Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos en este sitio web es:

Wisteria GmbH
Hechtstr. 43
82266 Inning, Alemania
Correo electrónico: support@puzzlepotato.com

2. Acceso a nuestro sitio web (archivos de registro del servidor)

Cada vez que se accede a nuestro sitio web, el navegador envía automáticamente información al servidor de nuestro sitio web, que se almacena temporalmente en un archivo de registro. Se recogen los siguientes datos:

• el sitio web consultado y la hora del acceso
• el volumen de datos transferido, en bytes
• el sitio web visitado anteriormente (referente)
• el navegador y el sistema operativo utilizados
• la dirección IP (anonimizada cuando proceda)

El tratamiento se realiza sobre la base del artículo 6.1.f) del RGPD. Nuestro interés legítimo consiste en garantizar un establecimiento de la conexión sin incidencias, un uso cómodo del sitio web y la evaluación de la seguridad y la estabilidad del sistema.

3. Cookies

Utilizamos cookies y tecnologías similares. Las cookies técnicamente necesarias, en particular para la gestión de tu sesión, de tu cesta de la compra y para almacenar tu configuración de cookies, se emplean sobre la base del § 25.2 de la TDDDG (Ley alemana de protección de datos en telecomunicaciones y servicios digitales) y de los artículos 6.1.b) y 6.1.f) del RGPD; para ello no se requiere tu consentimiento (sobre la medición de audiencia sin cookies, véase el apartado 4).

Las cookies de estadística y de marketing (véanse los apartados 5 a 7) solo las utilizamos si has prestado tu consentimiento a través de nuestro banner de cookies (artículo 6.1.a) del RGPD y § 25.1 TDDDG). Tu consentimiento es voluntario y no resulta necesario para utilizar la tienda; puedes retirarlo en cualquier momento, con efectos para el futuro, a través de «Configuración de cookies» en el pie de página. En nuestra página «Política de cookies» encontrarás una lista completa de todas las cookies utilizadas, con sus plazos de conservación.

4. Medición de audiencia (sin cookies)

Para determinar la carga y el uso de nuestra tienda llevamos a cabo una medición de audiencia propia y sin cookies (páginas vistas, número de visitantes por día y de visitantes activos simultáneamente, y páginas más vistas). Para ello, tu navegador genera un identificador aleatorio que se mantiene únicamente en la memoria de la pestaña correspondiente; no se instalan cookies ni se almacenan datos en tu dispositivo. Para contarte como visitante una sola vez al día, derivamos de tu dirección IP y del identificador de tu navegador (user agent) una clave irreversible que cambia cada día; solo existe en la memoria de nuestro servidor y no se almacena.

Además, tratamos tu ubicación aproximada, que nuestro proveedor de red Cloudflare (véase el apartado 19) determina a partir de tu dirección IP: el país y, cuando se conoce, la ciudad, con coordenadas redondeadas a unos 10 km. Conservamos la ciudad y las coordenadas solo mientras navegas por nuestro sitio web y las suprimimos como máximo 15 minutos después; con ellas mostramos en un mapa las visitas en curso. Por cada página vista almacenamos, sin ninguna relación con tu persona, únicamente la página visitada, el país y la hora, y suprimimos estos datos a los 91 días. Si llegas a nuestra tienda desde fuera, contamos además, por día y por país, de dónde proceden las visitas. Deducimos la fuente del nombre del sitio web que te remitió a nosotros (por ejemplo, google.com, sin la dirección de la página concreta), de los datos de campaña del enlace y de si el enlace procede de un anuncio; solo almacenamos el número de visitas por fuente, sin ninguna relación con tu persona. Si has iniciado sesión en tu cuenta de cliente, durante ese tiempo asociamos la visita en curso a tu cuenta; en el caso de los clientes profesionales, nuestros empleados pueden ver así quién está activo en ese momento en el portal de clientes.

No almacenamos la propia dirección IP para la medición de audiencia. Para limitar los abusos, nos limitamos a contar en la memoria de nuestro servidor cuántas páginas vistas llegan desde una misma dirección IP en el mismo día, y descartamos ese recuento a más tardar al cambiar el día. No se produce ninguna combinación con otras fuentes de datos ni ningún seguimiento entre dispositivos. La base jurídica es el artículo 6.1.f) del RGPD; nuestro interés legítimo consiste en la evaluación estadística y en garantizar el funcionamiento estable de nuestro servicio.

