Esta traducción se ofrece únicamente para su conveniencia. En caso de discrepancia, prevalece la versión en inglés.

1. Alcance y roles

Galactic Orders es una plataforma B2B utilizada por comerciantes («Clientes») para gestionar sus operaciones de comercio. Esta Política cubre dos relaciones distintas:

(a) Relación de responsable. Cuando usted visita nuestro sitio de marketing, registra una cuenta o nos contacta, actuamos como «responsable del tratamiento» (data controller, GDPR) / «empresa» (business, CCPA/CPRA) respecto de sus datos personales.

(b) Relación de encargado. Cuando nuestros Clientes usan el Servicio para tratar datos sobre sus propios clientes finales (por ejemplo, datos de pedidos o de envío provenientes de una tienda Shopify conectada o de una cuenta de vendedor de Amazon), actuamos como «encargado del tratamiento» (data processor, GDPR) / «proveedor de servicios» (service provider, CCPA/CPRA) por cuenta del Cliente. El Cliente es el responsable/la empresa respecto de esos datos, es el único responsable de la base legal del tratamiento, de proporcionar avisos a los titulares de los datos y de obtener sus consentimientos, y de responder a las solicitudes de los titulares de los datos. Los usuarios finales de las tiendas de los Clientes deben consultar la política de privacidad propia del Cliente. Solo tratamos esos datos conforme a las instrucciones documentadas del Cliente y para prestar el Servicio.

2. Categorías de datos personales que recopilamos

Recopilamos las siguientes categorías de datos personales:

(a) Datos de cuenta & identificación — nombre, dirección de correo electrónico, contraseña (con hash), número de teléfono, nombre de la empresa, rol, preferencias de perfil, zona horaria, idioma.

(b) Datos de autenticación & seguridad — marcas de tiempo de inicio de sesión, dirección IP, identificadores de dispositivo, tokens de sesión, estado de la autenticación multifactor y registros de auditoría.

(c) Datos de facturación — nombre de facturación, dirección de facturación, últimos cuatro dígitos de la tarjeta de pago, tokens de métodos de pago, historial de transacciones, facturas e identificadores fiscales. Los datos completos de la tarjeta de pago son recopilados y procesados exclusivamente por nuestros procesadores de pagos que cumplen con PCI-DSS; no almacenamos números de tarjeta completos.

(d) Datos de la tienda del Cliente (en calidad de encargado) — datos que tratamos por cuenta de nuestros Clientes, que pueden incluir nombres, direcciones de correo electrónico, números de teléfono, direcciones de envío/facturación, historial de pedidos, preferencias de productos y estado de cumplimiento de sus clientes finales, así como datos personales similares relacionados con pedidos o envíos. Estos datos se recopilan de plataformas conectadas como Shopify y Amazon y de proveedores externos de envío/logística.

(e) Credenciales de integración — tokens OAuth, claves API, tokens de actualización, secretos de firma de webhooks y credenciales similares proporcionadas para conectar Servicios de terceros. Estas se cifran en reposo.

(f) Datos de comunicaciones — mensajes, correos electrónicos, tickets de soporte, comentarios y demás correspondencia con nosotros.

(g) Datos de uso & diagnóstico — páginas visitadas, funciones utilizadas, eventos de clic y desplazamiento, informes de errores, métricas de rendimiento, tipo de navegador, sistema operativo, URLs de referencia y registros de fallos.

(h) Cookies & tecnologías similares — consulte la Sección 9 a continuación.

No recopilamos a sabiendas ningún dato de niños menores de dieciséis (16) años. Si usted cree que un niño nos ha proporcionado datos personales, contacte a privacy@adv.design y los eliminaremos con prontitud.

3. Cómo recopilamos los datos

Recopilamos datos personales (a) directamente de usted cuando se registra, configura integraciones o nos contacta; (b) automáticamente a través de su uso del Servicio (cookies, archivos de registro, telemetría); (c) de plataformas de terceros que usted conecta al Servicio (p. ej., Shopify, Amazon, procesadores de pagos, transportistas); y (d) de fuentes públicas o proveedores de datos de terceros utilizados para detectar fraude, prevenir abusos o cumplir con la ley.

