Política de privacidad

Aquí te contamos qué datos tuyos guardamos, para qué, por qué podemos hacerlo, cuánto tiempo, quién más los ve y qué puedes hacer tú. Si algo no se entiende, pregúntanos.

Quién es el responsable

Xpoly es el nombre comercial de Mayra Liendro Almirón, autónoma, con NIF Z1696540L y domicilio en Avenida de Finisterre, 192, 11.º izquierda, 15010 A Coruña.
Para cualquier cosa sobre tus datos: [email protected], el 636 104 026, o en cualquiera de nuestras dos tiendas.

Xpoly no tiene delegado de protección de datos: por su tamaño y su actividad no está obligada a nombrarlo.

Resumen

• Para mirar la web no te pedimos nada. No usamos cookies de publicidad ni de analítica.
• Por la web todavía no se compra ni se paga: se mira el catálogo y, con una cuenta, se reservan las preventas, que se pagan y se recogen en la tienda. La cuenta se crea con tu correo y una contraseña, o con tu cuenta de Google. El resto (nombre, teléfono, dirección, fecha de nacimiento) lo das tú cuando hace falta.
• No guardamos copia ni número de tu DNI (si verificas la cuenta, solo anotamos quién lo miró y cuándo).
• Nuestro servidor y nuestras copias de seguridad están en la Unión Europea. Un proveedor, Cloudflare, es de Estados Unidos, y lo explicamos abajo.
• Puedes ver y corregir casi todo desde «Tu cuenta», descargar tus datos y borrar la cuenta también desde ahí, y pedirnos lo demás por correo.

Qué datos tratamos y para qué

1. Tu cuenta

Qué guardamos:

• tu correo (que es también tu nombre de usuario);
• tu contraseña, cifrada de forma que nadie puede leerla, tampoco nosotros;
• si tu cuenta está activa, cuándo la creaste y cuándo entraste por última vez (para saber si la sigues usando);
• lo que añadas en «Tu cuenta»: nombre, apellidos, teléfono, dirección, código postal, ciudad, provincia y fecha de nacimiento (todos opcionales hasta que los pida una reserva —el teléfono— o la verificación);
• si quieres, un apodo: cómo te conocen en la tienda, para que te encontremos al atenderte. Lo pones, lo cambias o lo quitas en «Tu cuenta»;
• cuándo aceptaste esta política y qué versión;
• si entras con Google: el identificador de tu cuenta de Google (un número que Google da a cada cuenta) y cuándo la uniste. Al entrar, Google nos da también tu correo —solo si lo tiene confirmado—, tu nombre y tus apellidos: con el correo anotamos que tu correo está confirmado y, si creas la cuenta así, ponemos el nombre y los apellidos en tu ficha, donde los cambias cuando quieras. No guardamos nada más de Google —ni sus claves de acceso a tu cuenta— y a Google no le mandamos nada tuyo: eres tú quien entra en tu cuenta de Google, y él nos confirma quién eres. Si quitas Google desde «Tu cuenta», o la borras, el identificador se borra en el acto;
• cuando alguien de nuestro personal cambia algo de tu cuenta desde el panel de administración, quién, cuándo y qué campo (no el valor).

Para qué: para que puedas reservar por la web y ver tus reservas, y no tengas que escribir tus datos cada vez.
Por qué podemos: porque es necesario para darte el servicio que pides al crear la cuenta (art. 6.1.b RGPD). Guardar qué versión de esta política aceptaste nos sirve para demostrar que te informamos (arts. 5.2 y 6.1.c RGPD).
Obligatorio: el correo y la contraseña, o tu cuenta de Google; sin ellos no hay cuenta. El resto, solo cuando lo necesitas.
De dónde salen: de ti y, si entras con Google, de Google, porque tú se lo pides al pulsar «Entrar con Google».

2. La verificación de tu cuenta, si la pides

Solo si pides la verificación para reservar por la web artículos de alta demanda (condiciones de uso, apartado 4).

