Política de privacidad

La privacidad nos importa — en especial la protección de los niños. Este documento explica qué datos personales tratamos, por qué, durante cuánto tiempo y qué derechos le corresponden.

1. Responsable del tratamiento de los datos personales

El responsable del tratamiento de los datos personales en el sentido del Reglamento (UE) 2016/679 (en adelante, el «RGPD») y de la Ley checa n.º 110/2019 Sb. es:

• Nombre: Lukáš Kantor, persona física que ejerce una actividad empresarial conforme a la Ley checa de actividades empresariales
• IČO: 03177009, domicilio: Milíkov 244, 739 81 Milíkov
• Correo electrónico de contacto para la protección de datos: contacto@heroedellibro.es

Representante en el Reino Unido. De conformidad con el artículo 27 del RGPD del Reino Unido (UK GDPR), hemos designado a la empresa Prighter Ltd, 20 Mortlake High Street, London SW14 8JN, Reino Unido, como nuestro representante en el Reino Unido. Es el punto de contacto para usted y para la autoridad de control británica (ICO) en todas las cuestiones relacionadas con el tratamiento de sus datos personales. Puede dirigirse a ella o ejercer sus derechos a través de ella en https://app.prighter.com/portal/15918961802. Asimismo, puede escribirnos directamente a la dirección de correo electrónico de contacto indicada más arriba.

2. Qué datos tratamos

• Datos de identificación y de contacto: nombre, correo electrónico y, en su caso, teléfono y dirección de entrega.
• Datos de la cuenta: correo electrónico y contraseña protegida (en forma de hash).
• Contenido del pedido y del libro: nombre del niño, dedicatoria opcional, historia elegida, textos.
• Fotografías de los personajes: fotografías de retrato cargadas con el fin de crear los personajes ilustrados. El libro puede tener hasta cinco personajes, de modo que, junto a la fotografía del niño, puede tratarse también de fotografías de hermanos, amigos, padres o abuelos, es decir, también de personas adultas. Son datos personales y en el caso de los niños les dedicamos una atención especial (véase el artículo 4).
• Fotografía cargada en el complemento de regalo: la fotografía propia que el comprador inserta opcionalmente en la felicitación de regalo en lugar de la ilustración y que se imprime (véase el artículo 4).
• Contenido de la reseña: valoración, texto de la reseña, nombre mostrado junto a la reseña y, opcionalmente, fotografía o vídeo adjuntos (véase el artículo 12).
• Datos de pago: en el pago con tarjeta los trata la pasarela de pago y nosotros conservamos únicamente la información sobre el estado del pago y su identificador. En el pago por transferencia gestionamos nosotros mismos la solicitud de pago (símbolo variable, importe, número de nuestra cuenta, correo electrónico para el envío de los datos y vencimiento) y el aviso del banco sobre el pago abonado; este contiene también la identificación del ordenante — por regla general el nombre y, en su caso, el número de cuenta — tal como nos la comunica el banco.
• Interés por el lanzamiento en un determinado país: la dirección de correo electrónico que introduce en el formulario de la página del país en el que todavía estamos preparando el servicio, junto con la indicación de si la ha confirmado haciendo clic en el correo electrónico de confirmación. Mientras no confirme la dirección, no le enviamos nada a ella.
• Datos sobre la participación en la promoción para amigos: la dirección de correo electrónico del pedido a la que va asociado el código para compartir, el número de compras recomendadas y las recompensas emitidas (véase el artículo 5a).
• Datos de los afiliados en el programa de afiliados: en el caso de los solicitantes y de los afiliados, además, el nombre o la razón social, el número de registro empresarial (IČO o su equivalente local), el DIČ, la dirección de facturación, la descripción del canal promocional, el número de cuenta bancaria y el resumen de las comisiones y de las facturas emitidas.
• Datos técnicos: dirección IP, cookies y registros necesarios para el funcionamiento y la seguridad.

