Política de Privacidad
Última actualización: 2026-10-24
En Txiptxip nos tomamos muy en serio la protección de tus datos personales. Esta política explica qué datos recogemos, con qué finalidad, sobre qué base legal, con quién los compartimos y qué derechos te asisten, conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
1. Responsable y encargado del tratamiento
Conforme al art. 28 del RGPD, la relación se articula en dos planos:
- Txip Txip Interactive, S.L. (NIF B93756302), titular de la plataforma, es responsable del tratamiento de los datos de tu propia relación con la plataforma: tu cuenta, el funcionamiento del sitio, el procesamiento del pago, la prevención del fraude y la seguridad.
- Respecto de los datos personales tratados a través de la tienda del negocio (compra y canje de la tarjeta regalo, relación comercial y prestación de su servicio), el establecimiento emisor (el negocio) es el responsable del tratamiento y Txip Txip Interactive, S.L. actúa como encargado del tratamiento por cuenta de aquél, en los términos del Anexo I (Acuerdo de Encargo del Tratamiento) de las Condiciones del Servicio.
Punto de contacto para ejercer tus derechos frente a la plataforma: el formulario de ejercicio de derechos o info@txiptxip.com. Para los datos de los que es responsable el negocio, dirígete al propio establecimiento.
2. Datos que tratamos
- Datos de compra: nombre y correo del comprador, nombre y correo del destinatario, mensaje personal opcional e importe.
- Datos de envío: si el pedido de la tienda se entrega a domicilio, el nombre, la dirección postal y el teléfono del destinatario, y los datos del seguimiento del paquete.
- Datos de pago: gestionados directamente por Stripe. Nosotros no almacenamos los datos completos de tu tarjeta; solo recibimos un identificador de la transacción y los últimos dígitos.
- Datos de canje: código de la tarjeta, saldo y operaciones de uso.
- Datos técnicos: dirección IP, tipo de dispositivo y navegador, y datos de cookies (ver Política de Cookies).
- Datos de soporte: los que nos facilites al contactarnos.
3. Finalidades y base legal
| Finalidad | Base legal (art. 6 RGPD) |
|---|---|
| Tramitar la compra y entregar la tarjeta regalo | Ejecución de un contrato (art. 6.1.b) |
| Gestión contable, fiscal y de facturación | Obligación legal (art. 6.1.c) |
| Prevención del fraude y seguridad de la plataforma | Interés legítimo (art. 6.1.f) |
| Atención al usuario y soporte | Ejecución de contrato / interés legítimo |
| Cookies analíticas y de marketing | Consentimiento (art. 6.1.a) |
| Comunicaciones comerciales | Consentimiento (art. 6.1.a) |
| Asistente de configuración con IA y traducción automática (para establecimientos: propone textos y ajustes a partir de los datos de la cuenta y de la web pública del establecimiento; una persona los revisa y decide) | Ejecución de un contrato (art. 6.1.b) |
El asistente de configuración solo trata datos del establecimiento y de su web pública, nunca de compradores ni destinatarios de tarjetas; sus propuestas las revisa y aplica una persona y no se adoptan decisiones automatizadas con efectos jurídicos (art. 22 RGPD). Los detalles —proveedor, región europea, sin uso para entrenar modelos— están en el Anexo I de las Condiciones del Servicio.
4. Destinatarios y encargados
Compartimos tus datos con el establecimiento emisor (responsable del tratamiento) y con los siguientes proveedores que actúan como encargados del tratamiento, vinculados por contrato conforme al art. 28 RGPD:
| Proveedor | Finalidad | Ubicación y garantías |
|---|---|---|
| Stripe Payments Europe, Ltd. | Procesamiento de pagos con tarjeta y prevención del fraude. | Irlanda (UE) y EE. UU. Cláusulas Contractuales Tipo de la UE (SCC) y Data Privacy Framework UE-EE. UU. |
| Google Ireland, Ltd. (Google Workspace · Gmail) | Envío de los correos transaccionales de la plataforma (entrega de tarjetas regalo, confirmaciones, recordatorios y avisos) a través de Google Workspace. Si el establecimiento conecta su propia cuenta de Google (Gmail), los correos salen desde su dirección bajo su propio contrato con Google. | Irlanda (UE) y EE. UU. Cloud Data Processing Addendum de Google (Cláusulas Contractuales Tipo de la UE) y Data Privacy Framework UE-EE. UU. |
| Hostinger International, Ltd. | Alojamiento del servidor, la base de datos y las copias de seguridad de la plataforma. | Unión Europea (servidor en París, Francia). Copias de seguridad diarias cifradas, conservadas 30 días en el servidor. |
| Dropbox International Unlimited Company | Almacenamiento de la copia externa de las copias de seguridad de la base de datos. Las copias se cifran en nuestro servidor antes de salir de él y Dropbox no dispone de la clave, por lo que no puede leer su contenido. Se conservan 30 días. | Irlanda (UE) y EE. UU. Data Privacy Framework UE-EE. UU. y Cláusulas Contractuales Tipo de la UE, además del cifrado previo con una clave que el proveedor no tiene. |
