1. Responsable del tratamiento
El responsable del tratamiento de los datos personales recogidos a través del Sitio es:
- Denominación social
- [PENDIENTE: razón social del titular]
- NIF / CIF
- [PENDIENTE: NIF o CIF del titular]
- Domicilio
- [PENDIENTE: dirección postal completa en España]
- Correo de privacidad
- privacidad@vivetusmomentos.com
- Delegado de Protección de Datos
- No designado (no concurren los supuestos del art. 37 RGPD). Toda comunicación se dirige al correo de privacidad anterior.
2. Qué datos recogemos y cómo
Tratamos exclusivamente los datos personales necesarios para prestar el servicio (principio de minimización, artículo 5.1.c del RGPD). Distinguimos tres situaciones:
a) Visitante del sitio (no registrado)
- Dirección IP en forma hasheada (con un algoritmo SHA-256 sobre la IP combinada con una sal secreta). La IP en claro nunca se almacena.
- Identificador del navegador (cadena user-agent), únicamente con fines de seguridad y prevención del abuso.
- Cookies técnicas estrictamente necesarias (autenticación de sesión y protección anti-bot). Ver apartado 8.
b) Cliente que envía una solicitud de presupuesto (lead)
- Datos identificativos y de contacto: nombre, correo electrónico y teléfono.
- Datos del evento: tipo de celebración, fecha estimada, ciudad, número aproximado de asistentes, presupuesto orientativo, mensaje libre.
- Confirmación del consentimiento marcado en el formulario, junto con la fecha y hora y la IP hasheada.
El cliente no necesita registrarse en la plataforma para enviar una consulta.
c) Proveedor registrado en la plataforma
- Datos de la cuenta: correo electrónico de acceso (autenticación mediante enlace mágico, sin contraseña almacenada).
- Datos del negocio: nombre comercial, NIF/CIF, teléfono, correo de contacto profesional, descripciones, rango de precios, capacidad, ciudades en las que opera.
- Galería de fotografías subidas por el propio proveedor.
- Historial de actividad en el panel (estado de la ficha, leads recibidos, suscripción activa).
No tratamos categorías especiales de datos del artículo 9 del RGPD (origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos, datos de salud o relativos a la vida sexual u orientación sexual). Se ruega al usuario no incluir este tipo de información en los mensajes libres del formulario.
3. Finalidades y bases jurídicas
| Tratamiento | Finalidad | Base jurídica (RGPD) |
|---|---|---|
| Datos de visitante (IP hash, user-agent) | Prevenir abusos, spam y ataques automatizados. Aplicar límites de envío de formularios. | Interés legítimo del responsable en la seguridad de la plataforma (art. 6.1.f). |
| Cuenta del proveedor y panel de gestión | Permitir el alta, la edición de la ficha, la recepción de leads y la gestión de la suscripción. | Ejecución de un contrato en el que el interesado es parte (art. 6.1.b). |
| Suscripción del proveedor (Free / Pro / Premium) | Activar y mantener los planes de la plataforma. Cuando entre la pasarela de pago, gestionar facturación. | Ejecución de contrato (art. 6.1.b) y, para la facturación, cumplimiento de obligación legal contable y fiscal (art. 6.1.c). |
| Solicitud de presupuesto enviada por el cliente | Trasladar la solicitud al proveedor seleccionado y permitir su respuesta directa al cliente. | Consentimiento explícito del interesado al marcar la casilla del formulario (art. 6.1.a) y, secundariamente, medidas precontractuales a petición del interesado (art. 6.1.b). |
| Mensajería interna cliente ↔ proveedor (planes Premium) | Habilitar conversaciones bidireccionales entre cliente y proveedor dentro de la plataforma. Identificación del cliente mediante enlace privado (token) entregado a su email. | Consentimiento explícito del interesado al iniciar la conversación (art. 6.1.a) y medidas precontractuales a petición del interesado (art. 6.1.b). |
| Correo transaccional al proveedor y al cliente | Notificar a las partes de la solicitud enviada, de los mensajes recibidos y de las respuestas en hilos abiertos. | Ejecución de contrato y consentimiento, respectivamente. |
| Estadísticas internas agregadas | Medir el funcionamiento del directorio sin identificar a personas concretas (volumen de leads, conversión, búsquedas más frecuentes). | Interés legítimo en mejorar el servicio (art. 6.1.f). Datos siempre agregados o anonimizados. |
| Comunicaciones comerciales (newsletter) | Enviar consejos y novedades, sólo si el usuario marca la casilla específica. | Consentimiento expreso del interesado (art. 6.1.a), revocable en cualquier momento. |
Cuando la base jurídica es el consentimiento, el interesado puede retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada (artículo 7.3 del RGPD).
