Política de Privacidad

1. Quiénes somos y cómo contactarnos

VARANTECH ENERJİ SAN. TİC. LTD. ŞTİ. («Quote3D», «nosotros») opera el servicio Quote3D en quote3d.com. Estamos establecidos en Ankara, Türkiye.

No hemos designado un delegado de protección de datos. Tampoco estamos obligados a designarlo, porque no realizamos una observación a gran escala de personas ni tratamos categorías especiales de datos a gran escala como actividad principal.

Representante en la Unión Europea (artículo 27 del RGPD): «REPRESENTANTE UE — pendiente de completar antes de la publicación». Representante en el Reino Unido (artículo 27 del UK GDPR): «REPRESENTANTE UK — pendiente de completar antes de la publicación».

Hasta que se completen esos datos, las personas situadas en la Unión Europea y en el Reino Unido deben dirigirse directamente a [email protected]; responderemos dentro de los plazos legales indicados en la sección 11.

• Dirección postal: Fevzi Çakmak Mah. Orhan Gazi Cad. No:92/A, Sincan, Ankara, Türkiye
• Correo electrónico para todos los asuntos de privacidad, incluidas solicitudes y reclamaciones: [email protected]

2. Cuándo decidimos nosotros y cuándo decide su proveedor

Hay dos situaciones distintas, y sus derechos se ejercen por vías diferentes en cada una.

Somos responsables del tratamiento cuando usted trata directamente con nosotros: visita quote3d.com, crea una cuenta, sube un modelo, solicita un presupuesto, se suscribe, usa la API con sus propias credenciales o contacta con soporte. Esta política cubre ese tratamiento.

Somos encargados del tratamiento cuando usted llega a nosotros a través del sitio web de otra persona. Nuestros clientes insertan un widget de Quote3D en sus propios sitios. Si subió un archivo para obtener un presupuesto de un taller de impresión, ese taller es el responsable del tratamiento y decide por qué se tratan sus datos; nosotros actuamos siguiendo sus instrucciones. En ese caso, ejerza sus derechos ante él. Si en cambio nos contacta a nosotros, no responderemos sobre el fondo, porque no son datos sobre los que nos corresponda hablar: le indicaremos que se dirija a él y le comunicaremos a él que usted ha preguntado. Las condiciones que rigen esa relación figuran en nuestro Acuerdo de Tratamiento de Datos.

3. Qué recogemos y de dónde procede

La mayor parte procede directamente de usted. Cuando no es así, se indica la fuente.

No solicitamos categorías especiales de datos conforme al artículo 9 del RGPD, y el servicio no está diseñado para recibirlas. Tenga presente que un modelo anatómico, dental o protésico puede contener información de salud. Si ese es su caso de uso, contáctenos antes de subirlo para que podamos acordar las condiciones adecuadas.

4. Por qué los tratamos y con qué base jurídica

La base jurídica se indica por finalidad, no como una lista general. Cuando nos amparamos en el interés legítimo, se nombra el interés concreto y lo hemos ponderado frente a sus derechos.

No usamos sus datos personales, sus archivos subidos ni su geometría para entrenar modelos de aprendizaje automático. No vendemos datos personales. No usamos el contenido subido con fines publicitarios.

5. ¿Es obligatorio facilitar datos?

El artículo 13.2.e) exige que seamos claros al respecto.

• Una dirección de correo electrónico es un requisito contractual: sin ella no podemos crear una cuenta, autenticarle ni enviarle el presupuesto. Si no la facilita, no podemos prestar el servicio.
• Un archivo de modelo es necesario para ejecutar el contrato de presupuestación. Sin el archivo no hay nada que analizar, de modo que no puede elaborarse ningún presupuesto.
• Los datos de facturación son un requisito contractual y legal en los planes de pago. Sin ellos no puede constituirse ni facturarse una suscripción.
• Las cookies analíticas y publicitarias son totalmente opcionales. Rechazarlas no le cuesta nada: el servicio funciona igual.
• Los datos técnicos y de seguridad se recogen automáticamente como parte de la atención de una petición por internet y no pueden desactivarse mientras se usa el servicio.

