Política de privacidad

Versión 2026-10-05

Responsable del tratamiento. Unworn i.o., pendiente de inscripción, Cámara de Comercio pendiente de inscripción, que opera la plataforma con el nombre Unworn. Unworn i.o. es una sociedad en constitución. Sus founders actúan como sus representantes y la sociedad ratifica esta política al constituirse.

Contacto de privacidad. [email protected]

Idioma. Esta política existe en neerlandés, inglés, alemán, francés, español e italiano. Todas las versiones dicen lo mismo.

1. Quiénes somos

1.1 Unworn es una plataforma para empresas del sector de la moda. Una marca la utiliza para analizar sus propios datos de stock y decidir qué hacer con el stock que no se vende. Compradores profesionales verificados realizan bids sobre las ofertas que publica una marca. Nosotros proporcionamos el software, el análisis y el mercado. Nunca somos propietarios ni custodios de mercancías y nunca custodiamos dinero: la venta se celebra entre vendedor y comprador, y el pago se realiza a una entidad de pago autorizada o directamente al vendedor.

1.2 Esta política explica qué datos personales tratamos como responsable del tratamiento, por qué, quién los recibe, cuánto tiempo los conservamos y cuáles son sus derechos. Abarca los portales, el sitio web de marketing, la lista de espera y nuestro correo de soporte. No abarca los datos que una marca conecta para su propio análisis, que tratamos como encargado del tratamiento de la marca (sección 3), ni lo que la entidad de pago hace por cuenta propia conforme a su propia política de privacidad.

1.3 La plataforma está destinada exclusivamente a empresas. Las personas cuyos datos tratamos trabajan para esas empresas o visitan nuestro sitio web.

2. De quién son los datos y qué datos

2.1 Usuarios

Cuando usted se registra, o cuando el titular de su organización le invita, tratamos su nombre y apellidos, dirección de correo profesional, número de teléfono, contraseña (almacenada como hash, nunca en texto claro), configuración regional, la versión de las condiciones y de esta política que aceptó y cuándo, así como la dirección IP y la hora de cada inicio de sesión. Su número de teléfono existe para que la otra parte o nosotros podamos contactar con usted en caso de disputa.

2.2 Contactos de la organización

De cada organización conservamos su denominación legal, dirección, país, número de la Cámara de Comercio, número de IVA y los nombres y datos de contacto de las personas que la representan. En el caso de un vendedor, también el IBAN que figura en su mandato de facturación. En el caso de un empresario individual, estos datos también son datos personales.

2.3 Verificación de compradores

Un comprador presenta una solicitud antes de ser admitido. Tratamos los datos de la empresa, el número de IVA y la respuesta del registro europeo VIES, el resultado de una comprobación de la empresa y de sus titulares reales frente a las listas de sanciones de la UE, la ONU, el Reino Unido y los Estados Unidos, las pruebas de los canales a través de los cuales vende el comprador y la descripción que el comprador redactó con sus propias palabras. Una persona de nuestro equipo lee la solicitud y determina el resultado. Ese resultado, una clasificación interna que decide qué ofertas puede ver un comprador, y el motivo registrado se conservan junto con la solicitud. La clasificación nunca se divulga (sección 8.5).

2.4 Transacciones y liquidación

Cuando un vendedor acepta un bid, tratamos lo que requieren la liquidación y la entrega: la orden de compra, la factura de venta que emitimos en nombre del vendedor, nuestras facturas de comisión, el estado del pago que nos comunica la entidad de pago, la instrucción de liberación, la lista de embalaje, las fotos de carga, el informe de recepción, el informe de destino cuando la oferta lo exige, y cada mensaje y archivo adjunto de un hilo de disputa. Tras la aceptación, vendedor y comprador reciben los datos de contacto del otro (sección 5). Nunca recibimos datos de tarjeta ni bancarios de un comprador: un comprador paga a la entidad de pago, o directamente al vendedor, nunca a nosotros.

