Política de privacidad

1. Responsable del tratamiento

• Responsable: Mouseo-a8 SL (nombre comercial: Casita-Museo de Ratón Pérez).
• NIF: B87991287.
• Dirección: Calle Arenal, 8 - Local 14 - 1.ª planta, 28013 Madrid (España).
• Teléfono: 91 522 69 68.
• Correo electrónico: [email protected].

Delegado de protección de datos: no hemos designado un delegado de protección de datos.

Tratamos los datos conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales (LOPDGDD).

2. Compra de entradas y productos

Cuando compra entradas para la visita o para «El viaje de Pérez», o productos de la tienda, tratamos:

• Nombre y correo electrónico.
• Teléfono, si decide darlo, para avisarle de cualquier incidencia con su visita o pedido.
• Datos de facturación, si pide factura completa: NIF o NIE, nombre o razón social y dirección.
• Datos de la compra: entradas o productos, día y franja de la visita, importe, referencia de la reserva y estado del pago.
• Para productos con envío a domicilio, la dirección de entrega.

Finalidad: gestionar la compra, emitir y enviarle las entradas, permitirle cambiarlas o cancelarlas, preparar y enviar los pedidos, emitir facturas y llevar la contabilidad.

Base jurídica: la ejecución del contrato de compra (artículo 6.1.b del RGPD) y el cumplimiento de obligaciones legales fiscales y contables (artículo 6.1.c del RGPD).

Los pagos se hacen con tarjeta a través de Stripe. El museo no recibe ni guarda el número completo de su tarjeta: lo trata Stripe directamente. Para algunos fines, como la prevención del fraude, Stripe trata los datos como responsable independiente, según su propia política de privacidad.

Guardamos estos datos en la base de datos de la web y en Odoo, el sistema de gestión del propio museo.

3. Área de cliente y consulta de reservas

Para entrar en el área de cliente no hace falta contraseña. Usted escribe su correo electrónico y le enviamos un enlace de acceso que caduca a los 15 minutos. Al entrar, guardamos en su navegador una cookie de sesión que dura 30 días y se renueva mientras usa el área. Desde allí puede ver sus reservas, cambiarlas o cancelarlas.

También puede consultar una reserva sin entrar en el área de cliente, indicando la referencia de la reserva y el correo electrónico con el que compró. Usamos esos dos datos para comprobar que la reserva es suya.

Base jurídica: la ejecución del contrato (artículo 6.1.b del RGPD).

4. Correos sobre su visita o su pedido

Le enviamos por correo electrónico:

• Las entradas, con su código QR.
• La confirmación de cambios y cancelaciones.
• Un recordatorio el día anterior a la visita.
• La confirmación de los reembolsos.
• Después de la visita, un correo en el que le pedimos su opinión, con un enlace para dejar una reseña en Google si lo desea.

Base jurídica: la ejecución del contrato para los correos sobre la compra. Para el correo en el que pedimos su opinión, nuestro interés legítimo en conocer cómo ha sido su visita (artículo 6.1.f del RGPD); puede pedirnos que no se lo enviemos.

Estos correos se envían a través de Resend (Resend, Inc., EE. UU.). Si sigue el enlace a Google y deja una reseña, Google trata sus datos según su propia política de privacidad; nosotros no compartimos sus datos con Google.

5. Boletín de noticias

Solo le enviamos el boletín si marca la casilla al hacer la compra y después confirma la suscripción desde el correo que le enviamos (doble confirmación).

Datos: su correo electrónico y, en su caso, su nombre.

Base jurídica: su consentimiento (artículo 6.1.a del RGPD).

Puede darse de baja en cualquier momento con el enlace que aparece en cada boletín o escribiéndonos. Darse de baja no afecta a sus compras.

6. Solicitudes de visitas de colegios

El formulario de casamuseoratonperez.es/visitas-colegios lo debe enviar una persona adulta responsable del centro educativo. Recogemos:

• Nombre del centro y de la persona de contacto.
• Correo electrónico y teléfono.
• Curso, número de alumnos y de adultos acompañantes.
• Fechas preferidas y transporte.
• Necesidades específicas del grupo.

En el apartado de necesidades específicas puede haber información sobre la salud o la discapacidad de algún alumno. Le pedimos que indique solo lo necesario para organizar la visita y que no escriba nombres de alumnos.

Finalidad: estudiar la solicitud, proponer fecha y organizar la visita.

Base jurídica: la aplicación de medidas precontractuales a petición del interesado (artículo 6.1.b del RGPD).

Guardamos estas solicitudes en Odoo, el sistema de gestión del museo.

7. Consultas por correo o teléfono

Si nos escribe a [email protected] o nos llama, usamos sus datos para responderle. Base jurídica: nuestro interés legítimo en atender sus consultas o, si se refieren a una compra, la ejecución del contrato.

8. Seguridad de la web y protección contra el spam

Para evitar abusos, usamos la dirección IP para limitar los intentos repetidos (por ejemplo, demasiadas peticiones de enlace de acceso en poco tiempo). Guardamos esa información durante poco tiempo.

