Política de privacidad

1. Nombre y dirección del responsable del tratamiento

El responsable del tratamiento a efectos del RGPD y de otras disposiciones en materia de protección de datos es:

[tech]NEO GmbH
Kolonnenstr. 8
10827 Berlin
Alemania

Representada por su director gerente Mirko Lange
Teléfono: +49 30 555 70 70 - 0
Correo electrónico: info@techneo.berlin
Sitio web: www.techneo.berlin

Encontrará más información en el aviso legal.

2. Sitio web y aplicación: dos funciones

En allverto tratamos datos personales en dos funciones distintas:

• Como responsable del tratamiento de los visitantes de este sitio web, de los interesados que se ponen en contacto con nosotros y de los datos que necesitamos para el registro, la cuenta de cliente, el contrato y la facturación con nuestros clientes. Esta política de privacidad se aplica a dicho tratamiento.
• Como encargado del tratamiento de todos los datos que nuestros clientes almacenan y tratan en la aplicación allverto, por ejemplo datos de sus propios clientes, pedidos, direcciones de entrega o movimientos bancarios. El responsable de estos datos es el cliente correspondiente. Solo los tratamos siguiendo sus instrucciones y sobre la base de un contrato de encargo del tratamiento conforme al art. 28 RGPD (véase la sección 10).

Si usted es cliente final de un comerciante y tiene preguntas sobre sus datos que dicho comerciante trata con allverto, diríjase directamente al comerciante. Si recibimos una solicitud de este tipo, la remitiremos al cliente correspondiente.

3. Alojamiento y ubicación de los servidores

Operamos el sitio web y la aplicación en Hetzner Cloud, de Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Alemania). Los servidores, la base de datos y el almacenamiento de archivos se encuentran en el centro de datos de Falkenstein (Sajonia). Además, guardamos copias de seguridad cifradas en el centro de datos de Núremberg (Baviera) como segunda ubicación, para que los datos se conserven incluso si falla una ubicación. Todos los centros de datos están en Alemania y cuentan con la certificación ISO 27001.

Hetzner trata los datos como nuestro subencargado sobre la base de un contrato de encargo del tratamiento. Servimos las fuentes, imágenes y scripts de este sitio web desde nuestros propios servidores; no integramos contenidos de terceros proveedores como servicios de fuentes, servicios de mapas o plataformas de vídeo.

4. Recogida de datos generales (archivos de registro del servidor)

Cada vez que se accede al sitio web o a la aplicación, nuestro sistema registra automáticamente datos e información que transmite el navegador:

• tipo y versión del navegador, sistema operativo (user agent)
• la página visitada anteriormente (referrer), si el navegador la transmite
• la dirección solicitada, la fecha y hora del acceso, el código de estado y el volumen de datos transferidos
• la dirección IP

Necesitamos estos datos para servir correctamente los contenidos, garantizar el funcionamiento permanente de los sistemas y detectar y repeler ataques, como los intentos automatizados de inicio de sesión. Para ello contamos con un cortafuegos propio que puede bloquear temporalmente direcciones IP ante solicitudes sospechosas. Además, protegemos el inicio de sesión, el registro y la función «He olvidado mi contraseña» sin cookies y sin servicios de terceros (sin CAPTCHA): el formulario solo recibe una marca de tiempo firmada que nos permite reconocer solicitudes automatizadas enviadas con demasiada rapidez. Los inicios de sesión en la aplicación se registran con la dirección IP, la hora y el navegador para que los clientes y nosotros podamos detectar accesos no autorizados.

Estos datos no se combinan con otras fuentes de datos con fines publicitarios o analíticos. La base jurídica es el art. 6, apartado 1, letra f) RGPD; nuestro interés legítimo reside en un funcionamiento seguro y estable. Los registros se suprimen automáticamente transcurrido un plazo limitado, salvo que sean necesarios para esclarecer un incidente de seguridad concreto.

5. Cookies y almacenamiento local

En la aplicación utilizamos exclusivamente cookies técnicamente necesarias:

• Cookie de inicio de sesión (av_session): mantiene la sesión iniciada tras el inicio de sesión, también en el TPV y en la app de almacén. Contiene un identificador aleatorio, no es legible por scripts y caduca a más tardar a los 30 días o al cerrar la sesión.
• Cookies de la autenticación de dos factores: recuerdan el paso intermedio tras introducir la contraseña y, solo si elige «Confiar en este dispositivo», que este dispositivo ya ha realizado la segunda confirmación.

