Política de privacidad

Bravo Vending Group S.L., con CIF B26915454 y domicilio en Calle Fermín Caballero, 76, 28034 Madrid, es el responsable del tratamiento de los datos personales facilitados a través de este sitio web.

Puedes contactar con nosotros en pedidos@bravovending.es para cualquier cuestión relativa a la protección de datos.

Recogemos únicamente los datos necesarios para tramitar los pedidos y prestar el servicio solicitado.

• Datos identificativos y de contacto: nombre, apellidos, empresa, correo electrónico y teléfono.
• Datos de envío y facturación: dirección postal, código postal, población, provincia y NIF/CIF.
• Datos del pedido: productos, formatos, importes y referencia de la sesión de pago de Stripe. No recibimos ni almacenamos datos de tarjeta.
• Datos de navegación, sólo si aceptas las analíticas: páginas visitadas, procedencia y campaña, tamaño de pantalla, idioma, tiempos de carga, las acciones en la tienda (carrito, pago y compra con su importe, sin datos personales) y país, ciudad aproximada, dispositivo y sistema operativo deducidos de la conexión. No guardamos la dirección IP (ver política de cookies).

Cada tratamiento tiene su propia base legitimadora, y no todas son el consentimiento:

• Gestión del pedido, cobro y entrega: ejecución del contrato en el que el interesado es parte (artículo 6.1.b del RGPD).
• Emisión y conservación de facturas: cumplimiento de una obligación legal (artículo 6.1.c del RGPD), en relación con la normativa fiscal y mercantil.
• Creación y mantenimiento de la cuenta de cliente, incluida la verificación del correo electrónico: ejecución del contrato (artículo 6.1.b del RGPD).
• Atención de consultas, incidencias y reclamaciones: ejecución del contrato o interés legítimo en atender a quien nos escribe (artículos 6.1.b y 6.1.f del RGPD).
• Seguridad del sitio, prevención del fraude y registro de auditoría de las acciones de administración: interés legítimo (artículo 6.1.f del RGPD).
• Medición de audiencia del sitio, sólo si aceptas las cookies analíticas: consentimiento (artículo 6.1.a del RGPD), que puedes retirar en cualquier momento desde «Preferencias de cookies». Se hace con Umami, instalado en nuestro propio servidor; los datos no se ceden a terceros ni se usan para identificarte.
• Comunicaciones comerciales: consentimiento previo, específico y revocable (artículo 6.1.a del RGPD y artículo 21 de la Ley 34/2002). A día de hoy no enviamos ninguna.

No se adoptan decisiones automatizadas que produzcan efectos jurídicos sobre el interesado o le afecten significativamente de modo similar, ni se elabora ningún perfil comercial a partir de los datos de compra.

No vendemos ni cedemos datos personales con fines comerciales. Los únicos terceros que acceden a los datos necesarios son los proveedores y servicios públicos que utilizamos para prestar el servicio:

• Stripe Payments Europe, Ltd. — procesamiento del pago con tarjeta. Recibe los datos de contacto, el importe y la referencia del pedido; los datos de la tarjeta se los facilita el cliente directamente y no pasan por nuestros servidores. Política de privacidad: https://stripe.com/es/privacy
• Resend — envío del correo transaccional: verificación de la cuenta, recuperación de contraseña y confirmación del pedido. Trata la dirección de destino y el contenido de esos mensajes, que incluye el número de pedido, su detalle y la dirección de entrega.
• CartoCiudad (IGN/CNIG) — comprobación de que la dirección existe antes del pago. Recibe únicamente calle y número, código postal, población y provincia; no enviamos nombre, correo ni teléfono.
• Hostalia — servicios de dominio y correo corporativo, a través del cual se reciben y responden las consultas de los clientes.
• Correos y DHL — transporte de los pedidos. Reciben el nombre, la dirección postal y el teléfono necesarios para la entrega.

Stripe puede tratar datos fuera del Espacio Económico Europeo. Su acuerdo de tratamiento incorpora los mecanismos de transferencia aplicables, incluido el Marco de Privacidad de Datos UE-EE. UU. y las cláusulas contractuales tipo cuando corresponda.

Resend envía nuestros correos desde su región de Irlanda, pero conserva los datos asociados —metadatos, registros de entrega y contenido de los mensajes— en servidores situados en Estados Unidos, con independencia de la región de envío elegida. Esa transferencia está amparada por las cláusulas contractuales tipo incorporadas a su acuerdo de encargo del tratamiento y por su adhesión al Marco de Privacidad de Datos UE-EE. UU.

Puedes solicitarnos información adicional sobre estas transferencias y copia de las garantías aplicadas en la dirección de contacto indicada al principio de este documento.

Los datos reutilizables de la cuenta se conservarán mientras esta permanezca activa y se borrarán al confirmar su eliminación. Los pedidos cobrados y las facturas se conservarán, con acceso restringido, durante los plazos legalmente exigidos en materia fiscal, contable y de defensa frente a reclamaciones.

Las sesiones de pago y los pedidos cancelados que no lleguen a cobrarse se eliminan transcurridos 90 días, una vez agotado el tiempo razonable para resolver incidencias y prevenir duplicidades.

Puedes descargar desde tu cuenta una copia estructurada de tus datos y solicitar la rectificación, supresión, oposición, limitación del tratamiento o portabilidad escribiendo a la dirección indicada. Sólo pediremos información adicional para verificar tu identidad cuando exista una duda razonable.

Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Aplicamos medidas técnicas y organizativas apropiadas al riesgo, en los términos del artículo 32 del RGPD. Las concretas, para que puedas valorarlas y no tengas que fiarte de una declaración genérica:

• Todo el sitio se sirve cifrado por HTTPS, con HSTS y redirección forzada.
• Las contraseñas se almacenan con argon2id. No se guardan en claro ni de forma reversible: ni siquiera nosotros podemos leerlas.
• Segundo factor obligatorio en las cuentas con acceso al panel de administración.
• Las cookies de sesión llevan los atributos httpOnly, Secure y SameSite.
• Los datos de tarjeta no pasan por nuestros servidores en ningún momento, ni se registran ni se reenvían.
• Control de acceso por rol y comprobación de titularidad en cada consulta: ningún cliente puede ver el pedido, la dirección o la factura de otro cambiando un identificador.
• Límite de peticiones en el acceso, el registro, la recuperación de contraseña y la compra.
• Registro de auditoría de las acciones de administración, sin datos personales innecesarios.
• Los registros del servidor no contienen nunca contraseñas, tokens, cookies ni datos de tarjeta.