Política de privacidad y protección de datos - Kyiv Stend

Esta política de privacidad describe cómo Kyiv Stend trata los datos personales recabados a través del sitio web https://kyivstend.com.ua/es/ y de los canales comerciales asociados (correo electrónico, teléfono, WhatsApp, Viber, Telegram). La política se aplica a todos los visitantes y clientes del sitio con independencia de su ubicación geográfica, con especial atención al cumplimiento de la normativa europea y española.

El tratamiento se rige por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (Reglamento General de Protección de Datos, en adelante RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD).

1. Responsable del tratamiento

• Nombre comercial: Kyiv Stend
• Titular: Bulak Serhii, empresario individual (ФОП) conforme a la legislación ucraniana
• Actividad: fabricación y venta de fabricación bajo pedido de placas de señalización ISO 7010 y placas táctiles con Braille
• Dirección de producción: Kiev, Ucrania (dirección completa en factura comercial)
• Correo electrónico de contacto: sales@kyivstend.com.ua
• Teléfono: +380 50 542 80 38
• Sitio web: https://kyivstend.com.ua/es/

Dado que el responsable está establecido fuera del Espacio Económico Europeo (EEE), aplican reglas específicas sobre representación en la Unión Europea y transferencia internacional de datos, detalladas en los apartados 3 y 9 de esta política.

2. Datos personales que tratamos

Tratamos únicamente los datos estrictamente necesarios para la finalidad informada en cada momento. Los categorizamos del siguiente modo:

2.1. Datos facilitados por el usuario

• Formulario de solicitud de presupuesto (/solicitud-presupuesto): nombre, correo electrónico, país, teléfono o identificador de mensajería (WhatsApp / Viber

  ---

  ---

  ), descripción del proyecto, tamaño y material deseados, cantidad, plazo. Opcionalmente, hasta 5 archivos adjuntos (planos DWG / PDF, imágenes de referencia, logotipos).
• Correo electrónico y mensajería: contenido de los mensajes enviados a sales@kyivstend.com.ua o a nuestros números de WhatsApp / Viber / Telegram.
• Datos de facturación B2B: razón social, NIF o número de operador intracomunitario, dirección fiscal, persona de contacto.
• Datos de facturación B2C: nombre y apellidos, DNI o NIE si procede, dirección de entrega.

2.2. Datos recabados automáticamente

• Dirección IP y agente de usuario (User-Agent): se registran temporalmente para prevención de abusos (rate limiting del formulario, protección contra bots). Se conservan como máximo 1 hora en almacenamiento técnico anónimo (hash MD5 de la IP) antes de ser eliminados automáticamente.
• Cookies técnicas: identificador de sesión de la plataforma PrestaShop, preferencias de idioma. Son estrictamente necesarias para el funcionamiento del sitio y no requieren consentimiento previo conforme al Art. 22.2 LSSI-CE.
• Cookies analíticas y publicitarias: en el futuro podremos activar Google Analytics 4 (GA4) y Google Ads Conversion Tracking. Si lo hacemos, estas cookies requerirán consentimiento explícito del usuario a través del banner de cookies. Más detalles en nuestra política de cookies.

2.3. Datos que NO solicitamos

No tratamos categorías especiales de datos personales (Art. 9 RGPD): datos de salud, origen étnico o racial, opiniones políticas, convicciones religiosas, afiliación sindical, datos biométricos o genéticos, orientación sexual. Si un cliente envía por error información de esta naturaleza en un adjunto o mensaje, procedemos a su eliminación inmediata y notificamos al remitente.

3. Representante en la Unión Europea

Conforme al Art. 27 RGPD, los responsables del tratamiento establecidos fuera de la Unión Europea que ofrezcan bienes o servicios a interesados en la UE deben designar un representante en la Unión. Este requisito se aplica a Kyiv Stend por tratar datos de clientes residentes en España y otros Estados miembros de la UE.

Estamos en proceso de designar un representante formal en la Unión Europea. Hasta que la designación quede formalizada y comunicada en esta política, los interesados pueden ejercer sus derechos y presentar cualquier consulta sobre protección de datos directamente al responsable del tratamiento a través de los canales indicados en el apartado 11 - garantizamos los mismos plazos y las mismas garantías que si existiera representante formal designado.

