隐私政策

数据控制者

通过本网站收集的个人数据的数据控制者为：

• 公司名称：Cosmética Natural de Licopeno, S.L.
• 商业名称：Lycolé
• CIF/NIF：ESB06651731
• 注册地址及数据保护相关通信地址：P.I. El Nevero - Avda. Río Segura, 13 - Complejo La Mar, Fase II - Nave 3 - Edif. D - 06006 Badajoz (西班牙)
• 一般电子邮箱： info@lycole.com
• 隐私事项及权利行使电子邮箱： legal@lycole.com
• 电话：+34 924 957 312
• 网站： https://lycole.com

当外部供应商代表Lycolé处理数据时，在适用情况下，其将作为数据处理者，并受RGPD第28条要求的合同义务约束。某些供应商，例如金融机构、支付网关、邮政运营商、社交平台或公共机关，可能就其在自身责任下进行的处理活动作为独立的数据控制者。

---

本政策的适用范围

本政策适用于Lycolé通过本网站及与其在线活动直接相关的渠道进行的个人数据处理，包括视情况而定的以下活动：

• 浏览本网站并使用其功能；
• 联系表单和信息请求；
• 创建和管理客户账户；
• 购买、付款、开票、配送、退货及售后服务流程；
• 处理投诉、保修和相关问题；
• 订阅电子简报和商业通讯；
• 当Lycolé能够访问因该互动产生的个人数据时，通过社交网络或第三方服务与Lycolé互动；
• 防欺诈、账户保护、信息安全以及防范非法使用；
• 按照Cookie政策的规定使用Cookie及类似技术。

由Lycolé无法控制的第三方直接进行的数据处理，适用相应第三方的隐私政策。

---

我们从哪里获取个人数据？

通常，数据会在以下情况下直接从数据主体本人处获取：

• 填写表单；
• 创建账户；
• 下单；
• 提供账单地址或收货地址；
• 联系Lycolé；
• 申请退货或提出投诉；
• 订阅商业通讯；
• 使用需要个人数据的功能；
• 设置Cookie偏好。

使用本网站还可能自动生成某些技术数据，例如IP地址、访问日志、浏览器信息、技术标识符、安全事件或在允许使用Cookie时产生的Cookie数据。

在某些情况下，Lycolé可能从第三方接收数据，例如支付网关告知交易确认或拒绝结果、运输公司提供配送状态、用户通过社交平台公开或私信与品牌沟通，或其他人员提供不同的收货地址。

当某人提供第三方的数据时，其必须具有充分的合法依据，并仅将这些数据用于合法目的。在法律要求的情况下，Lycolé可采取合理必要措施向受影响人员提供相关信息。

---

可能处理的数据类别

根据用户与Lycolé之间的关系以及所使用的功能，可能处理以下类别的数据：

• 身份识别数据：姓名、姓氏，以及在法律或合同需要时的税务识别信息。
• 联系数据：用户提供的电子邮箱、电话、邮政地址及其他联系方式。
• 账单数据：姓名或公司名称、适用时的NIF/CIF、税务地址以及开具会计或税务文件所需的数据。
• 配送数据：收件人姓名、地址、城市、邮政编码、国家、电话及完成配送所需的备注。
• 账户数据：用户标识符、订单历史、与账户相关的偏好以及验证访问所需的数据。密码不会以Lycolé可读取的明文形式显示，并通过平台的安全机制进行管理。
• 订单及商业关系数据：所购产品、数量、金额、折扣、所选付款方式、运费、退货、退款、问题及相关通信。
• 付款相关信息：交易状态、付款参考信息、金额、所选方式，以及支付服务提供商向Lycolé传递的、用于证明或管理交易的数据。当完整支付卡信息由相应金融服务提供商直接处理时，Lycolé无需存储这些完整数据。
• 通信数据：咨询、投诉、请求、消息、电子邮件及为服务用户所需的通信内容。
• 技术及安全数据：IP地址、访问日期和时间、技术日志、浏览器、操作系统、会话标识符、安全事件以及维护服务完整性或调查欺诈性使用所需的其他信息。
• 浏览及分析数据：在使用分析工具且具备所要求的法律依据时，所访问页面、互动及类似指标。
• 商业偏好：订阅、退订、已接受的通信类别以及用户所作决定的记录。
• 来自Cookie及类似技术的数据：仅按照Cookie政策所述条款处理。

Lycolé不会通过常规购买流程要求提供RGPD第9条规定的特殊类别数据，例如健康数据、种族或族裔来源、政治观点、宗教、工会成员身份、遗传数据或生物识别数据。除非绝对必要且存在适当的渠道和法律依据，请用户不要主动提供此类信息。

