1. Introducción

Esta Política de Privacidad (en adelante, esta “Política”) explica cómo Japan Onsen & Sauna Guide (en adelante, el “Sitio”) recopila, usa, protege y comparte la información personal de sus usuarios (en adelante, “Usuarios”).

El Sitio presta servicios a usuarios tanto en Japón como a nivel internacional y cumple con las siguientes leyes y normativas:

• Ley de Protección de Información Personal de Japón (APPI)
• Reglamento General de Protección de Datos de la UE (GDPR)
• Ley de Privacidad del Consumidor de California (CCPA)
• Otras leyes de protección de datos aplicables en cada país

---

2. Información del operador

Proveedor del servicio: ForceEngine Co., Ltd.

Nota: En cuanto a la parte gratuita, como la búsqueda de instalaciones y la lectura de artículos, la mayoría de las transacciones no entran en la categoría de “venta a distancia” según la Ley de Transacciones Comerciales Especificadas. Por otra parte, si compra contenido digital de pago, como la revista premium, consulte la indicación basada en la Ley de Transacciones Comerciales Especificadas.

---

3. Información personal que recopilamos

3.1 Información recopilada al registrarse en la lista de espera

Al registrarse en la lista de espera de la revista premium, recopilamos la siguiente información:

• Dirección de correo electrónico (introducida voluntariamente por el usuario)
• Fecha y hora de registro
• Configuración de idioma en el momento del registro

La información recopilada se utiliza únicamente para enviar correos de notificación cuando se publique la revista. Puede darse de baja de la lista de espera en cualquier momento mediante el enlace de cancelación incluido en el correo.

3.2 Información recopilada al realizar consultas

Recopilamos la siguiente información enviada a través del formulario de contacto:

• Dirección de correo electrónico
• Contenido de la consulta
• Fecha y hora de envío

3.3 Información recopilada automáticamente

Cuando accede al Sitio, se recopila automáticamente la siguiente información:

• Dirección IP
• Tipo y versión del navegador
• Sistema operativo
• URL de referencia (la página desde la que accedió al Sitio)
• Fecha y hora de acceso
• Páginas vistas
• ID de cookie (mencionado más adelante)

3.4 Información de ubicación

Al utilizar la función de búsqueda de instalaciones, con su permiso, podemos obtener la información de ubicación del dispositivo (latitud y longitud). Esta información se utiliza únicamente para proporcionar resultados de búsqueda y no se almacena.

3.5 Información recopilada al comprar y pagar revistas premium, etc.

Cuando compra contenido de pago a través de Stripe Checkout o servicios similares, la siguiente información será procesada por nosotros o a través del proveedor de pagos:

• Dirección de correo electrónico (para confirmar al comprador y enviar enlaces mágicos)
• Información de identificación del contenido comprado (como el identificador de la revista)
• Identificadores relacionados con el pago y el pedido (como el ID de transacción emitido por el proveedor de pagos. El número completo de la tarjeta no se almacena en nuestros servidores)
• Importe del pago, moneda y fecha y hora del pago (como registro de la transacción)

Los datos de pago sensibles, como el número de tarjeta y el código de seguridad, son tratados por el proveedor de pagos en conformidad con PCI DSS.

3.6 Información tratada al iniciar sesión mediante enlaces mágicos u otros métodos de autenticación

Para iniciar sesión y acceder al contenido de pago, interviene la infraestructura de autenticación que utilizamos. En este proceso, pueden generarse y almacenarse los siguientes datos:

• Dirección de correo electrónico (destinatario del enlace de acceso)
• Identificador de sesión y token de autenticación (pueden almacenarse en cookies del navegador, etc.)
• Registros técnicos relacionados con los intentos de inicio de sesión (como la dirección IP y la fecha y hora de acceso, para prevenir usos fraudulentos)

---

4. Finalidades del uso de la información personal

La información personal recopilada se utiliza para las siguientes finalidades:

4.1 Prestación del servicio

• Mostrar y gestionar el contenido
• Procesar la compra de contenido de pago, gestionar el historial de compras y conceder permisos de acceso
• Habilitar el inicio de sesión mediante enlaces mágicos u otros métodos y mantener la sesión
• Enviar notificaciones de compra completada, enlaces para ver el contenido y enlaces para volver a iniciar sesión, cuando el usuario realice el trámite

4.2 Mejora del servicio

• Análisis de acceso
• Mejora de la facilidad de uso del sitio
• Desarrollo de nuevas funciones

