Política de privacidad

El responsable del tratamiento en el sentido de la nLPD y del artículo 4 del RGPD es Weared, una entidad establecida en Suiza (identidad y dirección: aviso legal). Para cualquier pregunta, ejercicio de derechos o incidente relativo a tus datos: contact@weared.ch. Hasta la fecha no se ha designado ningún delegado de protección de datos ni ningún representante en Suiza o en la UE.

Las solicitudes se tramitan dentro de los plazos legales (30 días según la nLPD, 1 mes según el RGPD), en francés, alemán, italiano o inglés, sin que sea necesario justificar el ejercicio de un derecho.

Limitamos la recogida a lo estrictamente necesario:

• Datos de registro: seudónimo, dirección de contacto confidencial, identificadores técnicos, huella técnica del navegador calculada en el registro (antifraude);
• Datos de verificación: prueba de edad e identidad de las vendedoras, declaración de mayoría de edad de los compradores (véase la página Verificación);
• Datos de transacción: historial de pedidos, referencias de pago (Lightning, o Stripe para las tarjetas), información de envío — punto de recogida, o nombre y dirección postal si eliges la entrega a domicilio; en una compra sin cuenta: correo electrónico, declaración de mayoría de edad y dirección de entrega;
• Datos técnicos: registros de conexión necesarios para la seguridad;
• Cuenta de Instagram declarada: si participas en la oferta de redes sociales, el nombre de usuario de Instagram que declaras se registra en tu cuenta. Vincula tu seudónimo de Weared con una identidad pública real: la declaración es voluntaria y puedes solicitar su eliminación en cualquier momento;
• Capturas de pantalla aportadas como prueba: las que adjuntas a esa misma oferta (perfil, historia, publicación compartida) pueden mostrar tu cuenta, tus seguidores y, a veces, conversaciones privadas. El sitio no las publica ni las sirve: se almacenan fuera de la carpeta pública y solo el equipo de moderación puede consultarlas.

Lo que nos confías aquí —tus anuncios, tus preferencias, tus conversaciones, tus compras— puede revelar elementos de tu esfera privada e íntima. La nLPD (art. 5, letra c) y las categorías especiales del artículo 9 del RGPD clasifican esta información como datos sensibles y le conceden el máximo nivel de protección. Su tratamiento se basa en tu consentimiento explícito (art. 6, apdo. 7, letra a, nLPD). No te lo pedimos al registrarte: en ese momento todavía no nos has confiado nada, y una casilla obligatoria para entrar no sería una elección. Lo recogemos cuando el tratamiento empieza de verdad —en el momento de la verificación de identidad y cuando publicas un anuncio— y conservamos su fecha y la versión del texto aceptado, para saber a qué dijiste que sí. Lo retiras eliminando tu cuenta, en cualquier momento, sin necesidad de justificarte.

Nunca deducimos, enriquecemos ni compartimos estos datos con fines de elaboración de perfiles publicitarios. Sirven únicamente para la prestación del servicio y para el cumplimiento de nuestras obligaciones legales.

Tus datos se tratan para: llevar a cabo la puesta en contacto y la transacción; enmarcar el pago directo entre miembros y el envío neutro; verificar la edad y la identidad; prevenir el fraude, los abusos y la trata; cumplir nuestras obligaciones legales suizas.

Las bases jurídicas son, según el caso, la ejecución del contrato, el consentimiento explícito para los datos sensibles, la obligación legal y el interés legítimo en la seguridad de la casa.

Por diseño, los miembros solo se conocen por su seudónimo. Por defecto, el envío a un punto de recogida PickPost o a un casillero My Post 24 y el uso sistemático de seudónimos hacen que ni la vendedora ni el comprador accedan a los datos del otro; si el comprador elige la entrega a domicilio, la vendedora recibe el nombre y la dirección que este ha indicado para el envío. Weared actúa como una cortina discreta entre las partes.

Directorio de miembros. Los miembros Pro y Max pueden consultar una lista de miembros del otro lado (las vendedoras ven a los compradores, los compradores ven a las vendedoras) para iniciar una conversación en la plataforma. Esta lista solo muestra el nombre de usuario, el avatar, el país, las insignias (identidad verificada, plan de suscripción), el número de compras o ventas completadas, el número de anuncios publicados y una indicación de actividad reciente —nunca una dirección de correo electrónico, una dirección postal ni un historial—. Cualquier miembro puede salir del directorio en cualquier momento desde su configuración: deja de aparecer en él y nadie puede iniciar una conversación con ese miembro desde el directorio.