---

处理目的、法律依据及保存期限

Lycolé并非对所有处理活动都采用同一法律依据。合法性依据取决于具体目的。主要活动如下：

处理活动／目的	主要法律依据	保存标准
处理咨询和信息请求：回复表单、电子邮件、商业咨询或购买前的请求。	当咨询与可能签订合同有关时，采取数据主体所请求的合同前措施；对于其他一般咨询，依据Lycolé为处理与其业务相关通信所具有的合法利益。	在处理并结束咨询所需的期间内保存，之后在为证明处理情况或应对潜在责任而合理必要的期间内继续保存。
创建和管理客户账户：注册、身份验证、访问订单及相关功能。	履行合同或采取用户所请求的合同前措施。	在账户保持有效期间保存；账户注销后，在履行法律义务、安全要求及应对潜在责任所需的期限内保存。
管理订单和合同：核验产品、记录购买、发送确认、协调付款、准备并交付订单。	履行买卖合同以及采取客户所请求的合同前措施。	在合同关系存续期间保存；合同结束后，在商业、税务、消费者保护法规以及责任时效要求的期限内保存。
开票、会计及履行税务义务。	履行适用于Lycolé的法律义务。	在法定强制保存期限内保存。一般而言，商业文件应保存六年，但不影响可能适用的其他特定法定期限。
管理付款和退款：确认交易、识别收款、处理退款并解决付款问题。	履行合同；履行法律义务；以及在适用情况下，基于防止欺诈交易和保护支付系统的合法利益。	在管理交易所需期间以及与交易和潜在责任相关的法定期限内保存。
管理配送和物流：向承运商提供必要数据、进行追踪并解决配送问题。	履行买卖合同。	在配送管理期间保存，之后在处理与订单相关的问题、投诉和义务所需的期限内保存。
退货、撤回权、保修、投诉及售后服务。	履行合同以及履行消费者和用户保护方面的法律义务。	在处理相关事项期间保存，并在之后可能产生法律义务或责任的期间内继续保存。
网站安全、账户保护以及预防欺诈或滥用：技术日志、异常访问检测、事件调查、防御攻击和法律维权。	Lycolé为保护其基础设施、客户、资产、权利和运营所具有的合法利益；并在适用情况下履行安全方面的法律义务。	在与安全目的相称且必要的期间内保存；如发现事件，则在调查、记录该事件以及提出或抗辩索赔所需的期间内保存。
用户请求的电子简报、促销和商业通讯。	当法律要求以同意作为依据时，基于数据主体的同意。	直至数据主体撤回同意或申请退订，但可保留证明此前授权及尊重其反对意见所必需的最少数据。
向现有客户发送与其已购买产品或服务类似的自有产品商业通讯，仅限法律允许的情形。	基于Lycolé的商业合法利益，并结合LSSI-CE第21.2条规定的例外，同时始终提供简便且免费的反对方式。	在法律允许发送此类通讯的关系持续期间保存，或直至收件人提出反对。
管理退订和商业排除名单。	履行法律义务和／或基于证明并尊重数据主体意愿的合法利益。	在防止再次发送不希望收到的通信以及证明已遵守反对请求所需期间内保存。
非必要的分析、个性化或营销Cookie。	在LSSI-CE和RGPD要求时，基于同意。	按照每项Cookie或技术所告知的期限保存，并持续至用户撤回同意。请参阅Cookie政策。
处理公共行政机关、法院、法庭、执法机构或其他主管机关的要求。	履行法律义务以及依法有效提出的要求。	在履行该要求以及保存法律要求的文件所需期间内保存。
提出、行使或抗辩索赔，包括司法或非司法索赔。	基于维护Lycolé权利和利益的合法利益，并在适用情况下履行法律义务。	在适用的诉讼时效期间内保存，并持续至相关程序最终结束。

当同一数据为多个目的所必需时，即使针对某一目的应予删除，如存在要求或允许继续保存该数据的其他有效法律依据，也无需将其删除。在这种情况下，访问和处理将仅限于仍然合法的目的。

---

是否必须提供数据？

表单中标识为必填的字段是提供服务或实现所述目的所必需的。如果用户未提供这些数据、提供不完整数据或明显错误的信息，Lycolé可能无法处理购买、交付订单、开具发票、管理退货或妥善处理相关请求。

