Política de privacidad
Esta Política de privacidad explica cómo DDPP (Decentralized Digital Product Passport) utiliza los datos personales de las personas con las que trata: quienes inician sesión para escribir pasaportes de producto para una organización, quienes escanean y leen pasaportes, los visitantes de ddppeu.com y de su dirección anterior, dppeu.cloud, y quienes nos escriben.
DDPP es un servicio para empresas. Una organización registra sus productos en la aplicación DDPP y publica un pasaporte de producto para un modelo, un lote o una sola unidad, que cualquiera puede abrir escaneando su código QR o su etiqueta NFC.
En esta política, «usted» es la persona a la que se refieren los datos. Una «organización» es una empresa dada de alta en DDPP, y un «miembro» es una persona con su propio inicio de sesión que actúa para una organización. «Nosotros» y «nuestro» se refieren a las dos sociedades que están detrás de DDPP, ZincirX Inc. y ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş.; la sección 1 explica cuál de ellas es responsable de sus datos.
Esta política ofrece la información exigida por los artículos 13 y 14 del Reglamento General de Protección de Datos de la UE (RGPD). Si se encuentra en Türkiye, nuestra información en turco conforme a la Ley n.º 6698 (KVKK Aydınlatma Metni), en ddppeu.com/tr/kvkk, explica cómo trata sus datos personales ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. y cómo ejercer sus derechos.
Cómo pueden usar DDPP las organizaciones se establece en nuestros Términos del servicio.
1. Quién es responsable de sus datos
ZincirX Inc., sociedad constituida en el estado de Delaware, Estados Unidos, con domicilio en c/o Legalinc Corporate Services Inc., 131 Continental Drive, Suite 305, Newark, DE 19713, Estados Unidos, es la responsable del tratamiento de los datos personales que describe esta política. Para las personas que se encuentran en Türkiye, la responsable es ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., como se explica más abajo.
DDPP lo opera para ella ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., sociedad anónima constituida en Türkiye, con domicilio en Gülbahçe Mah. Gülbahçe Cad. İYTE Sitesi No: 1/40 İç Kapı No: 51, 35430 Urla/İzmir, Türkiye. Su personal desarrolla y lleva el servicio y puede acceder a datos personales en el curso de ese trabajo, como encargada del tratamiento y siguiendo las instrucciones de ZincirX Inc. Lo hace en virtud de un contrato de encargo del tratamiento entre las dos sociedades. Los datos registrales de ambas sociedades figuran en nuestro Aviso legal.
Si se encuentra en Türkiye, ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. es la responsable del tratamiento (veri sorumlusu) de sus datos personales conforme a la Ley n.º 6698 de Türkiye (KVKK), salvo los registros de las compras de créditos de pasaporte que vende ZincirX Inc., que esta lleva como vendedora y de los que es responsable. Nuestra información conforme a la KVKK (KVKK Aydınlatma Metni), en turco, lo explica. Las dos sociedades son responsables independientes, no corresponsables.
Las tarjetas y etiquetas NFC impresas que se piden a DDPP las vende ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. a las organizaciones de Türkiye, y ZincirX Inc., a todas las demás organizaciones. Cada una lleva los registros de los pedidos que vende, como vendedora, y es responsable de ellos. ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. las fabrica y las envía todas; en los pedidos que vende ZincirX Inc., lo hace como la encargada del tratamiento que opera DDPP para ZincirX Inc.
Los paquetes de onboarding para pasaportes de baterías se venden del mismo modo: a las organizaciones en Türkiye, ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., y a todas las demás, ZincirX Inc. Cada una conserva los registros de los pedidos que vende, como vendedora, y es responsable de ellos.
Los créditos de pasaporte que se compran en la web, en el Escritorio, se venden del mismo modo: a las organizaciones en Türkiye, ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., y a todas las demás, ZincirX Inc. Cada una conserva los registros de los créditos que vende, como vendedora, y es responsable de ellos.
En cambio, respecto del contenido que las organizaciones introducen en DDPP, como sus productos y pasaportes, actuamos por cuenta de la organización. La sección 2 explica cómo.
Para cualquier pregunta sobre esta política o sus datos, escriba a dpp@dppeu.cloud, llame al +90 536 587 41 81 o escriba a la dirección anterior. No hemos designado un delegado de protección de datos; las preguntas sobre privacidad llegan a las personas que se ocupan de ellas.
2. Cuando actuamos por cuenta de las organizaciones
Las organizaciones usan DDPP para llevar y publicar sus propios registros de producto: productos y sus datos, pasaportes, certificaciones y documentos, eventos con sus descripciones, lugares, posiciones y fotos, y las etiquetas y tarjetas NFC que llevan a un pasaporte.
La organización decide qué entra en esos registros y qué se publica, por lo que es la responsable de los datos personales que contengan, y nosotros los tratamos por su cuenta, como encargados del tratamiento, conforme a la sección 19 de nuestros Términos del servicio. Solo los tratamos para prestar DDPP a la organización y siguiendo sus instrucciones. No los vendemos ni los usamos para fines propios.