3. Finalidades y bases jurídicas del tratamiento

• Ejecución del contrato (artículo 6, apartado 1, letra b), del RGPD) — creación y entrega del libro, gestión de la cuenta, tramitación del pedido y de las reclamaciones; en el pago por transferencia, también la emisión de la solicitud de pago y la conciliación del pago recibido con el pedido (sin ella no sabríamos qué está pagado); en el caso de los afiliados, la valoración de la solicitud, el registro de las recomendaciones y de las comisiones y su abono conforme a las condiciones del programa de afiliados.
• Cumplimiento de obligaciones legales (letra c)) — contabilidad y documentos fiscales.
• Consentimiento (letra a)) — tratamiento de las fotografías de los personajes cargadas y de la fotografía insertada en el complemento de regalo (véase el artículo 4); publicación de la reseña, incluidos el nombre y la fotografía o el vídeo adjuntos, en nuestra web y en nuestros perfiles en redes sociales (véase el artículo 12); envío del boletín y de ofertas personalizadas sobre la base de datos inferidos relativos a la familia y al historial de compras (véase el artículo 5); envío del aviso sobre el lanzamiento del servicio en el país por el que ha manifestado interés en el formulario de la página del país en preparación (confirmado haciendo clic en el correo electrónico de confirmación); cookies analíticas y de marketing, incluida la medición de la eficacia de la publicidad (véase el artículo 10). El consentimiento puede revocarse en cualquier momento.
• Interés legítimo (letra f)) — seguridad de la web, prevención de abusos y cookies necesarias, sin las cuales la web no funciona (en detalle en el artículo 10).

4. Fotografías cargadas y consentimiento de las personas representadas

El servicio no está destinado a personas menores de 18 años. La cuenta la crea y el pedido lo realiza siempre una persona adulta (artículo 1 de las condiciones generales de contratación); los datos relativos a los niños — nombre, fotografía y texto de la dedicatoria — los tratamos por ello exclusivamente recibiéndolos de sus representantes legales o de personas que cuentan con el consentimiento de estos. No recogemos conscientemente datos personales directamente del niño; si constatamos que alguno nos ha llegado de ese modo, lo borramos.

Utilizamos las fotografías exclusivamente para crear los personajes ilustrados del libro pedido y, en su caso, para imprimir el complemento de regalo pedido. El libro puede tener hasta cinco personajes y para cada uno de ellos es posible cargar una fotografía — no se trata, por tanto, necesariamente solo del niño, sino también de hermanos, amigos, padres o abuelos. Además, en la felicitación de regalo puede insertar, en lugar de la ilustración, una fotografía propia, que después se imprime en el complemento pedido.

Al cargar la fotografía confirma que es el representante legal del niño representado o que cuenta con el consentimiento de su representante legal y, si se trata de una persona mayor de edad, que cuenta con el consentimiento de esa persona. Al mismo tiempo otorga el consentimiento para el tratamiento de la fotografía con la finalidad indicada.

Las fotografías no sirven para la elaboración de perfiles, para el reconocimiento de personas a través de distintos servicios ni para el entrenamiento de modelos de inteligencia artificial, y no las compartimos con terceros más allá de los encargados del tratamiento necesarios para crear el libro (véase el artículo 6). Las conservamos de forma segura durante la vigencia de su cuenta, para que pueda modificar su libro en cualquier momento o darle continuidad (véase el artículo 8). Puede solicitar en cualquier momento la supresión de sus datos, incluidas las fotografías, en el correo electrónico de contacto; el consentimiento también puede revocarse en cualquier momento y la revocación no afecta a la licitud del tratamiento efectuado antes de ella.

