Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos en este sitio web, en el sentido del artículo 4, apartado 7, del Reglamento General de Protección de Datos (RGPD, o GDPR en inglés), es Laura Pouyadou EI (Empresa Individual, microemprendedora, SIRET 931 874 952 00019), explotadora del sitio geteverwear.com. Su dirección figura en la página aviso legal. Para cualquier pregunta sobre la protección de sus datos, contáctenos en contact@geteverwear.com.

2. Datos recogidos

Recogemos los siguientes datos:

• Datos de identificación: apellidos, nombre, dirección de correo electrónico, dirección postal, número de teléfono (al realizar un pedido o crear una cuenta).
• Datos de transacción: historial de pedidos, importes, medio de pago (los datos bancarios no pasan por nuestros servidores; los gestiona nuestro proveedor Stripe).
• Datos de navegación: páginas visitadas con su marca de tiempo, duración de lectura y parte de la página recorrida, sitio desde el que llega, marcadores de campaña presentes en la dirección (véase la sección 9 ter), ciudad aproximada, tipo de dispositivo, así como el navegador y los idiomas que su navegador anuncia espontáneamente en cada página. Esta medición no deposita ninguna cookie, no lee nada en su dispositivo y no conserva su dirección IP: esta se utiliza únicamente, durante la duración de la solicitud, para calcular una firma técnica no reversible, y después se descarta.
• Datos leídos en su dispositivo (resolución y densidad de pantalla, zona horaria, idiomas instalados) y dirección IP completa: solo si da su consentimiento, y únicamente en los dos casos descritos en las secciones 9 bis (flyers en papel) y 9 ter (medición de audiencia). Rechazarlo no cambia nada en su navegación.

3. Finalidades del tratamiento

Sus datos se utilizan para:

• Tramitar y enviar sus pedidos
• Gestionar su cuenta de cliente
• Enviarle nuestros boletines (si ha dado su consentimiento)
• Mejorar nuestro sitio web y nuestros servicios
• Cumplir nuestras obligaciones legales (facturación, contabilidad)
• Medir la eficacia de nuestras campañas de flyers en papel (véase la sección 9 bis)

4. Base jurídica

Cada tratamiento descrito en esta página se basa en una de estas cuatro bases:

• La ejecución del contrato (RGPD art. 6, apartado 1, letra b): sus pedidos, su envío, su seguimiento, las devoluciones y el servicio de atención al cliente relacionado.
• Una obligación legal (art. 6, apartado 1, letra c): la conservación de las facturas durante diez años, y la conservación de la prueba de su elección sobre los rastreadores, que el artículo 7, apartado 1, del RGPD nos obliga a poder demostrar.
• Su consentimiento (art. 6, apartado 1, letra a, y art. 82 de la loi Informatique et Libertés cuando se trata de leer algo en su dispositivo): el boletín, las cookies no esenciales, las mediciones de audiencia de terceros, la ubicación y la huella digital al escanear un flyer (sección 9 bis), así como la capa ampliada de medición de audiencia descrita en la sección 9 ter.
• Nuestro interés legítimo (art. 6, apartado 1, letra f): la seguridad del sitio y la prevención del fraude, así como la medición de la frecuentación de nuestra propia tienda — saber qué páginas se leen, si una persona vuelve y por qué enlace ha llegado (sección 9 ter). Este interés ha sido objeto de una ponderación escrita frente a sus derechos, que mantenemos a disposición de la CNIL (la autoridad francesa de protección de datos) y que le comunicamos previa solicitud sencilla en contact@geteverwear.com. Puede oponerse en cualquier momento, en la misma dirección.