Tus datos solo se comparten con los proveedores estrictamente necesarios. Los nombramos a todos, con su función y su país:

• Didit (Didit Protocol, España — UE): verificación de identidad y de edad de las vendedoras.
• Infomaniak (Suiza): alojamiento del correo y entrega de los correos electrónicos que te enviamos o que nos envías.
• Cloudflare, Inc. (Estados Unidos): protección y distribución del sitio. Todo el tráfico pasa por este proveedor, que por tanto ve las direcciones IP y los datos enviados a través de los formularios.
• Correos suizos: entrega neutra de los paquetes.
• Stripe (Stripe Payments Europe Ltd, Irlanda — grupo Stripe, Inc., Estados Unidos): pagos con tarjeta, suscripciones y facturación. Si pagas con tarjeta, la página de pago está alojada por Stripe: tu número de tarjeta nunca pasa por nuestros servidores y nunca lo vemos. Stripe recibe tu dirección de correo electrónico, tu dirección IP, tu país y los datos de tu método de pago; solo nos devuelve el identificador de tu ficha de cliente, el estado de la suscripción, su próxima fecha de renovación, la marca de la tarjeta y sus cuatro últimos dígitos.
• Stripe Connect (misma empresa): pagos a las vendedoras que los solicitan, en su propia moneda. Si vendes y eliges cobrar en una cuenta bancaria, Stripe abre una cuenta de cobro a tu nombre y te pide, en sus propias páginas, la información que debe verificar como entidad financiera: nombre, apellidos, fecha de nacimiento, dirección, número de teléfono, documento de identidad y datos bancarios (IBAN o número de cuenta local). Weared solo transmite tu seudónimo, tu dirección de correo electrónico, tu país y la dirección de tu tienda; nunca ve ninguna de esa información y no la almacena. A cambio, solo recibe el identificador de tu cuenta de cobro, su estado de verificación y, en su caso, el motivo de un rechazo. Si sigues cobrando en bitcoin, no interviene ninguno de estos datos.
• DeepL SE (Alemania): traducción automática de los textos de los anuncios al idioma del visitante.
• GitHub, Inc. (Estados Unidos): almacenamiento de una copia de seguridad cifrada de la base de datos y de los archivos subidos.

Los pagos en cripto, por su parte, no implican a ningún proveedor externo. Todo encargado del tratamiento está sujeto a compromisos de confidencialidad y de seguridad.

Si pagas con Apple Pay o Google Pay, el proveedor de la billetera participa en la transacción según sus propias condiciones; no recibimos ningún dato de él. La tarjeta en sí funciona en la red Visa o Mastercard, que ve la transacción como cualquier otra compra.

El alojamiento y el tratamiento se realizan en Suiza, en una infraestructura gestionada por el operador del sitio. La verificación de identidad la trata Didit en la Unión Europea (con certificación ISO/IEC 27001:2022 y SOC 2, en virtud de un contrato de encargo del tratamiento): como Suiza reconoce que el EEE ofrece una protección adecuada, no se requiere ninguna garantía adicional. Detalles: aviso de privacidad de Didit. Weared no recibe ninguna copia del documento de identidad, ninguna foto ni ningún video. Nunca se transmite a Weared ningún nombre ni ninguna dirección.

Cloudflare y GitHub pueden tratar datos fuera de Suiza y de la UE. Esas transferencias se basan en las cláusulas contractuales tipo reconocidas por el Comisionado Federal de Protección de Datos y de Transparencia (art. 16 y 17 nLPD).

Contenido de terceros integrado. En la página de pago de un pedido se muestra, en un marco integrado, un widget de la plataforma de intercambio Mt Pelerin (Suiza), para que puedas comprar bitcoin sin salir del sitio. No es un encargado del tratamiento: si lo usas, tratas directamente con Mt Pelerin según sus propias condiciones. Ese marco solo se carga si haces clic en el botón «Comprar sats en CHF»; ese clic envía entonces tu dirección IP a esa empresa, antes incluso de que interactúes con el widget.

No se vende ningún dato a terceros. Solo se comunican datos en virtud de una obligación legal impuesta por una autoridad suiza competente.