6. Quién recibe sus datos

Se trata de categorías y de destinatarios identificados por su nombre, no de una referencia vaga a «socios de confianza». La lista completa de subencargados, con los datos que recibe cada uno y dónde se tratan, se publica en /legal/subprocessors.

Cada uno de ellos está vinculado por un contrato que limita lo que puede hacer con los datos. No comunicamos datos personales a nadie más.

• Lemon Squeezy — comerciante registrado para los planes de pago: proceso de compra, cobro, determinación de impuestos e IVA, facturación, renovaciones. Recibe su nombre, correo electrónico, país de facturación y datos de facturación.
• Google — hace funcionar el asistente de soporte en vivo con IA a través de la API de Gemini. Recibe el texto completo de los mensajes que usted escribe en él y las respuestas. No recibe sus archivos subidos, su geometría, sus credenciales ni sus datos de facturación.
• Google — reCAPTCHA para protección frente a bots, que es necesario y se carga sin consentimiento aparte; Tag Manager y analítica, que solo se cargan si acepta las cookies analíticas; AdSense, que solo se carga si acepta las cookies de marketing; y el inicio de sesión federado, si lo elige.
• Meta — inicio de sesión federado, solo si lo elige.
• Nuestro proveedor de envío de correo — mensajes transaccionales como enlaces de inicio de sesión, verificación, restablecimiento de contraseña y avisos de facturación.
• Nuestros proveedores de alojamiento, base de datos y caché — custodian todos los datos almacenados; los archivos subidos se guardan cifrados.
• Juzgados, reguladores y otras autoridades competentes, cuando la ley nos obliga a revelar información.
• Un comprador o sucesor, si el negocio se vende o reorganiza. Le avisaríamos antes de que sus datos pasaran a un responsable del tratamiento distinto.

7. Transferencias internacionales

Estamos establecidos en Türkiye, y los servidores que ejecutan el servicio, alojan la base de datos y almacenan sus archivos están situados en Türkiye, operados para nosotros por VG Telekomünikasyon Tic. Ltd. Şti. Por tanto, sus archivos subidos no salen de Türkiye. Algunos de nuestros demás proveedores — pagos, el asistente de IA, la protección frente a bots y, si usted lo consiente, la analítica y la publicidad — tratan datos en los Estados Unidos y en la Unión Europea.

Mientras la Comisión Europea no adopte ninguna, no existe decisión de adecuación para Türkiye. Cuando transferimos datos personales desde el Espacio Económico Europeo o el Reino Unido hacia un proveedor situado fuera de ellos, nos amparamos en las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión y, para el Reino Unido, en el International Data Transfer Addendum. Puede obtener una copia de las cláusulas en las que nos amparamos y de la evaluación de transferencia que las sustenta escribiendo a [email protected].

Un punto se expone a menudo de forma incorrecta, así que lo exponemos correctamente: cuando usted se encuentra en el Espacio Económico Europeo y nos envía usted mismo sus propios datos — registrándose, subiendo un archivo o escribiendo a soporte —, eso no es una transferencia restringida conforme al Capítulo V del RGPD, porque usted no es un exportador de datos. Lo que cubre el Capítulo V es el flujo de nuestros clientes empresariales hacia nosotros, y nuestros flujos ulteriores hacia los proveedores indicados en la sección 6. Esas son las transferencias que protegen las cláusulas anteriores.

Cuando resulta aplicable el derecho turco, nos amparamos en los mecanismos disponibles conforme al artículo 9 de la Ley n.º 6698 y completamos dentro de plazo cualquier comunicación que exija el reglamento aplicable.

8. Cuánto tiempo los conservamos

Plazos concretos, como exige el artículo 13.2.a). Los aplica una tarea programada de limpieza, no son una mera intención.

Cuando un registro está sujeto a más de un plazo, se aplica el más largo, y solo para la finalidad que lo justifica.

