Política de privacidad

Esta Política de privacidad («Política») describe cómo Shaolin Toys («nosotros», «nuestro», la «Marca») recopila, usa, comparte y protege la información personal cuando visitas nuestro sitio web https://shaolin.toys, realizas un pedido, usas nuestra aplicación móvil independiente o interactúas con nuestro bot de Telegram @ShaolinToysBot (colectivamente, los «Servicios»).

Esta Política está diseñada para cumplir con:

• El Reglamento General de Protección de Datos de la UE (RGPD) y la Directiva ePrivacy;
• El Reglamento General de Protección de Datos del Reino Unido (UK GDPR) y PECR;
• La Ley de Privacidad del Consumidor de California, modificada por la CPRA y la Delete Act (SB 362);
• Las leyes de protección de datos aplicables de otras jurisdicciones donde ofrecemos nuestros Servicios.

Al usar los Servicios, reconoces que has leído y comprendido esta Política.

2.1. Para clientes del Espacio Económico Europeo (EEE) y Suiza: El responsable del tratamiento es [Legal Entity Name], sociedad constituida en [Jurisdiction], con domicilio en [Registered Address]. De conformidad con el artículo 27 del RGPD, hemos designado al siguiente Representante en la UE:

• Representante en la UE: [EU Representative Company Name]
• Dirección: [dirección en un Estado miembro de la UE donde se encuentren nuestros clientes]
• Correo: [correo de contacto del representante en la UE]
• Función: las autoridades de control y los interesados pueden dirigirse al Representante en la UE, además o en lugar del responsable, en todas las cuestiones relacionadas con el tratamiento conforme al RGPD.

2.2. Para clientes del Reino Unido: De conformidad con el artículo 27 del UK GDPR, nuestro Representante en el Reino Unido es:

• Representante en el Reino Unido: [UK Representative Company Name]
• Dirección: [dirección en el Reino Unido]
• Correo: [correo de contacto del representante en el Reino Unido]

2.3. Para clientes de California (EE. UU.): La empresa responsable de la información personal conforme a la CCPA/CPRA es [Legal Entity Name]. Consulta la sección 9 para los derechos específicos de California.

2.4. Para clientes de la Federación Rusa: El tratamiento de datos se rige por la Política de privacidad en ruso disponible en /ru/privacy, operada por el empresario individual Samokhin Igor Vladimirovich (INN 632138378940).

2.5. Canales generales de contacto:

• Consultas de privacidad y protección de datos: legal@shaolin.toys
• Atención al cliente: support@shaolin.toys
• Delegado de Protección de Datos (si aplica): dpo@shaolin.toys
• Sitio web: https://shaolin.toys

3.1. Información que proporcionas directamente:

• Nombre y apellidos y dirección de envío.
• Dirección de correo electrónico y número de teléfono.
• Información de facturación necesaria para procesar el pago (procesada por nuestros proveedores de pago con licencia; no almacenamos números completos de tarjeta).
• Contenido de las comunicaciones cuando contactas con nuestro equipo de soporte.
• Credenciales de cuenta si decides crear una cuenta para el Digital Companion.

3.2. Información recopilada automáticamente:

• Dirección IP (anonimizada para analítica donde lo exija la legislación local).
• Tipo de dispositivo, sistema operativo, tipo y versión del navegador.
• Identificadores de cookies y de sesión (ver sección 11).
• Páginas vistas, tiempo de permanencia, fuente de referencia y patrones generales de navegación.

3.3. Información relacionada con el producto:

• Identificador único del pedido.
• Estado de activación del código criptográfico QR/HMAC integrado en la suela de tu figura (activado / no activado).
• Estado de progresión del Digital Companion (nivel, funciones desbloqueadas), almacenado localmente en tu dispositivo y sincronizado opcionalmente con tu cuenta con tu consentimiento.

