Política de Privacidad

La ley distingue entre quien determina para qué se recopila la información y qué se hace con ella (el «responsable de la base de datos») y quien la trata por cuenta de aquel (el «tenedor»). En nuestro caso se dan dos situaciones:

• Información sobre las novias, clientas, empleadas y proveedores del salón: el salón es el responsable. Decide qué introducir, a quién dar acceso y cuándo eliminar, y es a él a quien deben dirigirse las personas a las que se refiere la información. Nosotros somos el tenedor: almacenamos, hacemos copias de seguridad y operamos el sistema conforme a las instrucciones del salón y al capítulo sobre tratamiento de la información de las Condiciones de Uso, y no utilizamos esta información para ningún fin propio.
• Información sobre el salón y sobre quienes se ponen en contacto con nosotros: los datos de registro, los usuarios, la facturación, las consultas recibidas a través del sitio web y el soporte. En este caso, nosotros somos el responsable.

En términos del RGPD (UK GDPR y RGPD de la UE): respecto del primer tipo de información, el salón es el responsable del tratamiento y nosotros somos el encargado, que la trata solo según las instrucciones del salón y conforme al acuerdo de tratamiento de datos. Respecto del segundo tipo, el responsable somos nosotros. Paddle, que vende la suscripción como Merchant of Record, es responsable independiente de los datos de pago que recoge.

Responsable de la información del segundo tipo: Nerya Cohen, con el nombre comercial Nerya ERP, support@sewingerp.com. En las consultas relativas a la privacidad, escribe «Privacidad» en el asunto del mensaje.

En ninguno de estos casos existe obligación legal de facilitarnos la información. Facilitarla depende de tu voluntad y consentimiento, pero sin ella no podremos ofrecerte lo que se describe junto a cada tipo.

• Formulario «Comprobación de idoneidad» del sitio web: nombre, nombre comercial, correo electrónico, teléfono (opcional) y mensaje. Se utiliza para ponernos en contacto contigo y concertar una conversación. Sin nombre y correo electrónico no podremos ponernos en contacto contigo. Se conserva mientras sea necesario para mantener el contacto contigo y se elimina cuando lo pidas.
• Cómo llegaste al sitio: al enviar el formulario de contacto se guardan con él la página desde la que se envió, la primera página de la visita, el nombre del sitio desde el que llegaste (no la dirección completa) y las etiquetas de campaña del enlace (utm), si las hay. Al registrarte, la primera página, el nombre del sitio y las etiquetas de campaña se guardan con el nuevo negocio, junto con el idioma del registro. Hasta que envíes un formulario, esto queda solo en tu navegador, hasta cerrar la pestaña, y no se envía a ningún sitio. Sirve para saber qué canales traen consultas y clientes.
• Estadísticas en el sitio de marketing: solo si aceptaste en el banner, Google Analytics recopila qué páginas se vieron, desde qué canal llegaste, país y ciudad aproximados, tipo de dispositivo y navegador, y un identificador aleatorio en una cookie. No se recopilan nombre, teléfono ni correo electrónico, y Google no guarda la dirección IP. Sirve para mejorar el sitio y saber qué canales funcionan. Dentro del sistema (después de iniciar sesión) no hay Google Analytics.
• Registro y cuenta: nombre comercial, correo electrónico y contraseña (que se guarda solo como hash) o cuenta de Google (nombre y correo electrónico), el plan elegido y los usuarios que añade el negocio (nombre, correo electrónico, función). Se utiliza para abrir la cuenta, iniciar sesión y gestionar los permisos. Sin correo electrónico no es posible abrir una cuenta.
• Facturación: el pago se hace a través de Paddle, el Merchant of Record (vendedor oficial) del pedido. En la página de pago facilitan directamente a Paddle los datos de pago, el nombre del negocio, el correo, el país y el número de IVA o de empresa (si lo hay). Los datos de la tarjeta nunca nos llegan. De Paddle recibimos el nombre del negocio, el correo, el plan, el estado de la suscripción, el historial de pagos y el país, para activar y gestionar la suscripción. Sin datos de facturación no se puede activar una suscripción de pago.
• Soporte y correspondencia: el contenido de tus consultas por correo electrónico, para responderlas y mejorar el servicio.
• Registros de uso y de seguridad: inicios de sesión en el sistema, dirección IP, tipo de navegador y acciones que quedan anotadas en el registro de auditoría. Se utilizan para la seguridad, la detección de fallos y la prevención de usos indebidos, y se recopilan automáticamente durante el uso.