Qué guardamos, además de lo de tu cuenta:

• cuándo la pediste;
• tu fecha de nacimiento, que aquí es obligatoria (hay que tener 18 años), y tu ficha completa (nombre, apellidos, teléfono y dirección);
• cuándo se comprobó tu identidad en tienda y qué persona de nuestro personal la comprobó. Nada del documento: ni copia, ni número, ni tipo;
• cuándo se verificó y quién, y las tres comprobaciones que esa persona declara: que tienes una sola cuenta, que no tienes impagos ni contracargos pendientes con nosotros y que compras para ti, no para revender;
• si te la negamos o te la retiramos: si fue negativa o retirada, el motivo (siempre uno de los requisitos publicados), cuándo y quién.

En la tienda, para comprobar tu identidad, nuestro personal busca tu cuenta por tu correo o tu teléfono completos.

Para qué: para comprobar que cumples los requisitos publicados y dejarte reservar lo de alta demanda.
Por qué podemos: lo pides tú antes de reservar (art. 6.1.b RGPD, medidas precontractuales a petición tuya).
Decisiones automáticas: la verificación la da una persona. El sistema comprueba solo algunos requisitos —los 18 años, la ficha completa, la identidad comprobada— y no deja verificar si falta alguno; en «Tu cuenta» ves cuál. Si cambias tu nombre, apellidos, teléfono, dirección o fecha de nacimiento, la verificación se quita sola, porque certificaba esos datos.

3. El historial de la verificación

Cada paso de la verificación queda apuntado en un historial que no se edita ni se borra a mano: la solicitud, la identidad comprobada, la verificación, la negativa o la retirada, y lo que el sistema quita solo cuando cambias tus datos.

Qué guardamos por cada paso: qué paso fue, cuándo, quién lo dio (una persona de nuestro personal, tú mismo al pedirla, o nadie si fue el sistema), el motivo si fue una negativa o una retirada, las tres declaraciones si fue una verificación y, si el paso vino de un cambio de tus datos, qué campo cambió, nunca su nuevo valor.

Para qué: para poder demostrar que tratamos igual a todo el que pide la verificación y que cada negativa tuvo un motivo publicado. La ley de igualdad de trato prohíbe discriminar en el acceso a bienes y, si alguien lo denuncia con indicios, nos toca a nosotros probar que no lo hicimos.
Por qué podemos: interés legítimo en poder defendernos de una reclamación (art. 6.1.f RGPD). No guarda ningún dato de contacto, dirección ni documento.

4. Lo que recoges en la tienda

Por la web todavía no se compra. Cuando recoges en la tienda una reserva, nace el pedido de esa entrega, y guardamos: qué artículos, cuántos, a qué precio (con su IVA), en qué tienda, la reserva de la que sale y qué persona de nuestro personal te la entregó y cuándo. La factura te la da la tienda.

Si al cobrarte en la caja de la tienda eligen tu cuenta, la compra queda apuntada a tu nombre, para que puedas consultarla desde tu cuenta. Si no la eligen, la compra no lleva tu nombre.

Para qué: para venderte lo que reservaste, llevar las cuentas y atender la garantía.
Por qué podemos: para cumplir el contrato de compra (art. 6.1.b RGPD) y, para conservar los documentos, porque lo exige la ley fiscal y mercantil (art. 6.1.c RGPD).

5. Tus reservas de preventa

Una reserva la apuntas tú desde la web, con tu cuenta, o te la apunta nuestro personal en la tienda o por teléfono.

Qué guardamos: el producto —o, si aún no lo tenemos en el catálogo, lo que nos pediste, con tus palabras—, las unidades que pides, la tienda de recogida, tu puesto en la cola, qué versión de las condiciones de preventa aceptaste si te apuntaste por la web, el estado de la reserva y sus fechas (cuándo te apuntaste, cuándo te tocó, hasta cuándo puedes pagar, cuándo te avisamos, cuándo pagaste y cómo, cuándo la recogiste o cuándo se liberó o se canceló, y por qué), el pedido que nace al pagarla o al entregártela y, de cada reparto, tu puesto en ese momento, si te tocó o no y qué persona de nuestro personal repartió. Si te la apuntamos nosotros, también qué persona de nuestro personal la apuntó y por dónde (en la tienda o por teléfono), y quién te avisó, quién anotó el pago y quién te la entregó. Si una de esas dos primeras anotaciones se deshace porque se puso por error, queda escrito quién la deshizo, cuándo y por qué.