5. Google Analytics 4

Siempre que hayas prestado tu consentimiento, utilizamos Google Analytics 4, un servicio de análisis web de Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irlanda («Google»). Google Analytics utiliza cookies (_ga y _ga_*, con un plazo de conservación de 2 años cada una) y trata identificadores seudonimizados (identificador de cliente y de sesión), así como datos del dispositivo y de uso, con el fin de evaluar la utilización de nuestra tienda. Tras una compra transmitimos además a Google Analytics, desde el servidor, un evento de compra con el identificador de cliente y de sesión, el número de pedido y los datos de la cesta (Measurement Protocol), para atribuir la compra a la sesión; esto también se produce únicamente si se ha prestado el consentimiento.

La base jurídica es tu consentimiento (artículo 6.1.a) del RGPD y § 25.1 TDDDG); sin consentimiento, Google Analytics no se carga. Google trata estos datos por cuenta nuestra, en calidad de encargado del tratamiento, sobre la base de las Condiciones de tratamiento de datos de Google (artículo 28 del RGPD). Los datos pueden transferirse a Google LLC en los Estados Unidos; la transferencia se ampara en la decisión de adecuación de la Comisión Europea relativa al EU-US Data Privacy Framework (artículo 45 del RGPD), conforme a la cual Google LLC está certificada (para el Reino Unido y Suiza se aplican, respectivamente, la UK Extension y el Swiss-U.S. DPF). En la medida en que el DPF no resulte aplicable en un caso concreto, la transferencia se ampara en tu consentimiento (artículo 49.1.a) del RGPD); en tal supuesto es posible que en los Estados Unidos no exista un nivel de protección de datos equivalente y que las autoridades puedan acceder a los datos sin que dispongas de recursos jurídicos efectivos. Puedes retirar tu consentimiento en cualquier momento a través de «Configuración de cookies» en el pie de página. Más información: https://policies.google.com/privacy.

6. Google Ads

Siempre que hayas prestado tu consentimiento, utilizamos Google Ads (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irlanda) para medir el éxito de nuestros anuncios (medición de conversiones) y para remarketing. A tal efecto se instalan cookies como _gcl_au y _gcl_aw (3 meses cada una) e IDE (13 meses), con el fin de reconocer si has llegado hasta nosotros a través de un anuncio y si se ha producido una compra. Tras una compra transmitimos además a Google una forma seudonimizada de tu dirección de correo electrónico, sometida a una función hash SHA-256 («Enhanced Conversions»), para atribuir la compra al anuncio; el cálculo del hash se realiza ya en tu navegador y la dirección de correo electrónico en sí no se transmite a Google. Esto también se produce únicamente si se ha prestado el consentimiento para Google Ads.

La base jurídica es tu consentimiento (artículo 6.1.a) del RGPD y § 25.1 TDDDG), que puedes retirar en cualquier momento a través de «Configuración de cookies» en el pie de página. Del tratamiento de los datos publicitarios en sus propios sistemas Google es responsable de forma autónoma a efectos de la normativa de protección de datos; a este respecto se aplican las condiciones de protección de datos de responsable a responsable de Google. Los datos pueden transferirse a Google LLC en los Estados Unidos; la transferencia se ampara en la decisión de adecuación de la Comisión Europea relativa al EU-US Data Privacy Framework (artículo 45 del RGPD), conforme a la cual Google LLC está certificada (para el Reino Unido y Suiza se aplican, respectivamente, la UK Extension y el Swiss-U.S. DPF). En la medida en que el DPF no resulte aplicable en un caso concreto, la transferencia se ampara en tu consentimiento (artículo 49.1.a) del RGPD); en tal supuesto es posible que en los Estados Unidos no exista un nivel de protección de datos equivalente y que las autoridades puedan acceder a los datos sin que dispongas de recursos jurídicos efectivos. Más información: https://policies.google.com/privacy.

