Esta Política de Privacidad explica cómo JUDIT FERNÁNDEZ IRIZABAL, empresaria individual que opera bajo la marca Y.5 Perfect Skin, trata los datos personales relacionados con el sitio web, las compras, las cuentas, la atención al cliente y los demás servicios descritos a continuación, de acuerdo con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
Durante el lanzamiento, la oferta comercial y las entregas de Y.5 Perfect Skin se limitan a España. Si se habilitan otros territorios o nuevos tratamientos, esta política se revisará antes de su activación.
Cuando un formulario presente una información resumida sobre privacidad, esta política constituye la información adicional o segunda capa.
1. Responsable del tratamiento
| Responsable | JUDIT FERNÁNDEZ IRIZABAL |
|---|---|
| Forma de actividad | Empresaria individual — autónoma |
| Marca comercial | Y.5 Perfect Skin |
| NIF | 20188278-M |
| Domicilio | Ruamayor 3, 39008 Santander, Cantabria, España |
| Privacidad y derechos | privacidad@y5perfectionskin.com |
| Sitio web | www.y5perfectionskin.com |
Esta política se aplica a los tratamientos realizados por Y.5 Perfect Skin a través del sitio web, la cuenta de cliente, el checkout, las compras únicas o recurrentes, los pedidos asistidos, las devoluciones, las consultas, las solicitudes profesionales, las valoraciones y las funcionalidades opcionales que se encuentren activadas.
2. Datos tratados y procedencia
Y.5 Perfect Skin puede tratar las siguientes categorías de datos:
- Datos identificativos y de contacto: nombre, apellidos, email, teléfono y, cuando resulte necesario, documento o número fiscal.
- Datos de cuenta: identificador de usuario, datos de autenticación gestionados por el proveedor, preferencias y estado de la cuenta.
- Datos contractuales y de compra: carrito, productos, importes, descuentos, pedidos, suscripciones, devoluciones, incidencias y comunicaciones transaccionales.
- Datos de entrega y facturación: dirección, localidad, código postal, provincia, país e información necesaria para entregar o facturar.
- Datos de pago limitados: método utilizado, estado, importe y referencias proporcionadas por la pasarela. Y.5 Perfect Skin no recibe ni almacena el número completo de tarjeta ni el CVV.
- Datos profesionales: empresa, NIF o IVA, actividad, cargo, dirección profesional, solicitud B2B, documentación contractual y comunicaciones asociadas.
- Valoraciones: puntuación, título, comentario, producto o tienda valorados y datos necesarios para verificar la compra.
- Consultas, devoluciones, reclamaciones e incidencias de producto, incluidos datos sobre reacciones o efectos no deseados cuando sean necesarios para atender la comunicación.
- Datos técnicos y de seguridad: IP, fecha y hora, ruta, dispositivo o navegador, eventos de autenticación, errores, intentos abusivos y evidencias de seguridad.
- Preferencias y consentimientos: cookies, Analytics y, si se activan, comunicaciones comerciales.
- Datos analíticos: páginas, interacciones, origen de la visita, campaña y datos técnicos, únicamente después de consentir Analytics.
Procedencia de los datos
Los datos pueden proceder:
- directamente de la persona interesada;
- de quien realiza una compra o facilita una dirección para otra persona;
- del dispositivo o navegador;
- de proveedores de pago, autenticación, entrega o seguridad;
- de una empresa que identifica a una persona como contacto profesional.
Autocompletado de direcciones con Google Places
El autocompletado será voluntario. Solo se activará cuando el usuario lo seleccione y podrá transmitir a Google el texto introducido para buscar la dirección y los datos técnicos necesarios para prestar la función. Siempre existirá una alternativa de introducción manual.
No se enviarán a Google datos del piso o puerta mediante el autocompletado. La confirmación de compra no mostrará ni cargará un mapa de Google y no enviará posteriormente la dirección de entrega a Google con esa finalidad.
