POLÍTICA DE PRIVACIDAD DE ARSHADES

Soluciones ARShades
Última actualización: 26 de agosto de 2026

En virtud del Reglamento (UE) 2016/679 (“RGPD”), del UK GDPR, del California Consumer Privacy Act (“CCPA”) y de sus posteriores modificaciones, entre ellas el California Privacy Rights Act (“CPRA”), de las demás leyes estatales estadounidenses en materia de privacidad, entre ellas el Virginia Consumer Data Protection Act (“VCDPA”), el Colorado Privacy Act (“CPA”), el Connecticut Data Privacy Act (“CTDPA”), el Utah Consumer Privacy Act (“UCPA”), el Montana Consumer Data Privacy Act (“MCDPA”), el Oregon Consumer Privacy Act (“OCPA”), así como de las demás normativas estatales estadounidenses aplicables en materia de privacidad, del Illinois Biometric Information Privacy Act (“BIPA”), del Texas Capture or Use of Biometric Identifier Act (“CUBI”), del Personal Information Protection and Electronic Documents Act (“PIPEDA”) de Canadá, del Privacy Act australiano, de la Lei Geral de Proteção de Dados (“LGPD”) de Brasil, del Federal Act on Data Protection (“FADP”) de Suiza, del Act on the Protection of Personal Information (“APPI”) de Japón, de la Personal Information Protection Law (“PIPL”) de China, del Protection of Personal Information Act (“POPIA”) de Sudáfrica, del Digital Personal Data Protection Act (“DPDP”) de la India, de la DIFC Data Protection Law de los Emiratos Árabes Unidos, de la Saudi Personal Data Protection Law (“PDPL”), del New Zealand Privacy Act 2020, del Singapore Personal Data Protection Act (“PDPA”), del Philippines Data Privacy Act (“DPA”), del Malaysia Personal Data Protection Act (“PDPA”) y de las demás leyes internacionales aplicables en materia de protección de datos personales, denominadas colectivamente “Normativas Internacionales sobre Privacidad”.

Spaarkly s.r.l. (“Spaarkly”, “nosotros” o “nuestro”), sociedad registrada en Italia con domicilio social en Via della Tecnica n. 18, 85100 Potenza (Italia), correo electrónico: privacy@spaarkly.com, en su condición de responsable del tratamiento, facilita la presente Política de Privacidad (“PP”) relativa al tratamiento de los datos personales de los usuarios (“Usted”, “Tú” o “Usuario”) que acceden o interactúan con la Tecnología ARSHADES disponible a escala global, entre las que se incluyen:

• ARShades Virtual Try-On (“ARShades VTO”, “VTO”, “Web VTO”, “VTO App”, “Aplicaciones y Servicios”);
• ARShades VTO Explorer (“VTO Explorer”), como módulo o funcionalidad integrable en experiencias ARShades web, móvil, catálogo, comercio electrónico, mirror, showroom o in-store;
• AR PD Meter;
• ARShades Mirror (“Mirror”);
• ARShades Gateway (“Gateway”, “Aplicación Standalone”);
• ARShades Campaign Catalogue (“Campaign Catalogue”), como catálogo de productos público basado en la web que integra experiencias ARShades.

La presente Política de Privacidad se fundamenta en el RGPD como marco normativo principal e integra los requisitos específicos previstos por las leyes de los países en los que ofrecemos nuestros servicios. Cuando existan diferencias normativas, estas se describen en los Addenda Normativos anexos al presente documento.

Invitamos a los Usuarios a leer atentamente tanto el cuerpo principal de la presente Política como el Addendum aplicable a su área geográfica, a fin de comprender plenamente sus derechos y las particularidades locales relativas al tratamiento de datos.

Introducción

Spaarkly s.r.l. (“Spaarkly”, “nosotros” o “nuestro”), sociedad registrada en Italia, es titular de la Tecnología ARSHADES, de la marca ARSHADES y de otras soluciones de Realidad Aumentada (RA) para aplicaciones de eyewear utilizadas en esta aplicación web o móvil bajo la denominación ARShades.

Actuamos en calidad de responsable del tratamiento con arreglo a las leyes aplicables en materia de protección de datos, incluidos el Reglamento General de Protección de Datos (UE) 2016/679 (“RGPD”), el California Consumer Privacy Act (“CCPA”), el Personal Information Protection and Electronic Documents Act (“PIPEDA”) de Canadá, el Australian Privacy Act, el UK GDPR y otras normativas internacionales. La presente Política de Privacidad proporciona información sobre cómo recabamos, utilizamos y tratamos los datos personales de los usuarios (“Usted” o “Usuario”) que acceden o interactúan con nuestra tecnología ARSHADES (“VTO”, “Web VTO”, “Aplicación Web o Móvil”, “App”, “Aplicaciones y Servicios”), disponible a escala global.

Definiciones

A los efectos de la presente Política de Privacidad, se aplican las siguientes definiciones:

• Datos Personales: cualquier información relativa a una persona física identificable, incluidos la dirección IP, el correo electrónico y otros datos facilitados voluntariamente por el usuario.
• Datos de Sesión: información recabada durante una sesión de usuario, tal como marcas de tiempo de interacción, páginas consultadas y estadísticas de uso. Se conservan hasta 14 meses antes de su anonimización.
• Datos del Dispositivo: información técnica sobre el dispositivo del usuario, incluidos el tipo de dispositivo, el sistema operativo, la versión del navegador y el idioma preferido. Se utilizan para la optimización y la seguridad del servicio.
• Datos de Geolocalización: previo consentimiento del usuario, ARShades puede recabar la ubicación aproximada basada en la dirección IP o, en las aplicaciones standalone, la posición GPS precisa, con el fin de prestar servicios basados en la ubicación. Los usuarios pueden desactivar dicha funcionalidad en cualquier momento.
• Responsable del tratamiento: Spaarkly s.r.l., que determina los fines y los medios del tratamiento de los datos personales.
• Tratamiento: cualquier operación realizada sobre los datos personales, incluidas la recogida, la conservación, la anonimización y la supresión.
• Cookies y tecnologías de seguimiento: cookies esenciales necesarias para el funcionamiento del servicio y herramientas de analítica opcionales, cuando el usuario las habilite. No se utilizan cookies de marketing.
• Derechos del interesado: los Usuarios pueden acceder, rectificar, suprimir o limitar el tratamiento de sus datos conforme a lo previsto por el RGPD, el CCPA y normativas análogas. Las solicitudes pueden dirigirse a privacy@spaarkly.com.
• Transferencias internacionales de datos: en caso de que se transfieran datos personales fuera del Espacio Económico Europeo (EEE), Spaarkly garantiza el cumplimiento normativo mediante Cláusulas Contractuales Tipo (CCT) o garantías equivalentes.
• ARShades VTO: solución de prueba virtual (virtual try-on, VTO) que permite a los usuarios visualizar cómo se ajustan las gafas al rostro en realidad aumentada (RA) en tiempo real. Funciona en dispositivos web y móviles sin conservar datos biométricos.
• ARShades VTO Explorer: módulo de prueba virtual fotográfica y catálogo aumentado que permite a los Usuarios generar previsualizaciones realistas y personalizadas de varios productos de eyewear a partir de un número limitado de imágenes captadas durante la sesión. VTO Explorer puede integrarse en soluciones ARShades web, móvil, catálogos, mirror u otras experiencias in-store. Las imágenes captadas se tratan localmente en el dispositivo del Usuario o en el dispositivo utilizado para la experiencia y no se cargan automáticamente en los servidores de Spaarkly. Cuando VTO Explorer se utiliza en un dispositivo instalado en un punto de venta, showroom, sede de un evento u otro lugar público, y el Usuario opta por obtener, descargar o compartir en su propio dispositivo las fotos finales, únicamente las fotos finales seleccionadas por el Usuario podrán cargarse temporalmente en los servidores de Spaarkly con la exclusiva finalidad de ponerlas a disposición del Usuario, y se suprimen según lo descrito en la presente Política.
• AR PD Meter: herramienta de medición de la distancia pupilar (PD) que estima la distancia entre las pupilas del usuario mediante RA y detección de puntos de referencia faciales (landmarks). Las imágenes y los flujos de vídeo de la cámara no se conservan, no se utilizan para la identificación biométrica ni para crear plantillas faciales. Para calcular la distancia pupilar, AR PD Meter puede transmitir temporalmente al backend de ARShades, situado en la Unión Europea, datos técnicos derivados tales como puntos de referencia faciales, orientación del rostro, información técnica del dispositivo y parámetros necesarios para el cálculo. Dichos datos se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento.
• ARShades Mirror: experiencia de prueba virtual para el retail prestada a través de puestos dedicados (pantalla y cámara) instalados en puntos de venta, showrooms y sedes de eventos, en las ediciones ARShades Mirror Showroom, Portrait y Photobooth, que permite a los usuarios navegar por catálogos virtuales de eyewear y probarse gafas en RA sin requerir la conservación de datos personales.
• ARShades Gateway: plataforma de RA standalone que ofrece, entre otras cosas, una experiencia de prueba virtual. Puede, de forma opcional, utilizar la geolocalización, previo consentimiento, para personalizar las recomendaciones.
• ARShades Campaign Catalogue: catálogo de productos público basado en la web, accesible a través de una URL dedicada, que presenta los productos de eyewear de una marca y permite iniciar experiencias ARShades tales como VTO, 3D Viewer y VTO Explorer. La página del catálogo no escribe cookies, local storage ni otros identificadores en el dispositivo del Usuario; su uso se mide de forma agregada según lo descrito en la sección “Datos de medición del uso de los catálogos públicos”.

1. FINES DEL TRATAMIENTO Y BASE JURÍDICA

a) Soluciones ARShades en dispositivos de propiedad del Usuario

ARShades ofrece soluciones de Realidad Aumentada (RA) para la prueba virtual de gafas, utilizables en dispositivos personales tales como ordenadores, smartphones y tabletas.

Tratamos los datos personales del Usuario para ofrecer una experiencia de prueba virtual, permitiendo a los usuarios probarse distintas formas y tamaños de gafas en sitios web y aplicaciones móviles. El objetivo final es ofrecer sugerencias de monturas basadas en las características faciales del Usuario, permitiéndole visualizar cómo determinados modelos podrían ajustarse a su rostro.

La base jurídica de dicho tratamiento es:

• Prestación de los Servicios VTO: permitir al Usuario probarse virtualmente monturas de eyewear, testar formas y tamaños y utilizar herramientas como la medición de la distancia pupilar (base jurídica: ejecución de un contrato o de medidas precontractuales solicitadas por el Usuario, con arreglo al artículo 6, apartado 1, letra b), del RGPD).
• Mejora del servicio, analítica, seguridad y prevención del fraude: mejorar la calidad, la usabilidad, la comprensión analítica y la seguridad de nuestros Servicios, generar estadísticas anónimas sobre el uso y el rendimiento de las experiencias ARShades —incluida la medición agregada del uso de las páginas públicas de los Campaign Catalogue—, prevenir usos ilícitos y fraudes y garantizar la integridad de las redes y los sistemas (base jurídica: interés legítimo, artículo 6, apartado 1, letra f), del RGPD).
• Cumplimiento de obligaciones legales: cumplir con obligaciones legales o con requerimientos de las autoridades competentes en materia de conservación de datos, seguridad y otros requisitos normativos (base jurídica: obligación legal, artículo 6, apartado 1, letra c), del RGPD).
• Consentimiento, cuando resulte aplicable: cuando se requiera el consentimiento, por ejemplo para el acceso a la cámara o para eventuales herramientas opcionales de analítica, cuando estén disponibles, el tratamiento se basará en el consentimiento (artículo 6, apartado 1, letra a), del RGPD), revocable en cualquier momento sin que ello afecte a la licitud del tratamiento efectuado con anterioridad a la revocación.

Dicho consentimiento puede ser prestado por el interesado marcando la casilla habilitada al efecto al final de la presente Política de Privacidad.

La falta de otorgamiento del consentimiento, cuando este se requiera, puede impedir el acceso a algunas funcionalidades de los Servicios.

b) Soluciones ARShades en dispositivos instalados en puntos de venta, showrooms o lugares públicos (ARShades Mirror)

Algunas soluciones ARShades, incluido ARShades Mirror, se instalan en puestos dedicados ubicados en puntos de venta, sedes de eventos u otros lugares accesibles al público, para permitir la prueba virtual de gafas.

Algunas versiones de ARShades Mirror, incluida la edición ARShades Mirror Showroom, pueden incorporar el módulo VTO Explorer. En tales casos se aplican los mismos principios descritos para VTO Explorer: las imágenes captadas para la personalización y la generación del catálogo aumentado se tratan localmente en el dispositivo utilizado para la experiencia y no se cargan automáticamente en los servidores de Spaarkly.

También en este caso, el objetivo final es ofrecer sugerencias de monturas basadas en las características faciales del Usuario, permitiéndole visualizar cómo aparecerían determinados modelos en su rostro.

La base jurídica del tratamiento se fundamenta en:

• Prestación de los Servicios VTO: permitir al Usuario probarse virtualmente monturas de eyewear, testar formas y tamaños y utilizar herramientas como la medición de la distancia pupilar (base jurídica: ejecución de un contrato o de medidas precontractuales solicitadas por el interesado, con arreglo al artículo 6, apartado 1, letra b), del RGPD).
• Mejora del servicio, analítica, seguridad y prevención del fraude: mejorar la calidad, la usabilidad, la comprensión analítica y la seguridad de nuestros Servicios, generar estadísticas anónimas sobre el uso y el rendimiento de las experiencias ARShades, prevenir usos ilícitos y fraudes y garantizar la integridad de las redes y los sistemas (base jurídica: interés legítimo, artículo 6, apartado 1, letra f), del RGPD).
• Obligaciones legales: cumplir con obligaciones legales o con requerimientos de las autoridades competentes en materia de conservación de datos, seguridad y otros requisitos normativos (base jurídica: obligación legal, artículo 6, apartado 1, letra c), del RGPD).
• Consentimiento, cuando resulte aplicable: cuando se requiera el consentimiento, por ejemplo para el acceso a la cámara, para la captación de las imágenes necesarias para el uso del módulo VTO Explorer o para la conservación temporal de las fotos finales seleccionadas por el Usuario para su descarga o para compartirlas mediante funcionalidades como “Shoot & Share” o funciones equivalentes de descarga, el tratamiento se basará en el consentimiento (artículo 6, apartado 1, letra a), del RGPD), revocable en cualquier momento sin que ello afecte a la licitud del tratamiento efectuado con anterioridad a la revocación.

2. CÓMO FUNCIONA ARSHADES VTO

La tecnología ARShades utiliza la visión por computador (computer vision) para detectar los rostros y estimar mediciones sin crear ni conservar plantillas faciales.

