Esta Política de privacidad explica cómo Fullstack3 LTD ("Fullstack3", "WAMA", "nosotros", "nos" o "nuestro") recopila, utiliza, comparte y protege los datos personales cuando usas los productos y servicios de WAMA.

Tratamos los datos personales de conformidad con el UK General Data Protection Regulation (UK GDPR), el Reglamento general de protección de datos de la UE (RGPD de la UE) cuando proceda, y demás leyes de privacidad aplicables.

1. Quiénes somos

Responsable del tratamiento: Fullstack3 LTD (que opera como WAMA), número de sociedad 10486539

Domicilio social: 20-22 Wenlock Road, London, England, N1 7GU (domicilio social virtual; actualmente no disponemos de otra oficina operativa física)

Contacto de privacidad: [email protected]

Para preguntas sobre esta política o para ejercer tus derechos, escríbenos al correo anterior. También puedes usar nuestra página de contacto.

2. Servicios cubiertos

Esta política se aplica a:

• Nuestro sitio web de marketing en www.wama.cloud
• La aplicación web WAMA (SaaS de gestión de almacén)
• La app Android de WAMA (Google Play, paquete com.fullstack3.wama)
• La app iOS de WAMA (Apple App Store, bundle ID com.fullstack3.wama)
• Funciones opcionales de ecommerce / tienda (escaparates de comerciantes como *.wama.app) operadas para un Point of Sale
• API relacionadas, correos electrónicos transaccionales y notificaciones push

En conjunto, estos constituyen el "Servicio".

3. Nuestros roles: responsable y encargado del tratamiento

Somos responsables del tratamiento cuando decidimos cómo y por qué tratar datos personales relativos a:

• Titulares de cuentas y usuarios de WAMA (registro, inicio de sesión, perfil, soporte)
• Administración de facturación y suscripciones
• Comunicaciones de marketing (cuando te hayas suscrito)
• Analítica del sitio web y de las tiendas (cuando se utilice)
• Diagnóstico de apps, rendimiento e informes de fallos necesarios para operar y asegurar el Servicio

Actuamos como encargados del tratamiento cuando los clientes empresariales (comerciantes) almacenan en WAMA datos personales sobre sus propios clientes, proveedores, miembros de fidelización u otros contactos (por ejemplo nombres, direcciones, teléfonos, correos electrónicos, fechas de nacimiento, identificadores fiscales, historial de pedidos). En ese caso el comerciante es el responsable de esos datos y debe disponer de una base legítima para recopilarlos y utilizarlos. Tratamos esos datos solo para prestar el Servicio siguiendo las instrucciones del comerciante.

Los clientes empresariales pueden solicitar nuestro Acuerdo de tratamiento de datos (DPA) escribiendo a [email protected]. Cuando se firma un DPA, este rige nuestro tratamiento de los datos personales de los clientes del comerciante como encargados, junto con esta Política de privacidad y nuestros Términos.

4. Categorías de datos personales que tratamos

Datos de cuenta y perfil

• Dirección de correo electrónico, nombre, apellidos
• Contraseña (almacenada como hash seguro; no almacenamos contraseñas en texto plano)
• Preferencia de idioma, foto de perfil (si se proporciona)
• Estado de suscripción / consentimiento a newsletter y marketing

Datos de facturación y suscripción

• Plan de suscripción, estado de facturación e identificadores de cuenta relacionados
• Identificadores de cliente / método de pago del procesador de pagos (por ejemplo ID de cliente de Stripe)
• No almacenamos números de tarjeta completos (PAN); los pagos con tarjeta los gestionan los proveedores de pago

Dispositivo, uso y diagnóstico

• Dirección IP, tipo de navegador, tipo de dispositivo, ubicación aproximada derivada de la IP cuando sea relevante para la seguridad
• Páginas o pantallas visitadas, versión de la app, eventos de uso de funciones y datos de uso similares
• Registros de fallos y datos de diagnóstico (incluido a través de Firebase Crashlytics)
• En Android: eventos de Firebase Analytics, datos de Firebase Performance y parámetros de Firebase Remote Config usados para operar y mejorar la app
• Tokens de notificaciones push (APNs / Firebase Cloud Messaging)
• En móvil: identificadores de dispositivo usados para la funcionalidad de la app, la entrega de push y la asociación a fallos/analítica (no para seguimiento publicitario en iOS)

