@extends('legal.layout')

@section('seoTitle', 'Política de Privacidad')
@section('seoDesc', 'Cómo Fermenty recoge, usa, conserva y protege tus datos personales conforme al RGPD y la LOPDGDD, y cómo ejercer tus derechos.')
@section('heading', 'Política de Privacidad')

@section('legal')
@php
    $company = config('legal.company');
    $cif     = config('legal.cif');
    $resp    = config('legal.responsible');
    $role    = config('legal.role');
    $addr    = config('legal.address');
    $emailP  = config('legal.emails.privacy');
@endphp

<div class="legal-toc">
  <strong>Contenido</strong>
  <ul>
    <li><a href="#responsable">1. Responsable</a></li>
    <li><a href="#datos">2. Datos que recogemos</a></li>
    <li><a href="#finalidades">3. Finalidades y bases jurídicas</a></li>
    <li><a href="#conservacion">4. Conservación</a></li>
    <li><a href="#destinatarios">5. Destinatarios y transferencias</a></li>
    <li><a href="#derechos">6. Tus derechos</a></li>
    <li><a href="#seguridad">7. Seguridad</a></li>
    <li><a href="#rgpd">8. Información RGPD ampliada</a></li>
    <li><a href="#turnstile">9. Cloudflare Turnstile</a></li>
    <li><a href="#menores">10. Menores de Edad</a></li>
  </ul>
</div>

<h2 id="responsable">1. Responsable del Tratamiento</h2>
<p>El Responsable del tratamiento de sus datos personales es:</p>
<div class="legal-card">
  <p style="margin:0 0 .4em;"><strong>Persona responsable:</strong> {{ $resp }}, en calidad de {{ $role }} de {{ $company }}</p>
  <p style="margin:0 0 .4em;"><strong>Entidad:</strong> {{ $company }}</p>
  <p style="margin:0 0 .4em;"><strong>CIF:</strong> {{ $cif }}</p>
  <p style="margin:0 0 .4em;"><strong>Domicilio:</strong> {{ $addr }}</p>
  <p style="margin:0;"><strong>Contacto privacidad:</strong> <a href="mailto:{{ $emailP }}">{{ $emailP }}</a></p>
</div>

<h2 id="datos">2. Datos que Recogemos</h2>
<p>Fermenty recoge exclusivamente los datos estrictamente necesarios para la prestación del servicio:</p>
<h3>2.1 Datos de registro (cuenta de usuario)</h3>
<ul>
  <li>Dirección de correo electrónico.</li>
  <li>Contraseña (almacenada en formato hash irreversible; nunca en texto plano).</li>
</ul>
<h3>2.2 Datos generados por el uso de la plataforma</h3>
<ul>
  <li>Datos de producción introducidos por el usuario (lotes, recetas, productos, análisis APPCC).</li>
  <li>Registros de actividad técnica (logs de acceso, timestamps, dirección IP).</li>
</ul>
<p>{{ $company }} <strong>no</strong> recoge datos especialmente protegidos (salud, biometría, ideología, etc.), datos de menores, ni datos financieros o de pago.</p>

<h2 id="finalidades">3. Finalidades y Bases Jurídicas del Tratamiento</h2>
<table class="legal-table">
  <thead><tr><th>Finalidad</th><th>Base jurídica (RGPD Art. 6)</th></tr></thead>
  <tbody>
    <tr><td>Gestión del acceso a la plataforma (login/registro)</td><td>Ejecución de contrato (Art. 6.1.b)</td></tr>
    <tr><td>Prestación del servicio</td><td>Ejecución de contrato (Art. 6.1.b)</td></tr>
    <tr><td>Seguridad e integridad del sistema</td><td>Interés legítimo (Art. 6.1.f)</td></tr>
    <tr><td>Cumplimiento de obligaciones legales</td><td>Obligación legal (Art. 6.1.c)</td></tr>
    <tr><td>Comunicaciones sobre el servicio</td><td>Interés legítimo (Art. 6.1.f)</td></tr>
  </tbody>
</table>

