Legal
Política de privacidad
Última actualización: [fecha_actualizacion]
1. Responsable del tratamiento
[titular] (NIF/NIE [nif]), que actúa con el nombre comercial [marca] · [direccion] · [email] · [telefono]
2. Qué datos tratamos y para qué
| Finalidad | Datos | Base legal | Conservación |
|---|---|---|---|
| Responder a los mensajes del formulario de contacto y atender las solicitudes de paquetes que llegan por esa vía. | Nombre, email, teléfono (opcional), mensaje (incluido el paquete que te interesa), si es un regalo, idioma, fecha del consentimiento y dirección IP desde la que se envía. | Tu consentimiento (art. 6.1.a RGPD) y la aplicación de medidas precontractuales a petición tuya (art. 6.1.b). | 12 meses desde el envío; después se borran de forma automática, salvo que se haya hecho un pedido. |
| Atender consultas y pedidos por WhatsApp, teléfono o email. | Número de teléfono, nombre de perfil, email y el contenido de los mensajes que nos envías. | Medidas precontractuales y ejecución del contrato (art. 6.1.b). | Mientras se gestiona la consulta o el pedido y hasta 12 meses después del último contacto. |
| Gestionar el pedido: preparar el bono regalo y reservar la cita con el salón partner. | Nombre de quien compra y de quien disfruta el regalo, teléfono o email de contacto, paquete, código del bono, fecha y hora de la cita. | Ejecución del contrato (art. 6.1.b). | Hasta que caduque el bono o se disfrute el servicio, y después durante los plazos de prescripción de posibles reclamaciones. |
| Entregar los productos: recogida o envío a domicilio. | Nombre, teléfono y dirección de entrega (calle, código postal y ciudad). | Ejecución del contrato (art. 6.1.b). | Hasta la entrega y después durante los plazos de la garantía legal (3 años) y de prescripción de posibles reclamaciones. |
| Registrar las ventas y repartir el importe entre la titular, las personas colaboradoras y los proveedores de cada paquete. | Paquete, fecha, importe y gastos de envío. No se usan tus datos de contacto. | Cumplimiento de obligaciones legales (art. 6.1.c) e interés legítimo en la gestión del negocio (art. 6.1.f). | Los plazos que exige la ley (6 años según el Código de Comercio). |
| Facturación y obligaciones contables y fiscales. | Nombre o razón social, NIF (si pides factura), importe y forma de pago. | Cumplimiento de obligaciones legales (art. 6.1.c). | Los plazos que exige la ley (6 años según el Código de Comercio). |
| Proteger el formulario contra spam y abusos. | Dirección IP y verificación de Cloudflare Turnstile. | Interés legítimo en la seguridad de la web (art. 6.1.f). | Los registros de intentos, 30 días como máximo. |
| Estadísticas de visitas, solo si aceptas las cookies analíticas. | Datos de navegación (páginas vistas, dispositivo, ubicación aproximada), con la IP anonimizada (Google Analytics 4). | Tu consentimiento (art. 6.1.a). | 14 meses (configuración de Google Analytics). |
No pedimos datos de salud. Si tienes alergias, estás embarazada o tienes alguna contraindicación, coméntalo directamente al salón partner antes del servicio.
No tomamos decisiones automatizadas ni elaboramos perfiles. No vendemos tus datos.
3. A quién se comunican los datos
- Salón partner que realiza el servicio: recibe el nombre de quien disfruta el regalo, un teléfono o email de contacto y los datos de la cita, porque los necesita para atenderte. Trata esos datos como responsable independiente al prestar el servicio.
- Proveedor del producto y empresa de transporte o Correos (solo productos con envío): reciben el nombre, el teléfono y la dirección de entrega, solo para preparar y entregar el envío.
- Personas del equipo de la titular: acceden al panel privado con su propia cuenta para gestionar el contenido de la web y las ventas, bajo el deber de confidencialidad y siguiendo las instrucciones de la titular.
- WhatsApp (Meta): si nos escribes por WhatsApp, la conversación pasa por ese servicio, que trata tus datos según su propia política de privacidad.
- Plataforma de pago (): si compras un paquete con pago online, los datos de la compra (nombre, email, teléfono, día y hora de la cita o dirección de entrega, y pago) los trata la misma titular en esa plataforma, como se explica en su Política de privacidad. El pago lo procesa Stripe Payments Europe, Ltd. (Irlanda, UE) en su propia página segura: no vemos ni guardamos los datos de tu tarjeta.
- Administraciones públicas (por ejemplo, la Agencia Tributaria), solo cuando una ley lo exige.
Además, estos proveedores tratan datos por cuenta nuestra (encargados del tratamiento), con contrato y solo para prestarnos su servicio:
- Hostinger — alojamiento de la web (servidores en la Unión Europea).
- Supabase — base de datos donde se guardan los mensajes del formulario, el contenido de la web y el registro de ventas. Región: [region_supabase].
- Resend — envía a nuestro buzón un aviso por email con cada mensaje del formulario (Estados Unidos). No te envía emails a ti.
- Cloudflare (Turnstile) — verificación anti-spam del formulario.
- Google (Analytics 4) — estadísticas de visitas, solo si aceptas las cookies analíticas.
4. Transferencias internacionales
Resend, Cloudflare y Google pueden tratar datos en Estados Unidos. Están adheridos al Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework) y aplican además las cláusulas contractuales tipo aprobadas por la Comisión Europea. Si Supabase o Hostinger accedieran a los datos desde fuera de la Unión Europea, se aplican las mismas garantías.