3. Finalidades y bases jurídicas
Cada tratamiento se limita a una finalidad determinada y se apoya en la base jurídica que se indica a continuación.
| Finalidad | Base jurídica |
|---|---|
| Crear y gestionar la cuenta, la autenticación y las preferencias. | Ejecución del contrato o medidas precontractuales — artículo 6.1.b RGPD. |
| Gestionar checkout, pedidos, pagos, suscripciones, enlaces de pago, entrega, devoluciones y atención posventa. | Ejecución del contrato — artículo 6.1.b RGPD. |
| Enviar un único recordatorio manual de un checkout abandonado si la función se activa y la persona marca voluntariamente la autorización específica. | Consentimiento — artículo 6.1.a RGPD. No se enviará el recordatorio mientras la función permanezca inactiva ni cuando no exista autorización acreditada. |
| Emitir facturas y cumplir obligaciones contables, fiscales y regulatorias. | Cumplimiento de obligaciones legales — artículo 6.1.c RGPD. |
| Responder consultas. | Medidas precontractuales o ejecución del contrato cuando se relacionen con una compra; interés legítimo para gestionar otras consultas voluntarias — artículos 6.1.b y 6.1.f RGPD. |
| Gestionar solicitudes y relaciones B2B. | Medidas precontractuales, contrato, obligaciones legales y, para contactos de empresa, interés legítimo debidamente ponderado. |
| Prevenir fraude, proteger cuentas y defenderse frente a abusos o reclamaciones. | Interés legítimo — artículo 6.1.f RGPD— y obligaciones legales cuando correspondan. |
| Verificar y publicar valoraciones. | Consentimiento para la publicación — artículo 6.1.a RGPD— y verificación de la compra para preservar la autenticidad del servicio. |
| Medir el uso del sitio mediante Google Analytics 4. | Consentimiento — artículo 6.1.a RGPD— junto con las reglas aplicables al almacenamiento o acceso al dispositivo. |
| Ofrecer voluntariamente el autocompletado mediante Google Places. | Consentimiento derivado de la activación voluntaria — artículo 6.1.a RGPD. |
| Enviar newsletters u otras comunicaciones promocionales si la función correspondiente se activa. | Consentimiento específico — artículo 6.1.a RGPD. No se utilizará un interés legítimo genérico para estas funciones. |
| Enviar información transaccional sobre un pedido concreto mediante WhatsApp cuando la función esté activa y la persona lo autorice expresamente en el checkout. | Consentimiento — artículo 6.1.a RGPD. Es opcional, se vincula únicamente a ese pedido, no incluye publicidad y puede retirarse sin afectar a los emails necesarios para ejecutar la compra. |
| Facilitar el contacto directo iniciado voluntariamente por la persona usuaria mediante WhatsApp si el botón correspondiente se activa. | Medidas precontractuales o ejecución del contrato cuando la consulta se relacione con una compra; interés legítimo debidamente ponderado para atender otras consultas voluntarias — artículos 6.1.b y 6.1.f RGPD. El enlace solo precarga un saludo y no envía la consulta hasta que la persona confirme el envío dentro de WhatsApp. |
| Atender derechos, requerimientos y reclamaciones. | Obligación legal y, cuando corresponda, interés legítimo en acreditar su gestión. |
| Gestionar incidencias de seguridad de producto y obligaciones de cosmetovigilancia. | Cumplimiento de obligaciones legales — artículo 6.1.c RGPD. Si resultan imprescindibles datos de salud, se facilitará la información adicional sobre la condición aplicable del artículo 9 RGPD. |
Retirar un consentimiento no afectará a tratamientos contractuales o legalmente obligatorios ni a la licitud del tratamiento realizado antes de la retirada.