非必要数据应在技术上可行时标示为可选。Lycolé将尽力避免为任何目的收集超出必要范围的信息。

数据主体有责任确保其提供的数据准确、最新且真实。如发生重要变更，应在存在该选项时通过账户更新，或通知Lycolé。

---

提供信息与取得同意并非同一回事

本隐私政策的功能在于提供信息。用户无需同意本政策，Lycolé即可基于合同、法律义务或合法利益等有效法律依据开展相应处理。

当Lycolé为特定目的需要取得同意时——例如自愿订阅电子简报或使用某些非必要Cookie——该同意必须以具体、区分明确且毫无歧义的方式取得。

用于证明用户已收到或阅读隐私信息的复选框，并不会使“同意”自动成为本政策所述全部处理活动的法律依据。同样，拒绝接收广告不得阻碍用户购买或获得并不需要该商业授权的服务。

---

订单管理和客户数据

为管理购买，Lycolé需要处理识别客户或收件人、记录所订购产品、收取款项、准备配送、就订单状态进行沟通、出具相应文件以及提供售后服务所必需的数据。

当收货地址属于购买者以外的人员时，收件人的数据仅在完成配送及处理相关问题所必需的范围内进行处理。购买者声明其具有提供这些数据的充分合法依据。

Lycolé可保存与客户账户关联的订单历史，以便客户查询、管理保修和退货、提供售后服务、证明交易并履行法律义务。

注销客户账户并不意味着必须立即删除因法律义务或为提出、行使或抗辩索赔而需要保存的发票、订单或其他数据。在这种情况下，仅会在相应期限内保存，并在适用时限制访问。

---

付款相关信息

Lycolé可向客户提供一种或多种付款方式。任何时候可用的付款方式以购买流程中显示的方式为准。

当通过银行、支付网关、电子支付平台或其他专业供应商付款时，交易所需的某些数据将由该供应商依据其自身法律和安全义务直接处理。

Lycolé可能接收管理购买所需的信息，例如交易结果、金额、日期、交易标识符或参考号、所使用的付款方式，以及对账、处理退款或调查问题所需的数据。

当银行卡完整信息由支付服务提供商的系统直接输入并处理时，Lycolé无需存储该完整信息。交易的具体技术方式可能因可用供应商以及用户选择的方式不同而有所变化。

当支付服务提供商作为独立数据控制者时，其所进行的处理亦受其自身隐私政策约束。客户可通过所选择的付款方式及相关流程中提供的信息了解所使用供应商的身份。

---

数据接收方及供应商类别

Lycolé不会出售用户的个人数据，也不会无差别地向第三方披露这些数据。只有在存在法律依据且为实现所述目的所必需时，数据才会被处理或传递。

根据所使用的服务，以下类别的接收方可能访问或接收数据：

• 运输、快递和物流公司，用于交付订单、追踪配送并处理问题。
• 银行机构、支付网关和支付服务提供商，用于处理收款、退款、验证以及与交易相关的安全措施。
• 技术供应商，包括托管、基础设施、网站维护、网络安全、电子邮件、交易通信、备份、支持以及运营商店所需的工具。
• 分析、营销或商业通信管理供应商，仅限于相应目的及法律依据允许的范围。
• 咨询机构、会计事务所、审计师、律师或其他专业顾问，在行政、会计、税务、法律或合规管理需要时。
• 保险机构或其他服务提供商，在处理与交易相关的问题、投诉或服务时需要。
• 税务机关、消费者事务机构、数据保护机关、执法机构、法院、法庭及其他公共机关，在存在法律义务或有效要求时。

当上述供应商代表Lycolé处理数据时，将依据合理的安全和合规标准进行选择，并在法律要求时签订RGPD规定的数据处理者相关条款。

当第三方自行决定处理目的和方式时——例如某些金融机构、运营商或平台——其将就自身活动作为独立数据控制者，并应提供法律要求其提供的信息。

---

个人数据的国际传输

某些通过互联网提供服务的技术供应商可能设立于欧洲经济区（EEE）之外，或使用位于欧洲经济区之外的基础设施。

如发生个人数据国际传输，Lycolé将使用能够依据RGPD第44条及后续条款合法进行传输的供应商或机制。视具体情况，传输可能基于：

• 欧盟委员会作出的充分性决定；
• 欧盟委员会批准的标准合同条款；
• 具有约束力的公司规则；
• 其他法律认可的工具或保障措施；
• 或在例外情况下，RGPD明确规定的某一情形。

