Política de privacidad
Última actualización: 23 de octubre de 2026
Esta política explica qué datos personales trata DPP Host, con qué fines y durante cuánto tiempo cuando usted visita dpphost.eu, abre un pasaporte de producto en id.dpphost.eu, nos escribe, usa el panel de control de app.dpphost.eu, la API o el servidor MCP, o responde como proveedor a una solicitud de datos en forms.dpphost.eu. De una parte de estos datos es responsable la marca que usa DPP Host, y nosotros los tratamos por cuenta de ella; las secciones siguientes indican en qué casos.
Responsable del tratamiento
El responsable del tratamiento es Qubites ApS, Ulsøparken 49, 2. 2660 Brøndby Strand, Dinamarca (CVR 37061026), la empresa que gestiona DPP Host. Escríbanos a privacy@dpphost.eu para cuestiones sobre sus datos personales, y a hello@dpphost.eu para cualquier otro asunto.
Cuando la responsable es una marca
Las marcas, es decir, las empresas que usan DPP Host, publican con él pasaportes de producto, piden datos de producto a sus proveedores y, con el plan Premium, ofrecen servicios a los propietarios de sus productos. Respecto a los datos personales de esta actividad, la marca es la responsable del tratamiento y DPP Host es su encargado del tratamiento: lo que la marca incluye en sus pasaportes y páginas, los datos de contacto y las respuestas de sus proveedores, y los datos de sus servicios para propietarios. Solo usamos esos datos siguiendo las instrucciones de la marca. Las preguntas sobre ellos y las solicitudes de acceso, rectificación o supresión se dirigen a la marca. Si nos las envía a nosotros, se las trasladamos a la marca.
Datos técnicos
Cuando abre cualquiera de nuestros sitios o usa la API, Cloudflare, que los sirve, trata su dirección IP y datos técnicos de cada petición, como la dirección solicitada, la hora y su navegador, para prestar el servicio y protegerlo frente a usos abusivos. Supabase también registra las peticiones que llegan a nuestra base de datos. La API, el servidor MCP y los formularios para proveedores limitan cuántas peticiones puede hacer una dirección IP por minuto; Cloudflare solo las cuenta durante el minuto en curso, y nosotros no guardamos la dirección. Los proveedores eliminan estos registros al cabo de poco tiempo. La base jurídica es nuestro interés legítimo en ofrecer un servicio seguro [artículo 6, apartado 1, letra f), del RGPD].
En las páginas del panel de control en las que se inicia sesión, se crea una cuenta o se restablece una contraseña, incluido el inicio de sesión en los servicios para propietarios de una marca, y cuando vuelve a iniciar sesión antes de una acción sensible, Cloudflare Turnstile comprueba que quien hace la petición es una persona y no un programa automatizado; la mayoría de las personas no llega a notar esta comprobación. Para ello, Cloudflare trata, como encargado del tratamiento por cuenta nuestra, su dirección IP y señales técnicas de su navegador y de su dispositivo. La base jurídica es nuestro interés legítimo en proteger las cuentas y los inicios de sesión frente a usos abusivos automatizados [artículo 6, apartado 1, letra f), del RGPD]. La misma comprobación protege el formulario para escribir al propietario de un producto que ha encontrado.
Pasaportes de producto
Cada pasaporte de producto de id.dpphost.eu lo publica la marca responsable del producto, que decide lo que muestra. Cada nueva versión de un pasaporte muestra además la denominación legal verificada de la marca, su país y, en el caso de una sociedad, su número de IVA o de registro verificado. En el caso de un empresario individual, la denominación legal es su propio nombre. Cuando un pasaporte muestra datos personales, la marca es responsable de ellos y nosotros los publicamos por cuenta de ella. Los pasaportes publicados siguen en línea durante el periodo que exigen las normas de la UE, que puede ser de muchos años. Para que se eliminen datos personales de un pasaporte, diríjase a la marca que figura en él o a nosotros. Para abrir un pasaporte no hace falta ninguna cuenta. Contamos cuántas veces se abren los pasaportes, sin datos personales: por día, producto (sin su número de serie), idioma y país, y según se haya abierto la versión actual o una anterior. No registramos direcciones IP, datos del navegador, cookies ni la página de procedencia. Las marcas con el plan Premium pueden ver estos totales diarios de sus propios productos. Cloudflare conserva los recuentos durante 3 meses; nuestra base de datos conserva los totales diarios durante 25 meses.
Si una marca muestra un vídeo de YouTube o Vimeo en la página de su pasaporte, la página muestra primero una imagen fija servida desde nuestros propios servidores, y no se carga nada desde YouTube ni desde Vimeo hasta que usted pulsa el botón de reproducir. Cuando lo hace, el vídeo se reproduce desde YouTube (Google) en su modo de privacidad mejorada o desde Vimeo con su opción «Do Not Track», y ese proveedor recibe su dirección IP e información sobre su navegador, y puede guardar información en su navegador, conforme a sus propias condiciones de privacidad. Los enlaces de la página de un pasaporte, por ejemplo a documentos o a la comprobación de un certificado, solo abren otros sitios web cuando usted hace clic en ellos.
