Política de Privacidad

1. Responsable del tratamiento

En cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), le informamos de que el responsable del tratamiento de sus datos personales es:

2. Datos personales que recabamos

En función de la interacción que mantenga con el Sitio Web, podemos recabar las siguientes categorías de datos personales:

2.1 Datos de registro y cuenta de usuario

• Nombre y apellidos
• Dirección de correo electrónico
• Contraseña (almacenada de forma cifrada, nunca en texto plano)

2.2 Datos de compra y facturación

• Nombre y apellidos del titular
• Dirección de facturación y/o envío (calle, número, piso, localidad, código postal, provincia, país)
• Teléfono de contacto
• Correo electrónico
• Número de pedido e historial de compras
• Datos de pago: usted paga con tarjeta o con Bizum en la página segura de Redsys, la plataforma de pago de nuestro TPV virtual. Los datos de su tarjeta los escribe usted en esa página: Café Raizal no ve ni guarda el número completo de su tarjeta ni su código de seguridad. De cada pago, Redsys nos comunica, y guardamos con el pedido, el resultado (aceptado o rechazado), el importe, la fecha, el número de pedido y algunos datos del medio de pago que por sí solos no permiten cobrarle: de la tarjeta, la marca, el tipo y el país de emisión; de Bizum, el número de teléfono y el número de cuenta abreviado que envía Redsys. Si se suscribe a nuestro café, guardamos además la referencia de su tarjeta que nos da Redsys (apartado 2.3).

2.3 Datos de la suscripción de café

Si se suscribe a nuestro café, además de sus datos de contacto y de entrega tratamos:

• Los datos de su suscripción: pack, frecuencia, día de salida, molienda, precio, fechas de cobro y de envío, estado (activa, en pausa o cancelada) y el historial de cobros y envíos.
• La referencia de su tarjeta, no la tarjeta: la tarjeta la registra usted en la página de Redsys y su banco la comprueba con una operación de 0 €. Café Raizal no ve ni guarda el número completo ni el código de seguridad. Para cobrarle cada envío guardamos la referencia (token) que Redsys genera para su tarjeta y el identificador que Redsys asigna a esa operación de 0 €, que se usa en cada cobro siguiente; la marca de la tarjeta y su fecha de caducidad (mes y año); y la fecha del último cobro aceptado y, si alguno falla, su fecha y el motivo. También guardamos, como registro de la operación, el aviso que Redsys nos envía cuando registra o cambia su tarjeta: incluye esa referencia y el país y el tipo de la tarjeta que comunica Redsys, y no se usa para cobrar. Si cambia de tarjeta, la referencia anterior se desactiva y no se vuelve a usar.
• La prueba de lo que aceptó: al darse de alta guardamos la versión de las condiciones de la suscripción que aceptó, la fecha y la hora, y el texto exacto de la casilla que marcó, con el importe que nos autorizó a cobrar en cada envío.

2.4 Datos de navegación y analítica

• Dirección IP (anonimizada en Google Analytics)
• Tipo de dispositivo, navegador y sistema operativo
• Páginas visitadas, tiempo de permanencia, origen del tráfico
• Datos de cookies (véase nuestra Política de Cookies)

2.5 Datos de comunicaciones

• Nombre, email y teléfono que nos deja en el formulario de contacto, y el contenido de sus mensajes
• Historial de comunicaciones por email o teléfono con el servicio de atención al cliente

2.6 Datos de marketing (con consentimiento)

• Preferencias de producto (variedades, formatos, moliendas)
• Historial de pedidos para personalización de oferta
• Dirección de email para envío de newsletter y comunicaciones comerciales

2.7 Datos del área profesional

Si solicita para su negocio de hostelería las condiciones de nuestra página para profesionales, tratamos además los datos fiscales de su negocio y su certificado de situación censal. Qué datos son exactamente, para qué los usamos, quién los ve y cuánto tiempo los guardamos está en el apartado 7.

Los datos que cada formulario le pide como obligatorios son necesarios para tramitar su pedido, su suscripción o su consulta: si no nos los facilita, no podremos atenderlos. Los demás son voluntarios.

3. Finalidades y base legal del tratamiento

A continuación se detallan las finalidades para las que tratamos sus datos, junto con la base jurídica que legitima cada tratamiento:

Cuando la base legal sea el consentimiento, tiene derecho a retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento anterior a su retirada.

