Política de privacidad de RestoreREBU

1. Quién es el responsable

• Titular: Sergi Moreno Sarrion
• NIF: 44851216C
• Domicilio: Av. Castell de Bairén, 5, 46790 Xeresa (Valencia)
• Email de privacidad: sarri.up.dev@gmail.com
• Delegado de protección de datos: [NOMBRE Y EMAIL DEL DPD, o "No designado: no es obligatorio para nuestra actividad"]

Esta política se aplica al programa de gestión y facturación RestoreREBU (apps para Windows y Android), a su app para Shopify y a las páginas de restorerebu.com.

2. Responsable y encargado: dos papeles

Según de quién sean los datos, RestoreREBU tiene uno de estos dos papeles del Reglamento General de Protección de Datos (RGPD):

• Responsable del tratamiento de los datos de sus clientes, es decir, de los comerciantes que usan RestoreREBU (datos de su cuenta, de su empresa y de su suscripción).
• Encargado del tratamiento de los datos que el comerciante gestiona con RestoreREBU sobre sus propios clientes y proveedores (compradores, vendedores de piezas, facturas emitidas, pedidos de su tienda). El responsable de esos datos es el comerciante; RestoreREBU solo los trata siguiendo sus instrucciones y para prestarle el servicio. Las condiciones de este encargo forman parte de las Condiciones del servicio (art. 28 RGPD).

3. Qué datos tratamos

Del comerciante (como responsables)

• Datos de cuenta: email de acceso, contraseña (guardada cifrada con hash), idioma.
• Datos de la empresa: razón social, nombre comercial, NIF, dirección fiscal, teléfono, logotipo.
• Datos de la tienda de Shopify: dominio .myshopify.com, nombre de la tienda, email de la tienda, plan contratado y estado de la suscripción, tokens de acceso a la API de Shopify.
• Datos técnicos: registros de acceso y de errores, dirección IP en los registros del servidor web.

Que el comerciante gestiona con RestoreREBU (como encargados)

• Catálogo: productos, variantes, precios, stock, piezas únicas con sus fotos públicas.
• Datos de compra de piezas de segunda mano que el comerciante introduce (vendedor, documento de identidad, precio de compra, firma) y datos de sus clientes y facturas.
• Pedidos de la tienda de Shopify: importe, líneas, referencias y estado de pago.

4. Para qué y con qué base legal

No vendemos datos, no los cedemos a terceros con fines comerciales, no los usamos para publicidad ni para elaborar perfiles, y no tomamos decisiones automatizadas con efectos jurídicos.

5. Datos que recibimos de Shopify

• Pedidos sin datos personales del comprador. Los pedidos pagados se importan a nombre de un cliente genérico, SHOPIFY-WEB. No se importan nombre, email, teléfono, direcciones ni IP del comprador.
• Avisos (webhooks) sin datos personales. Antes de guardar un aviso de Shopify eliminamos los campos del cliente, email, teléfono, direcciones de envío y facturación e IP. Lo que queda (importes, productos, referencias) sirve para procesar el pedido y el stock.
• Solicitudes de protección de datos de Shopify. Atendemos los avisos obligatorios de Shopify: customers/data_request y customers/redact (como no guardamos datos personales de los compradores de la tienda, respondemos que no hay datos que entregar o borrar, y lo registramos) y shop/redact (ver apartado 6).
• Permisos de la app. La app pide acceso a productos, archivos, inventario, ubicaciones y pedidos de la tienda, solo para las funciones descritas.

6. Cuánto tiempo los conservamos

• Facturas y registros de facturación del comerciante: son sus libros fiscales. Se conservan mientras la cuenta esté activa y, después, durante el plazo que exige la ley española al comerciante (por regla general 4 años según la Ley General Tributaria y hasta 6 años según el Código de Comercio; plazos mayores si la normativa aplicable lo exige, por ejemplo hasta 10 años en materia de prevención del blanqueo), salvo que el comerciante los exporte y nos pida borrarlos antes, asumiendo él su conservación.
• Avisos de Shopify (webhooks): se guardan sin datos personales, solo el tiempo necesario para procesarlos y depurar errores: [PLAZO, p. ej. 90 días].
• Desinstalación de la app: al desinstalar, la conexión con la tienda se desactiva. Shopify envía el aviso shop/redact 48 horas después; en ese momento borramos las credenciales de acceso a la tienda y los datos de conexión, en todo caso dentro de los 30 días siguientes. La cuenta de RestoreREBU y sus facturas no se borran con la desinstalación (el comerciante las necesita para sus obligaciones fiscales); se pueden eliminar a petición, con los límites del primer punto.
• Datos de la cuenta y de la empresa: mientras dure la relación y, después, bloqueados durante los plazos de prescripción legales.
• Registros técnicos: [PLAZO, p. ej. 12 meses].

7. Subencargados y destinatarios

Avisaremos a los comerciantes antes de añadir o cambiar un subencargado, para que puedan oponerse.

8. Transferencias internacionales

Los datos se alojan en la Unión Europea. Algunos proveedores (Supabase, Shopify) tienen sede o personal de soporte fuera del Espacio Económico Europeo; en ese caso el acceso se ampara en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está adherido, o en las cláusulas contractuales tipo de la Comisión Europea, con las medidas adicionales que correspondan.

9. Seguridad

• Cifrado en tránsito (HTTPS/TLS) y en reposo en la base de datos y el almacenamiento.
• Aislamiento de los datos de cada empresa con políticas de seguridad a nivel de fila.
• Las credenciales de Shopify solo son accesibles para las funciones del servidor, nunca desde la app ni desde el navegador.
• Verificación de la firma de cada aviso de Shopify y de los tokens de sesión de la página incrustada.
• Notificación de brechas de seguridad al comerciante y, si procede, a la autoridad de control, en los plazos del RGPD.

10. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a sarri.up.dev@gmail.com, indicando qué derecho ejerces. Respondemos en el plazo de un mes.

Si eres cliente o comprador de una tienda que usa RestoreREBU, dirígete primero a esa tienda: ella es la responsable de tus datos. Si nos escribes a nosotros, trasladaremos tu solicitud a la tienda.

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

11. Cambios en esta política

Si cambiamos esta política de forma relevante, lo avisaremos a los comerciantes por email o dentro de la app con antelación razonable. La fecha de la última actualización está al principio de la página.