Política de privacidad

1. Responsable del tratamiento

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

Correo electrónico: info@batteriepass-online.eu

No estamos obligados a designar un delegado de protección de datos con arreglo al art. 37 del RGPD. Envíe sus solicitudes en materia de protección de datos a la dirección de correo electrónico indicada.

1a. Representante en la Unión (art. 27 RGPD)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

Correo electrónico: info@batteriepass-online.eu

Los interesados y las autoridades de control de la UE pueden dirigirse al representante para todas las cuestiones relativas al tratamiento; el representante actúa en nombre del responsable del tratamiento.

2. Nuestra función: responsable o encargado del tratamiento

Respecto de las cuentas de cliente, la facturación, la seguridad y el funcionamiento del sitio web, somos responsables del tratamiento. Esta política describe dicho tratamiento.

Los contenidos de los pasaportes para baterías, los documentos subidos, los contactos de proveedores y las solicitudes de acceso los introducen en el software nuestros clientes (los operadores económicos). Respecto de estos datos, el cliente respectivo es el responsable del tratamiento y nosotros somos su encargado del tratamiento con arreglo al art. 28 del RGPD, sobre la base de nuestro contrato de encargo del tratamiento (/avv). Para estos datos, los interesados deben dirigirse al operador económico indicado en el pasaporte; nosotros transmitimos las solicitudes.

3. Visita del sitio web

Cuando usted abre nuestras páginas, nuestro servidor trata su dirección IP, la dirección solicitada y el identificador del navegador (user agent) para entregar la página y repeler ataques (art. 6, apartado 1, letra f), del RGPD). Nuestro servidor web de entrada registra la dirección IP, la hora, la dirección solicitada, el código de estado y el user agent para detectar ataques y abusos; este registro del servidor se elimina automáticamente al cabo de siete días. Fuera de ello, la dirección IP solo se trata en los contadores de limitación de frecuencia (sección 5) y, truncada y convertida en hash, en el registro de accesos a contenidos protegidos de los pasaportes (sección 7).

No utilizamos herramientas de seguimiento analítico, complementos de redes sociales ni fuentes externas. Solo utilizamos Google Ads para medir la eficacia de nuestros anuncios con su consentimiento (sección 4).

4. Cookies

Cookies y entradas de almacenamiento técnicamente necesarias, para las que no se requiere consentimiento (art. 25, apartado 2, n.º 2, de la TDDDG):

• bpo_session: inicio de sesión en el área de cliente; duración 30 días, se elimina al cerrar sesión.
• bpo_access: recuerda una autorización de acceso a contenidos no públicos de un pasaporte (interés legítimo o autoridad); duración según la autorización.
• bpo_consent (almacenamiento local del navegador): guarda su elección sobre las cookies; duración 12 meses.
• Google Ads (solo con consentimiento): si usted da su consentimiento en el banner de cookies, integramos el seguimiento de conversiones de Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda). Para ello, Google instala cookies (como _gcl_au, duración de hasta 90 días) y recibe su dirección IP, las páginas visitadas, la hora y datos del navegador para medir si un clic en nuestro anuncio ha dado lugar a un registro o a una compra. La base jurídica es su consentimiento (art. 6, apartado 1, letra a), del RGPD, art. 25, apartado 1, de la TDDDG). Las transferencias a Google LLC en EE. UU. están amparadas por el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework). Sin consentimiento no se carga ningún código de Google. Puede retirar su consentimiento en cualquier momento con efecto para el futuro en «Ajustes de cookies», en el pie de página. Política de privacidad de Google: https://policies.google.com/privacy

5. Cuenta de cliente y organización

Al registrarse, tratamos el nombre, la dirección de correo electrónico, la empresa y una contraseña, que solo almacenamos como hash (scrypt). Para la organización almacenamos la denominación legal, la dirección, el país, el número de identificación a efectos del IVA, el número EORI y otros identificadores de la empresa (como el número de inscripción en el registro mercantil o el código LEI) que el cliente facilita para los pasaportes y la inscripción en el registro de la UE, así como el plan y las cuotas. También registramos la hora del último inicio de sesión y la configuración de idioma.

La finalidad es prestar el área de cliente, atribuir los pasaportes al operador económico y facturar. La base jurídica es la ejecución del contrato (art. 6, apartado 1, letra b), del RGPD).

Las confirmaciones por correo electrónico y los enlaces de inicio de sesión y de restablecimiento de contraseña se envían a través del servicio de correo electrónico de STRATO GmbH (Alemania). Registramos los correos enviados con destinatario, asunto, contenido y estado de entrega para poder rastrear problemas de entrega; el registro se elimina al cabo de doce meses.

Para protegernos frente a abusos, limitamos los intentos de inicio de sesión, los registros y los restablecimientos de contraseña por dirección IP y por cuenta. Para ello almacenamos contadores con la dirección IP durante un máximo de 24 horas (art. 6, apartado 1, letra f), del RGPD). Registramos los intentos de inicio de sesión (correctos y fallidos) con hora, dirección de correo electrónico, resultado, dirección IP completa y user agent durante 90 días para detectar ataques a cuentas y distinguirlos de un cliente que se equivoca al escribir su propia contraseña. Este registro solo lo ve el operador en el panel interno del operador, donde está oculto por defecto tras un control de visualización.

6. Pago y facturación

Los planes de pago se tramitan a través de Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublín, Irlanda. Stripe recibe el nombre, la dirección de correo electrónico, la dirección de la empresa, el NIF-IVA y los datos de pago; los datos de la tarjeta y de la cuenta los recoge exclusivamente Stripe y nunca llegan a nuestros servidores. Almacenamos el identificador de cliente de Stripe, el estado de la suscripción y los datos de facturación.