2.5 Registros de decisiones y registros de actividad

Por cada recomendación que el motor hace a una marca, redactamos un registro de decisión y una narración en frases. En ellos figuran la organización, el stock, el resultado y quién lo confirmó, nunca un comprador. El registro de auditoría recoge cada cambio de estado en la plataforma y cada decisión manual que adopta un usuario interno, con el motivo que esa persona escribió, incluida cada ocasión en que alguien de nuestro equipo consulta un reserve. Ambos son de solo adición: ninguna fila puede modificarse una vez escrita. En las llamadas a un modelo de lenguaje conservamos un hash de la entrada y la propuesta devuelta, nunca la entrada en sí. La monitorización de errores recibe su id de usuario y su id de organización como identificadores opacos, nunca su nombre ni su dirección de correo (sección 5.1).

2.6 Lista de espera y visitantes del sitio web

Si usted se inscribe en la lista de espera, conservamos la dirección de correo que facilitó y los datos que añadió. Si visita el sitio web de marketing, tratamos su dirección IP, tipo de navegador y las páginas que solicita, para servir las páginas y mantener la seguridad del sitio. Las cookies se tratan en la sección 9.

2.7 Soporte

Si usted escribe a [email protected], conservamos su mensaje, su dirección y nuestra respuesta.

3. Datos que tratamos para una marca como encargado del tratamiento

Una marca conecta o carga sus propios datos para el análisis que realiza sobre ellos: pedidos, stock, precios y datos de producto procedentes de Shopify, un ERP, un sistema de almacén o un archivo CSV o XLSX. Los clientes que figuran en esos datos nos llegan únicamente como identificadores seudonimizados, nunca como nombres o direcciones. Respecto de estos datos, la marca es la responsable del tratamiento y nosotros somos su encargado. Se rigen por el acuerdo de tratamiento de datos (documento 04): qué podemos hacer con ellos, qué subencargados acceden a ellos, cómo ejerce sus derechos un cliente de una marca a través de la marca y qué ocurre cuando finaliza la conexión. Un cliente de una marca se dirige a la marca; nosotros ayudamos a la marca a responder.

4. Finalidades y bases jurídicas

Finalidad	Datos	Base jurídica
Gestión de su cuenta y de la plataforma, correo sobre la plataforma	Usuarios, contactos de la organización	Ejecución del contrato con su organización
Verificación de compradores, comprobaciones de sanciones y de IVA	Verificación de compradores	Obligación legal (normativa de sanciones y de IVA) y nuestro interés legítimo en un mercado que solo admite compradores verificados
Liquidación, entrega, informes de recepción, disputas	Transacciones y liquidación	Ejecución del contrato; la entidad de pago es responsable independiente del pago y de sus propias comprobaciones de clientes
Registros de decisiones, registro de auditoría, facturas	Registros de decisiones y registros de actividad, transacciones	Obligación legal (la obligación de documentación de la UE sobre textiles no vendidos, conservación fiscal) y nuestro interés legítimo en disponer de pruebas para disputas
Propuestas de un modelo de lenguaje	Sección 5.2	Ejecución del contrato; una persona confirma cada propuesta
Monitorización de errores	Identificadores opacos, datos técnicos de errores	Interés legítimo en una plataforma que funcione
Correo de marketing a clientes potenciales y a la lista de espera	Lista de espera, clientes potenciales	Consentimiento o, para clientes existentes, la regla de exclusión voluntaria para servicios similares, siempre con un enlace para darse de baja
Analítica y publicidad en el sitio web de marketing y en los portales	Cookies, sección 9	Consentimiento a través del banner de cookies
Servicio y seguridad del sitio web de marketing	Visitantes del sitio web	Interés legítimo en un sitio web que funcione y sea seguro
Respuesta a solicitudes de soporte	Soporte	Ejecución del contrato, o nuestro interés legítimo en responderle
Respuesta a una autoridad	Lo que la autoridad pueda solicitar legalmente	Obligación legal

Cuando nos basamos en un interés legítimo, usted puede oponerse (sección 8.4). Cuando nos basamos en el consentimiento, puede retirarlo en cualquier momento.

5. Destinatarios y subencargados

5.1 La lista

Esta lista es completa. No añadimos a nadie sin actualizarla; para los datos tratados como encargado, el acuerdo de tratamiento de datos otorga a la marca un preaviso y un derecho de oposición.

