Política de Privacidad

1. Responsable del tratamiento

• Razón social: PINGOC NOW SL
• CIF: B72491368
• Domicilio: Calle Francisco Zea 12, 28028 Madrid, España
• Email de contacto: [email protected]
• Teléfono: +34 91 417 04 02
• Marca comercial: METXY Electronics

2. Normativa aplicable

Esta política se rige por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y la Ley 34/2002 de Servicios de la Sociedad de la Información (LSSI-CE).

3. Datos que recopilamos

Podemos recopilar los siguientes datos personales:

• Nombre y apellidos
• Dirección de correo electrónico
• Dirección de envío y facturación
• Número de teléfono (si lo proporcionas)
• Datos de pago (gestionados íntegramente por el TPV Virtual de BBVA; no almacenamos datos de tarjeta)
• Número de teléfono, nombre de perfil, mensajes y archivos adjuntos cuando nos escribes por WhatsApp u otros canales de mensajería (ver apartado 6)
• Dirección IP y datos de navegación

4. Finalidad y base legal del tratamiento

5. Seguridad de los datos de pago

Los pagos se procesan a través del TPV Virtual de BBVA(Banco Bilbao Vizcaya Argentaria, S.A.), operado sobre la plataforma de Redsys Servicios de Procesamiento, S.L., conforme al estándar PCI DSS. Los datos de la tarjeta se introducen directamente en el entorno del banco, no en esta web: en ningún momento almacenamos números de tarjeta, fechas de caducidad o códigos CVV en nuestros servidores.

6. Atención al cliente por canales de mensajería

Atendemos consultas por WhatsApp (+34 644 098 320), correo electrónico, el formulario de esta web, Telegram y las reseñas públicas que recibimos. Este apartado explica qué hacemos con los datos de esas conversaciones.

Datos que tratamos

• El número de teléfono desde el que escribes.
• El nombre que muestras en tu perfil de WhatsApp.
• El contenido de los mensajes que intercambiamos.
• Los archivos que nos envíes: fotos, documentos, audios o vídeos.

Al conectar nuestro número a la API de WhatsApp Business se importa el historial de conversaciones anteriores entre este negocio y sus clientes, para no perder el contexto de las consultas que ya estaban abiertas.

Para qué

• Responder a consultas sobre productos, pedidos, envíos, garantías y devoluciones.
• Dar soporte técnico y ayuda con la instalación.
• Dejar constancia de lo que se acuerda con cada cliente.

No usamos estas conversaciones para mandarte publicidad ni las cedemos con fines comerciales.

Base jurídica

• Ejecución del contrato o medidas precontractuales (art. 6.1.b RGPD) cuando escribes por un pedido, una garantía o una devolución.
• Interés legítimo (art. 6.1.f RGPD) para atender consultas anteriores a cualquier compra y para conservar constancia de la atención prestada.

Escribirnos es siempre voluntario: la conversación la inicias tú y puedes dejar de escribir cuando quieras.

Quién interviene y dónde se guardan

• Meta Platforms Ireland Ltd. es el proveedor del canal. Los mensajes circulan por la API de WhatsApp Business y se rigen además por las condiciones y la política de privacidad de WhatsApp.
• Las conversaciones se almacenan en un sistema de atención al cliente propio, alojado en un servidor de OVH situado en Francia, dentro del Espacio Económico Europeo.
• OpenAI presta el servicio de redacción asistida que se describe a continuación.

Inteligencia artificial, siempre con revisión humana

Usamos inteligencia artificial para redactar borradores de respuesta a partir del contenido de la conversación. Ese borrador no se envía solo: una persona de nuestro equipo lo lee, lo corrige si hace falta y lo aprueba antes de enviarlo. Ningún mensaje sale de forma automática.

No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti ni que te afecten de modo significativo, en el sentido del artículo 22 del RGPD.

Cuánto tiempo

Conservamos las conversaciones 12 meses desde que se resuelve la consulta, el mismo plazo que el resto de consultas de atención al cliente. Si de la conversación sale un pedido, los datos de ese pedido siguen el plazo fiscal de 5 años que se indica en el apartado de conservación.

Cómo pedir que borremos una conversación

Puedes pedirnos que eliminemos tus datos cuando quieras. En Eliminación de datos están los pasos exactos, qué necesitamos para identificar tu solicitud y qué no podemos borrar porque la ley nos obliga a conservarlo.