• Archivos subidos que no produjeron ningún presupuesto: se eliminan 24 horas después de la subida. Es un ajuste del operador; si se cambia, esta política se cambia con él, y puede preguntarnos en qué valor está hoy.
• Archivos subidos que produjeron un presupuesto: se eliminan 365 días después de su último uso. Solicitar un nuevo presupuesto a partir de un archivo reinicia ese plazo. El operador puede acortarlo en los ajustes de administración; si se cambia, esta política se cambia con él.
• Registros de presupuesto, es decir, el precio, los parámetros y las mediciones derivadas sin el archivo: se conservan mientras su cuenta esté abierta, para que su historial de presupuestos siga estando a su disposición.
• Resultados derivados del análisis geométrico: se conservan en una caché compartida indexada por el hash del contenido del archivo, de modo que un archivo idéntico no tenga que recalcularse. Contienen mediciones, no contenido del archivo, y el vínculo con su cuenta se elimina cuando el archivo se borra.
• Registros de auditoría, registros de uso de la API y registros del sistema: 90 días. La dirección IP y el agente de usuario registrados con un presupuesto se borran al cabo del mismo plazo; el registro del presupuesto se conserva y solo se vacían esos dos campos. Es un ajuste del operador; si se cambia, esta política se cambia con él, y puede preguntarnos en qué valor está hoy.
• Tokens de restablecimiento de contraseña y verificación de correo: 7 días. Sesiones de subida usadas: 24 horas.
• Datos de cuenta: se conservan mientras su cuenta esté abierta. Puede eliminar la cuenta usted mismo desde los ajustes del panel, y ocurre de inmediato, no en un plazo de 30 días. Antes de que confirme, esa pantalla enumera cada registro que sobrevive a la eliminación y el motivo legal de cada uno.
• Registros de consentimiento, incluida la copia del texto que aceptó: se conservan 3 años tras finalizar la suscripción, porque son nuestra prueba de lo acordado. También nos lo exige la normativa estadounidense sobre renovación automática.
• Registros de facturación, contabilidad e impuestos: se conservan durante el plazo que exija la normativa fiscal aplicable, que sobrevive a la cuenta.
• Copias de seguridad cifradas: se sobrescriben en su ciclo de rotación y se eliminan a más tardar 35 días después de que los datos se borraran del sistema activo. Hasta entonces solo se usan para recuperación ante desastres.

9. Cómo los protegemos

Describimos nuestras medidas con precisión en lugar de en términos amplios, porque una afirmación de seguridad exagerada constituye en sí misma un riesgo jurídico y porque quedamos vinculados por lo que publicamos aquí.

El límite de esa protección, dicho con claridad: el cifrado en reposo protege el soporte de almacenamiento. No es cifrado de extremo a extremo. El servicio tiene que descifrar un modelo para analizarlo, de modo que técnicamente podemos acceder al contenido de los archivos, y usted no debe suponer lo contrario.

Ningún sistema es absolutamente seguro. Si se produce una violación de la seguridad de los datos personales que probablemente entrañe un alto riesgo para sus derechos y libertades, se lo comunicaremos sin dilación indebida y lo notificaremos a las autoridades competentes dentro de los plazos que nos resulten aplicables.

• Los archivos subidos se cifran en reposo con AES-256-GCM, usando una clave derivada para cada archivo concreto mediante HKDF-SHA256 a partir de una clave maestra y una sal aleatoria propia del archivo.
• El formato de archivo almacenado incorpora un identificador de clave, de modo que las claves maestras pueden rotarse y retirarse sin reescribir los archivos existentes.
• Los archivos se almacenan en tramas autenticadas de 256 KB. Cada trama lleva su propia etiqueta de autenticación, y el nonce y los datos autenticados adicionales de cada trama la vinculan a su posición y al final del archivo, de modo que las tramas no pueden reordenarse ni descartarse, ni el flujo truncarse, sin que se detecte.
• El tráfico hacia y desde nuestras interfaces públicas se protege con TLS.
• El acceso a los datos de producción se basa en roles y se concede conforme al principio de necesidad de conocer; los archivos se aíslan por cuenta con permisos restrictivos del sistema de archivos; los tokens de API tienen alcance limitado y límites de frecuencia; los inicios de sesión fallidos repetidos bloquean la cuenta.
• Las copias de seguridad están cifradas. La disponibilidad del servicio se supervisa. Los plazos de conservación los aplican tareas programadas, no las buenas intenciones.
• Los cambios están cubiertos por un conjunto de pruebas automatizadas, incluidos controles de regresión que verifican la aplicación de los consentimientos y el contenido de estos documentos legales.

