AVISO LEGAL Y POLÍTICA DE PRIVACIDAD

SULTANCARDS
Tienda de Comercio Electrónico de Cartas Deportivas Coleccionables TOPPS PANINI ETC

---

INFORMACIÓN LEGAL DE LA EMPRESA

Razón Social: SULTANCARDS
Dominio: www.sultancards.com
Plataforma: Shopify Inc.
Responsable de Datos: SULTANCARDS (Propietario)
Correo Legal: sultancardsmx@gmail.com 

Esta Política de Privacidad y Aviso Legal rige el uso del sitio web www.sultancards.com ("Sitio") y todos los servicios relacionados con la venta de cartas deportivas coleccionables, trading cards, rookie cards, booster boxes, y productos conexos ("Servicios").

---

I. OBJETO Y ÁMBITO DE APLICACIÓN

1.1 Definiciones

Para efectos de este documento se entiende por:

• "Datos Personales": Toda información relativa a persona física identificada o identificable, conforme a la Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP - México), GDPR (UE), CCPA (California), LGPD (Brasil).
• "Titular": Persona física cuyos datos personales son recopilados, tratados, y procesados por SULTANCARDS.
• "Responsable": SULTANCARDS, entidad recopiladora y responsable del tratamiento de datos personales.
• "Terceras Partes": Plataformas, procesadores de pago, couriers, y proveedores que actúan como encargados de tratamiento conforme a Acuerdos de Confidencialidad.

1.2 Jurisdicción Aplicable

Este Aviso Legal se rige conforme a:

• Leyes de los Estados Unidos Mexicanos (Ley Federal de Protección de Datos Personales)
• GDPR 2016/679 (UE) - cuando aplique
• CCPA (California) - cuando aplique
• LGPD (Brasil) - cuando aplique
• Ley Federal de Consumidor (LFPC - México)
• Términos de Servicio de Shopify Inc.

---

II. RECOPILACIÓN Y TRATAMIENTO DE DATOS PERSONALES

2.1 Categorías de Datos Recopilados

SULTANCARDS recopila y trata las siguientes categorías de datos personales de conformidad con los principios de licitud, lealtad, y transparencia:

A. Datos Identificativos

• Nombre completo
• Correo electrónico
• Número de teléfono
• Documentos de identificación (cuando requeridos para verificación)

B. Datos de Geolocalización

• Domicilio de envío (calle, número, ciudad, estado, código postal)
• Domicilio de facturación
• Información de ubicación derivada de dirección IP

C. Datos Financieros

• Número de tarjeta de crédito/débito (CIFRADO con estándar PCI-DSS 3.2.1)
• Nombre del titular de tarjeta
• Fecha de vencimiento (procesado, no almacenado)
• CVV/CVC (NO almacenado; procesado únicamente por procesador de pagos certificado)
• Historial de transacciones
• Información bancaria si aplica (para reembolsos)

D. Datos de Comportamiento en Línea

• Historial de navegación en sultancards.com
• Productos consultados/carrito abandonado
• Clics y tiempo en sitio
• Dirección IP
• Identificadores de sesión y cookies
• Tipo de dispositivo y navegador
• Sistema operativo
• Información técnica de acceso

E. Datos de Contacto y Comunicación

• Mensajes enviados a soporte
• Historial de tickets de servicio
• Registros de comunicación por email, chat
• Comentarios, reviews, y calificaciones

F. Datos de Compra

• Historial de órdenes
• Monto y fecha de transacciones
• Detalles de productos adquiridos (cartas deportivas, trading cards, booster boxes)
• Frecuencia de compra
• Preferencias de compra

2.2 Base Legal para Recopilación

La recopilación de datos se realiza conforme a:

a) Consentimiento Explícito:

• Al crear cuenta en sultancards.com, aceptas esta política
• Al proceder a checkout, consientes tratamiento de datos
• Checkbox explícito en formulario de suscripción

b) Ejecución de Contrato:

• Datos necesarios para procesar compra de cartas deportivas
• Información requerida para envío y entrega
• Datos necesarios para facturación y contabilidad

c) Obligación Legal:

• Retención de datos para cumplimiento fiscal (5 años post-transacción)
• Cumplimiento con autoridades (si requerido legalmente)
• Prevención de fraude y seguridad

d) Interés Legítimo:

• Mejora de servicios y experiencia de usuario
• Análisis estadístico anónimo
• Prevención de delitos cibernéticos
• Personalización de contenido

---

III. TRATAMIENTO Y FINALIDADES DE LOS DATOS

3.1 Finalidades Primarias (Obligatorias)

SULTANCARDS trata tus datos personales para:

1. Ejecución de Compraventa:
   • Procesar órdenes de cartas deportivas, trading cards, booster boxes
   • Validar método de pago
   • Generar facturas y comprobantes
2. Logística y Entrega:
   • Coordinar envío a domicilio
   • Rastreo de paquetes
   • Comunicación sobre estado de entrega
   • Coordinación con couriers
3. Servicio al Cliente:
   • Responder consultas sobre productos
   • Procesar reclamaciones y devoluciones
   • Brindar soporte técnico
   • Gestionar garantías
4. Cumplimiento Legal:
   • Declaraciones fiscales (SAT - México)
   • Prevención de lavado de dinero (LFPD)
   • Cumplimiento de órdenes judiciales
   • Auditoría contable
5. Seguridad:
   • Detección de fraude
   • Verificación de identidad
   • Prevención de acceso no autorizado
   • Protección contra ciberataques

3.2 Finalidades Secundarias (Consentimiento Requerido)

El tratamiento de datos con las siguientes finalidades requiere consentimiento explícito y separado:

1. Marketing y Comunicación Comercial:
   • Envío de newsletters sobre nuevas cartas deportivas
   • Promociones y ofertas especiales
   • Invitaciones a eventos de coleccionistas
   • Encuestas de satisfacción
2. Publicidad Personalizada:
   • Mostrar anuncios basados en comportamiento
   • Retargeting en plataformas asociadas
   • Análisis de preferencias de consumo
3. Análisis y Estadísticas:
   • Perfiles de consumidor (anonimizados)
   • Tendencias de mercado de cartas deportivas
   • Patrones de compra (sin identificación personal)

Derecho de Revocación: Puedes revocar consentimiento para finalidades secundarias en cualquier momento sin afectar finalidades primarias.

---

IV. SEGURIDAD DE DATOS PERSONALES

4.1 Medidas Técnicas de Protección

SULTANCARDS implementa medidas de seguridad de nivel empresarial conforme a ISO 27001:

1. Cifrado en Tránsito:
   • Protocolo TLS 1.2+ para todas las conexiones
   • Certificado SSL/HTTPS válido
   • Encriptación de end-to-end en transmisión de datos sensibles
2. Cifrado en Reposo:
   • Encriptación AES-256 para bases de datos
   • No almacenamiento de números completos de tarjetas
   • Tokenización de datos financieros
3. Control de Acceso:
   • Autenticación multifactor disponible
   • Contraseñas hasheadas (bcrypt/Argon2)
   • Registro de auditoría de accesos
   • Privilegios de acceso mínimos necesarios
4. Monitoreo y Detección:
   • Monitoreo 24/7 de actividades sospechosas
   • Sistemas de detección de intrusiones (IDS)
   • Análisis de comportamiento anómalo
   • Alertas de intentos de acceso no autorizado
5. Cumplimiento PCI-DSS:
   • Certificación PCI-DSS 3.2.1 vía Shopify
   • Cumplimiento de 12 requisitos PCI
   • Auditorías anuales de seguridad
   • Segmentación de red

4.2 Medidas Organizacionales

1. Políticas Internas:
   • Política de confidencialidad para empleados
   • Acuerdos de Confidencialidad (NDAs) firmados
   • Capacitación anual en protección de datos
2. Gestión de Incidentes:
   • Plan de respuesta a brechas de seguridad
   • Notificación en 48 horas si es requerido
   • Documentación de incidentes
   • Auditoría post-incidente
3. Evaluaciones Periódicas:
   • Auditoría anual de seguridad
   • Penetration testing semestral
   • Análisis de vulnerabilidades
   • Cumplimiento regulatorio verificado

---

V. TRANSFERENCIA Y COMPARTICIÓN DE DATOS

5.1 Encargados de Tratamiento

SULTANCARDS comparte datos personales con terceras partes actuando como encargados conforme a Acuerdos de Tratamiento de Datos:

Cada tercera parte está contractualmente obligada a:

• Mantener confidencialidad de datos
• No usar datos para fines adicionales
• Implementar medidas de seguridad equivalentes
• Cumplir GDPR/CCPA/LGPD según aplique

5.2 Restricciones a Transferencias Internacionales

Para transferencias internacionales, SULTANCARDS implementa:

• Cláusulas Contractuales Estándar (SCC) según GDPR
• Acuerdos de Adecuación (donde aplica)
• Consentimiento explícito del Titular cuando requerido

No hay transferencia sin medidas de protección equivalentes.

