Política de privacidad

Actualización: 11 de octubre de 2026

1. Responsable y contacto

La responsable del tratamiento de los datos personales relativos a la tienda online nellycast.ro es Nelly Aleyda Castro Ibarra, que opera con el nombre comercial Nelly Castro, Calle General Prim, 11, 46005 Valencia, España; NIF/NIE Y9824161R; NIF-IVA ESY9824161R. Puede contactar con nosotros en shop@nellycastro.com o en el teléfono +34 696 399 635.

Esta política se refiere a las visitas y compras de consumidores en nuestra tienda, las consultas, las cuentas de cliente y las comunicaciones relacionadas. Explica nuestra utilización de datos personales conforme al RGPD, la LOPDGDD y la LSSI-CE.

2. Datos y procedencia

Tratamos los datos que facilita al comprar, contactar, crear o utilizar una cuenta o suscribirse: nombre, datos de contacto, direcciones, artículos, pedidos, importes, estado del pago y comunicaciones. Los datos fiscales se tratan cuando sean necesarios para facturar. También recibimos de Shopify y de los proveedores de pago y entrega la información necesaria para gestionar la operación.

Al navegar se generan datos técnicos y de actividad, como dirección IP, navegador, dispositivo, páginas vistas, fecha, identificadores y estado de consentimiento. La información recogida mediante tecnologías opcionales depende de la elección de privacidad y de las funciones utilizadas. Los campos obligatorios se identifican en cada formulario; sin los datos necesarios no podremos tramitar la compra o la solicitud correspondiente. No es necesario suscribirse a publicidad para comprar.

3. Finalidades y bases jurídicas

• Tramitar pedidos, pagos, entregas, devoluciones, garantías y consultas previas a una compra: ejecución del contrato o medidas precontractuales solicitadas, art. 6.1.b RGPD.
• Facturación, obligaciones fiscales y contables y atención de solicitudes legalmente exigibles: obligación legal, art. 6.1.c RGPD.
• Responder consultas generales, proteger la tienda frente al abuso y defender reclamaciones: interés legítimo, art. 6.1.f RGPD, limitado a lo necesario y ponderado frente a los derechos de las personas.
• Newsletter y publicidad electrónica basada en una suscripción, así como análisis y publicidad mediante tecnologías no necesarias: consentimiento, art. 6.1.a RGPD, junto con las exigencias de la LSSI-CE. Su retirada no afecta a la licitud del tratamiento anterior.

El consentimiento para análisis no necesarios y publicidad personalizada también comprende la correspondiente comunicación de eventos del servidor. Un pedido, el mero uso de la tienda o una casilla premarcada no sustituyen el consentimiento activo. Los mensajes contractuales de servicio deben distinguirse de recordatorios promocionales.

El análisis auxiliar con IA se basa en el interés legítimo de gestionar de forma eficiente y estructurada operaciones y comunicaciones, art. 6.1.f RGPD, cuando el tratamiento concreto sea necesario y no prevalezcan los intereses y derechos de las personas. Utilizar IA no constituye por sí mismo una obligación legal. El apartado 10 explica el derecho de oposición.

4. Shopify y servicios de la tienda

La tienda utiliza Shopify para su alojamiento, el proceso de compra y la gestión de clientes y pedidos. Shopify trata datos por nuestra cuenta para prestar la plataforma. Para determinadas funciones, entre ellas sus servicios mejorados y las relaciones propias del usuario con Shop o Shop Pay, puede actuar como responsable del tratamiento independiente, según el servicio.

Está habilitada Shopify Network Intelligence, que utiliza datos de actividad y de clientes junto con otros datos de Shopify para personalización, análisis y publicidad. Más información en la política de privacidad de Shopify para consumidores y en sus controles de privacidad. Estos controles no sustituyen el contacto con nosotros para ejercer derechos respecto de nuestros tratamientos.

Para comerciantes del EEE, la entidad contratante es Shopify International Limited, Irlanda. Nuestra ejecución contractual se basa en el art. 6.1.b RGPD; la seguridad y prevención del abuso, en el interés legítimo de operar con seguridad. Esta base no sustituye el consentimiento publicitario exigible. Shopify explica las bases para sus propios fines de servicios mejorados en la política para consumidores enlazada.

5. Destinatarios, pagos y entrega

Se comunica la información necesaria a los proveedores que intervienen en el alojamiento y soporte, el cobro, la entrega y las obligaciones contables y fiscales. La tienda ofrece Shopify Payments y PayPal. Los datos concretos y la responsabilidad de cada proveedor dependen del medio elegido. Los proveedores de pagos pueden tratar datos bajo su propia responsabilidad para ejecutar pagos, prevenir fraude y cumplir sus obligaciones.

Las autoridades y tribunales pueden recibir información cuando una norma lo exija o resulte necesario para reclamaciones. Los prestadores que trabajan por nuestra cuenta deben actuar bajo las garantías contractuales aplicables.

