Política de privacidad.

1. Introducción

Esta Política de Privacidad explica cómo Huup Ltd («Huup», «nosotros», «nuestro»), una sociedad registrada en Inglaterra y Gales (número de Companies House 08708494, registro ICO ZC165061) con domicilio social en 22 Old Montague Street, Londres E1 5NG, Reino Unido, recopila, utiliza y protege los datos personales cuando usted utiliza la plataforma Huup, nuestro sitio web en www.huup.com y cualquier servicio relacionado (conjuntamente, los «Servicios»).

Huup es el responsable del tratamiento de los datos personales que recopilamos sobre nuestros clientes, prospectos y visitantes del sitio web. Cuando tratamos datos personales por cuenta de nuestros clientes empresariales (por ejemplo, mensajes de clientes finales enviados a través de Huup), actuamos como encargado del tratamiento y nuestro cliente es el responsable — ese tratamiento se rige por nuestro contrato con el cliente correspondiente.

Esta política se aplica a todos los usuarios a nivel global. Si usted se encuentra en el Reino Unido, sus derechos están regulados por el UK GDPR (incorporado al derecho británico por la Ley de Retirada de la Unión Europea de 2018). Si se encuentra en el EEE, sus derechos están regulados por el RGPD de la UE. Estos derechos se describen en la sección 8.

2. Información que recopilamos

Recopilamos datos personales de tres maneras: datos que nos proporciona directamente, datos que recopilamos automáticamente cuando utiliza los Servicios, y datos que recibimos de terceros.

2.1 Datos de cuenta

• Datos de identidad — nombre, cargo, empleador.
• Datos de contacto — dirección de correo electrónico, número de teléfono, dirección de facturación.
• Datos de autenticación — contraseña con hash, secretos de autenticación multifactor, tokens de sesión.
• Datos de facturación — números de registro de IVA e identificadores fiscales equivalentes (cuando corresponda), correo electrónico de facturación, tokens de método de pago (no almacenamos números de tarjeta completos; véase Stripe más adelante).

2.2 Datos de uso

• Telemetría del producto — páginas visitadas, funciones utilizadas, eventos de clic, registros de errores.
• Datos del dispositivo — dirección IP, tipo de navegador, sistema operativo, identificadores de dispositivo, zona horaria.
• Datos de rendimiento — latencia de las solicitudes, volúmenes de uso de la API.

2.3 Cookies y tecnologías similares

Utilizamos cookies para autenticación, seguridad y — con su consentimiento — análisis y publicidad. Consulte nuestra Política de cookies para obtener la lista completa y la gestión de preferencias.

2.4 Datos de terceros

• Integraciones de mercados — cuando conecta eBay, Amazon, OTTO Market, Shopify, Squarespace u otros canales, recibimos en su nombre datos de anuncios, datos de pedidos, mensajes de compradores y datos limitados de contacto de los compradores.
• Pagos (Stripe) — recibimos el estado del pago y los últimos 4 dígitos de las tarjetas para los recibos; los datos completos de la tarjeta son conservados por Stripe.
• Verificación de identidad — cuando sea necesario para la prevención del fraude, podemos recibir resultados de verificación de proveedores KYC.

3. Cómo usamos su información

Utilizamos los datos personales para los siguientes fines:

• Operación del servicio — para proporcionar, mantener y proteger la plataforma Huup, incluyendo autenticación, facturación, atención al cliente y garantizar que los Servicios funcionen de manera fiable.
• Mejora — para comprender cómo los clientes utilizan los Servicios a fin de investigar y resolver problemas, priorizar mejoras y desarrollar nuevas funcionalidades. En la medida de lo posible, utilizamos datos agregados o seudonimizados.
• Cumplimiento legal — para cumplir nuestras obligaciones en materia fiscal, contable, de prevención del blanqueo de capitales y otras leyes aplicables.
• Comunicaciones — para enviar avisos de servicio, alertas de seguridad, facturas y actualizaciones operativas de las que no puede darse de baja mientras tenga una cuenta activa.
• Marketing — con su consentimiento previo, para enviar boletines, actualizaciones del producto e invitaciones a eventos. Puede retirar su consentimiento en cualquier momento mediante el enlace de baja en cualquier correo electrónico.

