Protección de datos — cumplimiento RGPD para programas merch en España
Welcome kits y gifting tratan datos personales: nombre, dirección, talla, preferencias. Así los mantenemos conformes con el RGPD bajo Spanish AEPD (Agencia Española de Protección de Datos, LOPDGDD Ley Orgánica 3/2018).
Qué datos personales tratamos y por qué
Cuando suben una lista de destinatarios tratamos: nombre completo, dirección, email, teléfono, talla. Base jurídica: contrato (Art. 6(1)(b) RGPD) — ustedes responsables del tratamiento, nosotros encargados. DPA firmado en cada contrato marco.
Conservación, supresión y derecho de acceso
Datos conservados 90 días tras entrega para garantía/devoluciones, después suprimidos. Archivo cifrado 24 meses para facturas/auditoría. Derechos acceso (Art. 15), supresión (Art. 17), portabilidad (Art. 20) en 30 días. Peticiones vía DPO (dpo [at] corp-merch [dot] eu.eu).
Subencargados y transferencias internacionales
Subencargados en DPA: transportistas (DHL, UPS, FedEx, BRT, SDA), gateway email (transaccional), hosting cloud UE (Fráncfort/Dublín). Sin transferencia fuera EEE sin CCT. Lista nunca usada para marketing, enriquecida, revendida.
España — autoridad local de protección de datos
IVA 21% vía FACe / Veri*factu / SII (AEAT). Conformes con Spanish AEPD (Agencia Española de Protección de Datos, LOPDGDD Ley Orgánica 3/2018). Aviso de privacidad en España e inglés. Datos en etiquetas de envío impresos en el hub Madrid bajo demanda y eliminados con seguridad.
Preguntas frecuentes
¿Son responsable o encargado?
Encargado — ustedes siguen siendo responsables de la lista. DPA firmado en contrato marco.
¿Dónde están alojados los datos?
Datacenters UE (Fráncfort y Dublín). Sin transferencia fuera EEE.
¿Lista de subencargados?
Sí — en anexo DPA, 30 días de preaviso para cambios.
¿Notificación de brecha?
Notificamos en 24 horas desde el conocimiento, con detalles para su notificación 72 horas.
¿Derecho al olvido?
Sí — destinatario escribe a dpo [at] corp-merch [dot] eu.eu; datos suprimidos en 30 días.