El correo dirigido a shop@nellycastro.com se procesa a través de Dogado. Se tratan datos de contacto, mensajes y datos técnicos para su transmisión y almacenamiento. UPS recibe el nombre del destinatario, dirección de entrega, datos de contacto necesarios e información de envío y entrega. UPS también trata datos bajo su propia responsabilidad para servicios de transporte y obligaciones legales. Nuestra asesoría fiscal local recibe justificantes y datos de operaciones y clientes necesarios para las obligaciones contables y tributarias. Más información: Dogado y UPS.

En la administración de la tienda, gestión de pedidos y comunicaciones también se integran proveedores de formularios, mensajes, automatización de flujos, reglas de pago y pedidos, envíos, funciones de desistimiento y asistencia técnica. Pueden recibir los datos necesarios para su respectiva tarea. No todos los servicios tratan todos los datos de clientes.

Utilizamos un sistema interno de gestión y facturación con análisis mediante Google Gemini API para tramitar pedidos, facturas y comunicaciones de clientes. Pueden tratarse nombres, datos de contacto y dirección, información de pedidos y facturas y otros datos personales contenidos en los documentos y mensajes tratados.

El análisis documental mediante Gemini API puede transmitir archivos completos a Google. El análisis de correos transmite el asunto y un texto del mensaje depurado de etiquetas HTML y abreviado antes de su transmisión. La IA extrae y clasifica información, crea resúmenes y estima contenido, tono y urgencia. Estas estimaciones pueden contener errores y valoraciones personales. No se afirma la anonimización de todos los contenidos transmitidos.

6. Cookies, análisis y publicidad

Las tecnologías necesarias permiten funciones como cesta, seguridad, sesión y conservación de preferencias. Las tecnologías adicionales destinadas a medición o publicidad requieren la elección correspondiente cuando la ley exige consentimiento.

La configuración revisada incluye Google Ads y Google Analytics activos y píxeles de Facebook/Instagram y TikTok con componentes web y servidor. Estas herramientas pueden tratar identificadores, datos técnicos, actividad de navegación y eventos de compra para medir campañas y dirigir publicidad. No se deben confundir identificadores seudonimizados con datos anónimos. Consulte la información de Google, la información de Meta y la información de TikTok.

Las cookies almacenan información en el navegador; identificadores y píxeles similares pueden reconocer dispositivos o interacciones. El análisis evalúa el uso de la tienda, mientras la publicidad mide campañas y permite difusión basada en intereses. Los eventos del navegador pueden vincularse con eventos de compra del servidor. Los proveedores pueden combinar información con perfiles existentes cuando la función lo contemple. Puede retirar el consentimiento y oponerse en cualquier momento a publicidad directa; contacte con shop@nellycastro.com para estas solicitudes. También puede borrar o bloquear cookies en el navegador. Su bloqueo por sí solo no impide tratamientos independientes del servidor ni elimina datos ya comunicados.

Puede volver a abrir sus preferencias mediante «Configuración de cookies» en el pie de página de la tienda y modificar o retirar su elección para usos futuros. La retirada no afecta al tratamiento anterior lícito ni elimina por sí misma datos ya comunicados.

7. Newsletter y comunicaciones

Las comunicaciones necesarias relativas a pedidos y solicitudes se distinguen de la publicidad. Para una suscripción al newsletter utilizamos el correo electrónico y los datos facilitados con ese fin. Puede darse de baja mediante el enlace de cada comunicación o escribiendo a shop@nellycastro.com.

Utilizamos Shopify Messaging para newsletters y campañas. Shopify está configurado para exigir una confirmación adicional de la suscripción (doble opt-in). Los datos de suscripción y confirmación, fechas e información técnica asociada pueden tratarse como prueba. La configuración actual incluye seguimiento de aperturas e identificadores de campaña en enlaces (UTM), lo que permite analizar aperturas y respuestas a campañas. La suscripción al newsletter no constituye consentimiento general para cualquier elaboración adicional de perfiles. Cuando la medición o personalización requiera consentimiento, este debe comprender esos fines. Puede darse de baja mediante el enlace del mensaje o shop@nellycastro.com.

8. Transferencias internacionales

Algunos proveedores y sus colaboradores pueden tratar datos fuera del Espacio Económico Europeo. El alojamiento mostrado por Shopify en la Unión Europea no excluye transferencias o accesos internacionales. Según el destinatario, se requieren una decisión de adecuación aplicable u otras garantías del capítulo V RGPD, como normas corporativas vinculantes o cláusulas contractuales tipo, junto con las medidas necesarias.

El antiguo Privacy Shield no es la base de estas transferencias. El Marco de Privacidad de Datos UE–EE. UU. solo puede utilizarse para organizaciones estadounidenses certificadas y tratamientos cubiertos por esa certificación. Puede solicitar información sobre las garantías aplicables a nuestro contacto.