Contenido que subes

• Fotos e imágenes de producto
• Firmas capturadas para transferencias de stock (cuando se usen)
• Comentarios in-app (mensaje, valoración, versión de la app)

Datos empresariales / del inquilino (rol de encargado)

Según cómo usen WAMA los comerciantes, esto puede incluir:

• Datos de contacto de clientes y proveedores (nombre, correo, teléfono, dirección postal, NIF/CIF)
• Fecha de nacimiento (por ejemplo para fidelización o reglas de negocio relacionadas con la edad)
• Números de tarjetas de fidelización y puntos
• Pedidos de venta y compra, facturas y registros comerciales relacionados
• Detalles de ubicaciones de almacén, incluidas coordenadas opcionales introducidas manualmente (no un seguimiento GPS continuo por las apps)
• Cuentas de clientes de la tienda autenticadas mediante Firebase cuando el módulo de ecommerce está habilitado
• Solo en Android: datos de contacto que un usuario elige importar de la agenda del dispositivo a una ficha de cliente (campos de nombre, teléfono, correo y dirección postal seleccionados por el usuario). No subimos ni sincronizamos la agenda completa del dispositivo.

5. Cómo recopilamos los datos

• Directamente de ti — registro, perfil, soporte, formularios de contacto, comentarios
• Automáticamente — cookies y tecnologías similares en el sitio de marketing y los escaparates de tienda; registros de app y servidor; informes de fallos; SDK de analítica; registro de tokens push
• De los comerciantes — datos que introducen o importan sobre sus clientes y operaciones
• Del dispositivo (Android) — campos que el usuario selecciona explícitamente al importar un contacto a WAMA
• De proveedores de servicios — por ejemplo estado de pago de Stripe, eventos de autenticación de Firebase para clientes de la tienda

6. Finalidades y bases jurídicas

Cuando nos basamos en intereses legítimos, equilibramos esos intereses con tus derechos y expectativas. Puedes oponerte como se describe en la sección 13.

7. Apps móviles (iOS y Android)

Nuestras apps nativas se conectan a WAMA mediante HTTPS y usan autenticación basada en OAuth. Los tokens de acceso y actualización en iOS se almacenan en el Keychain del dispositivo.

• Cámara y fotos: se usan para el escaneo de códigos de barras e imágenes de producto. Las imágenes que elijas pueden cargarse en nuestros servidores. El acceso a la fototeca se usa solo cuando seleccionas imágenes.
• Notificaciones push: con tu permiso registramos un token de dispositivo APNs / FCM con WAMA para entregar notificaciones operativas.
• Informes de fallos: Firebase Crashlytics puede recibir datos de fallos y diagnóstico, asociados a tu ID de usuario cuando has iniciado sesión.
• Analítica de producto en Android: Firebase Analytics (eventos de funciones y uso), Firebase Performance y Firebase Remote Config pueden ejecutarse para comprender la fiabilidad y el uso de la app y para configurarla. No se usan para publicidad de terceros.
• Importación de contactos en Android: con el permiso de contactos del SO, un usuario puede elegir un contacto del dispositivo para rellenar previamente una ficha de cliente de WAMA. Solo se leen y guardan los campos del contacto seleccionado si el usuario guarda el cliente; no se sincroniza la agenda completa.
• Seguimiento en iOS: no rastreamos a los usuarios con fines publicitarios ni usamos App Tracking Transparency / identificadores publicitarios para ese fin. Nuestras divulgaciones de App Privacy enumeran correo, nombre, ID de usuario, ID de dispositivo, datos de fallos y fotos con fines de funcionalidad / analítica (no de seguimiento) de la app.
• Pagos en Android: cuando esté habilitado, SumUp puede procesar pagos con tarjeta mediante un lector. Los datos de la tarjeta los gestiona SumUp; WAMA no almacena números de tarjeta completos.
• Suscripciones: las suscripciones de WAMA se adquieren y gestionan en el sitio web (Stripe). Las apps móviles no venden suscripciones digitales in-app.
• No recopilado por las apps: seguimiento GPS continuo, audio del micrófono para grabación, ni biometría Face ID (más allá de cualquier desbloqueo a nivel de SO que configures tú). iOS no accede a la agenda del dispositivo.