Stripe es un responsable del tratamiento independiente para el procesamiento de pagos; se aplica la política de privacidad de Stripe (https://stripe.com/privacy). Las transferencias a Stripe Inc. en EE. UU. están amparadas por el Marco de Privacidad de Datos UE-EE. UU. y por cláusulas contractuales tipo.

Las bases jurídicas son la ejecución del contrato (art. 6, apartado 1, letra b), del RGPD) y nuestras obligaciones legales de conservación (art. 6, apartado 1, letra c), del RGPD). Conservamos los datos de facturación durante diez años.

7. Pasaportes para baterías públicos

Los pasaportes para baterías publicados son accesibles en todo el mundo a través de su dirección (código QR). Qué datos son públicos, visibles solo para personas con un interés legítimo o solo para las autoridades lo establece el anexo XIII del Reglamento (UE) 2023/1542; el software aplica técnicamente estos niveles. Los datos públicos incluyen el nombre y los datos de contacto del operador económico; cuando se trate de una persona física, el responsable es el operador económico.

Registramos, para el cliente, los accesos a contenidos no públicos de los pasaportes con la hora, el nivel de acceso, la dirección IP truncada y convertida en hash y el user agent. Este registro de accesos se elimina al cabo de 90 días.

Quien solicita acceso a contenidos protegidos como autoridad o como persona con un interés legítimo facilita su dirección de correo electrónico, organización, función, finalidad y, en su caso, justificantes. El cliente, que decide sobre la autorización, ve esta información; nosotros la tratamos por encargo del cliente.

8. Formularios para proveedores, API y webhooks

Los clientes pueden solicitar datos de producto a sus proveedores mediante un enlace enviado por correo electrónico. Para ello almacenamos, por encargo del cliente, la dirección de correo electrónico del proveedor introducida por el cliente, el estado de tramitación y los valores enviados.

Para la API almacenamos las claves de API solo como hash, junto con la hora del último uso. Las direcciones y los secretos de los webhooks los facilita el cliente; los secretos se almacenan cifrados. Registramos los intentos de entrega con la hora, el código de estado y un extracto de la respuesta durante 30 días.

9. Alojamiento y destinatarios

Recurrimos a los siguientes proveedores de servicios, que tratan datos por encargo nuestro (art. 28 RGPD):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemania: servidores para la aplicación, la base de datos y el almacenamiento de documentos en los centros de datos de Falkenstein y Núremberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlín, Alemania: envío de correos electrónicos del sistema.
• Stripe Payments Europe Ltd., Dublín, Irlanda: procesamiento de pagos (como responsable del tratamiento independiente, véase la sección 6).

10. Transferencias a terceros países

Estamos establecidos en Suiza. La Comisión Europea ha reconocido que Suiza garantiza un nivel de protección de datos adecuado (Decisión de adecuación 2000/518/CE, confirmada en 2024), por lo que el acceso desde Suiza a los datos almacenados en Alemania está permitido. Aparte del procesamiento de pagos a través de Stripe (sección 6), no se realizan transferencias a otros terceros países.

11. Plazos de conservación

• Datos de la cuenta de cliente y de la organización: hasta la eliminación de la cuenta y, después, un período de bloqueo de 30 días; datos de facturación, diez años.
• Sesiones de inicio de sesión: 30 días; enlaces de inicio de sesión y de restablecimiento: hasta 24 horas.
• Registro del servidor web: siete días. Contadores de limitación de frecuencia: 24 horas. Registro de inicios de sesión: 90 días. Registros de accesos a contenidos protegidos de los pasaportes: 90 días. Registro de correos electrónicos: doce meses. Registro de entregas de webhooks: 30 días.
• Pasaportes para baterías y documentos: durante el plazo legal de conservación previsto en el art. 77, apartado 8, del Reglamento (UE) 2023/1542. Tras la finalización del contrato, los pasaportes permanecen en modo de solo lectura durante al menos 15 años y, después, hasta que se notifique el reciclado; la eliminación se rige por nuestras condiciones generales (sección 8).
• Registro de cambios (registro de auditoría) del área de cliente: durante la vigencia del contrato, para acreditar la cadena de verificación de los pasaportes.

12. Seguridad

Todas las conexiones están cifradas con TLS. Las contraseñas se almacenan como hashes scrypt y los secretos, cifrados. El acceso se basa en funciones, los intentos de inicio de sesión están limitados y los cambios en los pasaportes se registran en una cadena de hashes. La base de datos solo es accesible desde la red privada. Las copias de seguridad se crean diariamente y se conservan durante 30 días.

13. Sus derechos

Usted tiene derecho de acceso (art. 15 RGPD), de rectificación (art. 16), de supresión (art. 17), a la limitación del tratamiento (art. 18), a la portabilidad de los datos (art. 20) y de oposición al tratamiento basado en intereses legítimos (art. 21). Diríjase a info@batteriepass-online.eu. Respondemos en el plazo de un mes.

Puede presentar una reclamación ante una autoridad de control de protección de datos: en Suiza, ante el Encargado Federal de Protección de Datos y Transparencia (EFPDT); en la UE, ante la autoridad de su lugar de residencia o de trabajo.

No tomamos decisiones individuales automatizadas ni utilizamos sus datos con fines publicitarios sin su consentimiento previo.

14. Cambios

Actualizamos esta política cuando cambian nuestros tratamientos o la situación jurídica. La versión vigente está siempre disponible en /datenschutz; informamos a los clientes de los cambios importantes por correo electrónico.