Política de Privacidad

1. Responsable del tratamiento

BM DECORACIÓN ESPAÑA SL («nosotros»), con domicilio en Calle Dublín 21, 29670 Marbella, Málaga, España, es el responsable del tratamiento de sus datos personales conforme al Reglamento (UE) 2016/679 («RGPD»), a la Ley Orgánica 3/2018 española («LOPDGDD») y a la Lei 58/2019 portuguesa («RGPD-PT»). Vendemos exclusivamente a clientes en España y Portugal; esta política cubre ambas jurisdicciones.

No se ha designado Delegado de Protección de Datos (DPD) ya que nuestro tratamiento principal no alcanza los umbrales del artículo 37 RGPD ni del artículo 34 LOPDGDD. Consultas en materia de privacidad: privacy@bmdecor.es.

2. Categorías de datos personales

Podemos tratar las siguientes categorías de datos personales:

Identificación y contacto: nombre, correo electrónico, teléfono, dirección postal/de facturación/de envío, NIF o CIF (cuando se solicita factura), preferencia de idioma. Al realizar un pedido te pedimos un teléfono de contacto para poder localizarte en relación con esa entrega o recogida — por ejemplo, si el transportista no obtiene respuesta en el domicilio. Lo utilizamos para gestionar tu pedido y nunca como canal comercial: no te enviaremos comunicaciones comerciales por teléfono, SMS ni WhatsApp con base en este número.
Cuenta: identificador AWS Cognito (sub), contraseña cifrada, fechas de creación y último inicio de sesión, grupo (Cliente / Pros / Empleado / Administrador).
Comercial: historial de pedidos, contenido de la cesta, lista de favoritos (Wishlist), Paletas de Proyecto guardadas, identificador de cliente Stripe y token del método de pago (en ningún momento accedemos al número completo de la tarjeta) y, en los pedidos facturados desde esta web, números de factura y copias en PDF.
Profesional (Pros): nombre de empresa, número de IVA, direcciones de proyecto, sector profesional.
Comunicaciones: contenido de correos electrónicos de atención al cliente, estado de suscripción al boletín (incluido el estado pendiente mientras se espera la confirmación del doble opt-in), eventos de entregabilidad del correo (rebotes y quejas de spam, que procesamos para dejar de enviar a la dirección afectada) y correos de seguimiento posventa (por ejemplo, tras una muestra de color) enviados únicamente con tu consentimiento de marketing. En el pago mostramos además un aviso (art. 21.2 LSSI) de que, como cliente, podrás recibir ocasionalmente por correo electrónico ofertas sobre productos y servicios propios similares; puedes oponerte en ese momento, desde las preferencias de comunicación de tu cuenta o de forma gratuita mediante el enlace de baja incluido en cada uno de estos mensajes, y registramos junto a tu pedido cuándo se mostró el aviso y si te opusiste. También conservamos un registro de cada correo de servicio que un miembro de nuestro equipo te envía desde nuestro sistema de administración: la fecha, la dirección a la que se envió, el asunto, el idioma en que se redactó y qué persona del equipo lo envió, para poder responder de lo que te hemos comunicado. El texto del mensaje no se conserva en ese registro. Al margen del marketing, registramos tu elección de entrega de factura (art. 63.3 TRLGDCU): si has consentido expresamente recibir tus facturas electrónicamente por correo electrónico, cuándo, a través de qué superficie (el pago, tu cuenta o una petición a nuestro personal) y el texto exacto que aceptaste — puedes revocarlo en cualquier momento en Mi Estudio → Entrega de facturas o escribiendo a info@bmdecor.es, y entonces recibirás las facturas en papel de forma gratuita.
Técnicos / dispositivo: dirección IP truncada, navegador, sistema operativo, tamaño de pantalla, identificadores de cookies, ID de sesión, URL de procedencia, geolocalización a nivel de ciudad derivada de la IP.