3.4. Información que NO recopilamos:

• Direcciones de monederos de criptomonedas, claves privadas, frases semilla o hashes de transacciones blockchain. Shaolin Toys no acepta pagos en criptomonedas ni opera servicios basados en blockchain en esta tienda.
• Datos biométricos, información de salud, origen racial o étnico, opiniones políticas, creencias religiosas, orientación sexual o afiliación sindical.
• Números de cuentas financieras más allá de lo que gestionan transitoriamente nuestros procesadores de pago conformes con PCI DSS.

Tratamos la información personal solo para fines determinados, explícitos y legítimos. La base legal de cada actividad de tratamiento es la siguiente:

4.1. Cumplimiento y entrega del pedido (ejecución de un contrato): para procesar tu pedido, fabricar el producto bajo demanda, organizar el envío y gestionar devoluciones. Base legal: art. 6.1.b) RGPD; equivalente bajo UK GDPR; finalidad comercial de California bajo CCPA.

4.2. Procesamiento de pagos (ejecución de un contrato y obligación legal): para cobrar tu método de pago y emitir recibos fiscales donde lo exija la ley local. Base legal: art. 6.1.b) y 6.1.c) RGPD.

4.3. Atención al cliente (interés legítimo y contrato): para responder a tus consultas y resolver disputas. Base legal: art. 6.1.b) y 6.1.f) RGPD. Nuestro interés legítimo es mantener la calidad de los Servicios y resolver los problemas de los clientes.

4.4. Activación del Digital Companion (ejecución de un contrato): para autenticar tu figura mediante el código QR de la suela y activar tu Digital Companion. Base legal: art. 6.1.b) RGPD.

4.5. Creación opcional de cuenta (consentimiento): para sincronizar tu Digital Companion entre dispositivos. El tratamiento se basa únicamente en tu consentimiento explícito (art. 6.1.a) RGPD), que puedes retirar en cualquier momento.

4.6. Comunicaciones de marketing (consentimiento): solo si aceptas expresamente. Puedes retirar el consentimiento en cualquier momento mediante el enlace de baja de cada correo. Base legal: art. 6.1.a) RGPD; Directiva ePrivacy para el marketing directo electrónico.

4.7. Seguridad, prevención del fraude y cumplimiento legal (interés legítimo y obligación legal): para proteger nuestros Servicios frente a abusos, fraude y accesos no autorizados. Base legal: art. 6.1.c) y 6.1.f) RGPD.

4.8. Analítica anonimizada (interés legítimo): para mejorar nuestros Servicios a partir de datos de uso agregados y no identificables. Base legal: art. 6.1.f) RGPD. Se aplica anonimización de IP donde se requiere.

La función Digital Companion de nuestra aplicación móvil puede incorporar componentes algorítmicos o de IA generativa para personalizar interacciones, generar respuestas del personaje y adaptar la progresión. A partir del 2 de agosto de 2026, y conforme al artículo 50 del Reglamento de IA de la UE, divulgamos lo siguiente:

• Estás interactuando con un personaje digital asistido por IA, no con un humano.
• Ciertos diálogos, reacciones y sugerencias de progresión se generan algorítmicamente.
• El sistema de IA se usa solo para entretenimiento e interacción; no ofrece asesoramiento médico, financiero, legal ni profesional.
• Ninguna salida generada por la IA del Digital Companion tiene efectos financieros, legales ni consecuencias en el mundo real.
• Puedes desactivar las funciones asistidas por IA en los ajustes de la app en cualquier momento sin perder el acceso a la verificación de tu figura ni a tu cuenta.

El Digital Companion no está clasificado como sistema de IA de alto riesgo según el Reglamento de IA. Mantenemos registros de transparencia y de versiones según lo requerido.

