD 1007/2023, conocida como Veri*Factu) exige que el sistema informático usado para facturar garantice que los registros de facturación no se puedan alterar ni borrar una vez emitidos.

9. Tus derechos sobre tus datos

Tienes derecho a:

• Acceder a tus datos personales (art. 15 RGPD).
• Rectificar datos inexactos (art. 16 RGPD).
• Pedir que se supriman tus datos (art. 17 RGPD), cuando proceda.
• Pedir que se limite su tratamiento (art. 18 RGPD).
• Oponerte al tratamiento (art. 21 RGPD).
• Pedir la portabilidad de tus datos (art. 20 RGPD).
• Retirar tu consentimiento en cualquier momento, cuando el tratamiento se base en él, sin que eso afecte a lo ya tratado antes (art. 7.3 RGPD).

Para ejercer cualquiera de estos derechos, escribe a [email protected] con el asunto «Ejercicio de derechos RGPD» y adjunta una copia de un documento que acredite tu identidad. Si consideras que no hemos tratado bien tus datos, también puedes reclamar ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es).

10. Encargados de tratamiento y garantías

Printful, Stripe y Dolibarr/Xiringase actúan como encargados del tratamiento (art. 28 RGPD) para las finalidades descritas en el apartado 4, conforme a sus respectivos acuerdos de encargado de tratamiento (DPA).

11. Seguridad

Aplicamos medidas técnicas y organizativas para proteger tus datos frente a accesos no autorizados, pérdida o alteración (art. 32 RGPD), incluyendo cifrado en tránsito (HTTPS) en todo el Sitio.

12. Cookies

Ver Política de Cookies para el detalle del uso de cookies y almacenamiento local en el Sitio.