ARShades utiliza software de medición facial para los servicios Virtual Try-On y AR PD Meter. A través de la cámara se genera una malla facial 3D. Para el Virtual Try-On, el posicionamiento de las gafas y el renderizado se realizan localmente en el dispositivo. Para AR PD Meter, los datos técnicos derivados necesarios para el cálculo de la distancia pupilar pueden transmitirse temporalmente al backend de ARShades, situado en la Unión Europea, con la exclusiva finalidad de devolver el resultado de la medición.

Cuando una experiencia ARShades incorpora el módulo VTO Explorer, el sistema puede solicitar al Usuario que capte un número limitado de imágenes durante la sesión. Dichas imágenes se utilizan como referencia visual estable para generar previsualizaciones realistas de varios productos de eyewear presentes en el catálogo. El sistema puede aplicar detección de puntos de referencia faciales, máscaras faciales adaptativas, segmentación de áreas del rostro tales como piel, cabello y orejas, así como técnicas de renderizado local, con el fin de posicionar correctamente las gafas y producir previsualizaciones realistas.

Dicho tratamiento se efectúa localmente en el dispositivo del Usuario o en el dispositivo utilizado para la experiencia. Las imágenes captadas para la personalización y la generación del catálogo no se cargan automáticamente en los servidores de Spaarkly, no se utilizan para el reconocimiento facial ni para crear un identificador biométrico o una plantilla facial persistente.

No realizamos ninguna identificación unívoca del usuario basada en la malla facial; los datos se utilizan exclusivamente para posicionar virtualmente las gafas y ofrecer sugerencias basadas en características faciales.

A diferencia de las tecnologías biométricas que crean identificadores unívocos vinculados a las personas, nuestro sistema:

• opera sobre puntos matemáticos anónimos comunes a todos los rostros;
• no utiliza las mediciones para identificar a personas concretas, ni las mediciones son, por sí solas, aptas para identificarlas;
• no utiliza ni conserva datos con fines de reconocimiento facial;
• trata los datos faciales del Virtual Try-On localmente en el dispositivo del Usuario, sin conservación del lado del servidor;
• para AR PD Meter, utiliza temporalmente datos técnicos derivados en el backend de ARShades únicamente para calcular y devolver el resultado de la PD, descartándolos tras su procesamiento.

Para utilizar dichas funcionalidades, el Usuario debe conceder los permisos necesarios para el acceso a la cámara (“Cam”) y a otros componentes de hardware, por ejemplo la cámara TrueDepth o la Depth API, y debe disponer de una versión compatible del sistema operativo instalada en su dispositivo para poder soportar las experiencias de Realidad Aumentada.

El Usuario puede rechazar dichos permisos, pero ello imposibilitará el uso del servicio.

Dichos datos se recaban localmente en el dispositivo del Usuario, salvo lo indicado para el cálculo de AR PD Meter, y se utilizan exclusivamente de forma anónima o agregada con fines de desarrollo y para recabar información estadística sobre el uso de ARShades.

Cómo recabamos y gestionamos el consentimiento

El navegador o el sistema operativo móvil solicita de forma autónoma el acceso a la cámara mediante una ventana emergente. Los usuarios deben conceder el permiso antes de que la experiencia ARShades pueda funcionar.

Los usuarios pueden revocar el consentimiento en cualquier momento desactivando el acceso a la cámara en los ajustes del navegador o del dispositivo.

3. CATEGORÍAS DE DATOS PERSONALES TRATADOS

Datos de medición facial

El sistema calcula en tiempo real las siguientes dimensiones faciales:

• distancia pupilar;
• longitud de la mandíbula;
• anchura y altura de la frente;
• longitud y anchura de la nariz;
• altura de los pómulos;
• anchura del rostro a la altura de los pómulos;
• anchura del rostro a la altura de la boca;
• longitud del mentón;
• longitud total del rostro.

Dichas mediciones se tratan de forma instantánea y localmente para el Virtual Try-On. En el caso de AR PD Meter, los datos técnicos derivados necesarios para el cálculo de la distancia pupilar pueden transmitirse temporalmente al backend de ARShades, situado en la Unión Europea, con la exclusiva finalidad de calcular y devolver el resultado de la medición. No se conservan como identificadores unívocos, no se utilizan para reconocimiento facial y se descartan tras su procesamiento. Cualesquiera datos técnicos o de sesión conservados por motivos de seguridad, analítica, prevención de abusos o mejora del servicio se conservan durante un máximo de 14 meses y posteriormente se agregan o anonimizan.

Datos estadísticos anónimos

Podemos recabar, de forma anonimizada y no rastreable, información tal como el género aproximado y el rango de edad, con la exclusiva finalidad de ofrecer recomendaciones de eyewear, verificar los requisitos de edad mínima, generar estadísticas anónimas y mejorar la experiencia de usuario. En todo caso, informaremos expresamente al Usuario de dicha posibilidad y solo procederemos tras haber obtenido su autorización específica.

Algunas experiencias ARShades, como ARShades Mirror, pueden incorporar un módulo local basado en inteligencia artificial, que utiliza tecnología de IA de código abierto ejecutada directamente en el dispositivo, con fines estadísticos y analíticos anónimos relativos al uso, al rendimiento y a la mejora de los servicios ARShades.

Dicho módulo puede estimar automáticamente algunas características generales de la persona que interactúa con la experiencia, tales como género estimado, rango de edad estimado y presencia o ausencia de gafas. La estimación de otros atributos demográficos generales está desactivada por defecto y solo puede activarse para proyectos específicos, previa evaluación jurídica; en tal caso, el aviso mostrado en el dispositivo lo indica expresamente.

Dichos datos se tratan exclusivamente de forma anónima y agregada con fines estadísticos, análisis del servicio, evaluación del rendimiento de los productos, analítica de uso y mejora de los servicios ARShades. No se utilizan para identificar al Usuario, no se vinculan a nombre, datos de contacto, plantilla facial, cuenta o identificador persistente, y no se utilizan para reconocimiento facial, elaboración de perfiles individuales, decisiones automatizadas con efectos jurídicos o análogamente significativos, marketing o seguimiento del comportamiento.

El análisis mediante IA se efectúa localmente en el dispositivo. Spaarkly únicamente puede recabar resultados estadísticos anónimos derivados de dicho análisis, cuando esté técnicamente habilitado, y no imágenes faciales, plantillas faciales, identificadores biométricos o datos que identifiquen directamente al Usuario. Se mantiene lo indicado anteriormente: la eventual activación de dicho módulo se pone en conocimiento del Usuario y, cuando así lo exija la normativa aplicable, queda supeditada a su autorización específica.

Datos del dispositivo y de sesión

Recabamos información estándar de uso, tal como:

• dirección IP;
• tipo de dispositivo;
• sistema operativo;
• idioma preferido;
• marcas y productos visualizados;
• fechas y horas de acceso;
• estadísticas anónimas sobre las interacciones con la app VTO, por ejemplo si el Usuario lleva gafas.

Dichos datos se recaban para mejorar los Servicios, garantizar la seguridad y analizar el uso de nuestras soluciones.

Datos de medición del uso de los catálogos públicos (Campaign Catalogue)

Cuando el Usuario visita la página pública de un ARShades Campaign Catalogue, Spaarkly mide el uso de la página de forma agregada, con el fin de facilitar a sus clientes estadísticas sobre las campañas: número de visitas, estimación de los visitantes únicos a lo largo de una misma jornada, profundidad de desplazamiento (scroll) de la página, interacciones con los productos y aperturas de las experiencias inmersivas, canal de procedencia de la visita y tipo de dispositivo.

Dicha medición se efectúa sin escribir cookies, local storage ni otros identificadores en el dispositivo del Usuario. Con la exclusiva finalidad de distinguir las visitas a lo largo de una misma jornada, los sistemas de Spaarkly calculan, del lado del servidor, un código técnico mediante una función criptográfica de hash no reversible aplicada a la dirección IP y a la información técnica del navegador, con un elemento secreto variable que se renueva cada 24 horas; la dirección IP se descarta inmediatamente después del cálculo y no se conserva. El código así obtenido no permite reconocer al Usuario entre días distintos y constituye un dato técnico derivado no utilizado para identificar al Usuario y no apto, por sí solo, para identificarlo. No se utiliza para reconocimiento, elaboración de perfiles individuales, marketing ni seguimiento del comportamiento entre sitios o servicios distintos.

Los eventos de uso así recabados se suprimen tras la agregación estadística diaria, por lo general en un plazo de 48 horas desde su recogida; posteriormente se conservan exclusivamente estadísticas agregadas, desprovistas de cualquier código técnico. La base jurídica de dicho tratamiento es el interés legítimo de Spaarkly y de sus clientes en medir la eficacia de las campañas y el uso del servicio (artículo 6, apartado 1, letra f), del RGPD); el Usuario puede oponerse según lo previsto en la sección “Derechos del Interesado”.

La apertura de una experiencia inmersiva desde el catálogo (por ejemplo, VTO o VTO Explorer) sigue estando sujeta a los consentimientos, la información y las reglas descritos en las demás secciones de la presente Política.

Imágenes faciales o datos biométricos

ARShades no recaba, conserva ni trata identificadores biométricos ni información biométrica en el sentido del RGPD o conforme a la definición de leyes estatales como BIPA, CUBI, CCPA o normativas análogas. La tecnología de medición facial utilizada por ARShades detecta puntos de referencia faciales para superponer, posicionar o renderizar las gafas y, en el caso de AR PD Meter, para calcular la distancia pupilar, sin generar ni conservar identificadores biométricos. No se crean, conservan ni transfieren a nuestros servidores plantillas faciales, escaneos o identificadores unívocos. Los datos técnicos derivados que eventualmente se transmiten al backend de ARShades para AR PD Meter se utilizan únicamente para devolver el resultado de la medición y se descartan tras su procesamiento.

Cuando una experiencia ARShades incorpora el módulo VTO Explorer, puede solicitarse al Usuario que capte un número limitado de imágenes durante la sesión. Dichas imágenes se tratan localmente en el dispositivo del Usuario o en el dispositivo utilizado para la experiencia con el fin de generar previsualizaciones personalizadas del catálogo y no se cargan automáticamente en los servidores de Spaarkly.

Cuando VTO Explorer u otras funcionalidades ARShades de salida fotográfica se utilizan en el dispositivo del Usuario, las fotos finales generadas durante la experiencia pueden guardarse o descargarse directamente en dicho dispositivo. En tales casos, Spaarkly no necesita cargar, conservar ni tratar de otro modo dichas fotos finales en sus servidores para ponerlas a disposición del Usuario.

Un tratamiento temporal diferenciado del lado del servidor solo puede tener lugar cuando la experiencia se presta a través de un dispositivo instalado en un punto de venta, showroom, sede de un evento u otro lugar público, y el Usuario opta por obtener, descargar o compartir en su propio dispositivo fotos finales que lo retratan con las gafas seleccionadas puestas. En tal caso, únicamente las fotos finales seleccionadas por el Usuario se cargan temporalmente en los servidores de Spaarkly con la sola finalidad de ponerlas a disposición del Usuario para su descarga o para compartirlas. Dichas fotos no se utilizan para identificación, reconocimiento facial, elaboración de perfiles, marketing, analítica ni entrenamiento de sistemas de inteligencia artificial.

En caso de que una jurisdicción redefiniera los datos biométricos de manera que pudiera incluir la tecnología ARShades, confirmamos que el análisis facial y la personalización permanecen estrictamente locales en el dispositivo del Usuario o en el dispositivo utilizado para la experiencia y no se conservan ni utilizan con fines de identificación. Cualquier carga temporal de fotos finales se limita a la descarga o a la acción de compartir solicitadas por el Usuario desde dispositivos instalados en puntos de venta, showrooms, sedes de eventos u otros lugares públicos, y está sujeta a los límites de conservación descritos en la presente Política.

Fotos finales seleccionadas por el Usuario

Cuando el Usuario opta por obtener, descargar o compartir fotos finales generadas a través de ARShades VTO, VTO Explorer, ARShades Mirror, “Shoot & Share” o funcionalidades equivalentes, las modalidades de tratamiento dependen del tipo de dispositivo utilizado para la experiencia.

Cuando la experiencia tiene lugar en el dispositivo personal del Usuario, las fotos finales pueden guardarse o descargarse directamente en dicho dispositivo y no se cargan en los servidores de Spaarkly con esa finalidad.

Cuando la experiencia tiene lugar en un dispositivo instalado en un punto de venta, showroom, sede de un evento u otro lugar público, Spaarkly puede tratar temporalmente únicamente las fotos finales seleccionadas por el Usuario, con la exclusiva finalidad de ponerlas a disposición del Usuario para su descarga o para compartirlas en su propio dispositivo.

Dichas fotos pueden representar al Usuario con uno o varios productos de eyewear seleccionados puestos. No se utilizan para reconocimiento facial, identificación biométrica, elaboración de perfiles, marketing, analítica ni entrenamiento de sistemas de inteligencia artificial.

El Usuario puede suprimir dichas fotos inmediatamente después de la descarga, cuando esta opción esté disponible. Si el Usuario no las suprime manualmente, se eliminan automáticamente de los servidores de Spaarkly a más tardar el día siguiente a la sesión.

Datos de geolocalización en las aplicaciones standalone (ARShades Gateway)

Algunas aplicaciones standalone de ARShades, es decir, no incorporadas en los sitios web de los clientes, pueden recabar datos de geolocalización de las siguientes formas:

• Geolocalización precisa: previo consentimiento explícito, determinadas aplicaciones standalone de ARShades pueden recabar coordenadas precisas de geolocalización del dispositivo para prestar servicios o recomendaciones basados en la ubicación.
• Ubicación aproximada: en ausencia de consentimiento explícito a la ubicación precisa, podemos inferir una ubicación aproximada a partir de la dirección IP.

La recogida de datos de geolocalización en las aplicaciones standalone es:

• facultativa: es posible rechazar los permisos de localización sin que ello afecte a las funcionalidades VTO principales;
• basada en el consentimiento: la geolocalización precisa solo se recaba previo consentimiento explícito;
• limitada a los fines: se utiliza únicamente para ofrecer recomendaciones de eyewear pertinentes o servicios basados en la ubicación;
• sujeta a la misma política de conservación: anonimizada en un plazo de 14 meses junto con los demás datos técnicos.

Gestión del consentimiento a la geolocalización

En el primer uso de nuestras aplicaciones standalone, el navegador solicitará permitir o bloquear el acceso a la ubicación. Se trata de un consentimiento basado en la sesión que no necesariamente persiste entre visitas, si bien, en función de la elección del Usuario y de la configuración del navegador, dicha decisión puede ser:

• recordada localmente por el navegador para futuras visitas a la misma aplicación;
• configurada para preguntar cada vez;
• concedida temporalmente solo para la sesión en curso.