5. Personalización y elaboración de perfiles con fines de marketing

Del texto de la dedicatoria y del historial de pedidos inferimos quién compró el libro y en qué relación se encuentra con el niño (por ejemplo, progenitor, abuelo), para poder enviarle una oferta personalizada (típicamente la oferta de un segundo libro). Se trata de elaboración de perfiles en el sentido del artículo 4, punto 4, del RGPD — no tiene, sin embargo, respecto de usted ninguna consecuencia jurídica ni de otro modo significativa, se trata únicamente de la adaptación del contenido del correo electrónico de marketing. Este tratamiento se realiza únicamente con su consentimiento de marketing (véanse los artículos 3 y 10) y frente a él tiene derecho a oponerse en cualquier momento conforme al artículo 21 del RGPD (véanse los derechos del artículo 9) — puede revocar el consentimiento en cualquier momento en el correo electrónico de contacto o mediante el enlace de baja incluido en el correo electrónico, y dejará de recibir la oferta personalizada.

5a. Promoción para amigos

A toda persona que pague un pedido con nosotros se le atribuye un código para compartir de la promoción para amigos. El código va vinculado a la dirección de correo electrónico del pedido, para que lo reciba también el comprador que no tenga cuenta de usuario; a dicha dirección asociamos el número de compras recomendadas, el periodo durante el cual el código genera activamente recompensas y los cupones de recompensa emitidos. La base jurídica es el cumplimiento de la obligación derivada de la promesa pública mediante la cual se convoca la promoción (artículo 6, apartado 1, letra b), del RGPD).

Si un cliente nuevo llega a nosotros a través del código de otra persona, conservamos junto a la recomendación su correo electrónico (o su cuenta) — ello impide que una misma persona se contabilice y se recompense repetidamente. A quien recomienda no se le muestra la identidad de la persona recomendada; ve solo el número y el avance hacia la recompensa.

Los datos relativos a la participación en la promoción se conservan durante la vigencia de la cuenta y, en el caso del comprador sin cuenta, durante el periodo en el que el código o la recompensa emitida puedan ser válidos, y después durante el periodo exigido por las normas legales para los documentos. Si no desea participar en la promoción, escríbanos — invalidaremos el código.

6. Destinatarios y encargados del tratamiento

Para prestar el servicio recurrimos a encargados del tratamiento contrastados, que tratan los datos en virtud de un contrato y únicamente conforme a nuestras instrucciones:

• Proveedor de la pasarela de pago — procesamiento de los pagos con tarjeta; los datos de la tarjeta de pago no nos llegan en absoluto.
• Nuestro banco — en el pago por transferencia ejecuta la operación de pago. No es nuestro encargado del tratamiento: el banco es un responsable autónomo y trata los datos conforme a la Ley checa n.º 370/2017 Sb., de servicios de pago, y conforme a sus propias reglas. Del aviso bancario nos llega el dato sobre el importe abonado, el símbolo variable y la identificación del ordenante (véase el artículo 2).
• Proveedor del almacenamiento en la nube — conservación segura de los archivos (fotografías, ilustraciones, PDF) con los datos ubicados en la UE.
• Proveedor para el envío de los correos electrónicos transaccionales.
• Proveedores de tecnologías de IA para la generación del texto y de las ilustraciones y para la narración del audiolibro — tratamiento de las entradas de imagen y de texto para crear el libro; al pedir el audiolibro se transmite al proveedor de la síntesis de voz también el texto del libro, incluido el nombre del niño. Utilizamos exclusivamente las modalidades de pago de estos servicios, en las que los proveedores no utilizan sus entradas (incluidas las fotografías) para entrenar sus modelos. Algunos de ellos pueden operar también fuera de la UE/EEE (véase el artículo 7).
• Plataformas publicitarias y analíticas — Google (Analytics 4, Google Ads), Microsoft (Clarity) y Meta Platforms (Pixel y Conversions API). Los datos se les transmiten únicamente si la categoría de cookies correspondiente está permitida (véase el artículo 10); de lo contrario no se les envía nada, ni siquiera el dato anónimo sobre la visualización de la página.
• Proveedor del alojamiento; en los pedidos de libro impreso, además, el socio de impresión y el transportista encargado por este.