Si nos escribe
Si nos escribe a hello@dpphost.eu o a privacy@dpphost.eu, por ejemplo para enviar documentos para una verificación de empresa, tratamos su dirección de correo electrónico, su nombre y lo que nos escribe, para responderle y hacer el seguimiento. La base jurídica es nuestro interés legítimo en responder a quienes se ponen en contacto con nosotros [artículo 6, apartado 1, letra f), del RGPD] y, para las solicitudes relativas a sus derechos, nuestra obligación legal de atenderlas [artículo 6, apartado 1, letra c), del RGPD]. Conservamos estos correos mientras los necesitemos para responderle y hacer el seguimiento, y como máximo 2 años después de nuestro último intercambio.
Si se suscribe a las alertas sobre normas de la UE
Si se suscribe en dpphost.eu a las alertas sobre normas de la UE para productos, guardamos su dirección de correo electrónico, la dirección web de la empresa o del producto que indique, el idioma de la página y cuándo se suscribió y cuándo confirmó la suscripción. Primero le enviamos un correo de confirmación, y solo le enviamos alertas después de que confirme: cuando una norma sobre pasaportes para productos como los suyos tenga fecha, y de nuevo antes de que se aplique; nunca publicidad. Cada correo incluye un enlace para dejar de recibir las alertas. La base jurídica es su consentimiento [artículo 6, apartado 1, letra a), del RGPD], que puede retirar con ese enlace. Una dirección que no se confirma en 7 días se elimina, y su registro se elimina 30 días después de que deje de recibir las alertas. Nuestro registro de cada correo que le enviamos se elimina a los 30 días. Para limitar los usos abusivos del formulario, guardamos en nuestros contadores un hash con clave de su dirección IP durante un día como máximo, nunca la dirección en sí.
Cuentas en el panel de control
Cuando crea una cuenta en app.dpphost.eu, tratamos su nombre, su dirección de correo electrónico, su contraseña (guardada como hash seguro), si establece una, su idioma, las organizaciones a las que pertenece junto con su rol en cada una y un registro de las acciones que realiza en ellas. Supabase, que gestiona nuestro sistema de inicio de sesión, registra además sus sesiones e inicios de sesión junto con su dirección IP y su navegador. Necesitamos estos datos para prestar el servicio para el que usted o su organización se han registrado [artículo 6, apartado 1, letra b), del RGPD]; sin un nombre y una dirección de correo electrónico no es posible tener una cuenta. Su sesión se mantiene abierta hasta 90 días, y hasta 30 días si no la usa. Conservamos su cuenta hasta que la elimine en la página Cuenta o nos pida que la eliminemos. Al eliminarla se borran de inmediato sus membresías, sus datos de acceso y el registro de sus inicios de sesión; las entradas de los registros de acciones de sus organizaciones sobre lo que hizo en ellas se conservan, con un identificador que ya no remite a su cuenta. Antes de poder eliminarla, nombre propietario a otro miembro de cualquier organización de la que sea el único propietario y que tenga otros miembros, escríbanos para cerrar cualquier organización de la que sea el único miembro y elimine cualquier cuenta de propietario que tenga en una marca. El registro de acciones de una organización se conserva mientras sus pasaportes publicados sigan disponibles, ya que documenta quién los publicó y modificó.
También puede iniciar sesión con Google, Apple o Microsoft. En ese caso, el proveedor confirma su identidad conforme a sus propias condiciones de privacidad y, a petición suya, nos comunica su dirección de correo electrónico, su identificador de usuario en ese proveedor y, si los incluye, su nombre y otros datos básicos del perfil. Los guardamos con su cuenta para que pueda volver a iniciar sesión del mismo modo, y el proveedor sabe que usted inicia sesión en DPP Host. Nunca recibimos su contraseña de ese proveedor. Si elige la función «Ocultar mi correo electrónico» de Apple, recibimos una dirección de Apple que le reenvía nuestros correos. Si activa el inicio de sesión en dos pasos, se guarda con su cuenta un secreto para su aplicación de autenticación (en Supabase, en Fráncfort) y se registran los momentos en que lo usa; puede desactivarlo en la página Cuenta. La base jurídica de ambos tratamientos es el contrato con usted o con su organización [artículo 6, apartado 1, letra b), del RGPD].
