Política de privacidad

1. Responsable del tratamiento

Ouchiner — sociedad por acciones simplificada unipersonal (SASU) con un capital social de 1.000 €, inscrita en el Registro Mercantil de Épinal con el número 106 905 938, domicilio social en 39 rue Alix le Clerc, 88500 Poussay, Francia, representada por su presidente D. Stéphane Perry.
Contacto: [email protected] — Sitio web: ouchiner.com

2. Datos que recogemos

Dato	Finalidad	Base jurídica	Conservación
Dirección de correo electrónico	Creación de la cuenta, comunicaciones transaccionales	Ejecución del contrato	Hasta la eliminación de la cuenta (Creadores Partner: ver más abajo)
Contraseña (con hash PBKDF2 de 100.000 iteraciones)	Autenticación (áreas profesional, tienda y embajador)	Ejecución del contrato	Duración de la cuenta
Número de teléfono (avisos Pro con opción SMS)	Envío de los avisos por SMS	Ejecución del contrato	Duración de la cuenta; enmascarado en los registros (se conservan los 4 últimos dígitos)
Información de tienda y eventos	Visualización en el mapa	Ejecución del contrato	Duración de la suscripción
Fotos subidas	Ilustración de la ficha	Ejecución del contrato	Duración de la suscripción
Mensajes, fotos y PDF intercambiados en la mensajería	Comunicación directa entre compradores y comerciantes (contacto sobre un anuncio)	Ejecución del contrato	365 días y después purga automática; los adjuntos se almacenan en Cloudflare (R2); todo se borra al eliminar la cuenta
Datos de pago	Tramitación de los pagos (a través de Stripe)	Obligación legal	10 años (obligación contable)
Ubicación GPS (opcional)	Función «cerca de mí»	Consentimiento	No se almacena — solo durante la sesión
Dirección IP de registro	Prueba del consentimiento, lucha contra los abusos	Interés legítimo	13 meses como máximo
Datos de una persona dada de baja	Permitir que vuelvas a suscribirte (enlace válido 30 días), después borrado	Interés legítimo	12 meses tras la baja, después supresión automática y definitiva

3. Cookies y rastreadores

OuChiner no utiliza ninguna cookie publicitaria ni rastreador de perfilado, y no es necesario ningún banner de consentimiento: solo empleamos cookies estrictamente necesarias para el servicio (sesión, preferencias) y herramientas de medición de audiencia y de calidad que funcionan sin cookies y sin datos personales. Una excepción, detallada en la tabla siguiente: la biblioteca cartográfica Mapbox escribe un identificador técnico en el almacenamiento local de tu navegador cuando se muestra un mapa.

Cookie / Herramienta	Tipo	Duración	Finalidad
session, admin_session, amb_session	Necesaria	Sesión (de 8 h a 30 días)	Mantenimiento de la sesión iniciada
localStorage (token, geolocalización)	Necesaria	Persistente	Autenticación PWA + posición en caché para la función «cerca de mí»
localStorage mapbox.eventData	Depositada por Mapbox	Persistente	Identificador técnico que la biblioteca cartográfica Mapbox escribe para su propia medición de uso cuando muestras un mapa. Se puede eliminar borrando los datos de sitios en el navegador. Política: mapbox.com/legal/privacy
Plausible Analytics	Estadísticas anónimas	Sin cookies	Recuento de visitas, sin seguimiento individual ni elaboración de perfiles. Exenta de consentimiento (según la CNIL).
Cloudflare Web Analytics	Estadísticas anónimas	Sin cookies	Rendimiento y afluencia, sin seguimiento individual
Sentry	Seguimiento de errores (sin cookies)	30 días	Detección de errores JavaScript en modo sin datos personales (sin dirección IP ni identidad, sin grabación de sesión). Base: interés legítimo.

Como no se deposita ninguna cookie de seguimiento, no hay ninguna elección de consentimiento que gestionar. Para oponerte al tratamiento de medición de audiencia o de calidad (interés legítimo), escribe a [email protected].

