Información de la cuenta: nombre, dirección de correo electrónico, número de teléfono, nombre de la empresa, datos de registro mercantil y credenciales de inicio de sesión cuando usted crea una cuenta QrX.

Datos de transacciones: importes de pago, estado del pago, referencias de pedido, direcciones de entrega, eventos de escaneo de códigos QR y confirmaciones de pago tratados a través de nuestra plataforma.

Información financiera: datos de la cuenta bancaria (IBAN), direcciones de facturación, datos de facturación e información de liquidación de pagos necesarios para procesar las transacciones.

Datos técnicos: dirección IP, tipo de navegador, identificadores del dispositivo, sistema operativo, resolución de pantalla y datos analíticos de uso recopilados automáticamente cuando usted accede a nuestros Servicios.

Datos de comunicación: mensajes, solicitudes de soporte, comentarios y correspondencia intercambiados con nuestro equipo.

Datos de entrega: información del transportista, números de seguimiento, actualizaciones del estado de la entrega y comprobantes de entrega relacionados con los flujos de QrX On Delivery.

Datos de destinatarios de comercios (función de encargado del tratamiento): nombre, dirección, correo electrónico, teléfono, referencia de pedido, estado del paquete y del pago de los clientes de un comercio, tratados únicamente para prestar los Servicios solicitados por el comercio.

Para prestar y operar nuestros servicios de pago, incluida la generación de códigos QR, el procesamiento de pagos, la coordinación de entregas y el seguimiento de transacciones en tiempo real.

Para verificar su identidad, autenticar su cuenta y mantener la seguridad de nuestra plataforma mediante medidas de detección y prevención del fraude.

Para comunicarnos con usted sobre su cuenta, sus transacciones y las actualizaciones del servicio, y para responder a sus solicitudes de soporte.

Para procesar liquidaciones, generar facturas y gestionar la facturación de conformidad con su contrato de comercio.

Para mejorar el rendimiento de nuestra plataforma, desarrollar nuevas funciones y analizar patrones de uso con el fin de mejorar la experiencia del usuario.

Para cumplir las obligaciones legales, incluidas las declaraciones fiscales, la normativa de prevención del blanqueo de capitales y los requisitos de conservación de registros financieros conforme al derecho neerlandés y de la UE.

Ejecución de un contrato: tratamiento necesario para prestar nuestros Servicios a comercios, transportistas y clientes, incluida la gestión de cuentas y el procesamiento de pagos.

Intereses legítimos: tratamiento necesario para la prevención del fraude, la seguridad de la plataforma, la mejora del servicio y el análisis empresarial, siempre que sobre dichos intereses no prevalezcan sus derechos.

Obligaciones legales: tratamiento necesario para cumplir la legislación tributaria neerlandesa, la normativa financiera, la legislación de prevención del blanqueo de capitales y otros requisitos legales obligatorios.

Consentimiento: cuando nos basamos en su consentimiento explícito, por ejemplo para comunicaciones de marketing o cookies analíticas opcionales. Usted puede retirar su consentimiento en cualquier momento.

Instrucciones del encargado del tratamiento: cuando QrX actúa como encargado del tratamiento, tratamos los datos de los destinatarios siguiendo las instrucciones documentadas del comercio y sobre las bases jurídicas que dicho comercio determine como responsable del tratamiento.

Proveedores de servicios de pago: Stripe, Mollie y MultiSafePay procesan los pagos. Cada proveedor de servicios de pago actúa como responsable del tratamiento independiente o como encargado del tratamiento, según el flujo de pago y sus propias condiciones.

Socios de entrega: transportistas como UPS, GLS y Peddler reciben los datos de entrega y de pago necesarios para coordinar las operaciones de QrX On Delivery.

Infraestructura en la nube: alojamos los Servicios en Google Cloud (incluido Cloud Run) en el Espacio Económico Europeo, junto con los servicios de Google relacionados necesarios para el funcionamiento de la plataforma. Cloudflare proporciona infraestructura, distribución de contenidos y almacenamiento de archivos.

Proveedores de comunicaciones: Bird (SMS y WhatsApp), SendGrid (correo electrónico) y Firebase (notificaciones push) tratan los datos de contacto para entregar los mensajes transaccionales.