5. Plazo de conservación

6. Destinatarios y encargados del tratamiento

No vendemos, alquilamos ni comunicamos sus datos a nadie con fines comerciales. Esto queda excluido, sin excepción y sea cual sea la contrapartida ofrecida. Los utilizamos exclusivamente para nuestros propios análisis: comprender cómo se recorre nuestro sitio web, mejorar su posicionamiento en buscadores, sus fichas de producto, su funcionamiento y nuestras ventas. Los únicos terceros que reciben algo son los proveedores técnicos enumerados a continuación, cada uno para una tarea concreta que no podríamos llevar a cabo solos (alojar el sitio web, cobrar un pago, enviar un paquete).

Sus datos están estrictamente reservados a GetEverwear y a sus encargados técnicos enumerados a continuación. No vendemos ni alquilamos sus datos a terceros.

7. Transferencias fuera de la Unión Europea

Nuestros proveedores están establecidos en la Unión Europea. Cuando se produzca una transferencia fuera de la UE (por ejemplo, para determinadas herramientas analíticas), nos aseguramos de que esté regulada por las cláusulas contractuales tipo aprobadas por la Comisión Europea.

8. Sus derechos (RGPD)

En virtud del RGPD, usted dispone de los siguientes derechos:

• Derecho de acceso a sus datos
• Derecho de rectificación
• Derecho de supresión («derecho al olvido»)
• Derecho a la limitación del tratamiento
• Derecho a la portabilidad de sus datos
• Derecho de oposición
• Derecho a retirar su consentimiento en cualquier momento

Para ejercer estos derechos, escríbanos a contact@geteverwear.com adjuntando una copia de un documento de identidad. También puede presentar una reclamación ante la CNIL (www.cnil.fr).

9. Cookies y rastreadores de terceros

Además de nuestras propias cookies de sesión, cargamos scripts de terceros que pueden depositar sus propias cookies:

• Stripe, para asegurar los pagos y detectar el fraude (cookies __stripe_mid, __stripe_sid). Esenciales para el proceso de pago.
• Cloudflare Turnstile, protección antibot en los formularios de registro e inicio de sesión (token de validación temporal, sin cookie persistente). Esencial para la seguridad del sitio web.
• Chat de atención al cliente de GetEverwear: cookie chat_session_id (firmada con HMAC, 30 días, Strict). Sirve únicamente para recuperar su conversación entre dos visitas si no ha iniciado sesión. Ningún intercambio con terceros: la mensajería está alojada en nuestros propios servidores (Netcup, Alemania). Los mensajes se conservan 90 días y después se purgan automáticamente. Esencial para el funcionamiento del chat (por ello se deposita sin consentimiento específico, artículo 82 de la loi Informatique & Libertés — finalidad estrictamente necesaria para el servicio solicitado por el usuario).

Tras su consentimiento explícito, cargamos Google Analytics 4 (cookies _ga, _ga_*) para cruzar los datos de navegación con Google Search Console y optimizar el posicionamiento natural. Configuración: anonimización de la IP, sin señales publicitarias (allow_google_signals: false), sin personalización de Ads (allow_ad_personalization_signals: false). Las categorías son independientes: puede aceptar la medición de audiencia anónima y rechazar GA4, o viceversa.

Al elegir un punto de recogida, el mapa mostrado carga su fondo desde los servidores de la OpenStreetMap Foundation. Esta solicitud transmite su dirección IP, sin cookie ni identificador, y solo tiene lugar si abre ese paso del pedido.

Solo tras su consentimiento explícito, cargamos la etiqueta de Google Ads, que deposita las cookies de conversión y remarketing de Google (_gcl_au, _gcl_aw, _gcl_dc, NID) para medir las ventas generadas por nuestros anuncios de Google. Cuando se realiza una compra, transmite el importe, la divisa, el número de pedido y su dirección de correo electrónico hasheada (SHA-256, nunca en texto claro). El Consent Mode v2 está activado: mientras no haya consentido la categoría «Publicidad», no se deposita ninguna de estas cookies y no se envía ningún dato publicitario a Google.

Toda la información detallada está disponible en la página Gestión de cookies.

