Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de arerarelab.com es:

  • Nombre y apellidos: Mikel Guirado
  • Forma jurídica: Empresario individual (autónomo)
  • NIF: 44144848-M
  • Domicilio profesional: Urbieta Kalea 17 bajo 1 · 20120 Hernani · Gipuzkoa · España
  • Correo electrónico: mak@arerarelab.com
  • Teléfono: +34 611 817 667

Para cualquier consulta relacionada con la protección de datos, puede contactar a través del correo electrónico indicado. Actualmente no se ha designado Delegado de Protección de Datos (DPO), dado que la actividad no requiere su nombramiento obligatorio conforme al artículo 37 RGPD; no obstante, las consultas relativas al ejercicio de derechos serán atendidas por el responsable.

2. Datos que recopilamos y finalidades del tratamiento

Tipo de dato Finalidad Base jurídica (RGPD) Plazo de conservación
Datos de contacto y pedido (nombre, apellidos, dirección postal, correo electrónico, teléfono, contenido del pedido) Gestión y ejecución del contrato de revelado de película Art. 6.1.b RGPD (ejecución del contrato) Durante la relación contractual + 6 años (obligaciones contables, art. 30 Código de Comercio)
Película fotográfica entregada y los archivos digitales resultantes Prestación del servicio de revelado y escaneado Art. 6.1.b RGPD Hasta entrega al cliente y eliminación posterior según política de borrado (ver § 8)
Datos de pago (transacción PayPal) Cobro del servicio Art. 6.1.b RGPD Conforme a obligaciones legales fiscales y contables
Datos de navegación y uso del sitio (cookies de analítica y marketing — ver Política de Cookies) Mejorar la experiencia del usuario, medir tráfico, optimizar campañas Art. 6.1.a RGPD (consentimiento) Conforme a la duración indicada en cada cookie
Datos demográficos, de intereses y de uso entre dispositivos de usuarios autenticados en Google (mediante Google Signals) Análisis de audiencias agregadas, remarketing entre dispositivos, optimización de campañas publicitarias Art. 6.1.a RGPD (consentimiento expreso para cookies de marketing/personalización) Conforme a la duración indicada en cada cookie y a la configuración de la cuenta de Google del usuario
Identificador de usuario (User-ID) propio cuando el cliente esté autenticado en una eventual área de cuenta del sitio Análisis del recorrido del cliente entre dispositivos y sesiones Art. 6.1.a RGPD (consentimiento) Mientras el cliente disponga de cuenta activa + plazos legales aplicables. Actualmente el sitio no dispone de área de cuenta para clientes finales; la funcionalidad está activada en GA4 pero no se transmiten User-IDs hasta que se implemente.
Datos hash de conversión (correo electrónico, teléfono) enviados a Google mediante Enhanced Conversions / „Datos proporcionados por el usuario» Mejorar la atribución y medición de conversiones de campañas publicitarias Art. 6.1.a RGPD (consentimiento expreso para cookies de marketing) Plazos definidos por Google (entre 30 días y hasta 540 días según configuración)
Comunicaciones por correo electrónico Atención al cliente y gestión de consultas Art. 6.1.b/f RGPD 3 años desde la última comunicación
Datos de suscripción al boletín informativo (correo electrónico y, en su caso, nombre) Envío de comunicaciones comerciales periódicas (novedades, ofertas, contenido editorial — ver § 4) Art. 6.1.a RGPD (consentimiento expreso, doble opt-in) Hasta que el usuario solicite la baja

3. Carácter obligatorio de los datos

Los datos marcados como obligatorios en los formularios son necesarios para la gestión del pedido o la atención de la consulta. Su no facilitación impedirá la prestación del servicio correspondiente. Los datos no marcados como obligatorios se recogen de forma facultativa y su omisión no afecta al servicio principal.

La suscripción al boletín informativo es siempre voluntaria y puede revocarse en cualquier momento (ver § 4).

4. Boletín informativo (newsletter)

El sitio ofrece la posibilidad de suscribirse a un boletín informativo periódico con novedades, ofertas, contenido editorial y, en su caso, anuncios de talleres o eventos del laboratorio.

