GDPR

Versión 1.0 · 23 de agosto de 2026

Qué almacenamos

Recogemos solo lo necesario para tramitar y entregar su pedido: su correo electrónico y la dirección de entrega (y el nombre y teléfono para el transportista), más los registros técnicos que exigen la ley y la seguridad (historial de pedidos para la conservación contable, eventos de seguridad de inicio de sesión y referencias de pago del proveedor; nunca vemos números de tarjeta).

No almacenamos información financiera

No almacenamos información financiera: ni números de tarjeta de crédito o débito, ni datos bancarios ni credenciales de monedero. Esos datos los recogen, almacenan y tratan únicamente los procesadores de pago que usamos. Hoy es Stripe, certificado PCI-DSS. PayPal, Paytrail, Klarna y MobilePay pueden ofrecerse cuando estén activados; cada uno está certificado PCI-DSS. La tienda solo recibe una referencia de pago y un estado de pago.

Inicio de sesión

Puede crear una cuenta con correo y contraseña o usar los botones estándar de Google y Facebook. Pedimos el conjunto mínimo de permisos que necesitan. De ellos recibimos solo su nombre y correo, nunca sus contactos, publicaciones ni amigos. También guardamos el identificador de usuario del proveedor para reconocerle la próxima vez. Ámbitos (citados exactamente): Google: openid email profile. Facebook: email,public_profile.

Asistente de compras (inteligencia artificial)

La tienda ofrece un asistente de compras opcional basado en inteligencia artificial. Solo funciona si lo abres y escribes algo; el resto de la tienda funciona sin él. Lo que escribes, y la respuesta que recibes, se envían a Google, proveedor del modelo Gemini que genera la respuesta, con la única finalidad de responder a tu pregunta. La llamada se dirige al modelo Gemini en Google Cloud Vertex AI, en la región de la UE europe-north1, la misma región en la que se ejecuta la tienda, por lo que tu texto permanece dentro del EEE; consulta el apartado sobre transferencias internacionales.

Los mensajes al asistente se utilizan únicamente para responderte. No los utilizamos para publicidad, elaboración de perfiles ni decisiones automatizadas, y nunca los vendemos. Contratamos al proveedor del modelo con un plan de pago cuyas condiciones no permiten que tus mensajes se utilicen para entrenar sus modelos. El asistente no puede cobrar un pago ni modificar un pedido; de eso se encarga una persona. Por favor, no escribas en él números de tarjeta, contraseñas ni información de salud: cualquier detalle sobre dieta o alergia que menciones se envía junto con tu mensaje.

La conversación se conserva junto con tu sesión de chat para que el asistente pueda seguir el hilo, y se elimina automáticamente como máximo a los 90 días. Si prefieres que tu texto no se trate así, no uses el asistente: es opcional, y el catálogo, tu cuenta y la compra funcionan por completo sin él.

Sin correo de marketing

Nunca le enviaremos correo de marketing salvo que se suscriba de forma explícita. Lo predeterminado es no enviar ningún correo más allá de los mensajes transaccionales que exige su pedido (confirmación, envío, restablecimiento de contraseña y confirmación de correo). Cualquier suscripción puede retirarse en cualquier momento.

Responsable y encargado

El responsable es el Vendedor indicado en el pie de la tienda (razón social, identificador finlandés / Y-tunnus y domicilio social). El Vendedor decide por qué y cómo se tratan sus datos personales.

El encargado es Csitea Oy, el operador de la plataforma. Csitea aloja la tienda y trata los datos personales solo según las instrucciones del Vendedor, en virtud de un contrato de encargo (artículo 28 del RGPD).

Datos que recogemos y para qué

Según cómo use la tienda, podemos tratar:

• Correo electrónico: para la cuenta, mensajes de pedido y entrega, y soporte.
• Nombre, dirección y teléfono de entrega: para que el transportista entregue la mercancía.
• Dirección de facturación: para la factura que exige la ley contable finlandesa.
• Contenido, importes y estado del pedido: para cumplir el contrato y la contabilidad.
• Referencias de pago (nunca números de tarjeta): el proveedor retiene el pago; nosotros solo su referencia.
• Eventos de seguridad de inicio de sesión (hora, método, IP, navegador): para proteger las cuentas.
• Identificadores de inicio social si elige Google o Facebook.
• Los comentarios que nos envíe, si usa ese formulario.
• Su elección de cookies, en el navegador, no en nuestros servidores.
• Los mensajes que escribes al asistente de compras y sus respuestas, si decides utilizarlo.