El tratamiento de Shopify puede implicar especialmente Canadá, Estados Unidos y Singapur. Su acuerdo de tratamiento de datos describe normas corporativas vinculantes para transferencias intragrupo desde el EEE y cláusulas contractuales tipo para otras transferencias pertinentes. UPS explica cláusulas contractuales tipo y normas aprobadas de privacidad del grupo en su aviso. Google, Meta, TikTok y los proveedores de pagos pueden implicar destinatarios y accesos internacionales. Una entidad contratante europea no significa tratamiento exclusivamente en la UE.

Google Gemini API está sujeta a condiciones específicas sobre el tratamiento de entradas y resultados. El tratamiento puede realizarse fuera del EEE. No se afirma tratamiento exclusivamente en la UE. Consulte las condiciones de Gemini API y el acuerdo de tratamiento de datos de Google.

Utilizamos Gemini API mediante un proyecto empresarial con facturación activada. Según las condiciones aplicables a los servicios de pago, Google no utiliza las entradas y respuestas para mejorar sus productos. Google contempla registros limitados para seguridad, prevención del abuso y divulgaciones legalmente exigidas. Esto no garantiza ausencia total de almacenamiento.

9. Conservación

Los datos de operación se mantienen mientras sean necesarios para ejecutar el contrato y gestionar reclamaciones. Los justificantes contables sujetos al art. 30 del Código de Comercio deben conservarse durante seis años desde el último asiento; las obligaciones tributarias y sus posibles interrupciones pueden requerir un análisis adicional. Estas obligaciones no justifican conservar todos los datos de navegación o marketing durante el mismo plazo.

Al terminar la finalidad se suprimen o anonimizan los datos, salvo conservación obligatoria y, cuando proceda, bloqueo conforme al art. 32 LOPDGDD. La baja publicitaria debe impedir nuevos envíos sin eliminar los datos mínimos necesarios para acreditar la solicitud o evitar una nueva inclusión indebida.

La conservación de consultas depende de su tramitación y de si la correspondencia se relaciona con un contrato o posibles reclamaciones. Los datos de cuenta son necesarios para la cuenta existente y sus fines; su cierre no elimina justificantes de pedidos sujetos a conservación legal. Los datos publicitarios se tratan hasta la retirada del consentimiento o el fin de la finalidad de suscripción. Los justificantes de consentimiento se necesitan mientras deba acreditarse la licitud; una lista de exclusión permite respetar las bajas. Los registros técnicos y copias de seguridad solo pueden conservarse para fines de seguridad y recuperación y durante el tiempo necesario para ellos.

Los resultados, clasificaciones y resúmenes de IA almacenados en nuestro sistema interno de facturación se someten a su finalidad de gestión y a los criterios de conservación aplicables a la operación o comunicación correspondiente. El uso de datos por Google se distingue de nuestro propio almacenamiento de facturas, mensajes y resultados.

10. Derechos y reclamaciones

Puede solicitar acceso, rectificación, supresión, limitación y portabilidad cuando concurran sus requisitos, y oponerse al tratamiento por interés legítimo. La oposición a publicidad directa puede ejercerse en cualquier momento. Puede retirar su consentimiento sin efectos retroactivos. La portabilidad puede corresponder a tratamientos automatizados basados tanto en consentimiento como en contrato. También tiene los derechos aplicables frente a decisiones exclusivamente automatizadas con efectos jurídicos o similares significativos.

Dirija la solicitud a shop@nellycastro.com o a la dirección postal indicada. No se exige sistemáticamente copia de un documento de identidad; solo se solicitará información adicional necesaria ante dudas razonables sobre la identidad. La respuesta se proporciona normalmente en un mes; en los supuestos legales puede ampliarse hasta dos meses adicionales, informando dentro del primer mes. El ejercicio es gratuito salvo las excepciones legales para solicitudes manifiestamente infundadas o excesivas.

Puede reclamar ante la Agencia Española de Protección de Datos o ante otra autoridad competente. No es obligatorio reclamar primero a nosotros.

11. Seguridad, decisiones automatizadas y actualización

Las medidas de seguridad deben ser adecuadas al riesgo del tratamiento. La conexión cifrada no elimina todos los riesgos de Internet. No facilite datos especialmente sensibles que no sean necesarios para su consulta.

El análisis con IA crea resúmenes y clasificaciones para la gestión interna. Los proveedores de pagos pueden realizar comprobaciones automatizadas de fraude y pago; sus procedimientos dependen del servicio elegido y su aviso de privacidad. Cuando concurran los requisitos legales frente a decisiones exclusivamente automatizadas significativas, puede en particular solicitar intervención humana, expresar su punto de vista e impugnar la decisión. Contacte con nosotros si tiene preguntas sobre la incidencia del tratamiento en su pedido.

Adaptamos esta política cuando cambian nuestros servicios o tratamientos e informamos de cambios materiales cuando corresponde.