Política de privacidad
La versión alemana de esta política de privacidad es la jurídicamente vinculante. Este texto en español se ofrece a título informativo.
1. Responsable
El responsable del tratamiento de datos en este sitio web es:
Fantastisch — Ana Belen Alvarez Ramirez (artista autónoma), Gehestr. 8, 01127 Dresde, Alemania. Correo: info@fantastisch.mx.
2. Información general
Nos tomamos en serio la protección de sus datos personales y los tratamos únicamente conforme al RGPD y a esta política. Seguimos el principio de minimización de datos: recopilamos solo lo necesario para operar este sitio web y responder a sus consultas. Este sitio no muestra ningún banner de cookies, porque en una carga normal de página no se ejecuta ninguna tecnología que requiera consentimiento — véase la sección 5.
3. Alojamiento (Cloudflare)
Este sitio web se aloja en Cloudflare Pages; Cloudflare también proporciona nuestro DNS y CDN. Proveedor: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, EE. UU. (con establecimiento en la UE, Cloudflare Germany GmbH). Al visitar el sitio, Cloudflare trata datos de acceso en archivos de registro del servidor (véase la sección 4). La base jurídica es nuestro interés legítimo en una presentación segura, estable y eficiente del sitio (Art. 6 (1) (f) RGPD). Existe un contrato de encargo del tratamiento; las transferencias a EE. UU. se protegen mediante el Marco de Privacidad de Datos UE-EE. UU. y, de forma complementaria, mediante cláusulas contractuales tipo de la UE (véase la sección 17). Política de privacidad: cloudflare.com/privacypolicy.
4. Archivos de registro del servidor
Nuestro proveedor de alojamiento recopila y almacena automáticamente información en archivos de registro que su navegador transmite: tipo y versión del navegador, sistema operativo, URL de referencia, nombre de host del dispositivo, hora de la solicitud y dirección IP. Estos datos no se combinan con otras fuentes y se utilizan únicamente para entregar el sitio y garantizar su seguridad y estabilidad. La base jurídica es el Art. 6 (1) (f) RGPD. Cloudflare suele conservar estos datos unos 30 días.
5. Cookies y tecnologías similares
Limitamos el almacenamiento en su dispositivo al mínimo imprescindible:
fantastisch.lang—localStoragepropio, recuerda su preferencia de idioma. Estrictamente necesaria para la función que solicitó; no requiere consentimiento.__cf_bm— una cookie de Cloudflare para la gestión de bots, con una duración de aprox. 30 minutos; una medida de seguridad exenta de consentimiento.- Stripe carga su script (Stripe.js) únicamente en nuestra propia página de pago
/checkout, a la que solo se llega al hacer clic deliberadamente en «Continuar al pago». En cuanto esa página carga, Stripe establece las cookies__stripe_midy__stripe_siden fantastisch.mx para la detección de fraude durante el pago. La base jurídica es el consentimiento otorgado con ese clic (Art. 6 (1) (a) RGPD), el mismo enfoque que empleamos para el mapa (sección 10).
Dado que en la carga estándar de la página no se ejecuta ninguna tecnología que requiera consentimiento, no mostramos banner de consentimiento (§ 25 (2) TDDDG). Los contenidos interactivos de terceros (mapas, posibles vídeos futuros) se cargan solo tras un clic explícito — véanse las secciones 10 y 11.
6. Analítica web (Cloudflare Web Analytics)
Utilizamos Cloudflare Web Analytics para contar las visitas de páginas. Es un método sin cookies, no usa fingerprinting, no almacena datos personales ni identificadores entre sitios o dispositivos y solo ofrece cifras agregadas; los datos técnicos como su dirección IP se tratan solo de forma transitoria para realizar la medición. La base jurídica es nuestro interés legítimo en una medición de audiencia respetuosa con la privacidad (Art. 6 (1) (f) RGPD).
7. Protección anti-bots (Cloudflare Turnstile)
En la página de contacto y en nuestros formularios de desistimiento y de cancelación (sección 18) utilizamos Cloudflare Turnstile en modo «gestionado» para proteger dichos formularios frente al abuso automatizado. En las demás páginas no se carga Turnstile. En los formularios de desistimiento y de cancelación solo se carga si JavaScript está activo; sin JavaScript el formulario sigue siendo utilizable sin él. Turnstile no establece cookies mientras no se active un desafío y no utiliza cookies de seguimiento. El tratamiento responde a nuestro interés legítimo en la seguridad e integridad de estos canales de formulario (Art. 6 (1) (f) RGPD); en la medida en que protege una consulta relacionada con un contrato, también se apoya en el Art. 6 (1) (b). Las transferencias a EE. UU. están cubiertas por el Marco de Privacidad de Datos UE-EE. UU. y, de forma complementaria, por cláusulas contractuales tipo (véase la sección 17).