7. Destinatarios de los datos

Solo compartimos datos con terceros cuando es estrictamente necesario para la prestación del servicio:

• Banco Bilbao Vizcaya Argentaria, S.A. (BBVA) y Redsys Servicios de Procesamiento, S.L.: Procesamiento de pagos (España)
• Cloudflare Inc.: Seguridad web y CDN (EE.UU., adherido al EU-US Data Privacy Framework)
• Empresa de transporte: Envío de pedidos (España/UE)
• Meta Platforms Ireland Ltd.: Proveedor del canal de WhatsApp Business (Irlanda)
• OVH: Alojamiento del sistema de atención al cliente (Francia)
• OpenAI: Redacción asistida de borradores de respuesta, con revisión humana previa al envío (EE.UU.)
• Resend (Plus Five Five, Inc.): Envío de los correos de la tienda (confirmación del pedido, aviso de envío con el seguimiento, devoluciones) y entrega de los mensajes del formulario de contacto (EE.UU.)

No vendemos, alquilamos ni cedemos datos personales a terceros con fines comerciales o publicitarios.

8. Transferencias internacionales

El procesamiento de los pagos se realiza íntegramente en España, por lo que los datos de pago no salen del Espacio Económico Europeo.

Las transferencias de datos a Cloudflare Inc. (EE.UU.), que presta el servicio de seguridad y CDN del sitio web, se realizan al amparo de la Decisión de Adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE-EE.UU. (Reglamento de Ejecución (UE) 2023/1795), que garantiza un nivel adecuado de protección conforme al artículo 45 del RGPD.

La redacción asistida de respuestas descrita en el apartado 6 implica comunicar el contenido de la conversación a OpenAI (EE.UU.). Dicha transferencia se ampara en el Marco de Privacidad de Datos UE-EE.UU. y en las garantías del artículo 46 del RGPD cuando resulten aplicables. El almacenamiento de las conversaciones permanece en todo caso dentro del Espacio Económico Europeo, en Francia.

Los correos de la tienda y los mensajes del formulario de contacto se envían a través de Resend (Plus Five Five, Inc., EE.UU.), que por eso trata tu nombre, tu dirección de correo y, en los correos de un pedido, los datos de ese pedido y la dirección de entrega. Esta transferencia se ampara en el Marco de Privacidad de Datos UE-EE.UU., al que está adherido, y en las cláusulas contractuales tipo de la Comisión Europea incluidas en su contrato de encargo del tratamiento (artículos 45 y 46 del RGPD).

9. Conservación de datos

• Datos de pedidos y facturación: mínimo 5 años (obligación fiscal, Ley General Tributaria)
• Datos de clientes: mientras dure la relación comercial y durante los plazos legales de prescripción
• Datos de pedidos que no llegan a pagarse (pago abandonado o rechazado): se eliminan a los 30 días; se conserva solo el registro de la operación, sin datos personales
• Datos de consultas de contacto: 12 meses desde la resolución de la consulta
• Conversaciones de WhatsApp y otros canales de mensajería: 12 meses desde la resolución de la consulta
• Consentimientos: mientras se mantenga el consentimiento y durante los plazos legales posteriores

10. Derechos del usuario

De conformidad con los artículos 15 a 22 del RGPD y los artículos 12 a 18 de la LOPDGDD, puedes ejercer los siguientes derechos:

• Acceso: Obtener confirmación de si tratamos tus datos y acceder a ellos
• Rectificación: Corregir datos inexactos o incompletos
• Supresión: Solicitar la eliminación de tus datos ("derecho al olvido")
• Limitación: Solicitar la limitación del tratamiento
• Portabilidad: Recibir tus datos en formato estructurado y legible
• Oposición: Oponerte al tratamiento de tus datos

Para ejercer estos derechos, envía un email a [email protected] indicando el derecho que deseas ejercer y adjuntando copia de tu DNI/NIE. Responderemos en un plazo máximo de 30 días.

Si lo que quieres es que borremos tus datos, en Eliminación de datos tienes los pasos concretos, también por WhatsApp.

Si consideras que tus derechos no han sido atendidos correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid. www.aepd.es.

11. Medidas de seguridad

Hemos implementado las medidas técnicas y organizativas adecuadas para proteger tus datos personales conforme al artículo 32 del RGPD, incluyendo cifrado de comunicaciones (TLS/SSL), acceso restringido a los datos, copias de seguridad periódicas y monitorización de seguridad.

12. Política de protección y gestión de datos de Amazon SP-API

Esta sección describe cómo PINGOC NOW SL, bajo su marca METXY Electronics, recopila, procesa, almacena, utiliza, protege, comparte y elimina la información obtenida a través de Amazon Selling Partner API (Amazon SP-API), incluyendo datos de pedidos, inventario, listings, informes, información financiera y, cuando esté autorizado, información personal de clientes de Amazon.

Esta política complementa la Política de Privacidad general y se aplica a todos los sistemas, empleados, proveedores y procesos que accedan, almacenen o traten información procedente de Amazon.