4.3 Comunicación

• Responder a consultas
• Enviar avisos importantes (relacionados con seguridad, cambios del servicio, etc.)
• Enviar correos de notificación de publicación de la revista a quienes se registraron en la lista de espera (con base en el consentimiento del registrante)
• Enviar avisos de compra completada y correos de inicio de sesión mediante enlaces mágicos u otros métodos para contenido de pago, cuando el usuario realice el trámite

4.4 Prevención del uso fraudulento

• Detección de spam y bots
• Investigación de incidentes de seguridad

4.5 Cumplimiento legal

• Cumplimiento de obligaciones legales
• Respuesta a reclamaciones legales

---

5. Base jurídica para el tratamiento de datos personales (cumplimiento del GDPR)

La base jurídica para tratar los datos personales de residentes de la UE es la siguiente:

5.1 Interés legítimo (GDPR Article 6(1)(f))

• Análisis para mejorar el servicio
• Prevención del uso fraudulento
• Mantenimiento de la seguridad

5.2 Consentimiento (GDPR Article 6(1)(a))

• Uso de cookies analíticas
• Registro en la lista de espera

5.3 Cumplimiento de obligaciones legales (GDPR Article 6(1)(c))

• Conservación de la información exigida por la ley

5.4 Ejecución de un contrato (GDPR Article 6(1)(b))

Incluidos los usuarios dentro de la UE, tratamos la dirección de correo electrónico y la información relativa a compras y pagos en la medida necesaria para celebrar y ejecutar el contrato de compra de contenido de pago.

---

6. Uso de cookies

En el Sitio utilizamos las siguientes cookies:

6.1 Cookies esenciales (no requieren consentimiento)

| Finalidad | Periodo de conservación | | -------------------------------------- | ----------------------- | | Guardar la configuración de idioma | 30 días | | Mantener la sesión de inicio de sesión (autenticación para acceso de pago, etc.) | Conforme a la configuración de la infraestructura de autenticación |

6.2 Cookies analíticas (requieren consentimiento)

| Finalidad | Periodo de conservación | | ------------------------------------------------- | ----------------------- | | Análisis de acceso (estadísticas de visitantes, páginas vistas, etc.) | Hasta 2 años |

Sobre el servicio de análisis de acceso: En el Sitio utilizamos servicios de análisis de acceso de terceros para analizar el uso del sitio. Estos servicios utilizan cookies para rastrear el comportamiento de los usuarios, pero no recopilan información que permita identificar a una persona.

Gestión de cookies: Puede rechazar la aceptación de cookies o eliminar las cookies existentes desde la configuración de su navegador. No obstante, si desactiva las cookies esenciales, algunas funciones del servicio pueden dejar de funcionar correctamente.

---

7. Cesión de información personal a terceros

El Sitio no proporciona la información personal de los usuarios a terceros salvo en los casos siguientes.

7.1 Terceros necesarios para prestar el servicio

| Categoría | Finalidad | Información proporcionada | Ubicación | | ---------------------------- | ------------------------------------ | ---------------------------------------------------------- | --------- | | Base de datos en la nube / autenticación | Base de datos, autenticación, almacenamiento | Información relacionada con la lista de espera, compras y autenticación, datos relacionados con sesiones | EE. UU., etc. | | Servicio de análisis de acceso | Análisis del uso del sitio | Registros de acceso | EE. UU. | | Proveedor de alojamiento | Alojamiento del sitio web | Registros de acceso | EE. UU. | | Servicio de entrega de correo | Envío de notificaciones, correos con enlaces mágicos, etc. | Dirección de correo electrónico, tokens para enlaces incluidos en el cuerpo del correo, etc. | EE. UU. | | Procesamiento de pagos | Procesamiento de pagos con tarjeta de crédito | Información necesaria para el pago (el número completo de la tarjeta no se conserva en nuestra empresa) | EE. UU., etc. |

Estos terceros gestionan la información personal sobre la base de acuerdos de tratamiento de datos adecuados (Data Processing Agreement) y bajo estrictos estándares de seguridad.