10. Tratamiento automatizado

El presupuesto se elabora automáticamente: el motor lamina su modelo y calcula un precio sin que una persona lo revise. Hemos fijado una posición sobre lo que eso significa jurídicamente, en lugar de dejar la cuestión sin abordar.

En nuestra valoración, un presupuesto de precio automatizado para un trabajo de impresión no es una decisión que produzca efectos jurídicos sobre usted o le afecte significativamente de modo similar en el sentido del artículo 22.1 del RGPD. Es una estimación de precio que usted es libre de aceptar, rechazar u obtener en otro sitio, y nada de sus derechos o de su situación cambia como consecuencia de ella.

Por tanto, no tratamos la presupuestación como decisión automatizada del artículo 22. Si no está de acuerdo en su caso concreto, escríbanos: puede pedir que se explique la base de un presupuesto y que una persona lo revise. En derecho turco, el artículo 11.1.g) de la Ley n.º 6698 le otorga un derecho expreso a oponerse a un resultado producido exclusivamente por análisis automatizado cuando le perjudique, y lo respetaremos.

11. Sus derechos

Con sujeción al derecho que le resulte aplicable, usted dispone de los siguientes derechos. Todos se ejercen del mismo modo: envíe un correo a [email protected] desde la dirección asociada a su cuenta, o facilítenos datos suficientes para localizar sus registros.

Cuando resulta aplicable la Ley turca n.º 6698, su artículo 11 le otorga además el derecho a conocer si sus datos se han transferido en el país o al extranjero y a quién, a solicitar que se notifique a terceros una corrección o supresión, y a reclamar la indemnización del daño derivado de un tratamiento ilícito.

No cobramos por estas solicitudes. Acusamos recibo de una solicitud en 5 días hábiles y respondemos en 30 días. Cuando una solicitud es compleja podemos ampliar ese plazo, y le diremos por qué antes de que venza el plazo inicial. Le pediremos que verifique su identidad, y nada más.

Si no está satisfecho con cómo hemos gestionado una solicitud, díganoslo. Acusamos recibo de las reclamaciones en 30 días y le comunicamos qué pensamos hacer al respecto.

• Acceso — obtener confirmación de si tratamos sus datos, una copia de ellos y la información de esta política en lo que le afecta.
• Rectificación — que se corrijan los datos inexactos y se completen los incompletos.
• Supresión — que se eliminen sus datos cuando se cumplan las condiciones legales. No hace falta que lo pida: los ajustes del panel incluyen un botón de eliminación que borra la cuenta de inmediato. Antes de que confirme, nombra cada registro que una obligación legal nos obliga a conservar y por qué.
• Limitación — que se limite el tratamiento mientras se resuelve una controversia sobre la exactitud o la licitud.
• Oposición — oponerse al tratamiento basado en nuestros intereses legítimos, por motivos relativos a su situación particular. Cesaremos salvo que podamos acreditar motivos legítimos imperiosos que prevalezcan sobre sus intereses.
• Portabilidad — recibir los datos que nos facilitó en un formato estructurado, de uso común y de lectura mecánica, y que se transmitan a otro responsable cuando sea técnicamente posible. Los ajustes del panel incluyen un botón de descarga que genera esto como un único archivo JSON. Sus secretos de API quedan deliberadamente fuera.
• Retirada del consentimiento — en cualquier momento, para todo aquello que hagamos sobre la base del consentimiento, sin que afecte a la licitud del tratamiento previo a la retirada. El consentimiento de cookies se retira desde el aviso de cookies; el del asistente y el del correo de marketing, escribiéndonos.
• Reclamar ante una autoridad de control — en el Espacio Económico Europeo, la autoridad de su país de residencia, de trabajo o del lugar de la presunta infracción; en el Reino Unido, la Information Commissioner's Office; en Türkiye, la Autoridad de Protección de Datos Personales (KVKK). No tiene que reclamarnos antes a nosotros.

12. Cookies, Do Not Track y Global Privacy Control

Usamos cuatro categorías de cookies: necesarias, analíticas, de marketing y funcionales. Todo lo que no sea necesario está desactivado por defecto y solo se carga después de que usted lo acepte mediante nuestro aviso de cookies. Nuestra Política de Cookies describe cada categoría.

