La sociedad ROSE Vintage Lab SAS (en adelante, «ROSE» o «la Sociedad») otorga una importancia fundamental a la protección de los datos personales de sus usuarios. La presente Política de Privacidad y Protección de Datos (en adelante, «la Política») se establece en aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, «RGPD»), así como de la ley francesa n.º 78-17 de 6 de enero de 1978, relativa a la informática, los ficheros y las libertades, en su versión consolidada vigente.

La Política se aplica al conjunto de las operaciones de tratamiento de datos personales realizadas por ROSE en el marco de la explotación de su plataforma digital de comercio de artículos vintage de lujo japoneses, accesible a través del sitio web rosevintagelab.com, así como de las aplicaciones móviles iOS y Android correspondientes (en adelante, denominados conjuntamente «la Plataforma»).

Se refiere a cualquier persona física que interactúe con la Plataforma, ya sea como comprador (particular o profesional europeo), vendedor (proveedor japonés verificado), miembro del Cercle ROSE, o simplemente como visitante que no haya creado una cuenta.

En el sentido del artículo 4, apartado 7, del RGPD, el responsable del tratamiento es la persona jurídica que determina los fines y los medios del tratamiento de datos personales. Para el conjunto de los tratamientos descritos en la presente Política, el responsable del tratamiento es:

ROSE ha designado a un referente interno de protección de datos, disponible en support@rosevintagelab.com, encargado de velar por el cumplimiento de los tratamientos conforme al RGPD y a las disposiciones nacionales aplicables, y de constituir el punto de contacto para el ejercicio de los derechos de los interesados.

De conformidad con el principio de minimización de datos consagrado en el artículo 5, apartado 1, letra c), del RGPD, ROSE limita estrictamente la recopilación a los datos personales adecuados, pertinentes y necesarios en relación con los fines para los que son tratados.

ROSE no recopila ningún dato perteneciente a las categorías especiales contempladas en el artículo 9 del RGPD, tales como los datos relativos a la salud, las opiniones políticas, las convicciones religiosas o filosóficas, el origen étnico o racial, o los datos biométricos. En el supuesto de que dichos datos fueran comunicados de forma no solicitada, serán objeto de una supresión inmediata.

De conformidad con el artículo 6 del RGPD, todo tratamiento de datos personales debe basarse en una base jurídica. La siguiente tabla recoge el conjunto de los tratamientos realizados por ROSE, su finalidad determinada y su fundamento jurídico aplicable.

En aplicación del principio de limitación del plazo de conservación previsto en el artículo 5, apartado 1, letra e), del RGPD, los datos personales solo se conservan durante el tiempo estrictamente necesario para cumplir los fines para los que fueron recopilados, o para satisfacer las obligaciones legales y reglamentarias vigentes.

Al vencimiento de los plazos de conservación aplicables, los datos son objeto de una supresión definitiva e irreversible, o de una anonimización completa con fines estadísticos, de conformidad con las directrices de la Comisión Nacional de Informática y Libertades (CNIL).

En el marco de la explotación de la Plataforma, ROSE recurre a proveedores técnicos externos que actúan en calidad de encargados del tratamiento en el sentido del artículo 4, apartado 8, del RGPD. Estos proveedores tratan datos personales exclusivamente siguiendo instrucciones documentadas de ROSE, en cumplimiento de las obligaciones contractuales formalizadas mediante acuerdos de tratamiento de datos (DPA) conformes al artículo 28 del RGPD.

ROSE no cede, vende ni alquila a ningún tercero los datos personales de sus usuarios con fines comerciales propios de dicho tercero.

Cualquier modificación de la lista de encargados del tratamiento que implique el acceso a nuevas categorías de datos personales dará lugar a una actualización de la presente Política en un plazo de treinta (30) días.

La actividad de ROSE implica, por su naturaleza transfronteriza, flujos de datos entre la Unión Europea, Japón y los Estados Unidos. Estas transferencias se realizan en estricto cumplimiento de las disposiciones del Capítulo V del RGPD.

Los proveedores técnicos de ROSE establecidos en los Estados Unidos (Stripe, Vercel, Resend, Firebase) tratan los datos en el marco de un régimen jurídico adecuado, constituido por los siguientes instrumentos:

• Las Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea en virtud de la Decisión de Ejecución 2021/914, de 4 de junio de 2021, integradas en los acuerdos de tratamiento celebrados con cada encargado del tratamiento;
• El Marco de Protección de Datos UE-EE. UU. (EU-US Data Privacy Framework), para los proveedores certificados en dicho marco.

En el marco de las relaciones comerciales con los vendedores japoneses, determinados datos pueden transmitirse a Japón conforme a las siguientes modalidades:

• La dirección de entrega del comprador se comunica al vendedor japonés en la estricta medida necesaria para el envío del pedido, y para ningún otro fin;
• Japón es objeto de una decisión de adecuación de la Comisión Europea (Decisión 2019/419, de 23 de enero de 2019), que reconoce que este país garantiza un nivel de protección de los datos personales sustancialmente equivalente al garantizado en la Unión Europea. Estas transferencias están, por tanto, autorizadas sin necesidad de establecer garantías adicionales;
• Los vendedores japoneses están contractualmente obligados a utilizar los datos personales de los compradores que se les comunican únicamente para la ejecución del pedido y el servicio postventa asociado.