6.1. Categorías de destinatarios: Compartimos información personal solo con las siguientes categorías de proveedores de servicios, cada uno bajo un acuerdo escrito de tratamiento de datos:

• Procesadores de pago con licencia: solo identificador del pedido e importe de la transacción. Los datos de la tarjeta los gestiona directamente el procesador bajo PCI DSS.
• Transportistas (DHL, FedEx, UPS, servicios postales locales): nombre, teléfono, dirección de envío.
• Alojamiento e infraestructura en la nube (servidores ubicados en la UE, el Reino Unido u otras jurisdicciones aprobadas según corresponda).
• Proveedores de correo transaccional y mensajería (SMTP, SMS): correo/teléfono y contenido de la notificación.
• Plataformas de atención al cliente: contenido de los tickets.
• Proveedores de analítica (con anonimización de IP habilitada donde se requiera).

No vendemos, alquilamos, intercambiamos ni transferimos de otro modo tu información personal a brokers de datos, redes publicitarias o agregadores de marketing.

6.2. Transferencias internacionales: Cuando la información personal de residentes del EEE, el Reino Unido o Suiza se transfiere a un país fuera del EEE/Reino Unido sin decisión de adecuación, nos apoyamos en una de las siguientes garantías:

• Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea y la ICO del Reino Unido, según corresponda;
• Decisiones de adecuación (p. ej., el EU-US Data Privacy Framework cuando aplique);
• Consentimiento explícito, cuando no exista otra garantía disponible y la transferencia sea ocasional.

Puedes solicitar una copia de las SCC aplicables en legal@shaolin.toys.

Conservamos la información personal solo el tiempo necesario para los fines indicados en la sección 4:

• Registros de pedidos y envíos: durante el periodo exigido por la legislación fiscal y mercantil aplicable en la jurisdicción de la entidad vendedora (normalmente 6–10 años).
• Correspondencia de soporte: 3 años tras la última interacción, salvo que la ley exija un plazo mayor.
• Datos de cuenta: mientras la cuenta esté activa; se eliminan en un plazo de 30 días tras el cierre de la cuenta o la retirada del consentimiento, sujeto a obligaciones legales de conservación.
• Registros de consentimiento de marketing: 3 años tras la última interacción, según las mejores prácticas de ePrivacy.
• Identificadores de cookies: no más de 12 meses para cookies analíticas y la duración de la sesión para las estrictamente necesarias.
• Registros de activación phygital: el estado de activación del código QR se conserva durante la vida de tu cuenta para evitar activaciones duplicadas y fraude; se elimina al cerrar la cuenta.

Al expirar el periodo de conservación, los datos se eliminan de forma segura o se anonimizan irreversiblemente.

Según tu jurisdicción, puedes tener los siguientes derechos. Para ejercer cualquiera de ellos, escribe a legal@shaolin.toys. Respondemos en 30 días (RGPD: 1 mes, ampliable 2 meses para solicitudes complejas; CCPA: 45 días, ampliables otros 45).

8.1. Derechos RGPD y UK GDPR (EEE, Reino Unido, Suiza):

• Derecho de acceso (art. 15).
• Derecho de rectificación (art. 16).
• Derecho de supresión / «derecho al olvido» (art. 17).
• Derecho a la limitación del tratamiento (art. 18).
• Derecho a la portabilidad de los datos (art. 20).
• Derecho de oposición al tratamiento, incluida la elaboración de perfiles (art. 21).
• Derecho a retirar el consentimiento en cualquier momento, sin afectar la licitud del tratamiento previo a la retirada (art. 7.3).
• Derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado con efectos jurídicos o similares (art. 22). El Digital Companion no toma tales decisiones.
• Derecho a presentar una reclamación ante tu autoridad de control local (lista de autoridades de la UE en https://edpb.europa.eu; la autoridad del Reino Unido es la ICO, https://ico.org.uk).

8.2. Derechos de residentes de otros estados de EE. UU. (Colorado, Virginia, Connecticut, Utah, Texas, Oregón y otros con leyes de privacidad vigentes): donde aplique, tienes derecho a acceder, corregir, eliminar y obtener una copia portable de tu información personal, así como a oponerte a la venta de información personal y a la publicidad dirigida. Shaolin Toys no vende información personal.