Denominación legal	País	Función	Qué recibe	Base de la transferencia
Online Payment Platform B.V.	Delft, Países Bajos	Entidad de pago autorizada por De Nederlandsche Bank; responsable independiente	El pago del comprador, la referencia y el importe del pedido, lo que necesita para verificar al vendedor y al comprador; nos comunica el estado del pago	UE
Hetzner Online GmbH	Alemania, y Finlandia cuando se utiliza	Alojamiento; encargado	Todo lo que almacena la plataforma	UE
Anthropic PBC	Estados Unidos, inferencia fijada en la región de la UE	Llamadas a modelos de lenguaje; encargado	Exactamente lo que describe la sección 5.2; sin entrenamiento con nuestros datos	Cláusulas contractuales tipo y el Marco de Privacidad de Datos UE-EE. UU.
Mailgun Technologies Inc., part of Sinch	Estados Unidos, endpoint de la UE	Correo transaccional; encargado	Dirección del destinatario, asunto y contenido de los correos que envía la plataforma	Endpoint de la UE; cláusulas contractuales tipo para cualquier acceso desde fuera de la UE
Functional Software Inc., trading as Sentry	Estados Unidos, ingesta en la UE	Monitorización de errores; encargado	Datos técnicos de errores con id de usuario e id de organización como identificadores opacos; sin nombre, dirección de correo, cuerpo de la solicitud ni cookies; se conservan 90 días	Ingesta en la UE; cláusulas contractuales tipo para cualquier acceso desde fuera de la UE
Shopify International Ltd	Irlanda	Origen de una conexión que autoriza una marca; responsable independiente de la tienda	Leemos lo que la marca autoriza. Shopify nos envía tres webhooks de cumplimiento: una solicitud de los datos que conservamos sobre un comprador de la tienda, una solicitud de supresión de un comprador de la tienda y un aviso de que una tienda ha eliminado la app (sección 8.3)	UE
El almacén del vendedor: Monta B.V. u otro que designe el vendedor	Donde se encuentre el almacén	Contratista del vendedor	La instrucción de liberación y los datos de recogida del comprador: transportista, franja de recogida, un contacto	El acuerdo propio del vendedor
El transportista del comprador	Designado por el comprador	Contratista del comprador	La dirección de recogida, un contacto en el almacén, la lista de embalaje	El acuerdo propio del comprador
La contraparte de una transacción	En cualquier lugar donde se admitan compradores	Responsable independiente	Tras la aceptación: denominación legal, dirección, número de IVA, nombre, dirección de correo y número de teléfono de la persona de contacto y, en el caso del vendedor, el IBAN que figura en la factura de venta	Dentro de la UE, ninguna; fuera de la UE, sección 6
Google Ireland Limited	Irlanda	Google Tag Manager y Google Analytics: encargado. Google Ads: responsable independiente para la medición y atribución de publicidad	Lo que enumera la sección 9.2, con su consentimiento	UE; para el acceso desde Estados Unidos, el Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo
Microsoft Ireland Operations Limited	Irlanda	Microsoft Clarity, grabaciones de sesiones y mapas de calor: responsable independiente	Lo que enumera la sección 9.2, con su consentimiento; el contenido de los portales se enmascara	UE; para el acceso desde Estados Unidos, el Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo
Meta Platforms Ireland Limited	Irlanda	Meta Pixel: corresponsable con nosotros de la recogida y transmisión de los datos, responsable independiente a partir de ese momento	Lo que enumera la sección 9.2, con su consentimiento	UE; para el acceso desde Estados Unidos, el Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo
Autoridades	Países Bajos o UE	Responsable independiente	Lo que exija la ley	Obligación legal
El contable o auditor de la marca	Elegido por la marca	Asesor de la marca	La exportación de los registros de la marca, por instrucción de esta	La instrucción de la marca

5.2 Qué llega al modelo de lenguaje

Un modelo de lenguaje propone; una persona confirma. Nunca genera una cifra que forme parte de una recomendación y nunca asesora a un comprador. Recibe únicamente:

• Para asignar las columnas de un archivo que sube una marca: los encabezados de columna, el tipo que inferimos para cada columna y como máximo diez valores de muestra por columna. Las columnas de ingresos y de clientes nunca forman parte de la muestra. El nombre de la marca se elimina antes de la llamada.
• Para extraer un perfil de comprador: el resumen que el comprador redactó con sus propias palabras, nada más.
• Para un borrador de oferta y para una explicación de decisión: los campos agregados de un registro de una marca, nunca filas de ventas individuales.

