Política de privacidad

1.1El responsable del tratamiento es Antonio Sasso, profesional autónomo italiano, número de IVA IT04607290717, Via Giuseppe di Vittorio 171/B, 71043 Manfredonia (FG), Italia (el «Operador», «nosotros»), que gestiona la plataforma Manuroute (la «Plataforma»).

1.2Contacto para cualquier pregunta o solicitud sobre privacidad: hello@manuroute.com.

1.3Clientes y productores. Cuando se asigna un pedido, el productor recibe los datos del cliente necesarios para producirlo y enviarlo (nombre, dirección de envío, número de teléfono cuando el transportista lo exija, y el archivo). Respecto de estos datos, el productor actúa como responsable del tratamiento independiente: decide cómo embalar y enviar el paquete y tiene su propio contrato con el transportista. Las condiciones para productores obligan al productor a utilizar los datos solo para ejecutar ese pedido, a mantenerlos confidenciales, a no reutilizarlos para ningún otro fin (incluidos el marketing o el contacto con el cliente fuera del chat del encargo) y a suprimirlos, junto con el archivo, 30 días después de completarse el pedido. Seguimos siendo el responsable del tratamiento de todos los datos tratados en la propia Plataforma.

2.1Datos de la cuenta. Nombre, dirección de correo electrónico, número de teléfono (productores, para la verificación), contraseña o inicio de sesión mediante un proveedor externo (por ejemplo Google o GitHub), idioma, país, rol (cliente, productor o ambos), tu confirmación de que tienes 18 años o más, y tu preferencia sobre los correos de marketing (estado del opt-in y fecha de la confirmación del doble opt-in).

2.2Verificación de productores (KYC/KYB). Los productores verifican su identidad y, en los niveles de confianza superiores, su empresa a través de Stripe Connect. Los documentos de identidad y los datos bancarios los recoge y trata Stripe; nosotros recibimos el estado de la verificación y la información que Stripe pone a disposición de las plataformas (como nombre, dirección, datos de la cuenta de liquidación). También recogemos datos de las máquinas, fotos de verificación de las máquinas (incluidas las fotos del número de serie y de la impresión de prueba), materiales y los países a los que envían los productores.

2.3Datos fiscales DAC7. Para los productores, conforme a la Directiva (UE) 2021/514 del Consejo («DAC7») y a la normativa italiana de transposición: nombre, domicilio de residencia, número de identificación fiscal o número de IVA, fecha de nacimiento en el caso de personas físicas, identificador de la cuenta de liquidación, y el importe total de la contraprestación pagada y el número de operaciones por período de declaración.

2.4Datos de los pedidos. Archivos de impresión subidos y los datos extraídos de ellos (modelo de impresora, boquilla, filamentos, peso, tiempo, vistas previas de las placas), uso declarado de la pieza, criterios de aceptación, precios, comisiones, estado del pago, historial y eventos del pedido.

2.5Datos de pago. Los pagos los procesa Stripe. No almacenamos números de tarjeta completos; recibimos identificadores y estado de los pagos.

2.6Fotos. Fotos subidas por los productores (placa de impresión, pieza, pieza sobre una báscula, paquete) y por los clientes (en caso de disputa).

2.7Datos de envío. Dirección de envío del cliente, dirección de remitente del productor cuando figure en el paquete, transportista y número de seguimiento.

2.8Comunicaciones. Mensajes en el chat del encargo, declaraciones y pruebas de las disputas, solicitudes de soporte, reseñas.

2.9Datos técnicos y de registro. Dirección IP, información del dispositivo y del navegador, eventos de inicio de sesión, registros de descarga de archivos, registros de seguridad y de auditoría, informes de errores. Para mantener el abuso automatizado alejado del enlace de inicio de sesión, de la lista de espera y del presupuesto sin cuenta, esos formularios utilizan Cloudflare Turnstile: comprueba señales de tu navegador y de su conexión (como la dirección IP, las características del navegador y cómo se usa la página) para distinguir a las personas de los bots, sin cookies de seguimiento, y devuelve un token de un solo uso que nuestro servidor verifica con Cloudflare. Los límites de frecuencia solo almacenan hashes con sal de las direcciones IP y de correo electrónico, y recuentos de solicitudes rechazadas, nunca las propias direcciones.

2.9.1Archivos que no podemos leer. Cuando se rechaza una subida (por ejemplo un STL o un archivo de un laminador que aún no leemos), conservamos solo su tipo, el laminador indicado en sus primeras líneas, su tamaño, el día y el país desde el que procede tu conexión, y tu respuesta si decides indicar qué querías imprimir. El propio archivo se suprime de inmediato, o nunca sale de tu navegador. Estos registros no están vinculados a tu cuenta.

2.10Datos analíticos. Eventos de uso del producto, solo si das tu consentimiento (sección 8).

2.11Datos de la lista de espera. Dirección de correo electrónico, si te inscribiste como cliente o como productor, idioma y país si los facilitaste, y la fecha en que confirmaste la dirección. La inscripción en la lista de espera se confirma mediante doble opt-in: te enviamos por correo un enlace de confirmación y solo te escribimos sobre el lanzamiento después de que confirmes.

