Idiomas: English · Čeština · Deutsch · Español · Français · Italiano · Nederlands · Polski · Português · Română
Este documento existe en diez idiomas. La versión inglesa es la de referencia.

Política de privacidad de cosmetiFULL

Última actualización: 31 de octubre de 2026 · Se aplica a: la plataforma cosmetiFULL y a todos los servicios prestados dentro de ella

La versión inglesa es la versión de referencia y prevalece en caso de divergencia entre las versiones. Para los consumidores, la versión en la lengua en la que usted celebró el contrato prevalece a su favor allí donde ambas difieran, y allí donde una cláusula no sea clara prevalece la interpretación que le resulte más favorable.

1. Quiénes somos y en qué calidad

cosmetiFULL es una plataforma de servicios digitales para el sector cosmético, operada por:

Nicodemo & Signa Company Srl

Strada Lucian Blaga nr. 21, ap. 16, 310023 Arad, Rumanía

Número de identificación a efectos del IVA / código único de registro: RO15617609

Número del Registro Mercantil: J02/809/2003

Email: info@cosmetifull.com

En esta política, «nosotros» y «nuestro» designan a Nicodemo & Signa Company Srl.

No tenemos el mismo papel respecto de todos los datos de la plataforma, y esa diferencia le importa a usted.

• Somos el responsable del tratamiento de los datos de cuenta, de autenticación y de acceso, de los datos sobre créditos prepagados y compras, de los datos de facturación y contables, de los registros técnicos y de seguridad de la plataforma y de nuestras comunicaciones con usted.
• Somos el encargado del tratamiento de los contenidos que un cliente envía y de los datos personales que esos contenidos contienen. Ahí el responsable del tratamiento es el cliente y nosotros actuamos siguiendo sus instrucciones documentadas, en virtud de un contrato de encargo del tratamiento celebrado con él conforme al artículo 28 del RGPD. El artículo 4 de esta política explica qué significa eso en la práctica y a quién debe dirigirse usted. Por instrucción del cliente (contrato de encargo del tratamiento, cláusula 17) también obtenemos de esos contenidos conocimiento agregado y desidentificado: véase el artículo 19.

Mantenemos el mismo papel en cada servicio de la plataforma, presente y futuro. Hoy la plataforma incluye LabelCheck (revisión de etiquetas cosméticas frente a las normas de la UE, actualmente en fase beta), ExpertDesk (orientación profesional generada por un sistema de inteligencia artificial) y PIFBuilder (preparación y revisión del expediente de información sobre el producto que exige el Reglamento (CE) n.º 1223/2009, actualmente en fase de prueba y solo por invitación). ExpertDesk tiene su propia política de privacidad, accesible dentro de la aplicación, y es esa la que se aplica en lugar de esta al contenido de sus conversaciones. PIFBuilder también tiene su propia política de privacidad, accesible dentro de la aplicación, y es esa la que se aplica en lugar de esta a lo que ocurre dentro del servicio. FormulaArchive está en construcción y todavía no se vende. Cuando esté disponible, quedará cubierto por esta misma política, salvo que publiquemos una específica para él.

2. Contacto en materia de protección de datos y delegado de protección de datos

No hemos designado un delegado de protección de datos, porque nuestros tratamientos no se encuadran en los supuestos enumerados en el artículo 37, apartado 1, del RGPD: no somos una autoridad pública, nuestras actividades principales no consisten en la observación habitual y sistemática de interesados a gran escala, y no tratamos categorías especiales de datos personales a gran escala.

Para cualquier duda sobre esta política o sobre sus datos, escriba a info@cosmetifull.com. Es nuestro único punto de contacto público en materia de protección de datos.

3. A quién se aplica esta política

Esta política se aplica a todas las personas cuyos datos personales tratamos, y en particular a:

• clientes profesionales: empresas, profesionales y sus usuarios autorizados;
• consumidores: personas físicas que compran con un propósito ajeno a su actividad comercial, empresa, oficio o profesión;
• personas nombradas dentro de los documentos que un cliente envía, cuya posición explica el artículo 4;
• autores de cosmetiLEARN, para quienes el artículo 7.12 explica qué tratamos de su página pública;
• personas que nos envían una notificación sobre una página de cosmetiLEARN, para quienes el artículo 7.13 explica qué hacemos con la notificación.

Cuando una regla se aplica solo a los consumidores, lo indicamos. El artículo 22 reúne los puntos que afectan específicamente a los consumidores.

4. Dónde somos encargado del tratamiento y no responsable

Buena parte de lo que pasa por la plataforma no es un dato nuestro ni se trata para fines nuestros. Cuando un fabricante, un consultor o un evaluador de la seguridad envía el arte final de una etiqueta, una formulación o un expediente, ese material puede nombrar a personas: la persona responsable impresa en un envase, un contacto técnico, un evaluador de la seguridad que firma un documento.

Respecto de esos datos:

• el responsable del tratamiento es el cliente que los envía. Él decide por qué se tratan y qué ocurre con ellos.
• nosotros somos el encargado del tratamiento. Los tratamos únicamente para ejecutar las funciones que el cliente pide, siguiendo sus instrucciones documentadas, y, más allá de ellas, solo para obtener el conocimiento agregado que el cliente autoriza en la cláusula 17 del contrato de encargo del tratamiento (artículo 19).
• La relación se rige por el contrato de encargo del tratamiento anexo a nuestras Condiciones Generales de Contratación, que contiene lo que exige el artículo 28, apartado 3, del RGPD, incluida la lista de los otros encargados del tratamiento a los que recurrimos y el preaviso que usted recibe antes de que uno de ellos cambie.

Las personas implicadas son la organización cliente y los miembros que esta autoriza en su cuenta de empresa, con arreglo a los papeles disponibles en la plataforma (Condiciones Generales de Contratación, artículo 6). Quién entra y con qué papel lo decide la organización dentro de la plataforma.

Si a usted se le nombra en un documento que ha enviado uno de nuestros clientes, el deber de informarle conforme a los artículos 13 y 14 del RGPD corresponde a esa organización, no a nosotros, porque es la organización la que mantiene la relación con usted y la que decide qué hacer con sus datos. Si nos escribe para ejercer un derecho sobre esos datos, no decidimos nosotros sobre la solicitud: la trasladamos a la organización sin dilación indebida y la asistimos para que pueda responderle, como exige el artículo 28, apartado 3, letra e), del RGPD. Indíquenos a qué empresa pertenece el documento y lo encaminaremos.

El resto de esta política describe los datos respecto de los cuales nosotros somos el responsable del tratamiento, salvo donde se indique otra cosa.

5. Qué datos tratamos

5.1 Datos de cuenta

Nombre, dirección de correo electrónico, denominación social cuando proceda, contraseña conservada como hash, papel dentro de una cuenta de empresa, idioma y preferencias de interfaz, su elección sobre el conocimiento derivado (artículo 19), fecha de registro.

Si el titular de una cuenta de empresa le añade al equipo de la empresa, su nombre y su dirección de correo electrónico los recibimos de ese titular, no de usted. Los usamos para enviarle la invitación (artículo 7.11) y, una vez que elija una contraseña, como los datos de cuenta descritos arriba.

Si introduce un código al solicitar el acceso (por ejemplo, un código impreso en un libro, o uno que ya venía rellenado en el enlace que ha seguido), el código introducido. Si es titular de un código, el propio código, cuyo texto puede ser su nombre.

Si solicita el acceso desde nuestro sitio web, la página de nuestro sitio web desde la que inició su solicitud; y, si el enlace que ha seguido contiene datos de una campaña, por ejemplo porque procede de uno de nuestros anuncios, esos datos: la fuente, el medio, la campaña y el anuncio.

5.2 Contenidos que usted envía (aquí somos el encargado del tratamiento, véase el artículo 4)

El arte final de las etiquetas, los textos, las formulaciones y la documentación de producto que usted envía, los análisis y documentos guardados en su cuenta, y sus mensajes en el chat de aclaraciones.