Puedes eliminar tu cuenta desde la configuración de la app o del web (o contactando con soporte). La eliminación de la cuenta elimina tu cuenta de usuario y los datos de perfil relacionados de los sistemas activos; podemos conservar datos limitados cuando lo exija la ley o por fines legítimos de copia de seguridad/seguridad (véase Conservación). La eliminación puede estar restringida mientras una suscripción de pago activa esté vinculada a la cuenta hasta que se resuelva la facturación.

8. Cookies y tecnologías similares

Nuestro sitio de marketing utiliza cookies y local storage. Las cookies de analítica en www.wama.cloud se cargan solo si las aceptas mediante nuestro banner de cookies. Puedes reabrir la configuración de cookies desde el pie del sitio. Los detalles están en nuestra Política de cookies.

Los escaparates de ecommerce de comerciantes (por ejemplo en *.wama.app) pueden cargar Google Analytics (ID de medición G-4NQC1FYWN4) en producción para medir el uso de la tienda. Esas etiquetas se cargan solo después de que el visitante acepte las cookies de analítica mediante el banner de cookies de la tienda (preferencia almacenada como wama-shop-cookie-consent). Los avisos de privacidad orientados a clientes finales de los visitantes de la tienda siguen siendo principalmente responsabilidad del comerciante como responsable de sus relaciones con clientes.

9. Proveedores de servicios (encargados / subencargados)

Utilizamos proveedores de confianza para operar el Servicio. Tratan datos personales solo siguiendo nuestras instrucciones (o, para datos de comerciantes, como nuestros subencargados):

• Google — Tag Manager / Analytics (sitio de marketing tras el consentimiento de cookies; escaparates de tienda mediante Google Analytics G-4NQC1FYWN4 tras el consentimiento de cookies de la tienda); Firebase Authentication (tienda); Firebase Cloud Messaging; Firebase Crashlytics; Firebase Analytics, Performance y Remote Config (Android); Google Cloud Storage; infraestructura de hosting / base de datos de Google Cloud (principalmente EEE); escaneo de códigos de barras on-device con ML Kit en Android
• Stripe — facturación de suscripciones y pagos de ecommerce, incluidos los pagos Stripe Connect a comerciantes (datos de tarjeta tratados por Stripe)
• SumUp — pagos opcionales con lector de tarjetas en Android
• Shopify — sincronización opcional de productos/pedidos cuando un comerciante conecta Shopify
• Mailgun — entrega de correo electrónico transaccional
• Sentry — monitorización de errores del lado del servidor
• Cloudflare — DNS, CDN y servicios edge relacionados

Los proveedores pueden cambiar a medida que mejoramos el Servicio. Los cambios materiales se reflejarán en las actualizaciones de esta política.

10. Transferencias internacionales

Alojamos y tratamos principalmente los datos del Servicio usando la infraestructura de Google Cloud en el Espacio Económico Europeo (actualmente la región europe-west1, Bélgica). Nuestro domicilio social está en el Reino Unido.

Algunos proveedores (por ejemplo Google, Stripe, Sentry) pueden tratar datos en Estados Unidos u otros países. Cuando transferimos datos personales fuera del Reino Unido/EEE, nos basamos en salvaguardas adecuadas como decisiones de adecuación y/o Cláusulas contractuales tipo, junto con medidas adicionales cuando se requieran.