Bases jurídicas

• Contrato (RGPD art. 6(1)(b)): aceptar y entregar su pedido.
• Obligación legal (art. 6(1)(c)): conservación contable de pedidos y facturas.
• Interés legítimo (art. 6(1)(f)): seguridad de inicio de sesión y prevención del fraude.
• Consentimiento (art. 6(1)(a)): cookies no esenciales y cualquier correo de marketing al que se apunte.
• Interés legítimo (artículo 6.1.f) — responder a tus preguntas en el asistente de compras opcional, que tú mismo inicias.

Quién recibe los datos

• Procesadores de pago activados en el pago (hoy Stripe; otros cuando se activen): para cobrar.
• El transportista: solo nombre, teléfono y dirección de entrega.
• El proveedor de correo: para el correo transaccional.
• Google Cloud en la UE (europe-north1, Finlandia): aplicación y base de datos.
• Google, como proveedor del modelo Gemini que está detrás del asistente de compras: los mensajes que le envías; se tratan en la misma región de la UE que la tienda (europe-north1, Finlandia).
• Csitea Oy como encargado.

No vendemos tus datos. No elaboramos perfiles con fines publicitarios, y nada de lo que escribas al asistente de compras se utiliza para publicidad.

Cuánto tiempo los conservamos

• Pedidos y facturas: al menos seis años según la ley contable finlandesa; algunos registros contables pueden conservarse diez años.
• Datos de la cuenta: hasta que pida su supresión, salvo los registros que debemos conservar.
• Eventos de seguridad de inicio de sesión: un periodo breve necesario para investigar la seguridad.
• Elección de cookies: en el navegador, normalmente hasta 12 meses.
• Conversaciones con el asistente de compras: 90 días como máximo y después se eliminan automáticamente.

Sus derechos

Puede solicitar acceso, rectificación, supresión, limitación, portabilidad y oposición. Puede retirar el consentimiento de cookies o marketing en cualquier momento. Envíe la solicitud al correo de la página de contacto. Puede que tengamos que verificar su identidad.

Puede presentar una reclamación ante el Defensor finlandés de protección de datos (Tietosuojavaltuutettu): tietosuoja.fi

Transferencias internacionales

La tienda y la base de datos se ejecutan en la UE/EEE (Google Cloud europe-north1). El modelo Gemini que está detrás del asistente de compras se ejecuta en esa misma región de la UE (Google Cloud Vertex AI, europe-north1), con Google como subencargado, por lo que lo que escribes al asistente no se transfiere fuera del EEE. El proveedor de pagos sí trata datos fuera del EEE; esa transferencia se basa en las Cláusulas Contractuales Tipo de la Comisión Europea y en las condiciones de RGPD del proveedor. Para ninguna otra finalidad transferimos tus datos fuera del EEE.

Contacto

Preguntas sobre este aviso: use el correo publicado en la página de contacto. El Vendedor es el responsable; Csitea Oy es el encargado.

Delegado de protección de datos (DPO) — Длъжностно лице по защита на данните

El operador de la plataforma nombra un delegado de protección de datos (DPO). Envíe las solicitudes de protección de datos a los datos de contacto de esta página. Registro mercantil finlandés público: finder.fi

Registro de las actividades de tratamiento (artículo 30 del RGPD)

El artículo 30 del RGPD obliga al responsable del tratamiento a llevar un registro de sus actividades de tratamiento. Este es ese registro para la única actividad que realiza la tienda — llevar el registro de clientes — y se publica aquí para que pueda leerlo sin tener que solicitarlo.

1. Responsable del tratamiento

El responsable del tratamiento es el Vendedor, el comerciante de su pedido. Su denominación social, su código de identificación de empresa, su forma jurídica, su domicilio social y su dirección postal y de calle — calle, código postal y localidad — figuran en la sección «Responsable del tratamiento» más abajo en esta página. Se leen de la configuración de la tienda al construir la página, de modo que la página muestra siempre los datos vigentes y no una copia que puede quedar desactualizada sin que nadie lo advierta.