El sistema guarda lo que el salón introduce o recopila a través de él. Por lo general:

• Novias y clientas: nombre, teléfono, correo electrónico, dirección, fecha y lugar del evento, origen de la recomendación, idioma preferido, notas de estilo, estado, seguimientos y registro de contactos.
• Medidas corporales: contornos y largos, con la fecha de la toma de medidas y todas las versiones anteriores, para la confección y los arreglos.
• Fotos y archivos: imágenes de inspiración, fotos de pruebas y de prendas, y documentos adjuntos a la ficha, a un vestido, a una orden de trabajo o a un arreglo.
• Firma digital (si el salón la ha activado): el documento firmado, el nombre, la imagen de la firma, el momento de la firma, la dirección IP y el tipo de dispositivo, para poder acreditar quién firmó y qué firmó.
• Reserva de citas online y portal de la novia (si el salón los ha activado): nombre, teléfono, fecha del evento y una nota que introduce la propia novia; el portal le muestra el estado del vestido, las citas y el saldo pendiente de pago.
• Recordatorios (si el salón los ha activado): un correo electrónico a la novia en nombre del salón antes de una cita o de una entrega. Cualquier novia puede pedir al salón que deje de enviárselos.
• Finanzas: precios, anticipos, pagos y reembolsos, el tipo de medio de pago y los justificantes. No se guardan números de tarjeta de las novias.
• Empleadas del salón: datos de contacto, puesto, asistencia y horas y, si el salón así lo decide, también las tarifas.
• Operaciones: vestidos, fases de trabajo, tareas, inventario, proveedores, tiendas y órdenes de trabajo.

La obligación de informar a la novia en el momento de la recogida de los datos (conforme al artículo 11 de la Ley) recae en el salón. En las páginas que rellena la propia novia, como la reserva de citas y la firma a distancia, el sistema muestra un breve aviso en nombre del salón, pero este no sustituye al aviso que el propio salón debe proporcionar.

Un salón en el Reino Unido o en la UE también es el responsable del tratamiento según el RGPD: decide la base jurídica de la recogida, da a sus novias la información exigida por los artículos 13 y 14 del RGPD y atiende sus solicitudes. Le asistimos conforme al acuerdo de tratamiento de datos.

Las medidas corporales, las fotos del cuerpo durante las pruebas y las firmas son información que tratamos como sensible, aunque no todos los elementos queden comprendidos en la definición de «información de especial sensibilidad» de la Enmienda 13. Por ello se conserva con un nivel de seguridad igual o superior al del resto del sistema: archivos en una carpeta privada, enlaces firmados válidos durante una hora y nunca en un portal de proveedor.

El sistema no está destinado a información médica, números de identidad completos ni información sobre menores más allá de lo necesario para la confección. El salón que introduzca dicha información es responsable de la base jurídica que la ampare.

Según el RGPD, las medidas y las fotos no son por sí mismas una «categoría especial» de datos (artículo 9), salvo que revelen información sobre la salud. Por eso no se debe introducir información médica en el sistema, aunque parezca relevante para la confección.

• Prestación del servicio al salón: gestión de las novias, las medidas, los vestidos, las citas, las firmas y los pagos.
• Comunicación mínima de datos a un taller de costura o fábrica con los que trabaja el salón: número de trabajo, modelo, medidas de la prenda, color y las fotos que el salón haya marcado expresamente para compartir. Sin el nombre de la novia, su teléfono ni la fecha del evento.
• Copias de seguridad, seguridad, prevención de fallos y soporte técnico.
• Facturación al salón y comunicación con él.

Lo que no hacemos: no vendemos información, no la utilizamos con fines publicitarios, no elaboramos perfiles, no entrenamos con ella modelos de inteligencia artificial y no nos dirigimos a las novias en nuestro propio nombre. Las comunicaciones comerciales al salón solo se envían con su consentimiento, y cada una de ellas incluye un medio para darse de baja.