Si es cliente y no quiere recibir nuestros correos comerciales: puede oponerse en cualquier momento y sin coste, contestando a cualquiera de ellos o escribiendo a hola@caferaizal.es; cada correo le indica cómo hacerlo. Si se opone, dejamos de enviarle todas nuestras comunicaciones comerciales. Los correos que necesita su pedido o su suscripción (confirmaciones, cambios e incidencias con cobros y envíos) no son publicidad y se los seguiremos enviando.

4. Plazos de conservación

Los datos se conservarán durante el tiempo estrictamente necesario para las finalidades indicadas, y en todo caso durante los plazos legalmente exigidos:

• Datos de pedidos y facturación: 4 años (art. 66 LGT) y hasta 6 años para obligaciones mercantiles (art. 30 C.Com.).
• Datos de la suscripción de café: mientras la suscripción esté activa o en pausa y, tras la cancelación, hasta 6 años, como los pedidos (art. 30 C.Com.).
• Referencia de la tarjeta (token), marca y caducidad: mientras tenga la suscripción. Si cambia de tarjeta, la referencia anterior se desactiva. Si cancela, la referencia deja de usarse en los cobros automáticos, que solo cobran suscripciones activas. En los dos casos la conservamos, junto con el registro de los cobros hechos con ella, hasta 6 años, para atender devoluciones, reclamaciones o disputas del cobro con el banco.
• Prueba de la aceptación de las condiciones y de la autorización de cobro (versión, fecha y hora, texto aceptado): mientras dure la suscripción y, después, hasta 6 años, para poder acreditar qué se contrató si hay una reclamación.
• Área profesional: las solicitudes que no se aprueban, 12 meses; los datos de los clientes profesionales, mientras dure la relación y 6 años después. Detalle en el apartado 7.5.
• Altas de suscripción que no se terminan (los datos del formulario de alta, si no llega a registrar la tarjeta): hasta 12 meses.
• Datos de cuenta de usuario: Mientras la cuenta esté activa. Tras la baja, se bloquearán durante 3 años para atender posibles reclamaciones.
• Comunicaciones de atención al cliente: 3 años desde la resolución de la consulta.
• Datos de marketing / newsletter: Hasta que el usuario retire su consentimiento o solicite la baja. Se revisará la actividad cada 2 años. La newsletter para profesionales tiene sus propias reglas: ver el punto 7.7.
• Datos de analítica web: el plazo de retención configurado en Google Analytics (como máximo 14 meses).
• Logs de acceso y seguridad: el tiempo necesario para la seguridad del sitio, como máximo 12 meses.

Transcurridos los plazos indicados, los datos serán suprimidos o anonimizados de forma irreversible.

5. Destinatarios y transferencias internacionales

Los datos personales no se cederán a terceros salvo obligación legal o cuando sea estrictamente necesario para la prestación del servicio. Los principales destinatarios de los datos, por categorías, son:

• Pagos con tarjeta y Bizum (Redsys y la entidad bancaria que nos presta el TPV virtual): reciben lo necesario para tramitar cada pago y cada cobro de la suscripción: el importe, el número de pedido, su nombre y su correo electrónico, la descripción de la operación en la suscripción y los datos de la tarjeta o de Bizum que usted introduce directamente en la página de Redsys, sin que pasen por nuestros servidores.
• Empresa de logística y mensajería: Nombre, dirección de entrega y teléfono, para la entrega del pedido. Los datos se tratan exclusivamente con esta finalidad.
• Proveedor de email transaccional: Para el envío de confirmaciones de pedido, notificaciones de envío y comunicaciones de atención al cliente.
• Plataforma de email marketing: Para el envío de newsletter y comunicaciones comerciales a suscriptores que hayan dado su consentimiento. La newsletter para profesionales no usa plataforma de email marketing: se envía con nuestro proveedor de correo electrónico (punto 7.7).
• Google LLC (Google Analytics 4): Para analítica web con IP anonimizada. Google actúa como encargado de tratamiento bajo el Acuerdo de Procesamiento de Datos de Google y con Cláusulas Contractuales Tipo que garantizan el nivel de protección adecuado.
• Meta Platforms Ireland Ltd. (medición de nuestros anuncios): para medir el resultado de nuestros anuncios, enviamos a Meta información de cada compra en la tienda: su correo electrónico, su teléfono, su ciudad y su código postal cifrados con hash, la dirección IP y el navegador desde los que compró, los identificadores de las cookies de Meta si los hay, el importe y los productos.
• Servicios de alojamiento web: El Sitio Web está alojado en servidores ubicados en la Unión Europea.
• Agencia Tributaria (solo en el área profesional): para comprobar el certificado de situación censal de su negocio y, si corresponde, si está en recargo de equivalencia (apartado 7.4).