4. Plazos de conservación
- Solicitudes de presupuesto (leads): doce (12) meses desde su envío. Transcurrido ese plazo, los datos identificativos del cliente (nombre, correo, teléfono y mensaje) se anonimizan automáticamente mediante una tarea programada en la base de datos. Los datos no identificativos del evento (tipo, ciudad, fecha estimada) pueden conservarse de forma disociada con fines estadísticos.
- Conversaciones de mensajería interna: doce (12) meses desde el último mensaje del hilo. Transcurrido ese plazo, la conversación completa (incluidos todos los mensajes) se elimina automáticamente mediante una tarea programada. A diferencia de los leads, el contenido libre de los mensajes no se anonimiza sino que se borra, porque su valor estadístico no justifica conservarlo.
- Cuenta de proveedor activa: mientras dure la relación contractual con la plataforma.
- Cuenta de proveedor dada de baja: hasta seis (6) años en un entorno bloqueado para atender posibles responsabilidades legales, mercantiles o fiscales (artículo 30 del Código de Comercio y normativa fiscal aplicable).
- Datos contables y de facturación: seis (6) años desde la emisión, conforme a la normativa mercantil y fiscal.
- Suscripción al newsletter: hasta que el interesado solicite la baja, momento en que se elimina del sistema de envíos.
- Logs de seguridad: hasta doce (12) meses.
5. Destinatarios y encargados del tratamiento
No comunicamos datos personales a terceros con fines comerciales, ni vendemos información a anunciantes o brokers de datos. Los datos del cliente que envía una solicitud de presupuesto se comunican exclusivamente al proveedor seleccionado por el propio cliente, que pasa a ser responsable autónomo del tratamiento que haga de esa información para su gestión comercial.
Para prestar el servicio, contamos con los siguientes encargados del tratamiento (artículo 28 del RGPD), todos ellos vinculados o a vincular mediante el correspondiente contrato de encargo (DPA):
| Encargado | Servicio prestado | Ubicación | DPA / Garantías |
|---|---|---|---|
| Supabase Inc. | Base de datos, autenticación y almacenamiento de archivos. | Servidores en la región Unión Europea. | DPA pendiente de firma. Cláusulas Contractuales Tipo (SCC) y compromiso de procesado en la UE. |
| Vercel Inc. | Alojamiento del sitio web y red de distribución de contenido (CDN). | Estados Unidos, con borde global. | DPA pendiente de firma. SCC y/o adhesión al EU-US Data Privacy Framework. |
| Resend, Inc. | Envío de correo electrónico transaccional (notificaciones de leads, recuperación de acceso, comunicaciones administrativas). | Estados Unidos. | DPA pendiente de firma. SCC y/o adhesión al EU-US Data Privacy Framework. |
| Cloudflare, Inc. | Protección anti-bot (Turnstile) y, en el futuro, gestión de DNS. | Estados Unidos, con red global. | DPA pendiente de firma. SCC y/o adhesión al EU-US Data Privacy Framework. |
Adicionalmente, los datos podrán ser comunicados a autoridades competentes (Fuerzas y Cuerpos de Seguridad, Jueces y Tribunales, Agencia Tributaria, Agencia Española de Protección de Datos) cuando una norma con rango de ley así lo exija.
6. Transferencias internacionales
Los encargados Vercel, Resend y Cloudflare implican el tratamiento de datos personales en servidores ubicados en Estados Unidos. Estas transferencias se realizan con las siguientes garantías:
- Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea mediante Decisión de Ejecución (UE) 2021/914, incorporadas al DPA con cada encargado.
- En su caso, adhesión del encargado al EU-US Data Privacy Framework con la Decisión de adecuación de la Comisión Europea de 10 de julio de 2023.