7. Transferencia fuera de la UE/EEE

Algunos encargados del tratamiento pueden tratar los datos también fuera de la UE/EEE (en particular en EE. UU.). En tal caso la transferencia se asegura mediante garantías adecuadas conforme al RGPD — las cláusulas contractuales tipo de la Comisión Europea o, en su caso, la adhesión del destinatario al EU–US Data Privacy Framework.

8. Plazo de conservación

• Fotografías de los personajes cargadas y fotografía insertada en el complemento de regalo: durante la vigencia de la cuenta (para que pueda modificar el libro en cualquier momento o darle continuidad) o, en su caso, hasta la tramitación de la solicitud de supresión.
• Datos del pedido y documentos contables: durante el plazo establecido por las normas legales (por regla general hasta 10 años en el caso de los documentos fiscales).
• Datos de la cuenta y libros creados: durante la vigencia de la cuenta o, en su caso, hasta la presentación de la solicitud de supresión.
• Libro en curso sin pedido finalizado, en el caso de un visitante sin cuenta: 6 meses desde la última modificación. Después lo borramos automáticamente y de forma irreversible, incluidas las fotografías cargadas. Si desea conservar más tiempo el libro en curso, cree una cuenta — en tal caso se conserva durante la vigencia de esta.
• Datos sobre la participación en la promoción para amigos: durante la vigencia de la cuenta; en el caso del comprador sin cuenta, durante el periodo en el que el código para compartir o la recompensa emitida puedan ser válidos, y después solo en la medida que exigen las normas legales para los documentos.
• Datos de los afiliados: durante la participación en el programa de afiliados; los datos de facturación y de pago que figuran en los documentos fiscales, después, durante el plazo establecido por las normas legales (por regla general hasta 10 años). Los datos de una solicitud no aceptada se conservan durante la vigencia de la cuenta del solicitante o, en su caso, hasta la tramitación de la solicitud de supresión.
• Reseñas: la reseña publicada, incluidos el nombre y la fotografía o el vídeo adjuntos, se muestra hasta la revocación del consentimiento. Tras la revocación dejamos de publicarla, borramos la fotografía o el vídeo adjuntos y borramos también la publicación que de la reseña hayamos publicado en nuestros perfiles en redes sociales. El registro de que ya se ha creado una reseña del libro lo conservamos también después — impide percibir repetidamente la recompensa por la reseña.
• Boletín: hasta la revocación del consentimiento.
• Interés por el lanzamiento en un determinado país: hasta la revocación del consentimiento, como máximo, no obstante, hasta un año después del lanzamiento del servicio en ese país. La dirección no confirmada se borra a más tardar en el plazo de un año desde su introducción.
• Datos analíticos y de marketing: en Google Analytics 4 conservamos los datos sobre los usuarios durante 14 meses. Los registros del comportamiento en la página en Microsoft Clarity se conservan 30 días desde su obtención (en el caso de los registros marcados y seleccionados aleatoriamente, hasta 9 meses), y las estadísticas agregadas durante más tiempo. En el caso de las plataformas publicitarias, los plazos se rigen por sus propias condiciones.
• Elección en el banner de cookies: es válida en su navegador durante 180 días; después volveremos a preguntarle. La constancia anónima de la elección (véase el artículo 10) la conservamos durante 3 años.

9. Sus derechos

En relación con sus datos personales tiene derecho:

• de acceso a los datos y a obtener una copia de ellos,
• a la rectificación de los datos inexactos,
• a la supresión («derecho al olvido»),
• a la limitación del tratamiento,
• a la portabilidad de los datos,
• a oponerse al tratamiento basado en el interés legítimo, incluida la elaboración de perfiles con fines de marketing directo (véase el artículo 5) — tras la oposición dejamos de tratar sus datos con esa finalidad,
• a revocar en cualquier momento el consentimiento otorgado.