Además, la aplicación utiliza el almacenamiento local de su navegador para la configuración de vistas e impresoras, para los cambios no guardados en las ventanas de pedidos tras un cierre de sesión automático (como máximo 24 horas) y, en el TPV, para el carrito y los tiques aparcados, de modo que sobrevivan a una recarga o a un breve corte de red. Esta información solo sirve para el manejo de la aplicación y no se evalúa con fines publicitarios ni analíticos.

La base jurídica para el almacenamiento y la lectura es el artículo 25, apartado 2, n.º 2 de la Ley alemana de protección de datos en telecomunicaciones y servicios digitales (TDDDG), ya que es estrictamente necesario para el servicio que usted solicita; para el tratamiento posterior, el art. 6, apartado 1, letra b) RGPD. Puede eliminar o bloquear las cookies en su navegador en cualquier momento; sin la cookie de inicio de sesión, sin embargo, no es posible iniciar sesión en la aplicación.

6. Medición de audiencia sin cookies

Para entender qué contenidos de nuestro sitio web se utilizan y cómo nos encuentran los visitantes, utilizamos unas estadísticas de visitantes propias en nuestros servidores. Funcionan sin cookies, sin guardar nada en su dispositivo y sin terceros. Al abrir una página, un pequeño script de nuestro sitio web envía los siguientes datos a nuestro propio servidor:

• la página abierta (sin parámetros; solo se conservan parámetros de campaña como utm_source, utm_medium y utm_campaign) y el idioma de la página
• al entrar, solo el dominio del sitio web visitado anteriormente (p. ej., «google.com»), nunca su dirección completa
• determinadas acciones como objetivos: registro completado, clic en «Probar gratis» y clic en nuestra dirección de correo electrónico o número de teléfono

A partir de los datos que su navegador transmite de todos modos en cada solicitud, deducimos además el tipo de dispositivo (escritorio, smartphone, tableta), la familia de navegador y de sistema operativo sin número de versión y el país. Para agrupar las visitas repetidas del mismo día, generamos un valor hash irreversible a partir de la dirección IP y el agente de usuario junto con un valor aleatorio que se genera de nuevo cada día y se elimina al final del día. La dirección IP solo se utiliza brevemente en la memoria de trabajo para ello y nunca se guarda. No se produce un reconocimiento más allá del día, ni un perfil de uso, ni una combinación con otros datos.

No se guarda nada en su dispositivo ni se leen propiedades del dispositivo como el tamaño de pantalla, las fuentes instaladas o identificadores. Por ello, no es necesario un consentimiento conforme al artículo 25 de la TDDDG (ley alemana de protección de datos en telecomunicaciones y servicios digitales) y tampoco mostramos un banner de cookies. La base jurídica del tratamiento es el art. 6, apdo. 1, letra f del RGPD. Nuestro interés legítimo consiste en diseñar nuestro sitio web según las necesidades y evaluar la eficacia de nuestras ofertas y campañas. Los datos se tratan exclusivamente en nuestros servidores en Alemania y no se ceden a terceros.

Guardamos las visitas individuales como máximo 30 días; después solo quedan valores diarios agregados (p. ej., número de visitas por página) sin ninguna referencia personal.

Oposición: Si en su navegador está activado «Do Not Track» o «Global Privacy Control», sus visitas no se cuentan. Además, puede oponerse al tratamiento en cualquier momento conforme al art. 21 del RGPD, por ejemplo por correo electrónico a info@techneo.berlin, o desactivar JavaScript en su navegador.

7. Contacto

Puede ponerse en contacto con nosotros por correo electrónico o por teléfono. Tratamos los datos que nos facilita (por lo general, nombre, empresa, dirección de correo electrónico, número de teléfono y el contenido de su consulta) exclusivamente para tramitar su solicitud y para posibles consultas posteriores.