Las imágenes que envía para un análisis se tratan para producir el resultado y no se conservan: lo que queda en su cuenta es el análisis, su resumen, las versiones y sus mensajes. Los documentos que adjunta a una declaración también se tratan para producir el resultado y hoy no se conservan: solo se conservarán desde el momento en que la función de adjuntar esté activa en el servicio, y desde entonces hasta que usted los borre o hasta que se suprima la cuenta. Los archivos que adjunta a un mensaje de comentarios sí se conservan.

No pedimos categorías especiales de datos personales y usted no debería enviarlas.

5.3 Datos de compra y facturación

Esta categoría existe porque la plataforma se vende. Tratamos:

• para los clientes profesionales: denominación social, dirección de facturación, país, número de identificación a efectos del IVA o código de identificación fiscal;
• para los consumidores: nombre y dirección de facturación;
• el resultado de la verificación del número de identificación a efectos del IVA descrita en el artículo 15, incluido el caso en que el sistema no haya podido responder;
• los elementos empleados para determinar su país a efectos del IVA, es decir, la dirección de facturación que nos facilita y la dirección IP de la compra, como exige el artículo 24 ter del Reglamento de Ejecución (UE) n.º 282/2011;
• los datos de compra: fecha, cantidad de créditos adquiridos, importe, moneda, tratamiento aplicado a efectos del IVA;
• el saldo de créditos y el histórico de consumo en los servicios de la plataforma;
• número de factura, fecha de la factura y copia de la factura;
• el identificador de la transacción y, cuando proceda, el identificador del reembolso recibido de Stripe;
• para los consumidores: el registro de la solicitud expresa de ejecución inmediata y de la toma de conocimiento manifestada conforme al artículo 34 de las Condiciones Generales de Contratación, y el registro de cualquier declaración de desistimiento que nos envíe.

Los elementos de facturación no son opcionales. Son lo que la ley fiscal obliga a hacer constar en una factura (artículo 319 de la Ley n.º 227/2015, el Código Fiscal rumano).

5.4 Datos de la tarjeta de pago

No tratamos datos de tarjetas de pago. Véase el artículo 6.

5.5 Datos de uso y datos técnicos

Registros necesarios para hacer funcionar y proteger la plataforma: marcas de tiempo, dirección IP, user agent, metadatos de las solicitudes, registros de errores, registros de uso por cuenta, eventos de seguridad.

Si aceptó el píxel de Meta en nuestro sitio web, los pasos descritos en el artículo 7.14 van de su navegador a Meta cuando usa nuestra página de registro. Nosotros no recibimos ninguno.

5.6 Comunicaciones

Los mensajes que nos envía a través del canal de comentarios de la aplicación y por correo electrónico, incluidos los archivos que adjunta a ellos, y nuestras respuestas.

Esta categoría incluye también los datos que nos facilita cuando nos pide que le contactemos sobre el plan Enterprise: su nombre, su dirección de correo electrónico, el nombre de su empresa, su número de teléfono y, si lo añade, su mensaje.

6. Qué ocurre con los datos de su tarjeta

El pago se realiza en una página de pago alojada por Stripe. El número de su tarjeta, la fecha de caducidad y el código de seguridad los recoge Stripe directamente en los sistemas de Stripe. Nunca pasan por nuestros sistemas, nunca los vemos y nunca los conservamos.

De cada pago recibimos únicamente el resultado (aceptado, rechazado, reembolsado), el identificador de la transacción y los elementos que necesitamos para emitir la factura.

7. Por qué tratamos sus datos y sobre qué base jurídica

7.1 Para prestar la plataforma y ejecutar nuestro contrato con usted

Base jurídica: artículo 6, apartado 1, letra b), del RGPD (ejecución de un contrato).

Creación y gestión de su cuenta y de la cuenta de empresa; prestación de los servicios que solicita; guardado de análisis y documentos en su cuenta; funcionamiento del chat y de las traducciones que pide; venta y abono de créditos prepagados; cobro del precio; descuento de créditos a medida que usa los servicios; gestión de los reembolsos de créditos no consumidos; mensajes de servicio ligados a su compra, como la confirmación del contrato.

7.2 Para emitir facturas, llevar la contabilidad e informar a la administración tributaria

Base jurídica: artículo 6, apartado 1, letra c), del RGPD (cumplimiento de una obligación legal), con la obligación identificada por su nombre:

• emisión de la factura y su contenido obligatorio: artículo 319 de la Ley n.º 227/2015 (Código Fiscal rumano);
• llevanza de los registros contables y de los documentos justificativos: artículos 23 y 25 de la Ley de Contabilidad n.º 82/1991;
• conservación de las copias de las facturas emitidas y recibidas: artículo 319, apartados (31) a (35), de la Ley n.º 227/2015;
• transmisión de la factura a través del sistema nacional RO e-Factura para las operaciones cuyo lugar de prestación se sitúa en Rumanía: OUG n.º 120/2021, ampliada al B2B por la Ley n.º 296/2023 y al B2C por la OUG n.º 69/2024;
• conservación de la prueba de que se facilitó la información precontractual y de que un consumidor solicitó expresamente la ejecución inmediata, que es la prueba que debemos poder presentar conforme a la normativa de consumo.

Este tratamiento continúa aunque usted cierre su cuenta. Véase el artículo 17.

7.3 Para determinar su tratamiento a efectos del IVA y verificar su número de identificación a efectos del IVA

Base jurídica: artículo 6, apartado 1, letra c), del RGPD (cumplimiento de una obligación legal).

La obligación consiste en determinar el lugar de prestación y el tratamiento de la operación a efectos del IVA y en conservar la prueba de su condición de sujeto pasivo y de su país: artículos 44 y 59 quater de la Directiva 2006/112/CE y artículo 24 ter del Reglamento de Ejecución (UE) n.º 282/2011, incorporados a la Ley n.º 227/2015 (Código Fiscal rumano). Véase el artículo 15 para saber cómo funciona la verificación.

7.4 Para prevenir el fraude en los pagos y el abuso de los créditos prepagados

Base jurídica: artículo 6, apartado 1, letra f), del RGPD (interés legítimo).

Nuestro interés legítimo, declarado de forma explícita como exige el artículo 13, apartado 1, letra d), del RGPD, es prevenir los pagos fraudulentos, el uso no autorizado de la tarjeta de otra persona y el abuso de los créditos prepagados, en protección nuestra y de nuestros clientes. Ahí se incluye el control automatizado sobre una compra descrito en el artículo 9. Las comprobaciones antifraude sobre la propia transacción de pago las realiza Stripe con sus herramientas y sus reglas, como se explica en el artículo 12.

7.5 Para mantener la plataforma segura y en correcto funcionamiento

Base jurídica: artículo 6, apartado 1, letra f), del RGPD (interés legítimo).

Nuestro interés legítimo es mantener el servicio disponible, seguro y en correcto funcionamiento: registros de seguridad, prevención de abusos, diagnóstico de errores y planificación de capacidad.

7.6 Para obtener conocimiento agregado a partir del uso de la plataforma

Base jurídica: artículo 6, apartado 1, letra f), del RGPD (interés legítimo).

Nuestro interés legítimo es hacer más precisas las comprobaciones, ampliar nuestra base de conocimiento y, en el futuro, publicar análisis del sector. Qué obtenemos, a partir de qué datos y dentro de qué límites, se describe en el artículo 19. Puede excluirse con un clic en las preferencias de su cuenta, y también puede oponerse conforme al artículo 21.

7.7 Para clasificar los comentarios que nos envía

Base jurídica: artículo 6, apartado 1, letra f), del RGPD (interés legítimo).

Nuestro interés legítimo es asegurarnos de que una corrección regulatoria real señalada por un usuario no se pierda entre los mensajes. Cómo funciona, y el papel de nuestro proveedor de inteligencia artificial en ello, se describe en el artículo 8.

7.8 Para construir nuestra biblioteca de casos completos

Base jurídica: artículo 6, apartado 1, letra f), del RGPD (interés legítimo).

Un extracto de un expediente de información sobre el producto solo entra en la biblioteca cuando un evaluador de la seguridad aprueba ese extracto concreto para ella, después de que se hayan eliminado los nombres, los datos de contacto y todo lo que permita reconocer el producto, y después de la revisión de un experto independiente. Nuestro interés legítimo es una biblioteca de casos reales y verificados que hace los servicios más fiables para todos. Si en un extracto aprobado sigue presente algún dato personal residual, lo eliminamos en cuanto lo advertimos. Los contenidos reutilizados antes del 3 de octubre de 2026 se basan en los consentimientos escritos separados dados durante la fase beta, que todavía pueden retirarse escribiendo a info@cosmetifull.com.