En el formulario de colegios usamos Cloudflare Turnstile (Cloudflare, Inc., EE. UU.). Este servicio trata la dirección IP y algunas señales del navegador solo para distinguir personas de programas automáticos.

Base jurídica: nuestro interés legítimo en proteger la web y a sus usuarios (artículo 6.1.f del RGPD).

El museo no toma decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre usted. Stripe aplica sus propios controles automáticos para prevenir el fraude en los pagos.

9. Menores de edad

Las compras y el área de cliente están reservados a personas mayores de 18 años.

Los menores de 14 años no pueden facilitarnos datos personales. Según el artículo 7 de la LOPDGDD, para tratar datos de menores de 14 años basados en el consentimiento hace falta el de sus padres o tutores. Si detectamos que hemos recibido datos de un menor de 14 años sin ese consentimiento, los borraremos.

En las solicitudes de colegios, quien envía el formulario es la persona adulta responsable del centro.

10. Cuánto tiempo guardamos los datos

• Datos de compras y facturas: durante la relación contractual y después 6 años, como exige el artículo 30 del Código de Comercio. Los datos con trascendencia fiscal se conservan al menos 4 años, plazo de prescripción de la Ley General Tributaria.
• Enlaces de acceso al área de cliente: caducan a los 15 minutos.
• Sesión del área de cliente: 30 días desde el último uso.
• Boletín: hasta que se dé de baja.
• Solicitudes de colegios: el tiempo necesario para gestionar la visita.
• Direcciones IP para limitar intentos: un periodo breve.
• Consultas por correo: el tiempo necesario para responderlas y, si están ligadas a una compra, el plazo de esa compra.

Pasados estos plazos, bloqueamos los datos mientras puedan surgir responsabilidades legales y después los borramos.

11. Quién más trata sus datos

No vendemos ni cedemos sus datos a terceros, salvo obligación legal (por ejemplo, a la Agencia Tributaria o a jueces y tribunales).

Estos proveedores tratan datos por encargo nuestro (encargados del tratamiento), con contrato y solo para prestarnos su servicio:

• Stripe Payments Europe Ltd. (Irlanda): pagos con tarjeta.
• Resend, Inc. (EE. UU.): envío de los correos sobre su compra.
• Cloudflare, Inc. (EE. UU.): protección contra spam en el formulario de colegios y, en su caso, red de distribución de contenidos y DNS.
• OVH SAS (Francia): alojamiento de la web y de Odoo.

Google solo recibe sus datos si usted sigue el enlace para dejar una reseña. No hay contenidos de Google insertados en la web.

12. Transferencias internacionales

Algunos proveedores están en Estados Unidos o pueden acceder a los datos desde allí. Solo lo permitimos con las garantías del capítulo V del RGPD: la adhesión del proveedor al Marco de Privacidad de Datos UE-EE. UU. o, en su defecto, las cláusulas contractuales tipo aprobadas por la Comisión Europea. Puede pedirnos más información sobre estas garantías.

13. Contenidos de terceros en la web

• Mapa de la página «Cómo llegar»: se carga desde openstreetmap.org. Al verlo, su navegador envía su dirección IP a OpenStreetMap. No instala cookies.
• Vídeos de la página de prensa: no se carga nada de YouTube hasta que pulsa el botón de reproducir. Al pulsarlo, el vídeo se carga desde youtube-nocookie.com y YouTube puede guardar cookies o datos en el almacenamiento local de su navegador.

Más detalles en la política de cookies.

14. Sus derechos

Puede ejercer en cualquier momento estos derechos:

• Acceso: saber qué datos suyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: pedir que borremos sus datos cuando ya no sean necesarios.
• Oposición: oponerse a tratamientos basados en nuestro interés legítimo.
• Limitación: pedir que dejemos de usar sus datos durante un tiempo, por ejemplo mientras revisamos una reclamación.
• Portabilidad: recibir los datos que nos dio en un formato estructurado y de uso común.
• Retirar el consentimiento que haya dado, sin que afecte a lo hecho antes.

Para ejercerlos, escriba a [email protected] con el asunto «Protección de datos», o por correo postal a nuestra dirección. Si no podemos comprobar su identidad con el correo desde el que escribe, le pediremos un documento que la acredite. Responderemos en el plazo de un mes, ampliable en los casos que prevé el RGPD.

Si cree que no hemos tratado bien sus datos, puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

15. Seguridad

Aplicamos medidas técnicas y organizativas para proteger sus datos: conexión cifrada (HTTPS), acceso restringido a los sistemas, enlaces de acceso de un solo uso con caducidad y limitación de intentos repetidos.

16. Cambios en esta política

Podemos actualizar esta política si cambia la ley o la forma en que tratamos los datos. Publicaremos siempre la versión vigente en esta página y, si el cambio es importante, se lo indicaremos de forma visible.