Organizaciones, verificaciones de empresa y GTIN
Una organización debe superar una verificación de empresa antes de poder publicar pasaportes. Los números de IVA de la UE se comprueban automáticamente en VIES, el sistema de la UE para comprobar números de IVA, que la Comisión Europea gestiona con las administraciones tributarias nacionales y que puede devolver el nombre y la dirección registrados; si VIES no confirma el número, la verificación se rechaza, y la organización puede iniciar una nueva verificación, que nuestro personal realiza manualmente. Nuestro personal consulta manualmente otros registros, como el registro danés de empresas CVR. Cuando ningún registro puede confirmar la empresa, por ejemplo, en el caso de muchos empresarios individuales y de empresas de fuera de la UE, nuestro personal solicita por correo electrónico documentos como un extracto del registro o una licencia de actividad, y elimina ese correo en cuanto se resuelve la verificación. Guardamos el país, el número, la denominación legal y, cuando un registro la facilita, la dirección, cualquier nota que añada la organización, el resultado, y quién solicitó la verificación y quién la resolvió. Nuestro personal también coteja la denominación legal con las listas de sanciones de la UE. En el caso de un empresario individual, estos registros son datos personales. Los usamos para que solo publiquen empresas reales, para que cada empresa tenga una sola organización verificada, para mostrar los datos verificados en sus pasaportes (véase «Pasaportes de producto»; un número verificado por la vía de empresario individual nunca se muestra) y para que los pasaportes sigan siendo fiables. Las bases jurídicas son el contrato con su organización [artículo 6, apartado 1, letra b), del RGPD], nuestro interés legítimo en evitar usos indebidos [artículo 6, apartado 1, letra f), del RGPD] y, para la comprobación de sanciones, nuestra obligación legal [artículo 6, apartado 1, letra c), del RGPD]. Conservamos estos registros mientras la organización exista en DPP Host, porque dejan constancia de por qué se le permitió publicar.
Para publicar pasaportes de un GTIN (un número de código de barras), una organización necesita una reclamación de ese GTIN o el permiso de la organización titular de la reclamación. Cada reclamación va acompañada de una prueba, como el nombre del licenciatario de GS1, una prueba en el dominio web de la organización o una dirección GS1 Digital Link, que nuestro personal comprueba manualmente. Guardamos la reclamación, el nombre del licenciatario, la prueba, cualquier nota o impugnación, y quién presentó la reclamación y quién la resolvió. Estos registros solo son datos personales cuando identifican a una persona, como un empresario individual. Los conservamos mientras exista la organización, por los mismos motivos y con las mismas bases jurídicas que la verificación de empresa. Para demostrar que controla un dominio web, una organización añade un código a los registros DNS del dominio, que consultamos a través de Cloudflare.
Equipos, invitaciones y partners
Los miembros de una organización ven los nombres, las direcciones de correo electrónico y los roles de los demás miembros, desde cuándo son miembros y si usan el inicio de sesión en dos pasos; los administradores ven además el registro de acciones de la organización. Un administrador invita a alguien creando un enlace y compartiéndolo; no enviamos ningún correo de invitación. Guardamos la dirección de correo electrónico invitada junto con la organización y el rol hasta que se acepta la invitación y, si no se acepta, la eliminamos en un plazo de 30 días desde que la invitación caduca o se retira. La base jurídica es el interés legítimo de la organización que invita en incorporar a su equipo [artículo 6, apartado 1, letra f), del RGPD]. Una organización también puede permitir que otra empresa, como una agencia, trabaje en ella como partner. En ese caso, el personal del partner ve lo mismo que los miembros con el mismo rol, los miembros de la organización ven sus nombres y direcciones de correo electrónico, y el registro de acciones recoge lo que hacen. Conservamos la constancia de qué partner se vinculó, quién lo vinculó y cuándo junto con los registros de la organización, durante el mismo tiempo que su registro de acciones. La base jurídica es el contrato con su organización [artículo 6, apartado 1, letra b), del RGPD]. Un partner también puede preparar una organización para una marca que aún no se ha unido e indicar la dirección de correo electrónico de un contacto de esa marca, al que enviamos las solicitudes del partner para aprobar pasaportes. Guardamos esa dirección y el idioma de sus correos hasta que el contacto se hace cargo de la organización; si nunca lo hace, eliminamos ambos datos 90 días después de que se indicara la dirección o de que caducara la última solicitud, lo que ocurra más tarde. El personal del partner que envía solicitudes a ese contacto ve la dirección. Cada