Ambrerio (en adelante, «nosotros») establece la presente Política de Protección de Datos conforme al Reglamento General de Protección de Datos (RGPD), Reglamento (UE) 2016/679, y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
Este documento describe los principios que orientan el tratamiento de los datos personales, los derechos de las personas interesadas y las medidas organizativas destinadas a proteger la información utilizada durante el funcionamiento de nuestra tienda online.
1. Ámbito de aplicación
Las disposiciones de esta política se aplican a los tratamientos de datos personales relacionados con la utilización de nuestra tienda online, la realización de compras, la gestión de pagos, la entrega de productos y la atención de solicitudes de los clientes.
La información tratada puede comprender datos de identificación, direcciones de entrega, medios de contacto, referencias de pedidos, registros de transacciones y datos técnicos necesarios para el funcionamiento y la seguridad del servicio.
El alcance del tratamiento dependerá de las funciones utilizadas por cada persona y de las finalidades que justifiquen la recopilación de información.
Actuamos como responsables de los tratamientos que determinamos para gestionar nuestras operaciones, sin perjuicio de las obligaciones que puedan corresponder a otros participantes en los procesos de pago, transporte y soporte técnico.
Las actividades de tratamiento se desarrollarán conforme al RGPD, la legislación española aplicable y las obligaciones específicas que correspondan a cada operación.
2. Principios generales del tratamiento
El tratamiento de los datos personales se fundamenta en los principios establecidos en el artículo 5 del RGPD.
La licitud, lealtad y transparencia requieren que la información personal se utilice sobre una base jurídica válida y que las personas interesadas reciban explicaciones comprensibles sobre las finalidades correspondientes.
La limitación de la finalidad implica que los datos se recopilen para objetivos específicos, explícitos y legítimos, evitando su utilización posterior para fines incompatibles con aquellos inicialmente comunicados.
La minimización de datos orienta nuestros procedimientos hacia la recopilación de información adecuada, pertinente y limitada a lo necesario para cada actividad.
El principio de exactitud requiere adoptar medidas razonables para mantener actualizados los datos utilizados y corregir aquellos que resulten inexactos cuando corresponda.
La limitación del plazo de conservación supone mantener los datos identificables únicamente durante el tiempo necesario para cumplir sus finalidades, considerando las obligaciones legales aplicables.
La integridad y confidencialidad exigen aplicar medidas técnicas y organizativas destinadas a proteger la información frente a accesos no autorizados, pérdidas, alteraciones o tratamientos indebidos.
Asimismo, seguimos el principio de responsabilidad proactiva, que requiere poder demostrar la aplicación de medidas adecuadas para cumplir las obligaciones de protección de datos.
Las actividades de tratamiento podrán basarse, según corresponda, en la ejecución de un contrato, el cumplimiento de una obligación legal, el consentimiento válido de la persona interesada o la existencia de un interés legítimo debidamente evaluado.
3. Derechos de las personas interesadas
Las personas cuyos datos personales sean tratados disponen de los derechos reconocidos por los artículos 12 a 22 del RGPD, sujetos a las condiciones y limitaciones previstas legalmente.
El derecho de acceso permite conocer si tratamos datos personales de una persona y obtener información sobre sus finalidades, categorías, destinatarios y periodos de conservación, así como una copia de los datos cuando corresponda.
El derecho de rectificación permite solicitar la corrección de información inexacta y completar los datos que resulten incompletos.
El derecho de supresión permite solicitar la eliminación de datos personales cuando concurran las circunstancias previstas por la legislación, teniendo en cuenta las obligaciones que puedan justificar su conservación.
El derecho a la limitación del tratamiento permite solicitar que determinados datos sean utilizados únicamente bajo las condiciones establecidas legalmente.
El derecho a la portabilidad permite recibir determinados datos facilitados por la persona interesada en un formato estructurado, de uso común y lectura mecánica, cuando se cumplan los requisitos correspondientes.