Siempre es posible modificar dichos ajustes de permisos a través de la configuración del navegador.

Todos los datos técnicos recabados, incluidos los eventuales datos de geolocalización, se anonimizan automáticamente en un plazo de 14 meses, según lo descrito en nuestra política de conservación.

4. MODALIDADES DEL TRATAMIENTO

Los datos personales se tratan mediante sistemas informáticos y, cuando resulte necesario, de forma manual, respetando los principios de lealtad, licitud, transparencia y confidencialidad. El personal autorizado, formado e instruido, accede a los datos para los fines declarados.

Adoptamos medidas técnicas y organizativas orientadas a prevenir accesos no autorizados y a proteger los datos.

5. TRATAMIENTO DE DATOS EN ARSHADES MIRROR

ARShades Mirror comparte las mismas funcionalidades de base que las demás soluciones ARShades VTO: los puntos de referencia del rostro se procesan en tiempo real, localmente en el dispositivo, sin plantillas persistentes ni reconocimiento de la identidad, y ningún flujo de vídeo sale del puesto. En la edición ARShades Mirror Showroom, a partir de los puntos de referencia del rostro se deriva en el dispositivo una estimación de la distancia a la cámara basada en valores antropométricos medios, con el único fin de dimensionar las monturas virtuales; no se mide ni se devuelve ninguna distancia pupilar, y dicha estimación no se conserva ni se transmite. La presente sección regula específicamente los aspectos adicionales relativos a la implementación in-store y a la funcionalidad opcional “Shoot & Share”, que permite a los usuarios guardar y compartir selfies con las gafas seleccionadas. El tratamiento de los datos personales tiene lugar del siguiente modo:

Modalidades de tratamiento

• Las imágenes captadas para la prueba virtual, la personalización, la generación del catálogo, el ajuste facial, la segmentación, el posicionamiento del producto y el renderizado se tratan localmente en el dispositivo, sin transferencia automática a los servidores de Spaarkly.
• En las ediciones de ARShades Mirror que incorporan el módulo VTO Explorer, como ARShades Mirror Showroom, las imágenes captadas durante la fase de personalización se utilizan localmente para generar previsualizaciones del catálogo aumentado y no se cargan en los servidores de Spaarkly.
• Únicamente cuando el Usuario opta activamente por obtener, descargar o compartir fotos finales que lo retratan con las gafas seleccionadas puestas desde un dispositivo instalado en un punto de venta, showroom, sede de un evento u otro lugar público, dichas fotos finales seleccionadas podrán cargarse temporalmente en los servidores de Spaarkly con la exclusiva finalidad de ponerlas a disposición del Usuario en su propio dispositivo.
• El titular del punto de venta no tiene acceso directo a los datos ni a las imágenes generadas por los Usuarios, dado que el acceso al software está limitado exclusivamente a ARShades.
• ARShades se compromete a no acceder a los datos del Usuario salvo cuando resulte necesario para actividades específicas de mantenimiento técnico, siempre sin visualizar ni tratar las imágenes captadas.
• Spaarkly no comunica los datos de los Usuarios a terceros para fines propios de estos últimos. Para el alojamiento y la prestación de los servicios, Spaarkly puede recurrir a proveedores cualificados de infraestructura en la nube, con servidores situados en la Unión Europea, nombrados encargados del tratamiento con arreglo al artículo 28 del RGPD y vinculados por los correspondientes acuerdos de tratamiento de datos. Las actividades de tratamiento son realizadas exclusivamente por personal autorizado de Spaarkly y por dichos proveedores, dentro de los límites de las instrucciones impartidas.

Supresión automática y medidas de seguridad

• Las fotos finales cargadas temporalmente a través de ARShades Mirror, VTO Explorer, “Shoot & Share” o funcionalidades equivalentes de descarga/compartición desde dispositivos instalados en puntos de venta, showrooms, sedes de eventos u otros lugares públicos pueden ser suprimidas inmediatamente de nuestros servidores por los Usuarios una vez descargadas en su propio dispositivo, cuando dicha opción esté disponible. Si los Usuarios no suprimen manualmente sus fotos, nuestro sistema las elimina automáticamente a más tardar el día siguiente a la sesión mediante un procedimiento automático programado, sin intervención manual.
• Los datos conservados temporalmente están cifrados en reposo y en tránsito para garantizar su seguridad.
• Todos los accesos a los dispositivos ARShades para mantenimiento técnico quedan registrados en un registro de accesos conforme al artículo 5, apartado 1, letra f), del RGPD.
• El software está configurado para limitar el acceso a los datos exclusivamente al personal autorizado de ARShades.

Función de ARShades y del punto de venta

• ARShades sigue siendo el único responsable del tratamiento de los datos generados a través de ARShades Mirror.
• El punto de venta no trata los datos de los usuarios, dado que no tiene acceso a los datos generados ni a la gestión del software.

6. RECOGIDA DE DATOS Y PERÍODO DE CONSERVACIÓN

• Los datos de medición facial se recaban localmente en el dispositivo del Usuario para el Virtual Try-On y se conservan únicamente durante el tiempo necesario para prestar los servicios ARShades VTO. En el caso de AR PD Meter, los datos técnicos derivados necesarios para el cálculo de la distancia pupilar pueden transmitirse temporalmente al backend de ARShades situado en la UE, se utilizan únicamente para devolver el resultado de la medición y se descartan tras su procesamiento.
• Los datos de sesión y del dispositivo se conservan en los servidores de Spaarkly, situados dentro de la UE. Las direcciones IP se suprimen y se disocian por completo de todos los demás datos en un plazo de 14 meses. Únicamente se conservan datos agregados y anonimizados para análisis estadísticos.
• Los datos de medición del uso de los catálogos públicos (Campaign Catalogue) se suprimen tras la agregación estadística diaria, por lo general en un plazo de 48 horas desde su recogida; posteriormente solo se conservan estadísticas agregadas y anónimas.
• El período de conservación de los datos personales puede ampliarse en casos excepcionales, por ejemplo para cumplir con obligaciones legales o con fines de prevención del fraude.

7. POLÍTICA DE COOKIES

ARShades utiliza únicamente cookies estrictamente necesarias, esenciales para el funcionamiento de nuestros servicios. Dichas cookies:

• habilitan funcionalidades básicas del sitio, tales como la gestión de la sesión y la seguridad;
• no rastrean a los usuarios a través de sitios web distintos;
• no se utilizan para analítica, marketing o seguimiento por terceros.

Dado que dichas cookies son esenciales, no requieren el consentimiento del usuario con arreglo al RGPD y a la Directiva ePrivacy. Los usuarios pueden gestionar los ajustes del navegador para bloquear o eliminar las cookies, si bien ello puede afectar a la funcionalidad del servicio.

Las páginas públicas de los Campaign Catalogue no establecen cookies ni local storage: la medición de su uso se efectúa exclusivamente del lado del servidor, según lo descrito en la sección “Datos de medición del uso de los catálogos públicos”. Las cookies descritas en la presente sección se refieren a las experiencias ARShades (por ejemplo, VTO) iniciadas por el Usuario.

Cookies estrictamente necesarias utilizadas

Tecnologías de almacenamiento utilizadas

Por razones técnicas relacionadas con las restricciones cross-domain de algunos navegadores, ARShades puede almacenar el consentimiento mediante cookies o mediante mecanismos de local storage. Ambos métodos tienen la misma finalidad funcional: recordar la aceptación de la política de privacidad para evitar solicitudes repetidas durante experiencias VTO sucesivas.

Cuando no es posible establecer cookies debido a restricciones del navegador, el local storage se utiliza como mecanismo de reserva (fallback). Dichos datos en local storage están sujetos a los mismos períodos de conservación, medidas de seguridad y controles por parte del usuario previstos para las cookies. Es posible eliminar tanto las cookies como los datos de local storage a través de los ajustes del navegador.

La información almacenada con ambos métodos se limita a indicadores (flags) esenciales de consentimiento y no se utiliza para seguimiento ni elaboración de perfiles.

8. NATURALEZA DE LA APORTACIÓN DE LOS DATOS Y CONSECUENCIAS DE SU NO APORTACIÓN

La aportación de los datos para los fines descritos anteriormente es voluntaria y gratuita. Con excepción de los datos de geolocalización en algunos productos standalone de ARShades, si el Usuario opta por no facilitar los datos o los permisos requeridos para una funcionalidad concreta, es posible que no podamos prestar dicha funcionalidad.

Por ejemplo, el rechazo del acceso a la cámara impedirá el uso de la experiencia VTO. El rechazo a captar las imágenes necesarias para el módulo VTO Explorer puede impedir la generación de las previsualizaciones del catálogo aumentado.

Cuando la experiencia se desarrolla en el dispositivo personal del Usuario, la decisión de no guardar o no descargar las fotos finales no impide al Usuario utilizar la experiencia local de prueba virtual o de exploración del catálogo, cuando esté disponible. Cuando la experiencia se desarrolla en un dispositivo instalado en un punto de venta, showroom, sede de un evento u otro lugar público, la decisión de no solicitar la descarga o la compartición de las fotos finales conlleva que no se efectuará carga temporal alguna de dichas fotos en los servidores de Spaarkly con esa finalidad.

9. TRANSFERENCIAS INTERNACIONALES DE DATOS

Todos los datos se conservan en servidores situados dentro de la Unión Europea (UE).

No transferimos sus datos personales fuera del Espacio Económico Europeo (EEE).

En caso de que en el futuro fuera necesario transferir datos fuera del EEE, garantizaremos la adopción de garantías adecuadas conforme al RGPD y a las demás normativas aplicables, tales como las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea.

10. MEDIDAS DE SEGURIDAD

Adoptamos medidas técnicas y organizativas adecuadas para proteger los datos frente a la destrucción accidental o ilícita, la pérdida, la alteración, la divulgación o el acceso no autorizados.

Dichas medidas incluyen:

• cifrado;
• cortafuegos (firewall);
• servidores seguros;
• sistemas de gestión de accesos para prevenir accesos no autorizados a sistemas y datos.

Supervisamos y actualizamos constantemente nuestros protocolos de seguridad para garantizar el cumplimiento de los estándares de protección de datos más recientes.

Protocolo en caso de violación de la seguridad

En caso de incidente de seguridad que afecte a datos de sesión, datos del dispositivo, direcciones IP o datos de geolocalización, ARShades:

• evaluará el nivel de riesgo con arreglo al artículo 33 del RGPD. Evaluaremos toda posible violación conforme al artículo 33 del RGPD y notificaremos a la autoridad de control competente en un plazo de 72 horas cuando así lo exija la ley aplicable;
• debido a la ausencia de datos personales de contacto, no estamos en condiciones de notificar directamente a los usuarios individuales. Cuando así se requiera, emitiremos en su lugar un aviso público a través de nuestro sitio oficial u otros canales;
• mitigará y resolverá el incidente en el menor tiempo posible, implementando, cuando sea necesario, medidas de salvaguardia adicionales.

11. PRIVACIDAD DE LOS MENORES

ARShades está diseñado para usuarios de todas las edades. No obstante, únicamente los usuarios que hayan alcanzado la edad mínima legal exigida en su país pueden prestar de forma autónoma el consentimiento al tratamiento de sus datos personales.

Si un usuario es menor de dicha edad, se requiere el consentimiento de un progenitor o tutor para el tratamiento de los datos, y el progenitor o tutor debe aceptar la presente Política de Privacidad en su nombre.

Nos comprometemos a proteger la privacidad de los menores y animamos a los progenitores y tutores a supervisar activamente la actividad en línea y las experiencias digitales de los menores.

No recabamos ni tratamos intencionadamente datos personales de ningún usuario —y, por tanto, de ningún menor— en ausencia de una base jurídica válida y, cuando se trate de menores por debajo de la edad legal aplicable, de un consentimiento parental verificado.

Por el modo en que está diseñado ARShades, no creamos cuentas, no solicitamos nombres ni datos de contacto y no generamos identificadores persistentes: el análisis facial se realiza localmente en el dispositivo y los datos técnicos y de sesión que eventualmente se conserven (por ejemplo, la dirección IP) se disocian de cualquier otro dato dentro de los plazos indicados en la sección “Recogida de datos y período de conservación”. En consecuencia, no conservamos datos atribuibles a un menor identificado o identificable.

Si un progenitor o tutor considera que su hijo ha utilizado el servicio sin su consentimiento, puede ponerse en contacto con nosotros en la dirección privacy@spaarkly.com para solicitar la supresión de los datos, indicando la dirección IP utilizada y, en su caso, la fecha y la hora aproximadas de la sesión. Cuando dichos elementos nos permitan localizar los datos de referencia, adoptaremos de inmediato medidas para suprimirlos; en caso contrario, recordamos que los datos técnicos quedan, en todo caso, sujetos a los límites de conservación y supresión automática descritos en la sección “Recogida de datos y período de conservación”.

12. DERECHOS DEL INTERESADO

Con arreglo al RGPD y a las normativas equivalentes, los Usuarios gozan de los siguientes derechos:

Derecho de acceso

• Solicitar la confirmación de si se está tratando o no sus datos personales.
• Obtener acceso a la información pertinente, tal como los fines, las categorías de datos tratados, los destinatarios o categorías de destinatarios, el período de conservación, etc.

Derecho de rectificación

• Solicitar la corrección de datos inexactos o incompletos.

Derecho de supresión (“derecho al olvido”)

• Solicitar la supresión de los datos personales cuando:
  • los datos ya no sean necesarios en relación con los fines para los que fueron recabados;
  • se revoque el consentimiento, cuando el tratamiento se base en el consentimiento;
  • los datos hayan sido tratados de forma ilícita.

Derecho a la limitación del tratamiento

• Solicitar la limitación del tratamiento cuando:
  • se impugne la exactitud de los datos;
  • el tratamiento sea ilícito, pero el interesado se oponga a la supresión;
  • los datos sean necesarios para la formulación, el ejercicio o la defensa de reclamaciones, aunque el responsable ya no los necesite;
  • el interesado se oponga al tratamiento, en tanto se verifica la existencia de motivos legítimos.

Derecho a la portabilidad de los datos

• Recibir sus datos personales en un formato estructurado, de uso común y de lectura mecánica.
• Solicitar la transmisión directa a otro responsable, cuando sea técnicamente posible.

Derecho de oposición

• Oponerse al tratamiento basado en el interés legítimo.

Derecho a revocar el consentimiento

• Revocar el consentimiento en cualquier momento cuando el tratamiento se base en el consentimiento.