Todos los encargados de tratamiento están vinculados contractualmente a través de los correspondientes Acuerdos de Encargado de Tratamiento (art. 28 RGPD), con instrucciones explícitas de tratamiento y garantías de confidencialidad y seguridad.

Transferencias internacionales

Determinados proveedores (como Google) pueden implicar transferencias de datos a países fuera del Espacio Económico Europeo (EEE). Estas transferencias se realizan bajo las garantías adecuadas previstas en el Capítulo V del RGPD (Decisiones de adecuación, Cláusulas Contractuales Tipo u otras garantías apropiadas).

Los datos de compra que enviamos a Meta pueden transferirse a Estados Unidos, con las garantías que Meta aplica a esas transferencias.

6. Sus derechos (ARCO+)

Como interesado, puede ejercer los siguientes derechos reconocidos por el RGPD y la LOPDGDD:

Cómo ejercer sus derechos

Para ejercer cualquiera de los derechos anteriores, puede enviar una solicitud por escrito a través de los siguientes medios, adjuntando una copia de su DNI u otro documento de identidad válido:

Responderemos a su solicitud en el plazo máximo de un mes desde su recepción (prorrogable dos meses más en casos de especial complejidad). Si considera que su solicitud no ha sido atendida adecuadamente, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

Baja de newsletter

Para darse de baja de las comunicaciones comerciales, puede hacer clic en el enlace «Cancelar suscripción» que figura al pie de cada email, o escribir a hola@caferaizal.es con el asunto «Baja newsletter».

7. Área profesional (negocios de hostelería)

Este apartado se aplica si pide para su negocio de hostelería o restauración las condiciones de nuestra página para profesionales (caferaizal.es/profesionales) y, si se aprueba, mientras sea cliente profesional. Completa lo que dicen los apartados anteriores.

El área profesional es solo para negocios dados de alta en Hacienda como autónomo o como empresa. Por eso, antes de darle de alta, una persona de nuestro equipo verifica su negocio a mano con su certificado de situación censal. No tomamos ninguna decisión automatizada sobre su solicitud.

7.1 Qué datos tratamos

• Los de su solicitud: el nombre de la persona de contacto, su correo y su teléfono; el nombre comercial del negocio, el tipo de local, la ciudad y la dirección de entrega con su código postal; la forma jurídica (autónomo o sociedad, por ejemplo), el NIF, el nombre o la razón social y el domicilio fiscal; el uso que nos declara del café (servirlo en su local, o servirlo y además revender las bolsas tal cual); los kilos al mes, más o menos; y lo que nos escriba en el mensaje. Con la solicitud recibimos también la página desde la que la envía, el origen de su visita (por ejemplo, un buscador o un anuncio) y la dirección IP, que usamos para frenar los envíos automáticos y que figura en el aviso interno de la solicitud.
• Su certificado de situación censal, que le pedimos por correo electrónico. Lo expide la Agencia Tributaria y contiene los datos que constan en el censo: su NIF y su nombre o razón social, el domicilio fiscal, la condición de residencia, el NIF de sus representantes si los tiene, su situación tributaria, sus actividades y locales y las obligaciones periódicas que tiene con Hacienda. Lleva un código seguro de verificación (CSV) con el que comprobamos en la sede de la Agencia Tributaria que es auténtico.
• Un dato que no nos da usted: si su negocio no es una sociedad y nos dice que revende café, consultamos en la Agencia Tributaria si está en el régimen de recargo de equivalencia, para saber si tenemos que aplicárselo en la factura. Tratamos el resultado de esa consulta.
• El registro de la verificación: quién la hizo, cuándo y con qué resultado, y la fecha en que le pediremos un certificado actualizado (el certificado vale un año).
• Si es cliente: sus pedidos, facturas, pagos y envíos, y los datos de las personas de su equipo que nos indique (quien recibe los envíos o asiste a la formación). Si nos da datos de otras personas, infórmeles de este apartado.

