Política de Privacidad

1. Quién es el responsable del tratamiento

Los datos personales recogidos a través de Plaza (plaza.fraxuo.com) son tratados por:

• Razón social: Fraxuo Dev SL
• CIF: B-XXXXXXXX
• Dirección: Gijón, Asturias, España
• Email: hola@fraxuo.com
• DPO: dpo@fraxuo.com

2. Qué datos recogemos

Plaza recoge los siguientes datos personales cuando haces un pedido:

• Identificación: nombre y apellidos.
• Contacto: teléfono y email (para notificarte cuando el pedido está listo).
• Pedido: productos elegidos, fecha y hora de recogida, comercio.
• Pago: los datos de tarjeta NO se almacenan en Plaza; los gestiona la pasarela de pago (Stripe / Redsys) cumpliendo PCI-DSS.
• Técnicos: dirección IP, user-agent, idioma del navegador (logs de servidor).
• Local: el carrito y los pedidos se guardan en localStorage de tu navegador, NO en nuestros servidores, salvo que confirmes el pedido.

3. Para qué usamos tus datos

• Procesar tu pedido y notificarte cuando esté listo (base legal: ejecución de contrato, art. 6.1.b RGPD).
• Cumplir obligaciones fiscales: emitir recibo simplificado y reportar a AEAT vía VeriFactu (RD 1007/2023) (base legal: obligación legal, art. 6.1.c RGPD).
• Atención al cliente y reembolsos (base legal: ejecución de contrato).
• Mejorar el servicio mediante analítica agregada y anónima (base legal: interés legítimo, art. 6.1.f RGPD).
• Comunicaciones promocionales del comercio elegido (solo si das consentimiento expreso, art. 6.1.a RGPD).

4. Con quién compartimos tus datos

Tus datos se comparten exclusivamente con:

• El comercio donde haces el pedido (panadería, pastelería, etc.) — solo nombre, teléfono, contenido del pedido y franja de recogida.
• Pasarela de pago (Stripe Inc. / Redsys Servicios de Procesamiento SL) — solo los datos necesarios para cobrar.
• Hosting (Hostinger International Ltd, Lituania, EU) — encargado del tratamiento bajo contrato DPA.
• Email transaccional (Resend Inc., EE. UU.) cuando se notifica al comercio. Cumple SCC 2021/914 para transferencia internacional.
• AEAT — solo el recibo simplificado, vía VeriFactu (obligación legal RD 1007/2023).

Nunca vendemos tus datos a terceros para marketing.

5. Cuánto tiempo guardamos tus datos

• Datos del pedido: 4 años (obligación fiscal LGT).
• Datos de cuenta: mientras la cuenta esté activa + 30 días tras el cierre.
• Logs técnicos: 90 días.
• Datos para marketing: hasta que retires el consentimiento.

6. Tus derechos

Conforme al RGPD y la LOPDGDD, puedes ejercer los siguientes derechos enviando un email a dpo@fraxuo.com con copia de tu DNI o equivalente:

• Acceso — saber qué datos tenemos sobre ti.
• Rectificación — corregir datos inexactos.
• Supresión (olvido) — borrar tus datos cuando ya no sean necesarios.
• Limitación — pausar el tratamiento mientras se resuelve una controversia.
• Portabilidad — recibir tus datos en formato JSON estructurado.
• Oposición — oponerte a tratamientos basados en interés legítimo.
• Retirar consentimiento — para tratamientos que dependan de él.

Si no estás conforme con cómo tratamos tu reclamación, puedes acudir a la Agencia Española de Protección de Datos (AEPD): www.aepd.es.

7. Seguridad

Protegemos tus datos mediante:

• Cifrado HTTPS (TLS 1.2/1.3) en todas las comunicaciones.
• HSTS, CSP y cabeceras de seguridad estrictas.
• Encriptación en reposo de la base de datos.
• Acceso al panel del comercio mediante autenticación.
• Logs y auditoría de accesos.
• Notificación a la AEPD en menos de 72h en caso de brecha (art. 33 RGPD).

8. Menores de edad

Plaza no está dirigido a menores de 14 años. Si detectamos que se ha registrado un menor sin consentimiento parental, eliminaremos sus datos inmediatamente.

9. Cambios en esta política

Cualquier cambio se comunicará con al menos 30 días de antelación por email a los usuarios registrados, y se actualizará la fecha al inicio de este documento.