LERETAGE Privacy Notice

English · Version 1.4 · 30 October 2026

Controller and contact

Data controller: SHAMIL MAMIN, self-employed individual (autónomo), Spain. Address: Calle de Don Ramon de la Cruz 46, 4-D, 28001 Madrid, Spain. For privacy requests contact hello@leretage.com, handled by the operator. No separate data protection officer is represented as appointed. Version privacy-2026-10-30-v4. Effective from 30 October 2026. This notice concerns the hosted iOS pilot and its on-device mode, separately from leretage.com.

Information we process

Account name, email, role, boutique name and password hash; boutique city, country and description when supplied; product details, prices and selected photographs; sourcing preferences, budgets and reference photos; proposals, conversation messages and read positions; blocks, reports and support text. The service also handles IP-based security counters, operational identifiers and selected audit events. Do not submit identification documents, card details or sensitive personal information through requests or chat.

Why we use it

Account and sourcing information necessary to deliver the requested pilot functions is processed to perform the user agreement, including boutique participation, requests and participant messaging. Proportionate security, abuse prevention and moderation use legitimate interests in protecting users and the service. Applicable legal obligations provide a basis where the particular processing is legally required. Optional birth-date storage and birthday permission use separate voluntary consent; the date can be removed and birthday permission withdrawn in Account settings. Greeting delivery is disabled. Acceptance of terms does not constitute blanket GDPR consent.

Who sees information

Approved boutiques can see open sourcing descriptions, budgets and selected reference photos, without the buyer’s email or account identifier in their request feed. Boutique profiles and approved available items are visible to signed-in pilot users. Offer-linked conversations are accessible to their participants and authorised operators who administer the service; they are not end-to-end encrypted. Reports are available through the app only to their author and are accessible to authorised administrative staff. Other users do not receive the report author’s details automatically. Reports can receive a written response from the operator, shown only to the report author in Help & Support after refresh. It is a manual review response, not live chat; no email or push notification is automatically sent. You may request reconsideration at hello@leretage.com using your report reference. Account deletion removes associated reports, written responses and operational audit entries referencing the deleted content.

Providers and location

Cloudflare provides the API and D1 database under its Self-Serve Subscription Agreement, whose section 6.1 incorporates the Data Processing Addendum for covered personal data. The published DPA is version 6.4, effective 3 April 2026. D1 was created with EU jurisdiction; this does not make all edge, security, support or backup processing EU-only. Google Workspace Business Standard provides the support mailbox and the isolated Apps Script password-recovery relay. Apps Script is a Workspace Core Service. The operator accepted the Google Cloud Data Processing Addendum on 14 October 2026, confirmed in Admin Console. Google receives recovery-recipient email, the one-time code and delivery metadata; the recipient mailbox retains delivered messages under its own rules. Provider processing and applicable international-transfer safeguards are described in their data-processing terms. Contact hello@leretage.com to request information about providers and safeguards.

Photos and AI

Camera access is requested only when you choose Take photo. The system picker shares selected images, not your full library. Images are resized and re-encoded. AI Hunter is optional: after separate permission, pressing Analyze sends your description, selected photo (if any) and response language through our server to OpenAI API to prepare a sourcing brief. Account email, name and birth date are not added to that API request. Avoid including personal or sensitive information in text or photos. This processing is based on your consent; you may stop future analyses by not granting permission. Manual requests remain available. OpenAI processing may occur outside the EEA; exclusively European processing and Zero Data Retention are not configured or promised. Requests use store=false; this does not disable provider abuse-monitoring retention, normally up to 30 days with legal and safety exceptions. See OpenAI data controls and its applicable processing terms. We retain the generated brief and an account-linked consent/attempt record to return the same result on retries and limit abuse, until account deletion. Raw analysis input and photos are not saved separately in the AI analysis table; content you submit as a sourcing request follows the request retention rules. Aggregate daily attempt counts contain no account identifiers and remain after deletion. AI may infer brands or models incorrectly; it does not authenticate items, search live inventory or make legally significant automated decisions.

Storage and deletion

Account-linked records are retained while the account is used to provide the pilot, until account deletion, without representing any additional automated inactivity deletion. Deletion removes active account-related records, including preferences, related conversations and reports, and may remove content from a counterpart’s history. Manual app database exports have the owner-approved maximum of 30 days; the operator runs the retention check and deletes expired eligible copies. D1 Time Travel has a separate 30-day recovery window on the current paid plan. A restoration must account for deletion requests and must not silently reactivate deleted accounts. The server removes expired sessions, recovery codes and security counters during subsequent authentication-related traffic. Expiry immediately prevents their use; database cleanup is event-driven, not a timed daily job. Other active account-linked records remain until account deletion or a separately documented necessary retention rule. There is no automatic inactivity deletion.