9 bis. Campañas de flyers en papel

Distribuimos flyers impresos con una dirección corta como geteverwear.com/fr/f1, a veces en forma de código QR. Esta dirección nos permite saber si un flyer ha servido para algo. Le explicamos exactamente qué ocurre cuando la abre.

Lo que registramos en todos los casos

Al cargar la página, y sin pedirle su consentimiento, registramos: el código del flyer, la fecha y la hora, su dirección IP truncada (el último bloque se sustituye por ceros, por lo que ya no permite identificarle), el país, el tipo de dispositivo, el navegador, el sistema operativo y el idioma anunciado por su navegador. También depositamos un identificador aleatorio en una cookie llamada _ge_flyer, conservada 13 meses, que sirve únicamente para contar cuántas veces el mismo dispositivo ha escaneado nuestros flyers.

Esta recogida corresponde a la medición de audiencia y está exenta de consentimiento (recomendación de la CNIL de 17 de septiembre de 2020, adoptada en aplicación del artículo 82 de la loi Informatique et Libertés): se utiliza exclusivamente para medir nuestras campañas, no se cruza con ningún otro tratamiento y no se comunica a nadie.

Lo que registramos solo con su consentimiento

La página le ofrece una elección explícita. Si — y solo si — hace clic en «Acepto», además registramos:

• su posición geográfica, tal como su navegador nos la comunica tras pedirle un segundo permiso (aún puede rechazarlo en esta fase);
• una huella técnica de su dispositivo: tamaño y resolución de pantalla, idiomas instalados, zona horaria, número de núcleos del procesador, memoria, tipografías detectadas, tarjeta gráfica, renderizado gráfico y de audio. Combinados, estos elementos forman una firma que permite reconocer su dispositivo incluso sin cookie;
• su dirección IP completa.

Base jurídica: su consentimiento (RGPD art. 6, apartado 1, letra a, y art. 82 de la loi Informatique et Libertés). Finalidad: saber en qué lugares y en qué momentos se escanean nuestros flyers, para decidir después dónde distribuirlos. Destinatarios: nadie. Estos datos permanecen en nuestros servidores (Netcup, Alemania) y no se venden, no se alquilan ni se transmiten a una red publicitaria. Nuestras herramientas de medición de terceros (Google Analytics 4) reciben únicamente el código del flyer y el orden del escaneo: ni su posición, ni su huella, ni su dirección IP completa se les transmiten.

Si lo rechaza, accede a la tienda exactamente de la misma manera. Entonces solo conservamos el recuento descrito en el párrafo anterior, así como el registro de su rechazo — esto es lo que nos permite no volver a preguntarle y demostrar que lo hemos respetado.

Plazo: 13 meses. Transcurrido este plazo, un proceso automático borra cada noche la posición, la huella, la dirección IP y el identificador de medición. Solo permanece una línea de recuento anónimo, que a su vez se suprime a los 25 meses.

Cómo cambiar de opinión: elimine la cookie _ge_flyer desde la configuración de su navegador, y retire el permiso de geolocalización concedido a nuestro sitio web (configuración del sitio, sección «Ubicación»). Para solicitar la supresión de los escaneos ya registrados, escríbanos a la dirección indicada en la sección 13, facilitando el valor de esta cookie: es el único elemento que nos permite localizar sus registros, ya que no disponemos de su nombre ni de su dirección de correo electrónico en este tratamiento.

9 ter. Reconocimiento de visitas

Para saber si una persona vuelve al sitio web y por qué páginas pasa, calculamos una huella técnica a partir de tres elementos: su dirección IP reducida a su red (se eliminan las últimas cifras), la familia de su navegador y de su sistema operativo — sin su versión —, y su idioma. Estos elementos se mezclan con una clave secreta que solo nosotros conocemos, y después se transforman en una firma que no puede rastrearse hasta la dirección de origen.