De conformidad con los artículos 15 a 22 del RGPD, toda persona física cuyos datos sean tratados por ROSE dispone de los derechos que se enumeran a continuación, que puede ejercer en cualquier momento en las condiciones previstas por la normativa aplicable.

Para ejercer cualquiera de los derechos mencionados, la persona interesada dirigirá su solicitud a ROSE por vía electrónica a la dirección support@rosevintagelab.com, indicando su nombre, apellidos y la dirección de correo electrónico asociada a su cuenta ROSE. Para las solicitudes susceptibles de afectar a datos sensibles (acceso, supresión o portabilidad), ROSE se reserva el derecho de solicitar un justificante de identidad.

De conformidad con el artículo 12, apartado 3, del RGPD, ROSE se compromete a responder en un plazo de un (1) mes a partir de la recepción de la solicitud. Este plazo puede prorrogarse dos meses más en caso de solicitudes complejas o numerosas, informándose a la persona interesada de dicha prórroga y de sus motivos dentro del plazo inicial de un mes.

La Plataforma ROSE utiliza cookies y rastreadores en estricto cumplimiento de la deliberación de la CNIL n.º 2020-091, de 17 de septiembre de 2020, por la que se adoptan directrices relativas a las cookies y otros rastreadores, y de su recomendación de 17 de septiembre de 2020. Un dispositivo de recogida del consentimiento, integrado de forma no intrusiva en la parte inferior de la pantalla, permite al usuario aceptar o rechazar las cookies no esenciales antes de su instalación.

El usuario puede modificar en cualquier momento sus preferencias en materia de cookies accediendo al enlace «Configuración de cookies» disponible en el pie de cada página de la Plataforma, o configurando su navegador conforme a las instrucciones del fabricante. El rechazo de las cookies no esenciales no afecta al acceso a las funcionalidades principales de la Plataforma.

De conformidad con el artículo 32 del RGPD, ROSE aplica las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad acorde con los riesgos que presentan los tratamientos, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento.

En caso de violación de la seguridad de los datos personales que pueda entrañar un riesgo para los derechos y libertades de las personas físicas, ROSE se compromete a:

• Notificar la violación a la Comisión Nacional de Informática y Libertades (CNIL) en un plazo de setenta y dos (72) horas desde que tenga constancia de ella, de conformidad con el artículo 33 del RGPD;
• Informar sin dilación indebida a los interesados en los casos en que la violación pueda entrañar un alto riesgo para sus derechos y libertades, de conformidad con el artículo 34 del RGPD;
• Documentar todas las violaciones en un registro interno específico, hayan dado lugar o no a notificación, de conformidad con el artículo 33, apartado 5, del RGPD.

La Plataforma ROSE está exclusivamente destinada a personas físicas mayores de edad. Los servicios ofrecidos por ROSE, que implican la realización de transacciones comerciales relativas a artículos de lujo, así como la suscripción de abonos de pago, no son accesibles a las personas menores de dieciocho (18) años.

Al crear una cuenta, el usuario declara bajo su responsabilidad ser mayor de dieciocho (18) años y disponer de plena capacidad jurídica para asumir compromisos contractuales. ROSE no recopila conscientemente ningún dato personal relativo a menores. En el supuesto de que ROSE llegara a constatar que un usuario es menor de edad, su cuenta será suspendida de inmediato y sus datos personales suprimidos sin demora.

Se invita a cualquier padre, madre o tutor legal que tenga conocimiento del registro de un menor en la Plataforma a informar de ello a ROSE en la dirección support@rosevintagelab.com, a fin de que se adopten las medidas oportunas a la mayor brevedad posible.

ROSE se reserva el derecho de modificar la presente Política en cualquier momento, en particular en caso de modificación legislativa o reglamentaria, de evolución de los servicios ofrecidos, de incorporación de nuevos encargados del tratamiento o de cualquier otra modificación sustancial de sus prácticas en materia de tratamiento de datos personales.

Toda modificación sustancial de la Política —entendida como un cambio de finalidad, la introducción de un nuevo tratamiento o la incorporación de un nuevo encargado del tratamiento establecido fuera de la Unión Europea— se notificará a los usuarios por vía electrónica al menos treinta (30) días antes de su fecha de entrada en vigor. Las modificaciones de alcance menor (corrección de errores materiales, actualización de los datos de contacto) se reflejarán mediante la actualización de la fecha de última actualización que figura en el encabezado del documento.

La versión de la Política en vigor es la accesible de forma permanente en rosevintagelab.com/confidentialite. La continuación del uso de la Plataforma más allá de la fecha de entrada en vigor de una nueva versión implica la aceptación de las modificaciones introducidas. En caso de no aceptación, el usuario tiene la posibilidad de cerrar su cuenta antes de dicha fecha.

Para cualquier pregunta relativa a la presente Política, para ejercer cualquiera de sus derechos en aplicación de los artículos 15 a 22 del RGPD, o para señalar una inquietud relativa al tratamiento de sus datos personales, toda persona interesada puede contactar con ROSE Vintage Lab por las siguientes vías:

Para permitir la tramitación diligente de la solicitud, se recomienda a la persona interesada que indique su nombre y apellidos, la dirección de correo electrónico asociada a su cuenta ROSE, la naturaleza del derecho que desea ejercer y, en su caso, los datos específicamente afectados por su solicitud. ROSE se reserva la facultad de solicitar la presentación de una copia de un documento de identidad cuando ello resulte necesario para verificar la identidad del solicitante, en particular en las solicitudes relativas al acceso, la supresión o la portabilidad de los datos.