必要时，将根据传输的具体情况以及目的地国家的保护水平采取补充措施。

数据主体可通过发送电子邮件至legal@lycole.com，请求了解与其相关的国际传输及所采用保障措施的信息。

---

商业通讯和电子简报

在存在有效法律依据时，Lycolé可发送有关新闻、产品、促销、活动、发布、折扣或其他商业内容的信息。

自愿订阅

当某人自愿订阅电子简报，或勾选专门用于接收商业通讯的复选框时，处理将基于其同意。该复选框如存在，应为可选且不得预先勾选。

已有合同关系的客户

在LSSI-CE第21.2条允许的情形下，Lycolé可以合法使用从客户处取得的联系数据，发送与最初合同所涉及的产品或服务相类似的自有产品或服务有关的商业通讯。

在任何情况下，都将提供简便且免费的反对方式，无论是在适用的数据收集时，还是在每一条商业通讯中，用户均可反对将其数据用于促销目的。

退订与反对

收件人可通过消息中包含的链接、使用为此提供的机制，或发送电子邮件至legal@lycole.com办理退订。

退订后，Lycolé可以在抑制或排除名单中保存必要的最少数据，以证明并尊重用户的意愿并防止再次发送未经授权的通信。此类保存不意味着继续将数据用于商业目的。

---

社交网络和第三方平台

Lycolé可能在社交网络和数字平台上运营企业账户。当用户关注、评论、标记、提及、发送消息或与官方账户互动时，Lycolé可根据用户的隐私设置和服务条款处理平台向其提供的信息。

Lycolé将使用这些数据来管理互动、回复消息、审核内容、处理咨询、提供品牌信息，并在存在有效法律依据时开展促销活动。

社交网络和平台自行决定其数据处理活动，并可依据其政策使用Cookie、标识符和跟踪技术。Lycolé无法控制这些供应商独立开展的处理。

仅存在指向社交网络的链接，并不意味着Lycolé会自动向该网络传输个人数据。但是，嵌入内容或活动连接器可能产生信息传输；当涉及需要同意的技术时，将按照Cookie政策进行管理。

---

Cookie与浏览数据

本网站使用某些功能所必需的技术Cookie，并可在已启用且存在相应法律依据时使用分析、个性化或第三方Cookie。

需要同意的非必要Cookie将在用户作出有效决定之前保持阻止状态。用户之后可通过持续可用的设置系统修改其偏好。

关于Cookie类型、目的、供应商、期限及同意管理的完整信息载于Cookie政策。

---

自动化决策和用户画像

Lycolé可使用自动化工具执行常规技术功能，例如检测异常访问、应用安全过滤器、识别潜在欺诈交易、整理信息或生成统计数据。

通常情况下，Lycolé不会仅基于自动化处理作出对用户产生法律效力或以类似方式对其产生重大影响的决定，即RGPD第22条所指的情形。

安全工具可能会将某项交易标记为待审查，或自动应用保护服务所必需的技术措施，但这并不必然意味着存在RGPD所规定具有法律效力的自动化决策。

如未来实施具有法律效力或类似重大影响的自动化决策或用户画像，Lycolé将事先提供法规要求的信息，包括有关所采用逻辑和预期后果的重要信息，以及相应权利。

---

未成年人数据的处理

本网站和在线商店主要面向具备足够行为能力以进行所请求操作的人员。若不存在适当法律依据，Lycolé无意主动收集未成年人的个人数据。

进行购买的行为能力与就数据处理有效给予同意的年龄，是不同的法律问题。当某项处理仅基于未成年人就信息社会服务所给予的同意时，将适用RGPD及西班牙法律规定的年龄和代理要求。

如果父亲、母亲、监护人或法定代理人认为未成年人不当向Lycolé提供了个人数据，可以通过legal@lycole.com联系Lycolé，以便分析情况并采取法律规定的适当措施。

---

保存、限制访问与删除

数据将在实现其收集目的所需的期间内保存，之后在可能产生义务或责任的期间内继续保存。

当应当删除数据，但存在保存义务或可能产生责任时，数据可保持封存或限制访问状态，并仅在相应期限内供主管机关、司法机构或有合法权限的人员使用。

适用期限届满且不再存在保存数据的法律依据后，将根据所使用的系统和介质，以合理方式删除数据或进行匿名化处理。

保存特定文件的义务并不意味着所有数据都应继续可供日常使用。Lycolé将遵循目的限制原则，并在适用时限制相关处理。

---

安全措施

Lycolé会根据处理的性质、范围、背景和目的，以及对个人权利和自由造成的风险，采取适当的技术和组织措施。

根据各系统的具体情况，这些措施可能包括：

• 访问控制和权限管理；
• 身份验证机制；
• 通过HTTPS/TLS对通信进行加密；
• 系统更新和维护；
• 防止未经授权访问和恶意软件的保护措施；
• 适用情况下的备份和恢复机制；
• 记录和分析特定安全事件；
• 事件管理程序；
• 供应商选择和监督；
• 保密及最小化访问的组织措施。