La base jurídica es el art. 6, apartado 1, letra b) RGPD si su consulta tiene por objeto un contrato o su preparación; en caso contrario, el art. 6, apartado 1, letra f) RGPD (interés legítimo en responder a consultas comerciales). No se comunican datos a terceros, salvo que sea necesario para la tramitación o lo exija la ley.

8. Registro y cuenta de cliente

Para utilizar allverto, usted registra su empresa. Para ello tratamos:

• datos de la empresa: nombre, tipo de empresa, dirección y datos de contacto
• datos de la persona que realiza el registro y de otros usuarios: nombre, dirección de correo electrónico profesional, contraseña (almacenada únicamente como hash seguro), funciones y permisos
• un justificante de la actividad comercial o de la asociación (licencia de actividad, extracto del registro mercantil o del registro de asociaciones)
• si la autenticación de dos factores está activada, las claves y códigos de recuperación necesarios para ella (cifrados o como hash)

Comprobamos el justificante antes de activar una empresa, para que allverto solo lo utilicen empresas y asociaciones y para dificultar el uso indebido. Solo es visible para nuestra comprobación. Las bases jurídicas son el art. 6, apartado 1, letra b) RGPD (contrato y medidas precontractuales) y el art. 6, apartado 1, letra f) RGPD (interés legítimo en la prevención de abusos).

9. Ejecución del contrato y facturación

Para el contrato y la facturación tratamos la dirección de facturación, el número de identificación a efectos del IVA, el paquete y la duración elegidos, los volúmenes de uso relevantes para la facturación (p. ej., número de pedidos, usuarios y TPV), así como las facturas y los cobros. Enviamos las facturas por correo electrónico; el pago se realiza mediante transferencia a nuestra cuenta empresarial.

Las bases jurídicas son el art. 6, apartado 1, letra b) RGPD (ejecución del contrato) y el art. 6, apartado 1, letra c) RGPD (obligaciones mercantiles y fiscales).

10. Datos en la aplicación (encargo del tratamiento)

Todo lo que los clientes registran en allverto o recuperan a través de integraciones lo tratamos como encargados del tratamiento, por cuenta y siguiendo las instrucciones del cliente. Según las funciones utilizadas, se trata en particular de:

• datos maestros de los clientes y proveedores del cliente (nombres, direcciones, datos de contacto, datos bancarios, números de identificación a efectos del IVA)
• pedidos, presupuestos, facturas, albaranes, devoluciones y pagos
• datos de envío y números de seguimiento
• movimientos de las cuentas bancarias conectadas
• tiques de caja y otros datos del TPV
• datos de los usuarios del cliente, sus permisos y un registro de cambios
• archivos cargados, como comprobantes, justificantes, imágenes y plantillas de impresión

Los datos de cada empresa están separados técnicamente de los de otras empresas en la base de datos. Solo accedemos a los datos de los clientes en la medida necesaria para el funcionamiento, la seguridad o la corrección de errores. El equipo de soporte solo ve los datos de una empresa si el propio cliente autoriza el acceso de soporte en la configuración; este acceso es de solo lectura, finaliza automáticamente y queda registrado en el registro de cambios.

Los clientes pueden obtener el contrato de encargo del tratamiento conforme al art. 28 RGPD, incluidas las medidas técnicas y organizativas y la lista de subencargados, solicitándolo a info@techneo.berlin.

11. Datos de clientes de los comerciantes y datos de marketplaces

Los comerciantes utilizan allverto para gestionar los pedidos de sus propios clientes, también de compradores que piden a través de marketplaces como Amazon, eBay, Kaufland u OTTO Market. El responsable de estos datos en el sentido del RGPD es el comerciante correspondiente. Nosotros los tratamos exclusivamente como su encargado del tratamiento conforme al art. 28 RGPD, solo siguiendo sus instrucciones y no para fines propios. La siguiente información explica a compradores y comerciantes cómo se hace; además se aplican los avisos de privacidad del comerciante y del marketplace correspondientes.

