1. Responsable del tratamiento

• Responsable: Claudia Peralta, bajo el nombre comercial Sweets Studio Bcn.
• NIF: 23876354P.
• Domicilio profesional: Carrer Guixeras, 11, 08912 Badalona, Barcelona, España.
• Correo para privacidad y ejercicio de derechos: sweetstudiobcn@gmail.com.
• Teléfono: +34 607 064 242.
• Sitio web: https://sweetstudiobcn.com.

No se ha designado delegado de protección de datos porque, atendiendo a la actividad y tratamientos previstos, no resulta obligatorio. Puede dirigir cualquier consulta al correo indicado.

2. Datos que tratamos

Según el servicio utilizado, podemos tratar:

• datos identificativos y de contacto, como nombre, apellidos, email y teléfono;
• datos del pedido o solicitud: fecha, tipo de evento, ciudad, raciones, diseño, sabores, presupuesto, observaciones y comunicaciones;
• datos de pago y facturación: importe, estado del cobro, identificadores de Stripe, razón social, NIF/CIF, domicilio y email de factura;
• información alimentaria que la persona decida facilitar, como alergias, intolerancias o necesidades dietéticas;
• datos técnicos y de seguridad: dirección IP transformada mediante hash, navegador, registros de acceso, identificadores de sesión y evidencias de consentimiento;
• preferencias de cookies y datos de uso obtenidos mediante Google Analytics 4 únicamente cuando exista consentimiento;
• información de administradores internos para autenticación, autorización y auditoría del panel de gestión.

No recibimos ni almacenamos los datos completos de la tarjeta. El pago se procesa en la infraestructura segura de Stripe.

3. Finalidades y bases jurídicas

Consultas y solicitudes personalizadas

Usamos los datos para responder, estudiar viabilidad y disponibilidad, preparar una propuesta y coordinar el encargo. La base es la aplicación de medidas precontractuales solicitadas por la persona interesada y, cuando corresponda, la ejecución posterior del contrato.

Pedidos, cobros, recogida y atención posventa

Tratamos los datos para gestionar el carrito, confirmar la compra, cobrar, organizar la recogida, atender incidencias, cancelaciones o reembolsos y mantener la trazabilidad. La base es la ejecución del contrato y el cumplimiento de obligaciones legales de consumo, contabilidad y fiscalidad.

Facturación y obligaciones legales

Los datos fiscales y documentos económicos se utilizan para emitir justificantes o facturas, llevar la contabilidad y responder a requerimientos legítimos de autoridades. La base es el cumplimiento de obligaciones legales.

Alergias y necesidades dietéticas

Esta información puede revelar datos relativos a la salud. Solo se trata cuando la persona la facilita voluntariamente y presta su consentimiento expreso para valorar y preparar el producto o servicio. Puede retirar el consentimiento antes de la elaboración; la retirada no afecta a tratamientos anteriores lícitos y puede impedir atender una petición que dependa de esa información.

Seguridad y prevención del abuso

Tratamos registros técnicos mínimos para proteger cuentas, formularios, pedidos y sistemas, detectar fraude y conservar evidencias. La base es nuestro interés legítimo en mantener un servicio seguro, ponderado con los derechos de las personas usuarias, y el cumplimiento de obligaciones de seguridad.

Analítica

Google Analytics 4 se utiliza para obtener estadísticas agregadas sobre el uso del sitio y mejorarlo. Solo se activa después de aceptar las cookies analíticas. La base es el consentimiento, que puede retirarse en cualquier momento con la misma facilidad con la que se otorgó.

Comunicaciones comerciales

No enviaremos publicidad por email o medios equivalentes sin consentimiento, salvo los supuestos legalmente permitidos para clientes existentes y productos o servicios similares. Cada comunicación incluirá una forma sencilla y gratuita de oponerse.

4. Carácter obligatorio de los datos

Los campos marcados como obligatorios son necesarios para tramitar la consulta, propuesta o compra. Si no se facilitan, no podremos prestar ese servicio. Las alergias, comentarios, referencias y datos opcionales no son obligatorios, aunque su ausencia puede limitar la personalización solicitada.

La persona usuaria garantiza que los datos facilitados son exactos y que, si comunica datos de terceros, está legitimada para hacerlo y les ha informado cuando sea necesario.