Datos de Amazon que podemos tratar

Podemos tratar únicamente los datos necesarios para la operativa autorizada por Amazon y por la cuenta vendedora, incluyendo:

• Datos de pedidos y envíos.
• Información de inventario FBA/FBM.
• Listings, productos, SKU, ASIN y precios.
• Informes de ventas, conciliación, pagos, comisiones y métricas operativas.
• Notificaciones y eventos de Amazon.
• Información personal de clientes de Amazon solo cuando sea estrictamente necesaria y esté autorizada, por ejemplo nombre, dirección de envío, teléfono o datos necesarios para cumplimiento fiscal, envíos, devoluciones o atención postventa.

No recopilamos datos de Amazon que no sean necesarios para la finalidad autorizada.

Finalidades del tratamiento

La información de Amazon se utiliza exclusivamente para:

• Gestionar pedidos, envíos, devoluciones y atención al cliente.
• Sincronizar inventario, precios, listings y disponibilidad.
• Realizar conciliación financiera, control de costes, informes y previsión de stock.
• Cumplir obligaciones fiscales, contables, legales o regulatorias.
• Detectar errores, fraudes, incidencias de seguridad o problemas operativos.
• Mantener y mejorar la integración técnica con Amazon SP-API.

No utilizamos información de Amazon para publicidad no autorizada, venta de datos, elaboración de perfiles ajenos a la operativa, ni cesión comercial a terceros.

Acceso interno y principio de necesidad

El acceso a información de Amazon se concede únicamente a empleados o colaboradores autorizados que lo necesiten para sus funciones. Cada usuario dispone de credenciales individuales, no compartidas, y permisos basados en rol.

Aplicamos el principio de mínimo privilegio, revisiones periódicas de acceso y revocación inmediata cuando un empleado cambia de función o deja la organización.

Almacenamiento, cifrado y credenciales

La información de Amazon se almacena únicamente en sistemas autorizados. Los datos se protegen mediante controles técnicos y organizativos adecuados, incluyendo:

• Cifrado en tránsito mediante TLS 1.2 o superior.
• Cifrado en reposo mediante AES-256 o cifrado equivalente del proveedor cloud o base de datos.
• Gestión segura de claves, secretos y credenciales mediante sistemas protegidos, variables de entorno o gestores de secretos.
• Acceso administrativo restringido.
• Registro y monitorización de accesos y actividad relevante.

Las credenciales de Amazon SP-API, claves API, tokens y secretos no se almacenan en código fuente, repositorios públicos, hojas de cálculo ni canales de comunicación no seguros.

Conservación y eliminación

La información de Amazon se conserva solo durante el tiempo necesario para la finalidad autorizada o durante el plazo exigido por la normativa aplicable.

La información personal de clientes de Amazon se elimina, anonimiza o restringe cuando deja de ser necesaria. Como regla general, la PII de clientes de Amazon no se conserva en sistemas activos más de 30 días tras la entrega del pedido, salvo cuando exista una obligación legal, fiscal, contable o regulatoria que exija conservarla durante más tiempo.

Cuando la conservación sea obligatoria por ley, los datos se mantendrán con acceso restringido, cifrados y separados de los sistemas operativos siempre que sea posible.

Atenderemos las solicitudes de eliminación o devolución de información de Amazon conforme a los plazos y condiciones exigidos por Amazon, salvo obligación legal de conservación.

Copias de seguridad

Las copias de seguridad que puedan contener información de Amazon se almacenan cifradas, con acceso restringido y separadas del entorno principal. Siempre que sea posible, se mantienen en ubicación geográficamente separada dentro de la Unión Europea o en proveedores con garantías adecuadas.

Las restauraciones se prueban periódicamente y se aplican objetivos de recuperación según criticidad del sistema, con RPO máximo orientativo de 24 horas y RTO de 24 a 48 horas.

Proveedores y terceros

La información de Amazon solo se comparte con proveedores cuando sea estrictamente necesario para prestar el servicio, operar la integración, alojar sistemas, procesar envíos, cumplir obligaciones legales o mantener la seguridad.

Los proveedores deben estar sujetos a obligaciones de confidencialidad, seguridad y protección de datos. No vendemos, alquilamos ni cedemos información de Amazon a terceros con fines comerciales o publicitarios.

Seguridad, registros y monitorización

Mantenemos registros de acceso, autenticación, cambios administrativos y eventos relevantes de seguridad. Se monitorizan accesos anómalos, intentos fallidos, descargas inusuales, cambios de permisos y actividad sospechosa.

Los registros de seguridad se conservan durante un periodo adecuado para investigación, cumplimiento y auditoría, con una referencia mínima de 12 meses cuando sea aplicable.

Gestión de vulnerabilidades

Los sistemas que procesan información de Amazon se revisan mediante actualizaciones de seguridad, control de dependencias, análisis de vulnerabilidades y revisión de código. Los hallazgos se registran, priorizan y corrigen según severidad.

