Política de privacidad de cflox GmbH para clientes finales

cflox GmbH (en adelante, «cflox» o «nosotros») concede especial importancia a la protección de los datos personales. Tratamos sus datos de conformidad con el Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y con las demás normativas que resulten aplicables en materia de protección de datos, incluida, cuando corresponda, la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

cflox presta servicios de pago para gestionar los pagos derivados de compraventas de productos entre clientes finales y vendedores realizadas a través de las plataformas de comercio electrónico de Kaufland Marketplace GmbH (el «mercado»). En este contexto, cflox recibe los pagos de los clientes finales por cuenta de los vendedores y transfiere posteriormente los importes correspondientes a estos últimos.

La presente política de privacidad para clientes finales (la «política de privacidad») se aplica al tratamiento de datos personales que cflox realiza para gestionar los pagos efectuados al adquirir productos a través del mercado, ya sea a vendedores externos o al propio mercado cuando actúe como vendedor. Esta política de privacidad se dirige a los clientes finales que sean personas físicas («usted»).

A continuación explicamos qué datos personales tratamos, de dónde proceden, para qué los utilizamos, con quién los compartimos y qué derechos le asisten. Esta política de privacidad se facilita para cumplir las obligaciones de información previstas en los artículos 13 y 14 del RGPD y no forma parte de las condiciones contractuales aplicables a los servicios de cflox.

I. ¿Quién es el responsable del tratamiento y cómo puede ponerse en contacto con él?

Responsable del tratamiento: cflox GmbH, Gaußstraße 190c, 22765 Hamburgo, Alemania. Teléfono: +49 40 22 86 97 85; correo electrónico: info@cflox.com

Delegado de Protección de Datos (DPD): René Hoffmann, Gaußstraße 190c, 22765 Hamburgo, Alemania. Teléfono: +49 40 22 86 97 85; correo electrónico: datenschutz@cflox.com

Cuando se ponga en contacto con el DPD, indique que su consulta se refiere a cflox. No adjunte copias de documentos de identidad ni otra información especialmente sensible, salvo que se le solicite expresamente para poder atender su petición.

II. ¿Qué datos personales tratamos y de dónde proceden?

Para gestionar los pagos realizados a través del mercado y, en su caso, efectuar reembolsos, podemos tratar las siguientes categorías de datos personales:

nombre y apellidos,
direcciones de facturación y de entrega,
dirección de correo electrónico,
en su caso, número de teléfono, si lo ha facilitado al realizar la compra,
productos adquiridos e importe de la compra,
IBAN,
en su caso, datos de la tarjeta de crédito o débito necesarios para procesar el pago (número de tarjeta, CVC, fecha de caducidad y nombre del titular),
datos de la transacción (importe, fecha, estado del pago e identificador de la transacción),
dirección IP,
en su caso, medio de pago utilizado, especialmente cuando sea necesario para efectuar un reembolso,
historial de compras.

Estos datos pueden obtenerse a través del mercado o de los proveedores de servicios de pago vinculados contractualmente a cflox y al mercado mediante la interfaz de pago correspondiente. Para la prestación de sus propios servicios de pago, dichos proveedores actúan, con carácter general, como responsables del tratamiento independientes en el sentido del artículo 4.7 del RGPD (Adyen NV, Simon Carmiggeltstraat 6-50, 1011 DJ Ámsterdam, Países Bajos; BNP Paribas S.A., Schwanthalerstraße 31, 80336 Múnich, Alemania; PayPal, Inc., 2211 North First Street, San José, CA 95131, Estados Unidos; PayPal Pte. Ltd, 5 Temasek Boulevard #09-01, Suntec Tower Five, Singapur 038985; Ivy GmbH, Sandstraße 33, 80335 Múnich, Alemania; Klarna Bank AB (publ), Sveavägen 46, 111 34 Estocolmo, Suecia).