Si resides en California, se aplican las siguientes divulgaciones adicionales.

9.1. Categorías de información personal recopilada en los últimos 12 meses:

• Identificadores (nombre, correo, teléfono, dirección de envío, IP).
• Información comercial (historial de pedidos).
• Actividad en internet (patrones de navegación en nuestro sitio).
• Inferencias (limitadas a preferencias de producto derivadas de la navegación).

9.2. Categorías de fuentes: tú directamente, automáticamente a través del sitio, y nuestros socios de pago y envío.

9.3. Finalidades comerciales: cumplimiento de pedidos, atención al cliente, cumplimiento legal, seguridad y (con consentimiento) marketing.

9.4. Categorías de terceros con quienes compartimos información: procesadores de pago, transportistas, proveedores de alojamiento, servicios de correo/SMS y proveedores de analítica — cada uno para los fines de la sección 6.1.

9.5. Venta o compartición de información personal: No vendemos información personal y no la compartimos para publicidad conductual entre contextos según define la CCPA/CPRA.

9.6. Tus derechos en California:

• Derecho a saber qué información personal recopilamos, usamos y divulgamos.
• Derecho a eliminar la información personal que recopilamos de ti, con las excepciones legales.
• Derecho a corregir información personal inexacta.
• Derecho a oponerte a la venta o compartición de información personal (no aplicable, pues no vendemos ni compartimos).
• Derecho a limitar el uso de información personal sensible (no recopilamos categorías sensibles).
• Derecho a la no discriminación por ejercer tus derechos.

9.7. California Delete Act (SB 362): Desde el 1 de enero de 2026, California opera un mecanismo centralizado de eliminación para brokers de datos (DROP). Shaolin Toys no cumple la definición legal de «data broker» porque recopilamos la información directamente de los consumidores en el contexto de una venta. Si crees que deberíamos estar registrados como broker de datos, escribe a legal@shaolin.toys.

9.8. Agentes autorizados: Puedes designar a un agente autorizado para presentar solicitudes en tu nombre aportando un poder firmado o autorización escrita y verificando tu identidad.

9.9. Para ejercer tus derechos de California: envía un correo a legal@shaolin.toys con el asunto «California Privacy Request». Verificaremos tu identidad antes de procesar la solicitud.

9.10. Incentivos financieros: No ofrecemos incentivos financieros a cambio de información personal.

9.11. Shine the Light (Código Civil de California § 1798.83): Los residentes de California con una relación comercial existente con nosotros pueden solicitar información sobre cómo hemos compartido información personal con terceros para su marketing directo en el año natural anterior. No hemos realizado tales divulgaciones.

Los productos de Shaolin Toys son objetos de arte de colección clasificados 14+, no juguetes infantiles. No están destinados a menores de 16 años (o de 13 en jurisdicciones como EE. UU. bajo COPPA). No recopilamos conscientemente información personal de menores por debajo del umbral de edad aplicable. Si crees que hemos recopilado dicha información por error, escribe a legal@shaolin.toys y la eliminaremos sin demora.

Solo pueden realizar pedidos personas de 18 años o más, o menores con el consentimiento verificable de un padre o tutor legal.

11.1. Cookies estrictamente necesarias: mantienen tu sesión, aseguran el checkout y previenen el fraude. No pueden desactivarse sin romper el sitio.

11.2. Cookies funcionales: recuerdan tus preferencias de idioma y región.

11.3. Cookies analíticas: miden el rendimiento del sitio de forma agregada y anonimizada. La anonimización de IP está habilitada para visitantes del EEE y el Reino Unido.

11.4. Cookies de marketing y publicidad: solo con tu consentimiento previo y explícito. No usamos redes de publicidad conductual de terceros en shaolin.toys.

11.5. Consentimiento: En tu primera visita desde el EEE, el Reino Unido u otras jurisdicciones que exijan consentimiento opt-in, se te mostrará un banner de cookies que permite aceptar, rechazar o personalizar categorías. No se usan casillas premarcadas ni dark patterns, conforme a las Directrices 05/2020 del EDPB y la práctica de aplicación de 2026.