Las vulnerabilidades críticas se tratan con máxima prioridad y las vulnerabilidades altas se corrigen dentro de plazos razonables conforme a los requisitos de seguridad aplicables.

Pruebas y entornos de desarrollo

Durante pruebas, desarrollo o depuración se evita utilizar información personal real de Amazon. Se emplean datos ficticios, anonimizados o enmascarados siempre que sea posible.

Los entornos de prueba no son públicos, tienen acceso restringido y no permiten exportaciones innecesarias de datos.

Respuesta a incidentes

Disponemos de un procedimiento de respuesta ante incidentes que incluye detección, contención, análisis, erradicación, recuperación y comunicación.

Ante una filtración, acceso no autorizado, hackeo o exposición de credenciales, se bloquearán accesos, se revocarán tokens, se aislarán sistemas afectados, se revisarán logs, se corregirá la causa raíz y se notificará a Amazon, autoridades o afectados cuando proceda.

Contacto de seguridad / IMPOC

Para cualquier incidente relacionado con información de Amazon, filtración de datos, acceso no autorizado o vulneración de seguridad, puede contactarse con nuestro punto de contacto de gestión de incidentes:

• Nombre: Carlos Company Torres
• Email: [email protected]
• Empresa: PINGOC NOW SL

13. Uso de Google Ads API y datos de Google Ads

Esta sección describe cómo PINGOC NOW SL, bajo su marca METXY Electronics, trata la información obtenida a través de la Google Ads API mediante su herramienta interna de gestión y automatización publicitaria. Complementa la presente Política de Privacidad y puede consultarse junto a la página Herramienta de Google Ads.

Responsable

PINGOC NOW SL (marca METXY Electronics), CIF B72491368, Calle Francisco Zea 12, 28028 Madrid, España. Email de contacto: [email protected].

Datos tratados mediante Google Ads API

• Identificadores de cuentas publicitarias (IDs de cuenta de Google Ads).
• Campañas.
• Grupos de anuncios.
• Anuncios.
• Palabras clave (keywords).
• Presupuestos.
• Estrategias de puja.
• Métricas de rendimiento.
• Informes.
• Datos de planificación de palabras clave.
• Datos técnicos necesarios para la autenticación OAuth/API cuando aplique.

Finalidad del tratamiento

• Gestión de las cuentas publicitarias autorizadas.
• Creación y modificación de campañas.
• Reporting y análisis de rendimiento.
• Optimización operativa de campañas.
• Planificación de palabras clave.
• Control interno de la inversión publicitaria.

Base legal

• Interés legítimo (art. 6.1.f RGPD) y/o ejecución de una relación contractual (art. 6.1.b RGPD) cuando aplique.
• Consentimiento o autorización del titular de la cuenta de Google Ads cuando sea necesario.

Conservación

Los datos de Google Ads se conservan únicamente durante el tiempo necesario para operar la herramienta, cumplir las obligaciones legales aplicables o mantener registros internos razonables. Cuando dejan de ser necesarios, se eliminan, anonimizan o restringen.

Seguridad

• Cifrado de comunicaciones mediante TLS/HTTPS.
• Acceso restringido al personal autorizado.
• Aplicación del principio de mínimo privilegio.
• Gestión segura de credenciales, tokens y secretos de la API.
• No se almacenan secretos en repositorios públicos.
• Revocación de accesos cuando dejan de ser necesarios.

Cesiones a terceros

No vendemos datos de Google Ads ni los compartimos con terceros, salvo con los proveedores técnicos estrictamente necesarios para prestar el servicio, que actúan bajo obligaciones de confidencialidad y de protección de datos. El propio uso de la Google Ads API implica comunicar datos a Google LLC (EE.UU.) como proveedor; dicha transferencia internacional se ampara en el marco de adecuación UE-EE.UU. (Data Privacy Framework) y en las garantías del artículo 46 del RGPD cuando resulten aplicables.

Derechos del usuario

El usuario puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a [email protected].

Revocación del acceso

La empresa revoca los tokens y credenciales de la Google Ads API cuando dejan de ser necesarios y revoca de inmediato el acceso interno de cualquier usuario que deje de necesitarlo. Cuando el titular de una cuenta gestionada con autorización retira dicha autorización, la herramienta cesa el acceso y deja de tratar la información de esa cuenta.

Cumplimiento de las políticas de Google

El uso y transferencia a cualquier otra aplicación de la información recibida de Google APIs se ajustará a la Google API Services User Data Policy, incluyendo los requisitos de Limited Use cuando sean aplicables.

Documentos relacionados

• Eliminación de datos — los pasos para pedir que borremos tus datos, por email o por WhatsApp.
• Términos y Condiciones — condiciones de compra y de uso, incluido el horario y el alcance de la atención por WhatsApp.
• Política de Cookies — qué se guarda en tu navegador.
• Aviso legal — datos identificativos del titular del sitio.