| Google Cloud EMEA Ltd. (Vertex AI · Gemini y Cloud Translation) | Asistente de configuración con IA (propone textos, colores y ajustes de la tienda a partir de los datos y la web pública del propio establecimiento, que lo activa y revisa cada propuesta) y traducción automática de los textos de la tienda. Nunca recibe datos de clientes finales. | Unión Europea (Vertex AI, región europe-west1 — Bélgica; Cloud Translation, servicio global). Google no utiliza los datos para entrenar ni ajustar sus modelos; el registro de peticiones y respuestas está desactivado; los datos solo se tratan para atender cada petición (caché en memoria de hasta 24 h en la misma región y registro de prompts para la vigilancia de abusos previsto en sus términos). Cloud Data Processing Addendum de Google (Cláusulas Contractuales Tipo de la UE para cualquier acceso de soporte desde fuera del EEE) y Data Privacy Framework UE-EE. UU. |
| Google Ireland, Ltd. (Google Wallet) | Pases de monedero digital: cuando el cliente final elige «Añadir a Google Wallet», la plataforma crea el pase (identificador de la tarjeta, saldo, caducidad y marca del establecimiento) mediante la API de Google Wallet y el cliente lo guarda en su propia cuenta de Google. No se envían nombre ni correo del cliente. | Irlanda (UE) y EE. UU. Cláusulas Contractuales Tipo de la UE (SCC) y Data Privacy Framework UE-EE. UU. |
| Apple Distribution International Ltd. (Apple Wallet · notificaciones push) | Pases de Apple Wallet: el pase lo genera la plataforma y se instala directamente en el dispositivo del cliente final; Apple solo recibe identificadores técnicos del dispositivo y del pase para que la plataforma pueda enviarle actualizaciones (saldo, canje). No recibe nombre ni correo del cliente. | Irlanda (UE) y EE. UU. Cláusulas Contractuales Tipo de la UE (SCC) y Data Privacy Framework UE-EE. UU. |
| Sendcloud B.V. Solo si el establecimiento conecta su cuenta de Sendcloud |
Generación de la etiqueta de envío de un pedido de la tienda y seguimiento del paquete. Recibe el nombre, la dirección postal y el teléfono del destinatario, el número de pedido, el peso y el valor declarado y, si el pedido lleva alcohol, la indicación de entregar solo a un adulto (la agencia puede pedir un documento de identidad al entregar). No recibe el correo electrónico del destinatario. Para calcular el precio del envío antes de pagar solo recibe el país, el código postal y la localidad de destino. Sendcloud lo transmite a su vez a la agencia que hace el reparto (Correos, GLS, SEUR, DHL…), la que elija el establecimiento con su propio contrato. La cuenta la contrata el establecimiento directamente con Sendcloud. | Países Bajos (Unión Europea; domicilio social en Eindhoven). Su política de privacidad declara que, cuando un comercio integra su servicio, Sendcloud actúa únicamente como encargado del tratamiento por cuenta de ese comercio. Los datos se tratan en el Espacio Económico Europeo; para los proveedores propios de Sendcloud fuera del EEE, Cláusulas Contractuales Tipo de la Comisión Europea y evaluación de impacto de la transferencia. |
| Auctane, S.L.U. (ShipStation API, antes ShipEngine) Solo si el establecimiento conecta su cuenta de ShipStation |
Generación de la etiqueta de envío de un pedido de la tienda y seguimiento del paquete. Recibe el nombre, la dirección postal y el teléfono del destinatario, el número de pedido, el peso y el valor declarado y, si el pedido lleva alcohol, la indicación de entregar solo a un adulto (la agencia puede pedir un documento de identidad al entregar). No recibe el correo electrónico del destinatario. Para calcular el precio del envío antes de pagar solo recibe el país, el código postal y la localidad de destino. Lo transmite a su vez a la agencia que hace el reparto, la que elija el establecimiento con su propio contrato. La cuenta la contrata el establecimiento directamente con Auctane. | España (Unión Europea; Paseo Imperial 14, Madrid, CIF B83357863) para las cuentas de Estados miembros de la Unión Europea. Fuera de la UE y del Reino Unido la cuenta se contrata con su matriz Auctane, Inc. (Estados Unidos). Los datos de interesados del EEE se conservan en el EEE o en Estados Unidos. Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework): Auctane declara su adhesión y la de sus filiales estadounidenses certificadas. |
| Google Ireland, Ltd. (Google Analytics) | Analítica web (solo con tu consentimiento). | Irlanda (UE) y EE. UU. Cláusulas Contractuales Tipo de la UE (SCC) y Data Privacy Framework. |
| Meta Platforms Ireland, Ltd. | Publicidad y medición de campañas (solo con tu consentimiento). | Irlanda (UE) y EE. UU. Cláusulas Contractuales Tipo de la UE (SCC) y Data Privacy Framework. |
No vendemos tus datos personales. Algunas transferencias internacionales se amparan en las Cláusulas Contractuales Tipo de la UE y/o en marcos de adecuación.