Esta firma recibe un apodo asignado al azar de forma reproducible — «Only Turquoise Flyingfish» — que nos permite hablar de una visita sin manejar nunca un identificador. Conservamos el número de visitas, la fecha de la última, las páginas consultadas con su marca de tiempo, el tiempo dedicado a cada una y la parte de la página recorrida, la ciudad, el tipo de dispositivo, así como el navegador y los idiomas que su navegador anuncia espontáneamente en cada solicitud — los conservamos tal cual, sin truncarlos.

Lo que también nos dice la dirección de llegada. Cuando llega a través de un enlace publicitario o de una campaña, esta dirección contiene marcadores que conservamos: los parámetros utm_source, utm_medium, utm_campaign, utm_content, utm_term, ref y los identificadores de clic fbclid (Meta), gclid (Google Ads), ttclid (TikTok) y msclkid (Microsoft Ads). Nos indican qué publicación o qué anuncio le ha traído hasta aquí, algo que el nombre del sitio de origen por sí solo nunca nos dice. La lista anterior es cerrada: cualquier otro parámetro presente en la dirección se descarta sin leerlo. Estos marcadores siguen el plazo de conservación del recorrido de navegación, es decir, 5 años.

Lo que no es: un fichero de clientes. El registro de visitas no contiene ningún nombre, ninguna dirección de correo electrónico ni ningún número de pedido, y nunca lo utilizamos para reconocer a un cliente. Una reserva, porque puede comprobarse: cuando responde al aviso de consentimiento estando conectado, la prueba de esa elección registra juntas su firma técnica y su dirección de correo electrónico (véase la sección 5). Por tanto, es técnicamente posible vincular ambas cosas. Solo sirve para demostrar su elección, nunca para analizar su navegación. Base jurídica: nuestro interés legítimo en medir la frecuentación de nuestra propia tienda (RGPD art. 6, apartado 1, letra f), para la capa descrita hasta aquí. Destinatarios: nadie. Estos datos permanecen en nuestros servidores y no se venden ni se transmiten a una red publicitaria.

La ciudad y el país se deducen de su dirección IP mediante una base de datos instalada en nuestro propio servidor, DB-IP Lite (licencia CC BY 4.0). No se envía ninguna solicitud a nadie: su dirección no sale de nuestros servidores. Ya no se recurre a ningún servicio externo de geolocalización. Mientras esta base no esté instalada en un servidor determinado, simplemente no determinamos su ciudad; solo se conoce el país, tal como nuestro proveedor de seguridad lo transmite con la solicitud.

Una capa adicional, solo si la acepta

Todo lo anterior ocurre sin pedir nada a su dispositivo. Si marca la casilla «medición de audiencia» de nuestro aviso, además registramos, en cada página:

• su dirección IP completa, tal cual — mientras que sin su consentimiento solo se deriva de ella una firma no reversible;
• características leídas en su dispositivo: la resolución de su pantalla, la densidad de píxeles, el tamaño de la ventana, la zona horaria, los idiomas instalados, el número de núcleos del procesador y la memoria disponible;
• una huella de dispositivo calculada a partir de estos elementos, que permite reconocer su dispositivo aunque cambie de red.

Por qué. Estos elementos responden a preguntas que la capa por defecto deja abiertas: ¿es la misma persona la que vuelve desde su teléfono y después desde su ordenador?, ¿se muestran correctamente nuestras fichas de producto en las pantallas realmente utilizadas?, ¿a qué hora local consultan el sitio nuestros visitantes? No extraemos de ellos ninguna decisión que le afecte: ni precio distinto, ni contenido personalizado, ni recordatorios.

Por qué cinco años, y por qué su dirección. Somos una pequeña tienda de segunda mano, y nuestra actividad sigue las estaciones. Comparar un mes de agosto con el del año anterior no basta: una sola comparación no dice si progresamos o si hemos tenido suerte. Cinco años ofrecen cuatro inviernos y cuatro veranos para comparar — es la primera escala a la que se puede afirmar que el sitio mejora o que una decisión fue mala. En cuanto a su dirección, nos proporciona su ciudad aproximada: nos muestra qué regiones se interesan por nuestras piezas y, por tanto, qué debemos buscar para ellas. Esto nos ayuda a mantener la tienda en marcha — y preferimos decírselo a callarlo.