5.3 Prohibición de Venta de Datos

SULTANCARDS NUNCA:

• Vende datos personales a terceros
• Comparte con corredores de datos ("data brokers")
• Transfiere a fines comerciales no autorizados
• Monetiza información personal del Titular

---

VI. DERECHOS DEL TITULAR

Conforme a GDPR, CCPA, LGPD, y LFPDPPP, tienes derecho a:

6.1 Derecho de Acceso

Solicitar copia de todos tus datos personales en formato inteligible.

Procedimiento:

• Email a: sultancardsmx@gmail.com 
• Incluir: Nombre completo, correo registrado, número de orden (opcional)
• Respuesta: Máximo 30 días hábiles
• Costo: Gratuito

6.2 Derecho de Rectificación

Solicitar corrección de datos inexactos, incompletos, o desactualizados.

Procedimiento:

• Acceder a Mi Cuenta → Editar Perfil, o
• Email a: sultancardsmx@gmail.com 
• Especificar qué datos requieren corrección
• Respuesta: Máximo 15 días hábiles

6.3 Derecho al Olvido (Derecho a Ser Olvidado)

Solicitar eliminación de datos personales, salvo excepciones legales.

Excepciones (No se elimina si):

• Datos necesarios para cumplimiento de obligación legal
• Datos requeridos para defensa de derechos legales
• Datos necesarios para prevención de fraude
• Datos de transacciones fiscales (5 años retención)

Procedimiento:

• Email a: sultancardsmx@gmail.com 
• Indicar: Datos a eliminar, razón (opcional)
• Respuesta: Máximo 30 días hábiles

6.4 Derecho a Restringir Tratamiento

Solicitar limitación en el procesamiento de datos mientras se resuelven disputas.

Procedimiento:

• Email a: sultancardsmx@gmail.com 
• Especificar: Qué datos y por cuánto tiempo
• Respuesta: Máximo 15 días hábiles

6.5 Derecho a Portabilidad

Recibir tus datos en formato estructurado, interoperable, y legible por máquina.

Procedimiento:

• Email a: sultancardsmx@gmail.com 
• Indicar: Formato deseado (CSV, JSON, XML)
• Respuesta: Máximo 30 días hábiles

6.6 Derecho de Oposición

Oponerte al tratamiento de datos para marketing y comunicaciones comerciales.

Procedimiento:

• Click en "Desuscribirse" en cualquier email, o
• Email a: sultancardsmx@gmail.com 
• Especificar: Tipo de comunicación a rechazar
• Respuesta: Inmediata (máximo 48 horas)

Nota: Puedes oponer a marketing sin afectar envíos esenciales de órdenes.

6.7 Derecho a No Ser Objeto de Decisiones Automatizadas

Derecho a no ser sometido a decisiones automatizadas que produzcan efectos legales o significativos.

SULTANCARDS implementa:

• Revisión manual para decisiones de fraude
• Derecho a impugnación de decisiones automatizadas
• Intervención humana disponible

---

VII. COOKIES Y TECNOLOGÍAS DE RASTREO

7.1 Tipos de Cookies Utilizadas

Cookies Estrictamente Necesarias

• Función: Carrito, sesión, seguridad
• Duración: Hasta cierre de sesión
• Consentimiento: No requerido
• Ejemplos: PHPSESSID, session_id

Cookies de Rendimiento/Análisis

• Función: Google Analytics
• Duración: 26 meses
• Consentimiento: Requerido
• Datos: Páginas visitadas, tiempo en sitio, fuente de tráfico

Cookies de Funcionalidad

• Función: Preferencias de usuario (idioma, moneda)
• Duración: 12 meses
• Consentimiento: Requerido

Cookies de Publicidad/Marketing

• Función: Anuncios personalizados, retargeting
• Duración: 12 meses
• Consentimiento: Explícito requerido
• Plataformas: Google Ads, Facebook Pixel

7.2 Rechazo de Cookies

Puedes:

• Rechazar cookies no esenciales mediante banner de consentimiento
• Configurar navegador para bloquear cookies
• Usar extensiones de privacidad (Privacy Badger, uBlock)
• Limpiar cookies en configuración de navegador

Impacto: Rechazar cookies puede afectar funcionalidad del sitio y personalización.

7.3 Terceras Partes y Rastreo

Terceras plataformas que pueden rastrear tu actividad:

• Google Analytics
• Facebook Pixel
• Google Ads
• Shopify Analytics

Consulta políticas de privacidad de esas plataformas para control adicional.

---

VIII. RETENCIÓN DE DATOS

8.1 Período de Retención por Categoría

8.2 Eliminación Automática

Datos que no son sujeto a retención legal son eliminados automáticamente conforme a retención anteriormente descrita.

---

IX. DISPOSICIONES SOBRE MENORES DE EDAD

9.1 Restricciones de Edad

SULTANCARDS está diseñado para mayores de 18 años.