Análisis y supervisión: Sentry para el seguimiento de errores, Microsoft Clarity para la analítica y la información de sesiones del sitio web y de las páginas de pago para consumidores, e Intercom para la atención al cliente, cada uno vinculado por un acuerdo de tratamiento de datos.

Autoridades públicas: comunicamos datos cuando así lo exige el derecho neerlandés o de la UE, una orden judicial vinculante o una autoridad de control competente.

Google Cloud y Firebase: alojamiento, almacenamiento, entorno de ejecución de aplicaciones y notificaciones push.

Cloudflare: infraestructura, distribución de contenidos y almacenamiento de archivos.

Stripe, Mollie y MultiSafePay: cobro y liquidación de pagos.

Bird (MessageBird): SMS, WhatsApp y mensajería relacionada utilizados para la entrega de códigos PIN y los avisos transaccionales.

SendGrid: envío de correos electrónicos transaccionales.

UPS y otros transportistas seleccionados para un envío: nombre, dirección y datos del paquete necesarios para transportar el pedido.

Sentry (supervisión de errores), Microsoft Clarity (analítica e información de sesiones del sitio web y de las páginas de pago para consumidores) e Intercom (atención al cliente): cada uno vinculado por un acuerdo de tratamiento de datos.

Datos operativos y archivos de titularidad exclusiva: se eliminan sin demora indebida durante una eliminación de cliente confirmada, una vez que ya no son necesarios, sin ningún periodo de espera estándar adicional. Una obligación pendiente solo justifica conservar las pruebas necesarias, no la cuenta completa.

Registros fiscales necesarios de QrX: 7 años desde el inicio legal aplicable; 10 años solo para una categoría aplicable de mayor duración, como los registros OSS/IOSS o de bienes inmuebles. Para la administración fiscal neerlandesa, el plazo comienza cuando los datos pierden su relevancia actual. El cierre de una cuenta no lo reinicia. Esto no se aplica automáticamente a cada detalle de transacción o archivo.

Correo electrónico ordinario y registros técnicos: como máximo 30 días desde el registro original. Los registros de clientes innecesarios que puedan atribuirse de forma fiable se eliminan antes durante la eliminación del cliente. Los eventos posteriores no reinician el plazo del mensaje original.

Registros de seguridad y de acceso necesarios: como máximo 90 días desde el evento. Los registros mínimos de rendición de cuentas de las eliminaciones se conservan como máximo 24 meses tras su finalización, limitados a las referencias necesarias, el autor, la versión de la política, los recuentos y los resultados, sin copia del contenido eliminado.

Copias de seguridad de recuperación ante desastres de acceso restringido: como máximo 190 días desde la creación del archivo, con un borrado selectivo anterior cuando sea posible hacerlo de forma segura. Antes de que los datos restaurados se pongan a disposición, las eliminaciones anteriores se vuelven a aplicar utilizando el registro de eliminaciones independiente vigente.

Facturas, documentos de liquidación y pruebas necesarias: siguen el plazo del registro subyacente. La demás correspondencia y los demás archivos se clasifican según su finalidad; de este calendario no se deriva ninguna conservación indefinida.

Derecho de acceso: solicitar una copia de los datos personales que conservamos sobre usted.

Derecho de rectificación: solicitar la corrección de datos personales inexactos o incompletos.

Derecho de supresión: solicitar la eliminación de sus datos personales cuando no exista ningún motivo imperioso para continuar con el tratamiento ("derecho al olvido").

Derecho a la limitación: solicitar que limitemos el tratamiento de sus datos en determinadas circunstancias.

Derecho a la portabilidad de los datos: recibir sus datos personales en un formato estructurado y de lectura mecánica y transmitirlos a otro responsable del tratamiento.

Derecho de oposición: oponerse al tratamiento basado en intereses legítimos, incluida la mercadotecnia directa.

Derecho a retirar el consentimiento: cuando el tratamiento se base en el consentimiento, retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento anterior.

Derecho a presentar una reclamación: usted puede presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de la UE en el que tenga su residencia habitual o su lugar de trabajo, o en el que se haya producido la supuesta infracción.