Sin los datos fiscales y el certificado no podemos verificar su negocio ni hacerle la factura.

7.2 Para qué los usamos y con qué base legal

La casilla del formulario confirma que ha leído esta información; la base de estos tratamientos no es su consentimiento, sino las indicadas en la tabla.

7.3 Quién ve sus datos en Café Raizal

Dentro de PROSDAR IMPORT EXPORT S.L. acceden a su solicitud las personas que verifican los negocios y el comercial que atiende a la hostelería, cada una a lo que necesita para su trabajo. Solo las personas encargadas de verificar comprueban el certificado y deciden el alta. Cuando llega una solicitud, el equipo recibe un aviso interno por correo electrónico y por WhatsApp con los datos principales de la solicitud.

7.4 A quién se los comunicamos

• Agencia Tributaria: para comprobar su certificado usamos su CSV en la sede de la Agencia; para la consulta del recargo de equivalencia, su NIF. También recibe los datos que la ley nos obliga a comunicarle.
• Empresa de mensajería: el nombre del negocio, la dirección de entrega y el teléfono, para entregarle los pedidos.
• Proveedores que nos prestan servicios de alojamiento de la web y de nuestros sistemas, de correo electrónico y de mensajería instantánea, con contrato de encargado del tratamiento (art. 28 RGPD). Los avisos internos por WhatsApp y los mensajes que nos envíe por WhatsApp pasan por ese servicio, que presta WhatsApp Ireland Limited y puede implicar transferencias fuera del Espacio Económico Europeo con las garantías del apartado 5.

No cedemos sus datos a nadie más ni los vendemos.

7.5 Cuánto tiempo los guardamos

• Solicitudes que no se aprueban (porque no se verifica el negocio, porque no nos llega el certificado o porque usted desiste de ella): 12 meses desde que nos llega la solicitud. Después se suprimen, con el certificado si nos lo envió.
• Clientes profesionales: mientras dure la relación y, cuando termine, 6 años más, porque la ley nos obliga a conservar la documentación y los justificantes del negocio (art. 30 del Código de Comercio). Terminada la relación, los datos quedan bloqueados (art. 32 de la LOPDGDD): no los usamos para nada más y solo se ponen a disposición de los jueces y tribunales, el Ministerio Fiscal o las administraciones competentes. Pasado el plazo, se destruyen.

7.6 Sus derechos

Tiene los derechos del apartado 6: acceso, rectificación, supresión, oposición, limitación y portabilidad, y puede ejercerlos escribiendo a hola@caferaizal.es. Si pide la supresión de sus datos mientras estudiamos su solicitud, la damos por retirada y los suprimimos. Si ya es cliente, lo que la ley nos obliga a guardar (facturas y documentación del negocio) queda bloqueado hasta que venza su plazo. Si no está conforme con cómo tratamos sus datos, puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

7.7 Newsletter para profesionales

Tenemos dos newsletters para profesionales, una por cada línea: la de hostelería, para quien sirve café en su negocio, y la de marcas propias, para quien vende o quiere vender café con su propia marca. Este punto se aplica también a quien nos pide una propuesta en nuestra página de marcas blancas, aunque no tenga un negocio de hostelería. A diferencia del resto de este apartado, la base de este tratamiento es su consentimiento.