8. Formulario de contacto
Cuando utiliza nuestro formulario de contacto tratamos los campos que introduce — nombre, dirección de correo, asunto elegido, mensaje — junto con el idioma del sitio. El envío viaja desde su navegador a una Cloudflare Pages Function, luego a nuestro propio servidor de correo (véase la sección 13), que lo reenvía mediante Zoho SMTP a un buzón del tipo info+<asunto>@fantastisch.mx. Usamos estos datos únicamente para gestionar su consulta. La base jurídica es el Art. 6 (1) (b) RGPD para consultas relativas a un contrato o su preparación, y en los demás casos nuestro interés legítimo en responder a su mensaje (Art. 6 (1) (f) RGPD). La Pages Function no registra el contenido del mensaje. Su mensaje permanece en el buzón hasta que se resuelve su solicitud, sin perjuicio de los plazos legales de conservación.
9. Pagos (Stripe Checkout)
Nuestra tienda usa Stripe Checkout con pago integrado en nuestra propia página de pago (/checkout, «Stripe Elements»). Los precios de los productos se cargan desde nuestro propio endpoint /api/prices, de modo que mientras navega no se realiza ninguna solicitud a Stripe. Al hacer clic en «Continuar al pago» en un producto, llega a nuestra página de pago; allí se carga Stripe.js (véase la sección 5) y nuestro propio endpoint /api/checkout crea una sesión de Stripe Checkout en el servidor. Los datos de pago y, en su caso, los de envío se introducen directamente en esta página — dentro de iframes incrustados proporcionados por Stripe (el Payment Element y el Address Element), que Stripe opera de forma técnicamente aislada de nuestro sitio web; al pagar con tarjeta no hay redirección a ningún dominio de Stripe. Nunca vemos los datos de su tarjeta — llegan únicamente a Stripe. Con los métodos de pago PayPal, Klarna e iDEAL se le redirige a un sitio ajeno para completar el pago y después se le devuelve a nuestra página (véase más abajo). Tras confirmar el pago, nuestro servidor consulta a Stripe si se realizó correctamente y, a continuación, se le lleva de vuelta a la página desde la que inició la compra, donde se muestra una confirmación. Proveedores: Stripe Payments Europe, Ltd. (Irlanda) y Stripe, Inc. (EE. UU.); la transferencia a EE. UU. está cubierta por el Marco de Privacidad de Datos UE-EE. UU. y, de forma complementaria, por cláusulas contractuales tipo (véase la sección 17). La base jurídica es la ejecución de un contrato (Art. 6 (1) (b) RGPD).
Si elige Klarna, se le redirige al sitio de Klarna para completar el pago. El proveedor es Klarna Bank AB (publ), Sveavägen 46, 111 34 Estocolmo, Suecia. Los datos necesarios para el pago — su nombre, su dirección de correo electrónico, su dirección de facturación y, en su caso, de entrega, el importe del pedido y los detalles del pedido — se transmiten a Klarna a través de Stripe; con la redirección, Klarna recibe además su dirección IP. La base jurídica es la ejecución del contrato (Art. 6 (1) (b) RGPD). Qué opciones de pago le muestra Klarna — por ejemplo pagar ahora o pagar más tarde — lo decide Klarna, en función del país, el importe y el pedido; nosotros no podemos fijarlas ni limitarlas. Cuando Klarna adelanta el importe, realiza sus propias comprobaciones de identidad y de solvencia para prevenir el fraude y gestionar el riesgo, y puede recurrir para ello a agencias de información crediticia. Respecto de esas comprobaciones, Klarna actúa como responsable propio; la base jurídica es el interés legítimo en la seguridad del pago y en la protección frente a impagos (Art. 6 (1) (f) RGPD). Más información en la política de privacidad de Klarna: klarna.com/de/datenschutz.
Si elige iDEAL, selecciona su banco y se le redirige al sitio de su banco para autorizar el pago; el pago se tramita a través de Stripe. Se transmiten los datos necesarios para la transferencia, en particular el importe y una referencia de pago; de su banco, Stripe recibe una confirmación de pago con su nombre y las últimas cifras de su IBAN. La base jurídica es la ejecución del contrato (Art. 6 (1) (b) RGPD).