Google Customer Reviews: tras un pedido, puedes abrir voluntariamente el programa «Google Customer Reviews» en la página de confirmación del pedido. Solo con ese clic se carga un módulo de Google (Google Ireland Ltd.) y se transmiten a Google tu número de pedido, tu dirección de correo electrónico, el país de entrega y la fecha de entrega estimada; si aceptas dentro del módulo, Google te enviará tras la entrega un correo electrónico solicitando una valoración. Para ello, Google puede colocar y leer cookies o tecnologías similares (como balizas web) en tu navegador; puedes eliminar o bloquear las cookies en cualquier momento en la configuración de tu navegador. La base jurídica es tu consentimiento (artículo 6.1.a) del RGPD y § 25.1 TDDDG); es voluntario y, sin tu clic, no se transfiere ningún dato a Google. Google es responsable de forma autónoma del tratamiento posterior; a la transferencia a los Estados Unidos se aplica lo indicado anteriormente.

7. Píxel de Meta y API de conversiones

Siempre que hayas prestado tu consentimiento, utilizamos el píxel de Meta, de Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irlanda («Meta»), para medir el éxito de nuestra publicidad en Facebook e Instagram y para crear públicos personalizados (Custom Audiences). El píxel instala cookies (_fbp, _fbc y fr, con un plazo de conservación de 3 meses cada una) y registra tus interacciones con nuestra tienda. Tras una compra transmitimos además a Meta, desde el servidor y a través de la API de conversiones de Meta, una forma seudonimizada de tu dirección de correo electrónico, sometida a una función hash SHA-256, los identificadores de cookie _fbp y _fbc, así como datos del pedido (por ejemplo, el importe del pedido y la moneda), para atribuir la compra al anuncio; esto también se produce únicamente si se ha prestado el consentimiento.

La base jurídica es tu consentimiento (artículo 6.1.a) del RGPD y § 25.1 TDDDG); sin consentimiento para marketing no se carga el píxel ni se produce la transmisión desde el servidor. Respecto de la recogida y la transmisión de estos datos somos corresponsables del tratamiento junto con Meta (artículo 26 del RGPD); el acuerdo suscrito a tal efecto es el Controller Addendum de Meta. Conforme a él, Meta es responsable del tratamiento posterior de los datos bajo su propia responsabilidad. Los datos pueden transferirse a Meta Platforms Inc. en los Estados Unidos; la transferencia se ampara en la decisión de adecuación de la Comisión Europea relativa al EU-US Data Privacy Framework (artículo 45 del RGPD), conforme a la cual Meta Platforms Inc. está certificada (para el Reino Unido y Suiza se aplican, respectivamente, la UK Extension y el Swiss-U.S. DPF). En la medida en que el DPF no resulte aplicable en un caso concreto, la transferencia se ampara en tu consentimiento (artículo 49.1.a) del RGPD); en tal supuesto es posible que en los Estados Unidos no exista un nivel de protección de datos equivalente y que las autoridades puedan acceder a los datos sin que dispongas de recursos jurídicos efectivos. Puedes retirar tu consentimiento en cualquier momento a través de «Configuración de cookies» en el pie de página. Más información: https://www.facebook.com/privacy/policy.

8. Origen de los pedidos (atribución de campañas)

Para comprender a través de qué páginas y campañas se producen los pedidos, durante tu visita tomamos nota de lo siguiente, sin almacenar nada en tu dispositivo para ello: la página por la que entraste en nuestra tienda (sin los parámetros añadidos), el dominio del sitio web desde el que llegaste, los parámetros de campaña de la dirección consultada (parámetros UTM, por ejemplo, la fuente, el medio y el nombre de la campaña) y un código breve con el que marcamos los enlaces y las recomendaciones de nuestras propias páginas. Cuando añades un artículo al carrito o realizas un pedido, almacenamos estos datos junto con el carrito y el pedido, así como el tipo de dispositivo (smartphone, tableta u ordenador), que deducimos de la información que tu navegador transmite con cada consulta de página. Si más adelante realizas un pedido desde el mismo carrito, atribuimos el pedido a este origen. La base jurídica es el artículo 6.1.f) del RGPD; nuestro interés legítimo consiste en saber qué publicidad y qué contenidos dan lugar a compras. Suprimimos estos datos 14 meses después del pedido; en un carrito, después de un pedido o tras 90 días sin cambios.