Your choices and rights

You may request access, correction, erasure, restriction and, where applicable, portability or object to legitimate-interest processing. Where processing relies on consent, you may withdraw it without affecting earlier lawful processing. Contact hello@leretage.com; we must verify identity proportionately and avoid collecting unnecessary documents. GDPR requests are normally answered within one month, with a lawful extension explained when applicable. You may complain to the competent supervisory authority; for Spain, the AEPD at www.aepd.es. Using account deletion does not limit these rights.

On device and future changes

Language, role choice and saved items are kept on the iPhone; guest requests and drafts may stay in local app storage. Connected credentials use the iOS Keychain and server sessions are stored as hashes. Removing a server account does not promise to erase independent device backups or previously exported material. No advertising or tracking SDK is integrated in the inspected native source; future analytics, marketing, payments or shipping require an updated notice and any necessary permissions. The pilot is restricted to adults aged 18 or over. Adult eligibility is self-declared. Optional birth dates are checked for adult eligibility but do not verify identity.

Birth date and greetings

You may optionally provide your full birth date to help us check adult eligibility and, if you separately agree, receive birthday greetings by email. For a boutique this is the contact person’s birth date. You can remove the date and withdraw permission in Account settings. We do not display it publicly. Birthday sending is not active during this pilot. Account deletion removes these preferences from the operational database; backup copies follow the separately documented backup retention.

Manual backups

The operator has selected a maximum 30-day retention period for manual application database backups, managed through an operator retention check. Cloudflare D1 Time Travel has a separate 30-day recovery window on the current paid plan. Deleted data may remain in these recovery copies until expiry. A recovery must not reintroduce deleted accounts into active use. A daily external backup to Google Drive is configured through a separate Google Apps Script; the configured retention is 30 days. Backup execution can fail and requires monitoring.

Operator email alerts

New support requests or reports and boutique applications create a private notification for the LERETAGE operator at hello@leretage.com. Our Google Apps Script sender receives the operator destination, event type, reference identifier, timestamp and anti-replay nonce. Alerts do not contain the applicant name or email, report text, private messages, passwords or recovery codes. They help the operator review applications and respond to support; an alert does not approve a boutique or resolve a report. Queue metadata and sender deduplication identifiers are kept for up to 30 days. Deleting the source report or boutique removes its active queue record. Failed sends are retried for up to seven days; persistent failures require operator action. Delivered notifications remain in the operator mailbox under its mailbox rules.

Email confirmation

Email confirmation codes are sent to the signed-in account’s email address. Codes expire after 15 minutes and allow at most five attempts. Resends are limited. Confirming an email does not approve a boutique or authenticate a piece. We store a keyed digest of the temporary code, its expiry, limited-attempt and resend metadata and the confirmation timestamp. Codes are not stored in plaintext in the application database. Expired code digests are cleared by a five-minute scheduled cleanup; an unused or exhausted code cannot confirm the email after expiry. The confirmation record remains until account deletion and is removed from the active database with that account. Google processes the address and code to deliver this security email, separately from marketing. Existing provider backup and mailbox retention rules still apply.

Updated documents and confirmation history

When the published terms or privacy notice change, existing accounts are asked to review the current documents. Terms acceptance and privacy acknowledgement are separate, initially unselected controls. We store the document version identifiers, confirmation language and timestamp, including previous recorded versions, to evidence which documents were confirmed. This action does not grant marketing or AI-analysis permission. The records are account-linked, retained until account deletion and removed from the active database with the account; the existing backup retention rules apply. Support, sign-out and account deletion remain available without accepting an update.

Política de privacidad LERETAGE

Español · Version 1.4 · 30 October 2026

Responsable y contacto

Responsable: SHAMIL MAMIN, persona física que actúa como autónomo en España. Domicilio: Calle de Don Ramon de la Cruz 46, 4-D, 28001 Madrid, España. NIF/NIE facilitado: Z0957358B. Las solicitudes de privacidad se dirigen a hello@leretage.com y las atiende el prestador. No se afirma que exista un delegado de protección de datos designado. Versión privacy-2026-10-30-v4. Vigente desde el 30 de octubre de 2026. Esta política cubre el piloto iOS alojado y su modo local, de forma separada de leretage.com.

Datos tratados

Nombre, email, rol, nombre de boutique y hash de contraseña; ciudad, país y descripción de boutique facilitados; artículos, precios y fotos seleccionadas; preferencias, presupuestos y fotos de referencia; propuestas, mensajes y posiciones de lectura; bloqueos, reportes y texto de soporte. También se tratan contadores de seguridad basados en IP, identificadores operativos y ciertos eventos de auditoría. No envíes documentos de identidad, datos de tarjetas ni información personal sensible por búsquedas o chat.