4. Conservación, bloqueo y supresión
Los datos se conservarán únicamente durante el tiempo necesario para cada finalidad. Se aplican los siguientes plazos o criterios:
| Categoría | Plazo o criterio |
|---|---|
| Pedidos, pagos, facturas, abonos y documentación mercantil o fiscal | Seis años, sin perjuicio de otros plazos legalmente exigibles. |
| Cuenta de cliente | Mientras permanezca activa. Tras una solicitud verificada de supresión, los datos no sujetos a conservación pasarán por una cuarentena técnica restringida máxima de 15 días antes de su supresión o minimización. Durante ella podrá iniciar sesión, consultar pedidos y documentos fiscales, contactar con soporte, ejercer derechos y retirar la solicitud, pero no efectuar nuevas compras ni cambios opcionales de perfil, direcciones o recurrencia. |
| Carrito | 30 días desde la última actividad. |
| Checkout abandonado | 90 días cuando no exista pedido; después se suprimirán los eventos de recuperación y se desvincularán identificadores, referencias de pago, cesta, notas y trazas de navegación. Una excepción por fraude, reclamación u obligación legal deberá quedar restringida, documentada y tener fecha límite. |
| Consultas sin relación posterior | Hasta resolverlas y, como máximo, 12 meses. |
| Solicitudes B2B no aprobadas o abandonadas | 12 meses desde la última interacción; después se suprimirán los documentos exclusivos de la solicitud y se minimizarán sus datos, salvo obligación o reclamación documentada. Las relaciones aprobadas siguen una regla contractual separada. |
| Relación profesional aprobada | Mientras esté activa y, posteriormente, durante los plazos legales o de reclamación aplicables. |
| Comunicaciones comerciales | Hasta retirar el consentimiento. Podrá conservarse una evidencia mínima de la retirada para impedir nuevos envíos. |
| Autorización y mensajes de pedido por WhatsApp | Durante la gestión del pedido. Tras una retirada cesarán los nuevos mensajes; la evidencia necesaria podrá conservarse bloqueada durante los plazos contractuales, legales o de reclamación aplicables. |
| Consultas iniciadas por WhatsApp | Hasta resolverlas y, como máximo, 12 meses cuando no exista una relación posterior, sin perjuicio de los plazos contractuales, legales o de reclamación aplicables. |
| Google Analytics 4 | 14 meses, sin reiniciar el plazo por nueva actividad. |
| Preferencia de cookies | Un máximo de 24 meses, salvo cambio o retirada anterior. |
| Registros de seguridad y errores ordinarios | 90 días. Los datos vinculados a un incidente podrán restringirse durante el tiempo necesario para investigarlo o defender reclamaciones. |
| Enlaces de pedido telefónico no pagados | 30 días después de su caducidad; se invalidarán el token y el código y se minimizarán los datos auxiliares. El pedido o documento fiscal asociado sigue su propia regla de conservación. |
| Notas internas de cliente | Un máximo de 24 meses, salvo necesidad contractual, legal o de reclamación documentada. |
| Solicitudes de derechos | Tres años desde su cierre, con acceso restringido. |
| Valoraciones | Mientras permanezcan publicadas o hasta su retirada; la evidencia necesaria para gestionar reclamaciones podrá conservarse restringida durante el plazo aplicable. |
| Cosmetovigilancia | Durante el plazo exigido por la normativa de producto y el necesario para la trazabilidad y defensa de reclamaciones. |
Cuando deban conservarse datos por una obligación legal o una reclamación, quedarán bloqueados o restringidos y no se utilizarán para otras finalidades. Finalizado el plazo, se eliminarán o anonimizarán.
La minimización de un registro interno no significa que todas las copias o sistemas de proveedores queden anónimos en ese momento; cada sistema aplica su regla y cualquier conservación excepcional debe estar limitada y documentada.
Los proveedores que actúen como responsables independientes podrán aplicar sus propios plazos legalmente justificados, que se indicarán cuando resulte aplicable.
5. Destinatarios y proveedores
Y.5 Perfect Skin no vende datos personales. Solo permitirá su acceso o comunicación cuando sea necesario para prestar un servicio solicitado, cumplir la ley o proteger derechos legítimos.
Las categorías de destinatarios que pueden intervenir son:
- infraestructura, alojamiento, base de datos, almacenamiento y autenticación;
- procesamiento de pagos, facturación, suscripciones y prevención del fraude;
- envío de comunicaciones transaccionales;
- logística, transportistas, seguimiento y devoluciones;
- soporte técnico, seguridad y monitorización de errores;
- Google Analytics, únicamente tras consentimiento;
- Google Places, únicamente cuando el usuario active voluntariamente el autocompletado;
- WhatsApp, para mensajes transaccionales de un pedido autorizado expresamente o cuando la persona abra voluntariamente el canal de contacto general y envíe su consulta;
- proveedores de newsletter o recuperación de carrito, solo si se activa la función correspondiente y la persona presta consentimiento;
- asesores profesionales sujetos a confidencialidad;
- administraciones, tribunales y autoridades cuando exista obligación jurídica.