4. Base legal (RGPD)

En virtud del UK GDPR y, cuando corresponda, del RGPD de la UE, nos basamos en una de las siguientes bases jurídicas para cada actividad de tratamiento:

• Ejecución de un contrato — para prestar los Servicios contratados y gestionar la facturación.
• Interés legítimo — para mantener la seguridad de nuestros Servicios, prevenir abusos, mejorar nuestros productos y gestionar nuestro negocio (ponderamos estos intereses frente a sus derechos y lo documentamos en nuestros registros internos).
• Consentimiento — para correos electrónicos de marketing, cookies no esenciales y cualquier integración opcional que decida habilitar. Puede retirar su consentimiento en cualquier momento.
• Obligación legal — para conservar registros financieros, responder a solicitudes legales y cumplir con los requisitos regulatorios.

5. Compartir y terceros

Compartimos los datos personales únicamente con subencargados cuidadosamente seleccionados que nos ayudan a operar los Servicios. Nunca vendemos sus datos. Nuestros principales subencargados incluyen:

• Amazon Web Services (AWS) — alojamiento, almacenamiento, bases de datos gestionadas. Los datos se almacenan en regiones de la UE/Reino Unido.
• Stripe — procesamiento de pagos y facturación de suscripciones.
• Cloudflare — DNS, CDN, seguridad perimetral, protección DDoS y analítica web respetuosa con la privacidad.
• APIs de mercados — eBay, Amazon Selling Partner API, OTTO Market, Shopify, OnBuy, Squarespace y otros canales que conecte, utilizados para sincronizar anuncios, pedidos y mensajes siguiendo sus instrucciones.
• Mensajeros y proveedores de envío — DPD, Royal Mail (ClickDrop), Evri, DHL, DX, UPS, FedEx y transportistas similares, utilizados para generar etiquetas de envío y despachar sus pedidos.
• Análisis y publicidad (solo sitio de marketing, con consentimiento) — Google Analytics 4 y Google Tag Manager (Google), el Meta Pixel (Meta) y Google Ads, utilizados únicamente en nuestro sitio de marketing público y solo después de que usted acepte las cookies correspondientes, para medir el uso del sitio web y la eficacia de la publicidad y crear audiencias de remarketing. Cuando Meta Advanced Matching está habilitado, los datos de contacto cifrados (hash) que usted facilita (como su dirección de correo electrónico) pueden compartirse con Meta para asociar las conversiones. Ninguna de estas herramientas se ejecuta dentro del producto Huup autenticado.
• Entrega de correo electrónico — Postmark (Wildbit LLC, EE. UU.) para correos electrónicos transaccionales (recibos, alertas de seguridad, restablecimiento de contraseñas). Las transferencias están cubiertas por las Cláusulas Contractuales Tipo de la UE (2021).

También podemos divulgar datos personales cuando lo exija la ley, en respuesta a solicitudes legales de autoridades públicas, o para proteger los derechos, la propiedad o la seguridad de Huup, nuestros clientes u otros.

La lista actualizada de subencargados del tratamiento, incluido el nombre, el país de establecimiento y una descripción del tratamiento realizado por cada uno, está disponible previa solicitud en [email protected].

5.1 Datos de compradores de mercados

Cuando usted conecta una cuenta de plataforma de venta, procesamos datos de pedidos de compradores en su nombre, incluyendo nombres, direcciones de envío, datos de contacto y artículos del pedido, estrictamente para la tramitación de pedidos, atención al cliente e informes operativos en su nombre. No utilizamos los datos personales de los compradores para nuestros propios fines de marketing y no los compartimos más allá de lo necesario para tramitar los pedidos a través de los transportistas integrados (DPD, Royal Mail, Evri, DHL y similares). Los datos de los compradores se tratan de conformidad con los requisitos de protección de datos de cada plataforma de venta, incluida la Amazon Selling Partner API Data Protection Policy y las condiciones para proveedores de servicios de OTTO Market, cuando corresponda.

6. Transferencias internacionales

Huup opera principalmente en el Reino Unido y en el EEE. Los datos de los clientes se almacenan por defecto en las regiones UE/Reino Unido de AWS. Cuando un subencargado o una integración de plataforma de venta procesa necesariamente datos fuera del Reino Unido/EEE (por ejemplo, puntos de conexión de Amazon o eBay), nos basamos en salvaguardias adecuadas, incluido el Acuerdo Internacional de Transferencia de Datos del Reino Unido (IDTA), las Cláusulas Contractuales Tipo de la UE (2021) y medidas técnicas complementarias como el cifrado en tránsito y en reposo.