Una vez formalizada la designación, actualizaremos esta política indicando el nombre, dirección y correo electrónico del representante en la UE.

4. Delegado de Protección de Datos (DPO)

Kyiv Stend no está obligado a designar un Delegado de Protección de Datos conforme al Art. 37 RGPD por los siguientes motivos:

• No somos autoridad u organismo público.
• Nuestra actividad principal no consiste en operaciones de tratamiento que requieran observación habitual y sistemática a gran escala de interesados.
• No tratamos categorías especiales de datos del Art. 9 ni datos relativos a condenas e infracciones penales del Art. 10 a gran escala.

No obstante, el titular del negocio asume personalmente la responsabilidad del cumplimiento normativo en materia de protección de datos y puede ser contactado directamente a través de sales@kyivstend.com.ua con el asunto «Protección de datos».

5. Finalidades del tratamiento y base jurídica

Cada tratamiento se fundamenta en una base jurídica distinta conforme al Art. 6 RGPD:

No tratamos datos personales con finalidades distintas a las informadas en el momento de la recogida. Si en el futuro necesitamos tratar los mismos datos para una finalidad compatible, lo comunicaremos al interesado antes del nuevo tratamiento conforme al Art. 13.3 RGPD.

6. Plazos de conservación

Los datos se conservan durante el tiempo estrictamente necesario para la finalidad del tratamiento y, en todo caso, dentro de los plazos legales obligatorios:

• Formulario de presupuesto no concretado en pedido: 12 meses desde el último contacto. Transcurrido ese plazo, los datos se eliminan automáticamente salvo que el interesado solicite expresamente seguir recibiendo comunicaciones.
• Clientes con pedido ejecutado: 6 años desde la última operación (plazo general del Art. 30 Código de Comercio para la conservación de documentos contables + plazo máximo de prescripción de acciones civiles del Art. 1964 Código Civil).
• Datos fiscales (facturas, albaranes): 10 años conforme a la normativa fiscal española y ucraniana aplicable.
• Correspondencia por correo electrónico: 3 años salvo que forme parte del expediente de un pedido ejecutado (en cuyo caso aplica el plazo de 6 años).
• Cookies técnicas: duración de la sesión del navegador.
• Cookies analíticas / publicitarias: según el proveedor (típicamente 14 meses para GA4) o hasta la retirada del consentimiento, lo primero que ocurra.
• IP del formulario (hash de rate limiting): máximo 1 hora.

Transcurridos los plazos indicados, los datos se eliminan o se anonimizan de forma irreversible, salvo que exista una obligación legal de conservación.

7. Destinatarios y encargados del tratamiento

Los datos personales pueden ser comunicados a los siguientes destinatarios en la estricta medida necesaria para la finalidad del tratamiento:

• Operadores logísticos para la gestión del envío: Nova Poshta International (Ucrania), SEUR S.A. (España), Correos Express Paquetería Urgente S.A. (España), GLS Spain Parcel Logistics S.L.U. (España), DHL Parcel Iberia S.L.U. (España). Datos comunicados: nombre y apellidos del destinatario, dirección de entrega, teléfono de contacto, descripción del paquete.
• Entidades bancarias para el procesamiento de transferencias SEPA / SWIFT: nombre o razón social del ordenante, importe, concepto, referencia de factura.
• Proveedor de hosting web: proveedor de servicios de alojamiento del sitio kyivstend.com.ua ubicado físicamente en Ucrania, actuando como encargado del tratamiento conforme al Art. 28 RGPD.
• Proveedor de servicios de correo electrónico: para el envío y recepción de notificaciones comerciales desde sales@kyivstend.com.ua.
• Google LLC (Estados Unidos): si se activa Google Analytics 4 o Google Ads, Google tratará datos de navegación anonimizados bajo el EU-US Data Privacy Framework (adequacy decision de la Comisión Europea de 10 de julio de 2023).
• Autoridades fiscales y administrativas: cuando exista obligación legal de comunicación (Agencia Tributaria, autoridades aduaneras, AEPD, juzgados y tribunales).
• Asesoría contable y fiscal externa: en Ucrania, bajo contrato de confidencialidad y encargo del tratamiento conforme al Art. 28 RGPD.