solicitud se conserva con los registros de la organización: quién envió qué pasaportes y cuándo, la decisión de la marca, quién la tomó y el motivo indicado, si lo hay; todo ello lo ve el personal del partner que trabaja en la organización. La base jurídica es el interés legítimo en que una marca pueda aprobar los pasaportes que un partner ha preparado para ella [artículo 6, apartado 1, letra f), del RGPD]. Una marca que usa los servicios para propietarios también puede invitar por correo electrónico a una tienda para que registre los productos de la marca a nombre de los clientes de la tienda. Guardamos la dirección invitada y su idioma hasta que se acepta o se retira la invitación o, en otro caso, hasta 29 días después de su caducidad; quien abre la invitación ve el nombre de la marca y esa dirección. La base jurídica es el interés legítimo de la marca en incorporar a las tiendas que venden sus productos [artículo 6, apartado 1, letra f), del RGPD]. Cuando una tienda acepta, guardamos qué organización aceptó qué versión de las Condiciones para minoristas, quién las aceptó y cuándo, sobre la base del contrato con esa organización [artículo 6, apartado 1, letra b), del RGPD]. Una marca también puede vincular a un distribuidor para los países que atiende, y el distribuidor puede entonces invitar por correo electrónico a una tienda para los productos de la marca. Guardamos esa invitación del mismo modo que la de una marca, junto con el distribuidor que la envió; quien la abre ve también el nombre del distribuidor, y la marca ve cada tienda que añade un distribuidor. La base jurídica es el interés legítimo del distribuidor y de la marca en incorporar a las tiendas que venden los productos de la marca [artículo 6, apartado 1, letra f), del RGPD]. Cuando una empresa envía productos de una marca a otra empresa a través de DPP Host, o marca como perdidos o robados productos que tiene en existencias, registramos qué miembro lo hizo junto con los registros de las empresas y de la marca afectadas, mientras exista la organización de la marca o hasta que se elimine la cuenta de ese miembro, sobre la base del contrato con esas organizaciones [artículo 6, apartado 1, letra b), del RGPD]. Si una tienda hace que su sistema de facturación envíe una copia de cada factura a su dirección de DPP Host, extraemos de la copia los números de cuadro, el número de factura y la fecha, los conservamos con los registros de ventas de la tienda durante 24 meses y descartamos la copia de inmediato (puede contener el nombre y la dirección del comprador; una copia que no podemos leer queda anotada durante 7 días, sin su contenido), como encargado del tratamiento de la tienda conforme a las Condiciones para minoristas.
Claves de API, aplicaciones de IA y tiendas
Cuando un administrador crea una clave de API, guardamos su nombre, quién la creó, sus permisos y su caducidad, sus primeros caracteres, cuándo se usó por última vez y un hash con clave de ella; la clave completa se muestra una sola vez y nunca se guarda. Contamos las peticiones de cada organización por día y conservamos esos recuentos durante 400 días. Puede conectar a DPP Host una aplicación de IA, como un asistente de IA, a través de nuestro servidor MCP en mcp.dpphost.eu: usted inicia sesión y le permite trabajar en una sola organización, durante el periodo que elija, de hasta 365 días. Guardamos la conexión: su identificador de usuario, la organización, el nombre y la dirección web de la aplicación, los permisos, cuándo la autorizó y cuánto se usa cada día; conservamos el uso diario durante 400 días. La conexión también se guarda, en parte cifrada, en Cloudflare Workers KV, que no se limita a la UE. El acceso se concede por periodos de 1 hora, y una conexión también termina tras 30 días sin uso o cuando usted la finaliza en el panel de control. Los administradores de la organización ven quién conectó cada aplicación. La aplicación recibe los datos de pasaportes, productos y borradores que solicita dentro de los permisos que usted le concedió, nunca datos de los miembros ni de los propietarios, y su proveedor trata esos datos conforme a sus propias condiciones. Una aplicación de IA no puede publicar: una persona aprueba cada cambio. Las aplicaciones que se registran en nuestro servidor MCP nos facilitan su nombre, su dirección web y, si lo desean, direcciones de contacto; conservamos estos datos hasta 90 días después del último uso de la aplicación. Cuando un administrador conecta una tienda Shopify o WooCommerce, guardamos quién la conectó, quién la aprobó y la dirección web de la tienda, y lo comunicamos por correo electrónico a los administradores de la organización; la tienda solo nos envía datos de productos, nunca datos de clientes, pedidos o visitantes. Los registros de claves, conexiones y tiendas se conservan con los registros de la organización después de que estas finalicen. La base jurídica es el contrato con su organización [artículo 6, apartado 1, letra b), del RGPD].
