Política de Privacidad de Zirqulo

1. Identidad del responsable del tratamiento

• Responsable:ZirquloApp, S.L., titular de la marca comercial Zirqulo (en adelante, "Zirqulo" cuando se refiera al servicio, o "ZirquloApp" cuando se refiera al sujeto jurídico).
• CIF: B24804528
• Domicilio: C. de la Indústria, 114, 08912 Badalona (Barcelona), España
• Contacto en materia de privacidad: info@zirqulo.com

Delegado de Protección de Datos (DPD/DPO):no designado. La designación solo es obligatoria en los supuestos previstos en el art. 37 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante "RGPD"). Si en el futuro resultara exigible o se designara voluntariamente, se indicará en esta política.

2. Naturaleza del servicio y roles

Zirqulo es una plataforma tecnológica B2B para tiendas o cadenas de tiendas que facilita la gestión documental y operativa de procesos como pricing orientativo, test/grading, generación documental, firma electrónica OTP, custodia de expedientes relacionados con la recompra a particulares. Complementariamente, ofrece un módulo de red profesional cerrada entre Clientes ("módulo Comunidad").

ZirquloApp no es parte en las operaciones de compraventa entre la tienda y el vendedor final, ni en las operaciones B2B que los Clientes acuerden entre sí en el módulo Comunidad.

ZirquloApp actúa, según el tratamiento concreto, en tres roles distintos. Es importante distinguirlos porque la base de legitimación y los derechos ejercitables varían en cada caso.

2.1. Cuándo ZirquloApp es Responsable del Tratamiento — Gestión comercial del servicio

ZirquloApp actúa como Responsable del Tratamiento en relación con:

• la web zirqulo.com y el contacto comercial (leads, solicitudes de información, demos);
• la relación contractual B2B con sus Clientes (alta del Cliente, administración de cuenta, gestión de usuarios y roles a efectos del servicio);
• facturación, cobro y gestión administrativa;
• soporte y comunicaciones de servicio (correo y gestor de tickets interno);
• seguridad del servicio (logs, auditoría, prevención de abuso).

2.2. Cuándo ZirquloApp es Encargado del Tratamiento — Operativa de Trade-in del Cliente

Cuando un Cliente utiliza el módulo de recompra (trade-in) de la plataforma Zirqulo para gestionar operaciones de compraventa con vendedores finales en tienda, el Cliente es Responsable del Tratamiento y ZirquloApp actúa como Encargado del Tratamiento conforme al art. 28 RGPD y al Acuerdo de Encargo de Tratamiento (DPA) suscrito con el Cliente.

Si usted es un tercero (vendedor final) y sus datos se incluyeron en una operación gestionada en la plataforma, el Responsable de esos datos es el Cliente/tienda que tramitó la operación. Ver apartado 15 para el desarrollo de este rol.

2.3. Cuándo ZirquloApp es Responsable del Tratamiento Independiente — Módulo Comunidad

El módulo Comunidad de Zirqulo permite que los Clientes interactúen entre sí en una red profesional cerrada: perfiles de empresa, reputación entre profesionales del sector, mensajería B2B, intercambio de información sobre operaciones B2B (existencias, demandas, transacciones entre Clientes). En este módulo, ZirquloApp actúa como Responsable del Tratamiento de forma independiente — no como Encargado por cuenta de cada Cliente.

2.4. Datos de Mercado

ZirquloApp genera Datos de Mercado — estadísticas, índices, tendencias y agregados de precios y volúmenes — a partir de (a) operaciones procesadas en el módulo Trade-in, en los términos del DPA suscrito con cada Cliente Responsable, y (b) operaciones B2B realizadas en el módulo Comunidad.

Los Datos de Mercado se publican siempre en formato agregado y anonimizado, con umbrales mínimos de número de operaciones y de Clientes contribuyentes diferenciados por fuente, dimensionados para impedir la reidentificación. Una vez generados, los Datos de Mercado no constituyen datos personales a efectos del art. 4.1 RGPD.

La base jurídica del tratamiento previo a la agregación se describe en el apartado 5, y las salvaguardas aplicadas al uso del módulo Comunidad como fuente, en el apartado 7.

Una vez generados como agregados anonimizados, los Datos de Mercado pueden ser objeto de publicación, cesión, licencia, comercialización o intercambio con terceros por parte de ZirquloApp, sin posibilidad de reidentificación de los Clientes o de las personas físicas vinculadas a ellos.