Las funcionalidades condicionales no comunicarán datos mientras permanezcan inactivas. La relación de proveedores se actualizará antes de activar una nueva función o cuando cambie un proveedor relevante.
6. Transferencias internacionales
Algunos proveedores podrán tratar datos fuera del Espacio Económico Europeo. Antes de permitir una transferencia, Y.5 Perfect Skin comprobará el país, la entidad receptora, su función y el mecanismo jurídico aplicable.
Cuando proceda, la transferencia se apoyará en una decisión de adecuación o en garantías del artículo 46 RGPD, como cláusulas contractuales tipo y las medidas complementarias necesarias. El Marco de Privacidad de Datos UE-EE. UU. solo se invocará respecto de una entidad cuya certificación vigente haya sido comprobada.
Puede solicitar información sobre las garantías aplicables o el medio para obtener una copia escribiendo a privacidad@y5perfectionskin.com.
7. Derechos
Puede ejercer los siguientes derechos:
- acceso a sus datos personales;
- rectificación de datos inexactos o incompletos;
- supresión cuando proceda;
- limitación del tratamiento;
- oposición al tratamiento;
- portabilidad, cuando corresponda;
- retirada del consentimiento;
- no quedar sujeto a una decisión basada únicamente en tratamiento automatizado cuando produzca efectos jurídicos o similares significativos.
La solicitud puede enviarse a privacidad@y5perfectionskin.com o al domicilio del responsable. Solo se solicitará información adicional para confirmar la identidad cuando resulte necesaria y proporcionada.
Y.5 Perfect Skin responderá sin dilación indebida y, con carácter general, en el plazo de un mes. En solicitudes complejas o numerosas, el plazo podrá ampliarse otros dos meses, informando dentro del primer mes.
Retirar un consentimiento será tan sencillo como prestarlo y no afectará a la licitud del tratamiento anterior.
También puede presentar una reclamación ante la Agencia Española de Protección de Datos.
8. Prevención del fraude y decisiones automatizadas
El checkout y los sistemas de seguridad podrán utilizar reglas y señales automatizadas para detectar fraude, abuso, accesos indebidos o riesgos de pago.
Y.5 Perfect Skin no adoptará, en su flujo ordinario, decisiones basadas exclusivamente en tratamiento automatizado que produzcan efectos jurídicos o afecten de manera similar y significativa a una persona. Las señales relevantes deberán poder someterse a revisión humana.
Si en el futuro se introduce una decisión de ese tipo, antes de activarla se informará de la lógica utilizada, su importancia, sus consecuencias y las garantías disponibles, incluido el derecho a obtener intervención humana y a impugnar la decisión.
Los proveedores de pago podrán efectuar sus propias comprobaciones regulatorias o de seguridad conforme a su función y política.
9. Menores, destinatarios de regalos y valoraciones
Los servicios no están dirigidos a menores de 14 años y Y.5 Perfect Skin no pretende recoger conscientemente sus datos. Si se detecta que se han facilitado sin una base válida, se adoptarán medidas para eliminarlos. La edad para prestar consentimiento en protección de datos no implica por sí sola capacidad para celebrar una compra; cuando corresponda será necesaria la intervención o autorización de representantes legales.
Si una persona facilita los datos de otra para entregar un pedido o regalo, deberá proporcionar únicamente los datos necesarios y estar autorizada para ello. Y.5 Perfect Skin utilizará esos datos solo para gestionar la entrega, las incidencias asociadas y las obligaciones legales, y facilitará la información exigible cuando corresponda.
En las valoraciones públicas solo se mostrará un alias elegido o el nombre y la inicial del apellido. El email, el número de pedido y los demás datos utilizados para verificar la compra no serán públicos. Las valoraciones podrán moderarse para retirar datos personales innecesarios, datos de terceros o contenido ilícito.
10. Seguridad, confidencialidad y brechas
Y.5 Perfect Skin adopta medidas técnicas y organizativas apropiadas para proteger los datos personales frente a su destrucción, pérdida, alteración, divulgación o acceso no autorizado.
Las medidas se determinan atendiendo al estado de la técnica, la naturaleza de los datos, las finalidades y los riesgos. Pueden incluir conexiones seguras, controles de acceso, gestión restringida de credenciales, separación entre claves públicas y de servidor, minimización, registro de incidentes, actualización de sistemas y control de proveedores.