La aplicación DDPP usa la cámara, la ubicación y las fotos de su móvil solo con su permiso:
- la cámara, para escanear códigos y tomar las fotos que añade a un evento;
- su ubicación, solo cuando decide añadir su posición actual a un evento, y solo en ese momento;
- su fototeca, solo para abrir la foto que elige.
Las fotos y posiciones que añade pasan a formar parte de los registros de la organización.
La aplicación también usa NFC, y solo cuando decide leer una etiqueta o una tarjeta o grabar en ella el enlace de un pasaporte. Cuando graba el enlace de un pasaporte en un chip, o lee el chip de una tarjeta de pasaporte para configurarla, DDPP registra el identificador del chip junto con el pasaporte y el miembro que lo hizo, como parte de los registros de la organización.
Si sus datos personales aparecen en los registros de una organización, por ejemplo porque sale en una foto o su nombre figura en un documento, es la organización quien decide cómo se usan. Póngase en contacto con esa empresa. Si se dirige a nosotros, le trasladaremos su solicitud y le ayudaremos a responder.
3. Páginas públicas de pasaportes
Cuando una organización publica un pasaporte, cualquiera que escanee su código, abra su enlace o lo busque por los identificadores GS1 del producto puede ver su parte pública, como página web y en formato legible por máquina. Los campos que los datos de la organización marcan como restringidos o solo para autoridades no se muestran.
La parte pública es el propio registro del fabricante sobre su producto. Las organizaciones no deben publicar datos personales de consumidores, es decir, de quienes compran o usan sus productos, sin su consentimiento explícito, y deben mantener fuera de la parte pública otros datos personales, como los nombres de trabajadores concretos o posiciones que revelen dónde vive alguien.
Una vez publicado un pasaporte, los cambios en sus datos se añaden como nuevas revisiones y se conservan las anteriores, y a sus eventos solo se pueden añadir otros. Si hay que corregir o suprimir datos personales de un pasaporte publicado, también de sus revisiones anteriores, la organización puede pedírnoslo en dpp@dppeu.cloud y lo haremos.
Un pasaporte publicado sigue en línea hasta que la organización lo da de baja. Su dirección muestra entonces solo que se dio de baja.
No registramos quién abre una página de pasaporte más allá de los registros ordinarios del servidor descritos en la sección 10, y las páginas de pasaportes no usan cookies.
Si cree que una página de pasaporte contiene contenido ilícito, use el enlace «Denunciar esta página» que hay en ella, o escriba a dpp@dppeu.cloud indicando la dirección de la página. Una persona revisa cada aviso. Nuestros Términos del servicio explican lo que ocurre después.
4. Los datos personales que recogemos
Como responsables del tratamiento, recogemos:
- Datos de la cuenta: su nombre, su dirección de correo, su contraseña, que solo guardamos como hash, su idioma y su función en cada organización a la que pertenece.
- Datos de inicio de sesión: si inicia sesión con Google o Apple, el identificador de cuenta que nos da ese proveedor y la dirección de correo y el nombre que comparte. Para Iniciar sesión con Apple, conservamos además el token que emite Apple para poder revocar el inicio de sesión cuando elimine su cuenta. La aplicación mantiene la sesión con un token emitido para su dispositivo.
- Datos de la organización: los que facilita una organización, como su nombre, razón social, país, dirección, sitio web, GLN y número EORI. La mayoría se refieren a una empresa, pero algunos, como el nombre de un empresario individual, son datos personales.
- Datos de la comprobación de la empresa: los documentos que los propietarios y administradores de una organización envían para que DDPP pueda comprobar la empresa antes de que se publiquen sus pasaportes, como un certificado fiscal, una gaceta del registro mercantil o un extracto del registro, que pueden nombrar a los propietarios o administradores de la empresa; cuándo y quién envió cada uno; en el caso de una empresa de la UE, su número de IVA y lo que respondió sobre él el sistema VIES de la UE, con el nombre y la dirección registrados cuando el Estado miembro los comparte; y las decisiones de DDPP sobre la empresa, sus pasaportes permanentes y sus certificados, con sus motivos. Estos documentos solo los ven los propietarios y administradores de la organización y las personas de DDPP que los comprueban, y nunca se publican.
- Datos de compra: cuando un propietario o un administrador compra créditos de pasaporte para una organización, la organización, el miembro que los compró, el paquete, su precio y su moneda, el estado y la fecha de la compra y los identificadores que el servicio de pago da al pago. Los datos de la tarjeta u otros datos de pago, los datos de facturación y el número de IVA se introducen en la propia página de pago de Stripe y los conserva Stripe; nunca recibimos el número de la tarjeta y no guardamos ninguno de esos datos. En el caso de una organización de Türkiye, que compra en su lugar a ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., también los datos con los que se emite su factura: la razón social de la organización, su número fiscal (para un empresario individual, su número de identidad turco), su oficina fiscal y su dirección; los datos de su tarjeta se introducen en la propia página de iyzico, y nunca recibimos el número de la tarjeta. Cuando los créditos se compran en la aplicación DDPP, el pago lo cobra en su lugar el App Store o Google Play. En ese caso guardamos, con la organización y el miembro, el paquete, el estado y la fecha de la compra, los identificadores que la tienda da a la compra (el número de transacción de Apple, o el número de pedido de Google y una huella de su token de compra), el país o la región de la tienda, la cantidad, si fue una compra de prueba y, en el caso de Apple, el precio y la moneda que cobró. Los datos de pago se quedan en Apple o Google; nunca los recibimos.