En «Nuevo pasaporte» puede arrastrar archivos sobre un producto (archivos PDF o fotos) o pegar un enlace a su página. Los enviamos una sola vez a Anthropic, cuyo modelo de IA Claude los lee para encontrar los valores que necesita el pasaporte y dónde figura cada uno; las fotos se envían sin sus datos de ubicación y de la cámara. Cada valor sigue siendo una sugerencia hasta que una persona lo confirma. Cuando un administrador añade un certificado de licencia o una factura de afiliación de GS1 a una reclamación de GTIN, se lo enviamos una sola vez a Anthropic de la misma manera, para leer los datos de la empresa que figuran en él (quién lo emitió, el licenciatario, sus prefijos de empresa y sus fechas); solo guardamos esos datos con la reclamación, no el archivo, y los usamos para decidir sobre la reclamación. No guardamos los archivos ni la página: se leen en memoria y se descartan con la solicitud. Guardamos los valores encontrados, cada uno con el nombre del archivo y una cita breve que muestra dónde se encontró, y, durante 400 días, un recuento de las lecturas de cada organización (quién, cuándo y cuántos archivos, sin su contenido), para respetar el límite mensual. Anthropic trata los archivos en Estados Unidos o en otro país en el que presta su servicio, al amparo de las cláusulas contractuales tipo de la UE. Elimina los archivos y la respuesta en un plazo de 30 días y no los utiliza para entrenar modelos; solo puede conservar durante más tiempo, hasta 2 años, el contenido que sus controles automáticos señalen como contrario a su política de uso. En el panel, la Guía, un asistente de IA, ayuda a los editores de su organización a crear sus pasaportes. Cuando usted escribe a la Guía, enviamos su mensaje, los mensajes anteriores de la conversación y los datos de la cuenta de su organización que necesita para responder (su plan, sus borradores y lo que les falta, sus precios y sus créditos de IA) a Anthropic, cuyo modelo Claude redacta la respuesta; un archivo que usted añade en la Guía se lee como en «Nuevo pasaporte». Los valores que sugiere la Guía siguen siendo sugerencias en el borrador hasta que una persona los confirma. Conservamos la conversación, que solo usted puede ver, durante 30 días desde su último mensaje, y un recuento de los mensajes de cada persona (quién, cuándo y cuántos, sin su contenido) durante 400 días, para el límite por hora y los créditos de IA. Anthropic los trata como se describe arriba, los elimina en un plazo de 30 días y no los utiliza para entrenar modelos. Aparte de esto, DPP Host no utiliza ningún modelo de IA con sus datos. La base jurídica es el contrato con su organización [artículo 6, apartado 1, letra b), del RGPD].
Correos electrónicos que enviamos
Enviamos correos electrónicos desde noreply@dpphost.eu a través de Resend, nuestro encargado del tratamiento: códigos y enlaces de inicio de sesión, confirmaciones de dirección y restablecimientos de contraseña, y correos sobre el uso que su organización hace de DPP Host, por ejemplo sobre los pagos y los pagos fallidos, los cambios de plan, las decisiones sobre verificaciones de empresa y reclamaciones de GTIN, los certificados a punto de caducar, las exportaciones ya preparadas, el recordatorio de una importación guardada que usted solicite, las respuestas de los proveedores a las solicitudes de datos, las solicitudes de reparación de los propietarios, la invitación de una marca o de un distribuidor a una tienda, el enlace que una tienda nos pide que enviemos a su cliente, las entregas que recibe una empresa o que se deshacen, las recuperaciones de productos y las advertencias de seguridad de una marca sobre productos que una empresa tiene en existencias, y los problemas con webhooks o con conexiones de tiendas. Se envían a la persona interesada o, por lo general, a los propietarios y administradores de la organización; los relativos a entregas, recuperaciones de productos y advertencias de seguridad se envían también a sus editores. No enviamos boletines ni publicidad, y no hacemos un seguimiento de si abre nuestros correos ni de si hace clic en sus enlaces. Resend los envía desde la UE (Irlanda) y conserva una copia de cada correo y su registro de envío en Estados Unidos durante 30 días. Guardamos constancia de cada correo que enviamos, con la dirección a la que se envió, para poder demostrar qué se envió y no enviarlo dos veces; la constancia de los correos que le enviamos a usted se elimina con su cuenta, y la del resto se conserva mientras exista la organización a la que se refieren. La base jurídica es el contrato con usted o con su organización [artículo 6, apartado 1, letra b), del RGPD]. No responda a estos correos; escriba en su lugar a hello@dpphost.eu. Cuando quien ha encontrado un producto que su propietario marcó como perdido o robado envía un mensaje sobre él, avisamos al propietario por correo electrónico de que ha recibido un mensaje, sin incluir lo que se escribió. Cuando nos pide ayuda con una importación guardada, conservamos su solicitud (su mensaje, si escribe uno, los recuentos de la importación y quién la hizo) y la enviamos a nuestro personal con su dirección de correo electrónico para poder responderle; los miembros de su organización ven que ha pedido ayuda, y eliminamos la solicitud 2 años después de cerrarla.