7.9 Para responderle

Base jurídica: artículo 6, apartado 1, letras b) y f), del RGPD.

Respuestas a sus mensajes y a sus comentarios, y comunicaciones operativas sobre el servicio.

Cuando nos pide que le contactemos sobre el plan Enterprise, usamos esos datos solo para llamarle o responderle por escrito sobre esa solicitud. La base jurídica es el artículo 6, apartado 1, letra b), del RGPD (aplicación, a petición suya, de medidas precontractuales) y, cuando actúa en nombre de una empresa, el artículo 6, apartado 1, letra f), del RGPD (nuestro interés legítimo en responder a una consulta comercial). En este segundo caso, puede oponerse al tratamiento conforme al artículo 21. No usamos esos datos con fines de mercadotecnia.

No usamos el consentimiento como base jurídica, salvo los consentimientos escritos dados durante la fase beta para los contenidos reutilizados antes del 3 de octubre de 2026 (artículo 7.8) y para el píxel de Meta en nuestra página de registro, que solo se activa si usted lo aceptó en nuestro sitio web (artículo 7.14). En particular, no lo usamos para la facturación, la contabilidad ni la prevención del fraude, porque ese tratamiento no puede detenerse a petición: nos lo impone la ley o es necesario para proteger el servicio.

7.10 Para aplicar los códigos que introduce y saber qué canales nos traen clientes

Base jurídica: artículo 6, apartado 1, letra b), del RGPD (aplicación, a petición suya, de medidas precontractuales y ejecución del contrato) para aplicar la promoción asociada a un código que usted ha decidido introducir (artículo 23 de las Condiciones Generales de Contratación); artículo 6, apartado 1, letra f), del RGPD (interés legítimo) para el resto del tratamiento aquí descrito.

Nuestro interés legítimo es saber qué autores, socios y campañas nos traen clientes, gestionar la relación con cada empresa cliente, y abonar al titular de un código los créditos pactados con él. Registramos con qué código entró su empresa, por empresa y no por persona, y si esa empresa usó o compró créditos después. También registramos la campaña y el anuncio que nos trajeron a su empresa, y la página de nuestro sitio web desde la que inició su solicitud, tal como figuran en el enlace que ha seguido. Consultamos el código o la campaña empresa por empresa, para gestionar la relación con cada cliente, y en conjunto, para medir lo que vale cada código y cada campaña. También consultamos cómo usa cada empresa la plataforma (cuándo se registró, el tipo de actividad que anotamos para ella, su primer análisis, cuánto usa los servicios, cuánto ha pagado) para gestionar la relación con cada cliente y entender qué canales nos traen clientes que encuentran valor en ella. Cuando se aprueba una solicitud hecha con un código, el titular de ese código puede recibir créditos. No comunicamos al titular su nombre, su empresa, su dirección de correo electrónico ni nada de lo que usted hace en la plataforma, pero el titular puede ver cuándo llegan esos créditos. Si usted es titular de un código, el texto del código puede ser su nombre: retiramos el código y suprimimos su texto cuando se cierra su cuenta de empresa, o antes si nos lo pide. Puede oponerse al tratamiento basado en nuestro interés legítimo conforme al artículo 21, con independencia del interruptor descrito en el artículo 19.

7.11 Para enviarle la invitación de una empresa que le añade a su equipo

Base jurídica: artículo 6, apartado 1, letra f), del RGPD (interés legítimo).

Nuestro interés legítimo, que es también el de la empresa, es permitir que un cliente dé acceso al servicio que utiliza a las personas que trabajan con él. Solo el titular de la cuenta de empresa puede añadir a alguien, y es él quien nos facilita el nombre y la dirección de correo electrónico de esa persona. Los usamos únicamente para enviar la invitación, que indica la empresa y la persona que le ha añadido. Si no elige una contraseña en los 30 días siguientes a la última invitación, suprimimos su nombre y su dirección de correo electrónico. Una vez elegida la contraseña, su cuenta se trata como cualquier otra cuenta descrita en esta política. Puede ignorar la invitación, ya que sin su contraseña no se activa ninguna cuenta, y puede oponerse conforme al artículo 21.

7.12 cosmetiLEARN, si usted es autor

Base jurídica: artículo 6, apartado 1, letra b), del RGPD (ejecución de un contrato, es decir, del acuerdo con usted como autor, y, antes de que aprobemos su confirmación, aplicación, a petición suya, de medidas precontractuales) para publicar su página, para presentarle en otras partes de cosmetiLEARN y en nuestros canales, para los cambios que hace a mano o con el asistente, para las solicitudes de incorporación de un libro nuevo, para las versiones en los demás idiomas y para registrar su confirmación del acuerdo; artículo 6, apartado 1, letra f), del RGPD (interés legítimo) para la primera versión de su página y la vista previa antes de que acepte el acuerdo, los controles automáticos, el historial de versiones, el resumen diario, las publicaciones que siguen en línea después de que termine el acuerdo, la huella de una página suprimida, el registro de su confirmación después de que termine el acuerdo o de que la rechacemos, el recuento de los clics en los enlaces de compra de su página y la invitación a confirmarlo.

cosmetiLEARN presenta en nuestro sitio web, en diez idiomas, a autores de libros de ciencia cosmética. Si le hemos invitado como autor, tratamos los datos de su página: nombre, cargo, biografía, sus canales, su foto, los datos de sus libros (descripciones, ISBN, editorial, páginas, fecha, enlaces de compra, portadas y pies de foto), los cambios que hace y su historial, y sus solicitudes de incorporación de un libro nuevo. La primera versión de su página la preparamos nosotros, con lo que usted nos facilita y con lo que recopilamos de sus páginas públicas y de otras fuentes accesibles en línea, y se la mostramos en una vista previa junto con la invitación a confirmar el acuerdo; el primer mensaje que le enviamos y la vista previa incluyen el enlace a esta política. Hasta que acepte el acuerdo, preparamos la página y se la mostramos sobre la base de nuestro interés legítimo en ofrecérsela. Las fuentes son, por ejemplo, su sitio web, las páginas de sus editoriales y las páginas públicas de sus libros; si nos lo pide, le indicamos de dónde procede cada elemento. Si nos dice que no le interesa, o si la página no llega a publicarse, la suprimimos de los archivos de nuestro sitio web, junto con las imágenes y los textos recopilados, en el plazo de un mes desde su respuesta o desde que caduque el enlace de la vista previa; si en ese momento su confirmación sigue pendiente de nuestra decisión, en el plazo de un mes desde la decisión o, si nunca llegamos a decidir, desde que caduque su registro. Se conserva una copia en el historial del repositorio privado del código de nuestro sitio web en GitHub, que suprimimos en el plazo de un mes desde su solicitud. Su cuenta es una cuenta normal de la plataforma (artículo 5.1); somos nosotros quienes activamos y desactivamos el acceso a su página.