- Datos de pedidos de impresión: cuando un propietario o un administrador pide tarjetas o etiquetas NFC impresas para una organización, la organización, el miembro que las pidió, el pasaporte cuyo código llevan, qué se pidió y en qué cantidad, los idiomas, si los chips se bloquean, el precio y la moneda, la dirección de entrega con el nombre, la empresa, el número de teléfono y la dirección de correo de la persona que recibe el paquete, cualquier nota para nosotros, el estado y las fechas del pedido, la empresa de mensajería y el número de seguimiento, y los identificadores que el servicio de pago da al pago. En el caso de una organización de Türkiye, que compra a ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., también los datos con los que se emite su factura: la razón social de la organización, su número fiscal (para un empresario individual, su número de identidad turco), su oficina fiscal y su dirección. Los datos de pago se introducen en la propia página del servicio de pago, la de Stripe o, para una organización de Türkiye, la de iyzico; nunca recibimos el número de la tarjeta.
- Datos de pedidos de onboarding: cuando un propietario o un administrador pide un paquete de onboarding para una organización, la organización, el miembro que lo pidió, el paquete, su precio y moneda, la forma de pago, el estado y las fechas del pedido (pago, reunión de inicio, entrega, aceptación, reembolso), los identificadores que el servicio de pago da al pago y, en una transferencia bancaria, su referencia; y qué versión de las condiciones de onboarding se aceptó, cuándo y por quién (su nombre y dirección de correo electrónico). Para una organización en Türkiye, también los datos con los que se emite su factura, como en los pedidos de impresión. Los datos de la tarjeta se introducen en la página propia de Stripe o de iyzico; nunca recibimos el número de la tarjeta.
- Correspondencia y solicitudes: lo que nos comunica por correo o por teléfono y los avisos de contenido ilícito, con nombre y dirección de correo si decide darlos.
- Datos técnicos: la dirección IP y los datos del navegador o del dispositivo que se envían con cada solicitud a ddppeu.com (o a su dirección anterior, dppeu.cloud) y al servidor de la aplicación DDPP, que usamos para prestar el servicio, protegerlo y corregir fallos.
No usamos herramientas de publicidad. Google Analytics solo funciona si acepta las cookies de analítica; la sección 14 explica qué recoge.
5. De dónde proceden los datos
La mayoría proceden de usted, cuando se registra, configura una organización o nos escribe. Los datos técnicos se recogen automáticamente con cada solicitud. Si inicia sesión con Google o Apple, ese proveedor nos da un identificador de cuenta y, según su configuración, su dirección de correo y su nombre. Cuando una organización compra créditos, Stripe o, para una organización de Türkiye, la página de pago de ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. en zincirx.com nos comunica si el pago se ha completado y si después se ha reembolsado o impugnado. Cuando los créditos se compran en la aplicación, Apple o Google nos confirma la compra y nos comunica si después se reembolsa o se revoca. Cuando una organización de Türkiye paga un pedido de impresión, la página de pago de ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. en zincirx.com nos comunica si el pago se ha completado. En el caso de una empresa de la UE, el servicio VIES de la Comisión Europea nos indica si su número de IVA está registrado y, cuando el Estado miembro los comparte, con qué nombre y dirección. Los datos de entrega de un pedido de impresión proceden del miembro que lo hace, que puede indicar a otra persona como destinataria del paquete. Cuando una organización paga un paquete de onboarding, Stripe o, para una organización en Türkiye, la página de pago de ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. en zincirx.com nos dice si el pago se realizó y si después se reembolsó o se impugnó; una transferencia bancaria la registra nuestro equipo cuando llega.
6. Para qué los usamos y con qué base jurídica
Para cada finalidad indicamos la base jurídica según el RGPD y la condición de tratamiento según el artículo 5 de la KVKK.
- Crear y gestionar cuentas, iniciar su sesión y prestar DDPP: artículo 6.1.b) del RGPD, el contrato conforme a nuestros Términos, o artículo 6.1.f), nuestro interés legítimo en prestar el servicio que usa su organización. KVKK artículo 5.2.c) o 5.2.f).
- Comprobar las empresas que publican en DDPP y revisar sus pasaportes permanentes, certificados e informes de análisis: RGPD artículo 6.1.f), nuestro interés legítimo en mantener DDPP libre de empresas que no son quienes dicen ser y en que lo que dicen los pasaportes esté respaldado por los documentos que hay detrás. KVKK artículo 5.2.f).
- Vender créditos de pasaporte, cobrar a través de Stripe, iyzico, el App Store o Google Play y facturar: artículo 6.1.b) del RGPD, el contrato por el que su organización compra los créditos, o artículo 6.1.f), nuestro interés legítimo en vendérselos a la empresa para la que actúa; para las facturas y los registros que exige la normativa fiscal y contable, artículo 6.1.c) cuando lo exija el Derecho de la UE o de un Estado miembro; si no, 6.1.f). KVKK artículo 5.2.c) y 5.2.ç).