7.2 Transferencias internacionales de datos

Como se indica arriba, parte de la información personal se transfiere a EE. UU. o fuera de la UE. Estas transferencias están protegidas por los siguientes mecanismos:

• Cláusulas contractuales tipo (Standard Contractual Clauses, SCC)
• Decisión de adecuación (cuando corresponda)
• Otras medidas de protección conformes al Capítulo V del GDPR

7.3 Divulgación conforme a la ley

En los siguientes casos, podemos divulgar información personal por obligación legal:

• Orden judicial
• Solicitud formal de un organismo de aplicación de la ley
• Para proteger la vida o la integridad física en una situación de emergencia

---

8. Derechos de los usuarios

8.1 Derechos de todos los usuarios

• Derecho de acceso: derecho a confirmar su propia información personal
• Derecho de rectificación: derecho a corregir información incorrecta
• Derecho de supresión: derecho a eliminar información personal
• Derecho de oposición: derecho a oponerse al tratamiento de la información personal

8.2 Derechos adicionales de los residentes de la UE (sujetos al GDPR)

• Derecho a la portabilidad de los datos: derecho a recibir la información personal en un formato legible por máquina y transferirla a otros servicios
• Derecho a la limitación del tratamiento: derecho a limitar el tratamiento en determinadas circunstancias
• Derecho a oponerse a decisiones automatizadas, incluida la elaboración de perfiles

8.3 Derechos adicionales de los residentes de California (sujetos a la CCPA)

• Derecho a saber: derecho a conocer las categorías y la información específica de los datos personales recopilados
• Derecho de supresión: derecho a solicitar la eliminación de la información personal
• Derecho a optar por no vender: derecho a rechazar la venta de información personal (el Sitio no vende información personal)
• Derecho a no ser discriminado: derecho a no sufrir discriminación en el servicio por ejercer sus derechos

8.4 Cómo ejercer sus derechos

Para ejercer estos derechos, presente su solicitud a través del formulario de contacto.

Plazo de respuesta:

• Solicitudes ordinarias: respondemos en un plazo de 30 días
• Solicitudes complejas: hasta 60 días (se notificará con antelación en caso de prórroga)

---

9. Periodo de conservación de los datos

| Tipo de dato | Periodo de conservación | | --------------------------------------- | ---------------------------------------------------------------------------------------- | | Información de registro en la lista de espera | Hasta la baja mediante el enlace de cancelación, o 90 días después de la publicación de la revista | | Registros relacionados con la compra y el pago de contenido de pago | Durante el periodo necesario conforme a la ley y a efectos contables y fiscales (se eliminarán los datos innecesarios una vez transcurrido dicho periodo) | | Contenido de consultas | Hasta 1 año después de completarse la atención | | Registros de acceso | Hasta 90 días | | Datos de copia de seguridad | Hasta 180 días | | Cookies | Varía según la cookie (véase arriba) |

Conservación para el cumplimiento legal: Solo conservaremos durante el periodo establecido por la ley la información que deba mantenerse por obligaciones legales específicas, como registros fiscales.

---

10. Seguridad de los datos

El Sitio adopta las siguientes medidas técnicas y organizativas para proteger la información personal frente al acceso no autorizado, la pérdida, la destrucción y la alteración:

10.1 Medidas técnicas

• Cifrado SSL/TLS: cifrado de todas las comunicaciones mediante HTTPS
• Actualizaciones periódicas de seguridad

10.2 Medidas organizativas

• Gestión estricta de los permisos de acceso
• Elaboración de un plan de respuesta ante incidentes de seguridad

10.3 Respuesta en caso de filtración de datos

En caso de producirse una fuga de información personal:

1. Informar a la autoridad de supervisión en un plazo de 72 horas (requisito del GDPR)
2. En caso de alto riesgo, notificar directamente a los usuarios afectados
3. Investigar la causa e implementar medidas para evitar reincidencias

---

11. Información personal de menores

El Sitio no está dirigido a menores de 13 años (menores de 16 años en el caso de residentes de la UE). No recopilamos intencionadamente información personal de menores de 13 años (o menores de 16 años en el caso de residentes de la UE).

Si se confirma que un menor de 13 años ha proporcionado información personal al Sitio, eliminaremos dicha información sin demora.

Si usted es padre, madre o tutor y cree que su hijo/a ha proporcionado información personal al Sitio, póngase en contacto con nosotros de inmediato.

---

12. Cambios en la Política de Privacidad

El Sitio puede actualizar esta Política en cualquier momento debido a cambios en la legislación o mejoras del servicio.

12.1 Método de notificación de cambios

• Aviso en el sitio

12.2 Entrada en vigor de los cambios

La política revisada entrará en vigor en el momento de su publicación en el sitio. El uso continuado del servicio se considerará como aceptación de la política modificada.