• La confirmación del acuerdo. Usted acepta el acuerdo con los autores, y las Condiciones Generales de Contratación a las que remite, con el botón con el que confirma su página, en la página en la que inicia sesión en su cuenta o crea una, tal como le indicamos junto al botón. La invitación puede incluir ya su nombre y su dirección de correo electrónico, para rellenar previamente el formulario: estos datos solo se conservan en la invitación mientras esté abierta, y los suprimimos antes si nos pide suprimir sus datos o su cuenta. Cuando acepta, registramos quién confirmó (nombre, dirección de correo electrónico, cuenta e identificador de la página), cuándo, qué versión de cada uno de los tres textos y, cuando llega desde el botón de la vista previa, la huella (hash) de la página que vio, imágenes incluidas, lo que constituye la prueba de nuestro acuerdo. Si crea una cuenta nueva, le enviamos un correo electrónico con un enlace válido durante 72 horas: un clic confirma que es usted, y es en ese momento cuando registramos su aceptación; hasta entonces conservamos su nombre, su dirección de correo electrónico, el país, la empresa si la ha indicado y lo necesario para registrar la confirmación. La contraseña la elige cuando su página esté en línea, desde el enlace del correo que se lo indica, válido durante 72 horas; después, con «¿Has olvidado la contraseña?» en la página de inicio de sesión. Avisamos a nuestros administradores con un aviso de texto fijo (artículo 11.2) y con un correo electrónico, enviado a través de Amazon SES a nuestro buzón, que contiene su nombre, su dirección de correo electrónico, el identificador de su página y el estado de su cuenta y que permanece en el buzón hasta que lo suprimimos a mano, también a petición suya; a continuación, uno de los administradores aprueba o rechaza la publicación de la página. Después de que termine el acuerdo, o si rechazamos la confirmación, conservamos este registro sobre la base de nuestro interés legítimo en la formulación, el ejercicio o la defensa de reclamaciones, durante los plazos indicados en el artículo 17 de esta política. Si nos pide suprimir sus datos o su cuenta, se suprimen del registro su nombre, su dirección de correo electrónico, el vínculo con la cuenta y el identificador de la página, y, durante esos mismos plazos, solo se conservan en él las huellas (hash) de su dirección de correo electrónico, del identificador de la página y de la página que vio, como permite el artículo 17, apartado 3, letra e), del RGPD: una huella no contiene el dato en sí, pero quien pudiera leer nuestra base de datos y ya conociera el dato podría reconocerla. Si rechazamos la confirmación, anotamos también el motivo en el registro: ese motivo se conserva durante esos mismos plazos y se suprime junto con su nombre si nos pide suprimir sus datos o su cuenta.
• La cuenta creada desde el formulario. La cuenta que crea desde el formulario no se puede utilizar hasta que aprobemos su confirmación. Si no tiene otros usos (un servicio de cosmetiFULL solicitado aparte, una empresa que le ha añadido a su equipo u otra confirmación), la suprimimos junto con su solicitud de acceso, si sigue abierta: con el rechazo, de inmediato; 13 meses después de su aceptación, si nunca llegamos a decidir sobre la confirmación; en el plazo de 7 días desde el último enlace de confirmación que le enviamos (cuando envía el formulario o pide un enlace nuevo), si no confirma su dirección de correo electrónico con ese enlace o si la confirmación no puede registrarse (por ejemplo, porque mientras tanto la invitación se ha cerrado o ha caducado); en ese caso no registramos ninguna confirmación y, en los mismos 7 días, suprimimos también los datos que indicó en el formulario (nombre, país, empresa), aunque la cuenta se mantenga. Con el rechazo suprimimos la solicitud de acceso nacida con la confirmación aunque la cuenta se mantenga. El registro de envíos de nuestro servicio de correo electrónico conserva la dirección a la que escribimos durante 12 meses desde la fecha del envío, como con cualquier correo que enviamos (artículo 17). El registro de su confirmación se conserva durante los plazos del artículo 17.
• Dónde le presentamos. Además de en su página, le presentamos con su nombre, su foto, su biografía y sus libros en otras partes de cosmetiLEARN dentro de nuestro sitio web, por ejemplo en la página de inicio, y en nuestros canales: publicaciones en redes sociales, boletines informativos y eventos, siempre para hablar de cosmetiLEARN. Las plataformas en las que difundimos esas publicaciones tratan lo que publicamos en ellas como responsables del tratamiento independientes, según sus propias normas.
• Sus cambios, a mano o con el asistente. Usted edita su página a mano, campo por campo, o escribiendo a un asistente, que es un sistema de inteligencia artificial y no una persona. Si usa el asistente, sus mensajes y los valores de su página llegan a nuestro proveedor de inteligencia artificial (Anthropic) en las condiciones del artículo 8; su dirección de correo electrónico y los datos de su cuenta, no. No conservamos la conversación: se queda en su navegador mientras mantiene la página abierta. De cada cambio, hecho a mano o con el asistente, conservamos la propuesta, es decir, el valor anterior y el posterior, de dónde procede, el resultado de los controles y el momento. De cada cambio de la página conservamos también quién lo propuso (el identificador de su cuenta, no su nombre ni su correo electrónico) y si partió del asistente o del lápiz, es decir, a mano. Las propuestas no confirmadas se suprimen a las 24 horas; las confirmadas permanecen en el historial de la página mientras la página exista, y se suprimen con ella.
• Publicación automática, tras los controles. Cuando confirma un cambio, se publica por sí solo si supera los controles automáticos: formato y longitud, enlaces solo a sitios permitidos, el dígito de control del ISBN, ninguna frase que presente a cosmetiFULL como garante de usted o del libro, ninguna promesa de salud o de resultados, y solo temas de cosmética. El último control, también en los cambios hechos a mano, lo realiza un clasificador de nuestro proveedor de inteligencia artificial, y si el clasificador no responde, el cambio no se publica. Nuestro interés legítimo es que las páginas públicas sigan siendo exactas, lícitas y dedicadas a la cosmética.
• Un libro nuevo. Puede pedirnos que añadamos un libro suyo, con título, subtítulo, idioma, ISBN, editorial, el enlace a la página del libro en el sitio web de la editorial y los enlaces de compra. La solicitud no se publica: llega a nuestros administradores, que comprueban el libro y su ficha en el catálogo de la editorial y aceptan o rechazan la solicitud. Cuando decidimos, le enviamos un correo electrónico a la dirección de su cuenta con el resultado y, si la rechazamos, el motivo; el resultado también lo ve en su área personal, donde puede corregir y volver a enviar una solicitud rechazada. Si la aceptamos, preparamos nosotros el libro para su página: cuando esté en línea, lo verá en su área personal de autor, y desde allí podrá editarlo como sus demás libros. Conservamos la solicitud, con nuestra decisión, como máximo 13 meses desde la decisión (desde la solicitud, si nunca llegó a decidirse); antes, si nos pide que suprimamos su página de autor o su cuenta.
• Los demás idiomas. Las versiones en los otros nueve idiomas las redacta automáticamente un sistema de inteligencia artificial, y un control automático verifica los términos técnicos y jurídicos. Mientras un idioma no supere ese control, en ese idioma se mantiene la versión anterior.
• El historial de versiones. Conservamos cada versión de cada campo mientras exista la página. Nuestro interés legítimo es poder volver a una versión anterior si algo está mal, y poder explicar qué se publicó y por qué.
• El resumen diario. Una vez al día, los administradores de la plataforma reciben por correo electrónico, a través de Amazon SES, la lista de los cambios publicados, con un breve extracto del antes y el después, si cada uno se hizo a mano o con el asistente, y el enlace para restablecer la versión anterior. Es una información, no una aprobación. Nuestro interés legítimo es saber qué se ha publicado sin que una persona lo haya visto antes. El mismo resumen enumera las solicitudes pendientes de incorporación de un libro nuevo, con el identificador de su página, el título y el idioma del libro tal como usted los escribió, el momento en que se envió la solicitud y el enlace al panel de administración: están ahí para que podamos tramitarlas, y no contienen los datos de su cuenta, el ISBN, los enlaces ni la editorial.
• Los clics en los enlaces de compra. En su página contamos cuántas veces se hace clic en cada enlace de compra: para cada día, libro y tienda, solo el número. Del lector no registramos nada: ni dirección IP, ni cookies, ni identificadores. Los recuentos son solo para nuestro uso interno y usted no los ve en su área. Nuestro interés legítimo es saber si los enlaces de su página llevan lectores a las tiendas.
• Moderación, declaración de motivos y cómo impugnarla. Los controles y el clasificador son herramientas automáticas empleadas para moderar los contenidos en el sentido del artículo 14, apartado 1, del Reglamento (UE) 2022/2065 (Reglamento de Servicios Digitales), y nuestros administradores los complementan con la revisión humana: pueden restablecer la versión anterior de un campo en un idioma, o suspender un campo o toda la página. La suspensión congela sus cambios: mientras dura, sus cambios en ese campo o en la página no se publican, y el sitio web muestra la versión inicial, la que preparamos nosotros para el sitio. La suspensión no retira la página del sitio: retirar una página del sitio es una decisión distinta, que surte efecto cuando volvemos a publicar el sitio sin esa página. Si un control detiene un cambio, le indica el motivo en ese mismo momento. Si restringimos un contenido ya publicado, le enviamos una declaración de motivos conforme al artículo 17 del mismo Reglamento: qué hicimos, por qué, sobre qué hechos, si usamos medios automatizados y cómo impugnarla. Para impugnarla, escriba a info@cosmetifull.com, y una persona revisará la decisión. Las notificaciones de los lectores sobre su página nos llegan primero a nosotros (artículo 7.13), y le informamos de ellas sin los datos de contacto de quien las envió.
• Retirar la página. Puede pedirnos que retiremos su página, o todo lo relativo a ella, escribiendo a info@cosmetifull.com. Retiramos la página en todos los idiomas volviendo a publicar el sitio sin ella y sin usted en las demás partes de cosmetiLEARN, suprimimos los valores, su historial, las propuestas, las solicitudes de incorporación de un libro nuevo, las traducciones pendientes y las mediciones operativas vinculadas a la página, y pedimos a los buscadores que actualicen sus resultados. Una copia de la página, la instantánea a partir de la cual se construye el sitio, se conserva también, con su historial, en el repositorio privado del código de nuestro sitio web en GitHub: allí la suprimimos y reescribimos ese historial en el plazo de un mes. Previa solicitud, suprimimos a mano de los buzones de los administradores los correos del resumen que le conciernen. El registro de la retirada, con un seudónimo en lugar de su nombre, se suprime en un plazo de 13 meses. Durante 13 meses conservamos también una huella (hash) del identificador de su página: nos impide volver a crearla por error y, hasta que el sitio se vuelva a publicar sin la página, hace que el sitio responda, en todos los idiomas, que la página se ha retirado. Cuando el sitio nos pide esa página, junto con la huella anotamos únicamente la fecha de la última petición. Si, al cumplirse los 13 meses, el sitio nos ha pedido la página en los últimos 30 días, la huella y la fecha se conservan mientras el sitio siga pidiéndola, y las suprimimos 30 días después de la última petición. La huella no contiene su nombre, pero quien pudiera leer nuestra base de datos y adivinara el identificador, que procede de su apellido, sabría que la página se suprimió. Conservamos la huella y la fecha sobre la base de nuestro interés legítimo en atender plenamente su solicitud de supresión y en impedir que la página vuelva a publicarse. Los correos que le enviamos permanecen en el registro de envíos durante 12 meses (artículo 17). Las copias de seguridad dejan de existir en un plazo de 30 días, y también lo que conserva nuestro proveedor de inteligencia artificial, salvo el periodo más largo que el proveedor aplica a los casos de infracción de su política de uso (artículo 8). Tras la retirada de la página, su nombre, su foto y sus libros ya no entran en materiales nuevos. Si nos lo pide, retiramos las publicaciones en las que ya le hemos presentado; mientras sigan en línea, nuestro interés legítimo es no tener que reescribir lo que ya hemos publicado. Un boletín que ya se ha enviado no se puede anular.