Conducta (sólo con consentimiento): visualizaciones de página, eventos de clic, búsquedas, color visualizado, añadir al carrito y pasos del checkout en PostHog; si inicia sesión o completa un pedido, esta actividad se vincula a su identificador de cuenta y a su correo electrónico para medir el recorrido de compra completo. La grabación de sesión está actualmente desactivada. Las búsquedas se cuentan además en nuestro propio sistema como un total por palabra (véase la fila de términos de búsqueda en la tabla siguiente).
Monitorización de errores: trazas de error capturadas por PostHog Error Tracking, ruta, breadcrumbs, identificador seudónimo de usuario.
Devoluciones y reembolsos: cuando devuelve un pedido — motivo y descripción libre de la devolución, clasificación del caso, fotos del defecto o del daño en transporte y números de lote que aporte, decisiones de reposición e importe reembolsado.
Relación comercial (CRM): para clientes cuya relación con nuestra tienda es anterior a esta web, el historial comercial migrado desde nuestro anterior sistema de gestión (Odoo): el número de referencia interno que dicho sistema le asignaba, su NIF/CIF cuando la facturación lo requería, la empresa de la que consta usted como persona de contacto —su denominación, identificación fiscal y su función en ella—, etiquetas de relación trasladadas de ese sistema (por ejemplo, su sector profesional), el hecho de tener asignado un miembro de nuestro equipo comercial, la fecha en que pasó a ser cliente, la fecha y el número de sus compras y la fecha del último contacto registrado con usted.
Historial de interacciones: nuestro registro de contacto con usted — los correos de servicio que le enviamos (asunto, fecha e idioma, nunca el texto del mensaje), y las notas que un miembro de nuestro equipo registra sobre una llamada, una visita a la tienda o una conversación por WhatsApp o SMS: de qué trató, en qué quedó y cuándo ocurrió.
Oportunidades de venta (proyectos y obras): cuando presupuestamos un proyecto de decoración — el nombre del proyecto u obra, su ubicación, el valor estimado, la fecha en la que esperamos una decisión, la fase en la que se encuentra dentro de nuestro embudo comercial y las notas internas que nuestro equipo mantiene sobre él. El proyecto puede constar a su nombre o a nombre de una empresa de la que usted es la persona de contacto.
Compromisos y seguimientos: lo que un miembro de nuestro equipo se comprometió a hacer por usted y para cuándo — una llamada, el envío de un presupuesto, un cálculo de cantidad de pintura, la preparación de opciones de color — junto con el día y la hora comprometidos, si se cumplió y, si la fecha se aplazó, la fecha prometida inicialmente. Puede constar a su nombre o a nombre de una empresa de la que usted es la persona de contacto.
Registros trasladados de nuestro sistema anterior (solo archivo): hasta 2026 la tienda funcionaba con un sistema de gestión que ahora estamos retirando. Antes de apagarlo hemos ido copiando sus registros a nuestro propio archivo privado para que la tienda no pierda la memoria de su cuenta: un número reducido de notas de trabajo de texto libre escritas por nuestro equipo en fichas de cliente — conocimiento práctico de trabajo, como las condiciones de acceso a una obra, por quién preguntar o qué ocurrió en un trabajo anterior —, los registros de oportunidades comerciales que las acompañan (la obra o el proyecto, su etapa, su valor estimado y las fechas) y, desde agosto de 2026, una copia de seguridad completa de los registros de negocio de aquel sistema, incluidos sus pedidos y compras en tienda, los pagos, los registros de citas y reuniones y la correspondencia que intercambiamos con usted. Este archivo se conserva únicamente en almacenamiento inactivo: ninguna parte de nuestra web ni de nuestro sistema de administración lo lee, no se muestra al personal y no se decide nada a partir de él. Puede solicitarnos una copia de lo que conste sobre usted, o pedir que eliminemos las partes que no sean registros fiscales, en privacy@bmdecor.es.

No tratamos a sabiendas datos de categorías especiales (artículo 9 RGPD) ni recogemos números de identificación oficial fuera del NIF/CIF para facturación.