Interfaz de gestión del consentimiento

Para facilitar el ejercicio del derecho a revocar el consentimiento, ARShades proporciona un icono dedicado a la gestión de cookies/consentimiento dentro de la interfaz Virtual Try-On. Al hacer clic en dicho icono, el Usuario puede:

• visualizar el estado actual de su consentimiento;
• acceder a nuestra Política de Privacidad completa;
• revocar el consentimiento previamente prestado.

Cuando se revoca el consentimiento, eliminamos de inmediato los datos de consentimiento tanto de las cookies como del local storage, interrumpimos la sesión VTO en curso y solicitamos un nuevo consentimiento para cualquier uso posterior de nuestros servicios. Dicho mecanismo garantiza al Usuario el pleno control sobre sus datos en todo momento.

Ejercicio de los derechos

Dado que ARShades no requiere registro de usuario ni recaba identificadores personales directos tales como nombres o direcciones de correo electrónico, puede ser necesario facilitar información adicional para verificar la identidad, tal como la dirección IP, la información del dispositivo o los detalles de la sesión, a fin de verificar y gestionar las solicitudes relativas a los datos. Ello es necesario para asociar la solicitud a los datos técnicos conservados.

Si un usuario no puede facilitar su dirección IP u otros detalles identificativos de la sesión, es posible que no podamos atender determinadas solicitudes, como la supresión de los datos, dado que ARShades no mantiene perfiles identificables personalmente.

Las solicitudes deben dirigirse por correo electrónico al responsable del tratamiento en la dirección: privacy@spaarkly.com

Si considera que sus datos han sido tratados de forma ilícita, tiene derecho a presentar una reclamación ante:

• el Garante per la Protezione dei Dati Personali italiano: www.garanteprivacy.it;
• otra autoridad de control competente en su país de residencia.

13. MODIFICACIONES DE LA PRESENTE POLÍTICA DE PRIVACIDAD

Podemos actualizar periódicamente la presente Política de Privacidad para reflejar:

• modificaciones de nuestros Servicios;
• actualizaciones de la tecnología;
• nuevos requisitos legales;
• cambios internos en las políticas.

Cuando se realicen actualizaciones, modificaremos la fecha de “Última actualización” al inicio del presente documento.

Invitamos a los Usuarios a consultar periódicamente la presente Política de Privacidad para mantenerse informados sobre cómo protegemos sus datos.

14. INFORMACIÓN DE CONTACTO

El responsable del tratamiento es: Spaarkly s.r.l. Dirección: Via della Tecnica n. 18, 85100 Potenza, Italia Correo electrónico: privacy@spaarkly.com

Para cualquier información o solicitud relativa a sus datos personales, le invitamos a ponerse en contacto con nosotros en la dirección de correo electrónico indicada.

---

ADDENDA NORMATIVOS

Introducción a los Addenda Normativos

La presente Política de Privacidad establece el marco general para la protección de los datos personales, basado principalmente en el RGPD. No obstante, en algunas jurisdicciones pueden resultar de aplicación requisitos adicionales o distintos.

Los siguientes Addenda Normativos integran o modifican el cuerpo principal de la Política. Cada Addendum especifica, para el área geográfica o el país pertinente:

• derechos adicionales o distintos respecto de los descritos en la Política principal;
• modalidades de ejercicio de dichos derechos, incluidos contactos locales, procedimientos y plazos de respuesta;
• eventuales requisitos adicionales de consentimiento;
• requisitos específicos de conservación de datos;
• obligaciones locales de notificación en caso de violación de datos (data breach);
• reglas sobre las transferencias de datos, incluidas las cláusulas contractuales tipo y los requisitos locales.

Las disposiciones generales de la presente Política de Privacidad se aplican en la medida en que no entren en conflicto con los términos de los Addenda. En caso de conflicto, prevalecerán las disposiciones del Addendum aplicable.

Invitamos a los Usuarios a leer atentamente el Addendum aplicable a su país o región de residencia.

Índice de los Addenda regionales y nacionales

1. Unión Europea / Espacio Económico Europeo / Reino Unido
2. Suiza
3. Estados Unidos
4. Canadá
5. Australia y Nueva Zelanda
6. Región Asia-Pacífico
7. Brasil y América Latina
8. Japón
9. China
10. Sudáfrica
11. India
12. Oriente Medio
13. Otros Países

A. REINO UNIDO (UK GDPR) / UNIÓN EUROPEA Y ESPACIO ECONÓMICO EUROPEO (UE/EEE)

Los usuarios residentes en el Reino Unido y en la UE/EEE se benefician de los derechos previstos por el UK GDPR y por el RGPD de la UE, según se describe en el cuerpo principal de la presente Política de Privacidad. Para las transferencias de datos fuera del Reino Unido o de la UE/EEE, Spaarkly garantiza el cumplimiento de las leyes aplicables, incluido el uso de las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea para las transferencias UE/EEE y de las CCT aprobadas por la ICO para las transferencias desde el Reino Unido.

Derechos adicionales o diferenciados

No existen diferencias sustanciales entre los derechos previstos por el UK GDPR y los previstos por el RGPD de la UE. Los usuarios de ambas jurisdicciones conservan los mismos derechos fundamentales de acceso, rectificación, supresión, limitación, oposición y portabilidad de los datos descritos en la Política principal.

Ejercicio de los derechos

Los usuarios del Reino Unido y de la UE/EEE pueden ejercer sus derechos poniéndose en contacto con privacy@spaarkly.com. Asimismo, pueden dirigirse a la autoridad de control competente:

• Usuarios UE/EEE: la autoridad de control en materia de protección de datos del respectivo Estado miembro.
• Usuarios del Reino Unido: la Information Commissioner’s Office (ICO) (https://ico.org.uk/).

Obligaciones de notificación en caso de data breach

En caso de violación de la seguridad de los datos personales, Spaarkly notificará a la autoridad de control competente en un plazo de 72 horas desde que tenga conocimiento de ella, con arreglo al artículo 33 del RGPD y a los requisitos de notificación de la ICO en el Reino Unido.

Transferencias internacionales de datos

Para las transferencias fuera de la UE/EEE y del Reino Unido, Spaarkly garantiza la adopción de garantías adecuadas, entre ellas:

• Cláusulas Contractuales Tipo (CCT) de la Comisión Europea para las transferencias desde la UE/EEE;
• CCT aprobadas por la ICO para las transferencias desde el Reino Unido;
• garantías adicionales cuando sea necesario, en línea con las directrices del European Data Protection Board (EDPB) y de la ICO.

Spaarkly no transfiere datos personales hacia jurisdicciones carentes de un nivel adecuado de protección, salvo que estén en vigor CCT u otros mecanismos jurídicamente reconocidos.

B. SUIZA (FADP – FEDERAL ACT ON DATA PROTECTION)

Los usuarios residentes en Suiza se benefician de derechos de protección de datos sustancialmente equivalentes a los previstos por el RGPD, dado que la normativa suiza está estrechamente alineada con los estándares europeos.

Derechos adicionales o diferenciados con arreglo al FADP

Los usuarios suizos tienen derecho a:

• acceder a sus datos personales tratados por Spaarkly;
• solicitar la corrección o la supresión de datos inexactos o innecesarios;
• oponerse al tratamiento de datos con fines de marketing directo.

Ejercicio de los derechos

Los usuarios suizos pueden dirigir sus solicitudes por correo electrónico a privacy@spaarkly.com. Para eventuales reclamaciones, también pueden ponerse en contacto con el Encargado Federal de Protección de Datos y Transparencia (IFPDT/FDPIC) en la dirección www.edoeb.admin.ch.

Requisitos de conservación de datos

Aplicamos los principios generales de conservación de datos descritos en la presente Política de Privacidad. Los datos personales se conservan únicamente durante el tiempo necesario para alcanzar la finalidad prevista y se anonimizan en un plazo de 14 meses. En caso de que la ley suiza prevea períodos de conservación específicos, Spaarkly los cumple.

Obligaciones de notificación en caso de data breach

En caso de violación de datos que conlleve un riesgo elevado para los derechos de las personas, Spaarkly informará:

• al Encargado Federal de Protección de Datos y Transparencia (FDPIC);
• a los interesados, cuando así lo exija la ley suiza.

Transferencias internacionales de datos

Los datos personales de los usuarios suizos no se transfieren fuera de Suiza, salvo que:

• el país de destino sea considerado dotado de un nivel adecuado de protección por las autoridades suizas;
• se implementen Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea para las transferencias hacia la UE/EEE;
• se adopten otras garantías conformes al FADP suizo para proteger los datos transferidos.

C. ESTADOS UNIDOS — ADDENDUM USA

Estados Unidos no dispone de una ley federal general de protección de datos aplicable a todos los estados. Por ello, Spaarkly cumple las leyes de privacidad aplicables a nivel estatal. El presente Addendum se aplica a los residentes en Estados Unidos e integra la Política de Privacidad de ARShades. Regula el cumplimiento de las leyes federales y estatales en materia de privacidad, entre ellas, con carácter meramente enunciativo:

• California: California Consumer Privacy Act (CCPA) y California Privacy Rights Act (CPRA);
• Virginia: Virginia Consumer Data Protection Act (VCDPA);
• Colorado: Colorado Privacy Act (CPA);
• Connecticut: Connecticut Data Privacy Act (CTDPA);
• Utah: Utah Consumer Privacy Act (UCPA);
• Montana: Montana Consumer Data Privacy Act (MCDPA);
• Oregon: Oregon Consumer Privacy Act (OCPA);
• Illinois: Biometric Information Privacy Act (BIPA);
• Texas: Capture or Use of Biometric Identifier Act (CUBI) y Texas Data Privacy and Security Act (TDPSA);
• Washington: ley sobre privacidad biométrica (RCW 19.375);
• otras leyes estatales aplicables en materia de privacidad.

Las disposiciones del presente Addendum se aplican con carácter adicional a las de la Política principal. En caso de conflicto, prevalecerá el presente Addendum para los residentes en Estados Unidos.

Derechos y normativas específicos por estado

1. California (CCPA/CPRA)

Los residentes en California tienen derecho a:

• saber qué categorías de datos personales recabamos;
• comprender los fines del tratamiento;
• solicitar la supresión de sus datos personales, con las excepciones permitidas por la ley;
• oponerse a la venta o la compartición de sus datos, cuando resulte aplicable;
• no sufrir discriminación por el ejercicio de sus derechos de privacidad.

2. Virginia, Colorado, Connecticut, Utah, Montana y Oregon

Los residentes en dichos estados gozan de derechos similares a los previstos por el CCPA, entre ellos:

• derechos de acceso, rectificación y supresión;
• derechos de exclusión (opt-out) respecto de la publicidad dirigida o la venta de datos personales, cuando resulte aplicable. Aunque ARShades no realiza dichas actividades, los residentes en Montana y Oregon pueden, no obstante, solicitar confirmación poniéndose en contacto con Spaarkly.

3. Illinois (BIPA), Texas (CUBI), Washington (RCW 19.375)

• Spaarkly no recaba datos biométricos según la definición de dichas leyes.
• ARShades trata exclusivamente puntos matemáticos de referencia facial (landmarks) con fines de prueba virtual y, a través de AR PD Meter, de cálculo de la distancia pupilar, los cuales:
  • no pueden utilizarse para identificar unívocamente a una persona;
  • en el caso del Virtual Try-On, se tratan localmente en el dispositivo del usuario y nunca se conservan;
  • en el caso de AR PD Meter, pueden transmitirse temporalmente, en calidad de datos técnicos derivados no utilizados para identificar al Usuario y no aptos, por sí solos, para identificarlo, al backend de ARShades situado en la Unión Europea, se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento, sin conservarse en ningún momento;
  • no crean un identificador persistente vinculado a una persona.

4. Otros estados de EE. UU.

• Algunos estados aún no disponen de leyes generales de privacidad.
• En tales casos, Spaarkly sigue los principios generales descritos en la presente Política de Privacidad y cumple cualquier normativa estatal aplicable.

Cómo ejercer los derechos

Los residentes en EE. UU. pueden ponerse en contacto con nosotros en la dirección privacy@spaarkly.com, indicando su estado de residencia.

Podríamos solicitar información adicional para la verificación de la identidad, por ejemplo datos del dispositivo o la dirección IP, para gestionar la solicitud.

Información y consentimiento específicos para los estados con normativa biométrica

Aunque nuestra tecnología no recaba ni conserva información biométrica según la definición legal, facilitamos la presente información adicional y solicitamos el consentimiento explícito para el uso de nuestra tecnología de prueba virtual y de medición.

Antes del inicio de la experiencia, el Usuario presta un consentimiento expreso —mediante la correspondiente casilla de aceptación de la presente Política— al uso de la tecnología de detección facial descrita en la presente Política de Privacidad.

Es posible revocar dicho consentimiento en cualquier momento cesando en el uso de la funcionalidad de prueba virtual o desactivando el acceso a la cámara en los ajustes del dispositivo.

Requisitos de conservación de datos

Según lo indicado en la Política principal:

• cualquier dato de medición facial se trata en tiempo real y nunca se conserva más allá de la sesión inmediata;
• los datos técnicos derivados transmitidos temporalmente al backend de ARShades para AR PD Meter se utilizan únicamente para devolver el resultado de la medición y se descartan tras su procesamiento;
• los datos de sesión y del dispositivo se anonimizan y disocian en un plazo de 14 meses.

Obligaciones de notificación en caso de data breach

Dado que Spaarkly no recaba información de contacto de los usuarios, no es posible notificar directamente a las personas individuales en caso de data breach. De conformidad con las leyes estatales en materia de violación de datos, Spaarkly notificará a las autoridades estatales competentes cuando así se requiera.

Si la ley lo impone, Spaarkly publicará una comunicación pública en su sitio web o a través de otros canales apropiados.

Reglas sobre las transferencias de datos

Los datos técnicos y de sesión descritos en la presente Política, incluidos los datos técnicos derivados tratados temporalmente para AR PD Meter, se tratan en servidores situados en la Unión Europea (UE), donde reciben las protecciones previstas por el RGPD.

Ello implica que algunos datos generados por el uso de los Servicios en Estados Unidos se traten en la UE. La legislación estadounidense no restringe dichas transferencias; los datos transferidos no identifican directamente al Usuario, están protegidos por medidas técnicas y organizativas adecuadas y se descartan o anonimizan según los términos de la presente Política.

En caso de que en el futuro fuera necesario transferir datos personales desde la UE/EEE hacia Estados Unidos, ello se realizaría exclusivamente con las garantías previstas por el RGPD, tales como las Cláusulas Contractuales Tipo (CCT) o el EU-U.S. Data Privacy Framework (DPF).