El derecho de oposición permite solicitar el cese de tratamientos fundamentados en determinadas bases jurídicas, teniendo en cuenta las circunstancias de cada caso. La oposición al tratamiento con fines de mercadotecnia directa podrá ejercerse en cualquier momento.
Cuando el tratamiento dependa del consentimiento, este podrá retirarse sin que ello afecte a la licitud de las operaciones realizadas con anterioridad.
Las personas interesadas también disponen de los derechos previstos frente a determinadas decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o les afecten significativamente de manera similar.
Para ejercer estos derechos, podrán enviar una solicitud a helpdesk@ambrerio.com, indicando el derecho que desean ejercer y la información necesaria para identificar su solicitud.
Cuando existan dudas razonables sobre la identidad del solicitante, podremos requerir información adicional proporcionada a la finalidad de verificación.
Responderemos sin dilación indebida y, con carácter general, dentro de un mes desde la recepción de la solicitud. En los casos legalmente justificados, este plazo podrá ampliarse hasta dos meses adicionales, informando de la ampliación y sus motivos dentro del primer mes.
Las personas interesadas podrán presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) si consideran que el tratamiento de su información no se ajusta a la normativa vigente.
4. Obligaciones de los participantes en el tratamiento
Las responsabilidades relacionadas con el tratamiento de datos personales se determinan según las funciones desempeñadas por cada participante y las disposiciones del RGPD.
Como responsables de los tratamientos que determinamos, nos corresponde identificar las finalidades y bases jurídicas, proporcionar la información exigida legalmente y aplicar medidas de protección adecuadas a los riesgos existentes.
También debemos facilitar el ejercicio de los derechos de las personas interesadas, mantener los registros de actividades de tratamiento cuando sean exigibles y revisar periódicamente las medidas de seguridad utilizadas.
Cuando recurramos a proveedores que traten datos personales por nuestra cuenta, estableceremos los acuerdos previstos por el artículo 28 del RGPD, incluyendo instrucciones documentadas, obligaciones de confidencialidad y condiciones de seguridad apropiadas.
Las personas autorizadas para acceder a información personal deberán utilizarla únicamente dentro del ámbito de sus funciones y respetar las obligaciones de confidencialidad correspondientes.
Los proveedores que participen en operaciones de pago, distribución de mercancías o soporte técnico deberán tratar la información conforme a las responsabilidades legales que les correspondan.
Cuando resulte obligatorio designar un delegado de protección de datos o un representante en la Unión Europea, adoptaremos las medidas necesarias para cumplir los requisitos aplicables y facilitar sus datos de contacto.
Los usuarios deberán procurar que la información proporcionada para gestionar sus pedidos sea adecuada y comunicar las correcciones necesarias cuando detecten datos inexactos.
Esta colaboración no reduce nuestras responsabilidades legales respecto a la exactitud, seguridad y utilización legítima de la información personal.
5. Comunicación y transferencia de datos personales
Los datos personales podrán comunicarse a los destinatarios que necesiten intervenir en operaciones relacionadas con los pedidos, los pagos, la entrega de mercancías o el cumplimiento de obligaciones legales.
La información facilitada se limitará a los datos necesarios para cada finalidad, procurando evitar comunicaciones excesivas o incompatibles con los tratamientos inicialmente previstos.
Los operadores de transporte podrán recibir datos de identificación, direcciones y medios de contacto necesarios para organizar la entrega de productos.
Los servicios encargados del procesamiento de pagos podrán tratar la información indispensable para autorizar transacciones, verificar operaciones y gestionar reembolsos.
No vendemos ni comercializamos los datos personales de contacto de nuestros clientes.
Cuando una transferencia de datos personales esté sujeta a las disposiciones del capítulo V del RGPD, evaluaremos las condiciones legales aplicables antes de realizarla.