7. Conservación de datos

Conservamos los datos personales únicamente durante el tiempo necesario para cumplir los fines para los que fueron recogidos, incluidos los requisitos legales, contables o de información. Plazos de conservación típicos:

• Datos de la cuenta — conservados durante toda la vigencia de su cuenta y hasta 90 días tras el cierre de la misma, momento en el que se eliminan de forma segura o se anonimizan.
• Registros de facturación y fiscales — mínimo 6 años para cumplir con los requisitos de HMRC.
• Telemetría del producto y registros de aplicación — hasta 12 meses, tras los cuales los registros son purgados o anonimizados. Los datos personales de compradores a los que se accede a través de la Amazon Selling Partner API se eliminan 28 días después de la fecha del pedido — un plazo más estricto que el límite de 30 días de la Política de Protección de Datos de Amazon SP-API.
• Registros de seguridad y auditorías de acceso — hasta 12 meses, tras los cuales se eliminan de forma segura.
• Listas de contactos de marketing (basadas en el consentimiento) — hasta que usted retire su consentimiento o se dé de baja, o tras 24 meses de inactividad medidos desde su último contacto, lo que ocurra antes, momento en el que los datos se eliminan o anonimizan.

8. Sus derechos (RGPD)

Si usted se encuentra en el Reino Unido o en el EEE, tiene los siguientes derechos con respecto a sus datos personales en virtud del UK GDPR o del RGPD de la UE (según corresponda):

• Acceso — solicitar una copia de los datos personales que tenemos sobre usted.
• Rectificación — solicitarnos que corrijamos datos inexactos o incompletos.
• Supresión ("derecho al olvido") — solicitarnos que eliminemos sus datos personales cuando no exista un motivo legítimo prevalente u obligación legal para conservarlos. Este derecho no se aplica cuando la conservación sea necesaria para cumplir una obligación legal o para la formulación, el ejercicio o la defensa de reclamaciones.
• Portabilidad — cuando el tratamiento se base en su consentimiento o en la ejecución de un contrato y se lleve a cabo por medios automatizados, recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica, y solicitar que se transmitan directamente a otro responsable del tratamiento cuando sea técnicamente factible.
• Limitación — solicitarnos que limitemos el uso de sus datos mientras se resuelve una consulta.
• Oposición — oponerse en cualquier momento al tratamiento de sus datos personales basado en nuestros intereses legítimos (incluida la elaboración de perfiles). Cesaremos el tratamiento a menos que demostremos motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones. Cuando el tratamiento tenga por objeto la mercadotecnia directa, su derecho de oposición es absoluto y cesaremos de inmediato.
• Retirada del consentimiento — cuando el tratamiento se base en el consentimiento, puede retirarlo en cualquier momento.

Para ejercer cualquier derecho, envíe un correo electrónico a [email protected]. Respondemos en el plazo de un mes. También tiene derecho a presentar una reclamación ante la UK Information Commissioner's Office en ico.org.uk/make-a-complaint.

8.1 Registros de responsabilidad

Mantenemos un Registro de Actividades de Tratamiento (ROPA) de conformidad con el artículo 30 del RGPD del Reino Unido y evaluamos los riesgos de protección de datos de cada nueva integración; realizamos una Evaluación de Impacto relativa a la Protección de Datos (EIPD) en virtud del artículo 35 cuando es probable que el tratamiento entrañe un alto riesgo para los interesados. Los registros se ponen a disposición de la UK Information Commissioner's Office previa solicitud.

9. Seguridad

.Protegemos sus datos con un conjunto en capas de medidas técnicas y organizativas que incluyen TLS 1.2+ (TLS 1.3 cuando se admite) en tránsito, cifrado AES-256 en reposo con claves gestionadas por AWS KMS, bases de datos aisladas por tenant (arquitectura de base de datos por tenant), autenticación multifactor obligatoria para el personal, controles de acceso basados en roles, registro de auditoría granular y escaneo continuo de vulnerabilidades de las dependencias. Consulte nuestra página de

9.1 Notificación de brechas

En caso de violación de datos personales, notificaremos a la autoridad de control competente (normalmente la UK Information Commissioner's Office) en un plazo de 72 horas desde que tengamos conocimiento de la brecha cuando lo exija el artículo 33 del RGPD del Reino Unido, y notificaremos a los interesados afectados sin demora indebida cuando la brecha entrañe probablemente un alto riesgo para sus derechos y libertades. Cuando la brecha afecte a datos tratados en el marco de una integración de mercado, notificaremos adicionalmente al operador del mercado dentro del plazo de notificación requerido — para la Amazon Selling Partner API, este es de 24 horas desde la detección, conforme a la Amazon Data Protection Policy.

10. Menores

Los Servicios de Huup están diseñados exclusivamente para uso empresarial y no están dirigidos a personas menores de 18 años. No recopilamos conscientemente datos personales de menores. Si cree que un menor nos ha facilitado datos personales, póngase en contacto con nosotros en [email protected] y los eliminaremos.