Los proveedores de servicios de pago nos comunican los datos necesarios para las finalidades indicadas en el apartado III o, cuando proceda, los tratan por cuenta de cflox y siguiendo nuestras instrucciones, en calidad de encargados del tratamiento. Excepcionalmente, por ejemplo, en determinados reembolsos o cuando sea necesario cumplir obligaciones en materia de prevención del blanqueo de capitales y financiación del terrorismo, podemos recibir los datos directamente del mercado.

III. ¿Para qué tratamos sus datos personales y con qué base jurídica?

1.) Gestión de pagos y reembolsos

Tratamos sus datos en la medida necesaria para gestionar los pagos que realiza al adquirir productos a través del mercado, transferir los importes correspondientes a los vendedores y, en su caso, efectuar reembolsos. Este tratamiento se basa en el interés legítimo de cflox en prestar correctamente sus servicios de pago, cumplir sus obligaciones contractuales frente a los vendedores y al mercado y atender los requisitos regulatorios que resulten aplicables a su actividad como entidad de pago (artículo 6.1.f) del RGPD).

2.) Prevención del blanqueo de capitales y cumplimiento de obligaciones legales

Tratamos sus datos cuando sea necesario para cumplir las obligaciones legales aplicables en materia de prevención del blanqueo de capitales y de la financiación del terrorismo, incluidas las medidas de diligencia debida respecto de los vendedores, las comprobaciones en listas de sanciones y, cuando proceda, las comunicaciones a las autoridades o unidades de inteligencia financiera competentes. La base jurídica de estos tratamientos es el cumplimiento de una obligación legal (artículo 6.1.c) del RGPD).

Asimismo, tratamos sus datos para cumplir y documentar otras obligaciones legales que resulten aplicables, incluidas las obligaciones mercantiles, contables, fiscales, regulatorias y de conservación de documentación (artículo 6.1.c) del RGPD). Además, cuando resulte necesario, podremos tratar sus datos para formular, ejercer o defender reclamaciones y otros derechos, sobre la base de nuestro interés legítimo en proteger nuestros intereses jurídicos (artículo 6.1.f) del RGPD).

3.) Prevención del fraude y seguridad de los sistemas

También tratamos sus datos para:

detectar, investigar y prevenir conductas fraudulentas,
prevenir devoluciones de cargo (chargebacks),
proteger nuestra infraestructura tecnológica y detectar, investigar y prevenir ciberataques.
Estos tratamientos se basan en los intereses legítimos de cflox, así como, cuando corresponda, en los de nuestros clientes y socios contractuales, en prevenir el fraude y las devoluciones de cargo y en garantizar la seguridad de nuestros servicios y de nuestra infraestructura tecnológica (artículo 6.1.f) del RGPD).

IV. ¿Con quién compartimos sus datos personales?

Solo comunicamos sus datos personales a otros destinatarios cuando sea necesario para las finalidades descritas en el apartado III o cuando exista otra base jurídica que lo permita. En particular, sus datos pueden comunicarse a:

el mercado,
la entidad financiera o el banco del vendedor,
las redes u organizaciones de tarjetas (por ejemplo, Visa o Mastercard) y otros proveedores de servicios de pago,
las autoridades públicas competentes, incluidas las autoridades policiales, judiciales o administrativas, cuando exista una obligación legal o un requerimiento válido,
las autoridades o unidades de inteligencia financiera competentes en materia de prevención del blanqueo de capitales y de la financiación del terrorismo, cuando proceda.

También podemos recurrir a proveedores de servicios que tratan datos personales por cuenta de cflox y siguiendo nuestras instrucciones, en calidad de encargados del tratamiento. Estos proveedores nos prestan apoyo, entre otros ámbitos, en la provisión y funcionamiento de nuestros sistemas informáticos y en determinados procesos relacionados con el cumplimiento de obligaciones en materia de prevención del blanqueo de capitales y financiación del terrorismo.

