Política de Privacidad y Protección de Datos Personales

PluriBrands (MultiGoods Unipessoal, Lda.) otorga la máxima importancia a la protección de la privacidad y de los datos personales de sus Clientes, socios y usuarios de la Plataforma. La presente Política de Privacidad describe de forma exhaustiva, transparente y accesible el modo en que PluriBrands recopila, utiliza, conserva, comparte y protege los datos personales, en estricto cumplimiento del Reglamento General de Protección de Datos (RGPD – Reglamento UE 2016/679) y de la legislación nacional de protección de datos.

El Responsable del Tratamiento de los datos es MultiGoods Unipessoal, Lda., con sede en Rua Santa Marta n.º 118 - Pav. 1, 4750-189 Barcelos, Portugal, con NIF PT513567097. Para cualquier cuestión relacionada con el tratamiento de sus datos personales, puede contactarnos a través de la dirección de correo electrónico dedicada: privacidade@pluribrands.com.

PluriBrands ha nombrado a un Delegado de Protección de Datos (DPO), cuyas funciones incluyen la supervisión del cumplimiento del RGPD en todas las operaciones de la empresa. El contacto del DPO puede obtenerse previa solicitud a privacidade@pluribrands.com.

• Nombre y apellidos;
• Dirección de correo electrónico (e-mail);
• Número de teléfono o móvil;
• Fecha de nacimiento (obligatoria en el registro, para la verificación de la mayoría de edad y la edad mínima legalmente exigida para la adquisición de determinados productos);
• Número de Identificación Fiscal (NIF), exclusivamente para la emisión de facturas.

• Dirección de facturación completa;
• Dirección(es) de entrega registradas en la cuenta;
• País de residencia y código postal.

• Registro de pedidos realizados, incluyendo productos, cantidades e importes;
• Historial de devoluciones y reclamaciones;
• Preferencias de productos y categorías de interés inferidas del comportamiento de compra;
• Vales, créditos y beneficios acumulados en el programa de fidelización.

• Últimos 4 dígitos de la tarjeta de pago (para identificar el método utilizado);
• Método de pago preferido;
• Nota: PluriBrands no almacena los datos completos de pago; son procesados por plataformas de pago certificadas PCI DSS.

• Dirección IP y geolocalización aproximada;
• Tipo de dispositivo, sistema operativo y navegador utilizado;
• Páginas visitadas, duración de las sesiones e interacciones en la Plataforma;
• Datos de cookies según se describe en la Política de Cookies;
• Registros de errores e informes de rendimiento técnico.

• Contenido de las comunicaciones intercambiadas con el Servicio de Atención al Cliente;
• Valoraciones, comentarios y calificaciones de productos enviados voluntariamente;
• Preferencias de comunicación comercial (consentimiento de newsletter, alertas de promociones).

El tratamiento de los datos personales por parte de PluriBrands se basa en fundamentos jurídicos legítimos, identificados para cada finalidad específica según lo exigido por el artículo 13 del RGPD:

3.1. Ejecución del Contrato (Artículo 6.1.b del RGPD)
El tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. Esta base legitima:

• El procesamiento de pedidos, pagos y entregas;
• La gestión de devoluciones, cambios y reembolsos;
• La creación y gestión de la cuenta de usuario;
• El envío de confirmaciones de pedido, facturas y actualizaciones de entrega.

3.2. Cumplimiento de Obligaciones Legales (Artículo 6.1.c del RGPD)

• Cumplimiento de obligaciones fiscales y contables (conservación de facturas durante 10 años);
• Respuesta a obligaciones regulatorias y solicitudes de autoridades competentes;
• Prevención y detección de fraude según las normas de prevención de blanqueo de capitales.
• Verificación de la edad del Cliente, a través de la fecha de nacimiento recopilada en el registro, para el cumplimiento de las obligaciones legales relativas a la venta de productos sujetos a restricción de edad, concretamente bebidas alcohólicas, cuya adquisición PluriBrands reserva a mayores de 18 años en todos los mercados en los que opera.
  

3.3. Intereses Legítimos de PluriBrands (Artículo 6.1.f del RGPD)

• Mejora continua de la Plataforma y servicios mediante el análisis de navegación;
• Personalización de la experiencia de compra basada en el historial del Cliente;
• Detección y prevención de fraude, abuso y brechas de seguridad;
• Análisis estadístico y de rendimiento para la optimización logística.

3.4. Consentimiento Expreso (Artículo 6.1.a del RGPD)

• Envío de comunicaciones comerciales (newsletters, promociones);
• Uso de cookies no esenciales de personalización y publicidad;
• Participación en encuestas de satisfacción y programas de análisis de experiencia.