3. Finalidades y bases jurídicas

Finalidad	Base jurídica	Conservación
Creación de cuenta y autenticación	Contrato (6.1.b)	Hasta el cierre de la cuenta
Gestión y entrega de pedidos	Contrato (6.1.b)	6 años (art. 30 Código de Comercio)
Cumplimiento fiscal y contable	Obligación legal (6.1.c) — Ley 58/2003	6 años
Pago Stripe y prevención de fraude	Contrato (6.1.b) + interés legítimo (6.1.f)	Según DPA de Stripe
Atención al cliente	Interés legítimo (6.1.f)	3 años desde el último contacto
Boletín / marketing	Consentimiento (6.1.a) — opt-in	Hasta la baja; las solicitudes de alta sin confirmar (doble opt-in) nunca reciben envíos y caducan
Analítica (PostHog)	Consentimiento (6.1.a) — art. 22.2 LSSI-CE	12 meses
Monitorización de errores (PostHog Error Tracking)	Interés legítimo (6.1.f)	90 días
Paletas de Proyecto guardadas	Contrato (6.1.b)	Hasta la eliminación de la cuenta
Condiciones y precios de cuentas profesionales	Contrato / precontractual (6.1.b)	4 años
Devoluciones, reembolsos y reclamaciones de garantía	Contrato (6.1.b) + obligación legal (6.1.c) — garantía del consumidor	24 meses tras resolver la devolución; el texto del motivo y las fotos se eliminan al ejercer el derecho de supresión
Publicidad y remarketing (Google Ads)	Consentimiento (6.1.a) — art. 22.2 LSSI-CE	90 días (Google Ads _gcl_au); datos de conversión/audiencias según la configuración de Google Ads
Presupuestos de mostrador	Contrato / precontractual (6.1.b)	Presupuestos no convertidos: datos de contacto anonimizados a los 24 meses de la última actividad; los convertidos siguen la retención de la factura (6 años)
Correos de servicio que te envía nuestro equipo	Contrato (6.1.b) + interés legítimo (6.1.f)	6 años (registro de auditoría — solo la constancia del envío, nunca el texto del mensaje)
Ficha de cliente asociada a tus pedidos (incluida la compra sin cuenta)	Contrato (6.1.b) + interés legítimo (6.1.f)	6 años, junto al pedido al que pertenece (art. 30 Código de Comercio); se elimina con la supresión
Elección de entrega de factura (factura electrónica con tu consentimiento expreso, art. 63.3 TRLGDCU)	Obligación legal (6.1.c) — la normativa de consumo nos exige obtener, registrar y respetar tu consentimiento expreso antes de enviar facturas electrónicas, y mantener disponible la vía gratuita en papel	Mientras tu elección esté vigente (en tu ficha de cliente); el historial de cambios se conserva como registros de auditoría durante 6 años; el consentimiento registrado con cada pedido sigue la retención de 6 años del pedido
Registro de identidad en pagos en efectivo de importe alto por no residentes (tipo de documento, número y país de residencia fiscal)	Obligación legal (6.1.c) — la Ley 7/2012 art. 7 solo permite efectivo de 1.000–10.000 € a particulares no residentes y nos obliga a conservar el justificante	Mínimo 5 años (Ley 7/2012 art. 7.Cinco), junto a los registros fiscales de la venta (6 años, art. 30 del Código de Comercio); no puede suprimirse antes — es la justificación legal de haber aceptado el pago
Historial de relación con clientes migrado desde nuestro anterior sistema de gestión (Odoo) — véase «Relación comercial (CRM)» más arriba	Interés legítimo (6.1.f) — continuidad del servicio a clientes existentes	Se conserva mientras dure la relación comercial; se elimina o anonimiza si solicita la supresión
Mantener constancia de nuestro contacto con usted, para que cualquiera de nuestro equipo pueda retomar la conversación donde quedó	Interés legítimo (art. 6.1.f) — prestar una atención al cliente coherente	Se conserva mientras dure la relación comercial; se elimina si solicita la supresión
