Política de privacidad

Esta política describe cómo Paradise Island Sex Shop(en adelante, "el Responsable") trata los datos personales de los usuarios del sitio web paradiseisland.es, en cumplimiento del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Responsable del tratamiento

• Denominación: Paradise Island S.L.U.
• NIF: B58549155
• Domicilio: Carrer d'Aragó, 249, 08007 Barcelona
• Email: info@bluebox.cat

Finalidades del tratamiento

• Gestionar la cuenta de usuario y el acceso a servicios.
• Procesar pedidos, pagos, envíos y reclamaciones derivadas de la relación contractual.
• Atender solicitudes de información y consultas a través de los canales habilitados.
• Cumplir obligaciones legales, fiscales y contables.
• Envío de comunicaciones comerciales, solo si el usuario lo ha autorizado expresamente.
• Registro de la verificación de mayoría de edad, exigido por la normativa de comercio de productos para adultos (dato no identificativo: hash de IP y agente de usuario).

Base legítima

• Ejecución del contrato de compraventa.
• Cumplimiento de obligaciones legales del Responsable.
• Consentimiento expreso del usuario para marketing y cookies no esenciales.
• Interés legítimo en la prevención del fraude y la seguridad del sitio.

Conservación de los datos

Los datos se conservarán mientras se mantenga la relación comercial y, después, durante los plazos legales aplicables (6 años para datos contables y fiscales, 5 años para acciones derivadas del contrato según el Código Civil). Los registros de verificación de edad se conservan durante el tiempo mínimo necesario para acreditar cumplimiento normativo.

Destinatarios y encargados del tratamiento

Para prestar el servicio, el Responsable contrata a los siguientes encargados del tratamiento, todos sujetos a contrato de encargo conforme al art. 28 RGPD:

• PayPal (Europe) S.à r.l. et Cie, S.C.A. — procesamiento de pagos y comunicación al banco emisor (Luxemburgo, UE).
• Resend, Inc. — envío de email transaccional (confirmaciones de pedido, verificación de cuenta, recuperación de contraseña). Servidores en EEUU bajo Cláusulas Contractuales Tipo de la UE.
• Vercel Inc. — hosting de la aplicación web, logs y métricas. Servidores con presencia en la UE; transferencias a EEUU bajo Cláusulas Contractuales Tipo y Data Privacy Framework.
• Supabase Inc. — base de datos PostgreSQL gestionada (almacenamiento de cuenta, pedidos, direcciones, registros de verificación de edad). Servidores en la UE.
• Cloudinary Ltd. — alojamiento y entrega de imágenes del catálogo (no procesa datos personales del cliente).
• Google LLC — únicamente si el usuario opta por iniciar sesión con su cuenta de Google (OAuth). Servidores en EEUU bajo Data Privacy Framework.
• Dream Love (proveedor dropshipping) — recibe los datos de envío del pedido cuando la mercancía sale directamente desde su almacén.
• Empresas de transporte (NACEX, Correos Express y similares) — exclusivamente datos de envío necesarios para la entrega.
• Functional Software, Inc. (Sentry) — monitorización de errores y rendimiento de la aplicación. No se le envían datos personales identificativos, sólo trazas técnicas.
• Administraciones públicas en cumplimiento de obligaciones legales (Hacienda, Seguridad Social, autoridades competentes en caso de requerimiento).

Transferencias internacionales

Algunos encargados (Resend, Vercel, Google, Sentry, Cloudinary) pueden tratar datos fuera del Espacio Económico Europeo. En todos los casos las transferencias se realizan bajo garantías adecuadas: Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) o adhesión al EU-U.S. Data Privacy Framework. El usuario puede solicitar copia de las garantías contractuales escribiendo a info@bluebox.cat.

Derechos del usuario

Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento, enviando un email a info@bluebox.cat con copia de un documento identificativo. Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Medidas de seguridad

El Responsable aplica medidas técnicas y organizativas para garantizar la seguridad de los datos: cifrado en tránsito (HTTPS), control de accesos, registros de auditoría, copias de seguridad y mínima retención. Los pagos se procesan en pasarelas certificadas PCI-DSS y no almacenamos números de tarjeta en nuestros sistemas.