5. Tus derechos
Puedes pedir el acceso, la rectificación, la supresión, la oposición, la limitación del tratamiento y la portabilidad de tus datos, y retirar tu consentimiento en cualquier momento sin que eso afecte a lo tratado antes, escribiendo a [email]. Te responderemos en el plazo máximo de un mes. Si consideras que no se han respetado tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
6. Menores
La web no está dirigida a menores de 14 años. Si un paquete es para una persona menor, lo solicita y gestiona su madre, padre o tutor legal.
7. Seguridad
Los datos viajan cifrados (HTTPS). La base de datos no es accesible desde el navegador: solo la titular y las personas de su equipo acceden a los mensajes, cada una con su propia cuenta, desde un panel privado protegido con contraseña y verificación en dos pasos.
8. Cambios en esta política
Si cambia la forma en que tratamos los datos, actualizaremos esta página y su fecha de actualización.
Legal
Privacy policy
Last updated: [fecha_actualizacion]
1. Data controller
[titular] (NIF/NIE [nif]), trading as [marca] · [direccion] · [email] · [telefono]
2. What data we process and why
| Purpose | Data | Legal basis | Retention |
|---|---|---|---|
| Replying to contact form messages and handling package requests received that way. | Name, email, phone (optional), message (including the package you are interested in), whether it is a gift, language, consent date and the IP address it was sent from. | Your consent (art. 6.1.a GDPR) and pre-contractual steps at your request (art. 6.1.b). | 12 months from sending; then automatically deleted, unless an order was placed. |
| Handling enquiries and orders by WhatsApp, phone or email. | Phone number, profile name, email and the content of the messages you send us. | Pre-contractual steps and performance of the contract (art. 6.1.b). | While the enquiry or order is handled and up to 12 months after the last contact. |
| Managing the order: preparing the gift voucher and booking the appointment with the partner salon. | Name of the buyer and of the person enjoying the gift, contact phone or email, package, voucher code, appointment date and time. | Performance of the contract (art. 6.1.b). | Until the voucher expires or the service is enjoyed, and afterwards for the limitation periods of possible claims. |
| Delivering products: pickup or home delivery. | Name, phone and delivery address (street, postcode and town). | Performance of the contract (art. 6.1.b). | Until delivery and afterwards for the legal guarantee period (3 years) and the limitation periods of possible claims. |
| Recording sales and splitting the amount between the owner, the collaborators and the suppliers of each package. | Package, date, amount and delivery costs. Your contact details are not used. | Compliance with legal obligations (art. 6.1.c) and legitimate interest in managing the business (art. 6.1.f). | The periods required by law (6 years under the Spanish Commercial Code). |
| Invoicing and accounting and tax obligations. | Name or company name, tax ID (if you ask for an invoice), amount and payment method. | Compliance with legal obligations (art. 6.1.c). | The periods required by law (6 years under the Spanish Commercial Code). |
| Protecting the form against spam and abuse. | IP address and the Cloudflare Turnstile check. | Legitimate interest in website security (art. 6.1.f). | Attempt logs, 30 days maximum. |
| Visit statistics, only if you accept analytics cookies. | Browsing data (pages viewed, device, approximate location), with anonymised IP (Google Analytics 4). | Your consent (art. 6.1.a). | 14 months (Google Analytics setting). |
We do not ask for health data. If you have allergies, are pregnant or have any contraindication, please tell the partner salon directly before the service.
We make no automated decisions and no profiling. We never sell your data.
3. Who receives the data
- The partner salon performing the service: receives the name of the person enjoying the gift, a contact phone or email and the appointment details, because it needs them to serve you. It processes that data as an independent controller when providing the service.
- The product supplier and the courier or Correos (only products sent to your home): receive the name, phone and delivery address, only to prepare and deliver the parcel.
- Members of the owner’s team: access the private panel with their own account to manage the website content and sales, under a duty of confidentiality and following the owner’s instructions.
- WhatsApp (Meta): if you message us on WhatsApp, the conversation goes through that service, which processes your data under its own privacy policy.
- Payment platform (): if you buy a package with online payment, the purchase data (name, email, phone, appointment day and time or delivery address, and payment) is processed by the same owner on that platform, as explained in its Privacy policy. The payment is processed by Stripe Payments Europe, Ltd. (Ireland, EU) on its own secure page: we never see or store your card details.
- Public authorities (for example, the Spanish Tax Agency), only when required by law.
In addition, these providers process data on our behalf (processors), under contract and only to provide their service to us:
- Hostinger — website hosting (servers in the European Union).
- Supabase — database storing contact form messages, the website content and the sales record. Region: [region_supabase].
- Resend — sends our inbox an email notice for each form message (United States). It does not send emails to you.
- Cloudflare (Turnstile) — anti-spam check on the form.
- Google (Analytics 4) — visit statistics, only if you accept analytics cookies.
4. International transfers
Resend, Cloudflare and Google may process data in the United States. They are certified under the EU-U.S. Data Privacy Framework and also apply the Standard Contractual Clauses approved by the European Commission. If Supabase or Hostinger accessed the data from outside the European Union, the same safeguards apply.
5. Your rights
You can request access, rectification, erasure, objection, restriction of processing and portability of your data, and withdraw your consent at any time without affecting prior processing, by writing to [email]. We will reply within one month at the latest. If you believe your rights have not been respected, you can complain to the Spanish Data Protection Agency (www.aepd.es).
6. Minors
The website is not aimed at children under 14. If a package is for a minor, it is requested and managed by their parent or legal guardian.
7. Security
Data travels encrypted (HTTPS). The database cannot be accessed from the browser: only the owner and the owner’s team can read the messages, each with their own account, from a private panel protected by password and two-step verification.
8. Changes to this policy
If the way we process data changes, we will update this page and its last-updated date.