Pagos
Cuando una organización paga por DPP Host, el pago se realiza a través de Stripe. Comunicamos a Stripe el nombre de la organización, su dirección de correo electrónico de facturación (o la de quien realiza la compra) y su idioma. Stripe recoge la dirección de facturación, el número de IVA, si lo hay (que Stripe comprueba), y los datos de pago; nunca recibimos números completos de tarjeta ni de cuenta bancaria. Stripe calcula el IVA, emite las facturas y gestiona el portal del cliente, donde los administradores consultan las facturas y cambian los datos de pago. Guardamos la referencia de cliente de Stripe, la dirección de correo electrónico de facturación, el país, el número de IVA y su estado, y las notificaciones de Stripe sobre los pagos. Stripe procesa el pago como encargado del tratamiento por cuenta nuestra; para prevenir el fraude y cumplir sus propias obligaciones legales, como la normativa contra el blanqueo de capitales, actúa como responsable del tratamiento independiente conforme a su propia política de privacidad. Las bases jurídicas son el contrato con su organización [artículo 6, apartado 1, letra b), del RGPD] y nuestra obligación de llevar la contabilidad [artículo 6, apartado 1, letra c), del RGPD]. Las notificaciones de Stripe se eliminan 400 días después de su llegada, una vez que las hemos procesado. Conservamos los datos de facturación mientras exista la organización, y las facturas y demás documentos contables durante el tiempo que exige la ley danesa de contabilidad (bogføringsloven), es decir, 5 años desde el final del ejercicio. Stripe puede tratar datos en Estados Unidos; esa transferencia está amparada por el Marco de Privacidad de Datos UE-EE. UU. y por las cláusulas contractuales tipo de la Comisión Europea.
Si responde como proveedor a una solicitud de datos
Una marca puede pedir datos de producto a sus proveedores mediante un enlace a un formulario en forms.dpphost.eu, que envía la propia marca o que enviamos nosotros por correo electrónico en su nombre, con hasta dos recordatorios. La marca es la responsable del tratamiento y nosotros somos su encargado del tratamiento. La marca nos facilita sus datos de contacto, como su nombre, su dirección de correo electrónico, su país y su idioma, y recibe sus respuestas y los archivos que usted sube, como certificados o fotos; antes de guardar las fotos, eliminamos de ellas los datos de ubicación y de la cámara. La marca decide durante cuánto tiempo conserva sus datos de contacto y sus respuestas. Los archivos que la marca no ha usado en ningún pasaporte se eliminan 90 días después de que termine la solicitud, es decir, cuando se retira o caduca su enlace. El formulario no requiere ninguna cuenta y no instala cookies. Las preguntas sobre sus datos en ese formulario se dirigen a la marca que envió la solicitud. Si usa «Denunciar esta solicitud», guardamos un hash de su dirección de correo electrónico para no enviarle más solicitudes de esa marca. Para ello somos responsables del tratamiento, sobre la base de nuestro interés legítimo en evitar usos indebidos [artículo 6, apartado 1, letra f), del RGPD], y conservamos el hash hasta que nos pida que lo eliminemos.
Si usa los servicios para propietarios de una marca
Algunas marcas permiten a los propietarios de sus productos registrarlos en app.dpphost.eu/owner/…. En ese espacio, la marca es la responsable del tratamiento y DPP Host trata sus datos por cuenta de la marca; allí se muestra la información de privacidad de la propia marca, y las preguntas sobre sus artículos, solicitudes o datos en ese espacio se dirigen a la marca. DPP Host es responsable de sus datos de acceso (su dirección de correo electrónico y cuándo la confirmó), que puede usar con varias marcas; los necesitamos para ofrecerle el acceso que ha solicitado [artículo 6, apartado 1, letra b), del RGPD]. También puede iniciar sesión en un espacio de propietarios con Apple o Google; lo que ese proveedor comparte y lo que conservamos de ello se describe en «Cuentas en el panel de control». El nombre que un propietario indica para su tarjeta, o que Apple o Google comparte al iniciar sesión, aparece en la tarjeta y en la página del producto de ese propietario; en un traspaso, la otra persona solo ve el nombre de pila y la inicial del apellido, al igual que, después, la tarjeta del propietario anterior; una prueba de registro que comparte un propietario muestra el producto, su número de serie, desde cuándo está registrado y las iniciales del propietario, o su nombre completo si así lo elige; el pasaporte del producto nunca muestra el nombre, y ninguno de estos elementos muestra una dirección de correo electrónico, un número de teléfono ni una dirección postal. Si una tienda vinculada por la marca le entrega un producto, el nombre de la tienda y la fecha de venta pasan a formar parte de su registro y de su garantía, y su tarjeta y la página del producto muestran «Comprado en» con el nombre de la tienda; la tienda ve su nombre de pila y la inicial de su apellido hasta 30 días después de la entrega, y nada más sobre usted. Si la tienda nos pide que le enviemos el enlace por correo electrónico, su dirección solo se usa para ese correo. Al abrir una prueba de registro se cuenta la visita, pero no se guarda nada sobre usted. Conservamos sus datos de acceso mientras tenga una cuenta de propietario en alguna marca o una cuenta en el panel de control. Si solicita un enlace de inicio de sesión pero nunca abre una cuenta de propietario, o si se elimina su última cuenta de propietario, eliminamos sus datos de acceso tras 30 días sin uso. Preguntas sobre sus datos de acceso: privacy@dpphost.eu.