Puede oponerse al tratamiento basado en nuestro interés legítimo conforme al artículo 21.

7.13 Si nos envía una notificación sobre una página de cosmetiLEARN

Base jurídica: artículo 6, apartado 1, letra c), del RGPD (cumplimiento de una obligación legal): el artículo 16 del Reglamento (UE) 2022/2065 (Reglamento de Servicios Digitales) nos obliga a recibir las notificaciones sobre el contenido de las páginas que alojamos y a actuar en consecuencia; artículo 6, apartado 1, letra f), del RGPD (interés legítimo) para la huella contra los envíos repetidos.

Cualquier persona puede notificarnos, mediante el formulario enlazado desde cada página de cosmetiLEARN, un contenido que considere ilícito o no conforme con las normas de la página. El responsable del tratamiento es Nicodemo & Signa Company Srl (artículo 1), con quien puede contactar en info@cosmetifull.com (artículo 2).

• Qué recogemos. La página, el idioma y, si lo indica, la parte de la página que notifica; el motivo, mediante una categoría y con sus propias palabras; su declaración de que la notificación se hace de buena fe; y, solo si decide facilitárnoslos, su nombre y su dirección de correo electrónico. El nombre y la dirección de correo electrónico son opcionales: puede enviar la notificación sin ellos.
• Por qué. Para evaluar la notificación, decidir sobre ella y, si nos ha facilitado su dirección de correo electrónico, enviarle un acuse de recibo y después nuestra decisión, con información sobre las vías de recurso, como exige el artículo 16, apartados 4 y 5, del mismo Reglamento.
• Quién la ve. Nuestro equipo, que decide sobre la notificación. El autor de la página recibe la notificación sin su nombre ni su dirección de correo electrónico, y con las direcciones de correo electrónico, los números de teléfono y los enlaces de su texto ocultos. El texto de su notificación nunca se envía a nuestro proveedor de inteligencia artificial. El formulario y las notificaciones están alojados en Cloudflare, y los correos que le enviamos pasan por Amazon SES (artículo 11.1).
• Cuánto tiempo. En cosmetiLEARN, su nombre y su dirección de correo electrónico se suprimen cuando se cierra la notificación, o en cuanto nuestro correo dirigido a usted resulte imposible de entregar, y en todo caso 90 días después de la notificación, aunque todavía no se haya cerrado. El registro de envíos de nuestro servicio de correo electrónico conserva la dirección a la que escribimos durante 12 meses desde la fecha del envío, como con cualquier correo que enviamos (artículo 17). Si nuestro correo resulta imposible de entregar, o usted lo marca como spam, la dirección queda además en nuestra lista de direcciones excluidas de los envíos, durante 12 meses desde la última de estas señales, para respetar esa señal. El resto de la notificación se suprime 13 meses después de la decisión, o antes si se retira la página a la que se refiere.
• Contra los envíos repetidos. Cuando envía una notificación, conservamos durante un día una huella (hash) de su dirección IP, calculada con una clave secreta y vinculada a la página y al día (no la dirección): sirve para que un solo remitente no agote el límite de la página ni bloquee las notificaciones de los demás. Al día siguiente se suprime. Sin la clave no se puede averiguar la dirección, y la huella no está vinculada a la notificación. Solo para esta huella, la base jurídica es nuestro interés legítimo en mantener el formulario disponible para todos (artículo 6, apartado 1, letra f), del RGPD), y puede oponerse como se indica en el artículo 21.
• Sus derechos. Se aplican los derechos del artículo 20. A la notificación no se aplica el derecho de oposición del artículo 21, porque ese tratamiento lo exige la ley (sí se aplica a la huella descrita más arriba); por la misma razón, mientras dure esa obligación, la supresión de la notificación puede limitarse (artículo 17, apartado 3, letra b), del RGPD).

7.14 Para medir nuestros anuncios, solo si acepta

Base jurídica: artículo 6, apartado 1, letra a), del RGPD (su consentimiento), que el artículo 5, apartado 3, de la Directiva 2002/58/CE, transpuesto en Rumanía por el artículo 4, apartado 5, de la Ley n.º 506/2004, exige también para almacenar información en su dispositivo y acceder a ella.

Nuestros anuncios en Facebook e Instagram llevan a la página de LabelCheck de nuestro sitio web, donde una ventana le pregunta si acepta el píxel de Meta. Los dos botones, Aceptar y Rechazar, tienen el mismo tamaño. Su respuesta se guarda en la cookie `cf_consenso` (artículo 23) y vale también para nuestra página de registro en app.cosmetifull.com: una sola respuesta vale para el sitio web y para esa página.

Solo si usted aceptó, la página de registro carga el píxel de Meta, y su navegador le dice a Meta cuándo abre la página, que el formulario de registro está abierto y cuándo lo envía. Con cada paso van la dirección de la página y la de la página de la que viene, su dirección IP, los datos de su navegador y los identificadores de las cookies de Meta. Hemos desactivado la lectura de botones y formularios que el píxel hace por su cuenta, y su asociación automática de los campos del formulario está desactivada, así que lo que usted escribe en el formulario no se envía a Meta; cada noche se ejecuta una comprobación que nos avisa si esa opción se activa. Meta puede vincular estos pasos a su cuenta de Facebook o Instagram, si tiene una, para que podamos ver qué anuncios traen a personas que se registran y para que Meta pueda mostrar nuestros anuncios a personas parecidas. Estos pasos van de su navegador directamente a Meta: no guardamos nada de ellos, y lo que leemos son los informes de Meta sobre cómo funcionan nuestros anuncios.

