Política de privacidad

La presente política explica cómo Montandor Andorra S.L.U. («Montandor», «nosotros») recoge, utiliza, conserva y protege sus datos personales cuando visita boutique.montandor.fr, realiza un pedido en ella o se comunica con su asesora dedicada a través del chat. Está redactada respetando el derecho andorrano de protección de datos (Llei Qualificada de Protecció de Dades, LQPD), el RGPD europeo (UE 2016/679) cuando el visitante se encuentra en la Unión Europea, y las normas nacionales de protección de datos francesa, española, portuguesa, italiana, alemana y suiza cuando resultan de aplicación.

1. Responsable del tratamiento

Montandor Andorra S.L.U., con domicilio social en Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Principado de Andorra. Para cualquier cuestión relativa al tratamiento de sus datos o para ejercer sus derechos, escriba a info@montandor.com o utilice el chat de la tienda seleccionando la categoría «Privacidad». Respondemos en los plazos previstos por la normativa aplicable y, a más tardar, en treinta (30) días.

2. Datos que recogemos

Recogemos cuatro categorías de datos en el marco estrictamente necesario para la ejecución de su pedido y la gestión de la relación comercial:

• Datos de cuenta y de pedido: nombre y apellidos, razón social (en su caso), direcciones de facturación y de entrega, correo electrónico, número de teléfono, identificadores de pedido, historial de compra. Estos datos son necesarios para la celebración y la ejecución del contrato de venta.
• Datos de pago: nunca almacenamos los números completos de tarjeta bancaria. El pago es tramitado por nuestro proveedor certificado PCI-DSS nivel 1. Conservamos únicamente el token de transacción, los cuatro últimos dígitos de la tarjeta, la red (Visa, Mastercard, Amex), la fecha de caducidad y el estado del pago, con fines contables y antifraude.
• Datos de entrega: dirección de entrega, código de portal, instrucciones, número de seguimiento del transportista (Chronopost, DHL Express). Estos datos se transmiten a nuestro transportista y a nuestro proveedor logístico únicamente para la ejecución de la entrega.
• Datos técnicos de conexión: dirección IP, agente de usuario, país aproximado, página consultada, marca de tiempo. Estos datos alimentan nuestros registros de acceso con fines de seguridad, prevención del fraude y diagnóstico técnico.

No recogemos ningún dato sensible en el sentido del artículo 9 del RGPD (origen étnico, opiniones políticas, religión, salud, orientación sexual, afiliación sindical, datos biométricos o genéticos).

3. Finalidades y bases jurídicas

4. Plazos de conservación

• Datos de pedido y facturación: duración de la relación comercial más diez (10) años, de conformidad con las obligaciones contables andorrana y francesa.
• Datos de pago: trece (13) meses para el token de transacción y los elementos antifraude, de conformidad con las directrices de la CNIL y los requisitos PCI-DSS.
• Cuenta de cliente inactiva: tres (3) años tras la última conexión, seguida de supresión o anonimización (salvo obligaciones contables residuales).
• Registros de acceso técnicos: doce (12) meses, seguidos de purga automática.
• Medición de audiencia agregada: trece (13) meses móviles.
• Boletín: hasta su baja, inmediata a través del enlace que figura en cada mensaje.

5. Destinatarios y encargados del tratamiento

Los datos recogidos son tratados por nuestro equipo interno y por un número limitado de encargados del tratamiento técnicos estrictamente necesarios para la ejecución de su pedido:

• Alojamiento de la infraestructura: Microsoft Azure, región West Europe. Datos alojados en la UE.
• Pago: PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburgo), proveedor de pagos certificado PCI-DSS nivel 1, autorizado como entidad de crédito por la Commission de Surveillance du Secteur Financier (CSSF). PayPal trata los datos de tarjeta bancaria para la autorización, la captura, el 3-D Secure (PSD2 SCA) y la prevención del fraude. Política de privacidad de PayPal: paypal.com/fr/legalhub/privacy-full.
• Logística y expedición: proveedor logístico 3PL situado en Francia (almacén de Grisolles, 82170) y transportistas (Chronopost, DHL Express) para la entrega de última milla.
• Correo electrónico transaccional: Mailgun (UE), para encaminar los acuses de recibo, facturas y notificaciones de entrega.
• Servicios Microsoft 365: mensajería profesional interna, calendarios, documentación. Tenant Montandor.
• Cálculo de tarifas de expedición multitransportista: Upela (Upela SAS, Francia), agregador de transportistas que consulta a Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx y DHL. Datos transmitidos en lo estrictamente necesario para el presupuesto: código postal de destino, ciudad, peso y dimensiones del paquete. En esta fase no se envía ningún dato nominativo.
• Autocompletado de dirección: Google Maps Platform — Maps JavaScript API y Places API (Google Ireland Limited). El script de Google solo se carga a partir de su primera interacción con el campo «dirección de entrega». Véase policies.google.com/privacy.
• Verificación de empresa francesa (SIRET / SIREN): directorio de empresas gestionado por el Estado francés a través de recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Datos públicos INSEE/Sirene reutilizados de conformidad con la licencia abierta 2.0. Para las compras B2B en Francia, completada con la API de societe.com (Société.com SAS, Francia).
• Verificación del número de IVA intracomunitario: sistema VIES de la Comisión Europea (DG TAXUD), de conformidad con el Reglamento (UE) n.º 904/2010. Solo se transmite el número de IVA introducido.

Cada encargado del tratamiento está vinculado por un contrato de protección de datos (DPA) que prevé las garantías contractuales, organizativas y técnicas exigidas, a excepción de los servicios públicos reutilizados bajo licencia abierta (DataGouv, VIES) que no se basan en un DPA bilateral. La lista actualizada está disponible previa solicitud en info@montandor.com.

6. Transferencias fuera de la Unión Europea

Los datos recogidos se almacenan y se tratan en el Espacio Económico Europeo (Microsoft Azure West Europe, almacén logístico en Francia). Puede producirse una transferencia hacia el Principado de Andorra para operaciones administrativas internas — Andorra goza de una decisión de adecuación de la Comisión Europea (2010/625/UE), que garantiza un nivel de protección considerado equivalente. No se efectúa ninguna transferencia hacia un país tercero sin decisión de adecuación sin cláusulas contractuales tipo o garantías equivalentes.

7. Seguridad

Aplicamos las medidas técnicas y organizativas razonablemente necesarias para proteger sus datos: cifrado TLS 1.3 de extremo a extremo, pago tokenizado (PCI-DSS nivel 1), control de acceso estricto a los sistemas internos, registro de los accesos, autenticación reforzada (MFA) para las cuentas de administrador, copias de seguridad cifradas diarias, separación de los entornos de producción y de prueba, auditorías de seguridad periódicas. En caso de violación que pueda entrañar un riesgo para sus derechos y libertades, notificamos a la autoridad de control competente en un plazo de 72 horas y, si el riesgo es elevado, le informamos directamente.

8. Decisiones automatizadas y elaboración de perfiles

Ninguna decisión que produzca efectos jurídicos o que afecte significativamente al visitante se adopta mediante un tratamiento totalmente automatizado. Aplicamos reglas antifraude automáticas sobre las transacciones de pago (verificación de la dirección, detección de comportamiento sospechoso); toda decisión de bloqueo o anulación de un pedido puede impugnarse escribiendo a info@montandor.com y da lugar a una revisión humana por parte de un miembro de nuestro equipo.

9. Sus derechos

De conformidad con el RGPD y la LQPD andorrana, dispone de los siguientes derechos sobre los datos que le conciernen:

• Derecho de acceso a sus datos.
• Derecho de rectificación en caso de inexactitud.
• Derecho de supresión («derecho al olvido») en las condiciones previstas por la ley.
• Derecho a la limitación del tratamiento.
• Derecho a la portabilidad de sus datos a otro responsable.
• Derecho de oposición al tratamiento basado en el interés legítimo.
• Derecho a retirar su consentimiento en cualquier momento para los tratamientos basados en el consentimiento (boletín, por ejemplo).
• Derecho a definir directrices post mortem.
• Derecho a presentar una reclamación ante la Agencia Andorrana de Protección de Datos (APDA), ante la CNIL en Francia o ante su autoridad de control local en la UE.

Para ejercer sus derechos, escriba a info@montandor.com o utilice el chat de la tienda seleccionando «Privacidad». Podrá solicitarse una prueba de identidad razonable para prevenir la suplantación.

10. Modificaciones de esta política

Esta política puede evolucionar. La fecha de última actualización se indica en la parte superior de la página. Las modificaciones sustanciales (cambio de responsable, de finalidades, incorporación de un nuevo encargado del tratamiento importante) se destacarán en un banner informativo específico durante treinta (30) días.