Gestión de los proyectos y obras que presupuestamos (nuestro embudo comercial)	Interés legítimo (art. 6.1.f) — gestionar nuestra relación comercial y hacer seguimiento de los trabajos cuyo precio nos ha pedido; ejecución de un contrato (art. 6.1.b) cuando usted ha solicitado un presupuesto	Se conserva mientras el proyecto está vivo y durante un periodo acotado tras su cierre. Un proyecto que consta a su nombre se elimina si solicita la supresión; cuando el proyecto pertenece a una empresa y usted sólo es su persona de contacto, se elimina su vínculo con él y se mantiene el registro comercial de la empresa
Etapa de cliente — cada noche calculamos si tienes una obra en marcha, si estás en silencio o si te toca repintar, a partir de con qué frecuencia y hace cuánto nos has comprado y en qué categoría de producto. El equipo ve una sola palabra (nuevo, activo, en riesgo, perdido, recuperado) para saber a quién atender; tú nunca la ves y de ella no depende ni tu precio, ni tus productos, ni ninguno de tus derechos	Interés legítimo (6.1.f) — llevar una tienda especialista pequeña que recuerda a sus propios clientes. Usamos únicamente tu historial de compra con nosotros; nunca compramos ni añadimos datos de ninguna otra procedencia. Puedes oponerte en cualquier momento y sin dar ningún motivo: desactivar los correos comerciales detiene también el cálculo de cuándo contactarte, no solo los correos. La valoración escrita completa de esta ponderación está disponible si la solicitas	Solo el valor actual en tu ficha de cliente — no guardamos histórico de etapas anteriores — y se elimina por completo cuando se suprime tu ficha
Archivo de nuestro sistema de gestión anterior — las notas de trabajo que nuestro equipo había escrito en las fichas de cliente, los registros de oportunidades comerciales (obra o proyecto, etapa, valor estimado y fechas) y, desde agosto de 2026, una copia de seguridad completa de los registros de negocio de aquel sistema (tus pedidos y compras en tienda, los pagos, las citas y nuestra correspondencia contigo), copiados a nuestro propio almacenamiento privado antes de apagar aquel sistema para que la tienda no pierda la memoria de tu cuenta	Interés legítimo (6.1.f) — no perder años de registros de negocio propios y de conocimiento de trabajo en un cambio de sistema obligado. El archivo se guarda en almacenamiento inactivo: ninguna parte de nuestra web ni de nuestra administración lo lee, no se muestra a ningún miembro del equipo y no se toma ninguna decisión a partir de él. Las partes que no son documentos fiscales no están sujetas al plazo de 6 años, y puedes pedirnos que las eliminemos cuando quieras. La valoración escrita completa de esta ponderación está disponible si la solicitas	Hasta que decidamos si incorporamos este material a nuestro sistema actual, con revisión cuando se cierre definitivamente el sistema antiguo. Se elimina si lo solicitas — retiramos el material de todas las copias del archivo, incluidas las instantáneas anteriores y las versiones previas de los ficheros
Contar las palabras escritas en el buscador de la tienda, para ver cuáles no encuentran nada y añadirlas al vocabulario de búsqueda. Un total por palabra y por zona del sitio — no se guarda con él ningún identificador de visitante, sesión ni dispositivo, y no hay forma de reconstruir qué buscó una persona concreta	Consentimiento (6.1.a) — el mismo consentimiento de Análisis del aviso de cookies. Las búsquedas que escribe nuestro personal en el mostrador se cuentan en cambio por interés legítimo (6.1.f): es nuestro personal usando nuestra propia herramienta interna, y el recuento sigue sin identificar a nadie	90 días, transcurridos los cuales las cifras se borran solas