3. Ámbito de aplicación

Esta política aplica a:

• visitantes de zirqulo.com y personas que contactan con ZirquloApp;
• Clientes empresariales y sus representantes y personas de contacto;
• usuarios de la plataforma (empleados o colaboradores del Cliente) en lo relativo a su relación con ZirquloApp (altas, soporte, seguridad, comunicaciones de servicio);
• usuarios del módulo Comunidad (personas físicas que actúan por cuenta de un Cliente en perfiles, reputación, mensajería y operaciones B2B intra-Comunidad).

No aplica, por tratarse de tratamientos como Encargado, a los datos de operativa de recompra del Cliente gestionados en la plataforma. Esos tratamientos se rigen por la política del Cliente correspondiente y por el DPA suscrito con ZirquloApp. Ver desarrollo en el apartado 15.

4. Datos personales que tratamos

Según su relación con Zirqulo y con el módulo que utilice, podemos tratar:

A) Contacto profesional y empresa

• Nombre y apellidos, email profesional, teléfono, cargo o rol.
• Empresa, CIF/NIF (empresa), dirección profesional, datos mercantiles y de facturación.

B) Cuenta B2B y uso del servicio

• Alta del Cliente/tenant, plan contratado, add-ons, usuarios y roles.
• Comunicaciones operativas y de servicio.
• Configuración mínima necesaria para operar el servicio.

C) Facturación y cobro

• Razón social, CIF, dirección fiscal, emails de facturación, historial de facturas, estado de pagos.
• Eventos de cobro o impago y datos técnicos asociados a la transacción.

ZirquloApp no almacena datos completos de tarjeta; el cobro se procesa a través del TPV.

D) Soporte (tickets y correo)

• Contenido de solicitudes y respuestas (correo y gestor de tickets interno).
• Metadatos del ticket (fecha, estado, categoría, identificador).

E) Datos técnicos y de seguridad

• Logs de acceso y uso (fecha, hora, dirección IP, identificadores de sesión), intentos fallidos.
• Acciones de administración y auditoría.
• Datos técnicos del navegador y dispositivo cuando sean necesarios para soporte o seguridad.

F) Módulo Comunidad

• Datos identificativos de la persona física que actúa por cuenta del Cliente (nombre, apellidos, cargo, empresa que representa).
• Contenido del perfil público dentro de la red.
• Valoraciones de reputación dadas y recibidas.
• Contenido de mensajes intercambiados con otros Clientes.
• Registros de operaciones B2B realizadas entre Clientes a través del módulo.

Carácter obligatorio o voluntario de los datos. Los datos identificados en los apartados A) y C) son necesarios para suscribir y ejecutar el contrato SaaS con ZirquloApp. Si no son facilitados, no es posible formalizar la relación contractual ni emitir facturación, lo que impide la prestación del servicio. Los datos del apartado F) son necesarios para utilizar el módulo Comunidad: si no son facilitados, no es posible operar en la red profesional. Los datos técnicos del apartado E) se generan automáticamente como consecuencia del uso del servicio y son imprescindibles para su seguridad y continuidad. Los datos facilitados en formularios web de contacto o demos (apartado A, en su modalidad de lead) son voluntarios; su no facilitación únicamente impide atender la solicitud concreta.

5. Finalidades y bases jurídicas

6. Procedencia de los datos

Los datos proceden de:

• directamente del interesado (formularios, contratación, soporte, uso del módulo Comunidad);
• del Cliente empresa (si usted es usuario dado de alta por el Cliente);
• de sistemas internos de gestión asociados a la relación contractual.

7. Resumen del LIA aplicado al uso del módulo Comunidad como fuente de Datos de Mercado

El uso de operaciones B2B realizadas en el módulo Comunidad como fuente para generar Datos de Mercado se ampara en el interés legítimo del art. 6.1.f RGPD. ZirquloApp ha realizado una evaluación documentada (Legitimate Interest Assessment, LIA) cuyo resumen es el siguiente:

Interés legítimo perseguido

Construir una base de inteligencia de mercado sobre el sector profesional del comercio de electrónica reacondicionada y de segunda mano, útil tanto para los propios Clientes de Zirqulo como para el ecosistema profesional, y que contribuye a una formación de precios más eficiente.