No vendemos, cedemos ni comunicamos datos personales a terceros para fines comerciales ajenos a los enumerados. Todas las relaciones con encargados del tratamiento están formalizadas mediante contrato que incluye las garantías del Art. 28 RGPD.

8. Decisiones automatizadas y perfilado

No tomamos decisiones basadas únicamente en tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos en el interesado o le afecten significativamente de modo similar. Todas las decisiones comerciales (aceptación de pedido, condiciones de pago, aplicación de descuentos) son revisadas por una persona física.

9. Transferencias internacionales de datos

Dado que Kyiv Stend está establecido en Ucrania, los datos personales recabados a través del sitio son transferidos a un tercer país fuera del Espacio Económico Europeo (Ucrania). Esta transferencia es necesaria para la ejecución del contrato con el interesado (Art. 49.1.b RGPD) y para dar respuesta a las solicitudes de presupuesto.

A fecha de publicación de esta política, Ucrania no cuenta con una decisión de adecuación de la Comisión Europea conforme al Art. 45 RGPD. En consecuencia, la transferencia se ampara en los siguientes mecanismos del Art. 46 RGPD:

• Cláusulas Contractuales Tipo (SCC) de la Comisión Europea conforme a la Decisión de Ejecución (UE) 2021/914 de 4 de junio de 2021. Aplicamos el Módulo 1 (Controller-to-Controller) entre el visitante o cliente europeo (como interesado) y Kyiv Stend (como responsable extracomunitario). Las cláusulas incluyen las medidas suplementarias (supplementary measures) exigidas por la jurisprudencia Schrems II del TJUE: evaluación de impacto en la transferencia (TIA), cifrado en reposo, acceso restringido al personal.
• Excepciones específicas del Art. 49 RGPD: cuando aplique, consentimiento explícito e informado del interesado o necesidad para la ejecución del contrato.

Puedes solicitar una copia de las SCC aplicadas al tratamiento de tus datos escribiendo a sales@kyivstend.com.ua con el asunto «Solicitud SCC - protección de datos».

10. Derechos del interesado

Como interesado tienes los siguientes derechos reconocidos por el RGPD y la LOPDGDD:

• Derecho de acceso (Art. 15 RGPD) - obtener confirmación de si se tratan tus datos y, en caso afirmativo, acceder a ellos y a la información del tratamiento.
• Derecho de rectificación (Art. 16 RGPD) - solicitar la corrección de datos inexactos o incompletos.
• Derecho de supresión u olvido (Art. 17 RGPD) - solicitar la eliminación de tus datos cuando ya no sean necesarios, retires el consentimiento o te opongas al tratamiento sin motivos legítimos prevalentes.
• Derecho a la limitación del tratamiento (Art. 18 RGPD) - solicitar que se suspenda el tratamiento temporalmente mientras se verifica la exactitud o la licitud.
• Derecho a la portabilidad de los datos (Art. 20 RGPD) - recibir los datos en formato estructurado, común y de lectura mecánica, y transmitirlos a otro responsable cuando sea técnicamente posible.
• Derecho de oposición (Art. 21 RGPD) - oponerte al tratamiento basado en interés legítimo o en finalidades de marketing directo.
• Derecho a no ser objeto de decisiones automatizadas (Art. 22 RGPD) - no aplicable en nuestro caso al no realizar este tipo de decisiones.
• Derecho a retirar el consentimiento (Art. 7.3 RGPD) - cuando el tratamiento se base en consentimiento, retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento previo.
• Derechos digitales de la LOPDGDD (Arts. 79-97) - rectificación en Internet, actualización en motores de búsqueda, derecho al testamento digital, derecho a la portabilidad en servicios de redes sociales (si procede).

11. Cómo ejercer tus derechos

Para ejercer cualquiera de los derechos enumerados en el apartado 10, envía una solicitud a:

• Correo electrónico: sales@kyivstend.com.ua con el asunto «Ejercicio de derechos - protección de datos».
• Correo postal: Kyiv Stend, Kiev, Ucrania (dirección completa facilitada bajo solicitud previa a través del correo comercial).

