Conformidad con el RGPD
Nuestro programa de conformidad con el Reglamento General de Protección de Datos para las operaciones Corp-Merch.ES en Spain.
Pilares del programa
Nuestro programa RGPD se asienta en cinco pilares: (1) Registro de Actividades de Tratamiento (RAT) conforme al art. 30, revisado cada 6 meses. (2) Evaluaciones de Impacto (EIPD) para tratamientos de alto riesgo, incluyendo nuevos portales de canje. (3) Un Delegado de Protección de Datos (DPD) accesible en [email protected], independiente de las líneas de producto. (4) Procedimiento de respuesta a incidentes y brechas con SLA de notificación de 72 horas. (5) Formación anual para todo el personal en contacto con cliente y de ingeniería.
Derechos de los interesados
Respondemos a las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición en 30 días, prorrogables 60 para casos complejos según el art. 12.3. La identidad se verifica por canal secundario (enviamos email al que figura en ficha) — no enviamos datos personales basándonos en un correo no verificado. Gratuita la primera solicitud anual; las manifiestamente infundadas o excesivas pueden conllevar un coste razonable.
Autoridad de control local
En Spain la autoridad es la AEPD — Agencia Española de Protección de Datos. La LOPDGDD — Ley Orgánica 3/2018 de Protección de Datos y Garantía de Derechos Digitales aporta especificidades nacionales. Registramos tratamientos donde se requiere y cooperamos con investigaciones conforme al art. 31 RGPD. El DPD mantiene un registro de la correspondencia con la autoridad y es el punto único para cooperación one-stop-shop o autoridad principal conforme al art. 56.
Preguntas frecuentes
¿Designáis representante UE?
La entidad del grupo está establecida en la UE, por lo que un representante del art. 27 no es necesario para responsables no-UE; estamos directamente sujetos al RGPD.
¿Qué plazo de notificación de brecha?
Escalado interno en 1 hora; evaluación de riesgo en 24; notificación a la autoridad y responsables afectados en 72 horas desde el conocimiento.
¿Formáis a todos los empleados?
Sí — formación anual obligatoria con seguimiento de finalización. Ingeniería recibe además formación en codificación segura.
¿Dónde veo vuestro RAT?
El RAT es interno pero publicamos un resumen en la página trust; extractos completos bajo NDA.
¿Tratáis datos de categorías especiales?
Raramente. Cuando es inevitable (p. ej. preferencias dietéticas en un evento), obtenemos consentimiento explícito y aplicamos controles de acceso estrictos.