Necesidad

La agregación de operaciones reales es la forma más fiable de generar indicadores representativos. Las alternativas (encuestas, agregadores externos, scrapings de fuentes públicas) ofrecen información de menor calidad o de fuentes menos pertinentes al ámbito profesional B2B que cubre el módulo Comunidad.

Ponderación

Los derechos de los interesados quedan preservados por las siguientes salvaguardas:

• Anonimización efectiva mediante umbrales mínimos de agregación diferenciados por fuente. Ningún Dato de Mercado se publica si el número de operaciones o el número de Clientes contribuyentes en la agregación queda por debajo del umbral fijado, dimensionado para impedir la reidentificación incluso ante información auxiliar.
• Activación diferida del pipeline de extracción: no opera mientras el volumen agregado del módulo Comunidad no alcance un mínimo operacional que asegure la robustez de los umbrales.
• Derecho de oposición ejercitable en cualquier momento por la persona física, conforme al art. 21 RGPD. Si se ejerce, ZirquloApp dejará de utilizar las operaciones individuales del interesado como entrada para la agregación.
• Transparencia mediante la publicación del presente resumen y la posibilidad de solicitar el resumen ampliado del LIA a info@zirqulo.com.

Conclusión

ZirquloApp considera, sobre la base de la evaluación realizada, que el interés legítimo perseguido prevalece sobre los intereses, derechos y libertades de los interesados, atendidas las salvaguardas implementadas. La evaluación es revisable periódicamente.

8. Destinatarios y proveedores

ZirquloApp puede comunicar o permitir acceso a datos personales a:

A) Proveedores necesarios

Como encargados o subencargados del tratamiento bajo contrato del art. 28 RGPD, o como responsables independientes cuando proceda:

B) Otros Clientes de la plataforma

Exclusivamente en el módulo Comunidad y exclusivamente en la medida necesaria para el funcionamiento del módulo (visibilidad de perfiles, mensajería, reputación, registros de operaciones B2B entre Clientes).

C) Autoridades públicas

Administraciones y autoridades competentes cuando exista obligación legal o requerimiento válido, en la medida estrictamente necesaria.

D) Asesores externos

Asesores legales, fiscales y auditores de ZirquloApp cuando sea estrictamente necesario para el ejercicio o defensa de derechos.

9. Transferencias internacionales

ZirquloApp procura que los tratamientos se realicen en el Espacio Económico Europeo (EEE). Algunos proveedores, sin embargo, pueden implicar transferencias internacionales, en particular:

• la infraestructura global de servicios de seguridad y red (Cloudflare);
• las políticas de replicación de copias de seguridad del proveedor (Odoo Cloud).

En estos casos, ZirquloApp aplica las garantías exigidas por la normativa, en particular Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), y facilita información adicional sobre las garantías concretas cuando el interesado lo solicite a info@zirqulo.com.

10. Plazos de conservación

Conservamos los datos solo el tiempo necesario para las finalidades descritas y para la atención de responsabilidades:

Cuando proceda, los datos pueden mantenerse bloqueados durante los plazos de prescripción, exclusivamente a disposición de autoridades y tribunales, conforme al art. 32 de la Ley Orgánica 3/2018 (LOPDGDD).

11. Derechos en materia de protección de datos

Conforme al RGPD y a la LOPDGDD, usted puede ejercer los siguientes derechos:

• Acceso (art. 15 RGPD): conocer si se están tratando sus datos y obtener una copia.
• Rectificación (art. 16 RGPD): corregir datos inexactos o incompletos.
• Supresión (art. 17 RGPD): solicitar la eliminación cuando concurran las causas previstas.
• Limitación del tratamiento (art. 18 RGPD): solicitar la suspensión temporal del tratamiento en los supuestos previstos.
• Portabilidad (art. 20 RGPD): recibir sus datos en formato estructurado de uso común y de lectura mecánica.
• Oposición (art. 21 RGPD): oponerse al tratamiento basado en interés legítimo. Este derecho es especialmente relevante en relación con el uso de sus operaciones del módulo Comunidad como fuente para la generación de Datos de Mercado (apartado 2.4 y resumen del LIA en el apartado 7). Si usted ejerce este derecho, ZirquloApp dejará de utilizar sus operaciones individuales como entrada para la agregación, sin perjuicio de la conservación de los datos para las restantes finalidades del módulo Comunidad.
• Retirada del consentimiento (art. 7.3 RGPD): cuando un tratamiento se base en su consentimiento, podrá retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada.
• No ser objeto de decisiones automatizadas (art. 22 RGPD): ZirquloApp no toma decisiones que produzcan efectos jurídicos en los interesados basadas exclusivamente en tratamientos automatizados.