2.12Comentarios y solicitudes de ayuda. Lo que escribes en el panel de ayuda y comentarios o respondes a una pregunta breve cuando te detienes en un paso (por ejemplo, un presupuesto que no llegas a encargar), la página desde la que se envió, el idioma, el tamaño de la ventana y el navegador, una captura de pantalla si la añades y, si no has iniciado sesión, la dirección de correo electrónico que dejas para que podamos responderte. Una solicitud de ayuda sin cuenta requiere esa dirección.

2.13Cuentas de catálogo y sus compradores. Cuando un cliente con catálogo (un comerciante) hace un pedido para uno de sus propios compradores, tratamos el nombre, la dirección de envío y el número de teléfono del comprador, facilitados por el comerciante, para fabricar y enviar ese pedido, y los conservamos con el pedido. Es el comerciante quien informa de ello a su comprador; nosotros nunca contactamos con el comprador. Respecto del propio comerciante conservamos además el nombre comercial, la razón social y el número de IVA opcionales, los artículos de su catálogo, sus claves API (almacenadas como hashes), su endpoint de webhook y el registro de los eventos enviados a él, y los identificadores de Stripe de la tarjeta guardada. La descarga en JSON de los datos de la cuenta (sección 7.1) incluye el perfil del catálogo, los artículos, las claves (sin su hash) y los pedidos.

Correos de marketing. Solo enviamos correos de marketing a las personas que han dado para ellos un opt-in separado y explícito, distinto del registro de la cuenta y de los correos transaccionales. Cada opt-in se confirma mediante doble opt-in: recibes un correo de confirmación y solo se te añade a la lista de marketing después de hacer clic en el enlace que contiene. Esto se aplica a todas las personas, en todos los países. Cada correo de marketing contiene un enlace para darse de baja que funciona con un solo clic; darse de baja detiene los correos de marketing, pero no los correos transaccionales necesarios para gestionar tus pedidos y tu cuenta.

Tratamiento automatizado. La asignación de un pedido a un productor, los niveles de confianza, los límites de los pedidos y la puntuación de fiabilidad se calculan automáticamente a partir de los criterios descritos en los Términos.

4.1Otros usuarios. El productor asignado recibe el archivo y los datos necesarios para producir y enviar el pedido. El cliente ve el nivel de confianza del productor y puede ver los datos de remitente del productor en el paquete. El contacto se produce solo a través del chat del encargo.

4.2Encargados del tratamiento. Utilizamos los siguientes proveedores, que tratan datos por cuenta nuestra en virtud de contratos de encargo del tratamiento:

4.3Proveedores de inicio de sesión. Si inicias sesión con Google o GitHub, ese proveedor comparte con nosotros datos básicos del perfil conforme a su propia política de privacidad.

4.4Autoridades. La Agenzia delle Entrate (declaración DAC7 y tributos), y otras autoridades u órganos jurisdiccionales cuando la ley lo exija.

4.5Asesores. Nuestro asesor contable y nuestro abogado, sujetos al secreto profesional, cuando sea necesario.

4.6No vendemos datos personales y no utilizamos los archivos subidos para ningún fin distinto del pedido.

4.7Los compradores de un comerciante. En un pedido que un comerciante hace para su comprador, el productor asignado y el transportista reciben el nombre, la dirección y el número de teléfono del comprador para producirlo y enviarlo, como en cualquier pedido (4.1); el comerciante los ve con sus pedidos. El endpoint de webhook del comerciante recibe el estado y el seguimiento de sus pedidos, nunca la dirección del comprador.

5.1Algunos encargados del tratamiento están establecidos en países fuera del Espacio Económico Europeo, o pueden acceder a los datos desde ellos, en particular los Estados Unidos. Cuando esto ocurre, las transferencias se basan en una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU., para los proveedores certificados con arreglo a él) o en las cláusulas contractuales tipo de la Comisión Europea, según lo establecido en el contrato de encargo del tratamiento de cada proveedor.

5.2Los pedidos también pueden implicar a productores situados fuera del EEE (por ejemplo, en el Reino Unido o en los Estados Unidos). Dicho productor recibe solo los datos de envío necesarios para ejecutar el pedido (nombre, dirección de envío, número de teléfono cuando el transportista lo exija, y el archivo), y nada más sobre el cliente. La transferencia se basa en las cláusulas contractuales tipo de la Comisión Europea, incorporadas a las condiciones para productores que todo productor acepta, junto con las obligaciones de confidencialidad, de no reutilización y de supresión a los 30 días descritas en la sección 1.3. Para los productores del Reino Unido, la transferencia también puede basarse en la decisión de adecuación de la Comisión relativa al Reino Unido.