<h2 id="conservacion">4. Conservación de los Datos</h2>
<p>Los datos se conservarán durante la vigencia de la relación contractual y, una vez finalizada, durante los plazos legales aplicables:</p>
<ul>
  <li><strong>Datos de cuenta:</strong> hasta la cancelación de la cuenta por el usuario + 5 años (obligación fiscal y mercantil).</li>
  <li><strong>Logs de acceso:</strong> 12 meses (conforme a la Ley 25/2007, de conservación de datos de comunicaciones electrónicas).</li>
  <li><strong>Datos de producción:</strong> hasta solicitud de supresión por el usuario, salvo obligación legal de retención.</li>
</ul>

<h2 id="destinatarios">5. Destinatarios y Transferencias Internacionales</h2>
<p>{{ $company }} no cede datos personales a terceros con fines comerciales. Los datos podrán ser accesibles por:</p>
<ul>
  <li>Proveedores de infraestructura tecnológica (hosting, servidores) bajo contrato de Encargado del Tratamiento conforme al Art. 28 RGPD.</li>
  <li>Administraciones públicas y organismos reguladores cuando la ley lo exija.</li>
</ul>
<p>Si algún proveedor se encuentra fuera del Espacio Económico Europeo, {{ $company }} garantizará la existencia de garantías adecuadas (cláusulas contractuales tipo, decisiones de adecuación de la Comisión Europea, etc.).</p>

<h2 id="derechos">6. Derechos de los Interesados</h2>
<p>El usuario puede ejercer, en cualquier momento, los siguientes derechos reconocidos por el RGPD y la LOPDGDD:</p>
<ul>
  <li><strong>Acceso:</strong> conocer qué datos trata {{ $company }} sobre usted.</li>
  <li><strong>Rectificación:</strong> corregir datos inexactos o incompletos.</li>
  <li><strong>Supresión («derecho al olvido»):</strong> solicitar la eliminación de sus datos.</li>
  <li><strong>Limitación del tratamiento:</strong> solicitar la suspensión del tratamiento en los casos previstos.</li>
  <li><strong>Portabilidad:</strong> recibir sus datos en formato estructurado y de uso común.</li>
  <li><strong>Oposición:</strong> oponerse al tratamiento basado en interés legítimo.</li>
  <li><strong>No ser objeto de decisiones automatizadas</strong> que produzcan efectos jurídicos.</li>
</ul>
<p>Para ejercer cualquiera de estos derechos, envíe un correo a <a href="mailto:{{ $emailP }}">{{ $emailP }}</a> indicando el derecho que desea ejercer y adjuntando copia de su DNI o documento identificativo equivalente. {{ $company }} responderá en el plazo máximo de un mes, prorrogable hasta tres meses en casos de complejidad.</p>
<p>Si considera que el tratamiento de sus datos vulnera la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), <a href="https://www.aepd.es" target="_blank" rel="noopener">www.aepd.es</a>.</p>

<h2 id="seguridad">7. Medidas de Seguridad</h2>
<p>{{ $company }} ha adoptado las medidas técnicas y organizativas necesarias para garantizar la seguridad e integridad de los datos personales, conforme al artículo 32 del RGPD, incluyendo:</p>
<ul>
  <li>Cifrado de contraseñas mediante algoritmos de hash con sal (bcrypt o equivalente).</li>
  <li>Transmisión de datos mediante protocolo HTTPS/TLS.</li>
  <li>Control de acceso basado en roles (RBAC).</li>
  <li>Copias de seguridad periódicas con verificación de integridad.</li>
  <li>Registro de accesos y auditoría interna.</li>
</ul>

