Política de privacidad

1. Información que recogemos

Información de la cuenta. Tu dirección de correo y una contraseña que almacenamos únicamente como hash con sal. Si inicias sesión con Google o Apple, recibimos tu dirección de correo y el identificador de cuenta del proveedor en lugar de una contraseña.

Información del pedido. Los planes que compras, la cantidad, el estado del pedido, el importe cobrado en dólares estadounidenses, el importe aproximado en moneda local mostrado al finalizar la compra, los identificadores de pago y de sesión de compra de Stripe, y el nombre del cupón utilizado, si lo hubiera.

Información de la eSIM. Para entregar y dar soporte a tu eSIM almacenamos el número de pedido del proveedor, el código de activación y su imagen QR, el estado del perfil, el ICCID, la configuración APN, las fechas de activación y caducidad, y el consumo de datos que nos comunica el proveedor. Si introduces el EID de tu dispositivo, o detectamos su modelo y su sistema operativo durante la instalación, también lo almacenamos.

Datos de la red móvil. Cuando usas la eSIM, el operador de red móvil al que se conecta tu dispositivo trata los identificadores de la eSIM (ICCID y EID), el modelo de tu dispositivo, tu consumo de datos y los demás datos de conexión que necesita para prestar su servicio de telecomunicaciones. Cada operador los trata como se describe en la sección 4.

Puntos, cupones y recargas. Tu saldo de puntos y un registro de cada abono, uso y ajuste, junto con el pedido con el que está relacionado. Los cupones que registras, cuándo los registraste y el pedido en el que los usaste. Para cada recarga: la eSIM a la que se añadió, el paquete, los datos y días añadidos, el importe cobrado, su estado y los identificadores de Stripe.

Correos que te enviamos. Conservamos constancia de que se enviaron los correos descritos en la sección 3, pero nosotros no guardamos una copia de su contenido. Cloudflare, que envía nuestros correos, puede conservar el contenido de un correo enviado hasta unos 7 días para su entrega y la resolución de incidencias antes de eliminarlo. El correo de eSIM lista contiene tu plan, el número de pedido, un enlace a tu código QR y tu código de activación, por lo que cualquiera con acceso a tu buzón puede instalar la eSIM.

Información de pago. Los pagos los procesa Stripe. Introduces los datos de tu tarjeta y de facturación en la página de pago de Stripe. Nunca recibimos ni almacenamos el número completo de tu tarjeta, su fecha de caducidad ni su código de seguridad.

Información técnica. Cloudflare Turnstile trata tu dirección IP y señales del navegador cuando inicias sesión o te registras, para bloquear el abuso automatizado. Conservamos un registro de los eventos de tu pedido (por ejemplo, emisión, reintentos, reembolsos) para soporte y diagnóstico.

2. Cookies

Usamos una cookie, patime_session, para mantener tu sesión iniciada. Está firmada, es HTTP-only, se limita a peticiones del mismo sitio, se envía solo por HTTPS y caduca a los 14 días. Es estrictamente necesaria para el servicio y no puede desactivarse mientras tengas la sesión iniciada.

Cloudflare Turnstile puede establecer su propia cookie de corta duración para verificar que una petición no es automatizada. No usamos cookies de publicidad, elaboración de perfiles ni analítica de terceros.

3. Por qué usamos tus datos

• Para cumplir nuestro contrato contigo: crear tu cuenta, emitir la eSIM, enviarte el correo de eSIM lista con tu código QR y tu código de activación, añadir recargas, mostrar tus pedidos, gestionar reembolsos y prestar soporte.
• Para gestionar los puntos y cupones: abonar puntos cuando los eliges en lugar de un reembolso a la tarjeta, aplicar puntos y cupones al finalizar la compra, y devolver cualquier saldo según se describe en los Términos del servicio.
• Para enviar correos del servicio: verificar tu dirección de correo y entregarte la eSIM. Forman parte del servicio y no son publicidad.
• Por nuestro interés legítimo: prevenir el fraude y el abuso automatizado, mantener el servicio seguro y diagnosticar fallos.
• Para cumplir obligaciones legales: requisitos fiscales, contables, de protección del consumidor y de conservación de registros.
• Con tu consentimiento, cuando sea necesario, por ejemplo para comunicaciones opcionales. Puedes retirarlo en cualquier momento.