Siempre que hayas consentido las cookies de estadística, almacenamos además en tu navegador, durante un máximo de 90 días, los parámetros de campaña, la página de entrada y el origen de una visita que comenzó a través de una campaña o de uno de esos enlaces marcados. Si realizas un pedido en una visita posterior dentro de ese periodo, lo atribuimos a esa primera campaña (atribución «first touch»). La base jurídica es tu consentimiento (artículo 6.1.a) del RGPD y § 25.1 TDDDG), que puedes retirar en cualquier momento a través de «Configuración de cookies» en el pie de página.

Siempre que hayas consentido Google Ads y hayas llegado a nosotros a través de un anuncio de Google, al realizar el pedido transmitimos además el identificador de clic que Google añade a la dirección consultada (gclid, gbraid o wbraid) y lo almacenamos junto con el pedido, para poder atribuir la compra al anuncio. Nosotros no almacenamos para ello el identificador de clic en tu dispositivo; con tu consentimiento, Google lo guarda en la cookie _gcl_aw (véase el apartado 6). En el pedido lo suprimimos 90 días después del pedido. La base jurídica es tu consentimiento (artículo 6.1.a) del RGPD).

9. Registro de consentimientos (consentimientos de cookies)

Registramos en nuestro servidor tu decisión en el banner de cookies (consentimiento o rechazo), con el fin de poder acreditarla (artículo 7.1 del RGPD). Se almacenan un identificador de consentimiento seudonimizado generado en tu navegador, tu decisión por cada categoría, la versión del texto de consentimiento, el momento, la página consultada, una dirección IP abreviada (no completa) y el identificador del navegador (agente de usuario). La base jurídica es el artículo 6.1.c) del RGPD (obligación de acreditación) en relación con el artículo 6.1.f) del RGPD. El registro se conserva durante 13 meses y a continuación se suprime.

10. Cuenta de cliente y registro

Puedes crear una cuenta de cliente con nosotros. Los datos recabados a tal efecto (por ejemplo, nombre, dirección de correo electrónico, dirección de facturación y de entrega) los tratamos para la ejecución del contrato y para la gestión de tu cuenta, sobre la base del artículo 6.1.b) del RGPD. Puedes solicitar en cualquier momento la supresión de tu cuenta de cliente poniéndote en contacto con nosotros.

En el caso de clientes profesionales (B2B) tratamos además el número de identificación a efectos del IVA, con el fin de comprobar la sujeción tributaria. El acceso a la cuenta de cliente se realiza sin contraseña, mediante un código de un solo uso enviado por correo electrónico.

10a. Clasificación

En tu cuenta de cliente puedes participar en nuestra clasificación: eliges un apodo y subes una foto de cada puzzle box que hayas resuelto, que nuestro equipo revisa y aprueba o rechaza. Primero analizamos cada foto en busca de virus. No guardamos el archivo subido en sí, sino dos copias cuadradas que creamos a partir de él: una de hasta 1200 píxeles, visible solo para ti y para nuestro equipo, y otra de 256 píxeles para la clasificación. Al hacerlo eliminamos todos los metadatos incrustados en la foto, como el lugar donde se tomó (GPS). El análisis antivirus y este tratamiento se realizan en nuestro propio servidor. Además, comparamos automáticamente cada foto con las ya enviadas, mediante una copia en escala de grises de 64 píxeles que conservamos para ello: una idéntica se rechaza de inmediato, y una muy parecida se muestra a nuestro equipo para que la compare.

En la clasificación pública mostramos tu apodo, tu posición, tu nivel (el número de tus cajas aprobadas), tus fotos aprobadas en tamaño pequeño y cuándo las subiste; si has indicado un país, también su bandera. En otras páginas de nuestra tienda, por ejemplo en las páginas de pistas, mostramos los tres primeros puestos con su bandera, pero sin el apodo, cada uno con una de sus fotos aprobadas, que elegimos de nuevo cada día. Cualquiera puede consultar la clasificación, y los motores de búsqueda pueden indexarla. Nunca mostramos allí tu nombre ni tu dirección de correo electrónico.