- Fabricar, enviar y facturar tarjetas y etiquetas impresas: artículo 6.1.b) del RGPD, el contrato por el que su organización las compra; para los datos de la persona que recibe el paquete por cuenta de la organización, artículo 6.1.f), nuestro interés legítimo en entregarle lo que pidió; para las facturas y los registros que exige la normativa fiscal, contable y aduanera, artículo 6.1.c) cuando lo exija el Derecho de la UE o de un Estado miembro; si no, 6.1.f). KVKK artículo 5.2.c), 5.2.ç) y 5.2.f).
- Ejecutar y facturar un paquete de onboarding: artículo 6.1.b) del RGPD, el contrato por el que su organización lo compra, incluido el registro de quién aceptó sus condiciones; para conservar ese registro después de que se vaya el miembro que las aceptó, artículo 6.1.f), nuestro interés legítimo en probar el contrato; para las facturas y los registros que exige la normativa fiscal y contable, artículo 6.1.c) cuando lo exija el Derecho de la UE o de un Estado miembro, y en otro caso 6.1.f). KVKK artículo 5.2.c), 5.2.ç) y 5.2.e).
- Enviar correos del servicio, como la confirmación del correo y el restablecimiento de la contraseña: RGPD artículo 6.1.b) o 6.1.f). KVKK artículo 5.2.c) o 5.2.f).
- Responder preguntas y solicitudes: RGPD artículo 6.1.b) si la solicitud se refiere a nuestro contrato; si no, 6.1.f), nuestro interés legítimo en responder a quien nos contacta. KVKK artículo 5.2.c) o 5.2.f).
- Atender solicitudes de privacidad, incluida la eliminación de cuentas, y revocar al eliminar una autorización de Iniciar sesión con Apple: RGPD artículo 6.1.c), porque el RGPD nos obliga a atenderlas, y 6.1.b). KVKK artículo 5.2.ç) y 5.2.c).
- Proteger DDPP y sus cuentas, prevenir abusos y corregir fallos: RGPD artículo 6.1.f), nuestro interés legítimo en proteger el servicio y a quienes lo usan. KVKK artículo 5.2.f).
- Tramitar avisos de contenido ilícito: RGPD artículo 6.1.c), porque el Reglamento de Servicios Digitales de la UE obliga a los servicios de alojamiento a actuar ante ellos; si no, 6.1.f). KVKK artículo 5.2.f).
- Cumplir órdenes de tribunales y autoridades, y formular, ejercer o defender reclamaciones: RGPD artículo 6.1.c) cuando lo exija el Derecho de la UE o de un Estado miembro; si no, 6.1.f). KVKK artículo 5.2.ç) y 5.2.e).
Cuando nos basamos en intereses legítimos, puede oponerse, como explica la sección 12. No tomamos decisiones sobre nadie basadas únicamente en un tratamiento automatizado.
7. Lo que tiene que facilitarnos
Para abrir una cuenta debe dar su nombre, una dirección de correo y una contraseña, o iniciar sesión con Google o Apple. Para configurar una organización debe dar su nombre y su país, porque cada pasaporte indica la organización como la empresa responsable del producto. Sin estos datos no podemos prestar DDPP. Todo lo demás es opcional.
8. Con quién los compartimos
- ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., en Türkiye, que opera DDPP por nosotros y cuyo personal puede acceder a datos personales en el curso de ese trabajo, siguiendo nuestras instrucciones y obligada por contrato.
- Hostinger, que proporciona los servidores en los que funciona DDPP, en Lituania, un segundo servidor en Francia que guarda una copia cifrada de nuestras copias de seguridad, y nuestro servicio de correo.
- Stripe, que cobra cuando un propietario o un administrador de una organización de fuera de Türkiye compra créditos de pasaporte en el Escritorio web. Le enviamos la dirección de correo de quien compra, el nombre de la organización y el paquete y su precio; en su propia página de pago recoge los datos de la tarjeta u otros datos de pago, los datos de facturación y el número de IVA. Crea un registro de cliente, cobra el pago y emite y envía la factura por nosotros. Recibe estos datos para que podamos cumplir el contrato de los créditos y nuestras obligaciones legales de facturar y conservar registros. Cuando un propietario o un administrador de una organización de fuera de Türkiye paga un pedido de impresión, Stripe recibe además la referencia del pedido, qué se pidió y su precio, que figuran en el pago y en la factura, y la dirección de entrega con el nombre y el teléfono de la persona que recibe el paquete, que figuran en el pago. Nunca recibimos el número de la tarjeta.
- ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. e iyzico, cuando un propietario o un administrador de una organización de Türkiye paga un pedido de impresión. La A.Ş., que lo vende, cobra el pago en su página de pago en zincirx.com a través de iyzico (iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş., una entidad de pago de Türkiye). Enviamos a esa página la referencia del pedido, qué se pidió y su total, el nombre y la dirección de correo de quien compra, y los datos con los que se emite la factura. iyzico recibe el nombre y la dirección de correo de quien compra, la dirección IP desde la que paga, lo que se ha pedido y su total y, en su propia página, los datos de la tarjeta; nunca recibimos el número de la tarjeta. La A.Ş. emite la factura conforme al Derecho turco, según el cual se comunica a la Administración Tributaria de Türkiye.