---

13. Para residentes de la UE (cumplimiento del GDPR)

13.1 Responsable del tratamiento

El operador del Sitio es el responsable del tratamiento de sus datos personales.

13.2 Representante en la UE (Artículo 27 del GDPR)

En sitios como el nuestro, cuya sede se encuentra fuera de la UE, es posible que los datos personales se transfieran fuera de la UE (por ejemplo, a EE. UU.) a través de servidores o proveedores de pago, etc. Esto se organiza en el GDPR principalmente como una cuestión del Capítulo V (garantías para las transferencias, como la decisión de adecuación y las cláusulas contractuales tipo).

Por otra parte, el nombramiento de un “representante en la UE” a efectos del Artículo 27 no se determina únicamente porque exista una transferencia transfronteriza. Se trata de otra norma distinta: cuando un responsable del tratamiento situado fuera de la UE trata datos personales en el contexto de la oferta continuada de bienes o servicios a personas dentro de la UE, el nombramiento puede ser exigido si se cumplen los requisitos legales.

Actualmente, el Sitio no cuenta con un representante en la UE. Si el uso por parte de residentes de la UE se vuelve continuado y de cierta escala, y determinamos que es necesario responder conforme al Artículo 27, lo notificaremos mediante esta Política, entre otros medios. Para decisiones jurídicas concretas, consulte a un especialista según sea necesario.

13.3 Presentación de reclamaciones ante la autoridad de supervisión

Si tiene una queja relacionada con el GDPR, puede presentarla ante la autoridad supervisora de protección de datos de su país de residencia.

Principales autoridades de protección de datos de la UE:

• Alemania: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
• Francia: Commission Nationale de l'Informatique et des Libertés (CNIL)
• Lista de autoridades supervisoras de cada país

---

14. Para residentes de California (cumplimiento de la CCPA) {#ccpa-rights}

14.1 Sobre la venta y el uso compartido de información personal

Aviso importante: El Sitio no vende información personal.

El Sitio no hace lo siguiente:

• Vender información personal a terceros a cambio de una contraprestación monetaria
• “Compartir” en el sentido definido por la CCPA (divulgación de información personal con fines de publicidad conductual entre contextos)

Sobre la cesión a terceros:

La información personal que el Sitio comparte con proveedores de servicios (proveedores de nube, servicios de análisis, etc.) se limita al alcance necesario para prestar el servicio, y dichos proveedores operan bajo estrictos acuerdos de protección de datos. Estos intercambios no constituyen “venta” ni “compartición” según la definición de la CCPA.

14.2 Compatibilidad con Global Privacy Control (GPC)

El Sitio reconoce y respeta automáticamente la señal de Global Privacy Control (GPC).

Qué es GPC:

• Una señal enviada a través del navegador o de una extensión del navegador
• Una manifestación de la voluntad del usuario de “no vender ni compartir mi información personal”
• Una respuesta exigida por la ley del estado de California (CCPA)

Respuesta del Sitio:

• Cuando visite el Sitio con un navegador que tenga GPC habilitado, desactivaremos automáticamente las cookies analíticas
• No se mostrará ningún banner y se aplicarán de inmediato ajustes centrados en la privacidad

Cómo configurar GPC:

• Navegadores compatibles: Brave, Firefox (con extensión), DuckDuckGo, etc.
• Más información: https://globalprivacycontrol.org/

14.3 Ejercicio de los derechos en California

Puede ejercer sus derechos según el método indicado en el Artículo 8 de esta Política.

Derechos especiales de los residentes de California:

• Derecho a saber: categorías e información específica de la información personal recopilada durante los últimos 12 meses
• Derecho de supresión: solicitar la eliminación de la información personal que poseemos
• Derecho a optar por no vender (el Sitio no vende)
• Derecho a no ser discriminado: que la calidad del servicio no disminuya por ejercer sus derechos

Cómo ejercer sus derechos:

Presente su solicitud a través del formulario de contacto.

Plazo de respuesta: dentro de 45 días (en casos complejos, hasta 90 días, con aviso previo en caso de prórroga)

---

15. Registro y baja de la lista de espera

15.1 Sobre el registro

La lista de espera de la revista premium es un servicio en el que los usuarios que desean recibir una notificación cuando se publique la revista pueden registrarse de forma voluntaria. Solo se requiere una dirección de correo electrónico para registrarse.

