Privacidad

Resumen breve

Tratamos solo los datos imprescindibles para atender tu compra y tu consulta. No vendemos datos. Cumplimos el RGPD y la LOPDGDD española.

Textos pendientes de validación legal — no usar en producción sin revisión por asesoría.

1. Datos que tratamos

• Compra y cuenta: nombre, email, dirección, teléfono, datos de pedido (vía WooCommerce / WooPayments).
• Contacto: nombre, email y mensaje que escribas en /contacto.
• Técnicos mínimos: token de carrito (cookie httpOnly cart-token) y consentimiento de cookies en localStorage: cookie-consent.

2. Finalidades y base jurídica

• Ejecutar tu compra (art. 6.1.b RGPD): gestionar carrito, pago y envío.
• Atender consultas (art. 6.1.b / 6.1.f): responder con trato cercano.
• Cumplir obligaciones legales y fiscales (art. 6.1.c).
• Mejora anónima solo si aceptas analíticas (art. 6.1.a consentimiento).

3. Conservación

Conservamos pedidos el tiempo exigido por normativa fiscal y mientras mantengas tu cuenta. Mensajes de contacto, el mínimo necesario para atenderlos. Tokens de carrito: 30 días.

4. Destinatarios

No cedemos datos salvo obligación legal o proveedores indispensables (alojamiento WordPress, WooPayments, transporte). Todos con contrato de encargo y medidas adecuadas.

5. Transferencias internacionales

TODO: indicar si usas proveedores fuera del EEE y base de legitimación (cláusulas tipo, adecuación). Hoy el stack es WordPress en laveladecanela.com + proxy Next.js — detallar hosting y subencargados.

6. Tus derechos

Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a laveladecanela@gmail.com. También puedes reclamar ante la AEPD (aepd.es).

• Responderemos sin demora y, como máximo, en un mes.
• Si retiras tu consentimiento, lo anterior ya realizado sigue siendo válido.

7. Menores y decisiones automatizadas

No dirigimos la tienda a menores de 14 años sin consentimiento de tutores. No tomamos decisiones automatizadas con efectos jurídicos.

8. Seguridad

Aplicamos medidas técnicas y organizativas razonables (HTTPS, cookies httpOnly, minimización, revalidación 60s sin exponer credenciales). Ningún sistema es 100% infalible — si detectas un incidente, avísanos.

TODO antes de publicar

• Completar identidad del responsable, DPD si aplica, y registro de actividades
• Listar subencargados reales (hosting, pagos, analítica)
• Definir plazos exactos y validar con asesoría