- En los paquetes de onboarding, lo mismo que en los pedidos de impresión: cuando paga una organización fuera de Türkiye, Stripe recibe la dirección de correo electrónico del comprador, el nombre de la organización, la referencia del pedido, el paquete y su precio; cuando una organización en Türkiye paga con tarjeta, la página de pago de ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. e iyzico reciben lo descrito arriba para los pedidos de impresión, con el paquete en lugar de las tarjetas y etiquetas. La A.Ş. factura los paquetes que vende conforme al Derecho turco.
- En los créditos de pasaporte, lo mismo que en los pedidos de impresión: cuando un propietario o un administrador de una organización de Türkiye compra créditos en el Escritorio web, la página de pago de ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. e iyzico reciben lo descrito arriba para los pedidos de impresión, con el paquete de créditos en lugar de las tarjetas y etiquetas. La A.Ş. factura los créditos que vende conforme al Derecho turco.
- Empresas de mensajería, como DHL Express, UPS, FedEx, PTT, Yurtiçi Kargo, Aras Kargo y MNG Kargo, cuando enviamos tarjetas o etiquetas impresas: el nombre, la empresa, la dirección, el número de teléfono y la dirección de correo de la persona que recibe el paquete, y su contenido y su valor. Usan estos datos para entregar el paquete y para informar de él al destinatario, según sus propias condiciones. Por ahora, solo enviamos a direcciones en Türkiye.
- Apple y Google, a través del App Store y Google Play, cuando un propietario o un administrador compra créditos de pasaporte en la aplicación DDPP. La compra se hace con Apple o Google según sus propias condiciones; ellos cobran el pago y envían el recibo. Con cada compra, la aplicación les da un identificador que asignamos a la organización, que por sí solo no les dice nada sobre ella, para que puedan indicarnos para qué organización era la compra. No les enviamos nada más sobre usted; les pedimos que confirmen cada compra, y ellos nos comunican los reembolsos.
- La Comisión Europea, a través de su sistema de intercambio de información sobre el IVA (VIES), cuando una empresa de la UE pide a DDPP que la compruebe: solo le enviamos el número de IVA de la empresa, para saber si está registrado. La Comisión lo trata según sus propias normas.
- Google y Apple, si decide iniciar sesión con ellos. Nos confirman su identidad y saben que inicia sesión en DDPP. Cuando elimina una cuenta que inicia sesión con Apple, pedimos a Apple que revoque ese inicio de sesión.
- Google LLC (EE. UU.), para Google Analytics 4, solo si acepta las cookies de analítica en el aviso de cookies: la dirección de las páginas que visita en el sitio y en las páginas de inicio de sesión y registro del Escritorio web, la página de la que viene, los datos de su navegador y dispositivo, su dirección IP y que se creó una cuenta y cómo (sección 14). Van de su navegador a Google, que los usa para darnos estadísticas de uso.
- Los servicios que tienen el pasaporte que usted escanea. La aplicación DDPP lee un pasaporte en el servicio que lo tiene, sin iniciar sesión y sin nada que identifique su cuenta. Un enlace a un pasaporte de DDPP va a DDPP. Un enlace de zincirx.com, o un código de pasaporte de ZincirX, va al servicio público de ZincirX en zincirx.com. El GS1 Digital Link de otra marca va solo al resolutor de esa marca, y las páginas de la marca se abren en su navegador solo si usted decide abrirlas. Un código GS1 sin dirección web, como un GS1 DataMatrix, se busca primero en el resolutor propio de DDPP, después en el servicio público de ZincirX y, por último, en el resolutor global de GS1 en id.gs1.org, hasta que uno de ellos lo conozca. Cada servicio recibe el código y, como en cualquier conexión, la dirección IP de su dispositivo; DDPP y ZincirX reciben además el idioma de la aplicación. ZincirX, GS1 y las demás marcas tratan lo que reciben según sus propias condiciones.
- Otros miembros de una organización a la que pertenece, que ven su nombre, su dirección de correo y su función.
- El público, que ve lo que las organizaciones publican en sus páginas de pasaportes.
- Asesores profesionales, como abogados y contables, cuando lo necesitan para asesorarnos.
- Tribunales, autoridades y otros organismos públicos, cuando nos ordenan actuar o facilitar información, cuando la ley lo exige de otro modo o cuando lo necesitamos para formular o defender una reclamación. Según el Reglamento de Servicios Digitales de la UE, debemos informar a las autoridades si conocemos información que haga sospechar un delito que amenace la vida o la seguridad de alguien.
Si lo pide, le diremos los nombres de los destinatarios concretos de sus datos personales.
9. Transferencias internacionales
ZincirX Inc. está en Estados Unidos, ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. y las personas que operan DDPP están en Türkiye, y los servidores de DDPP están en la Unión Europea: en Lituania, con una copia cifrada de las copias de seguridad en Francia. Ni Estados Unidos ni Türkiye forman parte del Espacio Económico Europeo, y la Comisión Europea no ha adoptado una decisión de adecuación general respecto de ninguno de los dos.