Aplicamos los siguientes plazos:

• Foto del documento de identidad y video de verificación (lo que nuestro proveedor Didit llama datos biométricos en su aviso de privacidad): Weared nunca los almacena. Permanecen en Didit, donde el plazo de conservación está fijado en 1 mes, tras el cual se eliminan automáticamente de sus servidores. Los registros de auditoría de Didit (quién inició qué verificación, sin documentos) se conservan durante 365 días.
• Prueba de verificación (resultado, fecha, referencia de control, fecha de nacimiento): se conserva mientras exista la cuenta y se elimina cuando se cierra.
• Registros contables y de transacciones: 10 años, en virtud del art. 958f CO (Código de Obligaciones suizo).
• Cuenta y contenido: cuando se cierra la cuenta, el contenido se elimina y la cuenta se anonimiza; los pedidos se conservan durante 10 años (regla contable anterior) sin nombre ni dirección; las fotos de anuncios puestas en cuarentena por el equipo de moderación se borran a más tardar 12 meses después del cierre.
• Datos de audiencia (páginas vistas, huella técnica anonimizada): 30 días.
• Registro de correos enviados (destinatario, asunto, cuerpo, estado de entrega): 24 meses y, después, purga automática.
• Denuncias e informes técnicos del navegador (dirección IP, navegador): 12 meses como máximo.
• Cuenta de cobro de Stripe (vendedoras): el vínculo entre tu cuenta de Weared y tu cuenta de cobro se conserva mientras exista tu cuenta y se elimina cuando se cierra. El registro contable de la transferencia sigue la regla de los 10 años indicada más arriba. La cuenta abierta en Stripe no nos pertenece: podemos solicitar su cierre, pero la información que Stripe debe conservar por sus propias obligaciones permanece en Stripe.

Puedes solicitar en cualquier momento la eliminación anticipada de tus datos de verificación: contact@weared.ch.

De conformidad con la nLPD y el RGPD, tienes derecho de acceso, rectificación, supresión, limitación, oposición y portabilidad, así como derecho a retirar tu consentimiento en cualquier momento. Puedes ejercer estos derechos a través de los canales confidenciales del sitio.

También tienes derecho a presentar una reclamación ante el Comisionado Federal de Protección de Datos y de Transparencia (PFPDT) en Suiza o, en su caso, ante una autoridad de control de la UE.

Aplicamos medidas técnicas y organizativas adecuadas: conexiones cifradas (TLS), contraseñas con hash, copias de seguridad cifradas, acceso administrativo restringido y registro de actividad. La discreción y la minimización guían cada una de nuestras decisiones técnicas.

Cuando miembros que se encuentran en la Unión Europea acceden a la plataforma, Weared tiene la condición de servicio intermediario de alojamiento de datos en el sentido del Reglamento (UE) 2022/2065 (Reglamento de Servicios Digitales, DSA). Weared no es una plataforma en línea de muy gran tamaño (VLOP) ni un motor de búsqueda en línea de muy gran tamaño (VLOSE) en el sentido del artículo 33 del DSA, ya que su audiencia media mensual en la UE sigue muy por debajo del umbral de 45 millones de usuarios activos.

• Punto único de contacto — autoridades: contact@weared.ch, idiomas aceptados: francés, alemán, italiano, inglés (artículos 11 y 12 del DSA).
• Punto único de contacto — usuarios: contact@weared.ch.
• Representante legal en la UE (artículo 13 del DSA): hasta la fecha no se ha designado ninguno; su identidad se publicará en esta página en cuanto se designe.
• Mecanismo de notificación y acción (artículo 16 del DSA): cualquier tercero puede notificar un contenido que considere ilícito a través de contact@weared.ch o del formulario específico de la plataforma, con una descripción precisa del contenido, su ubicación (URL), los motivos de su ilicitud y los datos de contacto del notificante. Weared acusa recibo sin demora y decide de manera diligente, no arbitraria y objetiva, y notifica su decisión motivada y las vías de recurso disponibles (resolución extrajudicial de litigios según el artículo 21 del DSA, recurso judicial).
• Alertadores fiables (artículo 22 del DSA): las notificaciones de entidades reconocidas como alertadores fiables por un coordinador de servicios digitales se tramitan con prioridad.
• Condiciones y transparencia (artículos 14, 15 y 24 del DSA): las restricciones impuestas a los miembros, la moderación y las decisiones individuales se exponen en términos claros y accesibles; las estadísticas de moderación se publican anualmente cuando el umbral aplicable lo exige.
• Publicidad y elaboración de perfiles: Weared no muestra publicidad dirigida basada en la elaboración de perfiles mediante categorías especiales de datos en el sentido del artículo 9 del RGPD (artículo 26 del DSA) y no se dirige a sabiendas a menores (artículo 28 del DSA).