Si quieres, puedes indicar un país y, dentro de él, una ciudad o un código postal, o tocar tu lugar en un mapa. A partir de la ciudad o del código postal determinamos, con un directorio de lugares alojado en nuestro servidor, una posición con una precisión de unos 11 km; un lugar que tocas ya lo redondea tu navegador a unos 11 km, y a partir de él determinamos el país. Mientras escribes una ciudad o un código postal, te sugerimos lugares y códigos postales que coinciden de ese directorio; para ello, lo que escribes se envía a nuestro servidor y solo se guarda cuando guardas. El mapa en el que tocas procede de nuestro propio servidor, no de un servicio de mapas. Mostramos tus cajas aprobadas en esa posición como un punto en un mapa del mundo; si solo has indicado un país, cuentan para ese país. Un punto muestra solo el país y cuántas cajas se han resuelto allí, nunca tu apodo ni el nombre del lugar. Como sugerencia que puedes aceptar con un solo toque, te mostramos el país y la ciudad que Cloudflare determina a partir de tu dirección IP (véase el apartado 19), y abrimos el mapa en esa zona; solo guardamos lo que aceptas y guardas.

Te enviamos un correo electrónico cuando alcanzas un nuevo nivel o cuando no aprobamos una foto. En caso de rechazo, nuestro equipo puede añadir una nota, que aparece en el correo y junto a la caja en tu cuenta de cliente. Registramos tus cambios y nuestras decisiones en el historial de tu cuenta de cliente.

Si desmarcas «Mostrar mi apodo y mis fotos en la clasificación pública», tu entrada, tus fotos y tus puntos en el mapa desaparecen de inmediato de todas las páginas públicas; en tu cuenta de cliente, tus cajas siguen contando. Si eliminas una foto, eliminamos de inmediato sus dos copias. Las imágenes ya cargadas pueden permanecer hasta una hora en memorias caché. Puedes cambiar en cualquier momento tu apodo, tu país y tu ciudad, así como eliminar el país y la ciudad. Conservamos las fotos hasta que las elimines o las sustituyas por una nueva; tu apodo y tus demás datos, mientras exista tu cuenta de cliente o hasta que nos pidas que los suprimamos. Al suprimir tu cuenta de cliente suprimimos también tu participación junto con todas tus fotos.

La base jurídica es el artículo 6.1.b) del RGPD: tratamos estos datos para permitirte participar en la clasificación, tal como has elegido. La visualización pública es la finalidad de esta participación y por eso está preseleccionada; tú decides con la casilla si se produce. El análisis antivirus, la comparación de fotos y la sugerencia de lugar se basan en el artículo 6.1.f) del RGPD; nuestro interés legítimo consiste en la seguridad de nuestros sistemas, en una clasificación justa y en facilitar la introducción de datos.

11. Tramitación del pedido

Para la tramitación de tu pedido tratamos los datos de pedido, de facturación y de entrega que nos facilites. La base jurídica es el artículo 6.1.b) del RGPD (ejecución del contrato). En la medida en que existan obligaciones legales de conservación (por ejemplo, de carácter mercantil y tributario), almacenamos los datos correspondientes sobre la base del artículo 6.1.c) del RGPD durante la vigencia de dichos plazos (por regla general, hasta diez años).

12. Comunicación a las empresas de transporte

Para la entrega de la mercancía pedida comunicamos tus datos de entrega a la empresa de transporte encargada del reparto, en la medida en que ello resulte necesario para la entrega. La base jurídica es el artículo 6.1.b) del RGPD. Según el pedido, puede tratarse de una de las siguientes empresas:

• DHL / Deutsche Post AG
• DPD Deutschland GmbH
• United Parcel Service Deutschland S.à r.l. & Co. OHG (UPS)
• General Logistics Systems Germany GmbH & Co. OHG (GLS)
• Hermes Germany GmbH

13. Gestión de pagos

Pago con tarjeta a través de Stripe

En el pago con tarjeta de crédito o con medios de pago comparables, la gestión se realiza a través de Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlanda. Los datos necesarios para el pago se transmiten directamente a Stripe. La base jurídica es el artículo 6.1.b) del RGPD. Encontrarás más información en la política de privacidad de Stripe.

Pago a través de PayPal

En el pago a través de PayPal, la gestión se realiza a través de PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Luxemburgo. Los datos de pago se transmiten directamente a PayPal. La base jurídica es el artículo 6.1.b) del RGPD. Se aplican además las disposiciones de protección de datos de PayPal.

Pago por transferencia bancaria (pago por adelantado)

En el pago por transferencia bancaria tratamos los datos necesarios para la conciliación del pago. En este caso no se produce ninguna comunicación a un proveedor de servicios de pago; el pago se efectúa a través de tu banco.