4. Comunicación de datos — encargados del tratamiento

Tus datos no se venden nunca. Pueden comunicarse a los siguientes encargados del tratamiento, en la medida estrictamente necesaria para la prestación del servicio:

• Stripe (pagos) — dirección de correo electrónico y datos de la tarjeta transmitidos al efectuar un pago. Política: stripe.com/privacy
• Resend (correos transaccionales) — dirección de correo electrónico transmitida para el envío de confirmaciones, avisos y notificaciones y, para los Creadores Partner, de las facturas emitidas en su nombre (como archivo adjunto). Resend conserva los mensajes en Estados Unidos (ver más abajo). Política: resend.com/legal/privacy-policy
• OVH SMS (envío de SMS para los suscriptores Pro que hayan contratado la opción SMS) — el número de teléfono se transmite únicamente en el momento del envío. Política: ovhcloud.com/es/personal-data-protection
• Mapbox (cartografía y geocodificación) — las consultas de búsqueda de direcciones pueden incluir los términos que escribas. Política: mapbox.com/legal/privacy
• Cloudflare (alojamiento y base de datos) — todos los datos del servicio están alojados en Cloudflare. Política: cloudflare.com/privacypolicy
• Sentry (seguimiento de errores JavaScript, en modo sin datos personales) — política: sentry.io/privacy
• Plausible / Cloudflare Web Analytics (estadísticas anónimas sin cookies, véase §3)
• Open-Meteo (previsiones meteorológicas para los avisos de mercadillos) — se transmiten las coordenadas GPS aproximadas del evento. Ningún dato personal. Condiciones: open-meteo.com/en/terms
• Anthropic (asistencia mediante inteligencia artificial — API Claude) — según la funcionalidad, pueden transmitirse: las descripciones y fotos de los objetos y fichas publicados por los comerciantes (análisis y redacción de anuncios), el contenido de los anuncios de eventos enviados, las publicaciones públicas de nuestras cuentas en redes sociales, así como los mensajes recibidos en dichas cuentas (texto y nombre público del remitente) para preparar un borrador de respuesta. Estos datos no se utilizan para entrenar los modelos. Política: anthropic.com/legal/privacy
• OpenAI (generación de las ilustraciones de nuestras publicaciones en redes sociales) — no se transmite ningún dato de usuario: únicamente indicaciones de escena redactadas por OuChiner. Política: openai.com/policies/privacy-policy
• DataForSEO (búsqueda de palabras clave para el blog) — no se transmite ningún dato de usuario
• API francesa de búsqueda de empresas (annuaire-entreprises.data.gouv.fr) — el número SIRET introducido por un Creador Partner se transmite a esta API pública del Estado francés para verificar la existencia y la actividad del establecimiento y recuperar su denominación y su domicilio social.
• VIES (servicio de la Comisión Europea de verificación de números de IVA) — allí se verifica el número de IVA intracomunitario de un Creador Partner que declara facturar el IVA. La Comisión actúa por cuenta de las administraciones tributarias de los Estados miembros y no conserva los datos; solo guardamos el resultado de la verificación.
• Billit (plataforma acreditada de facturación electrónica) — únicamente para los Creadores Partner, y en el momento de un pago: denominación, número SIRET, domicilio social, número de IVA en su caso, dirección de correo electrónico y datos bancarios, necesarios para emitir la autofactura. Billit también envía directamente una copia de la factura a esa dirección de correo electrónico. Política: billit.eu/es-es/privacy

Programa de embajadores

Si eres embajador, tu cuenta de Instagram — nombre de usuario, texto de la biografía y sitio web — se lee periódicamente a través de la interfaz oficial de Meta, únicamente para comprobar que tu enlace de OuChiner figura en ella, y solo si se trata de una cuenta profesional pública. De cada comprobación conservamos su fecha, el nombre de usuario leído y su resultado (enlace encontrado, enlace ausente o cuenta ilegible); si revisamos nosotros mismos tu perfil y no encontramos el enlace, anotamos la fecha de esa constatación. Estas anotaciones se borran en la comprobación diaria que sigue a la eliminación de tu cuenta. El texto de la biografía no se conserva; solo el nombre visible de tu cuenta, que aparece en tu tarjeta de embajador, se guarda 24 horas en caché. Base jurídica: ejecución del contrato que nos vincula (artículo 6.1.b del RGPD).