• Quién trata sus datos: PROSDAR IMPORT EXPORT S.L. (Café Raizal), con los datos del apartado 1. La newsletter se envía desde hola@caferaizal.es.
• Para qué: enviarle por correo electrónico la newsletter de la línea a la que se apunta. Solo recibe la de esa línea: si quiere las dos, tiene que apuntarse a cada una.
• Qué datos: su correo electrónico, la línea y la prueba de su consentimiento: la fecha y la hora, el texto exacto que aceptó y su versión, cómo lo dio (la casilla del formulario o el enlace que le enviamos), la página desde la que lo hizo, un código calculado a partir de su dirección IP (no la dirección en claro) y, si nos envió una solicitud, su referencia. Si se da de baja, guardamos también la fecha y la forma de la baja.
• Base legal: su consentimiento (art. 6.1.a RGPD), que es también el que exige el art. 21 de la LSSI para enviarle comunicaciones comerciales por correo electrónico. Es voluntario: la casilla aparece sin marcar, no hace falta marcarla para enviar la solicitud y no marcarla no cambia en nada cómo la atendemos.
• Cómo se da: marcando la casilla de la newsletter en el formulario de profesionales (newsletter de hostelería) o en el de marcas blancas (newsletter de marcas propias). Si ya nos escribió antes, también con el enlace que le enviamos en nuestra respuesta: abrir el enlace no le apunta; se apunta al pulsar el botón de la página a la que lleva.
• Cómo se retira: cuando quiera y sin coste, con el enlace de baja que va en cada newsletter o escribiendo a hola@caferaizal.es. La baja de una línea no le da de baja de la otra. Retirar el consentimiento no afecta a la licitud de los envíos anteriores.
• Darse de baja no afecta a su solicitud: la seguimos atendiendo igual y, si es cliente, le seguimos enviando los correos que necesita la relación (pedidos, facturas y entregas), que no son publicidad.
• A quién se comunican: a nadie, salvo al proveedor del servicio de correo electrónico con el que se envía, con contrato de encargado del tratamiento (art. 28 RGPD). No cedemos ni vendemos la lista.
• Cuánto tiempo: mientras no se dé de baja. Cuando se da de baja, dejamos de enviársela y guardamos la prueba de su consentimiento y de su baja, sin usarla para nada más, solo el tiempo necesario para atender las reclamaciones que pudieran surgir por esos envíos; después la suprimimos.

8. Menores de edad

Los servicios de Café Raizal están dirigidos a personas mayores de 18 años. No recabamos datos personales de menores de edad de forma intencionada. Si un menor hubiera facilitado datos sin el consentimiento de sus tutores legales, los responsables podrán solicitar la supresión de dichos datos contactando a hola@caferaizal.es.

Conforme al artículo 7 de la LOPDGDD, en España el tratamiento de datos de mayores de 14 años puede legitimarse con su propio consentimiento para determinados servicios de la sociedad de la información. No obstante, para la contratación de productos, exigimos la mayoría de edad civil (18 años).

9. Seguridad de los datos

PROSDAR IMPORT EXPORT S.L. ha implementado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de acuerdo con el artículo 32 del RGPD:

• Cifrado en tránsito: Todas las comunicaciones entre el navegador del usuario y el Sitio Web se realizan mediante protocolo HTTPS con certificado SSL/TLS válido.
• Cifrado de contraseñas: Las contraseñas de usuario se almacenan mediante funciones de hash criptográfico con sal (bcrypt u equivalente). Nunca se almacenan en texto plano.
• Segmentación de accesos: El acceso a los datos personales está restringido al personal autorizado y a los encargados de tratamiento con necesidad de conocerlos.
• Copias de seguridad: Se realizan copias de seguridad periódicas de los datos.
• Gestión de incidentes: Disponemos de un procedimiento de notificación de brechas de seguridad a la AEPD (art. 33 RGPD) y a los afectados (art. 34 RGPD) cuando proceda.
• Pagos: los datos de su tarjeta se introducen en la página segura de Redsys y no pasan por nuestros servidores. Café Raizal no ve ni guarda el número completo de su tarjeta ni su código de seguridad; para la suscripción guarda la referencia que da Redsys y los datos de la tarjeta que se indican en el apartado 2.3.

10. Cambios en la política de privacidad

PROSDAR IMPORT EXPORT S.L. puede modificar la presente Política de Privacidad para adaptarla a cambios legislativos, jurisprudenciales o de buenas prácticas del sector. En caso de modificaciones sustanciales que afecten a usuarios registrados, se notificará con carácter previo a través del correo electrónico facilitado o mediante aviso prominente en el Sitio Web.

Se recomienda revisar periódicamente esta página. La fecha de última actualización figura al pie de este documento.

11. Contacto

Para cualquier consulta relacionada con la protección de datos o el ejercicio de sus derechos, puede contactar con nosotros:

Véase también nuestro Aviso Legal y nuestra Política de Cookies.