Política de privacidad

Última actualización: 10 de octubre de 2026. Esta política explica el tratamiento de datos personales al visitar Tienda Medieval, comprar, contactar con nosotros o utilizar nuestros servicios en Shopify, de acuerdo con el Reglamento General de Protección de Datos (RGPD), la Ley Orgánica 3/2018 y la normativa aplicable al comercio electrónico.

1. Responsable y contacto

SERRALZATE, S.L., NIF B99269748, es el responsable del tratamiento de los datos de sus clientes y usuarios para las finalidades descritas aquí. Domicilio de contacto: C/ Tomás de Zumalacárregui, 10. Local, 50006 Zaragoza - España. Nombre comercial: Tienda Medieval.

Para asuntos de privacidad y ejercicio de derechos: Contacto. Para pedidos y consultas: Contacto, teléfono +34 910 052 560 y formulario de contacto.

2. Qué datos tratamos y de dónde proceden

• Datos facilitados por ti: nombre, apellidos, correo electrónico, teléfono, dirección de facturación y entrega, datos fiscales cuando sean necesarios, productos y pedidos, devoluciones, reclamaciones, consultas, conversaciones de atención, archivos o fotografías que adjuntes voluntariamente para atender tu solicitud y reseñas que decidas enviar.
• Datos de transacciones y cuenta: información del pedido, importe, estado del pago, identificadores de transacción y del cliente, historial de compras y acceso a los servicios de cuenta. Los proveedores de pago tratan los datos necesarios para procesar el medio elegido; no es necesario enviar los datos completos de una tarjeta a nuestro servicio de atención.
• Verificación de productos restringidos: cuando proceda, datos mínimos para comprobar identidad, mayoría de edad o habilitación legal. No solicitaremos una copia íntegra del DNI o pasaporte de forma indiscriminada: solo los documentos necesarios según el producto y la obligación aplicable.
• Datos recogidos al utilizar la web: dirección IP, navegador, dispositivo, registros técnicos, páginas y productos consultados, interacciones y preferencias, mediante la plataforma y las tecnologías que estén activas conforme a tus elecciones de privacidad.
• Datos de proveedores: confirmaciones de pago, información de entrega y seguimiento de transportistas, comunicaciones de herramientas de atención y reseñas, e información de Shopify necesaria para prestar los servicios que utilices.

Los datos marcados como necesarios en cada proceso son los imprescindibles para esa finalidad. Sin una dirección de entrega o los datos necesarios de un pedido no podremos tramitarlo. Los datos para publicidad y otras finalidades voluntarias no son condición para comprar.

3. Finalidades y bases jurídicas

• Presupuestos, pedidos, pagos, entrega, devoluciones y atención relacionada con una compra: aplicar medidas precontractuales solicitadas y ejecutar el contrato (artículo 6.1.b RGPD).
• Cuenta de cliente: facilitar el acceso y la gestión de pedidos y solicitudes que decidas utilizar, en ejecución del servicio solicitado (artículo 6.1.b).
• Facturación, contabilidad, fiscalidad, garantía y requerimientos de autoridades: cumplir las obligaciones legales correspondientes (artículo 6.1.c).
• Consultas generales y reclamaciones: atender tu solicitud, sobre la base contractual si se refiere a una compra, una obligación legal si procede, o nuestro interés legítimo en responder a comunicaciones dirigidas a la tienda (artículo 6.1.f).
• Seguridad y prevención del fraude: nuestro interés legítimo en proteger a usuarios, transacciones y sistemas (artículo 6.1.f), con medidas proporcionadas y considerando los derechos de las personas afectadas.
• Comprobar requisitos de productos restringidos: cumplir una obligación legal cuando resulte aplicable (artículo 6.1.c). Para comprobaciones adicionales derivadas de la política de venta a mayores de edad, el interés legítimo en prevenir ventas indebidas (artículo 6.1.f), limitado a la información necesaria.
• Comunicaciones comerciales por correo electrónico u otros canales electrónicos: tu consentimiento (artículo 6.1.a). Si existe una relación contractual previa, podremos informar sobre productos propios similares a los adquiridos en los términos del artículo 21.2 LSSI, sobre la base de nuestro interés legítimo, ofreciéndote oposición gratuita al recoger los datos y en cada comunicación. Las comunicaciones de servicio necesarias para un pedido no son publicidad.
• Reseñas y contenido que solicites publicar: gestionar la participación voluntaria y publicar el contenido conforme a tu solicitud y consentimiento cuando corresponda. Las invitaciones comerciales y tecnologías asociadas deben respetar sus requisitos específicos.
• Cookies, medición y publicidad personalizada: las tecnologías no necesarias requieren consentimiento previo cuando la normativa lo exige. Las cookies técnicas necesarias permiten prestar el servicio solicitado. Consulta los detalles y las opciones en nuestra Política de cookies.