14. Facturación, contabilidad y archivo

Para el cumplimiento de nuestras obligaciones tributarias y mercantiles tratamos los datos de pedidos y de facturas en nuestro sistema de contabilidad y fiscalidad (formato DATEV) y archivamos las facturas de forma inalterable y verificable. El archivo se realiza de forma cifrada en un sistema de almacenamiento operado por nosotros o por cuenta nuestra (Nextcloud). La base jurídica es el artículo 6.1.c) del RGPD en relación con las obligaciones legales de conservación.

15. Gestión de pedidos y almacén (ERP)

Para la tramitación de los pedidos, la gestión del almacén y de las existencias, así como para el control del envío, utilizamos un sistema de gestión de almacén y de recursos empresariales (LingXing). Los datos de pedido y de entrega necesarios a tal efecto se transmiten a dicho sistema. La base jurídica son los artículos 6.1.b) y 6.1.f) del RGPD (ejecución del contrato y tramitación eficiente de los pedidos).

16. Envío de correos electrónicos (correos transaccionales)

En el marco de la tramitación de los pedidos enviamos correos electrónicos de carácter transaccional (por ejemplo, códigos de acceso, confirmaciones de pedido y de envío, facturas). La base jurídica es el artículo 6.1.b) del RGPD.

17. Boletín de noticias

Si te suscribes a nuestro boletín de noticias, utilizamos tu dirección de correo electrónico para enviarte información sobre productos y ofertas. La suscripción se realiza mediante el procedimiento de doble confirmación (double opt-in): tras tu alta te enviamos un correo electrónico con un enlace de confirmación; solo después de que hagas clic en ese enlace te incluimos en la lista de distribución. Si te suscribes mediante la casilla al hacer un pedido, decide el país de entrega: donde este procedimiento es obligatorio o recomendado, por ejemplo en Alemania, Austria e Italia, también te enviamos un enlace de confirmación; para los demás países de entrega te incluimos directamente en la lista de distribución. La base jurídica es tu consentimiento, conforme al artículo 6.1.a) del RGPD.

Para poder acreditar el consentimiento registramos el momento del alta y de la confirmación, las direcciones IP utilizadas a tal efecto y el texto literal del consentimiento. Puedes darte de baja del boletín en cualquier momento, por ejemplo a través del enlace de baja que figura al final de cada correo electrónico del boletín; la retirada de tu consentimiento surte efectos para el futuro. Nuestro boletín mide las aperturas y los clics; los detalles y tu derecho de oposición figuran en el apartado 17a.

17a. Medición de aperturas y clics en el boletín; envío

Medimos si nuestros boletines se abren y cuándo, y en qué enlaces de ellos se hace clic. Para ello, cada correo del boletín contiene una imagen invisible (píxel de seguimiento), y sus enlaces llevan un identificador aleatorio asignado únicamente a tu suscripción. Cuando tu programa de correo carga la imagen o haces clic en un enlace, transmite a nuestro servidor ese identificador, la hora, tu dirección IP y el identificador de tu programa (user agent). Evaluamos la dirección IP y el user agent únicamente en el momento de la consulta: para distinguir las consultas automáticas (por ejemplo, la precarga por la protección de privacidad de Apple Mail o por antivirus) de las aperturas y los clics reales, y para reconocer el tipo de programa de correo y de dispositivo (por ejemplo, «Apple Mail» o «móvil»). Solo se guarda ese resultado, no la dirección IP ni el user agent.

Utilizamos los datos para (1) ver cuántos destinatarios abren un boletín y en qué contenidos hacen clic, y orientar el contenido y la frecuencia de envío en consecuencia, (2) atribuir a esa campaña del boletín los pedidos que realices con la misma dirección de correo electrónico en los 5 días siguientes a un clic en un boletín, y (3) marcar tu suscripción como «inactiva» si has recibido al menos tres boletines y durante 90 días no has abierto ninguno ni has hecho clic en ninguno, para después escribirte con menos frecuencia o dejar de hacerlo. No elaboramos con ello perfiles para publicidad fuera de nuestros boletines ni cedemos los datos a terceros.