La solicitud debe incluir:

• Nombre y apellidos del interesado.
• Fotocopia o escaneo de un documento identificativo (DNI, NIE o pasaporte) para verificar la identidad conforme al Art. 12.6 RGPD.
• Derecho concreto que se desea ejercer.
• Dirección de notificación de la respuesta.

Responderemos a tu solicitud en el plazo máximo de un mes desde su recepción, prorrogable dos meses adicionales en casos complejos conforme al Art. 12.3 RGPD, previa comunicación de la prórroga. La respuesta es gratuita salvo que la solicitud sea manifiestamente infundada o excesiva, en cuyo caso aplicaremos las medidas del Art. 12.5 RGPD.

12. Reclamación ante la autoridad de control

Si consideras que el tratamiento de tus datos no cumple con la normativa, o que no hemos atendido correctamente tus derechos, tienes derecho a presentar una reclamación ante la autoridad de control competente:

• Agencia Española de Protección de Datos (AEPD)
  • Dirección: C/ Jorge Juan, 6, 28001 Madrid
  • Teléfono: 901 100 099 / 912 663 517
  • Sede electrónica: www.aepd.es

Antes de acudir a la AEPD, puedes contactar con nosotros directamente a través del correo indicado en el apartado 11 - intentaremos resolver tu reclamación en el plazo de 10 días hábiles.

13. Seguridad de los datos

Aplicamos las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, conforme al Art. 32 RGPD. Entre otras:

• Conexión cifrada HTTPS (TLS 1.2 o superior) en todo el sitio.
• Cifrado en reposo de las bases de datos del servidor.
• Acceso al panel de administración restringido por credenciales únicas y autenticación de dos factores.
• Acceso al almacenamiento de adjuntos del formulario de presupuesto denegado por configuración del servidor web (archivo .htaccess con Require all denied).
• Rate limiting en el formulario para prevenir ataques automatizados (máximo 5 envíos por hora por dirección IP).
• Honeypot anti-spam en los formularios.
• Copias de seguridad periódicas del servidor con cifrado y retención controlada.
• Formación continua del personal con acceso a datos personales.
• Procedimiento interno de notificación de violaciones de seguridad en el plazo de 72 horas conforme al Art. 33 RGPD.

En caso de violación de seguridad que pueda suponer riesgo para los derechos y libertades del interesado, notificaremos a la AEPD en el plazo de 72 horas y, cuando el riesgo sea alto, informaremos individualmente a los afectados sin dilación indebida conforme al Art. 34 RGPD.

14. Menores de edad

El sitio no está dirigido a menores de 14 años. No recabamos conscientemente datos de menores de esta edad. Si un padre, madre o tutor legal advierte que un menor ha facilitado datos sin autorización, puede solicitar su eliminación inmediata escribiendo a sales@kyivstend.com.ua. Procederemos a eliminar los datos en el plazo máximo de 72 horas desde la recepción de la solicitud verificada.

15. Modificaciones de la política

Podemos actualizar esta política para reflejar cambios en la normativa, en nuestros servicios o en nuestras prácticas de tratamiento. La fecha de última actualización figura al final del documento. Los cambios sustanciales se comunicarán por correo electrónico a los clientes activos y mediante aviso destacado en el sitio web durante al menos 30 días.

Se considera que el usuario acepta la política vigente al continuar utilizando el sitio tras la publicación de los cambios.

16. Normativa aplicable

Esta política se rige por:

• Reglamento (UE) 2016/679 (RGPD).
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
• Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).
• Directiva 2002/58/CE sobre la privacidad y las comunicaciones electrónicas y su normativa de desarrollo.
• Guías y recomendaciones de la Agencia Española de Protección de Datos (AEPD) y del Comité Europeo de Protección de Datos (EDPB).

Preguntas frecuentes

¿Dónde se almacenan mis datos?

¿Enviáis publicidad por correo electrónico?

¿Puedo pedir que eliminéis todos mis datos?

¿Compartís mis datos con Google o Facebook?

¿Qué pasa si vuestro sitio tiene una brecha de seguridad?

¿Dónde reclamo si no estoy conforme con el tratamiento?

Fecha de última actualización: 6 de octubre de 2026.