Los derechos se ejercen en el correo electrónico de contacto. Tiene asimismo derecho a presentar una reclamación ante la autoridad de control del Estado miembro de su residencia habitual, de su lugar de trabajo o del lugar de la supuesta infracción (artículo 77, apartado 1, del RGPD). Si reside en España es la Agencia Española de Protección de Datos (AEPD), Edificio Cuzco IV, Paseo de la Castellana, 141, planta 9, 28046 Madrid, www.aepd.es; la reclamación se presenta por vía electrónica en la sede electrónica de la AEPD. Puede dirigirse igualmente a la autoridad checa de control, la Oficina de Protección de Datos Personales (Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz).

10. Cookies y herramientas de medición

Dividimos las cookies en tres categorías. Las necesarias funcionan siempre, porque sin ellas la web no funciona. Solo guardamos cookies analíticas y de marketing después de que usted dé su consentimiento en la barra de cookies. Mientras no lo dé, no se guarda ni se lee ninguna cookie analítica ni de marketing, y los scripts de medición y publicidad ni siquiera se descargan.

• Necesarias — inicio de sesión y mantenimiento de la sesión, libro en curso, protección de los formularios frente a abusos (Cloudflare Turnstile) y almacenamiento de su elección en el banner de cookies. Se incluye también el código del enlace de recomendación (cookie `ref`), pero solo mientras le proporcione el descuento que usted solicitó al hacer clic en el enlace. Si el código sirve únicamente para que el socio reciba una comisión, se guarda solo si las cookies de marketing están permitidas. Base jurídica: interés legítimo en el funcionamiento y la seguridad de la web y en la concesión del descuento.
• Analíticas — Google Analytics 4 y Microsoft Clarity. Sirven para la estadística de visitas y para comprender qué partes de la web resultan comprensibles. En Google Analytics la medición se realiza con anonimización de la dirección IP. Microsoft Clarity obtiene además el registro del movimiento por la página (movimiento del ratón, clics, desplazamiento, cambios de tamaño de la ventana) y con él compone los llamados mapas de calor. No es una captura de pantalla ni de la cámara: el registro es una reconstrucción de la página en el navegador y está configurado en modo de enmascaramiento de todos los textos e imágenes, de modo que en él no se transfieren el nombre del niño, la fotografía, el texto de la dedicatoria ni nada de lo que rellene en los formularios. Las cookies `_clck` y `_clsk` sirven para reconocer que distintas visualizaciones de páginas pertenecen a una misma visita. Si la categoría analítica no está permitida, los scripts de Google Analytics y de Clarity no se cargan en absoluto.
• De marketing — Google Ads y Meta Pixel (Facebook, Instagram). Sirven para valorar la eficacia de la publicidad (cuántos pedidos llegaron de cada campaña) y para mostrar publicidad más relevante, incluido el nuevo contacto con los visitantes que no finalizaron el pedido. A esta categoría pertenecen también nuestras cookies `attr_first` y `attr_last`, que recuerdan desde qué página y, en su caso, desde qué campaña ha llegado a la web.

En las herramientas de Google utilizamos el modo Consent Mode v2 en su variante básica. Mientras no estén permitidas ni la categoría analítica ni la de marketing, el código de medición de Google no se carga en absoluto y a Google no se le envía nada, ni siquiera el dato anónimo sobre la visualización de la página. Una vez permitida alguna de ellas, se transmite al código también su elección, de modo que Google utiliza los datos solo en la medida de las categorías que usted haya permitido.

En relación con la publicidad tratamos también los parámetros de las campañas (parámetros UTM e identificadores de clic gclid / fbclid), que asociamos al pedido para saber de qué fuente llegó. Tras el pago del pedido transmitimos a la sociedad Meta también el dato sobre la compra (valor del pedido y correo electrónico en forma de huella irreversible — hash), para que sea posible atribuir la conversión a la publicidad correcta. Ambas cosas se realizan únicamente si las cookies de marketing están permitidas.