Puedes retirar tu consentimiento en cualquier momento; no afecta a la licitud del tratamiento anterior. Puedes oponerte a la publicidad directa en cualquier momento, incluido el perfilado relacionado. No utilizaremos la mera navegación o la aceptación de unas condiciones de compra como consentimiento general para publicidad o cookies opcionales.

4. Proveedores y destinatarios

Facilitamos únicamente los datos necesarios a proveedores que intervienen en el servicio utilizado. Entre ellos se encuentran Shopify (plataforma, alojamiento, checkout y servicios de cuenta); los proveedores del medio de pago que elijas, incluido MONEI cuando corresponda; transportistas como GLS, Correos/Correos Express o FedEx según la modalidad; y proveedores de gestión de pedidos, integración con nuestro ERP y automatizaciones de servicio.

La tienda dispone también de herramientas de Klaviyo para comunicaciones, Judge.me para reseñas y tawk.to para atención mediante chat. El tratamiento depende de que utilices el servicio o de que exista la base jurídica necesaria; instalar una aplicación no permite enviarle cualquier dato ni sustituye el consentimiento exigible para publicidad o seguimiento.

Los proveedores que actúan por cuenta de SERRALZATE deben tratar los datos conforme a nuestras instrucciones y a los contratos de encargo aplicables. Algunos proveedores de pago, transportistas o servicios elegidos por el usuario pueden actuar como responsables independientes para sus obligaciones propias. También podrán recibir datos las administraciones, juzgados, organismos competentes y asesores profesionales cuando sea necesario para una obligación legal o la defensa de derechos.

5. Shopify y sus servicios mejorados

Shopify aloja esta tienda y trata datos por nuestra cuenta para permitir compras y prestar servicios de comercio electrónico. La tienda tiene activada la funcionalidad Shopify Network Intelligence, que permite utilizar determinados datos de interacción con la tienda, junto con datos de otras interacciones con Shopify y sus comerciantes, para desarrollar y mejorar funciones como personalización, rendimiento, publicidad y seguridad. Su uso debe respetar la normativa y las preferencias de privacidad aplicables.

En los servicios mejorados para los que determina sus propias finalidades y medios, Shopify actúa como responsable del tratamiento. Los datos personales de nuestros clientes no se ponen a disposición de otros comerciantes para que estos consulten sus pedidos. Si utilizas Shop, Shop Pay u otros servicios propios de Shopify, se aplican también sus condiciones y avisos específicos.

Puedes consultar la Política de privacidad de Shopify para consumidores y gestionar solicitudes relativas a sus tratamientos en el portal de privacidad de Shopify. Para los tratamientos de nuestra tienda puedes dirigirte siempre a SERRALZATE por los canales del apartado 1. La página de opciones sobre uso compartido de datos ofrece las elecciones adicionales disponibles según tu región.

6. Transferencias internacionales

Algunos proveedores y sus subencargados pueden tratar o acceder a datos desde países fuera del Espacio Económico Europeo, incluidos Estados Unidos y otros países donde operan Shopify y las herramientas utilizadas. El alojamiento europeo no excluye por sí solo esos accesos o transferencias.

Cuando sea necesaria una transferencia, debe ampararse en una decisión de adecuación aplicable al destinatario, o en garantías como las cláusulas contractuales tipo de la Comisión Europea y las medidas complementarias que correspondan. El Marco de Privacidad de Datos UE-EE. UU. solo puede utilizarse respecto de entidades certificadas y tratamientos cubiertos mientras esa decisión sea aplicable. Los contratos de Shopify, Klaviyo y otros proveedores contemplan mecanismos de transferencia; la garantía concreta depende del destinatario y del servicio.

Puedes solicitar información sobre los destinos y garantías aplicables, y una copia de estas con las limitaciones legalmente necesarias, escribiendo a Contacto.