Renuncia a acciones colectivas y al juicio con jurado

PARA LOS USUARIOS UBICADOS EN ESTADOS UNIDOS: EN LA MÁXIMA MEDIDA PERMITIDA POR LA LEY, EL USUARIO Y SPAARKLY ACEPTAN RENUNCIAR AL DERECHO A UN JUICIO CON JURADO O A PARTICIPAR COMO DEMANDANTE O MIEMBRO DE UNA CLASE EN CUALQUIER PRESUNTA ACCIÓN COLECTIVA, PROCEDIMIENTO REPRESENTATIVO O ACCIÓN DE PRIVATE ATTORNEY GENERAL.

Salvo acuerdo en contrario entre el Usuario y Spaarkly, todo procedimiento de resolución de controversias se sustanciará exclusivamente de forma individual. Si, por cualquier motivo, una controversia se dirime ante un tribunal en lugar de en arbitraje, el Usuario y Spaarkly renuncian cada uno a cualquier derecho a un juicio con jurado.

Dicha renuncia podría no ser aplicable en todos los estados. Cuando no resulte aplicable con arreglo a la legislación estatal, las controversias se resolverán conforme a los requisitos del estado aplicable.

D. CANADÁ (PIPEDA — PERSONAL INFORMATION PROTECTION AND ELECTRONIC DOCUMENTS ACT)

Los usuarios en Canadá están protegidos por el Personal Information Protection and Electronic Documents Act (PIPEDA) y por las leyes provinciales de privacidad, entre ellas la Law 25 de Quebec (antes Bill 64), el Personal Information Protection Act (PIPA) de la Columbia Británica y el Personal Information Protection Act (PIPA) de Alberta.

Cumplimiento del PIPEDA y de las leyes provinciales de privacidad

Spaarkly opera en Canadá y se adhiere a los principios PIPEDA. Su actual modelo de tratamiento de datos es el siguiente:

• los datos faciales utilizados para el Virtual Try-On se tratan localmente en el dispositivo y no se conservan; en el caso de AR PD Meter, datos técnicos derivados, no utilizados para identificar al Usuario y no aptos, por sí solos, para identificarlo, pueden transmitirse temporalmente al backend de ARShades situado en la Unión Europea, se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento;
• no se recaban datos biométricos o unívocamente identificativos, ni nombres, datos de contacto o perfiles de usuario;
• los datos de sesión y del dispositivo (incluida la dirección IP) se conservan en servidores situados en la Unión Europea y se anonimizan en un plazo de 14 meses; las eventuales fotos finales solicitadas por el Usuario desde dispositivos in-store se suprimen a más tardar el día siguiente a la sesión. Ello puede conllevar una transferencia de dichos datos hacia la UE, con las garantías descritas en la sección “Transferencias internacionales” del presente Addendum.

Dado que Spaarkly no trata datos idóneos para identificar directamente a los Usuarios (tales como nombres, datos de contacto o identificadores persistentes), algunas obligaciones del PIPEDA, como la obtención del consentimiento para usos secundarios de los datos o el mantenimiento de registros detallados de las actividades de tratamiento, no resultan de aplicación en sentido estricto.

Derechos de los usuarios con arreglo al PIPEDA

Los usuarios en Canadá gozan de derechos análogos a los previstos por el RGPD, entre ellos:

• derecho de acceso: solicitar una copia de sus datos personales e información sobre su uso;
• derecho de rectificación: solicitar la corrección de datos inexactos o incompletos;
• derecho a revocar el consentimiento: revocar en cualquier momento el consentimiento previamente prestado;
• derecho a impugnar el cumplimiento: impugnar el cumplimiento por parte de una organización de los principios PIPEDA;
• derecho de recurso: presentar una reclamación ante la autoridad competente en materia de protección de datos.

Ejercicio de los derechos

Los usuarios canadienses pueden ejercer sus derechos poniéndose en contacto con privacy@spaarkly.com.

Para verificar la identidad, pueden solicitarse datos adicionales tales como la dirección IP o los identificadores del dispositivo antes de gestionar las solicitudes.

Si los usuarios no están satisfechos con nuestra respuesta, pueden dirigirse a:

• Office of the Privacy Commissioner of Canada (OPC) (https://www.priv.gc.ca/en/);
• los comisionados provinciales de privacidad en la Columbia Británica, Alberta o Quebec, cuando resulte aplicable.

Conservación de datos y medidas de seguridad

El PIPEDA exige que los datos personales se conserven únicamente durante el tiempo necesario para la finalidad prevista.

• Spaarkly garantiza que los datos de sesión y del dispositivo se anonimicen en un plazo de 14 meses, conforme a las mejores prácticas.
• Se adoptan sólidas medidas técnicas y organizativas para prevenir accesos no autorizados, fugas de datos o usos indebidos.

Obligaciones de notificación en caso de data breach

• En caso de violación de datos que presente un riesgo real de daño significativo, Spaarkly notificará:
  • a la Office of the Privacy Commissioner of Canada (OPC);
  • a los comisionados provinciales de privacidad, cuando así lo exija la ley provincial;
  • cuando la ley lo requiera, se publicará una comunicación pública en el sitio de Spaarkly o a través de otros canales apropiados.
• Dado que Spaarkly no recaba información de contacto de los usuarios, no es posible enviar notificaciones individuales.

Transferencias internacionales y garantía de cumplimiento

Los datos técnicos y de sesión descritos en la presente Política, incluidos los datos técnicos derivados tratados temporalmente para AR PD Meter, se tratan en servidores situados en la Unión Europea. Ello puede conllevar una transferencia de datos fuera de Canadá hacia la UE, jurisdicción que asegura un nivel elevado de protección de los datos personales. Dichos datos no identifican directamente al Usuario y están protegidos mediante garantías contractuales y medidas técnicas y organizativas adecuadas, de conformidad con el principio de responsabilidad proactiva (Accountability) del PIPEDA.

En caso de que una autoridad canadiense exigiera garantías adicionales, Spaarkly adoptará de inmediato todas las medidas de cumplimiento necesarias, entre ellas:

• garantizar el cumplimiento del principio de responsabilidad proactiva (Accountability) del PIPEDA en relación con las transferencias internacionales;
• implementar Cláusulas Contractuales Tipo (CCT) u otros mecanismos de transferencia jurídicamente reconocidos, cuando sea necesario;
• facilitar información clara y accesible sobre las potenciales transferencias transfronterizas y sobre los riesgos asociados.

Dado que Spaarkly mantiene su compromiso con el pleno cumplimiento del PIPEDA y de las leyes provinciales de privacidad, supervisará la evolución normativa y adaptará sus prácticas de tratamiento en caso de que las autoridades exijan garantías adicionales.

E. AUSTRALIA Y NUEVA ZELANDA

Los usuarios en Australia y Nueva Zelanda están protegidos por las respectivas leyes generales de privacidad:

• Australia: Privacy Act 1988 (Cth), incluidos los Australian Privacy Principles (APPs), y Privacy Amendment (Notifiable Data Breaches) Act 2017;
• Nueva Zelanda: Privacy Act 2020, incluidos los Information Privacy Principles (IPPs), regulado por la Office of the Privacy Commissioner (OPC).

Cumplimiento de las leyes de privacidad australianas y neozelandesas

Spaarkly opera en Australia y Nueva Zelanda y se adhiere a los principios previstos por las leyes de privacidad de dichas jurisdicciones. Su actual modelo de tratamiento de datos es el siguiente:

• los datos faciales utilizados para el Virtual Try-On se tratan localmente en el dispositivo y no se conservan; en el caso de AR PD Meter, datos técnicos derivados, no utilizados para identificar al Usuario y no aptos, por sí solos, para identificarlo, pueden transmitirse temporalmente al backend de ARShades situado en la Unión Europea, se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento;
• no se recaban datos biométricos o unívocamente identificativos, ni nombres, datos de contacto o perfiles de usuario;
• los datos de sesión y del dispositivo (incluida la dirección IP) se conservan en servidores situados en la Unión Europea y se anonimizan en un plazo de 14 meses; las eventuales fotos finales solicitadas por el Usuario desde dispositivos in-store se suprimen a más tardar el día siguiente a la sesión. Ello puede conllevar una transferencia de dichos datos hacia la UE, con las garantías descritas en la sección “Transferencias internacionales” del presente Addendum.

Dado que Spaarkly no trata datos idóneos para identificar directamente a los Usuarios (tales como nombres, datos de contacto o identificadores persistentes), algunas obligaciones previstas por el Australian Privacy Act y el New Zealand Privacy Act, tales como la elaboración de un plan integral de gestión de la privacidad o el mantenimiento de registros detallados de las actividades de tratamiento, no resultan de aplicación en sentido estricto.

Derechos de los usuarios con arreglo a las leyes de privacidad australianas y neozelandesas

Los usuarios en Australia y Nueva Zelanda tienen derechos de privacidad que incluyen:

• derecho de acceso: solicitar acceso a sus datos personales en poder de una organización;
• derecho de corrección: solicitar la corrección de datos inexactos, no actualizados, incompletos o engañosos;
• derecho de oposición: oponerse a determinados tipos de tratamiento, en particular el marketing directo en Australia y los tratamientos susceptibles de causar un daño, molestia o perjuicio significativos en Nueva Zelanda;
• derecho de reclamación: presentar una reclamación ante la autoridad de privacidad competente cuando consideren vulnerados sus derechos;
• derecho a remedios: obtener remedios por infracciones de privacidad, incluidos la corrección, disculpas o indemnización, cuando resulte aplicable.

Ejercicio de los derechos

Los usuarios en Australia y Nueva Zelanda pueden ejercer sus derechos poniéndose en contacto con privacy@spaarkly.com.

Puede solicitarse una verificación de la identidad, por ejemplo mediante la dirección IP o los identificadores del dispositivo, antes de gestionar las solicitudes.

Si los usuarios no están satisfechos con la respuesta de Spaarkly, pueden dirigirse a:

• Office of the Australian Information Commissioner (OAIC) (https://www.oaic.gov.au/);
• Office of the Privacy Commissioner (OPC) de Nueva Zelanda (https://www.privacy.org.nz/).

Conservación de datos y medidas de seguridad

Tanto el Australian Privacy Act como el Privacy Act de Nueva Zelanda exigen que los datos personales no se conserven durante más tiempo del necesario respecto de la finalidad prevista.

• Spaarkly garantiza que los datos de sesión y del dispositivo se anonimicen en un plazo de 14 meses, conforme a las mejores prácticas.
• Se adoptan sólidas medidas técnicas y organizativas para prevenir accesos no autorizados, fugas de datos o usos indebidos, de conformidad con el APP 11 en Australia y el IPP 5 en Nueva Zelanda.

Obligaciones de notificación en caso de data breach

• En caso de violación de datos susceptible de determinar un daño grave para los interesados, Spaarkly notificará:
  • a la Office of the Australian Information Commissioner (OAIC) con arreglo al régimen Notifiable Data Breaches (NDB), completando la evaluación del incidente en un plazo de 30 días y procediendo a la notificación tan pronto como sea razonablemente posible;
  • a la Office of the Privacy Commissioner (OPC) de Nueva Zelanda tan pronto como sea posible, de conformidad con los requisitos obligatorios de notificación previstos por el Privacy Act 2020.
• Dado que Spaarkly no recaba información de contacto de los usuarios, no es posible enviar notificaciones individuales de forma directa. Cuando la ley lo requiera, Spaarkly publicará una comunicación pública en su sitio web o a través de otros canales apropiados.

Transferencias internacionales y garantía de cumplimiento

Los datos técnicos y de sesión descritos en la presente Política, incluidos los datos técnicos derivados tratados temporalmente para AR PD Meter, se tratan en servidores situados en la Unión Europea. Ello puede conllevar una transferencia de datos fuera de Australia o de Nueva Zelanda hacia la UE, jurisdicción que asegura un nivel elevado de protección de los datos personales. Dichos datos no identifican directamente al Usuario y están protegidos mediante garantías contractuales y medidas técnicas y organizativas adecuadas, en línea con el APP 8 en Australia y el IPP 12 en Nueva Zelanda.

En caso de que una autoridad exigiera garantías adicionales, Spaarkly adoptará de inmediato todas las medidas de cumplimiento necesarias, entre ellas:

• garantizar el cumplimiento del APP 8 y de la Sección 16C del Australian Privacy Act en materia de comunicaciones transfronterizas;
• implementar las garantías apropiadas exigidas por el IPP 12 del New Zealand Privacy Act 2020 para las transferencias al extranjero;
• facilitar información clara a los usuarios sobre las potenciales transferencias transfronterizas y mantener la responsabilidad proactiva en materia de protección de datos.

Dado que Spaarkly mantiene su compromiso con el pleno cumplimiento de las leyes de privacidad australianas y neozelandesas, supervisará la evolución normativa y adaptará sus prácticas de tratamiento en caso de que las autoridades exijan garantías adicionales.

F. REGIÓN ASIA-PACÍFICO

Los usuarios en la región Asia-Pacífico están protegidos por diversas leyes nacionales generales de protección de datos, entre ellas:

• Singapur: Personal Data Protection Act (PDPA) de 2012, modificado en 2020, aplicado por la Personal Data Protection Commission (PDPC);
• Malasia: Personal Data Protection Act (PDPA) de 2010, aplicado por el Personal Data Protection Department (JPDP);
• Filipinas: Data Privacy Act (DPA) de 2012, aplicado por la National Privacy Commission (NPC);
• Indonesia: Personal Data Protection Law (PDP Law) de 2022, inspirada en el RGPD;
• Tailandia: Personal Data Protection Act (PDPA) de 2019, aplicado por el Personal Data Protection Committee (PDPC);
• Corea del Sur: Personal Information Protection Act (PIPA), aplicado por la Personal Information Protection Commission (PIPC);
• otras jurisdicciones con marcos normativos emergentes en materia de protección de datos.

Cumplimiento de las leyes de protección de datos de Asia-Pacífico

Spaarkly opera en la región Asia-Pacífico y se adhiere a los principios establecidos por las leyes de privacidad de dichas jurisdicciones. Su actual modelo de tratamiento de datos es el siguiente:

• los datos faciales utilizados para el Virtual Try-On se tratan localmente en el dispositivo y no se conservan; en el caso de AR PD Meter, datos técnicos derivados, no utilizados para identificar al Usuario y no aptos, por sí solos, para identificarlo, pueden transmitirse temporalmente al backend de ARShades situado en la Unión Europea, se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento;
• no se recaban datos biométricos o unívocamente identificativos, ni nombres, datos de contacto o perfiles de usuario;
• los datos de sesión y del dispositivo (incluida la dirección IP) se conservan en servidores situados en la Unión Europea y se anonimizan en un plazo de 14 meses; las eventuales fotos finales solicitadas por el Usuario desde dispositivos in-store se suprimen a más tardar el día siguiente a la sesión. Ello puede conllevar una transferencia de dichos datos hacia la UE, con las garantías descritas en la sección “Transferencias internacionales” del presente Addendum.

