Aviso GDPR

1. Cuándo aplica el GDPR a tu uso

El Reglamento (UE) 2016/679 (GDPR) puede aplicarse a organizaciones no establecidas en la Unión Europea cuando ofrecen bienes o servicios a personas que se encuentran en la Unión o cuando controlan su comportamiento allí, en los términos de su artículo 3. Tiendli tiene actualmente su foco comercial en Latinoamérica; si un tratamiento concreto queda comprendido por el GDPR, aplicamos las obligaciones y derechos que correspondan a ese tratamiento.

Reino Unido y Suiza cuentan con regímenes propios de protección de datos. Las referencias de esta página al GDPR de la UE no sustituyen esas normas; nuestra Política de Privacidad describe el marco general y los derechos aplicables según la jurisdicción.

2. Nuestro rol bajo el GDPR

Nuestro rol depende del contexto y de quién determina los fines y medios del tratamiento:

• Responsable (controller): normalmente respecto de los datos necesarios para gestionar cuentas de Tiendli, seguridad, facturación de nuestros servicios, soporte y funcionamiento de nuestras superficies públicas, cuando somos quienes determinamos los fines y medios esenciales de ese tratamiento.
• Encargado (processor): podemos actuar por cuenta de un Comercio respecto de determinados datos que ese Comercio trata sobre sus clientes finales, cuando el Comercio determina la finalidad y nosotros procesamos los datos conforme a sus instrucciones y al contrato aplicable.
• Proveedores y subencargados: usamos proveedores de infraestructura, comunicaciones, pagos, analítica, soporte y otros servicios. Su rol jurídico puede variar según el servicio; cuando actúan como encargados o subencargados exigimos las garantías contractuales correspondientes.

3. Responsable del tratamiento

Cuando Tiendli actúa como responsable, podés contactarnos a través del formulario de contacto indicando "Aviso GDPR" en el asunto. La identificación societaria publicada en nuestros documentos contractuales y legales es la que debe utilizarse para comunicaciones formales.

Cuando el GDPR resulte aplicable a una solicitud de derechos, respondemos sin dilación indebida y, como regla general, dentro de un mes desde su recepción. Ese plazo puede ampliarse hasta dos meses adicionales cuando sea necesario por la complejidad o el número de solicitudes, informándote conforme al artículo 12 del GDPR.

4. Categorías de datos que tratamos

El detalle completo está en la Política de Privacidad. En síntesis, podemos tratar:

• Datos identificativos: nombre, email, teléfono, país e identificación fiscal cuando corresponda.
• Datos de cuenta: credenciales protegidas, configuración de la Tienda y preferencias.
• Datos transaccionales: historial de pedidos, montos y métodos de pago, sin almacenar datos completos de tarjetas cuando el procesamiento lo realiza una pasarela externa.
• Datos de uso y seguridad: dirección IP, identificadores de dispositivo, eventos técnicos y registros necesarios para operar y proteger el servicio.
• Comunicaciones: mensajes de soporte y otras comunicaciones que nos enviás.

Tiendli no está diseñado para que los comercios carguen categorías especiales de datos personales de forma indiscriminada. Si una funcionalidad o contexto concreto requiere tratar datos comprendidos por los artículos 9 o 10 del GDPR, deben existir la base jurídica, necesidad y salvaguardias adicionales que correspondan antes de realizar ese tratamiento.

5. Bases legales del tratamiento

Cuando el GDPR sea aplicable, cada tratamiento debe apoyarse en una base jurídica válida. Según el caso, pueden corresponder:

• Ejecución de un contrato (art. 6.1.b): por ejemplo, para crear y mantener una cuenta o prestar una funcionalidad solicitada.
• Cumplimiento de una obligación legal (art. 6.1.c): cuando una norma aplicable nos exige conservar o entregar determinada información.
• Interés legítimo (art. 6.1.f): en tratamientos como seguridad, prevención de fraude o mejora operativa, siempre que el interés no prevalezca sobre tus derechos y libertades.
• Consentimiento (art. 6.1.a): cuando el tratamiento depende de una elección libre, específica, informada e inequívoca, por ejemplo en determinados usos de cookies o comunicaciones opcionales.

La base jurídica concreta depende de la finalidad y del contexto. Retirar un consentimiento no afecta la licitud del tratamiento realizado antes de su retirada.

6. Transferencias fuera del EEE

Algunos proveedores o infraestructuras pueden procesar datos fuera del Espacio Económico Europeo. Cuando el GDPR resulte aplicable a una transferencia internacional, usamos un mecanismo permitido por el capítulo V del Reglamento, según corresponda:

• Decisión de adecuación: cuando la Comisión Europea haya reconocido que el destino ofrece un nivel adecuado de protección. A la fecha de actualización de este aviso, entre los destinos latinoamericanos con decisión de adecuación se encuentran Argentina, Brasil y Uruguay.
• Cláusulas contractuales tipo (SCC): cuando corresponda transferir a un destino sin decisión de adecuación y estas cláusulas sean el mecanismo apropiado.
• Otras garantías o excepciones previstas por el GDPR: únicamente cuando resulten legalmente aplicables al caso concreto.