Finalidades

• Gestión de pedidos: obtención de los pedidos del marketplace o de la tienda online, tramitación, preparación y embalaje
• Envío: albaranes y etiquetas de envío, entrega al transportista, seguimiento del envío y confirmación de envío al marketplace
• Facturación: facturas, abonos y anulaciones y, si el comerciante lo desea, el envío de la factura al marketplace
• Atención al cliente: respuesta a mensajes de compradores, gestión de devoluciones, reembolsos y reclamaciones

Categorías de datos

Nombre, dirección de entrega y de facturación, número de teléfono y dirección de correo electrónico (en Amazon, por lo general, una dirección anonimizada asignada por el marketplace), en el caso de clientes empresariales la empresa y el número de IVA, número y fecha del pedido, artículos pedidos, precios e impuestos, forma de pago y de envío, números de seguimiento, mensajes entre comprador y comerciante e información sobre devoluciones. No recibimos de los marketplaces datos de tarjetas de pago ni de cuentas bancarias de los compradores; el pago lo gestiona el marketplace.

Destinatarios

• Hetzner Online GmbH como nuestro subencargado para alojamiento, base de datos y copias de seguridad en centros de datos en Alemania (Falkenstein y Núremberg)
• Transportistas que elige el comerciante (p. ej., DHL, DPD, GLS, Hermes, UPS): dirección del destinatario y, en la medida en que sea necesario para la entrega o el aviso de entrega, número de teléfono o dirección de correo electrónico
• el proveedor de correo electrónico del comerciante, si el comerciante envía facturas, confirmaciones de envío o respuestas a mensajes de compradores desde su propio buzón (SMTP, Microsoft 365 o Google)
• el propio marketplace para comunicaciones como el estado del envío, el número de seguimiento, la factura o las respuestas a mensajes
• Anthropic PBC (EE. UU.) solo si los usuarios del comerciante utilizan las funciones de traducción o de IA, como «Traducir con Claude» en los mensajes de compradores. En ese caso solo se transmite el texto correspondiente. La transferencia a EE. UU. se basa en las cláusulas contractuales tipo de la Comisión Europea (art. 46, apdo. 2, letra c RGPD); según sus condiciones contractuales, Anthropic no utiliza estos contenidos para entrenar sus modelos.

Plazo de conservación y supresión

Los datos permanecen almacenados mientras el comerciante los necesite para gestionar el pedido, para garantías, devoluciones y obligaciones legales. Las facturas y otros justificantes contables están sujetos para el comerciante a una obligación de conservación de diez años (art. 147 AO, art. 257 HGB) y no se modifican durante ese tiempo. El comerciante puede anonimizar en cualquier momento clientes concretos en allverto y activar la anonimización automática de los clientes que no han realizado pedidos desde un número de años configurable. En ese proceso se sustituyen el nombre, la dirección y los datos de contacto en la ficha del cliente y en los pedidos; los justificantes no se modifican debido a la obligación de conservación.

Algunos marketplaces exigen plazos más cortos; Amazon, por ejemplo, exige que los datos de entrega y de contacto de los compradores se supriman como muy tarde 30 días después de la entrega, salvo que sean necesarios para fines fiscales u otros fines legales. Cumplir estos plazos es responsabilidad del comerciante. Tras la finalización del contrato con el comerciante, suprimimos o entregamos los datos según sus instrucciones; desaparecen de las copias de seguridad cifradas al finalizar su periodo de conservación (actualmente 35 días).

Seguridad

Los datos se transmiten cifrados (TLS), se almacenan en Alemania y se separan por empresa en la base de datos; solo pueden verlos los usuarios del comerciante con el rol adecuado. Almacenamos cifradas (AES-256-GCM) las credenciales de acceso a los marketplaces. Para todos los usuarios se aplican un inicio de sesión en dos pasos obligatorio y reglas de contraseña con cambio periódico; los inicios de sesión y los cambios se registran. Otras medidas se describen en la sección 16.

Sus derechos como comprador

Le rogamos que dirija sus derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos y oposición (arts. 15 a 21 RGPD) al comerciante al que realizó el pedido. Si recibimos una solicitud de este tipo, la remitimos sin demora al comerciante competente y le ayudamos a responderla; para ello, allverto le ofrece un informe de datos y la anonimización de clientes. Como encargados del tratamiento no podemos decidir nosotros mismos sobre la solicitud.