Dado que Spaarkly no trata datos idóneos para identificar directamente a los Usuarios (tales como nombres, datos de contacto o identificadores persistentes), algunas obligaciones previstas por las leyes de privacidad de Asia-Pacífico, tales como evaluaciones de impacto sobre la protección de datos, registro ante las autoridades o registros detallados de las actividades de tratamiento, no resultan de aplicación en sentido estricto en la mayoría de los casos.

Derechos de los usuarios con arreglo a las leyes de privacidad de Asia-Pacífico

Los usuarios en los países de Asia-Pacífico dotados de leyes generales de protección de datos gozan por lo general de derechos similares a los previstos por el RGPD, entre ellos:

• derecho de acceso: solicitar información sobre la recogida, el uso y la comunicación de los datos personales;
• derecho de corrección: solicitar la corrección de datos personales inexactos o incompletos;
• derecho a revocar el consentimiento: revocar el consentimiento previamente prestado;
• derecho a la portabilidad de los datos: solicitar la transferencia de los datos a otra organización, en jurisdicciones como Singapur y Filipinas;
• derecho de supresión: solicitar la supresión de los datos personales en condiciones específicas, según la jurisdicción;
• derecho de oposición: oponerse al tratamiento para marketing directo u otros fines, según la jurisdicción.

Ejercicio de los derechos

Los usuarios en los países de Asia-Pacífico pueden ejercer sus derechos poniéndose en contacto con privacy@spaarkly.com.

Puede solicitarse la verificación de la identidad, por ejemplo mediante la dirección IP o los identificadores del dispositivo, antes de gestionar las solicitudes.

Si los usuarios no están satisfechos con la respuesta de Spaarkly, pueden dirigirse a su autoridad nacional competente en materia de protección de datos:

• Personal Data Protection Commission (PDPC) de Singapur (https://www.pdpc.gov.sg/);
• Personal Data Protection Department (JPDP) de Malasia (https://www.pdp.gov.my/);
• National Privacy Commission (NPC) de Filipinas (https://privacy.gov.ph/);
• Personal Data Protection Committee (PDPC) de Tailandia;
• Personal Information Protection Commission (PIPC) de Corea del Sur;
• otras autoridades nacionales competentes, cuando resulte aplicable.

Conservación de datos y medidas de seguridad

Las leyes de protección de datos en la región Asia-Pacífico exigen por lo general que los datos personales se conserven únicamente durante el tiempo necesario para la finalidad prevista y se eliminen posteriormente de forma segura.

• Spaarkly garantiza que los datos de sesión y del dispositivo se anonimicen en un plazo de 14 meses, conforme a las mejores prácticas.
• Se adoptan sólidas medidas técnicas y organizativas para prevenir accesos no autorizados, fugas de datos o usos indebidos, incluidos el cifrado, los controles de acceso y las evaluaciones periódicas de seguridad.

Obligaciones de notificación en caso de data breach

• En caso de violación de datos susceptible de causar un daño a las personas, Spaarkly notificará:
  • a la autoridad competente en materia de protección de datos, según los requisitos locales:
    • Singapur: en un plazo de 3 días para las violaciones notificables;
    • Filipinas: en un plazo de 72 horas;
    • Tailandia: sin dilación indebida, en un plazo de 72 horas;
    • Corea del Sur: sin dilación;
    • otras jurisdicciones según sus respectivos plazos.
• Dado que Spaarkly no recaba información de contacto de los usuarios, no es posible enviar notificaciones individuales de forma directa. Cuando la ley lo requiera, Spaarkly publicará una comunicación pública en su sitio web o a través de otros canales apropiados.

Transferencias internacionales y garantía de cumplimiento

Los datos técnicos y de sesión descritos en la presente Política, incluidos los datos técnicos derivados tratados temporalmente para AR PD Meter, se tratan en servidores situados en la Unión Europea. Ello puede conllevar una transferencia de datos fuera del país del Usuario hacia la UE, jurisdicción que asegura un nivel elevado de protección de los datos personales. Dichos datos no identifican directamente al Usuario y están protegidos mediante garantías contractuales y medidas técnicas y organizativas adecuadas, de modo que se asegure un nivel de protección comparable al exigido por las leyes locales aplicables.

En caso de que una autoridad exigiera garantías adicionales, Spaarkly adoptará de inmediato todas las medidas de cumplimiento necesarias, entre ellas:

• garantizar el cumplimiento de disposiciones específicas sobre transferencias, tales como:
  • la obligación de limitación de las transferencias del PDPA de Singapur y sus correspondientes requisitos para transferencias al extranjero;
  • las reglas del DPA de Filipinas sobre la compartición transfronteriza de datos;
  • la prohibición del PDPA de Malasia de transferencia hacia determinados países;
  • los requisitos del PIPA de Corea del Sur para las transferencias al extranjero;
• implementar mecanismos de transferencia jurídicamente reconocidos, tales como consentimiento, garantías contractuales, normas corporativas vinculantes o mecanismos de certificación;
• facilitar información clara a los usuarios sobre las potenciales transferencias transfronterizas y mantener la responsabilidad proactiva en materia de protección de datos.

Dado que Spaarkly mantiene su compromiso con el pleno cumplimiento de las leyes de privacidad de Asia-Pacífico, supervisará la evolución normativa en cada jurisdicción y adaptará sus prácticas de tratamiento en caso de que las autoridades exijan garantías adicionales.

G. BRASIL Y AMÉRICA LATINA

Los usuarios en Brasil y América Latina están protegidos por diversas leyes nacionales generales de protección de datos, entre ellas:

• Brasil: Lei Geral de Proteção de Dados (LGPD) de 2018, aplicada por la Autoridade Nacional de Proteção de Dados (ANPD);
• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de 2010, aplicada por el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI);
• Argentina: Personal Data Protection Act (PDPA), ley n.º 25.326, aplicada por la Agencia de Acceso a la Información Pública (AAIP);
• Colombia: Law 1581 of 2012 sobre el régimen general de protección de datos, aplicada por la Superintendencia de Industria y Comercio (SIC);
• Chile: Law No. 19.628 on the Protection of Private Life, con reformas normativas en curso;
• Uruguay: Law No. 18.331 on Personal Data Protection and Habeas Data Action, aplicada por la Unidad Reguladora y de Control de Datos Personales (URCDP);
• otras jurisdicciones con marcos normativos emergentes en materia de protección de datos.

Cumplimiento de las leyes latinoamericanas de protección de datos

Spaarkly opera en América Latina y se adhiere a los principios establecidos por las leyes de privacidad de dichas jurisdicciones. Su actual modelo de tratamiento de datos es el siguiente:

• los datos faciales utilizados para el Virtual Try-On se tratan localmente en el dispositivo y no se conservan; en el caso de AR PD Meter, datos técnicos derivados, no utilizados para identificar al Usuario y no aptos, por sí solos, para identificarlo, pueden transmitirse temporalmente al backend de ARShades situado en la Unión Europea, se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento;
• no se recaban datos biométricos o unívocamente identificativos, ni nombres, datos de contacto o perfiles de usuario;
• los datos de sesión y del dispositivo (incluida la dirección IP) se conservan en servidores situados en la Unión Europea y se anonimizan en un plazo de 14 meses; las eventuales fotos finales solicitadas por el Usuario desde dispositivos in-store se suprimen a más tardar el día siguiente a la sesión. Ello puede conllevar una transferencia de dichos datos hacia la UE, con las garantías descritas en la sección “Transferencias internacionales” del presente Addendum.

Dado que Spaarkly no trata datos idóneos para identificar directamente a los Usuarios (tales como nombres, datos de contacto o identificadores persistentes), algunas obligaciones previstas por las leyes latinoamericanas de protección de datos, tales como registros detallados de las actividades de tratamiento, nombramiento de un responsable de la protección de datos o evaluaciones de impacto, no resultan de aplicación en sentido estricto en la mayoría de los casos.

Derechos de los usuarios con arreglo a las leyes de privacidad latinoamericanas

Los usuarios en Brasil y América Latina con leyes generales de protección de datos gozan por lo general de derechos similares a los previstos por el RGPD, entre ellos:

• derecho de confirmación y acceso (derechos ARCO): confirmar la existencia de un tratamiento y acceder a los datos personales;
• derecho de rectificación (derechos ARCO): corregir datos inexactos, incompletos o no actualizados;
• derecho de cancelación (derechos ARCO): solicitar la supresión de datos innecesarios o excesivos;
• derecho de oposición (derechos ARCO): oponerse a tratamientos ilícitos o no consentidos;
• derecho a la información: recibir información clara sobre las actividades de tratamiento;
• derecho a la portabilidad de los datos: solicitar la transferencia de los datos a otro proveedor de servicios, en particular con arreglo a la LGPD brasileña;
• derecho a revocar el consentimiento: revocar en cualquier momento el consentimiento previamente prestado;
• derecho a la revisión de las decisiones automatizadas: solicitar la revisión de decisiones adoptadas exclusivamente mediante tratamiento automatizado con arreglo a la LGPD.

Ejercicio de los derechos

Los usuarios en Brasil y América Latina pueden ejercer sus derechos poniéndose en contacto con privacy@spaarkly.com.

Puede solicitarse la verificación de la identidad, por ejemplo mediante la dirección IP o los identificadores del dispositivo, antes de gestionar las solicitudes.

Si los usuarios no están satisfechos con la respuesta de Spaarkly, pueden dirigirse a su autoridad nacional competente:

• Autoridad Nacional de Protección de Datos de Brasil (ANPD) (https://www.gov.br/anpd/);
• Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) de México (https://home.inai.org.mx/);
• Agencia de Acceso a la Información Pública (AAIP) de Argentina (https://www.argentina.gob.ar/aaip);
• Superintendencia de Industria y Comercio (SIC) de Colombia (https://www.sic.gov.co/);
• otras autoridades nacionales competentes, cuando resulte aplicable.

Conservación de datos y medidas de seguridad

Las leyes de protección de datos en América Latina exigen por lo general que los datos personales se conserven únicamente durante el tiempo necesario para la finalidad prevista y se supriman posteriormente de forma segura.

• Spaarkly garantiza que los datos de sesión y del dispositivo se anonimicen en un plazo de 14 meses, conforme a las mejores prácticas.
• Se adoptan sólidas medidas técnicas y organizativas para prevenir accesos no autorizados, fugas de datos o usos indebidos, según exigen las leyes latinoamericanas, tales como el artículo 46 de la LGPD brasileña y el artículo 19 de la LFPDPPP mexicana.

Obligaciones de notificación en caso de data breach

• En caso de violación de datos que pueda causar un riesgo o daño a los interesados, Spaarkly notificará:
  • a la autoridad competente en materia de protección de datos, según los requisitos locales:
    • Brasil: notificación a la ANPD en un plazo de 3 días hábiles desde el conocimiento del incidente, con arreglo a la Resolução CD/ANPD n.º 15/2024;
    • México: notificación oportuna a los interesados tras la confirmación de la violación;
    • otras jurisdicciones según sus respectivos requisitos.
• Dado que Spaarkly no recaba información de contacto de los usuarios, no es posible enviar notificaciones individuales de forma directa. Cuando la ley lo requiera, Spaarkly publicará una comunicación pública en su sitio web o a través de otros canales apropiados.

Transferencias internacionales y garantía de cumplimiento

Los datos técnicos y de sesión descritos en la presente Política, incluidos los datos técnicos derivados tratados temporalmente para AR PD Meter, se tratan en servidores situados en la Unión Europea. Ello puede conllevar una transferencia de datos fuera del país del Usuario hacia la UE, jurisdicción que asegura un nivel elevado de protección de los datos personales. Dichos datos no identifican directamente al Usuario y están protegidos mediante garantías contractuales y medidas técnicas y organizativas adecuadas, de modo que se asegure un nivel de protección comparable al exigido por las leyes locales aplicables.

En caso de que una autoridad exigiera garantías adicionales, Spaarkly adoptará de inmediato todas las medidas de cumplimiento necesarias, entre ellas:

• garantizar el cumplimiento de disposiciones específicas sobre transferencias, tales como:
  • los requisitos de la LGPD brasileña para las transferencias internacionales (artículos 33 a 36);
  • los principios de la LFPDPPP mexicana para la compartición transfronteriza de datos;
  • el requisito argentino de nivel adecuado con arreglo a la PDPA;
  • los requisitos de la SIC colombiana para las transferencias transfronterizas;
• implementar mecanismos de transferencia jurídicamente reconocidos, tales como:
  • cláusulas contractuales tipo;
  • normas corporativas vinculantes;
  • mecanismos de certificación;
  • consentimiento específico a la transferencia;
  • decisiones de adecuación;
• facilitar información clara a los usuarios sobre las potenciales transferencias transfronterizas y mantener la responsabilidad proactiva en materia de protección de datos.

Dado que Spaarkly mantiene su compromiso con el pleno cumplimiento de las leyes de privacidad latinoamericanas, supervisará la evolución normativa en cada jurisdicción y adaptará sus prácticas de tratamiento en caso de que las autoridades exijan garantías adicionales.

H. JAPÓN (APPI — ACT ON THE PROTECTION OF PERSONAL INFORMATION)

Los usuarios en Japón están protegidos por el Act on the Protection of Personal Information (APPI), sustancialmente modificado en 2020 con efecto desde abril de 2022, que establece un marco completo de protección de datos aplicado por la Personal Information Protection Commission (PPC).

Cumplimiento del APPI japonés

Spaarkly opera en Japón y se adhiere a los principios establecidos por el APPI. Su actual modelo de tratamiento de datos es el siguiente:

• los datos faciales utilizados para el Virtual Try-On se tratan localmente en el dispositivo y no se conservan; en el caso de AR PD Meter, datos técnicos derivados, no utilizados para identificar al Usuario y no aptos, por sí solos, para identificarlo, pueden transmitirse temporalmente al backend de ARShades situado en la Unión Europea, se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento;
• no se recaban datos biométricos o unívocamente identificativos, ni nombres, datos de contacto o perfiles de usuario;
• los datos de sesión y del dispositivo (incluida la dirección IP) se conservan en servidores situados en la Unión Europea y se anonimizan en un plazo de 14 meses; las eventuales fotos finales solicitadas por el Usuario desde dispositivos in-store se suprimen a más tardar el día siguiente a la sesión. Ello puede conllevar una transferencia de dichos datos hacia la UE, con las garantías descritas en la sección “Transferencias internacionales” del presente Addendum.