11. Conservación

Conservamos los datos personales solo el tiempo necesario para las finalidades descritas en esta política, incluidos requisitos legales, contables y de seguridad. En la práctica:

• Cuentas activas: durante la vida de la cuenta mientras uses el Servicio
• Eliminación de la cuenta: cuando eliminas tu cuenta (o la eliminamos a tu solicitud), quitamos la cuenta de usuario, los tokens de acceso, los registros de perfil/información de usuario que controlamos y damos de baja el marketing cuando proceda de las bases de datos activas. Pueden permanecer copias residuales limitadas en copias de seguridad cifradas durante un breve periodo operativo antes de la rotación
• Registros nunca activados: las cuentas que permanecen inactivas / nunca activadas se eliminan automáticamente tras 3 días
• Facturación, facturas y registros fiscales: normalmente hasta 6 años (o más si lo exige la normativa fiscal o contable aplicable)
• Registros de fallos, rendimiento y analítica: durante periodos operativos más cortos fijados por nuestros proveedores y configuración (habitualmente del orden de semanas a unos pocos meses, por ejemplo la retención de Crashlytics según la configuración con Google)
• Analítica del sitio de marketing (con consentimiento): según la configuración de retención de Google Analytics / Tag Manager y nuestra configuración
• Datos del inquilino del comerciante (clientes, pedidos, fidelización, historial de stock, etc.): hasta que el comerciante los elimine o termine la cuenta del comerciante, sujeto a copias de seguridad y a cualquier retención legal que se aplique al comerciante o a nosotros
• Preferencias de marketing: hasta que te des de baja o eliminemos contactos de marketing inactivos

Actualmente no ejecutamos una purga automática separada de todos los registros comerciales históricos del inquilino tras un número fijo de años más allá de la eliminación impulsada por el comerciante y el cierre de la cuenta; los comerciantes deben eliminar los datos que ya no necesiten.

12. Seguridad

Utilizamos medidas técnicas y organizativas adecuadas, incluido HTTPS para datos en tránsito, controles de acceso, hash de contraseñas y almacenamiento seguro de tokens en dispositivos móviles. Ningún método de transmisión o almacenamiento es completamente seguro; trabajamos para proteger tus datos pero no podemos garantizar una seguridad absoluta.

13. Tus derechos

Con sujeción a la legislación aplicable, puedes tener derecho a:

• Acceder a tus datos personales
• Rectificar datos inexactos
• Suprimir datos ("derecho al olvido")
• Limitar u oponerte a determinados tratamientos
• Portabilidad de los datos
• Retirar el consentimiento cuando el tratamiento se base en el consentimiento (sin afectar al tratamiento lícito previo)
• Presentar una reclamación ante una autoridad de control (en el Reino Unido: la Information Commissioner's Office (ICO); en la UE: tu autoridad local de protección de datos, en Italia el Garante per la protezione dei dati personali)

Para ejercer estos derechos respecto de los datos de los que somos responsables, escribe a [email protected]. También puedes actualizar la información del perfil y eliminar tu cuenta desde la configuración del Servicio cuando esté disponible.

Si eres un cliente final de un comerciante que usa WAMA, contacta primero con ese comerciante para solicitudes sobre datos que conserve sobre ti en su cuenta WAMA. Asistiremos a los comerciantes según lo exijan la ley y nuestros acuerdos (incluido cualquier DPA).

14. Menores

El Servicio es un producto empresarial de gestión de almacén y no está dirigido a menores de 16 años. No recopilamos a sabiendas datos personales de menores de 16 años. Si crees que hemos recopilado tales datos, contacta con nosotros y tomaremos las medidas adecuadas para eliminarlos.

15. Cambios a esta política

Podemos actualizar esta Política de privacidad de vez en cuando. La fecha de "Última actualización" en la parte superior cambiará cuando lo hagamos. Para cambios materiales tomaremos medidas razonables para notificártelo (por ejemplo a través del Servicio o por correo electrónico) cuando proceda.

Cuando un cambio se refiera a un tratamiento basado en tu consentimiento (por ejemplo correos de marketing o cookies de analítica del sitio de marketing), solicitaremos un nuevo consentimiento o ofreceremos una nueva opción clara cuando lo exija la ley. Para tratamientos basados en contrato o intereses legítimos, el uso continuado del Servicio tras publicar la política actualizada (y cualquier aviso que proporcionemos) significa que reconoces la política revisada.

16. Contacto

Preguntas sobre privacidad: [email protected]

Fullstack3 LTD (número de sociedad 10486539) — 20-22 Wenlock Road, London, England, N1 7GU