1. Introducción

Esta Política de privacidad (en adelante, la "Política") explica cómo Japan Onsen & Sauna Guide (en adelante, el "Sitio") recopila, utiliza, protege y comparte la información personal de sus usuarios (en adelante, los "Usuarios").

El Sitio presta servicios a usuarios tanto dentro de Japón como a nivel internacional, y cumple con las siguientes leyes y normativas:

• Ley de Protección de Datos Personales de Japón (APPI)
• Reglamento General de Protección de Datos de la UE (GDPR)
• Ley de Privacidad del Consumidor de California (CCPA)
• Otras leyes de protección de datos aplicables en cada país

---

2. Información del operador

Proveedor del servicio: ForceEngine Co., Ltd.

Nota: En la parte gratuita, como la búsqueda de instalaciones y la lectura de artículos, la mayoría de las operaciones no entran en la categoría de "venta por correspondencia" según la Ley de Transacciones Comerciales Específicas. Por otro lado, si compra contenido digital de pago, como la Premium Magazine, consulte la indicación basada en la Ley de Transacciones Comerciales Específicas.

---

3. Información personal que recopilamos

3.1 Información recopilada al registrarse en la lista de espera

Cuando se registra en la lista de espera de la Premium Magazine, recopilamos la siguiente información.

• Dirección de correo electrónico (introducida voluntariamente por el usuario)
• Fecha y hora de registro
• Configuración de idioma en el momento del registro

La información recopilada solo se utiliza para enviar correos de notificación cuando la revista se publique. Puede darse de baja de la lista de espera en cualquier momento mediante el enlace de cancelación incluido en el correo.

3.2 Información recopilada al contactarnos

Recopilamos la siguiente información enviada a través del formulario de contacto.

• Dirección de correo electrónico
• Contenido de la consulta
• Fecha y hora de envío

3.3 Información recopilada automáticamente

Cuando accede al Sitio, se recopila automáticamente la siguiente información:

• Dirección IP
• Tipo y versión del navegador
• Sistema operativo
• URL de referencia (la página desde la que accedió al Sitio)
• Fecha y hora de acceso
• Páginas visitadas
• ID de cookie (véase más adelante)

3.4 Información de ubicación

Al utilizar la función de búsqueda de instalaciones, con su permiso, podemos obtener la ubicación del dispositivo (latitud y longitud). Esta información se utiliza únicamente para proporcionar resultados de búsqueda y no se almacena.

3.5 Información recopilada al comprar y pagar contenidos como la Premium Magazine

Al comprar contenido de pago a través de Stripe Checkout u otros medios, la siguiente información será procesada por nosotros o por el proveedor de servicios de pago.

• Dirección de correo electrónico (para verificar al comprador y enviar Magic Links)
• Información identificativa del contenido adquirido (como el identificador de la revista)
• Identificadores relacionados con el pago y el pedido (como el ID de transacción emitido por el proveedor de pagos. No almacenamos el número de la tarjeta en nuestros servidores)
• Importe del pago, moneda y fecha y hora del pago (como registro de la transacción)

Los datos de pago sensibles, como el número de tarjeta y el código de seguridad, son gestionados por el proveedor de pagos de conformidad con PCI DSS.

3.6 Información tratada al iniciar sesión mediante Magic Links y otros métodos de autenticación

Para iniciar sesión y ver contenido de pago, interviene la infraestructura de autenticación que utilizamos. En este proceso, se pueden generar y almacenar los siguientes datos.

• Dirección de correo electrónico (destino del enlace de inicio de sesión)
• Identificador de sesión y token de autenticación (pueden almacenarse en las cookies del navegador, entre otros)
• Registros técnicos relacionados con los intentos de inicio de sesión (como la dirección IP y la fecha y hora de acceso, para prevenir usos indebidos)

---

4. Finalidad del uso de los datos personales

Los datos personales recopilados se utilizan para las siguientes finalidades:

4.1 Prestación del servicio

• Mostrar y gestionar el contenido
• Procesar la compra de contenido de pago, gestionar el historial de compras y conceder permisos de visualización
• Hacer posible el inicio de sesión mediante Magic Links y otros métodos, y mantener la sesión
• Enviar notificaciones de compra completada, enlaces de acceso y enlaces para volver a iniciar sesión, cuando el usuario haya realizado el trámite correspondiente

4.2 Mejora del servicio

• Análisis de acceso
• Mejora de la facilidad de uso del sitio
• Desarrollo de nuevas funciones

4.3 Comunicación

• Responder a consultas
• Enviar avisos importantes (relacionados con seguridad, cambios del servicio, etc.)
• Enviar correos de notificación sobre la publicación de la revista a los inscritos en la lista de espera (con base en su consentimiento)
• Enviar información sobre la compra completada de contenido de pago y correos de inicio de sesión mediante Magic Links u otros métodos, cuando el usuario haya realizado el trámite correspondiente

4.4 Prevención del uso indebido

• Detección de spam y bots
• Investigación de incidentes de seguridad

4.5 Cumplimiento legal

• Cumplimiento de obligaciones legales
• Respuesta a reclamaciones legales

---

5. Base jurídica para el tratamiento de datos personales (cumplimiento del GDPR)

La base jurídica para tratar los datos personales de residentes de la UE es la siguiente:

5.1 Interés legítimo (GDPR Article 6(1)(f))

• Análisis para mejorar el servicio
• Prevención del uso indebido
• Mantenimiento de la seguridad

5.2 Consentimiento (GDPR Article 6(1)(a))

• Uso de cookies analíticas
• Registro en la lista de espera

5.3 Cumplimiento de una obligación legal (GDPR Article 6(1)(c))

• Conservación de la información exigida por la ley

5.4 Ejecución de un contrato (GDPR Article 6(1)(b))

Incluidos los usuarios de la UE, tratamos la dirección de correo electrónico y la información relacionada con la compra y el pago en la medida necesaria para celebrar y ejecutar el contrato de compra de contenido de pago.

---

6. Uso de cookies

En el Sitio utilizamos las siguientes cookies:

6.1 Cookies esenciales (no requieren consentimiento)

| Finalidad | Periodo de conservación | | ----------------------------------------- | ----------------------- | | Guardar la configuración del idioma | 30 días | | Mantener la sesión de inicio de sesión | Según la configuración de la infraestructura de autenticación |

6.2 Cookies analíticas (requieren consentimiento)

| Finalidad | Periodo de conservación | | --------------------------------------------------------- | ----------------------- | | Análisis de acceso (estadísticas de visitantes, páginas vistas, etc.) | Hasta 2 años |

Sobre el servicio de análisis de acceso: Utilizamos un servicio de análisis de acceso de terceros para analizar el uso del sitio. Estos servicios utilizan cookies para rastrear el comportamiento de los usuarios, pero no recopilan información que permita identificar a una persona.

Gestión de cookies: Puede rechazar las cookies o eliminar las cookies existentes mediante la configuración de su navegador. Sin embargo, si desactiva las cookies esenciales, algunas funciones del servicio podrían no funcionar correctamente.

---

7. Provisión de datos personales a terceros

El Sitio no proporciona los datos personales de los usuarios a terceros, salvo en los casos siguientes.

7.1 Terceros necesarios para la prestación del servicio

| Categoría | Finalidad | Información proporcionada | Ubicación | | --------------------------- | ---------------------------------- | ------------------------------------------------------------ | --------- | | Base de datos en la nube y autenticación | Base de datos, autenticación, almacenamiento | Información relacionada con la lista de espera, compras y autenticación, datos relacionados con la sesión | EE. UU., etc. | | Servicio de análisis de acceso | Análisis del uso del sitio | Registros de acceso | EE. UU. | | Proveedor de hosting | Alojamiento del sitio web | Registros de acceso | EE. UU. | | Servicio de distribución de correo electrónico | Envío de notificaciones, correos con Magic Links, etc. | Dirección de correo electrónico, tokens para enlaces incluidos en el contenido del correo, etc. | EE. UU. | | Procesamiento de pagos | Procesamiento de pagos con tarjeta de crédito | Información necesaria para el pago (el número completo de la tarjeta no se conserva por nuestra parte) | EE. UU., etc. |

Estos terceros gestionan los datos personales conforme a un acuerdo adecuado de tratamiento de datos (Data Processing Agreement) y bajo estrictos estándares de seguridad.