5.3Regiones de alojamiento. Todo lo que controla la Plataforma está alojado en la Unión Europea: la base de datos en Neon en una región de la UE, el almacenamiento de archivos en Cloudflare R2 con jurisdicción de la UE, la analítica de producto en la nube UE de PostHog y las funciones de servidor de la aplicación web en Vercel en una región de la UE. Por tanto, las transferencias fuera del EEE se limitan a los casos de las secciones 5.1 y 5.2, principalmente tratamientos de soporte, de seguridad y a nivel de cuenta por parte de proveedores establecidos en los Estados Unidos.

7.1En virtud del RGPD tienes derecho a:

• acceder a tus datos y recibir una copia;
• rectificar los datos inexactos;
• suprimir tus datos, salvo que debamos conservarlos por ley o para gestionar un pedido o una disputa abiertos;
• limitar el tratamiento en los casos previstos por la ley;
• la portabilidad de los datos: puedes descargar los datos de tu cuenta como archivo JSON desde la configuración de tu cuenta;
• oponerte al tratamiento basado en el interés legítimo;
• retirar el consentimiento en cualquier momento (para la analítica, la lista de espera y los correos de marketing), sin que ello afecte al tratamiento anterior. Los correos que puedes dejar de recibir llevan un enlace para darse de baja con un solo clic, y los programas de correo que lo admiten muestran su propio botón para darse de baja.

7.2Puedes cerrar tu cuenta desde la configuración de tu cuenta. Los pedidos, las disputas y las liquidaciones pendientes se completan o resuelven primero. Tu sesión se cierra de inmediato y puedes conservar la cuenta iniciando sesión en un plazo de 30 días; transcurrido ese plazo, los datos de la cuenta se suprimen o anonimizan, y los datos exigidos por ley se conservan durante los períodos indicados más arriba.

7.3Para ejercer tus derechos, escribe a hello@manuroute.com. Respondemos en el plazo de un mes, prorrogable cuando la ley lo permita. Podemos pedirte que confirmes tu identidad.

7.4Tienes derecho a presentar una reclamación ante la autoridad italiana de protección de datos (Garante per la protezione dei dati personali, www.garanteprivacy.it) o ante la autoridad de tu país de residencia o de trabajo.

8.1Cookies técnicas. Solo utilizamos las cookies y tecnologías similares estrictamente necesarias para que la Plataforma funcione: sesión iniciada, seguridad, preferencia de idioma y almacenamiento de tu elección de consentimiento. Estas no requieren consentimiento. Cuando subes un archivo para un presupuesto sin cuenta, una clave aleatoria en una cookie técnica (mr_guest, 7 días) vincula el archivo y su presupuesto a tu navegador; solo almacenamos un hash de ella. Cuando inicias sesión para reservar o pagar, el archivo pasa a tu cuenta y la clave deja de tener relevancia. Una cookie propia (mr_attr, 30 días) registra de dónde procede tu primera visita: los parámetros de campaña del enlace (utm_source, utm_medium, utm_campaign), un código de referido, la página a la que llegaste, el host del sitio de procedencia y el día. No contiene ningún identificador, nunca se comparte y se copia en un pedido o una reserva que hagas para que podamos contar los pedidos por canal de forma agregada.

8.2Analítica de PostHog. Con tu consentimiento utilizamos PostHog para entender cómo se usa la Plataforma y mejorarla. PostHog no se carga hasta que lo aceptas en el banner de consentimiento, y puedes cambiar tu elección en cualquier momento desde la configuración de cookies.

8.3No utilizamos cookies publicitarias ni de elaboración de perfiles.

9.1Protegemos los datos con medidas que incluyen: cifrado de los archivos en reposo; subidas solo mediante URL firmadas, con un límite de 200 MB y comprobaciones en el servidor del tipo real de archivo; enlaces de descarga que caducan a las 24 horas; acceso a los archivos limitado al productor asignado mientras el pedido está aceptado o en producción; un registro de cada descarga; limitación de frecuencia; una verificación antibots (Cloudflare Turnstile) en los formularios públicos; un límite diario de correos; secretos mantenidos fuera del código; autenticación de dos factores para los administradores; un registro de auditoría inmutable; copias de seguridad diarias de la base de datos.

9.2Si se produce una violación de la seguridad de los datos personales, lo notificaremos a la autoridad competente y a los usuarios afectados cuando el RGPD lo exija.

La Plataforma es solo para adultos: debes tener al menos 18 años para abrir una cuenta, y lo confirmas al registrarte. La Plataforma no está dirigida a menores y no recogemos sus datos a sabiendas. Si llegamos a saber que el titular de una cuenta es menor de 18 años, cerramos la cuenta y suprimimos sus datos, salvo los que debamos conservar por ley. Si crees que un menor nos ha facilitado datos personales, escribe a hello@manuroute.com y los eliminaremos.

Podemos actualizar esta política. Informaremos a los usuarios registrados de los cambios sustanciales por correo electrónico o en la Plataforma antes de que entren en vigor.

Antonio Sasso, Via Giuseppe di Vittorio 171/B, 71043 Manfredonia (FG), Italia, hello@manuroute.com.