Datos de contacto para las cuestiones relativas a este registro: el Vendedor no ha publicado ningún número de teléfono ni una dirección de correo electrónico específica para asuntos de protección de datos. Hasta que lo haga, utilice el contacto de protección de datos del operador de la plataforma — denominación de la empresa, nombre de la persona de contacto, dirección, código postal y localidad, número de teléfono y dirección de correo electrónico — indicado en las secciones «Encargado del tratamiento» y «Delegado de protección de datos» más abajo en esta página. Las solicitudes recibidas allí se trasladan al Vendedor.

Delegado de protección de datos, en su caso: en los registros de la tienda no consta ningún delegado de protección de datos para el Vendedor, y el artículo 30, apartado 1, letra a), solo exige ese contacto cuando se ha designado a tal persona. El operador de la plataforma sí designa una persona de contacto para la protección de datos; su nombre, dirección, código postal y localidad, número de teléfono y dirección de correo electrónico figuran en la sección «Delegado de protección de datos» más abajo en esta página.

2. Interesados

El registro comprende a las siguientes personas:

• Clientes que compran con una cuenta: el titular de la cuenta y la persona indicada como destinataria de la entrega cuando se trata de otra persona.
• Clientes que compran sin cuenta, identificados únicamente por la dirección de correo electrónico y los datos de entrega facilitados en la finalización de la compra.
• Personas que han creado una cuenta pero no han comprado, incluidas las que han iniciado sesión con una cuenta de Google o de Facebook.
• Personas que nos escriben a través del formulario de comentarios.
• Personas que utilizan el asistente de compra con inteligencia artificial, cuyo uso es opcional.
• Los propios usuarios de administración de la tienda, cuyos inicios de sesión y cuyos cambios en pedidos, productos y precios quedan registrados.

3. Finalidad del uso de los datos personales

El registro se lleva sobre las siguientes bases jurídicas:

• Los datos personales se tratan sobre la base de la relación con el cliente: la ejecución del contrato de compraventa que usted celebra al finalizar la compra (artículo 6, apartado 1, letra b), del RGPD). Comprende el pedido, la entrega y la cuenta desde la que lo realiza.
• Los datos personales se tratan para el cumplimiento de una obligación legal (artículo 6, apartado 1, letra c)): la conservación de pedidos y facturas exigida por la legislación contable finlandesa.
• Los datos personales se tratan sobre la base del interés legítimo (artículo 6, apartado 1, letra f)): mantener la seguridad de las cuentas, prevenir el fraude y el uso indebido, responder a los mensajes que nos envía y responder a las preguntas que plantea al asistente de compra.
• Los datos personales se tratan sobre la base del consentimiento (artículo 6, apartado 1, letra a)): las cookies no esenciales, la medición de la velocidad de las páginas que estas permiten y los correos comerciales. Cada uno de estos consentimientos puede retirarse en cualquier momento.

Las finalidades del tratamiento son:

• Recibir, cobrar, entregar y, cuando proceda, reembolsar su pedido, y mantenerle informado sobre él.
• Mantener la relación con el cliente: gestionar su cuenta, permitirle iniciar sesión y mostrarle su propio historial de pedidos.
• Responder a los mensajes y preguntas que nos envía a través del formulario de comentarios o del asistente de compra.
• Mantener la seguridad de las cuentas y de la tienda: detectar e investigar inicios de sesión no autorizados, fraude y uso indebido.
• Llevar la contabilidad y emitir las facturas exigidas por la legislación contable finlandesa.
• Informarle sobre los productos de la tienda, únicamente si se ha suscrito expresamente. Por defecto no se envía nada y la suscripción puede retirarse en cualquier momento.

4. Datos personales almacenados en el registro

El registro de clientes contiene los siguientes datos, tal como los almacena realmente la aplicación:

• Cuenta: dirección de correo electrónico; nombre y apellidos; número de teléfono; la contraseña, conservada únicamente como un resumen irreversible y nunca en forma legible; el idioma de la tienda que ha elegido; el rol de su cuenta; la hora de creación de la cuenta; la hora de confirmación de su dirección de correo electrónico; la hora de su último inicio de sesión; si se ha suscrito a los correos comerciales, cuándo y desde dónde; y una foto de perfil, si sube alguna.
• Pedido: el número de pedido; la dirección de entrega y la dirección de facturación exactamente como se facilitaron al finalizar la compra — nombre del destinatario, calle, código postal, localidad, país y número de teléfono; la dirección de correo electrónico facilitada para un pedido realizado sin cuenta; los productos, cantidades y precios pedidos; los importes, el impuesto y el coste de entrega; la moneda; el idioma en el que se completó la compra; el estado del pedido y el historial de sus cambios de estado; el transportista, el código y el enlace de seguimiento; los reembolsos, si los hubiera; y el número de factura con sus fechas de emisión y de vencimiento.
• Pago: el nombre del proveedor de pago utilizado; la referencia de pago que devuelve; el tipo de método de pago; y el código de país de dos letras del emisor de la tarjeta, que comunica el proveedor de pago y que determina qué métodos de pago puede ofrecerle la tienda. La tienda no almacena números de tarjeta, datos bancarios ni credenciales de monedero: estos permanecen en el proveedor de pago.
• Inicio de sesión con red social: si inicia sesión con Google o Facebook, el nombre del proveedor, el identificador de usuario que nos facilita y la dirección de correo electrónico que devuelve.
• Seguridad: eventos de inicio de sesión — hora, dirección de correo electrónico, método de inicio de sesión, dirección IP e identificación del navegador; los tokens de un solo uso de restablecimiento de contraseña y de confirmación de correo electrónico, conservados únicamente como resumen; y, para los usuarios de administración, un registro de los cambios realizados en pedidos, productos y precios, con la hora, la persona y la dirección IP.
• Comentarios: el nombre, la dirección de correo electrónico, el asunto y el mensaje que envía; la página desde la que los envió; su idioma y la identificación de su navegador; así como el estado de tramitación y las notas internas de la tienda sobre su mensaje.
• Asistente de compra: la sesión de conversación y su idioma, los mensajes que escribe y las respuestas que recibe.
• Medición de la velocidad de las páginas: si acepta la categoría de cookies analíticas, las mediciones propias de la tienda sobre la rapidez con que se cargan las páginas — una ruta de página, una métrica y un valor, junto con la identificación de su navegador — enviadas al propio servidor de la tienda y a ningún tercero.
• Diagnóstico de errores: si acepta la categoría de cookies analíticas, una anotación de los fallos técnicos que su navegador ha encontrado en las páginas de la tienda — el método de la solicitud, la dirección de la página sin su parte de consulta, el código de respuesta o el nombre del error, el código de error propio de la tienda y un número de referencia que identifica el registro y no a usted — enviada al propio servidor de la tienda y a ningún tercero. El texto del error, el contenido de las solicitudes y las respuestas, y cualquier contraseña, token, dirección de correo electrónico o número de tarjeta no se recogen nunca.
• Elección sobre las cookies: se conserva en su propio navegador, no en los servidores de la tienda.

En el registro no hay ningún otro dato personal. La tienda no solicita ni almacena un número de identidad, una fecha de nacimiento, datos de salud ni ninguna otra categoría especial de datos personales. Cuando elimina su cuenta desde la página de la cuenta, los datos anteriores se borran o se sustituyen por una marca anónima, sus vínculos de inicio de sesión con redes sociales y sus tokens no utilizados se eliminan y sus conversaciones con el asistente se ocultan; los pedidos y las facturas que la legislación contable obliga a la tienda a conservar permanecen; el mensaje de comentarios que envió queda vaciado de su nombre, de su dirección y de su texto, de modo que solo queda una anotación anónima de que la solicitud existió; y un evento de inicio de sesión conserva su hora, su método y su dirección de red como registro de seguridad, sustituyéndose su dirección de correo electrónico por la misma marca anónima que la de la cuenta.

Este registro comprende el registro de clientes. La tienda trata además un número de teléfono con una finalidad que nada tiene que ver con los clientes: el número de empresa del propio operador, ya publicado en las páginas de contacto y de comentarios, está configurado para recibir un mensaje automático cuando la tienda está caída o no es accesible, de modo que una interrupción se advierta en minutos y no en horas. Esos mensajes los envía Google Cloud Monitoring y los entrega después un operador de telefonía móvil que no podemos identificar; cada uno contiene únicamente el nombre del servicio, la condición y una marca de tiempo, nunca datos de clientes ni de pedidos, y no conservamos ningún registro de los mensajes enviados. No interviene ningún dato personal de ningún cliente.