4. Con quién los compartimos

Compartimos datos personales únicamente con los proveedores necesarios para prestar el servicio, y solo con esa finalidad:

• Stripe — procesamiento de pagos, reembolsos y prevención del fraude. Stripe trata datos personales siguiendo nuestras instrucciones para el procesamiento de pagos, y como responsable independiente para algunas finalidades, como la prevención del fraude y el cumplimiento de sus propias obligaciones legales. Para esas finalidades se aplica la política de privacidad de Stripe.
• Cloudflare — alojamiento, base de datos y almacenamiento de archivos, envío de nuestros correos (verificación del correo y correo de eSIM lista) y protección frente a bots.
• Google o Apple — solo si eliges iniciar sesión con ellos.

Los operadores de red móvil no figuran en esta lista porque no les enviamos tus datos. Cuando tu dispositivo usa la eSIM, se conecta directamente a la red de un operador como Singtel, IIJmio, CMLink, SK Telecom, LG Uplus, Airtel, NTT Docomo, Verizon, AT&T o Three. El operador depende del plan y del destino, y la página del plan muestra las redes. Para prestar el servicio móvil, ese operador trata por sí mismo los identificadores de tu eSIM (ICCID y EID), el modelo de tu dispositivo, tu consumo de datos y otros datos de conexión, conforme a la ley de su país.

Para emitir una eSIM, enviamos a nuestro proveedor de eSIM (un operador de red móvil) un número de transacción interno y los datos del plan necesarios para la emisión. No le enviamos tu nombre ni tu dirección de correo. Aun así, los identificadores del pedido y del perfil pueden identificarte si se combinan con otra información, por lo que los protegemos como datos personales conforme a la ley aplicable.

No vendemos tus datos personales ni los compartimos con fines publicitarios. Solo los comunicamos a las autoridades cuando la ley nos obliga a ello.

5. Transferencias internacionales

Operamos desde Estados Unidos y tus datos se tratan allí y en las demás ubicaciones que utilizan nuestros proveedores. Si te encuentras fuera de Estados Unidos, esto significa que tus datos se transfieren a otros países.

El lugar donde se guardan los datos a largo plazo y el lugar donde se procesan brevemente no son lo mismo. Nuestros datos se guardan en los sistemas de base de datos y de almacenamiento de archivos que ofrece Cloudflare, en la región de almacenamiento que Cloudflare asigna. Stripe guarda los datos de pago en sus propios sistemas, principalmente en Estados Unidos. Las solicitudes al servicio, nuestros correos y las cachés de corta duración pueden pasar por centros de datos de Cloudflare de todo el mundo o guardarse en ellos por poco tiempo.

Cuando la ley de tu país exige garantías para estas transferencias, nos amparamos en las condiciones de tratamiento de datos que Stripe y Cloudflare incluyen en sus contratos con nosotros, que los limitan a tratar los datos siguiendo nuestras instrucciones y les exigen aplicar medidas de seguridad. Las secciones 14 y 15 recogen los detalles exigidos en Corea y Japón.

6. Cuánto tiempo los conservamos

• Información de la cuenta: hasta que se elimine tu cuenta a petición tuya.
• Registros de pedidos, pagos, puntos, cupones y recargas: 5 años desde la fecha de la transacción.
• Registros de quejas y disputas: 3 años.
• Códigos de instalación (código de activación e imagen QR): 30 días después de que termine el plan, o después de que la eSIM se cancele, se reembolse o caduque sin haberse instalado. Pasado ese tiempo ya no funcionan y dejan de ser necesarios.
• Otra información de la eSIM (ICCID, estado del perfil, fechas de activación y caducidad, consumo de datos, EID y datos del dispositivo): 1 año después de que termine el plan, para soporte, liquidación con el proveedor y disputas.
• Registros de seguridad y prevención de abusos: 90 días.