Para la recogida y la transmisión de estos datos, Meta Platforms Ireland Limited y nuestra empresa son corresponsables del tratamiento (artículo 26 del RGPD). Meta publica los aspectos esenciales de nuestro acuerdo, su Controller Addendum, en facebook.com/legal/controller_addendum, y usted puede ejercer sus derechos sobre esta parte ante cualquiera de las dos: ante nosotros en info@cosmetifull.com, o ante Meta a través de los contactos de su Política de privacidad. Cuando mide nuestros anuncios para nosotros, Meta actúa como nuestro encargado del tratamiento con arreglo a sus Data Processing Terms (artículo 28 del RGPD); lo que hace después con los datos para sus propios fines lo decide como responsable del tratamiento independiente, con arreglo a esa Política de privacidad.

Si no respondió a la ventana, o si rechazó el píxel, la página de registro no carga nada de Meta y funciona exactamente igual. Puede retirar su consentimiento en cualquier momento desde Configuración de cookies, al pie de cada página de nuestro sitio web: el píxel se detiene entonces, en el sitio web y en la página de registro, y las cookies de Meta en nuestro dominio se borran. La retirada vale desde ese momento, así que lo enviado antes sigue siendo lícito.

8. Tratamiento con inteligencia artificial y transparencia

Los análisis, borradores y respuestas que produce la plataforma están generados por un sistema de inteligencia artificial. Cuando usa el chat o cualquier función asistida, está interactuando con un sistema de inteligencia artificial y no con un operador humano. Lo declaramos también en la interfaz, en línea con la obligación de transparencia del artículo 50 del Reglamento (UE) 2024/1689, aplicable desde el 2 de agosto de 2026.

Los contenidos que usted envía se tratan a través de la API de nuestro proveedor de inteligencia artificial (Anthropic) para producir sus resultados. En virtud de las condiciones comerciales que rigen nuestro uso de esa API, los contenidos enviados no se utilizan para entrenar los modelos del proveedor.

Usamos también al mismo proveedor para clasificar los comentarios que nos envía, de modo que una corrección regulatoria real no se pierda entre los mensajes. El mensaje, un breve extracto del análisis al que se refiere y la clasificación se conservan, la propuesta que resulta de ello siempre la revisa una persona antes de que nada cambie, y rige la misma exclusión contractual del entrenamiento.

Nuestro proveedor de inteligencia artificial conserva los contenidos transmitidos y los resultados no más de 30 días desde su recepción o generación, salvo el periodo más largo que el proveedor aplica a los casos de infracción de su política de uso, a efectos de vigilancia de abusos, y para ninguna otra finalidad. No autorizamos ningún uso ulterior.

Los resultados tienen carácter informativo y pueden contener errores. Sirven de apoyo a la revisión profesional, no sustituyen el criterio de un profesional cualificado y no certifican la conformidad. La responsabilidad de la conformidad de un producto cosmético sigue recayendo en el operador económico y en la persona responsable conforme al Reglamento (CE) n.º 1223/2009.

9. Controles automatizados sobre compras y cuentas

Nosotros no realizamos elaboración de perfiles sobre usted. Si acepta el píxel de Meta, Meta puede usar para sus servicios publicitarios los pasos que recoge en nuestra página de registro, como se describe en el artículo 7.14.

Existe un control automatizado sobre la compra, y se limita a una sola cosa: una compra con datos anómalos, por ejemplo una cantidad de créditos inusualmente alta o una cuenta que no logramos casar, se pone en espera de forma automática y la revisa una persona antes de abonar los créditos. La decisión de suspender una cuenta o de rechazar una compra la toma siempre una persona, nunca el sistema. Puede pedirnos que revisemos el resultado escribiendo a info@cosmetifull.com.

El propio pago también puede ser rechazado o bloqueado automáticamente por los sistemas antifraude de Stripe, con arreglo a los criterios de Stripe. Esa valoración la hace Stripe, no nosotros. Si le rechazan un pago, puede escribirnos y puede además dirigirse directamente a Stripe.

10. Qué ocurre si no facilita sus datos

Algunos datos los exige la ley y otros el contrato:

• Exigidos por la ley fiscal: denominación social o nombre, dirección de facturación y, para los sujetos pasivos, el número de identificación a efectos del IVA. Sin ellos no podemos emitir una factura y, por tanto, no podemos venderle créditos.
• Exigidos por el contrato: dirección de correo electrónico y contraseña, sin las cuales no podemos crear ni proteger una cuenta.
• Opcionales: todo lo demás, por ejemplo un contacto administrativo adicional. No facilitarlo no tiene más consecuencia que la pérdida de esa comodidad.

11. Quién recibe sus datos

Mantenemos corta la cadena de proveedores. Los destinatarios se dividen en cuatro grupos distintos, y la diferencia importa, porque no tienen los mismos deberes hacia usted.

11.1 Grupo A: encargados del tratamiento que actúan siguiendo nuestras instrucciones (artículo 28 del RGPD)

No recurrimos a ningún encargado del tratamiento sin un contrato de encargo del tratamiento acorde con el artículo 28 del RGPD. Cada uno de los destinatarios anteriores trata los datos únicamente siguiendo nuestras instrucciones documentadas y no puede usarlos para fines propios.

11.2 Telegram: un canal interno, declarado tal como es

Usamos un canal de Telegram, estrictamente interno a nuestro equipo, para recibir aviso inmediato cuando llega una solicitud de acceso a la plataforma, enviada desde la página de presentación de un servicio o bien desde la página de inicio de sesión de la plataforma, un comentario, una respuesta a un comentario, una solicitud de contacto sobre el plan Enterprise o la confirmación del acuerdo por parte de un autor de cosmetiLEARN. A partir del 16 de septiembre de 2026, cada uno de estos avisos lleva solo un texto fijo, igual para todos, sin su nombre, su dirección de correo electrónico, su denominación social ni el texto de su mensaje. Los detalles permanecen en nuestro panel de administración y, en el caso de las solicitudes de acceso y de las relativas al plan Enterprise, en nuestro buzón de correo electrónico de empresa. Lo mismo ocurre con la confirmación del acuerdo por parte de un autor de cosmetiLEARN (artículo 7.12). Los demás avisos que recibimos por este canal se refieren al funcionamiento de la plataforma y no contienen datos personales.

Telegram no pone a disposición un contrato de encargo del tratamiento para los bots. Lo decimos abiertamente en lugar de invocar una garantía que no tenemos, y es la razón por la que limitamos este canal a los avisos internos y mantenemos fuera de él el contenido de sus documentos. Telegram está establecida fuera del Espacio Económico Europeo.

11.3 Grupo B: destinatarios que deciden por sí mismos cómo tratar los datos

Estos destinatarios deciden por sí mismos cómo tratar los datos que reciben. Actúan como responsables del tratamiento independientes, cada uno con su propia política de privacidad y sus propios deberes legales:

11.4 Stripe: un papel mixto

Stripe se trata aparte porque su papel es mixto. Véase el artículo 12.

11.5 Meta: corresponsable del tratamiento, solo si acepta

Si aceptó el píxel de Meta en nuestro sitio web, Meta Platforms Ireland Limited (Irlanda) recibe de su navegador los pasos descritos en el artículo 7.14. Para su recogida y transmisión, Meta y nuestra empresa son corresponsables del tratamiento (artículo 26 del RGPD); para la medición de nuestros anuncios, Meta actúa como nuestro encargado del tratamiento con arreglo a sus Data Processing Terms (artículo 28 del RGPD); para lo que Meta hace después con ellos para sus propios fines, Meta es responsable del tratamiento independiente, con arreglo a su propia Política de privacidad. Si no aceptó, Meta no recibe nada de nuestra página de registro.