11. Actualizaciones de esta política

Podemos actualizar esta Política de Privacidad de vez en cuando. Publicaremos la nueva versión en esta URL y actualizaremos la fecha de «Última actualización». Para cambios sustanciales, le notificaremos en el producto o por correo electrónico con al menos 30 días de antelación a su entrada en vigor.

12. Contacto

Las preguntas, solicitudes o reclamaciones sobre esta política o nuestro tratamiento de datos personales deben enviarse a:

Huup Ltd no ha designado formalmente un Delegado de Protección de Datos (DPD) en virtud del artículo 37 del UK GDPR, dado que nuestras actividades de tratamiento no alcanzan el umbral de designación obligatoria de DPD establecido en el artículo 37, apartado 1. Las consultas sobre privacidad y protección de datos — incluidas las solicitudes para ejercer sus derechos en virtud de la sección 8 — son gestionadas por nuestro equipo legal y de cumplimiento en los datos de contacto indicados anteriormente. Si considera que se requiere un DPD formal para sus fines, póngase en contacto con nosotros y revisaremos nuestra posición.

También tiene derecho a presentar una reclamación ante la UK Information Commissioner's Office (ico.org.uk) o ante su autoridad de control local de la UE.

13. Toma de decisiones automatizada

No tomamos decisiones exclusivamente automatizadas sobre usted que produzcan efectos jurídicos o efectos igualmente significativos, tal como se describe en el artículo 22 del UK GDPR. Cuando utilizamos la elaboración de perfiles — por ejemplo, para analizar patrones de uso del producto con el fin de sugerir funcionalidades relevantes — un ser humano participa en cualquier decisión que tenga un impacto material sobre usted.

Si esto cambiara en el futuro, actualizaremos esta política y le proporcionaremos la información requerida por el UK GDPR, incluyendo la lógica aplicada y la importancia y las consecuencias previstas del tratamiento.

14. Decisiones de adecuación y transferencias internacionales

Para las transferencias de datos personales desde el EEE al Reino Unido, nos basamos en las decisiones de adecuación de la Comisión Europea relativas al Reino Unido, renovadas el 19 de diciembre de 2025 tras la Data (Use and Access) Act 2025 británica y válidas hasta el 27 de diciembre de 2031, que reconocen que el Reino Unido garantiza un nivel adecuado de protección de datos. Para las transferencias de datos personales desde el Reino Unido al EEE, las normativas de adecuación del Gobierno británico reconocen a los estados miembros del EEE/UE como adecuados. Cuando transferimos datos fuera del Reino Unido y del EEE — por ejemplo, a subencargados del tratamiento ubicados en los Estados Unidos — nos basamos en las salvaguardas descritas en la sección 6.

15. Registros de consentimiento

Conservamos los registros del consentimiento de cookies (preferencias almacenadas en su navegador) y los eventos de opt-in/opt-out de marketing durante el período en que se invoca dicho consentimiento, más 12 meses adicionales. Esto nos permite demostrar el cumplimiento de los requisitos de consentimiento del UK PECR y del UK GDPR. Los registros de consentimiento no se utilizan para ningún otro fin y se eliminan de forma segura al final del período de conservación.

16. Cuentas de Google conectadas (Google Ads y Tag Manager)

Cuando utiliza las funciones publicitarias de Huup, puede conectar sus propias cuentas de Google Ads y Google Tag Manager a Huup mediante el inicio de sesión OAuth oficial de Google. Solo accedemos a estas cuentas después de que usted lo autorice expresamente y únicamente para prestar las funciones que solicita dentro de Huup.

• Google Ads (ámbito .../auth/adwords) — para crear, leer, actualizar e informar sobre las campañas publicitarias de las cuentas de Google Ads que conecte.
• Google Tag Manager (ámbitos de tagmanager) — para leer sus contenedores y publicar las etiquetas de seguimiento de conversiones que nos pida configurar en su sitio web.
• Perfil básico de Google (openid, email) — para identificar qué inicio de sesión de Google ha conectado.

Utilizamos estos datos exclusivamente para operar las funciones publicitarias que usted solicita. No utilizamos los datos de usuario de Google para nuestra propia publicidad, no los vendemos y no los compartimos con terceros salvo cuando sea necesario para prestarle el servicio o lo exija la ley. Los tokens OAuth se almacenan cifrados y puede desconectarse en cualquier momento desde Configuración → Integraciones → Ads, lo que revoca el acceso de Huup.

El uso y la transferencia por parte de Huup de la información recibida de las API de Google a cualquier otra aplicación se ajustarán a la Google API Services User Data Policy, incluidos los requisitos de Limited Use.