Eliminamos los datos en un plazo de 30 días desde que termina su plazo de conservación. Cuando nos pides eliminar tus datos, los eliminamos sin demora, salvo los registros que debemos conservar por ley, que conservamos solo durante el plazo indicado arriba y usamos únicamente para esa finalidad legal. Los datos eliminados pueden permanecer en copias de seguridad cifradas hasta 30 días más antes de sobrescribirse.

7. Tus derechos

Según dónde vivas, puedes tener derecho a acceder a una copia de tus datos, rectificarlos, suprimirlos, recibirlos en un formato portátil, oponerte a determinados tratamientos o limitarlos, y retirar tu consentimiento. Para ejercer cualquiera de ellos, escribe a abuse@elysia-root.com. Es posible que necesitemos verificar tu identidad antes.

Eliminar tu cuenta no borra los registros que debemos conservar por ley, como las facturas.

8. Derechos de privacidad de los estados de EE. UU.

Somos una empresa estadounidense. Varios estados — entre ellos California, Virginia, Colorado, Connecticut, Utah, Texas, Oregón y Montana — reconocen derechos de privacidad a sus residentes. Esta sección explica cómo los gestionamos.

No vendemos tu información personal ni la compartimos para publicidad conductual entre contextos. No la usamos para publicidad dirigida ni para elaborar perfiles que produzcan efectos jurídicos o similarmente significativos. Como no vendemos ni compartimos, una señal de exclusión como Global Privacy Control no tiene nada de lo que excluirte.

En los doce meses anteriores a la fecha indicada arriba recogimos las categorías de información personal descritas en la sección 1: identificadores (como tu dirección de correo y tu dirección IP), registros de cliente (como el historial de pedidos y los importes pagados), información comercial (los planes y recargas que compraste, y tus puntos y cupones), actividad en internet necesaria para operar y proteger el servicio, y credenciales de la cuenta, que California considera información personal sensible. La obtenemos de ti, de tu uso del servicio y de nuestro proveedor de pagos y proveedor de eSIM. La usamos solo para los fines de la sección 3 y la comunicamos únicamente a los proveedores de la sección 4. No usamos información personal sensible para inferir características sobre ti.

Según tu estado, puedes tener derecho a saber qué recogemos, a acceder a una copia, a rectificarla, a suprimirla, a obtenerla en formato portátil, a excluirte de la venta, la cesión, la publicidad dirigida o determinados perfiles, y a limitar el uso de información personal sensible. No te discriminaremos por ejercer ninguno de estos derechos.

Para presentar una solicitud, escribe a abuse@elysia-root.com. Verificaremos tu identidad contrastándola con la información de tu cuenta antes de actuar, y responderemos dentro del plazo que permita tu estado: 45 días en la mayoría, prorrogables una vez cuando la ley lo permita. Un agente autorizado puede actuar en tu nombre si le das permiso por escrito y podemos verificarlo.

Si denegamos tu solicitud, puedes recurrir respondiendo a nuestra decisión con la palabra “appeal”. La revisaremos y te comunicaremos el resultado y los motivos. Si denegamos el recurso, puedes dirigirte a la fiscalía general de tu estado.

9. Vivas donde vivas

Somos una empresa establecida en Estados Unidos y prestamos el servicio a nivel internacional. Según dónde vivas y dónde uses el servicio, pueden sernos aplicables las leyes de privacidad y de protección del consumidor de ese lugar. Respetamos los derechos que esas leyes te reconocen, y nada de lo dispuesto en esta política limita un derecho que la ley te garantice. Además, aplicamos los derechos de la sección 7 a todo el que los solicite.