A nombre de quién va, si te la apuntamos en la tienda o por teléfono:

• Si tienes cuenta, a nombre de tu cuenta. Para encontrarla, nuestro personal busca por tu nombre y apellidos y, de las cuentas que coinciden, ve solo el nombre, los apellidos y las tres últimas cifras del teléfono: no ve tu correo, tu dirección ni tu fecha de nacimiento. Tiene que escribir al menos dos palabras, y si coinciden más de cinco cuentas no ve ninguna. Tu teléfono entero solo lo ve cuando hay que llamarte: cuando tu reserva ya tiene su unidad, el personal de la tienda que la tiene o donde la recoges lo ve para avisarte, hasta que anota que lo ha hecho.
• Si no tienes cuenta, guardamos con la reserva tu nombre, apellidos, teléfono y correo. No se crea ninguna cuenta con ellos.

Para qué: para gestionar la cola, repartir las unidades, llamarte cuando llegue la tuya y cobrártela en la tienda. Guardar quién repartió y a quién le tocó nos sirve también para responder si alguien cree que el reparto no fue justo; y qué versión de las condiciones aceptaste, para poder demostrar qué te dijimos antes de apuntarte.
Por qué podemos: lo pides tú al apuntarte (art. 6.1.b RGPD).

6. Los avisos

Hoy no te mandamos avisos por correo. Cuando llega tu unidad, o si hay que decirte algo de tu reserva, te llama la tienda al teléfono de tu cuenta o al que nos diste al apuntarte. Cuando empecemos a mandar avisos por correo, esta política se actualizará antes y te lo diremos.

Publicidad: no mandamos comunicaciones comerciales. Si algún día lo hacemos, te pediremos permiso aparte, con una casilla sin marcar, y podrás darte de baja en cada envío.

7. La seguridad de la web

Qué se trata:

• Tu dirección IP, que la ve nuestro proveedor de red, Cloudflare, en cada visita, y que usamos para limitar los intentos de entrar y de crear cuentas: se guarda como clave de un contador que caduca solo en un minuto o una hora;
• el registro de acceso de nuestro servidor, que por cada petición apunta la hora, el método, la ruta de la página sin sus parámetros, el resultado, el tamaño, el navegador y la dirección de la conexión;
• los errores del servidor: el tipo, el fichero y la línea del código, la ruta y un mensaje del que se tapan correos, teléfonos, DNI y NIE, IBAN y números de tarjeta, igual que en lo que el servidor escribe en su registro. No se guardan los datos que enviaste ni tus cabeceras.

Para qué: para que la web funcione, frenar ataques y abusos, y arreglar fallos.
Por qué podemos: interés legítimo en la seguridad de la red y del servicio (art. 6.1.f RGPD y considerando 49).

8. Si nos escribes

Si nos escribes al correo o nos llamas, tratamos lo que nos cuentes y tus datos de contacto para responderte. El correo de xpoly.es lo guarda nuestro proveedor de correo, Hostalia (ver abajo), y lo borramos cuando ya no hace falta para atenderte. Base: tu petición y, si es sobre una reserva o una compra, el contrato (art. 6.1.b RGPD).

Lo que no hacemos

• No vendemos ni cedemos tus datos a nadie para publicidad.
• No hacemos perfiles de ti para publicidad ni personalizamos los precios con decisiones automáticas.
• Por la web todavía no se compra, no se paga y no se envía nada. Cuando se pueda, esta política se actualizará antes, con quién cobra y quién lleva los paquetes.
• No guardamos tu historial de navegación ni lo que buscas.
• No pedimos tu edad al crear la cuenta (ver la cláusula de menores en las condiciones de uso).
• Todavía no hay club de socios con puntos, inscripciones a torneos, venta de entradas ni avisos por WhatsApp. Cuando lleguen, esta política se actualizará antes y te lo diremos.