Estos compromisos se suman a las obligaciones derivadas de la nLPD, del RGPD y del derecho suizo, sin sustituirlas.

Weared no carga ningún rastreador publicitario de terceros: la medición la realizan nuestros propios servidores.

Lo que depende de tu país. En Suiza, la ley exige que se te informe de la finalidad y de tu derecho a negarte (Ley federal de telecomunicaciones, art. 45c, letra b): la medición funciona hasta que te niegas. Desde la Unión Europea, el EEE o el Reino Unido, exige tu consentimiento previo (Directiva sobre la privacidad y las comunicaciones electrónicas, art. 5, apdo. 3): mientras no hayas respondido al banner, no se escribe nada —ni cookie de visita, ni página vista, ni huella—. El país se deduce de una indicación que proporciona Cloudflare, nuestro proveedor de red; si falta, se aplica el régimen más protector.

Las cookies.

• Cookie de sesión — estrictamente necesaria: mantiene tu sesión iniciada durante 30 días a contar desde tu última visita (plazo renovable), y como máximo 90 días después de iniciar sesión. Sin ella, es imposible mantener la sesión iniciada.
• «wc» — estrictamente necesaria: recuerda tu elección en el banner durante 6 meses. Sin ella, se te volvería a hacer la pregunta en cada página.
• «wv» — sujeta a tu elección: un identificador aleatorio de visitante, válido durante 6 meses e inaccesible para el JavaScript de la página. Se utiliza para la medición de audiencia y para eliminar los clics duplicados. Si te niegas, no se crea, y si ya existía, se elimina.
• «weared_lang» — estrictamente necesaria: recuerda el idioma que elegiste durante un año.
• «aff» — se crea durante un año cuando llegas a través del enlace de un afiliado, para atribuir tu registro a ese afiliado. No se crea si te negaste en el banner, ni —desde la UE, el EEE o el Reino Unido— hasta que hayas aceptado la finalidad de marketing.

Lo que registramos cuando la medición está activa. En tu primera visita: la página de llegada, el sitio del que vienes (referrer), tu navegador (user-agent), el idioma solicitado, la indicación de país de Cloudflare y —si aparecen en la dirección— los parámetros de campaña utm_source, utm_medium, utm_campaign, utm_term, utm_content, así como los identificadores de clic publicitario gclid, fbclid, msclkid y ttclid. Después: las páginas vistas, con su fecha. Estos datos de audiencia se conservan durante 30 días (§7).

Lo que desactiva realmente tu negativa. La cookie «wv», el registro de la visita y su atribución, los identificadores de clic publicitario, la huella técnica, la medición detallada en el navegador —profundidad de desplazamiento, tiempo pasado en una página, envío de formularios— y cualquier evento enviado a una red publicitaria. Lo que queda es un simple recuento de las páginas servidas, que no lleva ni identificador de visitante ni identificador de cuenta y, por tanto, no está vinculado a nadie. Negarte no te quita nada del servicio.

Huella técnica del visitante. En nuestro servidor se calcula una huella de las características técnicas del navegador, con fines antifraude y para proteger las cuentas. Para la medición de audiencia sigue la misma regla que el resto: sin medición, no hay huella. Sin embargo, en el registro se calcula una huella, sea cual sea tu elección, para limitar las cuentas múltiples y el fraude. Nunca se utiliza para seguirte de un sitio a otro ni con fines publicitarios.

Almacenamiento local del navegador. El sitio guarda tus preferencias de visualización en tu navegador (localStorage) —tema, modo discreto, visitas guiadas ya vistas— sin enviarlas al servidor.

Robots. No se crea ninguna cookie ni se escribe ningún registro para un robot de indexación.

Redes publicitarias. Solo se envía un evento (registro, compra) a la red que trajo la visita si has aceptado la finalidad de marketing en el banner. Se envía desde nuestro servidor, con identificadores con hash (SHA-256), nunca con tu dirección de correo electrónico en claro. Mientras no haya ninguna campaña en marcha, este mecanismo está inactivo en cualquier caso y no se envía nada.

Puedes cambiar de opinión en cualquier momento: añade ?cookies=1 a la dirección de cualquier página para volver a abrir el banner. Allí, «Solo las necesarias» cuenta como una retirada del consentimiento.