4. Finalidades y bases legales del tratamiento

Tratamos los datos personales para las siguientes finalidades, sobre las siguientes bases legales (cuando se aplican el GDPR o leyes similares):

(a) Prestación del Servicio — para crear y gestionar cuentas, autenticar usuarios, sincronizar pedidos, ejecutar operaciones de envío, procesar pagos y, en general, prestar el Servicio. Base legal: ejecución de un contrato; intereses legítimos.

(b) Seguridad & prevención del fraude — para detectar, prevenir y responder a incidentes de seguridad, abusos, fraude y actividades ilícitas. Base legal: intereses legítimos; obligación legal.

(c) Mejora del Servicio & analítica — para analizar el uso, depurar problemas, desarrollar nuevas funciones y comparar el rendimiento. Base legal: intereses legítimos.

(d) Comunicaciones — para enviar correos electrónicos transaccionales, avisos del servicio, respuestas de soporte y (cuando esté permitido) comunicaciones de marketing. Base legal: ejecución de un contrato; intereses legítimos; consentimiento cuando sea necesario.

(e) Facturación & cumplimiento — para facturar, cobrar pagos, gestionar impuestos, mantener registros y cumplir con obligaciones contables y legales. Base legal: ejecución de un contrato; obligación legal.

(f) Defensa legal — para constituir, ejercer o defender reclamaciones legales y hacer cumplir nuestros Términos. Base legal: intereses legítimos; obligación legal.

(g) Según las instrucciones del Cliente (en calidad de encargado) — para tratar los Datos de la tienda del Cliente según lo indicado por nuestros Clientes. Base legal: la base legal del Cliente como responsable.

5. Cómo compartimos los datos personales

No vendemos datos personales. Compartimos datos personales únicamente como se describe a continuación:

(a) Subencargados y proveedores de servicios — compartimos datos con proveedores que nos ayudan a operar el Servicio bajo acuerdos escritos de tratamiento de datos que exigen obligaciones apropiadas de confidencialidad y seguridad. Las categorías incluyen proveedores de alojamiento en la nube, proveedores de bases de datos, proveedores de entrega de correo electrónico, procesadores de pagos, herramientas de soporte al cliente, proveedores de seguimiento de errores y analítica, y APIs de transportistas.

(b) Plataformas de terceros que usted conecta — si usted conecta un Servicio de terceros (p. ej., Shopify, Amazon, un procesador de pagos o un transportista), los datos fluyen entre Galactic Orders y esa plataforma según sea necesario para proporcionar la funcionalidad solicitada. Su uso de los datos se rige por sus propias políticas de privacidad.

(c) Dentro de la cuenta del Cliente — si usted es un usuario autorizado de una cuenta de Cliente, sus datos personales y su actividad pueden ser visibles para otros usuarios autorizados y administradores de esa cuenta.

(d) Legal & seguridad — podemos divulgar datos cuando creamos razonablemente que la divulgación es necesaria para cumplir con la ley, un proceso legal o una solicitud gubernamental; para hacer cumplir nuestros Términos; para proteger los derechos, la propiedad o la seguridad de Galactic Orders by ADV Design, nuestros usuarios u otras personas; o para detectar, prevenir o abordar problemas de fraude, de seguridad o técnicos.

(e) Transferencias empresariales — en relación con una fusión, adquisición, financiamiento, reorganización, quiebra o venta de la totalidad o parte de nuestro negocio o activos, los datos personales pueden transferirse al sucesor o adquirente.

(f) Con su consentimiento — para cualquier otra finalidad divulgada en su momento y con su consentimiento.

6. Transferencias internacionales de datos

Tenemos nuestra sede en los Estados Unidos y nuestros subencargados pueden estar ubicados en los Estados Unidos, el Espacio Económico Europeo, el Reino Unido, Canadá y otras jurisdicciones. Al usar el Servicio, usted reconoce que los datos personales pueden transferirse y tratarse en países cuyas leyes de protección de datos pueden diferir de las de su país de residencia. Para las transferencias desde el EEE, el Reino Unido o Suiza a un país no considerado adecuado, nos apoyamos en salvaguardas apropiadas, como las Cláusulas Contractuales Tipo de la Comisión Europea, el Anexo de Transferencia Internacional de Datos del Reino Unido (UK International Data Transfer Addendum) u otros mecanismos de transferencia lícitos.