Envía cualquier solicitud o consulta a abuse@elysia-root.com. Si la ley de tu país te reconoce el derecho a reclamar ante una autoridad de protección de datos, también puedes hacerlo.

10. Seguridad

Las contraseñas se almacenan como hash PBKDF2 con sal y nunca se conservan en formato legible. El tráfico se sirve por HTTPS, las cookies de sesión están firmadas y el acceso a los datos de pedidos se limita a la cuenta que realizó el pedido y a los administradores autorizados. Ningún sistema es perfectamente seguro, pero trabajamos para proteger tus datos y te avisaremos si una brecha te afecta y la ley lo exige.

11. Menores

El servicio no está dirigido a menores. No recogemos conscientemente información personal de menores de 13 años, según define la Children’s Online Privacy Protection Act de Estados Unidos, ni de menores de 16 allí donde la ley local fije esa edad. Si crees que un menor nos ha facilitado datos personales, escríbenos y los eliminaremos.

12. Cambios

Podemos actualizar esta política. Cambiaremos la fecha que figura arriba y, en caso de cambios significativos, avisaremos en el servicio antes de que surtan efecto.

13. Contacto

Elysia Root L.C., sociedad de responsabilidad limitada de Wyoming (Filing ID de Wyoming 2022-001141349). Dirección postal: 533, 2FL, 447 Broadway, New York, NY, Estados Unidos. Consultas sobre privacidad: abuse@elysia-root.com.

14. Para usuarios en Corea

Esta sección recoge la información exigida por la Ley de Protección de la Información Personal de la República de Corea. Cuando sea más específica que el resto de esta política, se aplica a los usuarios en Corea.

Datos, finalidades y conservación

La información personal que tratamos y el motivo se describen en las secciones 1 y 3, y el tiempo que conservamos cada dato, en la sección 6. El plazo de 5 años para los registros de pedidos, pagos, puntos, cupones y recargas y el de 3 años para los registros de quejas y disputas siguen la Ley de Protección del Consumidor en el Comercio Electrónico, etc.

Comunicación a terceros y encargo del tratamiento

No comunicamos tu información personal a terceros, salvo cuando la ley lo exige. Encargamos el tratamiento a Cloudflare, y a Stripe para el procesamiento de pagos, mediante contratos que los limitan a prestarnos ese servicio. Para algunas finalidades, como la prevención del fraude y el cumplimiento de sus propias obligaciones legales, Stripe trata los datos como responsable independiente conforme a su propia política de privacidad. Los operadores de red móvil no son encargados del tratamiento nuestros: cuando tu dispositivo usa la eSIM, se conecta directamente a la red del operador, y este trata por sí mismo los datos de conexión, como prestador del servicio de telecomunicaciones, conforme a la ley de su país.

Transferencia de información personal al extranjero

Tenemos nuestra sede en Estados Unidos, y tu información personal se recoge y almacena fuera de Corea. Encargamos su tratamiento y almacenamiento en el extranjero porque es necesario para celebrar y ejecutar nuestro contrato contigo, y publicamos los detalles siguientes en esta política, tal como permite el artículo 28-8(1)(iii) de la Ley. Los destinatarios en el extranjero son:

• Stripe, Inc. (Estados Unidos) — Datos que enviamos: número de pedido, nombre e importe del plan. Datos que introduces directamente en la página de pago de Stripe, que recoge Stripe y que nosotros nunca recibimos: dirección de correo y datos de tarjeta y de facturación. Finalidad: procesamiento de pagos y reembolsos (siguiendo nuestras instrucciones), y prevención del fraude y cumplimiento de las obligaciones legales propias de Stripe (como responsable independiente). Cuándo y cómo: al finalizar la compra, mediante una conexión cifrada. Conservación: mientras Stripe deba conservar los registros de pago por ley, y no más de 5 años para nuestros registros de la sección 6. Contacto: stripe.com/privacy.
• Cloudflare, Inc. (Estados Unidos) — Datos: la información de la sección 1 excepto los datos de tarjeta, y el contenido de los correos que te enviamos. Finalidad: alojamiento, base de datos y almacenamiento de archivos, envío de correos y protección frente a bots. Dónde: nuestra base de datos y los archivos de imágenes QR se guardan en una única región de almacenamiento que asigna Cloudflare; las solicitudes y los correos pasan por centros de datos de Cloudflare de todo el mundo, y los datos de planes en caché y los contadores de solicitudes de corta duración pueden copiarse en todo el mundo (ver la sección 5). Cuándo y cómo: cada vez que usas el servicio, mediante una conexión cifrada. Conservación: durante los plazos de la sección 6; Cloudflare puede conservar el contenido de los correos enviados hasta unos 7 días. Contacto: cloudflare.com/privacypolicy.
• A título informativo, y no como encargo nuestro: los operadores de red móvil como Singtel (Singapur), IIJmio y NTT Docomo (Japón), CMLink (China Mobile International), SK Telecom y LG Uplus (Corea), Airtel (India), Verizon y AT&T (Estados Unidos) y Three tratan lo siguiente cuando tu dispositivo se conecta a ellos — Datos: los identificadores de la eSIM (ICCID y EID), el modelo del dispositivo, el consumo de datos y los demás datos de conexión que cada operador necesita para prestar su servicio de telecomunicaciones. Finalidad: prestar el servicio de datos móviles en tu destino. Cuándo y cómo: cada vez que tu dispositivo se conecta a la red del operador con la eSIM. Conservación: la que establezca cada operador conforme a la ley de su país. El operador y su país dependen del plan y del destino que elijas, y la página del plan muestra las redes.

Puedes rechazar la transferencia al extranjero no creando una cuenta, o pidiéndonos en abuse@elysia-root.com que eliminemos tu cuenta. Como el servicio funciona íntegramente sobre estos proveedores, en ese caso no podremos venderte ni entregarte una eSIM. Los registros que debemos conservar por ley se conservan como se describe en la sección 6.

Procedimiento y método de destrucción

Revisamos periódicamente los datos almacenados y eliminamos la información personal cuyo plazo de conservación ha terminado, o sin demora en cuanto nos pides eliminarla. Los registros que debemos conservar por ley se guardan separados del resto de los datos y se usan solo para esa finalidad hasta que termina su plazo. La información personal se conserva únicamente en formato electrónico y se elimina de nuestra base de datos de forma que no pueda recuperarse. No conservamos registros en papel.

Medidas de seguridad

Nuestras medidas técnicas y administrativas se describen en la sección 10, entre ellas las contraseñas con hash, las conexiones cifradas y el acceso limitado a los administradores autorizados.

Tus derechos y cómo ejercerlos

Puedes pedir acceder a tu información personal, rectificarla o suprimirla, o suspender su tratamiento, y puedes retirar tu consentimiento, escribiendo a abuse@elysia-root.com. Un representante legal o una persona a la que hayas autorizado puede presentar la solicitud en tu nombre. Responderemos sin demora tras verificar la identidad de quien presenta la solicitud.

Responsable de privacidad

Nuestro responsable de privacidad es Sangmin Lee (이상민), representante. Contacto: abuse@elysia-root.com.

Vías de reclamación

Si necesitas ayuda con una queja sobre privacidad, también puedes dirigirte a:

• Comité de Mediación de Conflictos sobre Información Personal — www.kopico.go.kr, 1833-6972
• Centro de Denuncias de Vulneraciones de Información Personal (KISA) — privacy.kisa.or.kr, 118
• Fiscalía Suprema — www.spo.go.kr, 1301
• Oficina de Ciberdelincuencia de la Agencia Nacional de Policía de Corea — ecrm.police.go.kr, 182

15. Para usuarios en Japón

Esta sección recoge los asuntos que hacemos públicos conforme a la Ley de Protección de la Información Personal de Japón.