7.2 Transferencias internacionales de datos

Como se indica arriba, parte de la información personal se transfiere a EE. UU. o a lugares fuera de la UE. Estas transferencias están protegidas mediante los siguientes mecanismos:

• Cláusulas contractuales tipo (Standard Contractual Clauses, SCC)
• Decisión de adecuación (cuando corresponda)
• Otras medidas de protección conformes al Capítulo V del GDPR

7.3 Divulgación basada en la ley

En los siguientes casos, los datos personales pueden divulgarse debido a obligaciones legales:

• Orden judicial
• Solicitud formal de las autoridades policiales
• Para proteger la vida o la integridad física en una situación de emergencia

---

8. Derechos de los usuarios

8.1 Derechos de todos los usuarios

• Derecho de acceso: derecho a consultar sus propios datos personales
• Derecho de rectificación: derecho a corregir información incorrecta
• Derecho de supresión: derecho a eliminar los datos personales
• Derecho de oposición: derecho a oponerse al tratamiento de datos personales

8.2 Derechos adicionales de los residentes de la UE (sujetos al GDPR)

• Derecho a la portabilidad de los datos: derecho a recibir los datos personales en un formato legible por máquina y transferirlos a otro servicio
• Derecho a la limitación del tratamiento: derecho a restringir el tratamiento en determinadas circunstancias
• Derecho de oposición a la toma de decisiones automatizadas, incluida la elaboración de perfiles

8.3 Derechos adicionales de los residentes de California (sujetos a la CCPA)

• Derecho a saber: derecho a conocer las categorías y los datos concretos de los datos personales recopilados
• Derecho de supresión: derecho a solicitar la eliminación de los datos personales
• Derecho a optar por no vender: derecho a rechazar la venta de datos personales (el Sitio no vende datos personales)
• Derecho a no ser discriminado: derecho a no ser discriminado en el servicio por ejercer sus derechos

8.4 Cómo ejercer sus derechos

Para ejercer estos derechos, presente una solicitud a través del formulario de contacto.

Plazo de respuesta:

• Solicitudes ordinarias: respuesta en un plazo de 30 días
• Solicitudes complejas: hasta 60 días (en caso de prórroga, se notificará con antelación)

---

9. Periodo de conservación de los datos

| Tipo de dato | Periodo de conservación | | ---------------------------------------- | -------------------------------------------------------------------------- | | Información de registro en la lista de espera | Hasta la baja mediante el enlace de cancelación, o 90 días después de la publicación de la revista | | Registros relacionados con la compra y el pago de contenido de pago | El periodo exigido por la ley y por necesidades contables y fiscales (tras dicho periodo, se eliminará lo que ya no sea necesario) | | Contenido de las consultas | Hasta un máximo de 1 año tras la finalización de la respuesta | | Registros de acceso | Hasta un máximo de 90 días | | Datos de copia de seguridad | Hasta un máximo de 180 días | | Cookies | Varía según la cookie (véase arriba) |

Conservación para el cumplimiento legal: Solo en caso de que existan datos que deban conservarse debido a obligaciones legales específicas, como registros fiscales, se conservarán durante el periodo establecido por la ley.

---

10. Seguridad de los datos

El Sitio adopta las siguientes medidas técnicas y organizativas para proteger los datos personales frente al acceso no autorizado, la pérdida, la destrucción y la alteración:

10.1 Medidas técnicas

• Cifrado SSL/TLS: cifrado de toda la comunicación mediante HTTPS
• Actualizaciones periódicas de seguridad

10.2 Medidas organizativas

• Gestión estricta de los permisos de acceso
• Elaboración de planes de respuesta ante incidentes de seguridad

10.3 Respuesta ante una filtración de datos

En el improbable caso de que se produzca una filtración de datos personales:

1. Informaremos a la autoridad de control dentro de 72 horas (requisito del GDPR)
2. En casos de alto riesgo, notificaremos directamente a los usuarios afectados
3. Investigaremos la causa e implantaremos medidas para evitar que vuelva a ocurrir

---

11. Datos personales de menores

El Sitio no está dirigido a menores de 13 años (o de menos de 16 años en el caso de residentes de la UE). No recopilamos de manera intencionada datos personales de menores de 13 años (o menores de 16 años si residen en la UE).