Cuando se aplica el RGPD, una transferencia de datos personales fuera del Espacio Económico Europeo está sujeta al capítulo V del RGPD. Cuando inicia sesión con Google o Apple, sus datos circulan entre su dispositivo y esas empresas según sus propias condiciones; Google LLC y Apple Inc. están certificadas en el Marco de Privacidad de Datos UE-EE. UU., para el que la Comisión adoptó una decisión de adecuación en la Decisión de Ejecución (UE) 2023/1795. Si acepta las cookies de analítica, los datos de Google Analytics van de su navegador a Google LLC, que puede tratarlos en Estados Unidos (secciones 8 y 14). Cuando compra créditos para una organización de fuera de Türkiye, sus datos de pago van de su navegador a Stripe, y los datos que enumera la sección 8 van de nosotros a Stripe. Stripe, Inc. está en Estados Unidos. La política de privacidad de Stripe, en stripe.com/privacy, explica cómo trata los datos de pago, qué garantías usa al transferirlos y cuánto tiempo los conserva. Cuando compra créditos en la aplicación, la compra se hace entre su dispositivo y Apple o Google según sus propias condiciones, y Apple Inc. o Google LLC, ambas certificadas en el Marco de Privacidad de Datos UE-EE. UU., nos la confirma.
Los datos personales llegan a Türkiye, donde ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. opera DDPP por nosotros, y a Estados Unidos, donde está ZincirX Inc.
Las transferencias de datos personales fuera de Türkiye están sujetas al artículo 9 de la KVKK, y no nos basamos en su consentimiento explícito para las transferencias habituales al extranjero.
Puede pedir detalles de estas transferencias escribiendo a dpp@dppeu.cloud.
Por ahora, las tarjetas y etiquetas impresas solo se envían a direcciones en Türkiye, por lo que sus datos de entrega no salen de Türkiye.
10. Cuánto tiempo los conservamos
- Datos de la cuenta: mientras exista la cuenta. La sección 11 explica la eliminación.
- Tokens de inicio de sesión: hasta que cierre la sesión, el token caduque al cabo de un año o se elimine la cuenta.
- El token de Iniciar sesión con Apple: hasta que elimine su cuenta, cuando lo revocamos ante Apple y lo borramos.
- Enlaces para restablecer la contraseña y confirmar el correo: 60 minutos.
- Datos y contenido de la organización: mientras la organización los mantenga en DDPP. Los pasaportes publicados siguen en línea hasta que se dan de baja o se suprimen.
- Documentos y decisiones de la comprobación de la empresa: los documentos, mientras la organización esté en DDPP; las decisiones de DDPP, como su registro de ellas. Un propietario o administrador puede quitar un documento hasta que la empresa se envía a comprobación.
- Compras de créditos: mientras la organización esté en DDPP; si el miembro que los compró elimina su cuenta, el registro deja de mencionarlo. En los créditos que vende ZincirX Inc. en la web, Stripe conserva el pago y la factura, con la dirección de correo de quien compró, en nuestra cuenta de Stripe, como registro de una venta que la normativa fiscal y contable nos obliga a conservar. En los créditos que vende ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., la A.Ş. conserva la factura y su registro del pago, e iyzico su propio registro del pago, durante el tiempo que exija la normativa fiscal y mercantil turca. En una compra hecha en la aplicación, Apple o Google conserva el pago y el recibo según sus propias condiciones.
- Pedidos de impresión: mientras la organización esté en DDPP, como registro de la venta y del lugar al que se envió; si el miembro que hizo el pedido elimina su cuenta, el pedido deja de mencionarlo como comprador, pero sus datos de entrega siguen en él. En un pedido que vende ZincirX Inc., Stripe conserva el pago y la factura, igual que con los créditos. En un pedido que vende ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., la A.Ş. conserva la factura y su registro del pago, e iyzico su propio registro del pago, durante el tiempo que exija la normativa fiscal y mercantil turca. La empresa de mensajería guarda su propio registro de la entrega según sus condiciones. El teléfono y la dirección de correo de quien recibe el paquete se borran 30 días después de que el pedido se envíe, se cancele o se reembolse.
- Pedidos de onboarding: como los demás registros de pedidos y facturas, mientras la organización esté en DDPP, como registro de la venta y de las condiciones aceptadas; si el miembro que hizo el pedido elimina su cuenta, el pedido conserva su nombre y su dirección de correo electrónico como registro de quién aceptó las condiciones. Stripe, ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. e iyzico conservan sus registros del pago y de la factura como en los pedidos de impresión.
- Correspondencia y avisos: el tiempo necesario para tramitar el asunto y su seguimiento.
- Registros del servidor y de la aplicación: 14 días.
- Copias de seguridad: 14 días; después, los datos suprimidos ya no existen en ellas.
11. Eliminar su cuenta
Puede eliminar su cuenta en la aplicación DDPP (abra Más, elija Eliminar mi cuenta y confirme) o en la web (el Escritorio, después Su cuenta). La cuenta se elimina en el acto. Si no puede usar ninguna de las dos, escriba a dpp@dppeu.cloud desde la dirección de correo de la cuenta; la eliminaremos en un plazo de 30 días y se lo confirmaremos por correo. Los pasos también están en ddppeu.com/es/delete-account.