Las visitas aportadas por tu enlace se cuentan sin cookies. De cada una registramos una huella de la dirección IP del visitante (hash con sal: no revela la dirección, pero es un dato seudonimizado, no anónimo), su país, su tipo de dispositivo y la fecha; la huella sirve únicamente para no contar dos veces a la misma persona y para descartar tus propias visitas, nunca para identificarla. El navegador utilizado y la página de procedencia, que sirven para descartar los robots y contar las llegadas desde la página de embajadores, se borran a los 90 días; el resto se conserva mientras exista tu cuenta de embajador, y se borra con ella.

Programa Creador Partner

Si te haces Creador Partner, tratamos además los siguientes datos para ejecutar tus pedidos, pagarte y emitir facturas en tu nombre (mandato de autofacturación Creador Partner):

• Tu cuenta de Instagram: nombre de usuario, identificador permanente, nombre visible y foto de perfil, número de seguidores y de publicaciones, leídos a través de la interfaz oficial de Meta — solo para una cuenta profesional pública. El número de seguidores se registra cada día mientras estás inscrito: fija el precio de un pedido. Cuando marcas como publicado un vídeo, un carrusel o una mención («Ya está publicado»), también se lee la lista de tus últimas publicaciones —su tipo, su fecha y su texto—, para encontrar en ella la publicación: publicada después de aceptarse el pedido y con tu enlace (o @ouchiner.official, en una mención). Mientras no se encuentre, esa lista se vuelve a leer cada noche; la publicación se vuelve a leer antes de la validación y antes del pago.
• La publicación que marcas: el enlace y la fecha de la publicación encontrada en tu cuenta — o de una publicación encontrada en ella que no se pudo asociar a tu pedido — y, si adjuntas una, la captura de pantalla, guardada pero nunca publicada: solo el equipo de OuChiner la consulta, y cada consulta de una captura queda registrada.
• Las aperturas de tu enlace de descarga (ouchiner.com/app?c=…): un simple contador mensual, que ves en tu espacio — no se guarda nada de las personas que lo abren.
• Tu número SIRET, así como la denominación y el domicilio social de tu establecimiento, obtenidos automáticamente del registro SIRENE — menciones obligatorias en una factura.
• Tu número de IVA intracomunitario, calculado a partir de tu número SIREN, si declaras que facturas con IVA.
• Tus datos bancarios (IBAN y titular), cifrados en la base de datos y descifrados únicamente en el momento de una transferencia. Cada consulta queda registrada.
• Tus pedidos (hojas de pedido, estados, fechas) y las facturas emitidas en tu nombre.

Base jurídica: ejecución del contrato que nos vincula (artículo 6.1.b del RGPD) y cumplimiento de nuestras obligaciones contables y fiscales (artículo 6.1.c). Plazos: registros de seguidores, 180 días; solicitudes rechazadas, caducadas o anuladas, y pedidos no realizados o no conformes, 12 meses; pedidos pagados — orden de compra, elementos de verificación de la publicación y factura —, 10 años (artículo L123-22 del Código de Comercio francés). Si eliminas tu cuenta, tus solicitudes pendientes se anulan, y tus datos bancarios solo se conservan el tiempo necesario para pagar una publicación ya marcada como publicada («Ya está publicado»); después se borran. Tu dirección de correo electrónico, en cambio, se conserva el tiempo necesario para enviarte la validación, el pago y la factura de tus últimas publicaciones, y se borra tras el envío de la última factura, como máximo 120 días después del último pago. Tu identidad de facturación también se borra entonces si no ha habido ningún pago, al igual que tu nombre de usuario y tu nombre de perfil. Si tus solicitudes estaban suspendidas, tu número SIRET y el identificador de tu cuenta de Instagram se conservan 12 meses después de la suspensión (y mientras se conserven tus últimos pedidos), para que una suspensión no pueda eludirse creando una cuenta nueva; después se borran. Si dejas el programa sin eliminar tu cuenta, tus datos bancarios se borran en cuanto no se te deba nada, y tu identidad de facturación también, salvo que haya habido algún pago (figura entonces en tus facturas); si tus solicitudes están suspendidas, tu número SIRET y el identificador de tu cuenta de Instagram se conservan mientras exista tu cuenta.