4. Encargados del tratamiento y destinatarios

Recurrimos a los siguientes encargados del tratamiento:

Amazon Web Services EMEA SARL — infraestructura cloud (AWS Amplify, Lambda, DynamoDB, S3, Cognito, Secrets Manager, KMS, CloudFront). Región principal de tratamiento: Irlanda (eu-west-1). Garantías: DPA de AWS y Cláusulas Contractuales Tipo de la UE para cualquier subcontratista fuera del EEE. Certificaciones: ISO 27001 y SOC 2.
Amazon Web Services SES — correo electrónico transaccional (confirmaciones de pedido, restablecimientos de contraseña, acuses de desistimiento). Región: eu-west-1. Garantía: DPA de AWS.
Stripe Payments Europe Ltd — procesamiento de pagos (PSP), tokenización de tarjetas y prevención de fraude. Región: Irlanda; subcontratistas en Stripe, Inc. (EE. UU.). Garantías: DPA de Stripe, Cláusulas Contractuales Tipo de la UE y Marco UE-EE. UU. de Privacidad de Datos (DPF) cuando proceda; PCI-DSS Nivel 1. En ningún momento accedemos al número completo de su tarjeta.
PostHog Inc. — analítica de producto. Región de alojamiento: Unión Europea (Fráncfort, Alemania — PostHog EU Cloud); PostHog es un proveedor constituido en EE. UU., y su DPA con Cláusulas Contractuales Tipo de la UE cubre cualquier acceso residual desde fuera del EEE. Activado únicamente con su consentimiento expreso. Con su consentimiento, si inicia sesión o completa un pedido vinculamos su identificador de cuenta y su correo electrónico a su actividad de navegación para medir el recorrido de compra completo; este perfil analítico se elimina mediante el mismo proceso de supresión de cuenta que el resto de sus datos. Medidas suplementarias: anonimización de IP, exclusión de PII, filtrado automatizado de PII en autocaptura.
PostHog Error Tracking — monitorización de errores integrada en el mismo proyecto PostHog que la analítica (no es un proveedor separado). Las trazas de error se capturan automáticamente desde el navegador y desde Lambda; PII filtrada antes del envío; grabación de sesión desactivada. Base: interés legítimo (artículo 6.1.f) para diagnóstico y seguridad.
Transportista (entrega de última milla) — el courier asignado a su envío recibe únicamente los datos imprescindibles para la entrega (nombre, dirección, teléfono, peso del pedido). El transportista figura en el correo de expedición.
Asesoría / gestoría — un asesor externo en España trata los datos de facturación para las declaraciones tributarias bajo acuerdo de confidencialidad.
Google Ireland Ltd / Google LLC — Google Analytics (analítica web, activada solo con su consentimiento de Analítica), Google Ads (medición publicitaria y remarketing, activado solo con su consentimiento de Publicidad: con dicho consentimiento compartimos señales de interacción publicitaria — las señales ad_storage, ad_user_data y ad_personalization conforme a Google Consent Mode v2 — para que Google pueda atribuir conversiones y crear listas de audiencia; NO enviamos identificadores de cliente cifrados, es decir, no se utilizan las Conversiones Mejoradas), Google Tag Manager (carga las etiquetas anteriores de forma respetuosa con el consentimiento; no instala cookies propias), Google Customer Reviews (encuesta de valoración posterior a la compra: si usted decide participar, compartimos su correo electrónico, el número de pedido y la fecha estimada de entrega para que Google le remita la encuesta) y Google Merchant Center (catálogo de producto para Google Shopping). Región: EE. UU. Garantías: Cláusulas Contractuales Tipo de la UE y Marco UE-EE. UU. de Privacidad de Datos (DPF); anonimización de IP en Analytics.
Orac NV (Orac Décor · Noël & Marquet) — cuando su pedido contiene artículos de Orac Décor o Noël & Marquet, el fabricante se los envía directamente desde su fábrica y recibe únicamente los datos imprescindibles para esa expedición (nombre, dirección de entrega y los artículos a enviar — o la dirección de nuestra tienda en los pedidos Click & Collect). Base jurídica: ejecución del contrato de compra (art. 6.1.b RGPD). Región: Bélgica (UE).

No vendemos ni alquilamos datos personales a terceros con fines de marketing propio.

5. Transferencias internacionales

Los datos analíticos se alojan en PostHog dentro de la UE (Fráncfort, Alemania) y no constituyen una transferencia internacional. Cuando se transmiten datos fuera del Espacio Económico Europeo — principalmente a subcontratistas de Stripe y a Google en EE. UU.—, nos amparamos en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914) complementadas con las medidas suplementarias exigidas por la sentencia Schrems II del TJUE (asunto C-311/18). Estas medidas incluyen el cifrado en tránsito, la seudonimización y restricciones contractuales sobre el acceso por parte de autoridades extranjeras. Cuando Stripe o Google se amparan en el Marco UE-EE. UU. de Privacidad de Datos, nos remitimos también a esa decisión de adecuación.

6. Sus derechos

Conforme a los artículos 15 a 22 RGPD y a la LOPDGDD, le asisten los siguientes derechos:

Acceso — solicitar copia de los datos personales que tratamos sobre usted.
Rectificación — corregir datos inexactos o incompletos.
Supresión («derecho al olvido») — solicitar la eliminación, sin perjuicio de los plazos de conservación impuestos por la legislación tributaria.
Portabilidad — recibir sus datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
Limitación del tratamiento en los casos previstos.
Oposición al tratamiento basado en interés legítimo, incluida la oposición al marketing directo.
Retirada del consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.
No ser objeto de decisiones automatizadas con efectos jurídicos (artículo 22).