Alertas de seguridad: desde la página del pasaporte de un producto puede solicitar alertas de seguridad sobre ese producto sin tener una cuenta de propietario. La marca guarda entonces su dirección de correo electrónico, su idioma y el producto, y solo los utiliza para informarle de advertencias de seguridad y recuperaciones de productos [artículo 35 del Reglamento (UE) 2023/988], nunca con fines de marketing; solo ve cuántas personas lo han solicitado. Los propietarios registrados reciben estas alertas en la dirección de su cuenta o en otra dirección que indiquen. Cada alerta incluye un enlace para dejar de recibirlas, y entonces la dirección se elimina; una dirección distinta que no se confirme en 7 días también se elimina. Los datos de acceso con los que confirma su dirección se eliminan inmediatamente después, salvo que tenga una cuenta de propietario o una cuenta en el panel de control.
Comprobantes de compra: si una tienda vinculada por la marca añadió su comprobante de compra cuando usted compró un producto, y usted lo conservó al recibir el producto, se guarda con su registro y solo usted puede verlo o descargarlo. La marca solo lo ve si usted lo adjunta a una solicitud de reparación o de garantía, y solo mientras esa solicitud esté abierta. Se elimina cuando termina su registro, por ejemplo cuando cede el producto, o cuando usted lo borra; el siguiente propietario nunca lo ve. Se almacena en la UE, en Cloudflare, y no forma parte de ninguna copia de seguridad.
Bicicletas y baterías: si una bicicleta y su batería están registradas a su nombre, también anotamos qué batería va montada en qué bicicleta, para que cada tarjeta mencione la otra pieza y una venta pueda incluir ambas; la marca no lo ve, y el vínculo termina cuando una de las piezas se vende, se marca como perdida o robada, o se recicla por separado.
Perdido o robado: si marca un producto como perdido o robado y permite que quien lo encuentre le escriba, la página de su pasaporte indica que su propietario lo está buscando, con un botón para enviarle un mensaje; la página nunca muestra su nombre ni cómo contactar con usted. Lo que envía quien lo encuentra solo le llega a usted: en la página de su producto, en su tarjeta de Wallet y en un correo electrónico que le avisa de que ha recibido un mensaje. La marca no lo ve. Cada mensaje se elimina a los 30 días, cuando usted lo denuncia o cuando termina su registro.
Si escribe al propietario de un producto que ha encontrado
Cuando el propietario de un producto lo ha marcado como perdido o robado y permite que quien lo encuentre le escriba, la página del pasaporte del producto incluye un botón para enviarle un mensaje. El formulario de app.dpphost.eu pregunta dónde está el producto; también puede añadir su ubicación (solo si usted quiere, y su navegador se lo pregunta antes), una forma de que el propietario contacte con usted y un mensaje breve. Solo lo transmitimos al propietario registrado del producto: todo ello en la página de su producto, y el lugar que usted escribió, en su tarjeta de Wallet; su correo electrónico solo indica que ha recibido un mensaje. La marca nunca ve su mensaje, y no se usa para nada más. La marca es la responsable del tratamiento de sus servicios para propietarios, y DPP Host trata su mensaje por cuenta de ella (véase «Si usa los servicios para propietarios de una marca»); la base jurídica es el interés legítimo del propietario y el suyo en que el producto vuelva a su propietario [artículo 6, apartado 1, letra f), del RGPD]. Su mensaje se elimina a los 30 días, o antes si el propietario lo denuncia o termina su registro.
Para proteger a los propietarios frente a usos indebidos, DPP Host, como responsable del tratamiento, comprueba con Cloudflare Turnstile que quien envía el formulario es una persona, y limita cuántos mensajes puede enviar una misma dirección de red. Para estos límites guardamos un hash con clave de su dirección IP, nunca la dirección en sí: en nuestros contadores, durante un día como máximo, y con su mensaje, mientras este se conserve. Si el propietario denuncia su mensaje, este se elimina, y los mensajes procedentes de la misma dirección, identificada por su hash, se rechazan durante 7 días. No se permiten enlaces en los mensajes. El formulario no instala cookies ni guarda nada en su navegador. La base jurídica es nuestro interés legítimo en ofrecer un servicio seguro [artículo 6, apartado 1, letra f), del RGPD]. Para que su mensaje se elimine antes, escriba a privacy@dpphost.eu indicando el producto y la hora a la que lo envió.