Los datos de una marca nunca están en la misma llamada que los de otra. Almacenamos un hash de la entrada y la propuesta devuelta, nunca la entrada en sí.

6. Transferencias internacionales

6.1 Todo lo que tratamos permanece en la UE, con dos excepciones.

6.2 Las llamadas al modelo de lenguaje se dirigen a Anthropic PBC en Estados Unidos, con la inferencia fijada en la región de la UE, al amparo de las cláusulas contractuales tipo de la Comisión Europea y de la certificación de Anthropic conforme al Marco de Privacidad de Datos UE-EE. UU.

6.3 Se admiten compradores de fuera de la UE. Cuando un vendedor acepta un bid de uno de estos compradores, los datos de contacto del vendedor llegan a ese comprador y los del comprador al vendedor, porque de otro modo la entrega no es posible. La transferencia es necesaria para la ejecución del contrato entre vendedor y comprador y se basa en el artículo 49, apartado 1, letras b) y c), del RGPD. Se limita a lo que el apartado 5.1 enumera para la contraparte. El vendedor decide en cada oferta desde qué países se puede pujar.

6.4 Mailgun y Sentry tratan los datos en sus servidores de la UE; sus cláusulas contractuales tipo cubren cualquier acceso desde Estados Unidos.

7. Conservación

Conservamos los datos personales no más tiempo del que requiere la finalidad y durante el tiempo que exige la ley.

Datos	Plazo de conservación	Motivo
Cuenta de usuario: nombre, dirección de correo, número de teléfono, hash de la contraseña, configuración regional, eventos de inicio de sesión, versiones aceptadas	La vigencia de la cuenta más 12 meses	Consultas sobre una cuenta cerrada; prueba de aceptación
Contactos de la organización	La vigencia de la organización más 12 meses, salvo cuando figuran en una factura o pedido	Ídem
Verificación de compradores: solicitud, respuesta de VIES, comprobación de sanciones, prueba de canal, resumen, resultado, motivo, clasificación interna	La vigencia de la organización más 5 años	Prueba de la verificación
Documentos de transacción: pedidos, facturas, notas de abono, instrucciones de liberación, albaranes, informes de recepción, hilos de disputa, informes de destino	7 años desde la fecha de la factura	Conservación fiscal neerlandesa, artículo 52 de la AWR
Registros de decisión, explicaciones, registro de auditoría, registro de decisiones manuales, hashes de llamadas al modelo de lenguaje	5 años desde su creación, configurable por país; nunca se eliminan dentro del plazo, ni siquiera cuando la organización se da de baja	La obligación de documentación de la UE para textiles no vendidos; prueba
Datos brutos de un sistema conectado (datos del encargado, sección 3)	180 días	Volver a procesar una importación
Supervisión de errores en Sentry	90 días	Depuración
Lista de espera	Hasta el lanzamiento más 6 meses, o hasta que se dé de baja	Informarle de que la plataforma está disponible
Correspondencia de soporte	La vigencia de la cuenta más 12 meses; sin cuenta, 12 meses después del último mensaje	Consultar más adelante lo acordado
Registros del servidor web del sitio comercial	Solo el tiempo necesario para mantener la seguridad del sitio	Seguridad
Cookies de analítica y publicidad	Según la tabla de cookies de la sección 9	Con su consentimiento

Cuando finaliza un plazo, los datos se eliminan o se despojan de todo lo que identifica a una persona, según lo que permita el registro sin debilitar su valor probatorio.

8. Sus derechos

8.1 Qué puede solicitar

Puede solicitar el acceso, una copia en un formato común, la rectificación, la supresión y la limitación, y puede oponerse al tratamiento basado en nuestro interés legítimo. Escriba a [email protected]; podemos pedirle que lo confirme desde la dirección de correo de su cuenta. Respondemos en el plazo de un mes, como exige el RGPD; una solicitud compleja puede tardar más, y se lo comunicaremos si es así.