12. Por qué Stripe tiene un papel mixto

Stripe desempeña un papel mixto, y preferimos decirlo abiertamente en lugar de simplificarlo:

• Stripe es nuestro encargado del tratamiento en la parte en la que cobra el pago siguiendo nuestras instrucciones y nos comunica el resultado.
• Stripe es un responsable del tratamiento independiente en la parte en la que decide, o la ley decide en su lugar, qué hacer con sus datos. Stripe es un proveedor de servicios de pago supervisado, sujeto por derecho propio a las normas de prevención del blanqueo de capitales, de identificación de clientes y de servicios de pago. Esas finalidades las determinan la ley y Stripe, no nosotros. No podemos dar instrucciones a Stripe sobre qué datos recoger, cuánto tiempo conservarlos o a quién comunicarlos.

Stripe recibe su nombre, su dirección de correo electrónico, su denominación social, su dirección de facturación, su número de identificación a efectos del IVA cuando proceda, y el importe y el identificador de la transacción. En la parte en la que Stripe es responsable, enviarle sus datos es una comunicación entre dos responsables del tratamiento distintos. No somos corresponsables del tratamiento con Stripe.

13. Por qué SmartBill es encargado del tratamiento

SmartBill es el caso contrario, y merece la pena explicar por qué.

SmartBill es el software que nosotros usamos para emitir nuestra factura. Recibe su denominación social, su dirección y su número de identificación a efectos del IVA porque se los transmitimos nosotros, los trata siguiendo nuestras instrucciones y no tiene un deber profesional propio respecto del contenido de la factura. Es, por tanto, un encargado del tratamiento conforme al artículo 28 del RGPD, vinculado por un contrato de encargo del tratamiento.

Nuestro asesor contable o auditor externo, que recibe los mismos documentos, es en cambio un responsable del tratamiento independiente, porque ese papel lo regula la ley y es el profesional quien decide por su cuenta qué necesita y durante cuánto tiempo.

14. ANAF y e-Factura

Para los clientes cuya operación tiene su lugar de prestación en Rumanía, la factura se transmite a la administración tributaria rumana a través del sistema nacional RO e-Factura.

La ANAF no es un proveedor nuestro y no actúa por cuenta nuestra. Es una autoridad que recibe los datos en cumplimiento de una obligación legal y los trata como responsable del tratamiento independiente. Esta transmisión no requiere su consentimiento y no se puede desactivar. Lo mismo vale para la nota de crédito emitida tras un reembolso.

15. Verificación del número de identificación a efectos del IVA (VIES)

Antes de aplicar o no aplicar la inversión del sujeto pasivo, verificamos el número de identificación a efectos del IVA que nos facilita en VIES, el sistema de la Comisión Europea, para los números expedidos en la Unión Europea. VIES es un sistema de una institución de la UE y la consulta no supone ninguna transferencia fuera del Espacio Económico Europeo.

Como respuesta recibimos si el número es válido, o bien que el sistema no ha podido responder, resultado que se registra por separado, y, cuando el sistema los facilita, el nombre y la dirección asociados a ese número. Conservamos la prueba de la verificación, con su fecha y su resultado, como documento justificativo del tratamiento a efectos del IVA que aplicamos a su compra.

Para un empresario individual, el número de identificación a efectos del IVA es un dato personal, y por eso declaramos esta verificación aunque parezca información referida a una empresa.

16. Transferencias fuera del Espacio Económico Europeo

Algunos de nuestros proveedores están establecidos fuera del Espacio Económico Europeo, o pertenecen a grupos que lo están. De cada uno indicamos el país y la garantía efectivamente aplicada:

Puede pedirnos copia de las garantías que tenemos escribiendo a info@cosmetifull.com.

17. Cuánto tiempo conservamos sus datos

Datos distintos tienen periodos de conservación distintos. No usamos una fórmula única y genérica.

17.1 El periodo contable, explicado

La ley rumana (artículos 23 y 25 de la Ley de Contabilidad n.º 82/1991, modificada por la Ley n.º 36/2023, en vigor desde el 15 de enero de 2023) obliga a conservar los registros contables obligatorios y los documentos justificativos que los respaldan, facturas incluidas, durante cinco años contados desde el 1 de julio del año siguiente al ejercicio en el que se elaboraron. En la práctica, para una factura emitida en 2026 el periodo empieza el 1 de julio de 2027 y termina el 30 de junio de 2032.

Ese periodo coincide con el plazo de prescripción tributaria: conforme al artículo 110 de la Ley n.º 207/2015 (Código de Procedimiento Fiscal), el derecho de la administración tributaria a determinar los créditos fiscales prescribe a los cinco años, contados desde el 1 de julio del año siguiente a aquel al que se refiere la obligación tributaria. La cifra está tomada de la ley, no es una estimación nuestra.

17.2 Cerrar su cuenta no borra sus facturas

Es el punto que más a menudo sorprende a los clientes, así que lo decimos por adelantado. Cerrar su cuenta suprime la cuenta, sus análisis y los contenidos que usted envió, según los plazos de la tabla anterior. No suprime la factura ni los datos de facturación que hay detrás, que debemos conservar hasta que venza el periodo legal indicado más arriba. Una solicitud de supresión no puede acortar ese periodo (artículo 17, apartado 3, letra b), del RGPD).

Una supresión retira los datos de los sistemas activos según los plazos indicados arriba. Las copias de seguridad que todavía los contienen se rotan en un plazo de 30 días, tras lo cual la copia misma deja de existir.

18. Seguridad

El tráfico viaja por HTTPS y los datos se cifran en tránsito. Las contraseñas nunca se conservan en claro: se conservan como una derivación PBKDF2-SHA256 con una sal propia de cada usuario y 100.000 iteraciones. Cada cuenta ve únicamente sus propios análisis, y las cuentas de empresa comparten solo entre sus miembros aprobados. El acceso administrativo se limita a las personas que lo necesitan. Los datos de las tarjetas nunca llegan a nuestros sistemas, como se explica en el artículo 6.

19. Conocimiento derivado: registros y agregados

Cuando usted usa los servicios, conservamos registros de metadatos de las comprobaciones, nunca de contenido: por ejemplo el tipo y la gravedad de las incidencias detectadas, la disposición legal en la que se basan, los mercados, los idiomas y la puntuación de un análisis o, para un expediente de información sobre el producto, qué obligaciones siguen pendientes, en forma de códigos cerrados. Cada registro está vinculado a un código unidireccional derivado de su dirección de correo electrónico, no a su nombre, y sigue estando seudonimizado: no es un dato anónimo, de modo que lo tratamos como dato personal y usted conserva sus derechos sobre él.

A partir de esos registros obtenemos conocimiento agregado, que usamos para mejorar los servicios y nuestra base de conocimiento, también después de que termine el contrato, y, en el futuro, para publicar análisis del sector. Un agregado solo se usa o se difunde si cubre al menos 20 eventos y al menos 5 cuentas distintas. Solo se comparte de una forma que no le identifica ni a usted, ni a su empresa, ni a sus productos.

El conocimiento derivado deja fuera los documentos originales, las fórmulas, las composiciones a partir de las cuales podría reconocerse un producto, los nombres de los productos y los nombres de empresas y personas. ExpertDesk describe en su propia política lo que obtiene del uso de su chat.

Puede excluirse con un clic. En las preferencias de su cuenta, el interruptor «Contribuir al conocimiento de cosmetiFULL» está activado de inicio. Si lo desactiva, o si nos escribe a info@cosmetifull.com, desde ese momento no obtenemos nada más de su actividad, sin coste y sin ningún efecto sobre el servicio. Lo que ya forma parte de un agregado ya no puede separarse de él; los registros existentes se desvinculan de su cuenta cuando la cuenta se suprime, y puede pedirnos que los desvinculemos antes.

El conocimiento derivado se aplica a los datos generados a partir del 3 de octubre de 2026. Lo realizado antes se basa en la descripción vigente en aquel momento y, para la reutilización de contenidos, en los consentimientos escritos dados durante la fase beta.

20. Sus derechos

Usted tiene derecho a:

• acceder a sus datos personales y obtener una copia;
• rectificar los datos inexactos o incompletos;
• suprimir sus datos, dentro de los límites del artículo 17.2;
• obtener la limitación del tratamiento en los casos previstos por la ley;
• la portabilidad de los datos que nos ha facilitado y que tratamos por medios automatizados sobre la base del contrato o de su consentimiento;
• oponerse al tratamiento basado en nuestro interés legítimo, según lo indicado en el artículo 21;
• retirar su consentimiento dado durante la fase beta para la reutilización de contenidos descrita en el artículo 7.8, y su consentimiento al píxel de Meta descrito en el artículo 7.14 desde Configuración de cookies, al pie de cada página de nuestro sitio web, en cualquier momento y sin que ello afecte al tratamiento realizado antes de la retirada;
• presentar una reclamación ante una autoridad de control.