Si así lo eliges, tu perfil se destaca entre los embajadores con la mención «Colaboración».

Transferencias fuera de la Unión Europea

Algunos de estos encargados están establecidos en Estados Unidos o pueden transferir datos a ese país — en particular Cloudflare, Stripe, Sentry, Mapbox, Resend, Anthropic y OpenAI. Según el proveedor, estas transferencias se amparan en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 relativa al marco de protección de datos UE—EE. UU. (Data Privacy Framework), cuando el proveedor está certificado en él, y/o en las cláusulas contractuales tipo de la Comisión Europea incorporadas a su contrato de encargo. Puedes obtener una copia de las garantías aplicables a un proveedor concreto escribiendo a [email protected].

Los demás proveedores citados — OVH, Plausible Analytics y Open-Meteo — están establecidos en la Unión Europea.

5. Tus derechos

Conforme al RGPD, dispones de los siguientes derechos:

• Derecho de acceso — obtener una copia de tus datos
• Derecho de rectificación — corregir tus datos inexactos
• Derecho de supresión — solicitar la eliminación de tu cuenta y de tus datos
• Derecho a la portabilidad — recibir tus datos en un formato estructurado
• Derecho de oposición — oponerte a determinados tratamientos
• Derecho a la limitación del tratamiento — solicitar la congelación temporal del uso de tus datos, por ejemplo mientras verificamos su exactitud (art. 18 del RGPD)
• Derecho a retirar tu consentimiento — en cualquier momento, para los tratamientos basados en el consentimiento. Es el caso de la ubicación GPS: basta con retirar la autorización de geolocalización en tu navegador o en tu dispositivo. La retirada no afecta a la licitud del tratamiento realizado con anterioridad.

Solo una cosa sobrevive al borrado, y está ahí para protegerte. Si nos has pedido que dejemos de escribirte — baja, marcarnos como spam o una dirección inaccesible —, tu dirección de correo permanece en una lista de exclusión. Sin ella, nada nos impediría volver a escribirte el día en que tu dirección reapareciera en una fuente de datos. Esa lista solo contiene la dirección, el motivo y la fecha; su única función es NO enviarte nada. Si aun así prefieres que la borremos, escríbenos: lo haremos — sabiendo que a partir de entonces nada nos impedirá volver a escribirte.

Para ejercer estos derechos: [email protected]
Nos comprometemos a responder a cualquier solicitud en un plazo máximo de 1 mes desde su recepción.
También puedes presentar una reclamación ante la autoridad de control francesa, la CNIL, o ante la autoridad de control del Estado miembro de tu residencia habitual, de tu lugar de trabajo o del lugar de la presunta infracción (art. 77 del RGPD).

6. Seguridad

Las contraseñas se almacenan con hash mediante PBKDF2-SHA256 con 100.000 iteraciones y sal única. Los códigos de un solo uso (SMS, correo electrónico) se generan mediante un CSPRNG (crypto.getRandomValues), están limitados a 3 intentos y caducan en 10 minutos. Los datos están alojados en la infraestructura de Cloudflare con cifrado TLS. El acceso a los datos está restringido únicamente al responsable del tratamiento.

7. Contacto de protección de datos

Responsable de la protección de datos: Stéphane Perry — [email protected]