Base jurídica: su consentimiento (RGPD art. 6, apartado 1, letra a, y art. 82 de la loi Informatique et Libertés — leer cualquier cosa en su dispositivo exige un acuerdo, sin excepción posible, incluso para la medición de audiencia). Plazo: 5 años, el mismo que el resto del recorrido de navegación, y después borrado automático. Destinatarios: nadie. Nada de esto sale de nuestros servidores, se vende ni se transmite a una red publicitaria.

Si lo rechaza, o si no responde al aviso, no se lee ni se conserva nada de esta lista — no nos limitamos a no registrarlo, sino que ni siquiera lo consultamos. El sitio web funciona exactamente de la misma manera: ninguna página, ningún artículo, ninguna función está reservada a quienes aceptan, y no le volveremos a preguntar en cada visita. Puede cambiar su elección en cualquier momento a través del enlace «Gestión de cookies» del pie de página; a partir de ese momento, no se lee nada más.

Para oponerse a la totalidad de la sección 9 ter, incluida la capa por defecto, escriba a contact@geteverwear.com: eliminaremos la firma correspondiente y el recorrido de navegación asociado. También puede navegar en una ventana privada o cambiar de red, lo que produce una firma diferente.

10. Medidas de seguridad

Aplicamos las siguientes medidas técnicas y organizativas:

• Cifrado TLS 1.3 en todo el sitio web (certificados Let's Encrypt renovados automáticamente)
• Contraseñas almacenadas con hash (bcrypt / argon2), nunca en texto claro
• Ningún dato bancario pasa por nuestros servidores (tokenización de Stripe)
• Copias de seguridad cifradas diarias en Europa con rotación de 30 días
• Acceso a la administración restringido, registrado y protegido por MFA
• Actualizaciones de seguridad aplicadas en un plazo de 7 días para las vulnerabilidades críticas

11. Notificación de violación de datos

En caso de violación de datos personales que pueda entrañar un riesgo para sus derechos y libertades, GetEverwear notificará a la CNIL en un plazo de 72 horas, de conformidad con el artículo 33 del RGPD, y le informará lo antes posible si la violación puede entrañar un riesgo elevado para sus derechos.

12. Datos relativos a menores

Nuestro sitio web no está destinado a personas menores de 16 años. Si tiene menos de 16 años, pida a un padre, madre o tutor que realice el pedido por usted. Si tuviéramos conocimiento de la recogida de datos de un menor de 16 años sin consentimiento parental, procederíamos a su supresión sin demora.

13. Contacto / Delegado de protección de datos (DPO)

No se ha designado ningún delegado de protección de datos, y no es un descuido. Dicha designación solo es obligatoria (artículo 37 del RGPD) para los organismos públicos, para aquellos cuya actividad principal consiste en el seguimiento habitual y sistemático de personas a gran escala, y para los que tratan datos sensibles. GetEverwear no se encuadra en ninguno de estos casos. Sus solicitudes son tratadas, por tanto, directamente por el responsable del tratamiento:

• Correo electrónico general: contact@geteverwear.com
• Correo postal: a la atención del DPO, en la dirección indicada en nuestro aviso legal

También tiene derecho a presentar una reclamación ante la CNIL: www.cnil.fr.

14. Modificaciones de la política

Esta política puede actualizarse para reflejar cambios normativos o técnicos. La fecha de la última actualización aparece en la parte superior de la página. Para las modificaciones sustanciales, le informaremos por correo electrónico si está suscrito a nuestro boletín.

Esta política se facilita con carácter informativo. Hágala revisar por un DPO o un profesional del derecho para una conformidad completa.