7. Plazos de conservación

• Pedidos y relación contractual: durante su gestión y el tiempo necesario para atender devoluciones, garantía y responsabilidades. Posteriormente, los datos sujetos a obligaciones legales se conservarán con acceso limitado o bloqueados cuando proceda.
• Documentación contable y mercantil: con carácter general, seis años desde el último asiento, conforme al Código de Comercio. Las obligaciones tributarias tienen, con carácter general, un plazo de prescripción de cuatro años, sujeto a sus reglas de cómputo, interrupciones y supuestos especiales; puede ser necesario conservar documentación durante más tiempo.
• Publicidad: hasta retirar el consentimiento u oponerte, o hasta que deje de ser necesaria para la finalidad. Se conservarán los datos mínimos necesarios para acreditar la base jurídica y respetar tu exclusión de futuras comunicaciones.
• Consultas, reclamaciones y reseñas: el tiempo necesario para resolverlas, mantener la publicación solicitada cuando proceda y atender posibles responsabilidades. Puedes solicitar la retirada de tus datos conforme a los derechos aplicables.
• Documentación de identidad: solo durante el tiempo indispensable para la comprobación, salvo que una norma exija conservar determinados datos o documentos durante un plazo específico.
• Datos técnicos y cookies: durante los plazos de la finalidad y del proveedor que figuren en la información de cookies y en los controles de privacidad.

Una vez transcurridos los plazos aplicables, los datos se suprimirán o anonimizarán de forma efectiva.

8. Derechos y reclamaciones

Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad cuando proceda y oposición, así como retirar tu consentimiento, escribiendo a Contacto o al domicilio de contacto del apartado 1. Indica el derecho que deseas ejercer y los datos necesarios para localizar tu información. Si existe una duda razonable sobre tu identidad, podremos pedir información adicional proporcionada; no exigimos una copia del DNI en todas las solicitudes.

Responderemos en el plazo de un mes desde la recepción. Si la complejidad o el número de solicitudes lo requiere, podrá ampliarse hasta dos meses adicionales; informaremos de la ampliación y de sus motivos dentro del primer mes. El ejercicio es gratuito, salvo los supuestos excepcionales previstos legalmente.

Si consideras que el tratamiento vulnera tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos o ante la autoridad de control competente, sin necesidad de contactar primero con nosotros.

9. Personalización y decisiones automatizadas

Las herramientas de comercio electrónico y marketing pueden agrupar preferencias e interacciones para mostrar contenidos o, cuando exista la base jurídica correspondiente, comunicaciones y publicidad de interés. Puedes modificar tus elecciones de cookies y oponerte a la publicidad directa y al perfilado asociado.

Si una decisión exclusivamente automatizada produjera efectos jurídicos o te afectara significativamente, solo podrá utilizarse en los supuestos permitidos por el RGPD y con las garantías correspondientes. Puedes solicitar información sobre ese tratamiento y, cuando corresponda, intervención humana, expresar tu punto de vista e impugnar la decisión.

10. Menores y seguridad

Los productos restringidos se venden a mayores de 18 años conforme a las condiciones de la tienda y la normativa aplicable. Esto es distinto de la edad para consentir un tratamiento de datos: en España, cuando la base sea el consentimiento, el de menores de 14 años debe prestarlo quien ejerza la patria potestad o tutela, en los términos legales. No utilizaremos la comprobación de edad como autorización para finalidades ajenas a la compra.

Aplicamos medidas técnicas y organizativas adecuadas a los riesgos para proteger la información y limitamos su acceso al personal y proveedores autorizados. No envíes datos completos de tarjetas, contraseñas ni documentación de identidad por canales inseguros. Si necesitas acreditar un requisito, contacta primero con nosotros para conocer el procedimiento y los datos estrictamente necesarios.

11. Cookies y cambios de esta política

Puedes gestionar las tecnologías opcionales desde el banner y los controles de privacidad disponibles en la tienda, y consultar la Política de cookies. Rechazar esas tecnologías no impide realizar una compra mediante las funciones necesarias.

Publicaremos aquí las actualizaciones con su fecha. Cuando un cambio requiera información adicional o un nuevo consentimiento, lo facilitaremos por el medio correspondiente. Una actualización no autoriza por sí sola nuevas finalidades incompatibles ni reduce los derechos de los usuarios.