Notificaciones sobre contenido
Si notifica contenido con el formulario de la página de notificación de contenido, guardamos lo que escribe, la dirección web que notifica, su nombre y su dirección de correo electrónico, si los indica, y un hash con clave de su dirección IP. Usamos la notificación para tramitarla y para cumplir nuestras obligaciones conforme al Reglamento de Servicios Digitales [artículo 6, apartado 1, letra c), del RGPD]. La organización afectada nunca sabe quién envió la notificación. Usamos el hash de la IP solo para limitar los usos abusivos del formulario, lo que constituye nuestro interés legítimo en que todos puedan seguir utilizándolo [artículo 6, apartado 1, letra f), del RGPD]. Eliminamos el hash de la IP a los 30 días. A los 3 años de nuestra decisión eliminamos su nombre, su dirección de correo electrónico y lo que escribió; solo conservamos la referencia, las fechas, la categoría, la dirección web notificada y la decisión, como constancia de cómo tramitamos la notificación.
Dónde se almacenan los datos y quién los recibe
Nuestra base de datos, nuestro sistema de inicio de sesión y nuestras funciones de servidor se ejecutan en Supabase, en Fráncfort (Alemania). Cloudflare sirve nuestros sitios a través de su red mundial desde el centro de datos más cercano a usted, guarda en la UE los archivos que almacenamos y reenvía los correos enviados a hello@dpphost.eu y a privacy@dpphost.eu a nuestros buzones de Microsoft (Microsoft 365) y Google (Gmail). Resend envía nuestros correos. Anthropic lee los archivos y las páginas que usted arrastra a «Nuevo pasaporte» y los documentos de GS1 que añade a las reclamaciones de GTIN, y redacta las respuestas de la Guía. Supabase, Cloudflare, Microsoft, Resend y Anthropic son nuestros encargados del tratamiento. Stripe gestiona los pagos, como se ha descrito más arriba. Todos ellos son empresas estadounidenses o forman parte de grupos estadounidenses. Cuando los datos personales se transfieren a Estados Unidos o se accede a ellos desde fuera de la UE, la transferencia a nuestros encargados del tratamiento y a Stripe está amparada por las cláusulas contractuales tipo de la Comisión Europea incluidas en el contrato de encargo del tratamiento de cada proveedor y, en el caso de Cloudflare, Resend y Stripe, también por el Marco de Privacidad de Datos UE-EE. UU. Puede solicitarnos una copia de estas garantías en privacy@dpphost.eu. Nuestra lista de subencargados del tratamiento, con la fecha en que empieza cada nuevo subencargado, está en dpphost.eu/sub-processors (en inglés).
Otros destinatarios: el sistema VIES de la UE recibe el número de IVA de las organizaciones que se están verificando; Google, Apple y Microsoft intervienen, como responsables del tratamiento independientes, en los inicios de sesión que usted realiza con ellos; los proveedores de las aplicaciones de IA que conecta reciben lo que la aplicación lee por usted; las marcas reciben lo que esta política indica que ven; y las autoridades reciben datos cuando la ley lo exige, por ejemplo, la policía en virtud del Reglamento de Servicios Digitales. No vendemos datos personales.
Copias de seguridad y exportaciones
Cada noche copiamos todos los pasaportes publicados en un almacenamiento independiente de Cloudflare en la UE, para poder restaurarlos; la copia solo contiene lo que muestran las páginas de los pasaportes. Conservamos cada copia nocturna durante 35 días y una copia al mes durante 400 días. Los administradores de una organización pueden descargar sus pasaportes, borradores, archivos de proveedores, contenido multimedia y páginas en archivos ZIP, que eliminamos a los 7 días; estas exportaciones no contienen datos de miembros ni de propietarios, claves ni datos de facturación. Los datos eliminados pueden permanecer en las copias de seguridad cifradas de la base de datos durante un máximo de 7 días antes de sobrescribirse.
Sus derechos
Puede solicitarnos el acceso a sus datos, su rectificación o supresión, la limitación de su tratamiento o una copia en un formato de lectura mecánica, y puede oponerse al tratamiento basado en nuestro interés legítimo. Escriba a privacy@dpphost.eu. Respondemos en el plazo de un mes y podemos pedirle que confirme su identidad. Cuando una marca es responsable de sus datos (véase «Cuando la responsable es una marca»), diríjase a la marca, o escríbanos y trasladaremos su solicitud a la marca. Salvo la comprobación automática en VIES (véase «Organizaciones, verificaciones de empresa y GTIN»), no tomamos decisiones sobre usted basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en usted o le afecten significativamente de modo similar. También puede presentar una reclamación ante la Agencia Danesa de Protección de Datos (Datatilsynet, datatilsynet.dk) o ante la autoridad de protección de datos del país en el que resida o trabaje.
Cambios en esta política
Actualizamos esta política cuando cambia lo que hacemos con los datos personales. La fecha que figura al principio indica cuándo la modificamos por última vez.