La base jurídica es el artículo 6.1.f) del RGPD. Nuestro interés legítimo es medir el efecto de nuestros boletines, mejorarlos y no enviarlos a destinatarios que ya no los leen. Puedes oponerte a la medición en cualquier momento (artículo 21 del RGPD): mediante el enlace «Desactivar seguimiento» de cada correo del boletín o por correo electrónico a support@puzzlepotato.com. Seguirás recibiendo el boletín, sin píxel de seguimiento y sin enlaces personalizados; suprimimos las aperturas y los clics registrados hasta ese momento. Darte de baja del boletín también pone fin a la medición.

Suprimimos los eventos individuales de apertura y clic a los 180 días; después solo conservamos cifras agregadas por campaña, sin relación contigo, y la fecha de tu última actividad mientras sigas suscrito. Tras la baja o la oposición, suprimimos tus eventos en un plazo de 30 días.

Los enlaces de nuestros boletines que llevan a nuestra tienda incluyen además un identificador de campaña que es el mismo para todos los destinatarios (p. ej., utm_campaign); conforme al apartado 8, con ello vemos cuántas visitas y pedidos llegaron en total a través de una campaña. Además, nuestro proveedor de envío nos notifica los correos que no se han podido entregar y las quejas por spam, y retiramos esas direcciones de la lista de distribución. También en este caso la base jurídica es el artículo 6.1.f) del RGPD; nuestro interés legítimo es disponer de una lista de distribución actualizada y entregable.

Envío: enviamos el boletín a través de Amazon Simple Email Service (SES) de Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburgo, desde su centro de datos de Fráncfort del Meno (región eu-central-1). AWS trata tu dirección de correo electrónico y el contenido de los correos del boletín por encargo nuestro, sobre la base de un contrato de encargo del tratamiento (artículo 28 del RGPD). Los píxeles de seguimiento y los enlaces pasan por nuestros propios servidores, no por AWS. No puede descartarse por completo un acceso por parte de la sociedad matriz estadounidense Amazon Web Services, Inc.; en tal caso, la transferencia se ampara en la decisión de adecuación relativa al EU-US Data Privacy Framework (artículo 45 del RGPD), conforme al cual Amazon Web Services, Inc. está certificada, y de forma complementaria en las cláusulas contractuales tipo de la UE incluidas en el contrato de encargo del tratamiento de AWS.

18. Contacto

Si te pones en contacto con nosotros por correo electrónico o a través de un formulario de contacto, tratamos los datos que nos facilites con el fin de atender tu solicitud. La base jurídica es el artículo 6.1.b) del RGPD (cuando la solicitud se refiere a un contrato) o el artículo 6.1.f) del RGPD. Conservamos la correspondencia con nuestro servicio de atención al cliente para poder reconstruir solicitudes anteriores, examinar casos de garantía y de cortesía comercial y responder mejor a consultas similares (artículo 6.1.f) del RGPD); en cualquier caso, debemos conservar los correos comerciales durante seis años (§ 257 HGB, § 147 AO). La suprimimos a más tardar seis años después del final del año natural en que se recibió o envió el correo correspondiente, salvo que siga siendo necesaria para un procedimiento en curso o una liquidación tributaria aún no firme. Tus derechos conforme a la sección 20, como el de supresión, no se ven afectados.

Para los correos electrónicos dirigidos a nuestro servicio de atención al cliente utilizamos un asistente de inteligencia artificial: Claude, de Anthropic PBC (Estados Unidos), que actúa como encargado del tratamiento (artículo 28 del RGPD). Traduce los correos escritos en otros idiomas y propone a nuestro personal respuestas a las consultas de clientes particulares. Cada respuesta la lee y la envía una persona; no se toma ninguna decisión automatizada en el sentido del artículo 22 del RGPD.

Para proponer una respuesta, el asistente recibe el contenido de tus correos y de nuestra correspondencia anterior, tu nombre, las fotos que nos envías y, en su caso, tus pedidos en nuestra tienda (número, fecha, artículos, importe, estado del envío y seguimiento), así como el estado de suscripción al boletín de tus direcciones de correo electrónico con tus códigos de descuento. Para responder mejor a consultas similares, puede tomar como ejemplo conversaciones anteriores de nuestro servicio de atención al cliente. Para una traducción, solo recibe el asunto y el texto del correo correspondiente.