  • Base jurídica: Consentimiento expreso del usuario (Art. 6.1.a RGPD), recabado mediante un mecanismo de doble opt-in: tras introducir su correo electrónico en el formulario, el usuario recibe un mensaje de confirmación que debe validar mediante un enlace para activar la suscripción.
  • Datos recogidos: Dirección de correo electrónico y, opcionalmente, nombre.
  • Encargado del tratamiento: Más información en § 6.6.
  • Frecuencia: Variable, no superior a 4 envíos al mes.
  • Ejercicio del derecho de baja: El usuario puede darse de baja en cualquier momento mediante el enlace «Darse de baja» / «Unsubscribe» incluido al pie de cada envío, o enviando un correo a mak@arerarelab.com. La baja se hace efectiva de forma inmediata, sin coste y sin necesidad de motivación.
  • Conservación: Los datos de suscripción se conservan hasta la baja del usuario o hasta la inactividad prolongada (más de 24 meses sin interacción), tras lo cual se procede a la eliminación.
  • Tracking de aperturas y clics: Puede registrar de forma agregada datos sobre apertura del correo y clics en los enlaces, con la finalidad exclusiva de medir el rendimiento de los envíos. El usuario puede oponerse a este tratamiento configurando su cliente de correo para no cargar imágenes externas.

5. Tratamiento de imágenes con personas reconocibles

Las películas que el cliente envía pueden contener imágenes de terceras personas reconocibles. El cliente es responsable de contar con las autorizaciones necesarias para el tratamiento de tales imágenes y se compromete a no enviar contenidos que infrinjan derechos de terceros. El laboratorio actúa exclusivamente como prestador del servicio de revelado y escaneado, sin realizar ningún uso adicional de las imágenes.

6. Destinatarios y encargados del tratamiento

Para prestar el servicio, el responsable comparte determinados datos personales con los siguientes encargados del tratamiento, todos ellos vinculados por contratos de tratamiento de datos (Art. 28 RGPD) o, cuando corresponda, acuerdos de corresponsabilidad (Art. 26 RGPD):

6.1 Infraestructura técnica

  • Foto Brell EK (Markt 11, 53111 Bonn, Alemania) — titular del dominio y parte contractual del proveedor de hosting.
  • Freundbild (kundenlogin.freundbild.com, Alemania) — proveedor de hosting web y correo.
  • Mittwald CM Service GmbH & Co. KG (Alemania) — subencargado de Freundbild para la infraestructura de servidores.

6.2 Procesamiento de pedidos y pagos

  • PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburgo) — procesamiento de pagos. La cuenta de cobro está titulada por Foto Brell EK como administrador fiduciario; los importes son inmediatamente atribuidos contablemente al responsable del tratamiento (Mikel Guirado).

6.3 Entrega de archivos digitales

  • Dropbox International Unlimited Company (Irlanda, con servicios técnicos de Dropbox, Inc., USA) — almacenamiento y entrega de los archivos escaneados al cliente. Región de datos: {{REGION_DROPBOX}}. Para transferencias a EE. UU. se aplican las Cláusulas Contractuales Tipo (SCC) de la UE y, en su caso, el EU-US Data Privacy Framework.

6.4 Comunicaciones por correo electrónico

  • Microsoft Ireland Operations Limited (Irlanda, con servicios técnicos de Microsoft Corporation, USA) — servicio Microsoft 365 para los buzones @arerarelab.com. El inquilino (tenant) del entorno Microsoft 365 está titulado por D. Philipp Bößem (persona física, residente en Alemania), quien actúa como corresponsable (Art. 26 RGPD) respecto de los datos contenidos en los buzones. Los datos se procesan en regiones de la UE; Microsoft puede subcontratar servicios técnicos en EE. UU. bajo SCC y EU-US DPF.

6.5 Analítica web y publicidad

  • Google Ireland Limited (Irlanda, con servicios técnicos de Google LLC, USA) — Google Analytics 4 (Measurement ID G-DL0FHETBJD, Google Tag GT-5NRXZ7Q6) y Google Ads (ID de conversión AW-18128106622, Google Tag GT-MKRZVB4S). Google actúa como corresponsable (Art. 26 RGPD) para Google Analytics. La cuenta de Google está titulada por D. Philipp Bößem (persona física). La anonimización de IP en GA4 está activada por defecto (no desactivable). Transferencias a EE. UU. amparadas por SCC y EU-US DPF.En la propiedad de Google Analytics están activadas las siguientes funciones complementarias:
    • Google Signals — habilita el análisis entre dispositivos y la elaboración de informes demográficos y de intereses únicamente para los visitantes que están autenticados en una cuenta de Google y han activado la opción «Personalización de anuncios» en su configuración de Google. Los datos se procesan de forma agregada (con umbrales mínimos de usuarios para evitar la reidentificación). El usuario puede desactivar esta función en cualquier momento desde su cuenta de Google (myaccount.google.com) y, adicionalmente, mediante el rechazo de las cookies de marketing en nuestro banner de consentimiento.
    • Función User-ID — activada en la propiedad para permitir el análisis del recorrido del cliente entre dispositivos y sesiones. Actualmente el sitio no dispone de área de cuenta para clientes finales, por lo que no se transmiten User-IDs propios; la funcionalidad estará disponible si en el futuro se implementa un área de cliente.
    • Datos proporcionados por el usuario para conversiones (Enhanced Conversions) — los datos personales facilitados en el formulario de pedido (correo electrónico, teléfono, nombre) se cifran mediante el algoritmo SHA-256 en el navegador del usuario antes de transmitirse a Google, con la finalidad exclusiva de mejorar la atribución y medición de conversiones de campañas publicitarias. Google realiza un cotejo con sus propios identificadores de usuario; los datos hash recibidos se eliminan tras el cotejo. Esta funcionalidad solo se activa con el consentimiento expreso para cookies de marketing.
  • Google Cloud BigQuery (proyecto {{ID_BIGQUERY_PROYECTO}}, región de datos EU/Frankfurt) — destino del export completo de eventos GA4. Los datos exportados incluyen el identificador user_pseudo_id y, por tanto, son datos pseudonimizados en el sentido del Art. 4.5 RGPD (no anónimos). El almacenamiento se realiza en la UE; no hay transferencia internacional para los datos almacenados.