Al eliminar una cuenta suprimimos su nombre, su dirección de correo, su contraseña, sus vínculos de inicio de sesión con Google y Apple, sus tokens, sus enlaces de restablecimiento de contraseña y sus pertenencias a organizaciones, y revocamos ante Apple su autorización de Iniciar sesión con Apple. Los registros que la cuenta creó en el contenido de una organización, como productos, pasaportes, eventos y archivos, se quedan en la organización, pero ya no mencionan la cuenta.
Se conservan algunos registros:
- las organizaciones a las que pertenecía, con sus productos y pasaportes, que pertenecen a la organización. Si era el único propietario de una organización, esta sigue en DDPP y podemos entregarla a la persona que indique la empresa;
- los pasaportes publicados, que siguen en línea hasta que la organización los da de baja;
- las compras de créditos que hizo para una organización, que se quedan en ella pero ya no le mencionan, y el pago y la factura que conserva Stripe, la factura y los registros del pago que conservan ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. e iyzico, o el registro que Apple o Google conserva de una compra hecha en la aplicación, como describe la sección 10;
- los pedidos de impresión que hizo para una organización, que se quedan en ella, con sus datos de entrega, pero ya no le mencionan como comprador, como describe la sección 10;
- los pedidos de onboarding que hizo para una organización, que se quedan en ella y conservan su nombre y su dirección de correo electrónico como registro de quién aceptó sus condiciones, como se describe en la sección 10;
- los registros y las copias de seguridad, hasta que caducan según la sección 10.
12. Sus derechos
Según la ley que le sea aplicable, tiene derecho a:
- acceder a los datos personales que tenemos sobre usted y obtener una copia;
- que se rectifiquen los datos inexactos o incompletos;
- que se supriman sus datos (para una cuenta, como describe la sección 11);
- que se limite el uso de sus datos, por ejemplo mientras comprobamos una reclamación sobre su exactitud;
- recibir los datos que nos facilitó en un formato estructurado y legible por máquina; se los enviamos en JSON si lo pide;
- oponerse, por motivos relacionados con su situación particular, al tratamiento basado en nuestros intereses legítimos;
- presentar una reclamación ante una autoridad de control de protección de datos, en particular en el Estado miembro de la UE donde vive o trabaja o donde cree que surgió el problema, y, según la KVKK, ante la Junta de Protección de Datos Personales, como explica la sección 13.
Para ejercer cualquiera de estos derechos, escriba a dpp@dppeu.cloud o llame al +90 536 587 41 81, en español, inglés, turco, alemán, francés, italiano, neerlandés o polaco. Respondemos gratuitamente y sin dilación indebida: según el RGPD, en un mes, prorrogable dos meses más en solicitudes complejas, informándole de los motivos dentro del primer mes, y según la KVKK, en 30 días. Solo pedimos una prueba de identidad si tenemos dudas razonables sobre quién hace la solicitud. Si no hacemos lo que pide, le diremos por qué y que puede reclamar ante una autoridad de control o acudir a los tribunales.
Para los datos de los que es responsable una organización, como el contenido de un pasaporte, trasladamos su solicitud a esa organización y le ayudamos a responder.
13. Sus derechos según la KVKK
Según el artículo 11 de la KVKK, tiene derecho a:
- saber si se tratan sus datos personales y, en tal caso, solicitar información sobre ellos;
- conocer la finalidad del tratamiento y si se usan conforme a ella;
- conocer los terceros, en Türkiye o en el extranjero, a los que se transfieren;
- que se rectifiquen si están incompletos o son inexactos;
- que se supriman o destruyan cuando desaparezcan los motivos de su tratamiento;
- que las rectificaciones y supresiones se comuniquen a los terceros que recibieron los datos;
- oponerse a un resultado que le perjudique derivado del análisis de sus datos exclusivamente por sistemas automatizados;
- reclamar una indemnización si un tratamiento ilícito le causa daños.
Puede dirigirse por escrito a la dirección de la sección 1 o por correo a dpp@dppeu.cloud desde la dirección que registró con nosotros. Resolvemos las solicitudes gratuitamente en un plazo máximo de 30 días; si una actuación tiene un coste aparte, podemos cobrar la tarifa fijada por la Junta. Si rechazamos su solicitud, considera insuficiente nuestra respuesta o no respondemos a tiempo, puede reclamar ante la Junta en los 30 días siguientes a conocer nuestra respuesta y, en todo caso, en los 60 días siguientes a su solicitud.
14. Cookies y almacenamiento en su dispositivo
Puede cambiar o retirar su elección en cualquier momento con Configuración de cookies, un enlace al pie de cada página del sitio y de las páginas de inicio de sesión y registro del Escritorio web.
Estrictamente necesarias (sin consentimiento)
- ddppeu.com y su dirección anterior, dppeu.cloud, usan una sola cookie propia, zx_consent, que recuerda su elección en el aviso de cookies: su versión, su fecha y si permitió la analítica. Se conserva 6 meses; después le volvemos a preguntar. Si cierra el aviso que ofrece otro idioma, el almacenamiento local de su navegador lo recuerda.