Do Not Track: nuestro servicio no responde de forma distinta a una señal Do Not Track del navegador. No existe un estándar del sector acordado sobre cómo debería reaccionar un sitio ante ella, y preferimos decírselo con claridad antes que dar a entender una protección que no ofrecemos.

Global Privacy Control: sí respetamos la señal Global Privacy Control. Cuando su navegador envía una, la tratamos como un rechazo de las cookies analíticas y de marketing, y esas tecnologías no se cargan. La señal prevalece sobre una aceptación anterior en nuestro aviso, porque una exclusión que un clic previo pudiera anular no sería una exclusión. Si desea activar la analítica o la publicidad, desactive la señal en su navegador.

Otros terceros que recogen datos entre sitios: si — y solo si — acepta las cookies analíticas o de marketing, Google puede recoger información sobre su actividad en este sitio y combinarla a lo largo del tiempo con información de otros sitios, en su condición de proveedor de analítica y publicidad. Si rechaza esas categorías, esa recogida no se produce aquí. Las tecnologías necesarias, incluida reCAPTCHA, funcionan en todo caso, pero se emplean para la seguridad y no para elaborar un perfil suyo.

13. California

Esta sección se facilita para residentes de California. Actualmente no alcanzamos los umbrales que someten a una empresa a la California Consumer Privacy Act, pero publicamos esta información porque la California Online Privacy Protection Act se aplica con independencia de nuestro tamaño y porque preferimos que usted pueda comprobarlo.

Puede solicitar el acceso, la supresión y la corrección de su información personal, y no se le tratará de manera distinta por pedirlo. Utilice la vía de contacto de la sección 11.

Cuando actuamos como proveedor de servicios para uno de nuestros clientes empresariales, tratamos la información de sus consumidores únicamente conforme a sus instrucciones y a las condiciones contractuales establecidas en nuestro Acuerdo de Tratamiento de Datos.

• Categorías de información personal recogidas en los últimos 12 meses: identificadores (nombre, correo electrónico, identificador de cuenta, dirección IP); información comercial (registros de suscripción, plan y transacciones); actividad en internet (páginas visitadas, interacción con el servicio); geolocalización inferida únicamente a nivel de país a partir de su dirección IP con fines fiscales y de idioma; y el contenido que usted envía, es decir, sus archivos y sus mensajes a soporte.
• Fuentes: usted, su navegador, nuestro proveedor de pagos y el proveedor de identidad con el que elija iniciar sesión.
• Finalidades empresariales: las indicadas en la sección 4.
• Categorías de terceros a los que revelamos información: los indicados en la sección 6.
• No vendemos información personal ni la hemos vendido en los 12 meses anteriores.
• Compartición para publicidad conductual entre contextos: nuestras tecnologías publicitarias solo se cargan si usted ha aceptado las cookies de marketing. Si las acepta, la publicidad resultante puede constituir «compartición» conforme al derecho de California. Rechazar las cookies de marketing, o enviar una señal Global Privacy Control, lo detiene.
• No recogemos conscientemente información personal de menores de 18 años, de modo que no vendemos ni compartimos información personal de menores.
• Conservación: según lo indicado en la sección 8.

14. Edad

El servicio está destinado a personas de 18 años o más. Debe tener 18 años para crear una cuenta, y los planes de pago exigen capacidad para contratar.

No recogemos conscientemente datos personales de menores de 18 años. Si cree que un menor nos ha facilitado datos personales, escriba a [email protected] y los eliminaremos. Si es madre, padre o tutor y desea comprobarlo, contáctenos y le ayudaremos.

15. Cambios en esta política

La fecha de entrada en vigor que figura en la parte superior de esta página es la fecha en que empezó a regir la redacción actual. Solo cambia cuando cambia la redacción, de modo que puede confiar en ella.

Cuando introduzcamos un cambio sustancial — uno que afecte a qué recogemos, para qué, quién lo recibe, cuánto lo conservamos o a sus derechos — lo comunicaremos a los titulares de cuenta por correo electrónico con al menos 30 días de antelación a su entrada en vigor, e indicaremos qué ha cambiado. Cuando un cambio requiera su consentimiento, lo pediremos en lugar de presumirlo.

Las versiones anteriores están disponibles previa solicitud.