Finalidades y bases

Los datos de cuenta y búsqueda necesarios para prestar las funciones solicitadas se tratan para ejecutar el acuerdo de usuario, incluida la participación profesional, las solicitudes y los mensajes. La seguridad, prevención de abuso y moderación proporcionadas se basan en el interés legítimo de proteger a usuarios y servicio. Cuando un tratamiento sea legalmente obligatorio se utiliza esa obligación. La conservación de la fecha opcional y el permiso de cumpleaños se basan en consentimiento voluntario separado; se puede eliminar la fecha o retirar el permiso en los ajustes. Los envíos están desactivados. Aceptar las condiciones no es consentimiento general al tratamiento.

Destinatarios y visibilidad

Las boutiques aprobadas ven búsquedas abiertas, presupuestos y fotos elegidas, sin el email ni el identificador de cuenta del comprador en ese listado. Los perfiles y artículos aprobados disponibles son visibles para usuarios del piloto que han iniciado sesión. Las conversaciones vinculadas a propuestas son accesibles a sus participantes y a operadores autorizados que administran el servicio; no tienen cifrado de extremo a extremo. En la app solo el autor ve su reporte; el personal administrativo autorizado puede acceder a él. No se comunica automáticamente su identidad a la persona reportada.

Proveedores y ubicación

Cloudflare proporciona el API y la base D1 bajo sus condiciones Self-Serve, cuya sección 6.1 incorpora el acuerdo de tratamiento para los datos personales incluidos. El DPA publicado es la versión 6.4, vigente desde el 3 de abril de 2026. D1 se creó con jurisdicción de la UE; esto no convierte todas las operaciones de red, seguridad, soporte o copias en exclusivamente europeas. Google Workspace Business Standard presta el buzón de soporte y el Apps Script separado de recuperación. Apps Script es un servicio principal de Workspace. El prestador aceptó el Google Cloud Data Processing Addendum el 14 de octubre de 2026, comprobado en Admin Console. Google recibe email destinatario, código y metadatos de envío; los mensajes entregados permanecen en el buzón del destinatario según sus reglas. Los acuerdos de tratamiento describen las operaciones y garantías aplicables de transferencias internacionales. Se puede solicitar información de proveedores y garantías en hello@leretage.com. Los reportes pueden recibir una respuesta escrita del prestador, visible únicamente para su autor en Ayuda y soporte al actualizar. Es una revisión manual, no un chat en directo; no se envían avisos automáticos por email ni push. Puedes solicitar reconsideración en hello@leretage.com con la referencia del reporte. La baja elimina reportes, respuestas y registros operativos de auditoría relativos al contenido eliminado.

Fotos e inteligencia artificial

AI Hunter es opcional. Tras tu permiso separado, al pulsar Analizar enviamos tu descripción, la foto elegida si existe y el idioma al API de OpenAI, a través de nuestro servidor, para preparar una búsqueda. No añadimos nombre, email ni fecha de nacimiento a esa solicitud. Evita datos personales o sensibles en texto o fotos. La base es tu consentimiento; puedes impedir futuros análisis no dando permiso y crear búsquedas manuales. El tratamiento puede realizarse fuera del EEE; no prometemos alojamiento exclusivamente europeo ni Zero Data Retention. Usamos store=false, pero el proveedor puede conservar registros de prevención de abuso normalmente hasta 30 días, con excepciones legales y de seguridad. Consulta los controles de datos de OpenAI y sus condiciones de tratamiento. Guardamos el resultado y el registro de consentimiento/intentos vinculado a la cuenta hasta su eliminación, para devolver resultados en reintentos y limitar abusos. La tabla de análisis no guarda por separado las fotos ni el texto originales; el contenido enviado como búsqueda sigue la conservación de búsquedas. Los contadores diarios agregados no contienen identificadores y permanecen tras la baja. La IA puede inferir marcas o modelos incorrectos, no autentica artículos ni busca stock en directo. La cámara se solicita al elegir Hacer foto; el selector comparte solo las imágenes elegidas, que se redimensionan y recodifican.

Conservación y eliminación

Los registros vinculados se conservan mientras se utiliza la cuenta para prestar el piloto, hasta su eliminación, sin afirmar que exista una baja automática por inactividad. La baja elimina registros activos relacionados, preferencias, conversaciones y reportes, y puede afectar al historial de otra parte. Las copias manuales de la base de la app tienen el máximo aprobado de 30 días; el prestador ejecuta la comprobación y elimina las copias caducadas elegibles. D1 Time Travel dispone de una ventana independiente de 30 días en el plan de pago actual. Una restauración debe respetar las solicitudes de baja y no reactivar cuentas eliminadas. El servidor elimina sesiones, códigos de recuperación y contadores caducados con el tráfico posterior de autenticación. La caducidad impide su uso; la limpieza se ejecuta por actividad, no mediante una tarea diaria. Los demás registros activos vinculados permanecen hasta la baja o una regla necesaria documentada por separado. No existe eliminación automática por inactividad.