<h2 id="rgpd">8. Información sobre Protección de Datos (RGPD / LOPDGDD)</h2>
<p>Esta sección complementa la política anterior conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).</p>
<h3>8.1 Registro de Actividades de Tratamiento (RAT)</h3>
<p>{{ $company }} mantiene un Registro de Actividades de Tratamiento conforme al Art. 30 RGPD, disponible para inspección por la AEPD. Tratamientos principales:</p>
<ul>
  <li><strong>T-01 · Gestión de usuarios:</strong> email, contraseña hasheada, logs e IP. Finalidad: prestación del servicio y gestión de la cuenta. Base: Art. 6.1.b. Conservación: contrato + 5 años.</li>
  <li><strong>T-02 · Datos de producción:</strong> recetas, lotes, registros APPCC, proveedores e inventario. Finalidad: gestión de la producción del cliente. Base: Art. 6.1.b. Conservación: hasta supresión o baja.</li>
</ul>
<h3>8.2 Evaluación de Impacto (EIPD)</h3>
<p>Dado que los datos tratados se limitan a email, contraseña hasheada y datos de producción no sensibles, no se ha considerado necesaria una EIPD formal en la versión inicial. Esta valoración se revisará ante cualquier cambio sustancial.</p>
<h3>8.3 Encargados del Tratamiento</h3>
<p>{{ $company }} suscribe contratos de Encargado del Tratamiento (DPA) con todos los proveedores que accedan a datos personales, conforme al Art. 28 RGPD.</p>
<h3>8.4 Notificación de Brechas de Seguridad</h3>
<p>En caso de brecha de seguridad, {{ $company }} actuará conforme a los Arts. 33 y 34 RGPD: notificación a la AEPD en un máximo de 72 horas y comunicación a los usuarios afectados sin dilación indebida cuando exista alto riesgo para sus derechos y libertades.</p>
<h3>8.5 Delegado de Protección de Datos (DPD)</h3>
<p>{{ $company }} no está obligada a designar un DPD conforme al Art. 37 RGPD, al no tratar datos a gran escala ni categorías especiales. Las consultas pueden dirigirse a <a href="mailto:{{ $emailP }}">{{ $emailP }}</a>.</p>

<h2 id="turnstile">9. Cloudflare Turnstile (Protección Antispam)</h2>
<p>Para proteger los formularios de registro y lista de espera frente al envío automatizado por bots, {{ $company }} utiliza <strong>Cloudflare Turnstile</strong>, un servicio de verificación de usuarios prestado por <strong>Cloudflare, Inc.</strong> (101 Townsend St., San Francisco, CA 94107, EE. UU.).</p>
<h3>9.1 Datos tratados</h3>
<p>Cuando se carga un formulario protegido por Turnstile, Cloudflare puede procesar los siguientes datos de forma automática:</p>
<ul>
  <li>Dirección IP del visitante.</li>
  <li>Metadatos del navegador y del dispositivo (agente de usuario, configuración de idioma, resolución de pantalla, etc.).</li>
  <li>Datos de comportamiento de la sesión necesarios para determinar si el visitante es humano (movimientos del ratón, tiempos de interacción).</li>
  <li>Un identificador de sesión temporal generado por Cloudflare.</li>
</ul>
<p>Turnstile <strong>no utiliza cookies de seguimiento</strong> ni identifica a los usuarios de forma persistente entre visitas. Los datos se procesan de forma efímera con el único fin de generar y validar el token de verificación.</p>
<h3>9.2 Finalidad y base jurídica</h3>
<p>La finalidad exclusiva es <strong>prevenir el abuso automatizado</strong> de los formularios (spam, registros masivos de bots). La base jurídica del tratamiento es el <strong>interés legítimo</strong> de {{ $company }} en garantizar la seguridad e integridad de sus servicios (Art. 6.1.f RGPD).</p>
<h3>9.3 Encargado del tratamiento y transferencia internacional</h3>
<p>Cloudflare actúa como <strong>Encargado del Tratamiento</strong> conforme al Art. 28 RGPD, bajo las condiciones establecidas en el <a href="https://www.cloudflare.com/cloudflare-customer-dpa/" target="_blank" rel="noopener">Acuerdo de Tratamiento de Datos de Cloudflare</a>. Al estar Cloudflare establecida en Estados Unidos, la transferencia internacional de datos está amparada por las <strong>Cláusulas Contractuales Tipo</strong> (CCT) aprobadas por la Comisión Europea.</p>
<p>Para más información sobre cómo Cloudflare trata los datos recabados por Turnstile, consulte la <a href="https://www.cloudflare.com/en-gb/turnstile-privacy-policy/" target="_blank" rel="noopener">Política de privacidad de Cloudflare Turnstile</a> y la <a href="https://www.cloudflare.com/privacypolicy/" target="_blank" rel="noopener">Política de privacidad general de Cloudflare</a>.</p>

<h2 id="menores">10. Menores de Edad</h2>
<p>El servicio no está dirigido a menores de edad. {{ $company }} no recoge conscientemente datos de menores; si se detectaran sin base legítima, se procederá a su supresión.</p>
@endsection