También aplicamos medidas técnicas y organizativas acordes al riesgo. Podés solicitarnos información sobre las categorías de proveedores y el mecanismo aplicable a una transferencia concreta mediante nuestros canales de contacto.

7. Plazos de conservación

No existe un único plazo de conservación para todos los datos. Conservamos la información durante el tiempo necesario para la finalidad que justificó su tratamiento y para cumplir obligaciones legales, resolver disputas, prevenir fraude y proteger derechos. La Política de Privacidad describe las categorías generales de conservación.

Cuando el GDPR resulte aplicable, revisamos la necesidad de conservación y eliminamos, anonimizamos o restringimos los datos cuando dejan de ser necesarios y no existe otra base jurídica que justifique mantenerlos.

8. Tus derechos como titular

Cuando el GDPR sea aplicable a tu tratamiento, podés ejercer, según las condiciones previstas por el Reglamento:

• Acceso (art. 15): obtener confirmación sobre el tratamiento y acceso a tus datos.
• Rectificación (art. 16): corregir datos inexactos o completar datos incompletos.
• Supresión (art. 17): solicitar la eliminación en los supuestos previstos por el Reglamento.
• Limitación (art. 18): solicitar que se restrinja temporalmente determinado tratamiento en los casos legalmente previstos.
• Portabilidad (art. 20): recibir determinados datos en formato estructurado, de uso común y lectura mecánica, o solicitar su transmisión cuando sea técnicamente posible y se cumplan los requisitos del artículo.
• Oposición (art. 21): oponerte a tratamientos basados en interés público o interés legítimo en los casos previstos y, en particular, al marketing directo.
• Decisiones automatizadas (art. 22): las garantías previstas frente a decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o te afecten significativamente de modo similar, salvo las excepciones legales.
• Retirar consentimiento (art. 7.3): cuando el tratamiento se base en consentimiento, retirarlo en cualquier momento.

9. Cómo ejercer tus derechos

Para ejercer un derecho:

1. Contactanos mediante el formulario de contacto indicando "Solicitud GDPR".
2. Indicá el email asociado a tu cuenta y explicá qué derecho querés ejercer y, si es posible, a qué tratamiento se refiere.
3. Podemos solicitar información adicional razonable para verificar tu identidad cuando existan dudas sobre quién presenta la solicitud, conforme al artículo 12.6.

El ejercicio es gratuito en las condiciones del GDPR. Frente a solicitudes manifiestamente infundadas o excesivas, especialmente por su carácter repetitivo, pueden aplicarse las medidas previstas en el artículo 12.5.

10. Representante en la UE

El artículo 27 del GDPR puede exigir a un responsable o encargado no establecido en la Unión designar un representante cuando se cumplen las condiciones del artículo 3.2, salvo las excepciones previstas por el propio Reglamento. La necesidad de designación depende de las actividades reales de tratamiento, su habitualidad, escala, riesgo y relación con personas que se encuentran en la Unión.

Este aviso no pretende sustituir esa evaluación jurídica. Si para las operaciones de Tiendli resulta exigible designar un representante en la Unión, publicaremos aquí sus datos de contacto. Mientras tanto, podés dirigir cualquier solicitud de privacidad a nuestros canales indicados en la sección 9.

11. Delegado de Protección de Datos

El artículo 37 del GDPR exige designar un Delegado de Protección de Datos (DPO) en determinados supuestos, entre ellos cuando las actividades principales implican observación habitual y sistemática a gran escala o tratamiento a gran escala de categorías especiales de datos. La aplicabilidad de esa obligación debe evaluarse atendiendo a las actividades reales de tratamiento.

Las consultas de privacidad pueden enviarse por el canal indicado en la sección 9. Si se designa un DPO conforme a una obligación legal o decisión organizativa, publicaremos sus datos de contacto en este aviso y realizaremos las comunicaciones requeridas a la autoridad competente.

12. Autoridad de control

Cuando el GDPR sea aplicable, tenés derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de tu residencia habitual, lugar de trabajo o lugar de la supuesta infracción, conforme al artículo 77.

Podés consultar las autoridades europeas a través del Comité Europeo de Protección de Datos (EDPB). Presentar una reclamación no impide que antes nos contactes para intentar resolver directamente el problema.

13. Cambios a este aviso

Podemos actualizar este aviso cuando cambie la normativa aplicable, nuestros servicios o nuestras prácticas. Publicaremos la versión vigente en esta URL e indicaremos la fecha de última actualización. Cuando la legislación aplicable exija una notificación específica, una nueva base jurídica o un nuevo consentimiento, aplicaremos el mecanismo correspondiente.

Este aviso complementa la Política de Privacidad y describe principios generales. Para una cuestión jurídica específica consultá con un profesional competente; este documento no constituye asesoramiento jurídico individualizado.