Base jurídica según el RGPD para la información de la que somos responsables:

• Registro, cuenta, usuarios y soporte: ejecución del contrato contigo (art. 6(1)(b)).
• Facturación y registros contables: ejecución del contrato y obligación legal de conservar registros conforme a la normativa fiscal (art. 6(1)(b) y 6(1)(c)).
• Formulario «Comprobación de idoneidad» y consultas desde el sitio web: medidas precontractuales adoptadas a petición tuya e interés legítimo en responder a una consulta (art. 6(1)(b) y 6(1)(f)).
• Registros de uso y seguridad: interés legítimo en proteger el sistema y los datos, detectar fallos y prevenir abusos (art. 6(1)(f)).
• Estadísticas del sitio (Google Analytics): consentimiento (art. 6(1)(a)), que puedes retirar en cualquier momento desde "Configuración de cookies".
• Correos de marketing al salón: consentimiento (art. 6(1)(a)), que puedes retirar en cualquier momento.
• Información que introduce el salón: el salón decide la base jurídica; nosotros la tratamos según sus instrucciones (art. 28).

Los proveedores que almacenan o transmiten información por cuenta nuestra en todas las cuentas (subencargados del tratamiento):

• Supabase: la base de datos, la autenticación y el almacenamiento de archivos. Fráncfort, Alemania.
• Hetzner Online GmbH: el servidor de la aplicación. Alemania.
• Cloudflare: protección del sitio web, DNS y cifrado del tráfico, a través de una red global. Además, se conserva una copia de seguridad cifrada en Cloudflare R2, en la región de Norteamérica.
• Brevo: envío de correos electrónicos operativos y de los recordatorios que el salón haya activado. Unión Europea.
• Google Ireland Limited (Google Analytics), solo para visitantes del sitio de marketing que aceptaron las estadísticas: datos de uso del sitio, sin nombre ni datos de contacto. Google también puede tratar esta información en Estados Unidos, conforme al EU-US Data Privacy Framework y a las cláusulas contractuales tipo de sus condiciones de tratamiento de datos.
• YouTube (Google): el vídeo de nuestra historia en la página de inicio está incrustado desde youtube-nocookie.com y se carga solo después de pulsar reproducir. A partir de ese momento se aplica la política de privacidad de Google.
• Paddle.com Market Limited (Reino Unido) y sus empresas vinculadas, para negocios de pago: procesamiento del pago de la suscripción, facturas, impuestos, prevención del fraude y reembolsos. Respecto de los datos de pago que Paddle recoge en su página de pago, es responsable independiente, según su propia política de privacidad (paddle.com/legal/privacy).

Solo si el propio salón los conecta en la configuración, la información pertinente se transfiere también a:

• Morning (Green Invoice), iCount, Sumit: el nombre de la clienta y el importe, para emitir una factura o un recibo.
• UPS: nombre y dirección para el envío.
• Webhook o API, a la dirección y a las herramientas que haya configurado el salón.

Transferencia fuera de Israel. La mayor parte de la información se conserva en la Unión Europea, a la que Israel reconoce un nivel de protección adecuado. La copia de seguridad en Norteamérica se cifra antes de salir del servidor, y el proveedor está obligado contractualmente a protegerla. La transferencia se realiza conforme al Reglamento de Protección de la Privacidad (Transferencia de Información a Bases de Datos fuera de las Fronteras del Estado), 5761-2001.

Transferencias según el RGPD. La información del Reino Unido y de la UE nos llega a Israel, país que la UE reconoce como dotado de un nivel de protección adecuado (Decisión 2011/61/UE de la Comisión, confirmada en la revisión de enero de 2024), al igual que la legislación británica de protección de datos (Data Protection Act 2018, anexo 21). La mayor parte de la información se almacena en Alemania, dentro de la UE. La copia de seguridad cifrada en Cloudflare R2 en Norteamérica se transfiere sobre la base de las cláusulas contractuales tipo de la UE (CCT) y del anexo británico de transferencias internacionales (IDTA / UK Addendum) incluidos en el acuerdo de tratamiento de datos de Cloudflare. Puedes pedirnos una copia de estas garantías.

Los datos de facturación los trata Paddle en el Reino Unido y, si es necesario, en Estados Unidos y otros países donde opera, conforme a su política de privacidad y a las leyes de protección de datos que le aplican.

Fuera de estos casos, la información solo se comunicará cuando lo exija la ley (por ejemplo, una orden judicial o un requerimiento de una autoridad competente). Notificaremos a los salones cualquier nuevo subencargado del tratamiento con 30 días de antelación y actualizaremos la lista aquí.