12. Integraciones que activan los clientes

Si se desea, allverto se conecta con servicios de otros proveedores. Cada una de estas integraciones permanece desactivada hasta que el cliente la configura y la autoriza con sus propias credenciales o iniciando sesión en el proveedor. Los datos solo se transmiten siguiendo las instrucciones del cliente y únicamente en la medida que requiera la función correspondiente:

• Tiendas online y marketplaces (p. ej., Shopify, Shopware, WooCommerce, JTL, Amazon, eBay, Kaufland, OTTO Market): obtención de pedidos con datos de clientes y de entrega, transmisión de datos de artículos, existencias e información de envío y devolución.
• Empresas de transporte (p. ej., DHL, Deutsche Post, DHL Express, DPD, GLS, Hermes, UPS, FedEx): transmisión de la dirección del destinatario, los datos de contacto y los datos del envío para crear etiquetas de envío y realizar el seguimiento.
• Bancos y proveedores de pago (acceso bancario mediante FinTS/HBCI o EBICS, servicios de información sobre cuentas, PayPal, Mollie, Amazon Pay): obtención de movimientos bancarios y pagos para conciliarlos con partidas abiertas. Las credenciales se almacenan cifradas.
• TPV: firma de los tiques de caja mediante el dispositivo técnico de seguridad (TSE) de fiskaly GmbH y pago con tarjeta mediante terminales de pago (p. ej., SumUp, Stripe Terminal o terminales ZVT), si el cliente los configura.
• Envío de correos electrónicos a través de un buzón propio del cliente (SMTP, Microsoft 365 o Google iniciando sesión en el proveedor): envío de documentos y mensajes en nombre del cliente. allverto solo solicita los permisos necesarios para el envío.
• Verificación de números de identificación a efectos del IVA a través del sistema VIES de la Comisión Europea, cuando el cliente inicia una comprobación.

El tratamiento por parte de estos proveedores se rige por sus políticas de privacidad y por los contratos que el propio cliente haya celebrado con ellos. La elección de los proveedores y la base jurídica de la transmisión son responsabilidad del cliente.

13. Correos electrónicos de la plataforma

Enviamos los mensajes del sistema, como confirmaciones de inicio de sesión, códigos de autenticación de dos factores, invitaciones, avisos de incidentes de seguridad y facturas de allverto, a través del servidor de correo de la plataforma. Los clientes que no disponen de un buzón propio también pueden enviar sus documentos por esta vía; en ese caso, el nombre del remitente y la dirección de respuesta son los del cliente. La base jurídica es el art. 6, apartado 1, letra b) RGPD. No enviamos boletines publicitarios.

14. Destinatarios y transferencias a terceros países

No vendemos datos ni los cedemos con fines publicitarios. Los únicos destinatarios son nuestros proveedores de servicios de alojamiento y operación, vinculados contractualmente como encargados del tratamiento, así como los organismos a los que debemos comunicar datos por obligaciones legales, como las autoridades tributarias o nuestra asesoría fiscal en el marco de la contabilidad.

Para las respuestas con IA y las traducciones en el chat de soporte, así como para las funciones de traducción de la aplicación, utilizamos Anthropic PBC, EE. UU. (véase también la sección 11). Solo se transmiten los textos correspondientes, sobre la base de las cláusulas contractuales tipo de la Comisión Europea (art. 46, apdo. 2, letra c RGPD). Fuera de ello, nosotros mismos no transferimos datos a países fuera de la Unión Europea o del Espacio Económico Europeo. Si un cliente activa integraciones con proveedores establecidos fuera de la UE (p. ej., marketplaces, proveedores de pago o de correo electrónico), la transferencia se realiza siguiendo sus instrucciones y bajo su responsabilidad.

15. Plazo de conservación y supresión periódica

Conservamos los datos personales solo durante el tiempo necesario para la finalidad correspondiente o mientras lo exijan los plazos legales de conservación. Después, los datos se suprimen de forma periódica o, mientras la supresión no sea posible debido a obligaciones de conservación, se bloquean.