- Las páginas de pasaportes, los GS1 Digital Links, la búsqueda de pasaportes en /find y el servidor de la aplicación no usan cookies.
- El Escritorio web (/desk) y las páginas de cuenta en las que confirma su correo o elige una contraseña nueva usan dos cookies: una cookie de sesión (ddpp-session), que mantiene su sesión, incluido su inicio de sesión en el Escritorio, y termina tras ocho horas de inactividad o al cerrar la sesión; y XSRF-TOKEN, que protege los formularios y dura lo mismo que la sesión.
- Si en el Escritorio marca «Mantener la sesión en este navegador» o inicia sesión en él con Google o Apple, una cookie de recuerdo (remember_web_…) mantiene su sesión en ese navegador hasta 400 días, o hasta que la cierre.
- Mientras inicia sesión en el Escritorio con Google o Apple, una cookie (ddpp_handshake) guarda, cifrados, los valores que vinculan la respuesta del proveedor con su inicio de sesión, durante diez minutos como máximo.
- La página de pago a la que llega al comprar créditos o pagar un pedido de impresión es la de Stripe o, para una organización de Türkiye, la de ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. en zincirx.com y la de iyzico. Allí se aplican sus propias normas de cookies. Esas mismas páginas procesan el pago de un paquete de onboarding.
- La aplicación DDPP guarda su token de inicio de sesión en el almacenamiento seguro de su móvil, y sus ajustes y productos guardados en su móvil. No contiene herramientas de analítica ni de publicidad.
Nos basamos en la excepción para el almacenamiento estrictamente necesario para prestar el servicio que ha solicitado.
Analítica, solo con su consentimiento
Solo si elige «Aceptar analítica» en el aviso de cookies, o activa Analítica en Preferencias, las páginas del sitio, las páginas de inicio de sesión y registro del Escritorio web y la página en la que una cuenta nueva da nombre a su organización cargan Google Analytics 4, de Google LLC (EE. UU.), para contar las visitas y ver cómo se usan. Instala las cookies _ga y _ga_WM7TQV23M5, que se conservan hasta 2 años. Google recibe la dirección de la página que visita (sin sus parámetros, salvo etiquetas de campaña como utm_source), la página de la que viene, los datos de su navegador y dispositivo y su dirección IP; si crea una cuenta en el Escritorio web, también que se creó una cuenta y cómo (correo electrónico, Google o Apple), nunca su nombre ni su dirección de correo electrónico. Google puede tratar estos datos en EE. UU.; Google LLC está certificada en el Marco de Privacidad de Datos UE-EE. UU. Las mediciones se conservan en Google Analytics 14 meses como máximo. Sin su consentimiento, el script de Google Analytics no se carga en absoluto y no se envía nada a Google. Las páginas de pasaportes, la búsqueda de pasaportes en /find, los GS1 Digital Links y las páginas del Escritorio web que muestran los registros de una organización nunca lo cargan.
La base jurídica de las cookies de analítica es su consentimiento (artículo 6, apartado 1, letra a), del RGPD; para las personas que se encuentran en Türkiye, el consentimiento explícito del artículo 5, apartado 1, de la KVKK). Retirarlo es tan fácil como darlo: elija «Rechazar analítica» en Configuración de cookies, y Google Analytics se detiene y se borran las cookies _ga a las que podemos acceder. También puede borrar las cookies en los ajustes de su navegador. No usamos cookies de publicidad ni de marketing.
15. Seguridad
Protegemos los datos personales con medidas que incluyen conexiones cifradas (HTTPS, con TLS 1.3 e intercambio de claves poscuántico cuando su navegador lo admite), contraseñas guardadas solo como hash, tokens de inicio de sesión revocables, acceso limitado según la función de cada miembro, una huella SHA-256 en cada archivo subido, un entorno de servidor separado de otros servicios y copias de seguridad diarias, con una copia cifrada en un segundo servidor en Francia. Ningún sistema es completamente seguro. Si cree que se ha hecho un mal uso de su cuenta, escriba enseguida a dpp@dppeu.cloud.
16. Menores
DDPP es un servicio para empresas y no está pensado para menores. No recogemos a sabiendas datos personales de menores. Si cree que un menor nos ha dado datos personales, escriba a dpp@dppeu.cloud.
17. Cambios en esta política
Esta versión está vigente desde el 19 de septiembre de 2026 y se actualizó por última vez el 6 de noviembre de 2026. Actualizamos la política cuando cambian DDPP o la ley, y la fecha del principio muestra la versión vigente. Antes de que un cambio importante entre en vigor, lo comunicamos a los miembros por correo. Antes de usar datos personales para una finalidad nueva, se lo diremos.
18. Contacto
Para preguntas sobre esta política o sus datos personales, escriba a dpp@dppeu.cloud o llame al +90 536 587 41 81. Por correo postal: ZincirX Inc., c/o Legalinc Corporate Services Inc., 131 Continental Drive, Suite 305, Newark, DE 19713, Estados Unidos, o, en Türkiye, ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., Gülbahçe Mah. Gülbahçe Cad. İYTE Sitesi No: 1/40 İç Kapı No: 51, 35430 Urla/İzmir, Türkiye. Nuestros datos completos de empresa están en el Aviso legal.