7. Retención de datos

Retenemos los datos personales solo durante el tiempo necesario para prestar el Servicio, cumplir con obligaciones legales (incluidas las obligaciones fiscales, contables y de auditoría), resolver disputas y hacer cumplir nuestros acuerdos. Los datos relacionados con la cuenta se retienen generalmente durante la vida de la cuenta más un período razonable posterior (hasta siete (7) años cuando la ley lo exija). Los Datos de la tienda del Cliente se retienen según la configuración e instrucciones del Cliente y, para los datos provenientes de Amazon, de acuerdo con los límites de retención descritos en la Sección 14. Las copias de seguridad que contienen datos personales se retienen durante un período limitado en forma cifrada y se sobrescriben de manera continua. Los datos anonimizados o agregados pueden retenerse indefinidamente.

8. Seguridad

Implementamos salvaguardas administrativas, técnicas y físicas diseñadas para proteger los datos personales, incluidos el cifrado en tránsito (TLS) y en reposo, controles de acceso, rotación de secretos, registro de auditoría, acceso bajo el principio de mínimo privilegio, gestión de vulnerabilidades y capacitación en seguridad. Sin embargo, ningún método de transmisión o almacenamiento es cien por ciento (100 %) seguro. No podemos garantizar una seguridad absoluta. Usted es responsable de proteger sus credenciales y de la seguridad de sus dispositivos y redes. Renunciamos, en la máxima medida permitida por la ley, a toda responsabilidad por accesos no autorizados causados por factores fuera de nuestro control razonable.

9. Cookies y tecnologías de seguimiento

(a) Este sitio web (galacticorders.com). Nuestro sitio público de marketing no instala ninguna cookie ni carga scripts de terceros, de análisis o de publicidad. Guarda dos valores en el almacenamiento local de su navegador: gh_lang, que recuerda el idioma que usted eligió, y gh_lang_auto, que registra que ya le ofrecimos una página en el idioma de su navegador. Ambos son estrictamente necesarios para una función que usted solicitó, solo pueden leerse desde este sitio, nunca salen de su dispositivo y pueden borrarse en cualquier momento desde la configuración de su navegador. Como aquí no guardamos datos de análisis ni de publicidad, no se requiere ningún banner de consentimiento.

(b) La aplicación (dashboard.galacticorders.com). Una vez que inicia sesión, usamos cookies estrictamente necesarias y tecnologías similares para mantener su autenticación, gestionar su sesión, recordar un dispositivo que usted marcó como de confianza para la autenticación multifactor y proteger el Servicio frente a abusos. Son esenciales para operar el Servicio y no pueden desactivarse sin impedir el inicio de sesión.

(c) Global Privacy Control. No vendemos ni compartimos información personal según la definición de la CPRA, por lo que una señal de Global Privacy Control no tiene nada de lo que excluirlo. Si esto cambiara alguna vez, trataríamos la señal GPC como una solicitud válida de exclusión.

(d) Si esto cambia. Si más adelante incorporamos tecnologías de análisis, de medición de uso o de publicidad, actualizaremos esta Política y, cuando la ley exija consentimiento previo, lo obtendremos antes de activarlas: rechazar será tan fácil como aceptar y podrá retirar su elección en cualquier momento.

10. Sus derechos — GDPR (EEE, Reino Unido, Suiza)

Si usted se encuentra en el Espacio Económico Europeo, el Reino Unido o Suiza, tiene los siguientes derechos, sujetos a las condiciones y excepciones aplicables:

(a) Acceso — obtener confirmación y una copia de los datos personales que tenemos sobre usted.

(b) Rectificación — corregir datos inexactos o incompletos.

(c) Supresión — solicitar la eliminación («derecho al olvido»).

(d) Limitación — restringir el tratamiento en determinadas circunstancias.

(e) Portabilidad — recibir los datos en un formato estructurado, de uso común y legible por máquina.

(f) Oposición — oponerse al tratamiento basado en intereses legítimos o con fines de marketing directo.

(g) Retirar el consentimiento — cuando el tratamiento se base en el consentimiento, retirarlo en cualquier momento sin afectar el tratamiento lícito previo.

(h) Presentar una reclamación — ante su autoridad de control local.