• Conservamos las facturas, los justificantes contables y demás documentación con relevancia fiscal durante diez años conforme al § 147 del Código Tributario alemán (AO) y al § 257 del Código de Comercio alemán (HGB), y la correspondencia mercantil y comercial durante seis años.
• Suprimimos los datos de la cuenta de cliente una vez finalizado el contrato, en la medida en que ya no sean necesarios para su ejecución o por obligaciones de conservación.
• Suprimimos las consultas no relacionadas con un contrato en cuanto se han resuelto y no se esperan más preguntas.
• Las copias de seguridad cifradas se eliminan automáticamente al vencer su periodo de conservación (actualmente 35 días).
• Eliminamos las visitas individuales de las estadísticas de visitantes como máximo a los 30 días; después solo quedan valores diarios agregados sin referencia personal.

Los datos que tratamos como encargados del tratamiento los suprimimos o entregamos según las instrucciones del cliente y las reglas del contrato de encargo del tratamiento. La conservación de sus propios documentos conforme a las GoBD (principios alemanes de contabilidad electrónica correcta) es responsabilidad del cliente en lo que respecta a estos datos.

16. Seguridad de los datos

Aplicamos medidas técnicas y organizativas para proteger sus datos frente a pérdida, manipulación y acceso no autorizado, y las adaptamos al estado de la técnica. Entre ellas se incluyen en particular:

• transmisión cifrada de todas las páginas e interfaces mediante HTTPS (TLS)
• separación de los datos de cada empresa a nivel de base de datos (row level security)
• almacenamiento cifrado de las credenciales de las integraciones (AES-256-GCM); contraseñas únicamente como hash
• inicio de sesión en dos pasos obligatorio, reglas de contraseña con caracteres especiales y cambio periódico, funciones y permisos por usuario, protección frente a intentos automatizados de inicio de sesión y un cortafuegos propio de la aplicación
• registro de cambios para datos importantes
• copias de seguridad periódicas y cifradas en una segunda ubicación

A pesar de estas medidas, la transmisión de datos por internet puede presentar brechas de seguridad; no es posible garantizar una protección absoluta.

17. Bases jurídicas del tratamiento

Basamos el tratamiento de datos personales en las siguientes bases jurídicas:

• art. 6, apartado 1, letra a) RGPD, en la medida en que usted haya dado su consentimiento a un tratamiento
• art. 6, apartado 1, letra b) RGPD para la ejecución de un contrato y la aplicación de medidas precontractuales, como el registro, la puesta a disposición de la aplicación y la facturación
• art. 6, apartado 1, letra c) RGPD para el cumplimiento de obligaciones legales, como las obligaciones de conservación fiscales y mercantiles
• art. 6, apartado 1, letra f) RGPD para nuestros intereses legítimos. Estos consisten en el desarrollo y la mejora de nuestra actividad empresarial, la atención a nuestros clientes, la seguridad de nuestros sistemas y la prevención de abusos.

18. Obligación de facilitar datos

La comunicación de datos personales es en parte un requisito legal (p. ej., datos para facturas) o necesaria para celebrar un contrato. Sin los datos solicitados durante el registro no podemos crear una cuenta de cliente ni ejecutar el contrato.

19. Ausencia de decisiones automatizadas

No tomamos decisiones automatizadas, incluida la elaboración de perfiles en el sentido del art. 22 RGPD, que produzcan efectos jurídicos en usted o le afecten significativamente de modo similar. La activación de nuevas empresas la decide una persona.

20. Derechos de los interesados

Frente a nosotros usted dispone de los siguientes derechos en relación con los datos personales que le conciernen:

• derecho de acceso (art. 15 RGPD)
• derecho de rectificación (art. 16 RGPD)
• derecho de supresión (art. 17 RGPD)
• derecho a la limitación del tratamiento (art. 18 RGPD)
• derecho a la portabilidad de los datos (art. 20 RGPD)
• derecho a retirar el consentimiento con efectos para el futuro (art. 7, apartado 3, RGPD)

Para ejercer sus derechos basta con un mensaje a info@techneo.berlin o a nuestra dirección postal.

Derecho a presentar una reclamación ante una autoridad de control (art. 77 RGPD)

Tiene derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos. La autoridad competente para nosotros es la Comisionada de Protección de Datos y Libertad de Información de Berlín (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlín (Alemania), www.datenschutz-berlin.de.

21. Modificaciones de esta política de privacidad

Adaptamos esta política de privacidad cuando cambian nuestra oferta, los servicios utilizados o la situación jurídica. Se aplica en cada caso la versión publicada en esta página.