Puede ejercer sus derechos de acceso y supresión directamente desde la configuración de su cuenta:

Descargar mis datos — ejercicio del derecho de acceso con un solo clic (artículo 15). Devuelve un archivo JSON con todos los datos personales que tratamos sobre usted, incluido el historial de pedidos, la cesta, la suscripción al boletín, las consultas enviadas y el perfil de Cognito.
Eliminar mi cuenta — ejercicio del derecho de supresión con un solo clic (artículo 17). Anonimiza su historial de pedidos (el registro contable de cada compra, incluida la cabecera de cualquier factura emitida por ella, permanece durante el plazo de conservación de 6 años exigido por la AEAT), elimina por completo su cesta, la suscripción al boletín y las consultas enviadas, y suprime su registro de usuario en Cognito. Le enviamos un correo de confirmación en castellano resumiendo qué se eliminó y qué se conservó.

Para el resto de derechos —rectificación, limitación, oposición, portabilidad de datos no incluidos en la exportación JSON— escriba a privacy@bmdecor.es. Podemos solicitar prueba de identidad para verificar su solicitud y responderemos en el plazo de un mes, prorrogable por dos meses en solicitudes complejas (artículo 12 RGPD).

7. Decisiones automatizadas

No adoptamos decisiones plenamente automatizadas con efectos jurídicos o significativos. Stripe aplica filtrado automatizado de fraude (Stripe Radar) para autorizar o rechazar pagos; se trata de un proceso de interés legítimo operado por el encargado del tratamiento y no de una decisión adoptada por nosotros. Puede ponerse en contacto con nosotros para obtener una revisión humana de cualquier pago rechazado por motivos de fraude.

8. Menores

Nuestro servicio no se dirige a personas menores de 14 años (edad de consentimiento digital en España conforme al artículo 7 LOPDGDD). No recogemos a sabiendas datos personales de menores de 14 años. Si cree que un menor nos ha facilitado datos, escríbanos a privacy@bmdecor.es y procederemos a su eliminación.

9. Seguridad

Conforme al artículo 32 RGPD aplicamos medidas técnicas y organizativas adecuadas al riesgo: TLS para todo el tráfico, AWS Cognito para el cifrado de contraseñas, AWS KMS para el cifrado en reposo, principio de mínimo privilegio en IAM, AWS CloudWatch para registro y alerta de seguridad, y AWS WAF con limitación de tasa en el sitio público. Nuestra CDN (cdn.bmdecor.es) conserva registros de acceso (incluidas direcciones IP) para la supervisión de seguridad y la investigación de incidentes, con una retención máxima de 90 días. El acceso interno a datos personales está restringido al personal autorizado bajo obligaciones de confidencialidad.

10. Cookies

Utilizamos cookies esenciales para mantener su sesión y la cesta de la compra. Las cookies analíticas (PostHog y Google Analytics) y las cookies publicitarias (Google Ads) se activan únicamente con su consentimiento expreso y por categorías a través del banner de cookies — puede aceptar o rechazar la Analítica y la Publicidad de forma independiente — conforme al artículo 22.2 LSSI-CE y a la Guía de Cookies de la AEPD de 2024. Consulte nuestra Política de Cookies para el inventario completo.

11. Autoridades de control

Le asiste el derecho a presentar una reclamación ante la autoridad de control de su país de residencia, sin necesidad de ponerse en contacto previamente con nosotros.

España — Agencia Española de Protección de Datos (AEPD):

Dirección: C/ Jorge Juan, 6, 28001 Madrid
Teléfono: 901 100 099 / 91 266 35 17
Web: www.aepd.es

Portugal — Comissão Nacional de Proteção de Dados (CNPD):

Dirección: Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa
Teléfono: +351 213 928 400
Web: www.cnpd.pt

12. Cambios en la política

Podemos actualizar esta política para reflejar cambios operativos, legales o técnicos. La fecha de «Última actualización» de la cabecera refleja el último cambio. Los cambios sustanciales se notifican por correo electrónico y se vuelve a recabar el consentimiento mediante el banner de cookies cuando el consentimiento sea la base jurídica afectada.