Operador

Elysia Root L.C., sociedad de responsabilidad limitada de Wyoming (Filing ID de Wyoming 2022-001141349). Dirección postal: 533, 2FL, 447 Broadway, New York, NY, Estados Unidos. Representante: Sangmin Lee (李尙珉).

Finalidades de uso

Usamos la información personal únicamente para los fines de la sección 3.

Medidas de control de seguridad

• Organizativas: el acceso a los datos personales se limita al representante y a los administradores autorizados, y los datos de un pedido solo son visibles para la cuenta que lo realizó.
• Técnicas: las contraseñas se almacenan como hash con sal, las conexiones se cifran con HTTPS, las cookies de sesión están firmadas y el abuso automatizado se bloquea con Cloudflare Turnstile.
• Físicas: no conservamos registros en papel ni gestionamos servidores propios. Los datos se alojan en los centros de datos de Cloudflare, que Cloudflare protege físicamente.
• Conocimiento del entorno externo: los datos personales se almacenan en Estados Unidos y en los países donde Cloudflare tiene centros de datos. Aplicamos nuestras medidas de seguridad conociendo el sistema de protección de datos personales de Estados Unidos.

Comunicación a terceros en países extranjeros

Encargamos el tratamiento de datos personales a Stripe, Inc. y Cloudflare, Inc., ambas en Estados Unidos. Stripe trata los datos siguiendo nuestras instrucciones para el procesamiento de pagos y, para algunas finalidades, como la prevención del fraude y el cumplimiento de sus propias obligaciones legales, los trata como operador empresarial independiente conforme a su propia política de privacidad. Conforme a la Ley, encargar datos a un destinatario en un país extranjero constituye una comunicación a un tercero en un país extranjero. Lo hacemos sobre la base de que cada uno de estos destinatarios mantiene sistemas equivalentes a las medidas que exige la Ley: sus condiciones de tratamiento de datos, que forman parte de sus contratos con nosotros, los limitan a tratar los datos siguiendo nuestras instrucciones y para nuestros fines, y les exigen aplicar medidas de seguridad y notificar las brechas. Revisamos esas condiciones y cómo las aplica cada destinatario cuando empezamos a usar un proveedor, cada vez que cambian las condiciones y, en todo caso, al menos una vez al año, y dejamos constancia de cada revisión. Si lo solicitas, te informaremos sobre esas medidas y sobre cómo comprobamos que se aplican.

Estados Unidos no tiene una ley federal general de protección de datos personales; la protección la proporcionan leyes federales sectoriales y leyes estatales como la California Consumer Privacy Act.

Los operadores de red móvil —como Singtel, IIJmio, CMLink, SK Telecom, LG Uplus, Airtel, NTT Docomo, Verizon, AT&T o Three— no son destinatarios a los que comuniquemos datos. Cuando tu dispositivo usa la eSIM, se conecta directamente a la red del operador, y este trata por sí mismo los identificadores de la eSIM (ICCID y EID), el modelo de tu dispositivo, tu consumo de datos y otros datos de conexión, como prestador del servicio de telecomunicaciones, conforme a la ley del país donde tiene su sede.

Solicitudes de divulgación, rectificación o suspensión del uso

Puedes pedirnos que te informemos de las finalidades de uso, que divulguemos, rectifiquemos, completemos o eliminemos tus datos personales conservados, que dejemos de usarlos o de comunicarlos a terceros, o que divulguemos los registros de comunicación a terceros, escribiendo a abuse@elysia-root.com. Verificaremos tu identidad contrastándola con la información de tu cuenta y te responderemos por correo. Un representante legal o una persona a la que hayas autorizado puede presentar la solicitud en tu nombre.

Consultas y quejas

Envía tus consultas y quejas sobre cómo tratamos la información personal a abuse@elysia-root.com.