El registro en la lista de espera implica el tratamiento de la información personal con base en los siguientes fundamentos jurídicos (GDPR Article 6(1)(a)):

• Consentimiento: se considera que el usuario ha dado su consentimiento al introducir voluntariamente su dirección de correo electrónico y pulsar el botón de registro.

15.2 Sobre los correos de notificación

Después del registro, podemos enviar los siguientes correos:

• Correo de confirmación de registro
• Correo de notificación de publicación de la revista

No enviamos ningún correo spam. Solo le informaremos de la publicación de la revista.

15.3 Cómo darse de baja

Puede darse de baja de la lista de espera en cualquier momento:

1. Enlace de cancelación en el correo: haga clic en el enlace de “cancelar suscripción” incluido en el correo recibido
2. Formulario de contacto: comuníquenos su deseo de darse de baja a través del formulario de contacto

Tras la baja, la información de registro se eliminará sin demora.

---

16. Tratamiento para compradores de la revista premium (enlaces para pago y autenticación)

16.1 Compra y pago

Al comprar contenido de pago, la dirección de correo electrónico, el contenido de la compra, los identificadores de transacción emitidos por el proveedor de pagos y otros datos se tratan para la ejecución del contrato y el cumplimiento legal. En principio, los números de tarjeta de crédito y datos similares se manejan en los sistemas del proveedor de pagos, y nosotros no los almacenamos en los servidores del Sitio.

16.2 Enlaces de autenticación

Podemos enviar a los usuarios con derechos de acceso una URL de inicio de sesión de un solo uso a su dirección de correo electrónico. Esto se debe a que adoptamos un método de autenticación en el que no conservamos de forma permanente las contraseñas. El periodo de validez del enlace y el procedimiento para volver a emitirlo se regirán por el correo correspondiente y las indicaciones del sitio.

16.3 Servicios de terceros

Consulte el Artículo 7 de esta Política y las políticas de privacidad de cada proveedor para conocer los detalles del procesamiento relacionado con pagos, autenticación y bases de datos, envío de correos, etc.

---

17. Tratamiento de datos en la gestión de redes sociales (Threads)

ForceEngine Co., Ltd., que opera el Sitio, puede obtener y procesar información de publicaciones públicas en Threads a través de la API de Threads proporcionada por Meta Platforms, con fines editoriales y de gestión de la comunidad (búsqueda por palabras clave, búsqueda por etiquetas, etc.).

17.1 Información obtenida y tratada

• Información pública como el texto de publicaciones públicas en Threads, el nombre de usuario público del autor, la URL de la publicación (enlace permanente), la fecha y hora de la publicación, etc.
• No obtenemos publicaciones de cuentas privadas ni información personal que no sea pública.

17.2 Finalidad de uso

• Conocer temas relacionados con onsen, sauna y viajes en Japón, así como planificar contenidos editoriales
• Permitir una visualización y referencia interna para que los responsables de la gestión respondan y se relacionen manualmente y de buena fe desde la cuenta de la marca

17.3 Política de tratamiento

• Las publicaciones públicas obtenidas se utilizan solo internamente para que el personal de gestión comprenda su contenido.
• No almacenamos permanentemente ni vendemos ni redistribuimos esta información a terceros.
• Las acciones como seguir, dar me gusta o responder no se automatizan y son realizadas manualmente por el personal de gestión.
• El token de acceso de la API de Threads se gestiona de forma segura y no se utiliza para otros fines.
• Este tratamiento se lleva a cabo de conformidad con los términos de uso y las políticas de la plataforma de Meta Platforms.

---

18. Ley aplicable y jurisdicción

18.1 Ley aplicable

La interpretación y aplicación de esta Política se regirán por la ley japonesa.

No obstante, pueden aplicarse con prioridad las siguientes leyes y normativas:

• Para los residentes de la UE, el Reglamento General de Protección de Datos (GDPR)
• Para los residentes de California, la Ley de Privacidad del Consumidor de California (CCPA)
• Asimismo, las normas imperativas de la jurisdicción de residencia del usuario

18.2 Tribunal competente

En caso de controversias relacionadas con esta Política, el Tribunal de Distrito de Tokio será el tribunal de primera instancia con jurisdicción exclusiva por acuerdo.

No obstante, si la jurisdicción de otros tribunales tiene prioridad debido a normas imperativas, lo anterior no será de aplicación.