Dado que Spaarkly no trata datos idóneos para identificar directamente a los Usuarios (tales como nombres, datos de contacto o identificadores persistentes), algunas obligaciones del APPI, tales como el mantenimiento de registros detallados de las actividades de tratamiento, la obtención del consentimiento para la comunicación a terceros o la presentación de notificaciones a la PPC, no resultan de aplicación en sentido estricto.

Spaarkly confirma expresamente que no recaba, trata ni transfiere información alguna que constituiría “Sensitive Personal Information” (Yōhairyo Kojin Jōhō) con arreglo al artículo 2, apartado 3, del APPI, tal como raza, credo, condición social, historial médico o antecedentes penales.

Derechos de los usuarios con arreglo al APPI japonés

Los usuarios en Japón gozan de derechos específicos con arreglo al APPI, entre ellos:

• derecho de divulgación (Kaiji): solicitar la divulgación de los datos personales en poder de un operador comercial;
• derecho de corrección (Seigō): solicitar la corrección, integración o supresión de datos personales inexactos;
• derecho a la suspensión del uso/supresión (Riyō Teishi / Sakujo): solicitar la suspensión del uso o la supresión de datos personales tratados en infracción de la ley o más allá de la finalidad especificada;
• derecho a la suspensión de la comunicación a terceros (Daisansha Teikyō no Teishi): solicitar al operador que cese la comunicación de datos personales a terceros;
• derecho a una explicación (Setsumei): recibir una explicación de las actividades de tratamiento relativas a los datos personales;
• derecho de reclamación (Kujō): presentar una reclamación ante el operador o ante la PPC.

Ejercicio de los derechos

Los usuarios en Japón pueden ejercer sus derechos poniéndose en contacto con privacy@spaarkly.com.

Puede solicitarse la verificación de la identidad, por ejemplo mediante la dirección IP o los identificadores del dispositivo, antes de gestionar las solicitudes. Spaarkly responderá a las solicitudes dentro del plazo previsto por el APPI, por lo general en un plazo de dos semanas desde su recepción.

Si los usuarios no están satisfechos con la respuesta de Spaarkly, pueden dirigirse a la:

• Personal Information Protection Commission (PPC) de Japón (https://www.ppc.go.jp/en/).

Conservación de datos y medidas de seguridad

El APPI exige a los operadores comerciales establecer medidas de control de la seguridad (artículo 23) y garantizar la exactitud de los datos (artículo 22). Prevé asimismo que los datos se supriman cuando ya no sean necesarios respecto de la finalidad especificada.

• Spaarkly garantiza que los datos de sesión y del dispositivo se anonimicen en un plazo de 14 meses, conforme a las mejores prácticas.
• Spaarkly implementa medidas de seguridad completas según exige el artículo 23 del APPI, entre ellas:
• controles de acceso y mecanismos de autenticación;
• cifrado de los datos en tránsito y en reposo;
• evaluaciones y actualizaciones periódicas de la seguridad;
• formación del personal en materia de protección de datos.

Obligaciones de notificación en caso de data breach

• En caso de pérdida de datos personales u otro incidente de seguridad (Jōhō Rōei Jiko), Spaarkly:
  • efectuará una notificación oportuna a la PPC con arreglo al artículo 26 del APPI, cuando la violación alcance el umbral de notificación;
  • incluirá en la notificación los detalles del incidente, los tipos de datos afectados, la causa y las medidas correctivas;
  • cuando la ley lo requiera, publicará una comunicación pública en el sitio de Spaarkly o a través de otros canales apropiados, dado que las notificaciones individuales directas no son posibles en ausencia de datos de contacto recabados.

Transferencias internacionales y garantía de cumplimiento

Los datos técnicos y de sesión descritos en la presente Política, incluidos los datos técnicos derivados tratados temporalmente para AR PD Meter, se tratan en servidores situados en la Unión Europea. Ello puede conllevar una transferencia de datos fuera de Japón hacia la UE. La UE está designada por la Personal Information Protection Commission (PPC) como jurisdicción dotada de estándares equivalentes de protección de los datos personales, en virtud del reconocimiento mutuo de adecuación UE-Japón de 2019: las transferencias hacia la UE están, por tanto, permitidas con arreglo al artículo 28 del APPI.

En caso de que la PPC exigiera garantías adicionales, Spaarkly adoptará de inmediato todas las medidas de cumplimiento necesarias, entre ellas:

• garantizar el cumplimiento del artículo 28 del APPI en materia de transferencias internacionales, que exige:
  • el consentimiento previo de la persona para transferencias a terceros en países extranjeros; o bien
  • la garantía de que el tercero se encuentre en un país con estándares equivalentes de protección de datos; o bien
  • la garantía de que el tercero mantenga estándares equivalentes mediante acuerdos contractuales u otros medios;
• implementar mecanismos de transferencia apropiados, tales como:
  • cláusulas contractuales tipo;
  • normas corporativas vinculantes;
  • certificaciones reconocidas;
• facilitar información clara a los usuarios sobre las potenciales transferencias transfronterizas de conformidad con los requisitos del APPI.

Dado que Spaarkly mantiene su compromiso con el pleno cumplimiento del APPI y de sus modificaciones, supervisará la evolución normativa y adaptará sus prácticas de tratamiento en caso de que la PPC u otras autoridades japonesas exijan garantías adicionales.

I. CHINA (PIPL — PERSONAL INFORMATION PROTECTION LAW)

Los usuarios en China están protegidos por la Personal Information Protection Law (PIPL), que establece principios similares a los del RGPD, incluidas reglas estrictas sobre el tratamiento de datos, requisitos de consentimiento y restricciones a las transferencias transfronterizas.

Cumplimiento de la PIPL

Spaarkly opera en China y se adhiere a los principios PIPL. Su actual modelo de tratamiento es el siguiente:

• los datos faciales utilizados para el Virtual Try-On se tratan localmente en el dispositivo y no se conservan; en el caso de AR PD Meter, datos técnicos derivados, no utilizados para identificar al Usuario y no aptos, por sí solos, para identificarlo, pueden transmitirse temporalmente al backend de ARShades situado en la Unión Europea, se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento;
• ausencia de recogida de datos biométricos o sensibles: Spaarkly no recaba identificadores biométricos, nombres reales, datos de contacto u otros datos unívocamente identificativos del usuario;
• los datos de sesión y del dispositivo (incluida la dirección IP) se conservan en servidores situados en la Unión Europea y se anonimizan en un plazo de 14 meses.

Spaarkly supervisa constantemente la aplicabilidad de los requisitos PIPL a sus actividades, incluidos los relativos a la localización de datos y a la evaluación de seguridad (security review), y adopta los cumplimientos exigidos en función de la naturaleza, el volumen y los fines de los datos tratados.

Derechos de los usuarios con arreglo a la PIPL

Los usuarios en China gozan de derechos alineados con el RGPD, entre ellos:

• derecho de acceso: solicitar una copia de sus datos personales;
• derecho de rectificación: solicitar la corrección de datos inexactos o incompletos;
• derecho de supresión: solicitar la supresión de los datos personales en condiciones específicas;
• derecho a limitar u oponerse al tratamiento: oponerse a determinadas actividades de tratamiento;
• derecho a revocar el consentimiento: revocar en cualquier momento el consentimiento previamente prestado.

Asimismo, la PIPL reconoce derechos que van más allá del RGPD, entre ellos:

• derecho a “conocer y decidir”: los usuarios tienen un control explícito sobre cómo se utilizan sus datos;
• derecho a una explicación de las decisiones automatizadas: los usuarios pueden solicitar una explicación sobre cómo los sistemas automatizados, tales como las recomendaciones basadas en IA, inciden sobre ellos.

Los usuarios en China pueden ejercer sus derechos poniéndose en contacto con privacy@spaarkly.com. Si no están satisfechos con la respuesta de Spaarkly, pueden dirigirse a la Cyberspace Administration of China (CAC).

Conservación de datos y medidas de seguridad

La PIPL exige a las empresas conservar los datos únicamente durante el período más breve necesario para alcanzar la finalidad prevista.

• Spaarkly garantiza que los datos de sesión y del dispositivo se anonimicen en un plazo de 14 meses, conforme a las mejores prácticas.
• Se adoptan sólidas medidas técnicas y organizativas para prevenir accesos no autorizados, fugas de datos o usos indebidos.

Obligaciones de notificación en caso de data breach

En caso de violación de datos que pueda causar daños significativos, Spaarkly notificará:

• a las autoridades regulatorias chinas competentes, cuando así lo exija la PIPL;
• cuando la ley lo requiera, se publicará una comunicación pública en el sitio de Spaarkly o a través de otros canales apropiados.

Dado que Spaarkly no recaba información de contacto de los usuarios, no es posible enviar notificaciones individuales.

Transferencias internacionales y garantía de cumplimiento

Los datos técnicos y de sesión descritos en la presente Política, incluidos los datos técnicos derivados tratados temporalmente para AR PD Meter, se tratan en servidores situados en la Unión Europea. Para los usuarios en China, ello puede constituir un suministro transfronterizo de información personal con arreglo a la PIPL. Dichos datos se limitan al mínimo necesario, no permiten identificar directamente al Usuario y se descartan o anonimizan según los términos de la presente Política.

En la medida en que la PIPL exija cumplimientos específicos para dichos flujos, o en caso de que una autoridad china exigiera garantías adicionales, Spaarkly adoptará de inmediato todas las medidas de cumplimiento necesarias para garantizar el respeto continuo de la PIPL, entre ellas:

• realizar una evaluación de seguridad con arreglo a las normas de la CAC, cuando se requiera;
• implementar Cláusulas Contractuales Tipo (CCT) aprobadas por la CAC u otros mecanismos aprobados;
• obtener el consentimiento explícito del usuario para eventuales transferencias transfronterizas, si se estima necesario.

Dado que Spaarkly mantiene su compromiso con el pleno cumplimiento de la PIPL, supervisará proactivamente las interpretaciones regulatorias y adaptará sus prácticas de tratamiento en caso de que una autoridad exija garantías adicionales.

J. SUDÁFRICA (POPIA – PROTECTION OF PERSONAL INFORMATION ACT)

Los usuarios en Sudáfrica están protegidos por el Protection of Personal Information Act (POPIA), que regula la recogida, el uso y la seguridad de los datos personales. El POPIA está estrechamente alineado con el RGPD, si bien incluye requisitos locales específicos.

Cumplimiento del POPIA

Spaarkly opera en Sudáfrica y cumple los principios POPIA. Su actual modelo de tratamiento es el siguiente:

• los datos faciales utilizados para el Virtual Try-On se tratan localmente en el dispositivo y no se conservan; en el caso de AR PD Meter, datos técnicos derivados, no utilizados para identificar al Usuario y no aptos, por sí solos, para identificarlo, pueden transmitirse temporalmente al backend de ARShades situado en la Unión Europea, se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento;
• no se recaban datos biométricos o unívocamente identificativos, ni nombres, datos de contacto o perfiles de usuario;
• los datos de sesión y del dispositivo (incluida la dirección IP) se conservan en servidores situados en la Unión Europea y se anonimizan en un plazo de 14 meses; las eventuales fotos finales solicitadas por el Usuario desde dispositivos in-store se suprimen a más tardar el día siguiente a la sesión. Ello puede conllevar una transferencia de dichos datos hacia la UE, con las garantías descritas en la sección “Transferencias internacionales” del presente Addendum.

Dado que Spaarkly no trata datos personales de manera que identifiquen directamente a los usuarios, no queda sujeta a algunas obligaciones POPIA, tales como la obtención del consentimiento para el marketing directo o el mantenimiento de registros de las actividades de tratamiento.

Derechos de los usuarios con arreglo al POPIA

Los usuarios en Sudáfrica gozan de derechos similares a los previstos por el RGPD, entre ellos:

• derecho de acceso: solicitar una copia de sus datos personales;
• derecho de rectificación: solicitar la corrección de datos inexactos o incompletos;
• derecho de supresión: solicitar la supresión de los datos personales en casos específicos;
• derecho a limitar u oponerse al tratamiento: oponerse a determinadas actividades de tratamiento;
• derecho a revocar el consentimiento: revocar en cualquier momento el consentimiento previamente prestado.

Los usuarios pueden ejercer sus derechos poniéndose en contacto con privacy@spaarkly.com. Si no están satisfechos con la respuesta de Spaarkly, pueden dirigirse al Information Regulator of South Africa (https://inforegulator.org.za/).

Conservación de datos y medidas de seguridad

El POPIA exige que los datos personales se conserven únicamente durante el tiempo necesario para la finalidad prevista.

• Spaarkly garantiza que los datos de sesión y del dispositivo se anonimicen en un plazo de 14 meses.
• Se adoptan sólidas medidas técnicas y organizativas para prevenir accesos no autorizados, fugas de datos o usos indebidos.

Obligaciones de notificación en caso de data breach

En caso de violación de datos que pueda causar daños significativos, Spaarkly notificará:

• al Information Regulator of South Africa, cuando así lo exija el POPIA;
• cuando la ley lo requiera, se publicará una comunicación pública en el sitio de Spaarkly o a través de otros canales apropiados.

Dado que Spaarkly no recaba información de contacto de los usuarios, no es posible enviar notificaciones individuales.

Transferencias internacionales y garantía de cumplimiento

Los datos técnicos y de sesión descritos en la presente Política, incluidos los datos técnicos derivados tratados temporalmente para AR PD Meter, se tratan en servidores situados en la Unión Europea. Ello puede conllevar una transferencia de datos fuera de Sudáfrica hacia la UE, de conformidad con la Sección 72 del POPIA, que permite las transferencias hacia destinatarios sujetos a normas que aseguran un nivel de protección sustancialmente análogo: el RGPD satisface dicho estándar. Dichos datos no identifican directamente al Usuario y están protegidos mediante garantías contractuales y medidas técnicas y organizativas adecuadas.

En caso de que una autoridad sudafricana exigiera garantías adicionales, Spaarkly adoptará de inmediato todas las medidas de cumplimiento necesarias, entre ellas:

• garantizar que cualquier transferencia de datos sea conforme a la Sección 72 del POPIA, que exige una protección adecuada;
• implementar Cláusulas Contractuales Tipo (CCT) u otros mecanismos de transferencia jurídicamente reconocidos, cuando sea necesario;
• obtener el consentimiento explícito del usuario para eventuales transferencias transfronterizas, en caso de que ello se convierta en un requisito legal.

Dado que Spaarkly mantiene su compromiso con el pleno cumplimiento del POPIA, supervisará la evolución normativa y adaptará sus prácticas de tratamiento en caso de que las autoridades exijan garantías adicionales.