Quién más ve tus datos

Solo los proveedores que necesitamos para darte el servicio, con contrato de encargado del tratamiento, y la Agencia Tributaria con las facturas de lo que compras en la tienda, porque lo exige la ley.

Google no está en la tabla porque no trabaja para nosotros ni le pasamos tus datos: si eliges entrar con Google, entras en tu cuenta de Google en su web, y él nos confirma quién eres con los datos del apartado 1. Lo que Google haga con tu cuenta lo explica su propia política de privacidad.

Transferencias fuera de la Unión Europea

• Cloudflare, Inc. está en Estados Unidos. Las transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. (Decisión de adecuación de la Comisión de 10 de julio de 2023), en el que Cloudflare está certificada, y en las cláusulas contractuales tipo de la Comisión, según su contrato de tratamiento de datos (versión 6.4, de 3 de abril de 2026), que forma parte de las condiciones con las que tenemos contratado el servicio: https://www.cloudflare.com/cloudflare-customer-dpa/.

Cuánto tiempo guardamos tus datos

Las copias de seguridad guardan lo mismo que la base durante 24 meses como mucho, cifradas. Solo se usan para recuperar el servicio si algo se rompe, y si alguna vez hay que recuperar una, lo que se borró después no vuelve: cada borrado queda apuntado —qué se borró y cuándo, nunca el dato— y se vuelve a aplicar sobre lo recuperado.

Bloquear quiere decir que los datos se apartan y ya no se usan para nada, salvo para ponerlos a disposición de jueces, fiscales o de la Administración si los piden durante el plazo legal; después se borran.

Tus derechos

Puedes pedirnos, cuando quieras y gratis:

• acceder a tus datos y saber qué hacemos con ellos;
• corregirlos (casi todo lo corriges tú en «Tu cuenta»);
• borrarlos;
• oponerte a que los usemos, o pedir que limitemos su uso;
• llevártelos en un formato que se pueda leer con un ordenador (portabilidad).

Tres los ejerces tú mismo, en «Tu cuenta», sin escribir a nadie:

• acceder y llevártelos: «Descargar mis datos» te da un fichero (JSON, que se abre con cualquier editor de texto) con tu cuenta, tu ficha, tu verificación y su historial. De cada paso del historial dice si lo diste tú, alguien de nuestro personal o el sistema; no qué persona del personal, porque ese es un dato suyo;
• borrarlos: «Borrar mi cuenta», con tu contraseña (si entras solo con Google, te pones antes una en «Tu cuenta»). Se borra en el acto lo que dice cuánto tiempo guardamos tus datos, y ya no podrás entrar. No se puede deshacer.

Para lo demás —corregir lo que no puedas corregir tú, oponerte o pedir que limitemos el uso—, o si prefieres que lo hagamos nosotros, escríbenos a [email protected] desde el correo de tu cuenta o ven a una tienda; si no podemos saber que eres tú, te pediremos que lo acredites. Te contestamos en un mes como mucho.

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos, en https://www.aepd.es o en su sede electrónica, https://sedeagpd.gob.es.

Menores de edad

Los menores de 14 años no pueden tener cuenta propia: la crea y la usa su padre, madre o tutor. Entre los 14 y los 17 años se puede comprar y reservar con el conocimiento y la autorización de los padres. Las reglas completas, en las condiciones de uso.

Cómo protegemos tus datos

Las contraseñas se guardan cifradas de forma que no se pueden leer; la sesión va en cookies que el código de la página no puede leer; se limitan los intentos de entrar; el servidor no tiene ningún puerto abierto a internet y solo se llega a él a través de Cloudflare; las claves de los servicios externos se guardan cifradas; y los registros no guardan tus datos. Cada noche se hace una copia de seguridad cifrada, que se guarda en la Unión Europea, y cada mes ensayamos recuperarla para saber que funciona.

Cambios

Si cambiamos esta política, lo diremos en la web con su fecha, y si el cambio afecta a lo que hacemos con tus datos, te lo diremos antes. Cada cuenta guarda qué versión aceptó.

Versión: 2026-10-30.