Si elige PayPal, se le redirige al sitio de PayPal para completar el pago e inicia sesión allí en su cuenta de PayPal. El proveedor es PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburgo. Los datos necesarios para el pago — su nombre, su dirección de correo electrónico, su dirección de facturación y, en su caso, de entrega, el importe del pedido y los detalles del pedido — se transmiten a PayPal a través de Stripe; con la redirección, PayPal recibe además su dirección IP. La base jurídica es la ejecución del contrato (Art. 6 (1) (b) RGPD). Además, PayPal trata sus datos como responsable propio, en particular para la prevención del fraude, para cumplir sus propias obligaciones legales y en el marco de la Protección del comprador de PayPal; nosotros no tenemos influencia sobre ello. Al estar PayPal establecida en Luxemburgo, a este respecto no se produce ninguna transferencia a un tercer país. Más información en la política de privacidad de PayPal: paypal.com/de/webapps/mpp/ua/privacy-full.
Conforme al § 19 UStG, en el pago no se desglosa el IVA. Las reservas de talleres recopilan solo los datos de la persona que paga; no recopilamos datos de asistentes por separado en línea, tampoco datos sobre los niños que puedan asistir. Al reservar, puede dejarnos opcionalmente un mensaje breve en un campo de texto libre. Es voluntario y no es necesario para la reserva; usted decide qué escribe, y le pedimos que comparta únicamente lo que sea relevante para ella. Su mensaje se almacena junto con la reserva en Stripe y llega al mismo buzón de pedidos que el resto de los datos del pedido. Tras un pago exitoso, el webhook de Stripe también informa a nuestros propios sistemas sobre el pedido — producto, precio, cantidad, cualquier opción de fabricación que haya elegido, cualquier mensaje que nos haya dejado, su nombre y correo electrónico y, en los artículos que se envían, su dirección de entrega —, que reenviamos a través de nuestro propio servidor de correo (véase la sección 13) a un buzón de pedidos en fantastisch.mx para poder gestionar su pedido. Esa copia se conserva conforme a las reglas de la sección 16. Política de privacidad de Stripe: stripe.com/privacy.
Tras un pago exitoso le enviamos además una confirmación del pedido a la dirección de correo electrónico que indicó en el pago. Estamos obligados por ley a hacerlo: el § 312f Abs. 2 BGB exige una confirmación del contrato en un soporte duradero. El correo contiene los datos de su pedido y la información al consumidor exigida por la ley, incluida la información sobre el derecho de desistimiento, y está redactado en el idioma en el que usted usó la tienda. Se envía a través de nuestro propio servidor de correo (sección 13) y de Zoho (sección 12); no hay otros destinatarios. La base jurídica es el cumplimiento de esa obligación legal (Art. 6 (1) (c) RGPD).
10. Mapas incrustados (OpenStreetMap)
En las páginas de eventos ofrecemos un mapa interactivo que se carga solo al hacer clic («click-to-load»). Hasta que hace clic, no se establece ninguna conexión con un proveedor de mapas. Al hacer clic, las teselas del mapa se cargan desde tile.openstreetmap.org y su dirección IP se transmite, por necesidad técnica, a la OpenStreetMap Foundation (Reino Unido). La base jurídica es su consentimiento, otorgado al hacer clic (Art. 6 (1) (a) RGPD). Política de privacidad: osmfoundation.org/wiki/Privacy_Policy.
11. Vídeos incrustados
Este sitio web no incrusta actualmente ningún vídeo de terceros. Si los añadimos más adelante, usarán el mismo patrón de click-to-load y un dominio sin cookies (p. ej. youtube-nocookie.com o Vimeo), y esta política se actualizará en consecuencia.
12. Alojamiento de correo (Zoho)
Utilizamos Zoho para operar nuestros buzones. Proveedor: Zoho Corporation B.V. (UE). El correo se trata en servidores de la UE y existe un contrato de encargo del tratamiento. El tratamiento responde a nuestro interés legítimo en operar un canal de correo funcional y, en la correspondencia relacionada con contratos, a la ejecución de un contrato (Art. 6 (1) (f) y (b) RGPD). Política de privacidad: zoho.com/privacy.
13. Servidor de correo propio
Los envíos del formulario de contacto (sección 8) y las notificaciones de pedido tras un pago exitoso (sección 9) los procesa primero nuestro propio servidor (una máquina virtual en Oracle Cloud en una región de la UE) y después se envían mediante Zoho SMTP. No interviene ningún relé de correo de terceros. Se trata de infraestructura que operamos nosotros mismos.
14. Fuentes autoalojadas
Todas las fuentes se sirven localmente desde nuestro propio servidor (mediante Fontsource). No existe conexión con Google Fonts ni con ningún otro servicio de fuentes de terceros, y no se transfieren datos a terceros con fines tipográficos.
15. Sus derechos
Conforme al RGPD, usted tiene derecho de acceso (Art. 15), rectificación (Art. 16), supresión (Art. 17), limitación del tratamiento (Art. 18) y portabilidad de los datos (Art. 20). Cuando el tratamiento se base en el consentimiento, puede retirarlo en cualquier momento con efecto para el futuro (Art. 7 (3)). Para ejercer estos derechos, escríbanos a info@fantastisch.mx.