Para los datos que tratamos como encargado por cuenta de un Cliente, dirija su solicitud al Cliente (el responsable); le asistiremos según sea necesario.

11. Sus derechos — California (CCPA/CPRA)

Si usted es residente de California, tiene derecho a:

(a) Conocer las categorías y piezas específicas de información personal que hemos recopilado, las fuentes, las finalidades y las categorías de terceros con quienes la compartimos.

(b) Eliminar la información personal que recopilamos de usted, sujeto a excepciones legales.

(c) Corregir información personal inexacta.

(d) Optar por no participar en la venta o el intercambio. No «vendemos» información personal a cambio de una contraprestación monetaria y no «compartimos» información personal para publicidad conductual de contexto cruzado, según se definen esos términos en la CPRA. Si esta práctica llegara a cambiar, proporcionaremos un enlace «Do Not Sell or Share My Personal Information» (No vender ni compartir mi información personal).

(e) Limitar el uso de información personal sensible. No usamos información personal sensible para fines que activarían el derecho a limitar previsto en la CPRA.

(f) No discriminación. No lo discriminaremos por ejercer cualquiera de estos derechos.

Categorías divulgadas (últimos 12 meses): identificadores, registros de clientes, información comercial, actividad de internet/red, geolocalización (general) e inferencias, cada una compartida con las categorías de destinatarios descritas en la Sección 5.

12. Cómo ejercer sus derechos

Para ejercer cualquier derecho descrito en las Secciones 10 u 11, envíe un correo electrónico a privacy@adv.design con el asunto «Privacy Rights Request» e incluya la información necesaria para verificar su identidad y localizar sus datos. Responderemos dentro de los plazos exigidos por la ley aplicable (generalmente un (1) mes bajo el GDPR; cuarenta y cinco (45) días bajo la CCPA/CPRA, prorrogables según lo permitido). Usted puede designar un agente autorizado de conformidad con la ley aplicable; podemos requerir la verificación de la autoridad del agente. Nos reservamos el derecho de denegar solicitudes que no puedan verificarse, sean infundadas, excesivas o cuya denegación esté permitida de otro modo por la ley aplicable.

13. Divulgaciones de la Shopify App Store

Si usted instala Galactic Orders desde la Shopify App Store o conecta de otro modo una tienda Shopify, se aplican las siguientes divulgaciones adicionales:

(a) Datos que recibimos de Shopify. Cuando usted instala la aplicación, Shopify comparte con nosotros la información necesaria para operar la aplicación, incluidos el nombre de su tienda, el correo electrónico de contacto, el dominio de la tienda, el país, la moneda y la zona horaria. Con su autorización (otorgada al momento de la instalación mediante los scopes de OAuth), también accedemos a datos del catálogo de la tienda, datos de pedidos, datos de cumplimiento, datos de clientes (incluidos nombres, direcciones, correos electrónicos y números de teléfono contenidos en los pedidos), datos de inventario y datos de envío/ubicación. Tratamos estos datos únicamente para proporcionar la funcionalidad solicitada del Servicio.

(b) Webhooks de cumplimiento obligatorios. De conformidad con los requisitos de datos protegidos de Shopify, implementamos y respondemos a los siguientes webhooks de cumplimiento:

customers/data_request — cuando un cliente de una tienda solicita sus datos, el comerciante reenvía la solicitud a través de Shopify; entregamos al comerciante los datos relacionados con ese cliente que tenemos para que el comerciante pueda atender la solicitud.

customers/redact — cuarenta y ocho (48) horas después de que un comerciante solicite la eliminación de los datos de un cliente específico (o según se requiera de otro modo), eliminamos o desidentificamos todos los datos personales de ese cliente en nuestros sistemas, salvo cuando la retención sea exigida por la ley.

shop/redact — cuarenta y ocho (48) horas después de que una tienda desinstale la aplicación, y tras cualquier período de retención exigido por Shopify (normalmente cuarenta y ocho (48) horas), eliminamos o desidentificamos todos los datos personales asociados con la tienda, salvo cuando la retención sea exigida por la ley (p. ej., con fines fiscales, de auditoría o de defensa legal).