Las condiciones en las que tratamos información por cuenta del salón, incluida la lista de subencargados y su ubicación, figuran en el acuerdo de tratamiento de datos (DPA).

• Datos del salón: mientras la cuenta esté activa. Tras el cierre: 30 días durante los cuales es posible exportarlo todo y, a continuación, la supresión.
• Copias de seguridad: 14 días en el servidor y 60 días en la copia externa; después se eliminan automáticamente. Además, se conserva una copia cifrada de cada mes durante 12 meses. La información eliminada en el sistema permanece en las copias de seguridad hasta que estas caducan.
• Registros financieros (pagos, gastos, facturas): 7 años, conforme a los requisitos de llevanza de libros contables, incluso después de eliminar la ficha.
• Documentos firmados: mientras exista la ficha. La eliminación permanente de la novia los elimina también.
• Cuenta y usuarios (cuando somos los responsables): mientras la cuenta esté activa. 30 días después del cierre se eliminan los usuarios que no tienen otro negocio en el sistema; se conservan el nombre del negocio, los datos de facturación y nuestras facturas al salón, a efectos contables.
• Registro de auditoría: 12 meses, y 24 meses para las acciones sobre pagos, gastos, firmas, la cuenta del negocio, usuarios y permisos; después se elimina automáticamente. Cuando una novia se elimina de forma permanente, sus entradas en el registro se vacían de contenido (se conservan la fecha y la acción).
• Registro de integraciones: 90 días. Partes de trabajo del taller: 3 años.

• Acceso (artículo 13 de la Ley): obtener la información que se conserva sobre ti.
• Rectificación y supresión (artículo 14): solicitar que se rectifique o se suprima la información que no sea correcta, completa, clara o actualizada.
• Baja de las comunicaciones comerciales (artículo 17F de la Ley y artículo 30A de la Ley de Comunicaciones): dejar de recibir comunicaciones comerciales en cualquier momento.
• Exportación: los titulares de la cuenta pueden descargar todos los datos del salón en cualquier momento, como archivos CSV.
• Derechos adicionales según el RGPD (para personas en el Reino Unido o la UE): además del acceso, la rectificación y la supresión, también la limitación del tratamiento, la portabilidad de los datos, la oposición al tratamiento basado en el interés legítimo (y siempre a la mercadotecnia directa) y la retirada del consentimiento en cualquier momento. No tomamos decisiones sobre ti basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o te afecten de forma similarmente significativa.

Si eres el salón o te has puesto en contacto con nosotros a través del sitio web: escribe a support@sewingerp.com. Responderemos en un plazo de 30 días y, si antes necesitamos verificar tu identidad, te pediremos el mínimo imprescindible.

Según el RGPD responderemos en el plazo de un mes. Si la solicitud es compleja o hay varias, el plazo puede ampliarse dos meses más, y te lo comunicaremos dentro del primer mes. El ejercicio de los derechos es gratuito.

Si eres una novia o clienta de un salón: el salón es el responsable de tu información y, por lo tanto, la solicitud debe dirigirse a él. Dispone en el sistema de todas las herramientas: visualización de la ficha completa, edición, exportación y «Eliminar permanentemente» (que elimina la ficha, las medidas, las citas, los pagos, las firmas, las fotos y el registro de contactos, y vacía las entradas sobre ti en los registros del sistema). Si te has dirigido directamente a nosotros, trasladaremos la solicitud al salón en un plazo de 5 días hábiles y te mantendremos informada.

Quien considere que se han vulnerado sus derechos también puede dirigirse a la Autoridad de Protección de la Privacidad del Ministerio de Justicia.

Quien esté en el Reino Unido puede reclamar ante la Information Commissioner's Office (ico.org.uk), y quien esté en la UE ante la autoridad de control de protección de datos del país donde vive o trabaja o donde se produjo la infracción. Te agradeceremos que te pongas en contacto con nosotros primero, para intentar resolver el asunto.