6.6 Boletín informativo

  • {{NEWSLETTER_PROVIDER}} ({{NEWSLETTER_PROVIDER_SITZ}}) — gestión de la lista de suscripción, envío del boletín, registro de aperturas y clics de forma agregada. {{NEWSLETTER_PROVIDER_DRITTLAND}} El responsable ha suscrito un acuerdo de tratamiento de datos (Art. 28 RGPD) con este proveedor.

7. Transferencias internacionales

Algunas de las herramientas mencionadas pueden implicar transferencias de datos personales fuera del Espacio Económico Europeo (principalmente a EE. UU.). En todos los casos, las transferencias están amparadas por:

  • Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea, y/o
  • El EU-US Data Privacy Framework (DPF), respecto de aquellos receptores que se encuentren certificados.

El usuario tiene derecho a solicitar copia de las garantías aplicables.

8. Plazos de conservación

Los datos se conservan durante el tiempo estrictamente necesario para las finalidades indicadas y, posteriormente, durante los plazos de prescripción legal (responsabilidades contractuales, fiscales y contables — hasta 6 años conforme al Código de Comercio). Los archivos digitales de los pedidos se eliminan 6 meses después de la entrega al cliente, salvo solicitud expresa de conservación adicional.

Los datos de suscripción al boletín se conservan hasta la baja del usuario o hasta una inactividad de 24 meses (ver § 4).

9. Medidas de seguridad

Conforme al artículo 32 RGPD, el responsable aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, en particular:

  • Cifrado en tránsito mediante TLS/HTTPS para toda la comunicación con el sitio web.
  • Control de accesos a los sistemas internos basado en el principio de mínimo privilegio.
  • Copias de seguridad periódicas y plan de recuperación.
  • Alojamiento en servidores ubicados en la Unión Europea (Alemania para hosting web; Frankfurt para BigQuery).
  • Actualizaciones de seguridad de software y plugins de forma regular.
  • Acuerdos de tratamiento de datos con todos los encargados (Art. 28 RGPD).

A pesar de estas medidas, ninguna transmisión por Internet o sistema de almacenamiento puede garantizarse al 100 %; el responsable no puede garantizar la seguridad absoluta frente a accesos no autorizados.

10. Derechos del interesado

De conformidad con los artículos 15 a 22 RGPD y la LOPDGDD, el usuario tiene derecho a:

  • Acceso a los datos personales que le conciernen.
  • Rectificación de datos inexactos.
  • Supresión («derecho al olvido»).
  • Limitación del tratamiento.
  • Oposición al tratamiento.
  • Portabilidad de los datos.
  • Retirada del consentimiento en cualquier momento (sin efecto retroactivo).
  • No ser objeto de decisiones automatizadas con efectos jurídicos (no aplicable, ya que no se realiza profiling).

Estos derechos pueden ejercerse mediante correo electrónico a mak@arerarelab.com, acreditando la identidad del solicitante.

Adicionalmente, el usuario tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es, si considera que el tratamiento no se ajusta a la normativa.

11. Cookies

El uso de cookies se rige por la Política de Cookies publicada en este sitio.

12. Modificaciones

El responsable se reserva el derecho a modificar la presente Política de Privacidad para adaptarla a cambios legislativos, jurisprudenciales o de infraestructura. La versión vigente será siempre la publicada en este sitio.

Última actualización: 6/5/2026
Versión: 0.3 — Fase 1 (Mikel Guirado, autónomo)