V. ¿Se transfieren sus datos personales fuera de la UE o del EEE?

Algunos de los destinatarios indicados en el apartado IV pueden encontrarse fuera de la Unión Europea (UE) o del Espacio Económico Europeo (EEE). Cuando transfiramos datos personales a un país respecto del cual la Comisión Europea no haya adoptado una decisión de adecuación conforme al artículo 45 del RGPD, aplicaremos las garantías adecuadas exigidas por la normativa de protección de datos. Estas garantías pueden incluir, en particular, las cláusulas contractuales tipo aprobadas por la Comisión Europea de conformidad con el artículo 46.2.c) del RGPD y, cuando resulte necesario, medidas técnicas, organizativas o contractuales complementarias. Solo en los supuestos permitidos por el RGPD podrá una transferencia basarse en alguna de las excepciones previstas en su artículo 49. Puede solicitar información adicional sobre las transferencias internacionales y las garantías aplicadas a través de los datos de contacto indicados en el apartado I.

VI. ¿Durante cuánto tiempo conservamos sus datos personales?

Conservamos sus datos personales únicamente durante el tiempo necesario para cumplir las finalidades descritas en el apartado III. Los plazos concretos dependen de la finalidad del tratamiento y de las obligaciones legales aplicables. Con carácter general, determinada información y documentación puede conservarse durante un plazo de hasta 10 años cuando así lo exija la normativa de prevención del blanqueo de capitales o cualquier otra normativa sectorial aplicable, sin perjuicio de otros plazos de conservación previstos en la normativa mercantil, contable y fiscal. Una vez transcurridos los plazos aplicables, los datos se suprimirán o anonimizarán, salvo que sea necesario conservarlos durante más tiempo para cumplir una obligación legal o para formular, ejercer o defender reclamaciones.

VII. ¿Se adoptan decisiones automatizadas? ¿Cómo protegemos sus datos personales?

cflox no adopta decisiones basadas exclusivamente en un tratamiento automatizado que produzcan efectos jurídicos sobre usted o le afecten significativamente de modo similar en el sentido del artículo 22 del RGPD. Asimismo, aplicamos medidas técnicas y organizativas apropiadas para proteger sus datos personales frente a riesgos como la pérdida, el acceso no autorizado, la alteración o la divulgación indebida, de conformidad con el artículo 32 del RGPD.

VIII. ¿Qué derechos tiene en relación con sus datos personales y cómo puede ejercerlos?

En los términos previstos por la normativa aplicable, puede ejercer frente a cflox los siguientes derechos:

solicitar confirmación sobre si tratamos datos personales que le conciernen y, en tal caso, acceder a dichos datos y obtener una copia (derecho de acceso),
solicitar la rectificación de los datos inexactos y que se completen los datos incompletos (derecho de rectificación),
solicitar la supresión de sus datos cuando concurra alguno de los supuestos previstos legalmente (derecho de supresión o «derecho al olvido»),
solicitar la limitación del tratamiento cuando se cumplan los requisitos previstos legalmente (derecho a la limitación del tratamiento),
cuando se cumplan los requisitos legales, recibir los datos que nos haya facilitado en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable o solicitar que cflox los transmita directamente cuando sea técnicamente posible (derecho a la portabilidad de los datos).

Cuando el tratamiento se base en un interés legítimo, puede oponerse por motivos relacionados con su situación particular, en los términos previstos en el artículo 21 del RGPD (derecho de oposición). Si sus datos fueran tratados con fines de mercadotecnia directa —lo que no ocurre en el marco de los tratamientos descritos en esta política de privacidad—, podría oponerse en cualquier momento y sin necesidad de alegar un motivo concreto.

Para ejercer sus derechos puede utilizar los datos de contacto indicados en el apartado I. Asimismo, tiene derecho a presentar una reclamación ante una autoridad de control. Si reside o trabaja en España, o considera que la supuesta infracción se ha producido en España, puede dirigirse a la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es. Esto se entiende sin perjuicio de la competencia de la autoridad de control principal de cflox por razón de su establecimiento en Alemania, el Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (Comisionado de Hamburgo para la Protección de Datos y la Libertad de Información), Ludwig-Erhard-Str. 22, 20459 Hamburgo, Alemania.