8.2 Qué alcanza la supresión

La supresión alcanza su cuenta de usuario: nombre, dirección de correo, número de teléfono, configuración regional, eventos de inicio de sesión y el vínculo entre usted y las acciones que realizó. Eliminamos esos datos al final del plazo indicado en la sección 7, o antes si lo solicita y nada de lo previsto en el apartado 8.3 lo impide.

8.3 Qué no puede alcanzar la supresión, y por qué

Algunos registros se conservan durante el plazo de conservación con independencia de lo que ocurra con la cuenta, porque la ley los exige o porque constituyen la prueba de una operación entre otras dos partes:

• registros de decisión, explicaciones y registro de auditoría, durante 5 años desde su creación;
• pedidos, facturas, notas de abono, informes de recepción e hilos de disputa, durante 7 años;
• datos de verificación de compradores, durante la vigencia de la organización más 5 años.

El registro de auditoría solo admite añadir entradas por diseño: nadie puede modificar ni eliminar una fila, y eso es lo que le confiere valor probatorio. Cuando un registro conserva su sentido sin su nombre, eliminamos el nombre. Cuando lo necesita, por ejemplo quién aceptó un bid o presentó una disputa, el nombre se mantiene durante el plazo y se elimina con el registro.

Un cliente de una marca que ha conectado Shopify se dirige a esa marca. Shopify reenvía la solicitud y anulamos el identificador seudónimo en las líneas de pedido y en los datos almacenados; aquí no existe ningún otro dato sobre ese cliente.

8.4 Oposición y retirada

Cuando tratamos datos sobre la base de un interés legítimo, puede oponerse y dejamos de hacerlo, salvo que un motivo imperioso prevalezca sobre su interés, por ejemplo una disputa ya abierta. Cuando tratamos datos sobre la base del consentimiento, para cookies o correos comerciales, puede retirarlo mediante el banner de cookies o el enlace para darse de baja, y dejamos de hacerlo.

8.5 Consultas sobre una clasificación interna

Si pregunta si disponemos de una clasificación de su organización, le indicamos que existe una clasificación interna, que la establece una persona y que su finalidad es determinar qué ofertas puede ver su organización y en qué condiciones. No revelamos su valor: es confidencial para la plataforma, y revelarlo permitiría a una parte deducir lo que ven otras partes.

8.6 Reclamaciones

Si no está satisfecho con la forma en que tratamos sus datos o su solicitud, puede presentar una reclamación ante la Autoriteit Persoonsgegevens (sección 13).

9. Cookies

9.1 Cookies funcionales, sin necesidad de consentimiento

La plataforma y el sitio comercial instalan cookies necesarias para su funcionamiento. No contienen seguimiento y se instalan sin consentimiento, como permite la Telecommunicatiewet para las cookies necesarias para un servicio que usted ha solicitado.

Cookie	Finalidad	Duración
Sesión	Mantiene su sesión iniciada	La sesión del navegador
Token de formulario	Protege los formularios contra falsificaciones	La sesión del navegador
Configuración regional	Recuerda su idioma	La sesión del navegador; se guarda en la cookie de sesión
Elección de cookies	Recuerda lo que eligió en el banner y con qué versión de esta política	12 meses

9.2 Cookies de analítica y publicidad, solo con consentimiento

El sitio comercial y los portales utilizan cookies de analítica y publicidad, cargadas mediante Google Tag Manager. Solo se instalan después de que usted las acepte en el banner de cookies, y puede retirar esa elección en cualquier momento mediante «Configuración de cookies» al pie del sitio comercial y en el menú de cuenta de los portales; al retirarla se eliminan las cookies indicadas a continuación. Antes de que elija, no se instala ninguna. Cuando esta política cambia, volvemos a preguntarle. No se añade ningún proveedor sin una fila aquí.

Con su consentimiento, los proveedores reciben: la página que abre: en las páginas públicas, su dirección sin términos de búsqueda ni otros parámetros, salvo códigos de campaña como utm_source; dentro de los portales, solo el tipo de página, nunca su dirección ni su título; la pantalla y la ruta; su idioma y mercado; cuando ha iniciado sesión, su número de usuario y número de organización como códigos sin significado, el tipo de su organización y su función; y que se ha producido una acción, como un registro, una fuente conectada, una oferta publicada o un bid, como máximo con un recuento. Nunca reciben su nombre, dirección de correo, número de teléfono, nombre de empresa, precios, bids, existencias ni productos, ni con hash ni de ninguna otra forma. Una página cuya dirección contiene un secreto, como un enlace para restablecer la contraseña, no envía nada. Las grabaciones de sesión ocultan el contenido de los portales; Microsoft Clarity sí ve la dirección de la página tal como la muestra su navegador, y en esas direcciones las etiquetas de Meta y de Google Ads no envían nada.