Derecho de oposición (Art. 21 RGPD): en la medida en que tratemos sus datos personales sobre la base de nuestro interés legítimo (Art. 6 (1) (f) RGPD), usted tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular. En tal caso dejaremos de tratar los datos afectados, salvo que podamos acreditar motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones. También tiene derecho a presentar una reclamación ante una autoridad de control; la autoridad competente para nosotros es el Comisionado de Protección de Datos de Sajonia (Der Sächsische Datenschutzbeauftragte), Dresde — datenschutz.sachsen.de.
No utilizamos sus datos personales para decisiones automatizadas ni para la elaboración de perfiles en el sentido del Art. 22 RGPD.
16. Conservación
Conservamos los datos personales solo el tiempo necesario para los fines descritos aquí o exigido por la ley. Los archivos de registro del servidor se conservan unos 30 días. Las consultas de contacto se conservan hasta que se resuelve su solicitud; cuando la correspondencia se refiere a una operación mercantil o fiscalmente relevante, pueden aplicarse plazos legales de conservación: seis años para la correspondencia comercial (§ 147 (1) n.os 2, 3, 5 AO) u ocho años para los justificantes contables (§ 147 (1) n.º 4 AO, en su redacción dada por la BEG IV). Las notificaciones de pedido en nuestro propio buzón (sección 9) se conservan el tiempo que necesitemos para gestionar y contabilizar el pedido; al referirse a una operación mercantil, se les aplican por lo general los plazos legales de conservación indicados arriba. Los datos de pedido y pago que conserva Stripe se conservan conforme a las exigencias de Stripe y a la legislación aplicable.
17. Transferencias a terceros países
Algunos encargados del tratamiento tienen su sede en EE. UU. o transfieren datos allí (Cloudflare y Stripe, Inc.). Dichas transferencias se realizan sobre la base del Marco de Privacidad de Datos UE-EE. UU. —bajo el cual están certificadas tanto Cloudflare como Stripe— y, de forma complementaria, de cláusulas contractuales tipo de la UE, para garantizar un nivel de protección adecuado. Si carga el mapa interactivo (sección 10), su dirección IP se transmite a la OpenStreetMap Foundation en el Reino Unido; esta transferencia está cubierta por la decisión de adecuación de la Comisión Europea para el Reino Unido.
18. Formulario de desistimiento
Cuando utiliza nuestra función de desistimiento en línea (los formularios «Desistir del contrato» y de cancelación de talleres), tratamos los datos que introduce: un número de pedido o de recibo o, en su defecto, una descripción del bien o servicio, la fecha de pedido y —en bienes— de recepción o, en talleres, la fecha del evento, su nombre, en bienes un domicilio postal opcional, su dirección de correo electrónico y un eventual mensaje de texto libre. El envío viaja desde su navegador a una Cloudflare Pages Function, que lo almacena en una base de datos en Cloudflare (Cloudflare es nuestro encargado del tratamiento, véase la sección 3) y, a través de nuestro propio servidor de correo (sección 13) y de Zoho (sección 12), envía un acuse de recibo a su dirección de correo y una copia interna a nuestro buzón de pedidos. Usamos estos datos para tramitar su desistimiento o cancelación y para cumplir nuestra obligación legal de confirmar la recepción. Las bases jurídicas son la ejecución de un contrato o el desistimiento del mismo (Art. 6 (1) (b) RGPD) y el cumplimiento de nuestras obligaciones legales conforme al § 356a BGB y a la normativa fiscal (Art. 6 (1) (c) RGPD). La conservación de tres años para la defensa frente a posibles reclamaciones (§§ 195, 199 BGB) se basa en nuestro interés legítimo en la defensa de reclamaciones jurídicas (Art. 6 (1) (f) RGPD).
Conservamos este registro con arreglo a dos plazos, aplicados de forma manual: el texto libre y los datos para la defensa frente a reclamaciones se eliminan tres años después del final del año de la declaración (§§ 195, 199 BGB); los campos fiscalmente relevantes (nombre, identificación del contrato y la fecha y hora de la declaración) se conservan seis años (§ 147 (1) n.os 2, 3, 5 AO). Cualquier transferencia a EE. UU. derivada de la intervención de Cloudflare está protegida como se describe en la sección 17. Las copias en el buzón se tratan como correspondencia conforme a la sección 16.
19. Estado de esta política
Esta política tiene fecha de 6 de septiembre de 2026. La revisamos periódicamente y la actualizamos cuando cambian nuestros tratamientos o los servicios que utilizamos.