El acceso queda limitado a las personas y proveedores que lo necesiten para sus funciones y estén sujetos a confidencialidad. Ningún sistema puede garantizar una seguridad absoluta; esta circunstancia no limita las responsabilidades legales de Y.5 Perfect Skin ni los derechos de las personas.
Ante una posible violación de seguridad, Y.5 Perfect Skin adoptará medidas para contenerla, investigar sus causas, evaluar sus consecuencias, documentarla y recuperar el servicio. Cuando sea probable que exista un riesgo para los derechos y libertades, se notificará a la Agencia Española de Protección de Datos sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a tener constancia. Cuando pueda existir un alto riesgo, también se informará sin dilación indebida a las personas afectadas, salvo excepción legal.
Las comunicaciones relacionadas con seguridad o privacidad pueden dirigirse a privacidad@y5perfectionskin.com.
11. Cookies y tecnologías similares
Y.5 Perfect Skin utiliza cookies y tecnologías como localStorage y sessionStorage. Los almacenamientos estrictamente necesarios podrán utilizarse sin consentimiento cuando sean imprescindibles para prestar un servicio solicitado, por ejemplo autenticación, carrito, seguridad e idempotencia del checkout, pago, cotización de envío y conservación de preferencias de privacidad.
Google Analytics 4 solo se activará después de obtener consentimiento. Rechazarlo no impedirá navegar, utilizar el carrito ni comprar.
La preferencia de consentimiento se conservará durante un máximo de 24 meses y se solicitará nuevamente antes cuando cambien sustancialmente las tecnologías, proveedores o finalidades.
El usuario podrá aceptar, rechazar o configurar las tecnologías no esenciales con opciones presentadas al mismo nivel y retirar posteriormente su consentimiento. La retirada detendrá la recopilación futura, sin afectar a tratamientos realizados lícitamente con anterioridad.
En el lanzamiento no se activarán tecnologías publicitarias o de remarketing de Google Ads, Meta o TikTok. Tampoco se activarán seguimientos asociados a newsletter o recuperación de carrito mientras esas funciones permanezcan inactivas. Cualquier activación futura requerirá inventario, actualización documental, configuración del consentimiento y verificación previa.
Google Places constituye una función opcional separada y no se activa mediante el consentimiento general a Analytics.
La relación detallada de tecnologías, proveedores, finalidades y duraciones está disponible en la Política de Cookies.
12. Vigencia, cambios y contacto
Esta es la versión 1.3 de la Política de Privacidad y entra en vigor el 08-09-2026. Describe los tratamientos actuales y los previstos para activación inmediata. Las funcionalidades identificadas expresamente como futuras o condicionales permanecerán inactivas hasta completar los requisitos informativos y técnicos aplicables y, cuando corresponda, obtener el consentimiento necesario.
Esta política tiene carácter informativo. Su lectura o aceptación no constituye por sí misma consentimiento para tratamientos opcionales. Cuando sea necesario, el consentimiento se solicitará separadamente para cada finalidad mediante una acción afirmativa.
Y.5 Perfect Skin revisará esta política cuando cambien los tratamientos, finalidades, proveedores, transferencias internacionales, formas de ejercer derechos o normas aplicables. Los cambios materiales se comunicarán de forma clara y efectiva y, cuando la naturaleza del cambio lo requiera, con antelación suficiente mediante un aviso destacado y, si existe un canal directo apropiado, mediante una comunicación específica. La mera publicación silenciosa de una nueva versión no será suficiente para comunicar un cambio material.
Antes de utilizar datos personales para una finalidad nueva, se facilitará la información pertinente. Cuando esa finalidad requiera consentimiento, el tratamiento no comenzará hasta obtener un consentimiento válido y específico.
La política se ofrece en español y en inglés. Ambas versiones describen los mismos tratamientos y ninguna traducción limita los derechos reconocidos por la normativa aplicable.
Para cualquier consulta sobre esta política o el tratamiento de datos personales, puede escribir a privacidad@y5perfectionskin.com o dirigirse por correo postal a Y.5 Perfect Skin, Ruamayor 3, 39008 Santander, Cantabria, España.