- Medidas técnicas suplementarias: cifrado en tránsito (HTTPS/TLS) y en reposo, control de accesos, registro de actividad, minimización de los datos transferidos.
Supabase está configurado en la región Unión Europea, por lo que el tratamiento principal (base de datos y almacenamiento) se realiza dentro del Espacio Económico Europeo. Determinadas operaciones auxiliares (soporte técnico, copias de seguridad agregadas) pueden implicar accesos desde fuera del EEE, sometidas igualmente al DPA firmado con el proveedor.
Puede solicitar más información o una copia de las garantías aplicables escribiendo a privacidad@vivetusmomentos.com.
7. Derechos de las personas interesadas
El RGPD reconoce a las personas interesadas los siguientes derechos en relación con sus datos personales:
- Acceso (art. 15): saber qué datos tratamos sobre usted y obtener una copia.
- Rectificación (art. 16): corregir datos inexactos o incompletos.
- Supresión u «olvido» (art. 17): solicitar el borrado cuando ya no sean necesarios o haya retirado su consentimiento, sin perjuicio de las obligaciones legales de conservación.
- Limitación del tratamiento (art. 18): pedir que sus datos se conserven pero no se utilicen mientras se resuelve una incidencia.
- Portabilidad (art. 20): recibir sus datos en un formato estructurado de uso común y lectura mecánica (por ejemplo, JSON).
- Oposición (art. 21) a tratamientos basados en interés legítimo y, en particular, a recibir comunicaciones comerciales.
- No ser objeto de decisiones automatizadas con efectos jurídicos (art. 22). ViveTusMomentos no toma decisiones de este tipo sobre las personas interesadas.
- Retirar el consentimiento en cualquier momento, cuando éste sea la base del tratamiento.
Estos derechos pueden ejercerse de forma gratuita escribiendo a privacidad@vivetusmomentos.com o, alternativamente, a través del formulario de contacto. Se puede requerir una copia de un documento identificativo cuando existan dudas razonables sobre la identidad del solicitante. La respuesta se facilitará en el plazo máximo de un (1) mes desde la recepción de la solicitud, prorrogable por dos (2) meses adicionales si la complejidad o el número de solicitudes lo justifican, en cuyo caso se informará al interesado.
Si considera que el tratamiento de sus datos no se ajusta a la normativa, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es), si bien le agradeceremos que, con carácter previo, nos dé la oportunidad de resolver la situación a través del correo de privacidad indicado.
9. Datos de menores
ViveTusMomentos no está dirigido a menores de catorce (14) años, de acuerdo con el artículo 7 de la LOPDGDD. Si tenemos constancia de que se han recogido datos de un menor de esa edad sin el consentimiento de quienes ejercen su patria potestad o tutela, los eliminaremos sin demora indebida.
En los eventos relacionados con menores (bautizos, comuniones, cumpleaños infantiles) la información tratada se refiere al adulto contratante. Las fotografías en las que aparezcan menores deben contar con el consentimiento previo de sus representantes legales, siendo el proveedor el responsable de obtener y conservar dichos consentimientos.
10. Seguridad de los datos
Aplicamos medidas técnicas y organizativas razonables para garantizar la confidencialidad, integridad y disponibilidad de los datos (artículo 32 del RGPD):
- Cifrado en tránsito (HTTPS/TLS) en todo el sitio.
- Cifrado en reposo de la base de datos y del almacenamiento.
- Hash criptográfico de las direcciones IP antes de almacenarlas.
- Autenticación por enlace mágico sin almacenar contraseñas en claro.
- Control granular de accesos mediante Row Level Security en la base de datos.
- Copias de seguridad automáticas y plan de respuesta a brechas con notificación a la AEPD en un plazo de setenta y dos (72) horas cuando proceda (artículos 33 y 34 del RGPD).
11. Cambios en esta política
Podemos actualizar esta Política de Privacidad para reflejar cambios normativos, nuevos tratamientos o mejoras del servicio. La versión vigente es la publicada en esta página, con indicación de su fecha de revisión. Cuando los cambios afecten de forma sustancial a sus derechos, lo notificaremos previamente por correo electrónico a los usuarios registrados y mediante un aviso destacado en el Sitio.