La base jurídica es el artículo 6.1.b) del RGPD cuando tu consulta se refiere a un contrato y, en los demás casos, el artículo 6.1.f) del RGPD; nuestro interés legítimo consiste en responder a las consultas de forma rápida, completa y en tu idioma. La transferencia a los Estados Unidos se ampara en las cláusulas contractuales tipo de la Comisión Europea (artículo 46.2.c) del RGPD), que forman parte de nuestro contrato de encargo de tratamiento con Anthropic; puedes solicitar una copia. Anthropic no utiliza los datos para entrenar sus modelos y los suprime en un plazo de 30 días, salvo que sus sistemas detecten un incumplimiento de sus políticas de uso, en cuyo caso los conserva hasta dos años.

19. Alojamiento web y entrega (Cloudflare)

Nuestro sitio web y los sistemas asociados están alojados en un proveedor situado dentro de la Unión Europea. Con dicho proveedor existe un contrato de encargo de tratamiento conforme al artículo 28 del RGPD. El tratamiento se realiza para la puesta a disposición de nuestro servicio en línea, sobre la base del artículo 6.1.f) del RGPD.

Entrega y protección a través de Cloudflare

Nuestro sitio web se entrega a través de la red de Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, EE. UU. («Cloudflare»). Cada solicitud pasa por servidores de Cloudflare, que protegen nuestro servicio frente a ataques (por ejemplo, ataques de sobrecarga) y almacenan en caché contenidos como las imágenes para que carguen más rápido. Para ello, Cloudflare trata los datos técnicos de cada solicitud, en particular tu dirección IP, la dirección solicitada, la hora y el identificador de tu navegador, y determina a partir de la dirección IP tu ubicación aproximada (país, región y ciudad), que transmite a nuestros servidores; el uso que hacemos de ella se describe en el apartado 4.

Al iniciar sesión en tu cuenta de cliente, al suscribirte al boletín de noticias y al solicitar el alta como cliente profesional utilizamos además Cloudflare Turnstile para detectar entradas automatizadas (bots). El script de Turnstile solo se carga cuando se muestra uno de estos formularios; en ese momento se transmiten a Cloudflare, en particular, tu dirección IP, el identificador de tu navegador y características técnicas de la conexión.

La base jurídica es el artículo 6.1.f) del RGPD; nuestro interés legítimo consiste en prestar nuestro servicio de forma segura, rápida y protegida frente a abusos. En la medida en que Turnstile accede a información de tu dispositivo, ello es estrictamente necesario para prestar de forma segura el servicio que has solicitado (§ 25.2, n.º 2, TDDDG). Cloudflare trata los datos por cuenta nuestra sobre la base de un contrato de encargo de tratamiento (artículo 28 del RGPD). Los datos pueden transferirse a Cloudflare, Inc. en los Estados Unidos; la transferencia se ampara en la decisión de adecuación de la Comisión Europea relativa al EU-US Data Privacy Framework (artículo 45 del RGPD), conforme a la cual Cloudflare está certificada (para el Reino Unido y Suiza se aplican, respectivamente, la UK Extension y el Swiss-U.S. DPF), así como, con carácter complementario, en las cláusulas contractuales tipo de la UE. Más información: https://www.cloudflare.com/privacypolicy/.

20. Tus derechos

Conforme al RGPD, te asisten los siguientes derechos:

• Derecho de acceso a los datos personales que te conciernen (artículo 15 del RGPD)
• Derecho de rectificación de los datos inexactos (artículo 16 del RGPD)
• Derecho de supresión de tus datos, «derecho al olvido» (artículo 17 del RGPD)
• Derecho a la limitación del tratamiento (artículo 18 del RGPD)
• Derecho a la portabilidad de los datos (artículo 20 del RGPD)
• Derecho de oposición al tratamiento (artículo 21 del RGPD)
• Derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada (artículo 7.3 del RGPD)

Para ejercer tus derechos basta con una comunicación sin formalidad alguna dirigida a los datos de contacto indicados más arriba.

21. Derecho a presentar una reclamación ante la autoridad de control

Tienes derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos en relación con el tratamiento de tus datos personales por nuestra parte (artículo 77 del RGPD). La autoridad competente respecto de nosotros es la Bayerisches Landesamt für Datenschutzaufsicht (BayLDA, autoridad de control de protección de datos del estado federado de Baviera).