En los casos correspondientes, podrán utilizarse decisiones de adecuación adoptadas por la Comisión Europea o garantías apropiadas, como las cláusulas contractuales tipo previstas en el artículo 46 del RGPD.
Cuando resulte necesario, se evaluarán los riesgos asociados al acceso y tratamiento de la información y se adoptarán medidas complementarias destinadas a proteger los derechos de las personas interesadas.
Las excepciones previstas por el artículo 49 del RGPD solo se utilizarán cuando concurran los requisitos legales correspondientes.
Las comunicaciones exigidas por una obligación legal o una solicitud válida de una autoridad competente se realizarán dentro de los límites establecidos por la normativa aplicable.
6. Medidas y procedimientos de cumplimiento
Para favorecer el cumplimiento de las obligaciones de protección de datos, aplicamos un enfoque basado en la evaluación de riesgos y en la adecuación de las medidas utilizadas a la naturaleza de cada tratamiento.
La protección de datos desde el diseño y por defecto orienta la organización de nuestros procedimientos, procurando limitar la recopilación, el acceso y la conservación de información personal a lo necesario.
Las comunicaciones relacionadas con la tienda online se protegen mediante conexiones cifradas con TLS, mientras que el acceso a determinados registros se encuentra sujeto a controles de autorización.
El procesamiento de tarjetas de pago se realiza mediante servicios especializados que aplican los requisitos PCI-DSS correspondientes. No almacenamos directamente los números completos de las tarjetas ni sus códigos de seguridad.
Cuando una actividad de tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas, se realizará una evaluación de impacto relativa a la protección de datos en los supuestos exigidos por el artículo 35 del RGPD.
Los periodos de conservación se determinarán considerando las finalidades del tratamiento y las obligaciones fiscales, contables y contractuales aplicables. Una vez finalizados, los datos serán eliminados, anonimizados o bloqueados cuando corresponda legalmente.
En relación con las cookies no esenciales y tecnologías similares, se solicitará el consentimiento previo cuando resulte obligatorio, facilitando mecanismos para gestionar o retirar las preferencias.
Disponemos de procedimientos destinados a evaluar posibles incidentes de seguridad y determinar las actuaciones necesarias para limitar sus consecuencias.
Cuando una violación de seguridad de datos personales deba notificarse a la autoridad de control, se realizará la comunicación sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a haber tenido conocimiento de ella, conforme al artículo 33 del RGPD.
Si el incidente supone un alto riesgo para los derechos y libertades de las personas afectadas, se les informará en los términos previstos por el artículo 34 del RGPD.
Las medidas de cumplimiento podrán revisarse y adaptarse en función de cambios normativos, tecnológicos u operativos, procurando mantener un nivel de protección apropiado a los riesgos identificados.
7. Información de contacto y ejercicio de derechos
Las personas interesadas pueden comunicarse con nosotros para solicitar información sobre el tratamiento de sus datos personales, ejercer los derechos reconocidos por el RGPD o plantear consultas relacionadas con la confidencialidad y la seguridad de la información.
Las solicitudes deberán describir de forma clara el motivo de la consulta, evitando proporcionar datos personales que no resulten necesarios para su tramitación.
Departamento de Servicios Internacionales / Almacén de Devoluciones
Dirección de contacto: 221 Central Dr ,Fayetteville, NC 28301, US
Correo electrónico de atención al cliente: helpdesk@ambrerio.com
Teléfono de atención al cliente: +1 (910) 683-5147
Horario de atención: de lunes a viernes, de 09:00 a 12:30 y de 14:00 a 18:00 (hora de Europa Central).
Las consultas generales se revisarán habitualmente dentro de 1 a 3 días laborables. Las solicitudes relativas al ejercicio de derechos de protección de datos se gestionarán dentro de los plazos legales correspondientes.
Procuraremos ofrecer información comprensible sobre las solicitudes recibidas y aplicar las medidas necesarias de acuerdo con el RGPD y la legislación española vigente.