K. INDIA (DPDP – DIGITAL PERSONAL DATA PROTECTION ACT)

Los usuarios en India están protegidos por el Digital Personal Data Protection Act (DPDP), que regula el tratamiento de los datos personales e impone obligaciones de cumplimiento similares a las del RGPD.

Cumplimiento del DPDP

Spaarkly opera en India y se adhiere a los principios DPDP. Su actual modelo de tratamiento de datos es el siguiente:

• los datos faciales utilizados para el Virtual Try-On se tratan localmente en el dispositivo y no se conservan; en el caso de AR PD Meter, datos técnicos derivados, no utilizados para identificar al Usuario y no aptos, por sí solos, para identificarlo, pueden transmitirse temporalmente al backend de ARShades situado en la Unión Europea, se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento;
• no se recaban datos biométricos o unívocamente identificativos, ni nombres, datos de contacto o perfiles de usuario;
• los datos de sesión y del dispositivo (incluida la dirección IP) se conservan en servidores situados en la Unión Europea y se anonimizan en un plazo de 14 meses; las eventuales fotos finales solicitadas por el Usuario desde dispositivos in-store se suprimen a más tardar el día siguiente a la sesión. Ello puede conllevar una transferencia de dichos datos hacia la UE, con las garantías descritas en la sección “Transferencias internacionales” del presente Addendum.

Dado que Spaarkly no trata datos idóneos para identificar directamente a los Usuarios (tales como nombres, datos de contacto o identificadores persistentes), algunas obligaciones DPDP, tales como las previstas para los “Significant Data Fiduciary” (nombramiento de un responsable de la protección de datos en India, auditorías independientes y evaluaciones de impacto periódicas), tienen una aplicación limitada.

Derechos de los usuarios con arreglo al DPDP

Los usuarios en India gozan de derechos similares a los previstos por el RGPD, entre ellos:

• derecho de acceso: solicitar un resumen de los datos personales tratados;
• derecho de rectificación: solicitar la corrección de datos inexactos o incompletos;
• derecho de supresión: solicitar la supresión de los datos personales en condiciones específicas;
• derecho a limitar u oponerse al tratamiento: oponerse a determinadas actividades de tratamiento;
• derecho a nombrar un representante: designar a otra persona para ejercer sus derechos en caso de fallecimiento o incapacidad.

Los usuarios pueden ejercer sus derechos poniéndose en contacto con privacy@spaarkly.com. Si no están satisfechos con la respuesta de Spaarkly, pueden dirigirse al Data Protection Board of India.

Conservación de datos y medidas de seguridad

El DPDP Act exige que los datos personales se conserven únicamente durante el tiempo necesario para la finalidad prevista.

• Spaarkly garantiza que los datos de sesión y del dispositivo se anonimicen en un plazo de 14 meses, en línea con las mejores prácticas.
• Se adoptan sólidas medidas técnicas y organizativas para prevenir accesos no autorizados, fugas de datos o usos indebidos.

Obligaciones de notificación en caso de data breach

• En caso de violación de datos personales, Spaarkly notificará:
  • al Data Protection Board of India y, según exige el DPDP, a los interesados afectados;
  • al no disponer de datos de contacto de los Usuarios, la comunicación a los interesados se efectuará mediante comunicación pública en el sitio de Spaarkly y, cuando sea posible, mediante aviso dentro del servicio, como medio disponible más eficaz.

Transferencias internacionales y garantía de cumplimiento

Los datos técnicos y de sesión descritos en la presente Política, incluidos los datos técnicos derivados tratados temporalmente para AR PD Meter, se tratan en servidores situados en la Unión Europea. Ello puede conllevar una transferencia de datos fuera de la India hacia la UE. El DPDP permite la transferencia de datos personales hacia países no sujetos a restricción por parte del Gobierno central; la Unión Europea no está actualmente sujeta a restricción alguna. Dichos datos no identifican directamente al Usuario y están protegidos mediante garantías contractuales y medidas técnicas y organizativas adecuadas.

En caso de que una autoridad india exigiera garantías adicionales, Spaarkly adoptará de inmediato todas las medidas de cumplimiento necesarias, entre ellas:

• garantizar el cumplimiento de los requisitos DPDP en materia de localización y transferencia de datos;
• implementar mecanismos de transferencia jurídicamente reconocidos, tales como cláusulas contractuales aprobadas por el gobierno;
• obtener el consentimiento explícito del usuario para eventuales transferencias transfronterizas, en caso de que ello se convierta en un requisito legal.

Dado que Spaarkly mantiene su compromiso con el pleno cumplimiento del DPDP, supervisará la evolución normativa y adaptará sus prácticas de tratamiento en caso de que las autoridades exijan garantías adicionales.

L. ORIENTE MEDIO (EMIRATOS ÁRABES UNIDOS – Dubái – Arabia Saudí – Otros Países)

Los usuarios en Oriente Medio están protegidos por diversas leyes nacionales de protección de datos, entre ellas:

• Emiratos Árabes Unidos (UAE): Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data;
• Dubai International Financial Centre (DIFC): DIFC Data Protection Law No. 5 of 2020;
• Arabia Saudí: Personal Data Protection Law (PDPL);
• otras normativas nacionales aplicables en materia de privacidad.

Cumplimiento de las leyes de privacidad de Oriente Medio

Spaarkly opera en Oriente Medio y cumple las normativas aplicables en materia de protección de datos. Su actual modelo de tratamiento de datos es el siguiente:

• los datos faciales utilizados para el Virtual Try-On se tratan localmente en el dispositivo y no se conservan; en el caso de AR PD Meter, datos técnicos derivados, no utilizados para identificar al Usuario y no aptos, por sí solos, para identificarlo, pueden transmitirse temporalmente al backend de ARShades situado en la Unión Europea, se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento;
• no se recaban datos biométricos o unívocamente identificativos, ni nombres, datos de contacto o perfiles de usuario;
• los datos de sesión y del dispositivo (incluida la dirección IP) se conservan en servidores situados en la Unión Europea y se anonimizan en un plazo de 14 meses; las eventuales fotos finales solicitadas por el Usuario desde dispositivos in-store se suprimen a más tardar el día siguiente a la sesión. Ello puede conllevar una transferencia de dichos datos hacia la UE, con las garantías descritas en la sección “Transferencias internacionales” del presente Addendum.

Dado que Spaarkly no trata datos idóneos para identificar directamente a los Usuarios (tales como nombres, datos de contacto o identificadores persistentes), algunas obligaciones previstas por las leyes de privacidad de Oriente Medio, tales como el consentimiento para el marketing directo o el mantenimiento de registros locales del tratamiento, no resultan de aplicación.

Derechos de los usuarios con arreglo a las leyes de privacidad de Oriente Medio

Los usuarios en las jurisdicciones de Oriente Medio gozan de derechos similares a los previstos por el RGPD, entre ellos:

• derecho de acceso: solicitar una copia de sus datos personales;
• derecho de rectificación: solicitar la corrección de datos inexactos o incompletos;
• derecho de supresión: solicitar la supresión de los datos personales en condiciones específicas;
• derecho de oposición: oponerse a determinados tipos de tratamiento;
• derecho a revocar el consentimiento: revocar en cualquier momento el consentimiento previamente prestado.

Los usuarios pueden ejercer sus derechos poniéndose en contacto con privacy@spaarkly.com.

Si no están satisfechos con la respuesta de Spaarkly, pueden dirigirse a:

• UAE Data Office;
• DIFC Commissioner of Data Protection (https://www.difc.ae/business/regulations/data-protection/);
• la Saudi Data & Artificial Intelligence Authority (SDAIA), autoridad competente con arreglo a la Personal Data Protection Law (PDPL) saudí.

Conservación de datos y medidas de seguridad

Las leyes de protección de datos de Oriente Medio exigen que los datos personales se conserven únicamente durante el tiempo necesario para la finalidad prevista.

• Spaarkly garantiza que los datos de sesión y del dispositivo se anonimicen en un plazo de 14 meses, en línea con las mejores prácticas.
• Se adoptan sólidas medidas técnicas y organizativas para prevenir accesos no autorizados, fugas de datos o usos indebidos.

Obligaciones de notificación en caso de data breach

• En caso de violación de datos que pueda causar daños significativos, Spaarkly notificará:
  • a la autoridad competente en materia de protección de datos de Oriente Medio, cuando así lo exija la ley local;
  • cuando la ley lo requiera, se publicará una comunicación pública en el sitio de Spaarkly o a través de otros canales apropiados.
• Dado que Spaarkly no recaba información de contacto de los usuarios, no es posible enviar notificaciones individuales.

Transferencias internacionales y garantía de cumplimiento

Los datos técnicos y de sesión descritos en la presente Política, incluidos los datos técnicos derivados tratados temporalmente para AR PD Meter, se tratan en servidores situados en la Unión Europea. Ello puede conllevar una transferencia de datos fuera del país del Usuario hacia la UE, jurisdicción que asegura un nivel elevado de protección de los datos personales, reconocida como adecuada por diversas normativas de la región (por ejemplo, con arreglo a la DIFC Data Protection Law). Dichos datos no identifican directamente al Usuario y están protegidos mediante garantías contractuales y medidas técnicas y organizativas adecuadas.

En caso de que una autoridad de Oriente Medio exigiera garantías adicionales, Spaarkly adoptará de inmediato todas las medidas de cumplimiento necesarias, entre ellas:

• garantizar el cumplimiento de las leyes locales de protección de datos en materia de transferencias internacionales;
• implementar mecanismos de transferencia jurídicamente reconocidos, tales como Cláusulas Contractuales Tipo (CCT) o marcos aprobados por el gobierno;
• obtener el consentimiento explícito del usuario para eventuales transferencias transfronterizas, en caso de que ello se convierta en un requisito legal.

Dado que Spaarkly mantiene su compromiso con el pleno cumplimiento de las leyes de privacidad de Oriente Medio, supervisará la evolución normativa y adaptará sus prácticas de tratamiento en caso de que las autoridades exijan garantías adicionales.

M. OTROS PAÍSES

Los usuarios en países no cubiertos expresamente por las secciones anteriores están protegidos por las respectivas leyes nacionales de protección de datos, cuando resulten aplicables. Aunque las leyes de privacidad varían, Spaarkly se adhiere a principios de protección de datos reconocidos a escala internacional, derivados del RGPD.

Cumplimiento de los estándares internacionales sobre privacidad

Spaarkly opera a escala global y cumple principios de protección de datos reconocidos internacionalmente. Su actual modelo de tratamiento de datos es el siguiente:

• los datos faciales utilizados para el Virtual Try-On se tratan localmente en el dispositivo y no se conservan; en el caso de AR PD Meter, datos técnicos derivados, no utilizados para identificar al Usuario y no aptos, por sí solos, para identificarlo, pueden transmitirse temporalmente al backend de ARShades situado en la Unión Europea, se utilizan exclusivamente para devolver el resultado de la medición y se descartan tras su procesamiento;
• no se recaban datos biométricos o unívocamente identificativos, ni nombres, datos de contacto o perfiles de usuario;
• los datos de sesión y del dispositivo (incluida la dirección IP) se conservan en servidores situados en la Unión Europea y se anonimizan en un plazo de 14 meses; las eventuales fotos finales solicitadas por el Usuario desde dispositivos in-store se suprimen a más tardar el día siguiente a la sesión. Ello puede conllevar una transferencia de dichos datos hacia la UE, con las garantías descritas en la sección “Transferencias internacionales” del presente Addendum.

Dado que Spaarkly no trata datos idóneos para identificar directamente a los Usuarios (tales como nombres, datos de contacto o identificadores persistentes), algunas obligaciones nacionales, tales como la localización de datos, el registro ante autoridades locales o requisitos adicionales de consentimiento, no resultan de aplicación.

Derechos de los usuarios en otros países

Los usuarios en países no enumerados específicamente en la presente Política de Privacidad pueden, no obstante, gozar de derechos con arreglo a las leyes nacionales de privacidad. En línea con los estándares internacionales, los usuarios tienen por lo general derecho a:

• acceder a sus datos personales y solicitar una copia de ellos;
• solicitar correcciones de datos inexactos o incompletos;
• solicitar la supresión de los datos personales en condiciones específicas;
• oponerse a determinadas actividades de tratamiento;
• revocar el consentimiento, cuando resulte aplicable.

Los usuarios pueden ejercer sus derechos poniéndose en contacto con privacy@spaarkly.com. Si no están satisfechos con la respuesta de Spaarkly, pueden presentar una reclamación ante la autoridad nacional competente en materia de protección de datos, cuando resulte aplicable.

Conservación de Datos y Medidas de Seguridad

Las leyes de privacidad en la mayoría de las jurisdicciones establecen que los datos personales deben conservarse únicamente durante el tiempo necesario.

• Spaarkly garantiza que los datos de sesión y del dispositivo se anonimicen en un plazo de 14 meses, en línea con las mejores prácticas.
• Se adoptan rigurosas medidas técnicas y organizativas para prevenir accesos no autorizados, fugas de datos o usos indebidos.

Obligaciones de Notificación de las Violaciones de Datos

En caso de violación de datos que pueda causar un daño significativo, Spaarkly notificará:

• A la autoridad competente en materia de protección de datos, cuando así lo exija la normativa local.
• Si la ley la obliga, publicará un aviso público en su sitio web o a través de otros canales apropiados.

Dado que Spaarkly no recaba información de contacto de los usuarios, no es posible enviar notificaciones individuales.

Transferencias Internacionales de Datos y Garantías de Cumplimiento

Los datos técnicos y de sesión descritos en la presente Política, incluidos los datos técnicos derivados tratados temporalmente para AR PD Meter, se tratan en servidores situados en la Unión Europea. Ello puede conllevar una transferencia de datos fuera del país del Usuario hacia la UE, jurisdicción que asegura un nivel elevado de protección de los datos personales. Dichos datos no identifican directamente al Usuario y están protegidos mediante garantías contractuales y medidas técnicas y organizativas adecuadas.

En caso de que una autoridad de control exigiera garantías adicionales, la empresa adoptará de inmediato todas las medidas de cumplimiento necesarias, entre ellas:

• Garantizar el cumplimiento de las leyes locales de protección de datos relativas a las transferencias internacionales.
• Implementar mecanismos de transferencia jurídicamente reconocidos, tales como Cláusulas Contractuales Tipo (CCT) o marcos aprobados por el gobierno.
• Obtener el consentimiento explícito de los usuarios para eventuales transferencias transfronterizas, en caso de que ello se convierta en una obligación legal.

Spaarkly mantiene su compromiso con el pleno cumplimiento de los estándares internacionales sobre privacidad y supervisará constantemente la evolución normativa, adaptando en consecuencia sus prácticas de tratamiento de datos en caso de que las autoridades exijan medidas de protección adicionales.