El consentimiento es voluntario y su no otorgamiento no influye en absoluto en la posibilidad de pedir el libro. El botón «Rechazar todo» está en el banner igual de accesible que «Aceptar todo», y cerrar el banner con la cruz (×) equivale a rechazar. Puede cambiar su elección en cualquier momento mediante el enlace «Configuración de cookies» en el pie de la web o bien gestionar las cookies directamente en la configuración del navegador. La elección es válida durante 180 días; después el banner vuelve a mostrarse. Si su navegador envía la señal Global Privacy Control, la consideramos un rechazo de las cookies de marketing, que en ese caso no pueden activarse en el banner. La revocación del consentimiento no afecta a la licitud del tratamiento efectuado antes de ella.

De cada elección en el banner guardamos una constancia anónima: un número aleatorio que solo conoce su navegador, el país de la web, la versión del banner, las categorías permitidas, la forma de la elección (aceptación, rechazo, guardado de la configuración, cierre del banner) y la fecha y la hora. Con ella no guardamos la dirección IP, datos sobre el navegador ni vínculo alguno con una cuenta, de modo que a partir de ella no es posible saber quién hizo la elección. Sirve para que podamos acreditar que disponemos del consentimiento (artículo 7, apartado 1, del RGPD) y la conservamos durante 3 años.

11. Seguridad

Adoptamos medidas técnicas y organizativas adecuadas — transmisión cifrada (HTTPS), almacenamiento de las contraseñas en forma de huella segura, control de accesos y puesta a disposición privada de los archivos a través de un proxy. Ninguna medida garantiza, sin embargo, una seguridad absoluta.

12. Reseñas

Tras la entrega del libro podemos ofrecerle la posibilidad de escribir una reseña. La reseña es voluntaria y la tratamos sobre la base de su consentimiento (artículo 6, apartado 1, letra a), del RGPD), que otorga directamente en el formulario antes del envío.

• Finalidad: publicación de la referencia, para que otros padres tengan algo en lo que basar su decisión.
• Alcance: valoración, texto de la reseña, nombre que indique junto a la reseña y, opcionalmente, fotografía o vídeo adjuntos. Tanto el nombre como el archivo adjunto se muestran públicamente — el archivo está accesible para cualquiera que conozca su dirección, incluso sin iniciar sesión. Cargue por ello solo lo que desee tener públicamente y valórelo con especial atención en el caso de fotografías y vídeos de niños.
• Dónde publicamos la reseña: en nuestra web y en nuestros perfiles en redes sociales (Facebook, Instagram, YouTube, TikTok). El texto del consentimiento que ha marcado en el formulario lo guardamos junto a la reseña — en las reseñas más antiguas, que no se referían a las redes sociales, la publicación queda limitada solo a la web.
• Destinatarios: el público (visitantes de la web y de los perfiles en redes sociales), los operadores de esas redes como responsables autónomos (Meta Platforms Ireland, Google Ireland para YouTube, TikTok Technology Limited) y el proveedor del almacenamiento en la nube (véase el artículo 6). Con la publicación en la red el contenido queda fuera de nuestro control — un visitante puede descargarlo o compartirlo de nuevo y esas copias ya no podemos borrarlas.
• Publicación: revisamos la reseña antes de publicarla y no estamos obligados a publicarla.
• Fotografías y vídeos de otras personas: si en el archivo adjunto aparece otra persona, para difundir su imagen necesitamos su consentimiento (artículos 84 y 85 del Código Civil checo) y, en el caso de un niño, el consentimiento del representante legal — nos lo confirma marcando la casilla en el formulario. El consentimiento puede revocarse en cualquier momento conforme al artículo 87 del Código Civil checo.
• Revocación del consentimiento: puede revocar el consentimiento en cualquier momento en el correo electrónico de contacto — dejaremos de mostrar la reseña, borraremos la fotografía o el vídeo adjuntos y retiraremos también la publicación publicada en las redes sociales. La revocación no afecta a la licitud del tratamiento efectuado antes de ella. Los detalles sobre el plazo de conservación figuran en el artículo 8.

13. Modificaciones de la política

Podemos actualizar esta política. De las modificaciones sustanciales informaremos en la web o, en su caso, por correo electrónico. La versión vigente está siempre disponible en esta página.