Política de privacidad

1. Responsable del tratamiento

• Responsable: Juan Pérez Nievas
• NIF/CIF: 78761412M
• Domicilio: Reyes Católicos 30 Vitoria-Gasteiz
• Contacto: cannapostpv@gmail.com

2. Datos que tratamos

• Registro y cuenta: nombre, email y contraseña (almacenada cifrada con hash).
• Datos de la empresa cliente: nombre/razón social, NIF/CIF, dirección, teléfono y email.
• Facturación y pagos: plan contratado e historial de pagos (los datos de la tarjeta los trata directamente el proveedor de pago, no se almacenan en nuestros servidores).
• Datos de uso: registros técnicos, dispositivo, dirección IP y métricas de uso para seguridad y mejora del servicio.
• Asistente de ayuda: si tu plan lo incluye, las preguntas que escribes al asistente de ayuda de la aplicación, la pantalla en la que estabas y tu valoración de las respuestas. Las responde un proveedor de inteligencia artificial (OpenAI) que no recibe los datos de tu tienda.
• Datos gestionados por el cliente: ventas, productos y clientes que cada organización introduce en la plataforma (ver apartado 7).

3. Finalidades y base jurídica

• Prestar el servicio y gestionar tu cuenta — ejecución del contrato (art. 6.1.b RGPD).
• Procesar pagos y suscripciones — ejecución del contrato y obligación legal (facturación).
• Soporte y comunicaciones del servicio — ejecución del contrato e interés legítimo.
• Seguridad, prevención del fraude y mejora del producto — interés legítimo (art. 6.1.f).
• Cumplimiento de obligaciones legales (fiscales, contables) — art. 6.1.c.

4. Conservación

Conservamos los datos mientras exista la relación contractual y, una vez finalizada, durante los plazos legalmente exigibles (p. ej. obligaciones fiscales y contables), tras lo cual se suprimen o anonimizan.

Asistente de ayuda. Las conversaciones con el asistente se borran a los 30 días.

Cuentas gratuitas sin actividad. Para no conservar datos que nadie utiliza, las cuentas del plan Basic gratuito sin ningún pago en curso que pasan 30 días sin actividad se desactivan, con avisos previos por correo electrónico a los 15 y a los 25 días sin uso. Los datos de una cuenta desactivada se conservan 30 días más, durante los cuales el administrador puede reactivarla o descargarlos; transcurrido ese plazo, con un último aviso 5 días antes, se suprimen los datos del negocio (clientes, productos, promociones, proveedores…) y la cuenta queda cerrada.No se borran los tickets y facturas emitidos, sus líneas, las devoluciones ni la caja, que la ley obliga a conservar durante seis años (Código de Comercio, art. 30; Real Decreto 1619/2012, art. 19; Ley General Tributaria, arts. 29 y 66): se guardan bloqueados y sin el vínculo con los clientes borrados. También se conserva el registro mínimo de la cuenta y de su auditoría. Lo mismo ocurre cuando una tienda usa la opción «Borrar todos los datos».

5. Destinatarios y encargados del tratamiento

No vendemos tus datos. Para prestar el servicio recurrimos a proveedores que actúan como encargados del tratamiento, con los que se han suscrito los correspondientes contratos:

• Hostinger (Hostinger International Ltd. / Hostinger operations, UAB) — Alojamiento de la aplicación y de la base de datos (servidor privado virtual, VPS). (Unión Europea)
• Stripe Payments Europe, Ltd. — Cobro de las suscripciones de la tienda a Canna POS. (Unión Europea; Stripe, Inc. (EE. UU.) con cláusulas contractuales tipo)
• Resend, Inc. — Envío de correo electrónico transaccional (avisos de cuenta, facturas, presupuestos, tarjetas de cliente). (EE. UU., con cláusulas contractuales tipo)
• Brevo (Sendinblue SAS) — Envío de correo electrónico. (Unión Europea (Francia))
• Apple Inc. (Apple Wallet y servicio de notificaciones push) — Tarjetas de fidelización en Apple Wallet y avisos de actualización a los dispositivos de los clientes (sólo si la tienda activa la función). (EE. UU. y otros países donde opera Apple, con las garantías propias de Apple)
• Telegram (Telegram Messenger Inc.) — Avisos internos del equipo de Canna POS (altas, incidencias técnicas, resúmenes). (Fuera del Espacio Económico Europeo)
• Anthropic, PBC — Redacción asistida de los artículos del blog público de Canna POS. (EE. UU., con cláusulas contractuales tipo)
• OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C.) — Asistente de ayuda dentro de la aplicación (dudas de uso de Canna POS) y redacción asistida de los artículos del blog público. (EE. UU., con cláusulas contractuales tipo)
• Google (Google Ireland Ltd. / Google LLC) — Correo electrónico del equipo de Canna POS (buzón de soporte y envío de reserva). (Unión Europea y EE. UU., con cláusulas contractuales tipo)
• Functional Software, Inc. (Sentry) — Monitorización técnica y registro de errores de la aplicación. (UE / EE. UU., con cláusulas contractuales tipo)

6. Transferencias internacionales

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. En tales casos, las transferencias se amparan en garantías adecuadas (cláusulas contractuales tipo de la Comisión Europea u otros mecanismos válidos del RGPD).

7. Datos de tus clientes (rol de encargado)

Respecto a los datos que tu organización introduce en la plataforma sobre sus propios clientes y ventas, tú eres el responsable del tratamiento y Canna POS actúa como encargado, tratándolos únicamente según tus instrucciones y para prestarte el servicio. Las condiciones de este encargo están en el Contrato de encargo del tratamiento, que forma parte de los Términos y Condiciones, e incluyen la lista de subencargados. Los derechos de tus clientes (acceso, rectificación, supresión…) los atiendes tú; la plataforma te da herramientas para ello, como «Suprimir datos (RGPD)» en la ficha del cliente.

7 bis. Control horario (plan Enterprise)

Si tu organización activa el control horario, cada fichaje guarda la hora (la del servidor), la tienda, la dirección IP y el navegador o dispositivo desde el que se ficha. No se guarda la ubicación GPS. Es un tratamiento que tu organización realiza como responsable, por obligación legal (art. 34.9 del Estatuto de los Trabajadores), y Canna POS actúa como encargado. Antes del primer fichaje se muestra a cada persona un aviso informativo (art. 13 RGPD). Los fichajes originales no se modifican ni se borran: las correcciones se añaden con su autor, fecha y motivo, y la persona las ve en su jornada. Se conservan al menos 4 años y después se suprimen automáticamente; mientras tanto no se pueden borrar, por lo que un usuario o trabajador con fichajes se desactiva en vez de eliminarse.

8. Tus derechos

Puedes ejercer en cualquier momento los derechos de:

• Acceso, rectificación y supresión.
• Limitación y oposición al tratamiento.
• Portabilidad de tus datos.
• Retirar el consentimiento prestado, sin efectos retroactivos.

Para ejercerlos, escribe a cannapostpv@gmail.com. Si consideras que tus derechos no se han atendido, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

9. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas (cifrado en tránsito, control de acceso por roles, copias de seguridad y registros de auditoría) para proteger los datos frente a accesos no autorizados, pérdida o alteración.

10. Cookies

Utilizamos únicamente cookies necesarias para el funcionamiento. Consulta los detalles en nuestra Política de Cookies.