• Separación entre negocios a nivel de la base de datos (Row Level Security) y una comprobación automática que verifica que ninguna fila pase de un negocio a otro.
• Cifrado en tránsito (TLS) en todas las conexiones; cifrado en reposo en los proveedores de almacenamiento; copias de seguridad cifradas antes de salir del servidor.
• Las contraseñas y las claves de API se guardan solo como hash; los secretos de las integraciones se cifran en la base de datos.
• Roles y permisos dentro de cada negocio y un registro de auditoría de cada cambio.
• Portales para proveedores sin datos identificativos de las novias; los archivos solo son accesibles mediante un enlace firmado de corta duración.
• El acceso de nuestro equipo de soporte a los datos de un negocio es solo de lectura y queda registrado en el registro de auditoría del negocio.
• Cortafuegos, limitación de frecuencia frente a intentos de inicio de sesión, comprobación del estado del sistema cada 5 minutos y simulacro periódico de restauración de copias de seguridad.

Si se detecta un incidente de seguridad que afecte a la información de un salón, lo notificaremos al salón sin dilación, indicando lo que se sabe, lo que se ha visto afectado y las medidas adoptadas, y le ayudaremos a notificarlo a la Autoridad de Protección de la Privacidad cuando la ley lo exija. En caso de un incidente que afecte a información de la que somos responsables, lo notificaremos nosotros mismos a la Autoridad conforme al Reglamento de Seguridad de la Información.

Cuando el RGPD lo exija, notificaremos dicho incidente a la autoridad de control competente en un plazo de 72 horas desde que tengamos conocimiento de él, e informaremos a las personas afectadas cuando exista un alto riesgo para ellas.

Más detalles en la página de seguridad.

El sistema en sí (después de iniciar sesión) solo utiliza las cookies necesarias para ofrecer lo que has pedido: iniciar sesión, mantener la sesión de forma segura y recordar una elección que hiciste. El sitio web de marketing (página de inicio, precios, páginas legales) también tiene cookies de estadística de Google Analytics, que solo funcionan si las aceptaste en el banner. No hay cookies publicitarias. Puedes cambiar tu elección en cualquier momento desde el enlace "Configuración de cookies" al pie de cada página del sitio. Las cookies:

• Inicio de sesión (sb-…-auth-token, nco_activity): mantienen tu sesión iniciada y la cierran tras 12 horas sin actividad o 30 días después de iniciarla. El navegador también guarda la hora de tu última actividad (nco_last_activity), para bloquear una pantalla que quedó abierta.
• Negocio seleccionado (nco_tenant): en qué negocio entraste, si tienes más de uno. Hasta un año.
• Idioma y visualización (nco_lang, nco_theme): el idioma y el tema de colores que elegiste. Hasta un año.
• Acceso al sitio (nco_gate): solo mientras el sitio tenga acceso restringido, para quien haya entrado con un enlace de acceso. Hasta 90 días.
• Mensaje tras una acción (nco_flash): un único mensaje de confirmación o de error. Unos segundos.
• Registro desde el taller y reloj de fichaje (nco_worker, nco_worker_pin): en un dispositivo compartido del taller, recuerdan qué empleada registró. Hasta 30 días; la validación del código personal, hasta 12 horas.
• Tu elección en el banner (nco_consent): recuerda si aceptaste o rechazaste las estadísticas, para no volver a preguntar. 180 días. Además, el sitio guarda en tu navegador (no en una cookie) cómo llegaste (nco_lead_source), hasta cerrar la pestaña, y solo lo envía con el formulario de contacto o de registro.
• Estadísticas del sitio (_ga, _ga_…): solo después de que aceptes en el banner. Google Analytics cuenta visitas, páginas y fuentes de tráfico, sin vincularlas a tu nombre. Hasta dos años, o hasta que retires tu consentimiento.
• Cloudflare (por ejemplo, __cf_bm): cookies de seguridad que identifican el tráfico malicioso.

La página de pago la opera Paddle, que puede usar en ella sus propias cookies y herramientas para prevenir el fraude y completar el pago, según su propia política.

El sistema está destinado a empresas. Una clienta menor de 18 años (por ejemplo, para un vestido de bat mitzvá) es registrada por el salón con el consentimiento de su padre o madre, y el salón es responsable de ello, también en lo que respecta a las fotografías.

Cuando la política cambia, se actualiza la fecha que figura al pie de la página, y notificaremos a los salones por correo electrónico cualquier cambio sustancial. Preguntas y solicitudes: support@sewingerp.com. Las condiciones de uso, incluido el capítulo sobre el tratamiento de la información por cuenta del salón, se encuentran en las Condiciones de Uso.