Los datos personales se conservan durante el período estrictamente necesario para cumplir las finalidades para las que fueron recabados, observando los siguientes criterios:

• Datos de cuenta activa: mientras la cuenta permanezca activa, más un período de 2 años tras la última actividad registrada;
• Datos de transacción (facturas y registros contables): 10 años, en cumplimiento de las obligaciones fiscales portuguesas;
• Datos de comunicación con Atención al Cliente: 3 años tras el cierre del asunto;
• Datos de navegación y cookies: según lo indicado en la Política de Cookies (generalmente entre 30 días y 2 años);
• Datos para fines de marketing (consentimiento): hasta la revocación del consentimiento o por un máximo de 3 años sin actividad comercial;
• Datos para la prevención del fraude: hasta 5 años después de la última incidencia sospechosa.
• Fecha de nacimiento: conservada mientras la cuenta se mantenga activa, por ser necesaria para la verificación de la edad en cada adquisición de productos sujetos a restricción de edad. Este dato se utiliza exclusivamente para dicha finalidad.
  

PluriBrands podrá compartir datos personales con terceros, en las condiciones y para las finalidades descritas a continuación, garantizando siempre que los destinatarios ofrezcan garantías suficientes de cumplimiento del RGPD:

• Transportistas y Operadores Logísticos: nombre, dirección y contacto del destinatario, estrictamente necesarios para la entrega del pedido;
• Plataformas de Pago: datos necesarios para el procesamiento seguro de la transacción financiera (nunca incluyendo datos de tarjeta completos);
• Proveedores de Servicios Tecnológicos: proveedores de infraestructura cloud, servicios de correo electrónico transaccional, plataformas de CRM y análisis de datos, vinculados por contratos de encargo de tratamiento conformes con el RGPD (artículo 28);
• Autoridades Públicas: siempre que lo exija la ley, una decisión judicial o una autoridad reguladora competente;
• Socios de Marketing: solo con el consentimiento expreso del Cliente y limitados a los datos necesarios para la finalidad consentida.

PluriBrands no vende, alquila ni pone datos personales a disposición de terceros para fines comerciales propios de dichos terceros sin el consentimiento expreso del titular.

Algunos de los encargados del tratamiento y socios tecnológicos de PluriBrands pueden estar ubicados fuera del Espacio Económico Europeo (EEE). En tales situaciones, PluriBrands garantiza que las transferencias se realicen basándose en mecanismos de transferencia legalmente reconocidos, concretamente:

• Decisiones de Adecuación de la Comisión Europea para países con un nivel de protección equivalente al del EEE;
• Cláusulas Contractuales Tipo (Standard Contractual Clauses – SCC) adoptadas por la Comisión Europea;
• Normas Corporativas Vinculantes (Binding Corporate Rules – BCR) para grupos empresariales multinacionales.

El interesado podrá solicitar información sobre las transferencias específicas y los mecanismos utilizados a través de privacidade@pluribrands.com.

Según el RGPD, el interesado de los datos personales cuenta con los siguientes derechos, que podrá ejercer en cualquier momento ante PluriBrands:

• Derecho de Acceso (Art. 15 RGPD): derecho a obtener confirmación sobre si se están tratando o no sus datos y, en caso afirmativo, acceder a ellos y a la información sobre el tratamiento;
• Derecho de Rectificación (Art. 16 RGPD): derecho a obtener la corrección de datos inexactos o incompletos;
• Derecho de Supresión / Derecho al Olvido (Art. 17 RGPD): derecho a solicitar la eliminación de sus datos cuando ya no sean necesarios para el fin que motivó su recogida, o cuando el interesado retire el consentimiento (sin perjuicio de las obligaciones legales de conservación);
• Derecho a la Limitación del Tratamiento (Art. 18 RGPD): derecho a solicitar la suspensión del tratamiento en circunstancias específicas, como durante la verificación de la exactitud de los datos o la valoración de una oposición;
• Derecho a la Portabilidad (Art. 20 RGPD): derecho a recibir sus datos en un formato estructurado y de lectura mecánica, y a transmitirlos a otro responsable;
• Derecho de Oposición (Art. 21 RGPD): derecho a oponerse al tratamiento basado en intereses legítimos o para fines de marketing directo;
• Derecho a no ser objeto de Decisiones Automatizadas (Art. 22 RGPD): derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, salvo las excepciones previstas en la ley.

Para ejercer estos derechos, el interesado debe enviar una solicitud por escrito a privacidade@pluribrands.com, adjuntando un documento de identidad. PluriBrands responderá en un plazo máximo de 30 días (prorrogable 60 días más en casos complejos).

Si el interesado considera que el tratamiento infringe el RGPD, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), la CNPD (www.cnpd.pt) o la autoridad de su Estado miembro.

PluriBrands implementa las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad de los datos personales proporcional al riesgo, de conformidad con el artículo 32 del RGPD. Estas medidas incluyen:

• Cifrado de datos en tránsito (protocolo TLS 1.3) y en reposo (AES-256);
• Control de accesos basado en el principio de menor privilegio;
• Autenticación de dos factores (2FA) para el acceso a sistemas internos;
• Auditorías de seguridad y pruebas de penetración realizadas por entidades externas independientes;
• Plan de Respuesta ante Incidentes de Seguridad, que incluye la notificación a la autoridad competente en un plazo de 72 horas en caso de brecha de datos;
• Formación periódica de los empleados en materia de protección de datos y ciberseguridad.