(c) Desinstalación. Usted puede desinstalar la aplicación en cualquier momento desde su panel de administración de Shopify. Tras la desinstalación, recibiremos un webhook shop/redact y lo procesaremos como se describe arriba.

(d) Subencargados utilizados para los datos de Shopify. Una lista actualizada está disponible previa solicitud a privacy@adv.design.

14. Divulgaciones de la Amazon Selling Partner API

Si usted conecta una cuenta de vendedor de Amazon a Galactic Orders a través de la Amazon Selling Partner API («SP-API»), se aplican las siguientes divulgaciones adicionales. Estas divulgaciones se realizan de conformidad con la Amazon Acceptable Use Policy y la Amazon Data Protection Policy («DPP»).

(a) Datos que recibimos de Amazon. Con su autorización (otorgada mediante la pantalla de consentimiento OAuth de Login with Amazon al momento en que usted instala o conecta Galactic Orders), recibimos de la SP-API las siguientes categorías de datos: identificadores de la cuenta de vendedor, participaciones en marketplaces, metadatos de la tienda y de la marca, datos de publicaciones y catálogo, datos de inventario, datos de pedidos (incluidos identificadores de pedido, líneas de pedido, cantidades, precios, impuestos, opciones de envío y estado del pedido), datos de cumplimiento, datos de devoluciones y reembolsos, datos de eventos financieros y — cuando esté autorizado bajo el rol Direct-to-Consumer Shipping — información del comprador necesaria para enviar un pedido, incluidos el nombre del comprador, la dirección de envío, el correo electrónico del comprador (anonimizado por Amazon cuando corresponda) y el número de teléfono del comprador. No solicitamos ni usamos datos de Amazon para ningún propósito distinto de prestar el Servicio al que usted conectó la cuenta.

(b) Limitación de la finalidad. La información de pedidos y compradores de Amazon se usa únicamente para (i) importar a Galactic Orders los pedidos no enviados gestionados por el comerciante, (ii) enrutar las líneas de pedido a los almacenes y transportistas configurados en su cuenta, (iii) generar etiquetas de envío y producir confirmaciones de envío, y (iv) enviar de vuelta a Amazon las actualizaciones de envío, cancelación y reembolso. No usamos datos de Amazon para publicidad, retargeting, elaboración de perfiles, reventa, intercambio con intermediarios de datos ni entrenamiento de modelos de IA generativa, y no los usamos para competir contra Amazon ni contra su propio negocio.

(c) Restricted Data Token. Cuando la SP-API requiere un Restricted Data Token («RDT») para acceder a información de identificación personal (PII) de los compradores, solicitamos un token limitado únicamente a los elementos de datos específicos requeridos para completar la llamada, lo mantenemos en memoria por no más del tiempo de vida del token de la SP-API y nunca lo registramos ni lo persistimos.

(d) Retención de PII de Amazon. La información de identificación personal de los compradores recibida de Amazon se retiene solo el tiempo necesario para cumplir, enviar, entregar y dar soporte al pedido relacionado, y se elimina o desidentifica automáticamente de nuestros sistemas activos y analítica a más tardar treinta (30) días después de que el pedido haya sido enviado, salvo cuando la ley aplicable exija un período más largo (por ejemplo, obligaciones fiscales, contables, de auditoría o de defensa legal). Las copias de seguridad cifradas se sobrescriben según un calendario continuo.

(e) Cifrado y control de acceso. Los tokens de actualización de la SP-API de Amazon, los tokens de acceso, los RDT y cualquier PII de compradores persistida se cifran en reposo utilizando criptografía estándar de la industria (AES-256). Las claves de cifrado se gestionan en un sistema dedicado de gestión de claves con acceso restringido al personal con necesidad de conocerlas. Todo acceso a datos de Amazon se registra y se revisa.

(f) Subencargados utilizados para los datos de Amazon. Los datos de pedidos de Amazon son procesados por nuestros proveedores de alojamiento en la nube y de bases de datos, nuestras integraciones con transportistas (cuando los datos de envío se reenvían para producir etiquetas) y nuestros proveedores de seguimiento de errores y observabilidad (con los campos de PII eliminados). Una lista actualizada de subencargados está disponible previa solicitud a privacy@adv.design.