• ❌ No recopilamos datos de menores de 18 sin consentimiento parental
• ❌ No comercializamos hacia menores
• ❌ No utilizamos perfilado automatizado para menores

9.2 Si Eres Menor de 18

Si eres menor:

• Un adulto debe realizar la compra
• Usamos datos del adulto responsable
• No creamos perfil de usuario menor
• Tienes derechos adicionales de privacidad

9.3 Detección y Eliminación

Si detectamos datos de menor sin consentimiento:

• Eliminación inmediata
• Notificación a responsable
• Revisión de cuenta

---

X. CAMBIOS A ESTA POLÍTICA

10.1 Actualizaciones

SULTANCARDS puede actualizar esta Política en cualquier momento.

10.2 Notificación

• Cambios importantes: Notificación por email
• Cambios menores: Publicación en sitio
• Cambios significativos requieren consentimiento nuevo

10.3 Efectividad

Seguir usando sultancards.com después de cambios = Aceptación de nueva política.

---

XI. INCIDENTES DE SEGURIDAD

11.1 Notificación de Brechas

Si se produce violación de seguridad que comprometa datos personales:

Protocolo de Notificación:

1. Evaluación: Determinamos alcance e impacto (máximo 48 horas)
2. Notificación: Email a Titular en máximo 72 horas
3. Información: Detallamos naturaleza de brecha, datos afectados, medidas correctivas
4. Autoridades: Reportamos a autoridades de protección de datos si requerido

Información a Proporcionar:

• Descripción de brecha
• Datos personales afectados
• Consecuencias potenciales
• Medidas de remediación
• Contacto de emergencia

---

XII. CUMPLIMIENTO REGULATORIO

12.1 Leyes Aplicables

SULTANCARDS cumple:

✅ GDPR (EU 2016/679) - Protección de datos EU
✅ CCPA (California) - Derechos de consumidor California
✅ LGPD (Brasil) - Protección de datos Brasil
✅ LFPDPPP (México) - Ley Federal de Protección de Datos
✅ LFPC (México) - Ley Federal de Consumidor
✅ PCI-DSS 3.2.1 - Seguridad de tarjetas de crédito
✅ Términos de Servicio Shopify

12.2 Autoridades de Supervisión

Si tienes reclamación sobre protección de datos:

México: INAI (Instituto Nacional de Transparencia)

• Web: www.inai.org.mx
• Email: controlinterno@inai.org.mx

EU: AEPD (Agencia Española de Protección de Datos) o autoridad local

California: California Attorney General

• Web: www.ag.ca.gov

---

XIII. CONTACTO Y EJERCICIO DE DERECHOS

13.1 Oficina de Privacidad

Responsable de Datos Personales:
SULTANCARDS

Tiempo de Respuesta: Máximo 30 días hábiles (15-30 según derecho aplicable)

13.2 Procedimiento de Reclamo

1. Envía email describiendo tu reclamo
2. Incluye información personal (nombre, correo, orden)
3. Especifica derecho que consideras violado
4. Adjunta documentación relevante
5. SULTANCARDS investigará en plazo legal
6. Respuesta por escrito con resolución

Si no estás satisfecho, tienes derecho a acudir a autoridad de supervisión.

---

XIV. LIMITACIÓN DE RESPONSABILIDAD

14.1 No Responsabilidad

SULTANCARDS NO es responsable por:

• Acceso no autorizado por fuerza mayor
• Ciberataques sofisticados no atribuibles a negligencia
• Violaciones de seguridad causadas por terceras partes
• Incumplimiento de seguridad por terceros enlazados
• Pérdida de datos originada por usuario (contraseña débil, etc.)

Límite de Responsabilidad: Máximo reembolso = Monto pagado por compra

14.2 Exenciones

Esta Política NO cubre:

• Datos públicamente compartidos por usuario
• Datos de contacto de emergencia compartidos voluntariamente
• Información en comentarios/reviews públicos

---

XV. DISPOSICIONES FINALES

15.1 Divisibilidad

Si alguna cláusula es inválida, el resto permanece vigente.

15.2 Domicilio

Para efectos legales, las partes se someten a jurisdicción de tribunales competentes en México.

15.3 Lengua

Este documento prevalece en español. Traducciones son referencia únicamente.

15.4 Vigencia

Esta Política es efectiva desde Julio 2026.
Próxima revisión: Enero 2027.

---

SULTANCARDS — Protegemos tus datos con seriedad legal y compromiso empresarial.

Versión 1.0 - Julio 2026
Última modificación: Julio 2026
Próxima revisión: Enero 2027