5. Destinatarios y proveedores

Podrán acceder a los datos, solo en la medida necesaria:

• Hostinger, como proveedor de alojamiento y operación de la aplicación;
• Supabase, para base de datos, almacenamiento de imágenes, autenticación administrativa y servicios técnicos;
• Stripe, para procesar pagos, prevenir fraude, gestionar reembolsos y, cuando proceda, documentación de pago o facturación;
• el proveedor de correo transaccional que se configure para enviar confirmaciones y comunicaciones operativas;
• Google Analytics, cuando se acepte la analítica;
• asesoría contable, fiscal o jurídica sujeta a deber de confidencialidad;
• administraciones, juzgados, fuerzas de seguridad u otros organismos cuando exista obligación legal o requerimiento válido.

No vendemos datos personales ni los cedemos para fines publicitarios de terceros.

6. Transferencias internacionales

Algunos proveedores tecnológicos pueden tratar datos desde países fuera del Espacio Económico Europeo. Cuando ocurra, se utilizará un mecanismo reconocido por la normativa, como una decisión de adecuación, cláusulas contractuales tipo de la Comisión Europea y, cuando proceda, medidas adicionales. Puede solicitar información sobre las garantías aplicables escribiendo al correo de privacidad.

7. Plazos de conservación

Aplicamos los siguientes criterios:

• consultas sin contratación: durante su gestión y, como máximo, dos años desde el cierre, salvo necesidad de defender reclamaciones;
• solicitudes, presupuestos y comunicaciones contractuales: durante la relación y los plazos de prescripción aplicables;
• pedidos, facturas y documentación contable: al menos seis años, sin perjuicio de plazos fiscales o responsabilidades superiores que resulten aplicables;
• datos de pago: conservamos identificadores, importes y estados necesarios, no el número completo de tarjeta;
• alergias y necesidades dietéticas: durante la preparación y atención del encargo y, después, bloqueadas mientras puedan derivarse responsabilidades de seguridad alimentaria o reclamaciones;
• evidencias de consentimiento y aceptación: mientras el tratamiento continúe y durante los plazos necesarios para acreditar su licitud;
• registros de seguridad: durante un periodo limitado y proporcionado a la finalidad de prevención e investigación;
• datos de Google Analytics: según la configuración de la propiedad, con una retención recomendada no superior a catorce meses; sus cookies se describen en la Política de cookies.

Cuando los datos dejen de ser necesarios se eliminarán o anonimizarán de forma segura, salvo que deban permanecer bloqueados por obligación legal.

8. Derechos

Puede solicitar gratuitamente:

• acceso a sus datos;
• rectificación de datos inexactos;
• supresión cuando proceda;
• limitación del tratamiento;
• oposición a tratamientos basados en interés legítimo;
• portabilidad de los datos facilitados cuando sea aplicable;
• retirada del consentimiento en cualquier momento, sin efectos retroactivos;
• no ser objeto de decisiones únicamente automatizadas con efectos jurídicos o similares significativos.

Para ejercerlos, escriba a sweetstudiobcn@gmail.com, indicando el derecho que desea ejercer y la información necesaria para identificar su solicitud. Solo se pedirá documentación adicional cuando existan dudas razonables sobre la identidad, y se tratará exclusivamente para verificarla.

Responderemos, con carácter general, en el plazo de un mes. Si considera que el tratamiento no es correcto, puede reclamar ante la Agencia Española de Protección de Datos en https://www.aepd.es.

9. Decisiones automatizadas y perfiles

No adoptamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten significativamente a la persona. Los controles antifraude del proveedor de pagos pueden analizar señales de riesgo conforme a su propia política, pero las incidencias relevantes podrán revisarse.

10. Menores

La compra y contratación están dirigidas a personas mayores de 18 años. Las solicitudes relativas a menores deben ser realizadas por su madre, padre o representante legal. No recopilamos conscientemente datos de menores directamente para fines comerciales.

11. Seguridad

Aplicamos medidas técnicas y organizativas proporcionadas al riesgo, entre ellas control de acceso, autenticación reforzada para administradores, cifrado en tránsito, permisos por función, registro de operaciones, copias y procedimientos de gestión de incidentes. Ningún sistema es infalible; si se produce una violación de seguridad, se actuará conforme a los plazos y obligaciones legales.

12. Actualizaciones

Esta política podrá actualizarse por cambios legales, tecnológicos o del servicio. La versión vigente se identificará mediante número y fecha. Si el cambio afecta de forma sustancial a un consentimiento, se solicitará de nuevo cuando sea necesario.