(g) Desconexión. Usted puede revocar el acceso de Galactic Orders a su cuenta de vendedor de Amazon en cualquier momento desde su cuenta de Seller Central, en Apps and Services, o desde la página de Integraciones del panel de Galactic Orders. Tras la desconexión, eliminaremos o desidentificaremos los datos personales provenientes de Amazon dentro de los treinta (30) días, sujeto a las excepciones legales de retención y al límite de treinta días posteriores al envío descrito en (d).

(h) Notificación de incidentes de seguridad. En caso de un incidente de seguridad que afecte datos provenientes de Amazon, notificaremos al equipo de respuesta a incidentes de seguridad de Amazon (Security Incident Response Team) dentro de las veinticuatro (24) horas posteriores a la detección, además de cualquier notificación requerida a usted y a las autoridades de protección de datos según la ley aplicable.

15. Procesamiento de pagos

Las tarifas de suscripción son procesadas por procesadores de pagos externos. No recopilamos ni almacenamos números completos de tarjetas de pago. La recopilación, el uso y la protección de su información de pago por parte del procesador de pagos se rigen por su propia política de privacidad, que le recomendamos encarecidamente revisar. No somos responsables de los actos, omisiones, errores, incumplimientos o fallas de ningún procesador de pagos.

16. Integraciones de envío & logística

Cuando usted conecta un transportista o un proveedor de cumplimiento, transmitimos los datos de dirección y de pedido necesarios para generar etiquetas, rastrear envíos y actualizar el estado de cumplimiento. El tratamiento de esos datos por parte del transportista o proveedor se rige por sus propios términos y su propia política de privacidad. No somos responsables de las prácticas de ningún tercero de este tipo.

17. Toma de decisiones automatizada

No llevamos a cabo toma de decisiones automatizada, incluida la elaboración de perfiles, que produzca efectos jurídicos sobre usted o que le afecte de manera igualmente significativa, salvo los controles de rutina de prevención del fraude y de seguridad, revisables por nuestro personal previa solicitud.

18. Do Not Track

Nuestro Servicio no responde actualmente a las señales «Do Not Track» de los navegadores. Tratamos a todos los usuarios de manera uniforme de conformidad con esta Política.

19. Enlaces de terceros

El Servicio puede contener enlaces a sitios web, servicios o recursos de terceros que no controlamos. No somos responsables del contenido, las prácticas de privacidad ni la seguridad de ningún sitio o servicio de terceros. La inclusión de cualquier enlace no constituye un respaldo.

20. Cambios a esta Política

Podemos actualizar esta Política de privacidad periódicamente a nuestra entera discreción. La «Fecha de entrada en vigor» en la parte superior refleja la revisión más reciente. Los cambios sustanciales se comunicarán por medios razonables (como correo electrónico o un aviso dentro del Servicio). Su uso continuado del Servicio después de la Fecha de entrada en vigor constituye la aceptación de la Política actualizada.

21. Contáctenos

Para preguntas, solicitudes o reclamaciones relacionadas con esta Política o nuestras prácticas de datos:

Galactic Orders by ADV Design
Privacidad & cumplimiento
Privacidad general: privacy@adv.design
Delegado de protección de datos (cuando esté designado): dpo@adv.design
Legal: legal@adv.design

Las personas del EEE o el Reino Unido también pueden presentar una reclamación ante su autoridad local de supervisión de protección de datos. Los residentes de California pueden contactar a la California Privacy Protection Agency o al Fiscal General de California.

22. Divisibilidad y no renuncia

Si alguna disposición de esta Política es declarada inválida o inaplicable por un tribunal competente, dicha disposición se aplicará en la máxima medida permitida y las disposiciones restantes permanecerán en pleno vigor y efecto. El hecho de que no hagamos cumplir alguna disposición no constituye una renuncia a nuestro derecho de hacerlo más adelante.

23. Idioma

Esta Política está redactada en inglés. Las traducciones se ofrecen para que usted pueda leerla en su propio idioma; en caso de conflicto o discrepancia entre la versión en inglés y una traducción, la versión en inglés es el texto de referencia. Esto no limita ningún derecho que usted tenga, conforme a la legislación aplicable, a recibir información en su propio idioma.

Al usar Galactic Orders, usted reconoce que ha leído, comprendido y aceptado esta Política de privacidad en su totalidad.