Proveedor	Finalidad	Cookies	Duración
Google Ireland Limited, Google Analytics	Medir cómo se utilizan el sitio comercial y los portales	_ga, _ga_<id>	2 años
Google Ireland Limited, Google Ads	Medir y atribuir la publicidad	_gcl_au	90 días
Microsoft Ireland Operations Limited, Microsoft Clarity	Grabaciones de sesión y mapas de calor, para ver dónde el sitio le dificulta la navegación	_clck; _clsk; en clarity.ms CLID y MUID	1 año; 1 día; 1 año
Meta Platforms Ireland Limited, Meta Pixel	Medir y atribuir la publicidad en Facebook e Instagram	_fbp, _fbc; en facebook.com fr	90 días

Google Tag Manager no instala ninguna cookie.

10. Decisiones automatizadas

10.1 No tomamos ninguna decisión sobre usted basada únicamente en medios automatizados que produzca efectos jurídicos sobre usted o le afecte de forma similar.

10.2 Una persona de nuestro equipo lee cada solicitud de comprador y establece su resultado y la clasificación interna. Una marca confirma, modifica o descarta cada recomendación del motor: el motor calcula y explica, la marca decide. Un modelo de lenguaje propone asignaciones de columnas, perfiles de comprador, borradores de oferta y explicaciones; una persona confirma cada propuesta antes de que se utilice. El modelo nunca decide ni asesora a un comprador sobre un bid.

10.3 La plataforma aplica reglas automáticamente una vez que una persona las ha establecido: las ofertas que ve una organización se derivan de las condiciones del vendedor y de la clasificación asignada por una persona, y se rechaza todo bid fuera de los límites del vendedor. Con ello se ejecuta una decisión tomada por una persona.

11. Seguridad

11.1 Todas las conexiones a la plataforma están cifradas. Las contraseñas se almacenan como hashes. Las credenciales de un sistema conectado se almacenan cifradas y nunca se escriben en un registro.

11.2 Un usuario solo ve su propia organización. Nuestra consola interna solo es accesible para nuestro propio equipo con un inicio de sesión independiente, y cada decisión manual que se toma en ella se registra con un motivo.

11.3 La aplicación no puede modificar ni eliminar el registro de auditoría, los registros de decisión ni las explicaciones, ni siquiera un administrador; la base de datos lo impide. Los registros y los informes de errores nunca contienen filas de datos brutos, valores de muestra, tokens, contraseñas, reserves ni el contenido de una solicitud. El alojamiento se encuentra en la UE, con copias de seguridad.

11.4 Si una violación de la seguridad supone un riesgo para usted, informamos a la Autoriteit Persoonsgegevens en un plazo de 72 horas desde su descubrimiento, como exige el RGPD, y le informamos a usted sin dilación indebida cuando el riesgo sea alto. Una marca cuyos datos como responsable del tratamiento confiados al encargado se vean afectados es informada conforme al acuerdo de encargo del tratamiento.

12. Cambios

12.1 Modificamos esta política cuando cambian la plataforma, un subencargado o la ley. La fecha de versión que figura al principio indica qué versión está leyendo. Todo cambio que le afecte de forma sustancial se comunica por correo a los usuarios antes de que entre en vigor. Las versiones anteriores están disponibles previa solicitud.

13. Contacto y reclamaciones

13.1 Las preguntas, solicitudes y reclamaciones sobre datos personales deben dirigirse a [email protected], o por correo postal a Unworn i.o., pendiente de inscripción. No estamos obligados a designar un delegado de protección de datos y no lo hemos hecho; el contacto de privacidad atiende todas las solicitudes.

13.2 Tiene usted derecho a presentar una reclamación ante la autoridad de control. En los Países Bajos, dicha autoridad es la Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl. Si se encuentra en otro país de la UE, también puede presentar una reclamación ante la autoridad de dicho país.