Si se detecta que un menor de 13 años ha proporcionado datos personales al Sitio, eliminaremos dicha información sin demora.

Si usted es padre, madre o tutor y cree que su hijo o hija ha proporcionado datos personales al Sitio, póngase en contacto con nosotros de inmediato.

---

12. Cambios en la Política de privacidad

El Sitio puede actualizar esta Política de vez en cuando en función de cambios legales o mejoras del servicio.

12.1 Cómo se notifican los cambios

• Aviso en el sitio

12.2 Entrada en vigor de los cambios

La política revisada entrará en vigor en el momento de su publicación en el sitio. El uso continuado del servicio se considerará como aceptación de la política revisada.

---

13. Para residentes de la UE (cumplimiento del GDPR)

13.1 Responsable del tratamiento

El operador del Sitio es el responsable del tratamiento de sus datos personales.

13.2 Representante en la UE (artículo 27 del GDPR)

En sitios como el nuestro, con sede fuera de la UE, puede haber transferencia transfronteriza de datos personales fuera de la UE (por ejemplo, a EE. UU.) a través de servidores o proveedores de pagos. En el GDPR, esto se organiza principalmente bajo el Capítulo V (garantías para las transferencias, como la decisión de adecuación y las cláusulas contractuales tipo).

Por otro lado, el nombramiento de un representante en la UE conforme al artículo 27 no depende únicamente de que exista una transferencia transfronteriza. Se trata de una regla distinta, según la cual, cuando un responsable establecido fuera de la UE trata datos personales en relación con la oferta continuada de bienes o servicios a personas en la UE, puede exigirse el nombramiento si se cumplen los requisitos legales.

En este momento, el Sitio no ha nombrado un representante en la UE. Si el uso por parte de residentes de la UE se vuelve continuado y de cierta escala, y determinamos que es necesario atender al artículo 27, lo comunicaremos mediante esta Política u otros avisos y actuaremos en consecuencia. En cuanto a decisiones jurídicas concretas, consulte a un especialista si es necesario.

13.3 Reclamaciones ante la autoridad de control

Si tiene una reclamación relacionada con el GDPR, puede presentarla ante la autoridad de protección de datos de su país de residencia.

Principales autoridades de protección de datos de la UE:

• Alemania: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
• Francia: Commission Nationale de l'Informatique et des Libertés (CNIL)
• Lista de autoridades de control por país

---

14. Para residentes de California (cumplimiento de la CCPA) {#ccpa-rights}

14.1 Sobre la venta y el intercambio de datos personales

Aviso importante: el Sitio no vende datos personales.

El Sitio no realiza lo siguiente:

• Vender datos personales a terceros a cambio de una contraprestación económica
• La "compartición" definida por la CCPA (divulgación de datos personales con fines de publicidad conductual en contextos cruzados)

Sobre la provisión a terceros:

Los datos personales que el Sitio comparte con proveedores de servicios (proveedores de nube, servicios de análisis, etc.) se limitan al alcance necesario para prestar el servicio, y dichos proveedores operan bajo estrictos contratos de protección de datos. Estas comunicaciones no constituyen "venta" ni "compartición" según la definición de la CCPA.

14.2 Compatibilidad con Global Privacy Control (GPC)

El Sitio reconoce y respeta automáticamente la señal de Global Privacy Control (GPC).