5. Conservación de los datos
- Datos de compra y facturación: durante la relación y, posteriormente, el plazo legal de prescripción fiscal y mercantil (hasta 6 años, art. 30 del Código de Comercio).
- Datos de la tarjeta regalo: mientras la tarjeta esté vigente y conserve saldo.
- Datos de soporte: el tiempo necesario para atender tu solicitud y los plazos de prescripción de eventuales reclamaciones.
- Datos basados en consentimiento (cookies, marketing): hasta que retires el consentimiento.
- Propuestas del asistente de configuración e historial de cambios (establecimientos): mientras la cuenta esté activa, para poder deshacerlos; se suprimen con la cuenta.
- Solicitudes de ejercicio de derechos: 3 años desde que se cierran, para poder acreditar que se atendieron (plazo de prescripción de las infracciones muy graves, art. 72 de la Ley Orgánica 3/2018); después se borran automáticamente.
6. Tus derechos
Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, así como retirar el consentimiento prestado.
La forma más rápida es el formulario de ejercicio de derechos: eliges el derecho, dejas tu correo electrónico y recibes en ese buzón un enlace para confirmar la solicitud. Ese paso es la verificación de tu identidad —nadie puede pedir tus datos, ni su supresión, desde un correo que no sea el tuyo— y hasta que lo pulsas no consultamos, exportamos ni borramos nada. Solo si tuviéramos dudas razonables sobre tu identidad te pediríamos información adicional (art. 12.6 RGPD); nunca te pedimos por defecto una copia de tu documento de identidad. También puedes escribirnos a info@txiptxip.com indicando el derecho que deseas ejercer.
Responderemos en el plazo máximo de un mes desde la confirmación de la solicitud (art. 12.3 RGPD), prorrogable dos meses más si la solicitud es especialmente compleja, en cuyo caso te lo comunicaremos. Si rechazamos la solicitud te explicaremos por qué (art. 12.4 RGPD).
Si el formulario se dirige a un negocio, lo resuelve el propio negocio como responsable y nosotros le asistimos como encargado. Ten en cuenta que algunos datos no pueden suprimirse: una tarjeta regalo con saldo es una deuda con quien la tenga y el historial de operaciones debe conservarse por la normativa fiscal y contable (ver Conservación); en esos registros suprimimos tu nombre, tu correo y tus datos de navegación, y la tarjeta sigue siendo canjeable con su código.
Si consideras que el tratamiento no se ajusta a la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (C/ Jorge Juan, 6, 28001 Madrid).
7. Seguridad
Aplicamos medidas técnicas y organizativas apropiadas para proteger tus datos: cifrado en tránsito (TLS), control de accesos, segregación de entornos y cifrado de datos sensibles. Los pagos se procesan en entornos certificados PCI-DSS por Stripe.
8. Menores de edad
El servicio se dirige a personas mayores de edad. No recabamos conscientemente datos de menores de 14 años. Si detectamos que hemos tratado datos de un menor sin el consentimiento adecuado, los eliminaremos.
9. Cambios en esta política
Podemos actualizar esta política para reflejar cambios legales o en nuestros servicios. Publicaremos la versión vigente en esta página, indicando la fecha de última actualización.
10. Servicios de API de Google (Uso Limitado)
Cuando un establecimiento conecta su cuenta de Google para enviar los correos de sus tarjetas regalo desde su propia dirección, Txiptxip accede a la API de Gmail con el permiso gmail.send.
El uso y la transferencia por parte de Txiptxip de la información recibida de las APIs de Google se ajustan a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado. En particular:
- Usamos el acceso
gmail.sendúnicamente para enviar, en nombre del establecimiento que lo ha autorizado expresamente, los correos transaccionales de sus tarjetas regalo (confirmación de compra, entrega de la tarjeta y avisos relacionados). - No leemos, almacenamos ni indexamos el contenido del buzón; el permiso solo permite enviar.
- Los tokens de acceso y actualización se guardan cifrados y pueden revocarse en cualquier momento desde Ajustes o desde la cuenta de Google del usuario.
- No transferimos estos datos a terceros salvo lo estrictamente necesario para prestar el servicio, no los usamos con fines publicitarios y no los empleamos para entrenar modelos de IA.