Derechos y opciones

Puedes solicitar acceso, rectificación, supresión, limitación y, cuando proceda, portabilidad u oposición al interés legítimo. Si la base es consentimiento, puedes retirarlo sin afectar al tratamiento anterior lícito. Contacta con hello@leretage.com; verificaremos identidad de forma proporcionada sin pedir documentación innecesaria. Las solicitudes RGPD se atienden normalmente en un mes; una ampliación legal se explica cuando proceda. Puedes reclamar ante la autoridad competente; en España, la AEPD en www.aepd.es. La baja en la app no limita estos derechos.

Dispositivo y futuras funciones

Idioma, rol y guardados permanecen en el iPhone; búsquedas y borradores de invitado pueden quedar en el almacenamiento local. Las credenciales conectadas usan Keychain y las sesiones del servidor se guardan como hashes. La baja del servidor no promete eliminar copias independientes del dispositivo ni material exportado. En el código nativo revisado no se integra un SDK publicitario o de seguimiento. Analítica, marketing, pagos o entrega futuros requieren actualizar esta política y obtener los permisos necesarios. El acceso al piloto está limitado a mayores de 18 años, mediante declaración del usuario. La fecha opcional no verifica identidad.

Fecha de nacimiento y felicitaciones

Puedes facilitar voluntariamente tu fecha completa de nacimiento para ayudar a comprobar la mayoría de edad y, si lo autorizas por separado, recibir felicitaciones por email. En una boutique corresponde a la persona de contacto. Puedes eliminar la fecha y retirar el permiso en los ajustes de cuenta. No la mostramos públicamente. Las felicitaciones no se envían durante este piloto. La eliminación de la cuenta borra estas preferencias de la base operativa; las copias de seguridad siguen su plazo de conservación documentado por separado.

Copias manuales

El prestador ha fijado un máximo de 30 días para las copias manuales de la base de datos de la app, gestionadas mediante una comprobación de conservación. Cloudflare D1 Time Travel tiene una ventana de recuperación independiente de 30 días en el plan de pago actual. Los datos eliminados pueden permanecer en estas copias hasta que caduquen. Una restauración no debe reactivar cuentas eliminadas. Hay una copia externa diaria a Google Drive configurada mediante un Apps Script separado, con conservación configurada de 30 días. Su ejecución puede fallar y requiere supervisión.

Avisos por email al prestador

Las nuevas solicitudes de soporte, los reportes y las solicitudes de boutiques generan un aviso privado para el prestador en hello@leretage.com. El remitente de Google Apps Script recibe la dirección del prestador, el tipo de evento, su referencia, la fecha y un nonce contra repeticiones. Los avisos no incluyen nombre ni email del solicitante, texto del reporte, mensajes privados, contraseñas ni códigos de recuperación. Sirven para revisar solicitudes y atender el soporte; un aviso no aprueba una boutique ni resuelve un reporte. Los metadatos de cola y los identificadores de deduplicación se conservan hasta 30 días. Eliminar el reporte o la boutique de origen borra su registro activo de cola. Los fallos se reintentan hasta siete días; si persisten requieren intervención del prestador. Los avisos entregados permanecen en su buzón según sus reglas.

Confirmación de email

Los códigos de confirmación se envían al email de la cuenta conectada. Caducan a los 15 minutos y permiten un máximo de cinco intentos. Los reenvíos están limitados. Confirmar un email no aprueba una boutique ni autentica una pieza. Guardamos un resumen criptográfico con clave del código temporal, su caducidad, los metadatos de intentos y reenvíos y la fecha de confirmación. Los códigos no se guardan en texto claro en la base de datos de la aplicación. Una tarea cada cinco minutos elimina los resúmenes caducados; un código caducado no permite confirmar el email. El registro se conserva hasta eliminar la cuenta y se elimina con ella de la base activa. Google procesa la dirección y el código para entregar este email de seguridad, separado del marketing. Se mantienen los plazos de las copias y del buzón del proveedor.

Documentos actualizados e historial de confirmaciones

Cuando cambian las condiciones o la política publicadas, las cuentas existentes deben revisar los documentos actuales. La aceptación de condiciones y el reconocimiento de lectura de privacidad son controles separados y sin marcar inicialmente. Guardamos los identificadores de versión, el idioma y la fecha, incluidas las versiones anteriores registradas, para acreditar qué documentos se confirmaron. Esto no otorga permiso para marketing ni análisis de IA. Los registros están vinculados a la cuenta, se conservan hasta su baja y se eliminan con ella de la base activa; se aplican los plazos existentes de copias. El soporte, el cierre de sesión y la eliminación de cuenta siguen disponibles sin aceptar una actualización.