Qué es GPC:

• Una señal enviada a través del navegador o de una extensión del navegador
• Una manifestación de la voluntad del usuario de que "no se vendan ni compartan mis datos personales"
• Un mecanismo exigido por la legislación de California (CCPA)

Cómo responde el Sitio:

• Si visita el Sitio con un navegador que tiene GPC activado, las cookies analíticas se desactivarán automáticamente
• No se mostrará ningún banner y se aplicarán de inmediato ajustes orientados a la privacidad

Cómo configurar GPC:

• Navegadores compatibles: Brave, Firefox (con extensión), DuckDuckGo, etc.
• Más información: https://globalprivacycontrol.org/

14.3 Ejercicio de derechos en California

Puede ejercer sus derechos según el método indicado en el artículo 8 de esta Política.

Derechos especiales de los residentes de California:

• Derecho a saber: categorías e información concreta de los datos personales recopilados en los últimos 12 meses
• Derecho de supresión: solicitar la eliminación de los datos personales que el Sitio posee
• Derecho a optar por no vender (el Sitio no vende datos)
• Derecho a no ser discriminado: que la calidad del servicio no disminuya por ejercer sus derechos

Cómo ejercer sus derechos:

Presente una solicitud a través del formulario de contacto.

Plazo de respuesta: 45 días como máximo (en casos complejos, hasta 90 días, con notificación previa en caso de prórroga)

---

15. Registro y cancelación de la lista de espera

15.1 Sobre el registro

La lista de espera de la Premium Magazine es un servicio en el que los usuarios que desean recibir una notificación cuando la revista se publique pueden registrarse voluntariamente. Solo se requiere una dirección de correo electrónico para registrarse.

El registro en la lista de espera implica el tratamiento de datos personales con base en el siguiente fundamento jurídico (GDPR Article 6(1)(a)):

• Consentimiento: se considera que el usuario consiente al introducir voluntariamente su dirección de correo electrónico y pulsar el botón de registro.

15.2 Sobre los correos de notificación

Tras el registro, podemos enviar los siguientes correos:

• Correo de confirmación de registro
• Correo de notificación de publicación de la revista

No enviamos en absoluto correos basura. Solo le informaremos cuando se publique la revista.

15.3 Cómo darse de baja

Puede darse de baja de la lista de espera en cualquier momento:

1. Enlace de cancelación en el correo: haga clic en el enlace de "cancelar suscripción" incluido en el correo recibido
2. Formulario de contacto: comuníquenos su deseo de darse de baja a través del formulario de contacto

Tras la baja, la información de registro se eliminará sin demora.

---

16. Tratamiento para compradores de la Premium Magazine (enlaces de pago y autenticación)

16.1 Compra y pago

Al comprar contenido de pago, la dirección de correo electrónico, los detalles de la compra, los identificadores de transacción emitidos por el proveedor de pagos, etc., se procesan para la ejecución del contrato y el cumplimiento legal. Los números de tarjeta de crédito, etc., por regla general se tratan en los sistemas del proveedor de pagos y no son almacenados por nosotros en los servidores del Sitio.

16.2 Enlaces de autenticación

Podemos enviar una URL de inicio de sesión de un solo uso a la dirección de correo electrónico de los usuarios con derecho de acceso. Esto se debe a que adoptamos un método de autenticación en el que no conservamos de forma permanente las contraseñas. El periodo de validez del enlace y el procedimiento para volver a emitirlo se regirán por el correo correspondiente y las instrucciones del sitio.

16.3 Servicios de terceros

Consulte el artículo 7 de esta Política y la política de privacidad de cada proveedor para obtener más detalles sobre el tratamiento de pagos, autenticación y bases de datos, envío de correos, etc.

---

17. Ley aplicable y jurisdicción

17.1 Ley aplicable

La interpretación y aplicación de esta Política se regirá por la legislación japonesa.

No obstante, pueden aplicarse con prioridad las siguientes leyes y normativas:

• Para residentes de la UE: Reglamento General de Protección de Datos de la UE (GDPR)
• Para residentes de California: Ley de Privacidad del Consumidor de California (CCPA)
• Además, las normas imperativas del lugar de residencia del usuario

17.2 Tribunal competente

Cualquier litigio relacionado con esta Política será competencia exclusiva convenida en primera instancia del Tribunal de Distrito de Tokio.

No obstante, si la jurisdicción de otro tribunal prevalece por aplicación de normas imperativas, ello no será de aplicación.