Cómo ejercer estos derechos

Envíe un correo a info@zirqulo.com indicando el derecho que desea ejercer y aportando, en su caso, los elementos necesarios para verificar su identidad. ZirquloApp responderá en el plazo de un mes desde la recepción, prorrogable por dos meses adicionales cuando la complejidad o el número de solicitudes lo justifiquen, conforme al art. 12.3 RGPD.

Reclamación ante autoridad de control

Si considera que el tratamiento de sus datos infringe la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) a través de su sede electrónica https://sedeagpd.gob.es o por los demás medios habilitados al efecto. Sin perjuicio de ello, le invitamos a contactar previamente con info@zirqulo.com para tratar de resolver la cuestión de forma directa.

Si usted es vendedor final cuyos datos fueron incluidos en una operación del módulo Trade-in, el responsable principal de su solicitud es el Cliente/tienda ante el que firmó el contrato. No obstante, puede dirigir su solicitud a ZirquloApp y será trasladada al Cliente correspondiente.

12. Comunicaciones comerciales B2B

Si ZirquloApp remite comunicaciones comerciales sobre servicios propios, estas incluirán un mecanismo sencillo de baja u oposición. En cualquier momento puede oponerse escribiendo a info@zirqulo.com.

13. Cookies y tecnologías similares

ZirquloApp utiliza únicamente cookies técnicas estrictamente necesarias para el funcionamiento y la seguridad del servicio, además de cookies de preferencias (tema). Estas cookies no requieren consentimiento, pero sí información clara y completa.

El detalle completo figura en la Política de Cookies.

14. Seguridad

ZirquloApp aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, conforme al art. 32 RGPD. Estas medidas incluyen, entre otras:

• controles de acceso y gestión de roles;
• trazabilidad y registro de actividad (audit logs);
• segregación lógica de los datos por Cliente (arquitectura multi-tenant con aislamiento por esquema de base de datos);
• cifrado en tránsito (HTTPS/TLS);
• copias de seguridad y procedimientos de restauración;
• medidas antiabuso y monitorización;
• procedimiento de detección y notificación de brechas de seguridad conforme a los arts. 33 y 34 RGPD.

En el módulo Trade-in, la captura del documento de identidad del vendedor final se realiza por diseño con minimización (art. 25 RGPD): la plataforma limita la captura a la cara anterior del documento y enmascara los campos no necesarios (firma, IDESP/CAN), conforme al principio de minimización del art. 5.1.c RGPD.

15. Tratamientos como Encargado — Operativa de Trade-in del Cliente

Cuando un Cliente utiliza el módulo Trade-in para gestionar operaciones de compraventa con vendedores finales en tienda, el Cliente es Responsable del Tratamiento y ZirquloApp actúa como Encargado conforme al art. 28 RGPD y al DPA suscrito con el Cliente.

En este contexto, el Cliente puede incorporar o generar a través de la plataforma, entre otros:

• datos identificativos y de contacto del vendedor final;
• imagen del documento identificativo capturada por la plataforma con minimización por diseño (apartado 14);
• datos del dispositivo entregado (marca, modelo, IMEI o número de serie) y resultados de test o grading;
• condiciones de la operación (precio y método de pago);
• contrato y evidencias asociadas, incluida evidencia de firma electrónica OTP.

Ejercicio de derechos sobre datos de operaciones

Si usted es vendedor final y sus datos se trataron en una operación de un Cliente, el Responsable es ese Cliente o tienda. Debe dirigirse a él para ejercer sus derechos. ZirquloApp asistirá al Cliente conforme al DPA y trasladará la solicitud cuando se reciba a través de info@zirqulo.com.

16. Cambios en esta política

ZirquloApp puede actualizar esta política por cambios legales, técnicos u operativos. Cuando los cambios sean sustanciales, se comunicarán a los Clientes a través de la plataforma con una antelación razonable y se publicará la versión actualizada en esta misma URL. La fecha de "Última actualización" indicada al inicio del documento refleja la versión vigente.