Para ejercer estos derechos, escriba a info@cosmetifull.com. Respondemos dentro de los plazos previstos por el RGPD, por regla general en el plazo de un mes. Nuestra autoridad de control principal es la ANSPDCP rumana (Bd. G-ral Gheorghe Magheru nr. 28-30, sector 1, Bucarest, dataprotection.ro). Puede dirigirse también a la autoridad de control del país en el que vive o trabaja.

Si su solicitud se refiere a datos contenidos en un documento enviado por uno de nuestros clientes, el artículo 4 explica qué hacemos con ella.

21. Su derecho de oposición

Este derecho se expone por separado, porque merece su atención.

Cuando tratamos sus datos sobre la base de nuestro interés legítimo (artículos 7.4, 7.5, 7.6, 7.7, 7.8, 7.9, 7.10, 7.11, 7.12 y, solo para la huella contra los envíos repetidos, 7.13), usted tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular. Escriba a info@cosmetifull.com, indíquenos a qué tratamiento se opone y por qué. Dejamos de realizar ese tratamiento, salvo que podamos acreditar motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o salvo que necesitemos los datos para la formulación, el ejercicio o la defensa de reclamaciones.

Dos precisiones honestas:

• una oposición no puede eliminar datos que estamos obligados a conservar en virtud de las obligaciones contables y fiscales descritas en los artículos 7.2 y 17;
• la prevención del fraude sobre el propio pago la realiza Stripe como responsable del tratamiento independiente, de modo que una oposición dirigida a nosotros no puede desactivar los controles de Stripe. Sobre ese punto puede dirigirse directamente a Stripe.

22. Si usted es consumidor

Este artículo se aplica solo a las personas físicas que compran con un propósito ajeno a su actividad comercial, empresa, oficio o profesión. Se añade al resto de esta política y, cuando entra en conflicto con ella, prevalece.

• Le pedimos menos información de facturación. Para una compra hecha por un consumidor necesitamos su nombre y su dirección de facturación. No pedimos un número de identificación a efectos del IVA.
• No pedimos ni conservamos su código numérico personal rumano (CNP). La factura se emite con su nombre y su dirección. Cuando el sistema e-Factura exige un código del beneficiario y usted no se identifica con un código fiscal, se usa el código genérico previsto en las especificaciones técnicas de la ANAF. Es una decisión deliberada, para reducir al mínimo la recogida de datos.
• Conservamos el registro de sus derechos de desistimiento. Conservamos el registro de la solicitud expresa de ejecución inmediata y de la toma de conocimiento que usted manifestó al formalizar la compra, y el registro de cualquier declaración de desistimiento que nos envíe, porque la ley nos obliga a poder demostrar que se facilitó la información. Ese registro sigue el periodo de conservación contable.
• Reembolsos. Si desiste dentro de los 14 días siguientes a la compra, tramitamos el reembolso de los créditos que no haya consumido. Los datos personales usados para esa operación (datos de compra, identificador de la transacción, identificador del reembolso) se tratan para ejecutar el contrato, artículo 6, apartado 1, letra b), del RGPD, y la nota de crédito que sigue queda dentro de las obligaciones contables del artículo 7.2.
• Reclamaciones. Puede presentar una reclamación ante la ANSPDCP rumana o ante la autoridad de control del país en el que vive.

23. Cookies y almacenamiento local

La plataforma usa en su dispositivo únicamente almacenamiento técnico estrictamente necesario: el token de sesión que le mantiene con la sesión iniciada, su dirección de correo electrónico y su denominación social para que la interfaz pueda mostrarlas sin una petición adicional, el registro de que usted ha visto los avisos legales, y preferencias como el idioma, el tema y el modo en que se muestra su archivo. La única excepción depende de usted: si aceptó el píxel de Meta en nuestro sitio web, nuestra página de registro lee esa respuesta y carga el píxel, que entonces almacena en su dispositivo lo que se describe más abajo (artículo 7.14).

Cinco de esos elementos son cookies, y las instalamos nosotros:

PIFBuilder también recoge la cookie que instala, y lo que guarda en el almacenamiento local del navegador, en su propia política de privacidad.

Otras tres cookies tienen que ver con el píxel de Meta (artículo 7.14). La primera la instala nuestro sitio web cuando usted responde a su ventana, y la lee nuestra página de registro; las otras dos las instala el píxel de Meta, en nuestro dominio, solo si usted aceptó:

Con cada paso, su navegador puede enviar a Meta también las cookies que Meta guarda en facebook.com, y así es como Meta reconoce su cuenta. El píxel de Meta también puede escribir algunas entradas en el almacenamiento local del navegador en nuestro dominio, por ejemplo `lastExternalReferrer`, que anota si llegó desde Facebook, desde Instagram o desde otro sitio. Si retira su consentimiento, el píxel se detiene y `_fbp` y `_fbc` se borran; esas entradas del almacenamiento local ya no se leen ni se envían, y desaparecen si borra los datos del sitio.

Nuestro proveedor de infraestructura hoy no instala ninguna, y no lo hemos dado por supuesto: lo hemos medido. El 23 de agosto de 2026 abrimos con un navegador real las cuatro superficies públicas (la aplicación LabelCheck, su página de presentación, ExpertDesk y el sitio web) y contamos las cookies presentes: cero, en las cuatro. Si algún día activamos una función de Cloudflare que instale alguna, esta tabla lo dirá antes de que ocurra.

En el almacenamiento local del navegador, que no es una cookie y no viaja con las solicitudes, guardamos el token que le mantiene con la sesión iniciada en la aplicación, su dirección de correo electrónico, su denominación social, su idioma y su tema. Desaparece si borra los datos del sitio. En cosmetiLEARN solo guardamos ahí su idioma, su tema y dónde prefiere tener el asistente, junto a la página o en un panel: nunca nada de lo que usted haya escrito, ni la conversación.

Aparte del píxel de Meta, que solo funciona con su consentimiento como se describe más arriba, no usamos cookies publicitarias, ni analítica de terceros, ni seguimiento entre sitios web; la campaña indicada en un enlace que usted siga solo se registra como se describe en el artículo 5.1. Las cookies propias de la plataforma son estrictamente necesarias y están exentas de consentimiento conforme al artículo 4, apartado 6, de la Ley rumana n.º 506/2004, y por eso la plataforma no muestra un banner de cookies propio: la única elección que hay que hacer es sobre el píxel de Meta, y usted la hace en nuestro sitio web, donde puede cambiarla en cualquier momento desde Configuración de cookies, al pie de cada página. Esta conclusión se mantiene solo mientras la primera de las tablas anteriores no contenga nada que vaya más allá de lo estrictamente necesario.

La página de pago está alojada por Stripe en el dominio de Stripe. Cualquier almacenamiento o lectura de información en su dispositivo que ocurra en esa página la realiza Stripe conforme a su propia política de privacidad, y queda fuera de nuestras páginas.

24. Modificaciones de esta política

Si modificamos esta política, actualizamos la fecha que figura arriba y, para las modificaciones sustanciales, se lo comunicamos dentro de la plataforma. Cuando una modificación afecta a una nueva finalidad o a un nuevo destinatario, le informamos antes de que ese tratamiento comience, no después. El conocimiento derivado (artículo 19) se aplica solo a los datos generados a partir del 3 de octubre de 2026.

Esta política, en la versión vigente en cada momento, se aplica a toda compra realizada en la plataforma.

La versión inglesa de esta política es la versión de referencia y prevalece en caso de divergencia entre las versiones. Para los consumidores rige la precisión recogida al principio del documento.

Nicodemo & Signa Company Srl · Strada Lucian Blaga nr. 21, ap. 16, 310023 Arad, Rumanía · CUI RO15617609 · Reg. J02/809/2003 · info@cosmetifull.com

Condiciones generales

Contrato de encargo del tratamiento de cosmetiFULL