11.6. Gestión de cookies: Puedes cambiar tus preferencias en cualquier momento mediante el enlace «Cookie Settings» del pie de página o los ajustes de tu navegador.

Aplicamos medidas técnicas y organizativas apropiadas para proteger la información personal, entre ellas:

• Cifrado TLS 1.2/1.3 para datos en tránsito (HTTPS).
• Cifrado en reposo para campos sensibles.
• Controles de acceso basados en roles y privilegios mínimos.
• Actualizaciones de seguridad y parcheo de vulnerabilidades periódicos.
• Registro y monitorización de accesos y eventos de seguridad.
• Procesamiento de pagos conforme a PCI DSS mediante procesadores certificados — no almacenamos datos de tarjetas en nuestros servidores.
• Revisiones de seguridad periódicas de los proveedores de servicios.

Ningún sistema es completamente seguro. Aunque tomamos precauciones razonables, no podemos garantizar una seguridad absoluta.

13.1. Código criptográfico QR/HMAC en la suela: Cada figura de Shaolin Toys lleva un código criptográfico QR/HMAC único integrado directamente en la suela. Escanear este código en nuestra app móvil o bot de Telegram verifica la autenticidad y activa tu Digital Companion. Este código es un certificado de autenticidad y una llave de acceso — no es una criptomoneda, un NFT ni un instrumento financiero.

13.2. Activación y vinculación a la cuenta: Una vez escaneado, el código queda permanentemente vinculado a tu dispositivo y (opcionalmente) a tu cuenta. Esta vinculación es esencial para prevenir el fraude y no puede restablecerse. En consecuencia, una figura activada no puede devolverse bajo nuestra política estándar de devoluciones — consulta la página de devoluciones para los términos completos.

13.3. Minimización de datos del Digital Companion: El Digital Companion puede usarse completamente en local en tu dispositivo. Crear una cuenta y sincronizar el progreso con nuestros servidores es opcional y requiere tu consentimiento explícito.

Podemos actualizar esta Política ocasionalmente. La fecha de «Última actualización» en la parte superior refleja la fecha de entrada en vigor de la versión actual. Cuando los cambios afecten sustancialmente al tratamiento de tu información personal (nuevos fines, nuevas categorías de destinatarios, nuevos mecanismos de transferencia internacional), haremos lo siguiente:

• Publicar la Política revisada en esta página;
• Notificar a los usuarios registrados por correo al menos 14 días antes de que los cambios surtan efecto;
• Cuando la ley lo exija, solicitar un consentimiento renovado antes de aplicar el nuevo tratamiento.

El uso continuado de los Servicios tras la fecha de entrada en vigor de la Política revisada constituye la aceptación de los cambios.

15.1. Para todas las consultas, solicitudes y reclamaciones de privacidad:

• Correo: legal@shaolin.toys
• Dirección postal: [Legal Entity Name], [Registered Address]

15.2. Representante en la UE (art. 27 RGPD):

• Nombre: [EU Representative Company Name]
• Dirección: [dirección en un Estado miembro de la UE donde se encuentren nuestros clientes]
• Correo: [correo de contacto del representante en la UE]

15.3. Representante en el Reino Unido (art. 27 UK GDPR):

• Nombre: [UK Representative Company Name]
• Dirección: [dirección en el Reino Unido]
• Correo: [correo de contacto del representante en el Reino Unido]

15.4. Autoridades de control ante las que puedes reclamar:

• Espacio Económico Europeo: la autoridad de control de tu país de residencia (lista en https://edpb.europa.eu/about-edpb/about-edpb/members_en).
• Reino Unido: Information Commissioner's Office (ICO), https://ico.org.uk/make-a-complaint.
• California: California Privacy Protection Agency (CPPA), https://cppa.ca.gov.
• Otros estados de EE. UU.: el fiscal general de tu estado de residencia.