上述列举仅说明措施类别，并非对Lycolé安全架构的完整披露。出于安全原因，不会公开可能有助于攻击系统的配置、凭据、内部控制或其他信息。

任何连接互联网的系统都无法保证零风险。Lycolé将以法规要求的勤勉程度预防、发现和应对事件，同时不影响其依法承担的责任。

---

个人数据安全泄露

发生影响个人数据的安全泄露时，Lycolé将分析事件性质、受影响的数据、可能后果以及对个人造成的风险。

如果该泄露可能对自然人的权利和自由造成风险，将向主管监管机构进行通知，不得无故拖延，并在可能的情况下自Lycolé知悉该事件起72小时内完成通知，除非该泄露不太可能构成风险。

如果该泄露可能对个人权利和自由造成高风险，还将不得无故拖延地通知受影响人员，但法律规定的例外情形适用时除外。

Lycolé将按照法规要求记录安全事件，即使无需对外通知。

---

数据主体的权利

其数据由Lycolé处理的人员，在满足法律要求时，可以行使以下权利：

• 访问权：了解Lycolé是否处理其数据，并获得有关信息以及正在处理的个人数据副本。
• 更正权：要求更正不准确的数据并补充不完整的数据。
• 删除权：在法律规定的情形出现时要求删除数据。
• 反对权：反对基于合法利益的某些处理，或反对用于直接营销目的的处理。
• 限制处理权：在RGPD规定的情形下要求限制数据处理。
• 数据可携权：以结构化、常用且机器可读的格式接收其向Lycolé提供的特定数据，并在技术上可行且法律允许时，要求将其传输给另一数据控制者。
• 撤回同意的权利：可随时撤回此前给予的同意，但不影响撤回前基于该同意进行处理的合法性。
• 不受某些完全自动化决定约束的权利，在符合RGPD第22条规定条件时适用。

---

如何行使您的权利

可通过以下方式免费提出权利行使请求：

• 发送电子邮件至legal@lycole.com；或
• 邮寄至Cosmética Natural de Licopeno, S.L., P.I. El Nevero - Avda. Río Segura, 13 - Complejo La Mar, Fase II - Nave 3 - Edif. D - 06006 Badajoz (西班牙)。

申请应能够识别数据主体，并明确说明其希望行使的权利。当对申请人的身份存在合理疑问时，Lycolé可要求提供与确认其身份相称且严格必要的补充信息。

无需在所有情况下都附上DNI身份证件副本，如果可以通过其他方式充分核验身份。仅当为防止欺诈性访问或修改数据而合理必要时，才可能要求提供额外文件。

Lycolé将不得无故拖延地作出回复，并通常在收到申请后的一个月内答复。如考虑到申请的复杂程度和数量而确有必要，该期限可再延长最多两个月，并将告知数据主体延期及其原因。

权利行使原则上免费。但是，如果申请明显缺乏依据或过度，尤其具有重复性，则可采取RGPD规定的措施，包括在适用情况下根据行政成本收取合理费用，或在说明理由后拒绝采取行动。

---

向监管机构投诉

如果某人认为Lycolé未正确处理其个人数据，或未妥善处理其权利行使请求，可向有管辖权的监管机构提出投诉。

在西班牙，监管机构为西班牙数据保护局（AEPD）：

https://www.aepd.es

向监管机构投诉的权利不妨碍数据主体先通过legal@lycole.com联系Lycolé，以尝试解决相关问题。

---

用户对所提供数据承担的责任

用户承诺提供真实且合理保持最新的信息，并且在没有充分合法依据的情况下不使用第三方数据。

如果用户提供错误的地址、电话、身份或其他信息，导致无法正确提供服务，Lycolé可要求其更正，并采取合理必要措施防止欺诈或损害。

当用户向Lycolé提供包含第三方个人数据的文件、图像、消息或其他内容时，用户应负责确保具有合法依据。本规定不免除Lycolé作为数据控制者对其决定进行的处理活动所承担的自身义务。

---

保密义务

在Lycolé授权下参与个人数据处理的人员均须承担保密义务，并仅可访问履行其职责所必需的信息。

Lycolé将与为公司提供服务而需要访问个人数据的供应商订立适当条件，并将其处理指示限制在所委托的目的范围内，除非供应商因法律义务必须采取其他行动。

---

处理目的变更

个人数据不会用于与其最初收集目的不相容的其他目的。

如果Lycolé拟将数据用于新的、不同且不相容的目的，将事先提供RGPD要求的信息；如新目的需要同意或其他特定法律依据，则在取得该依据之前不会开始处理。

---

隐私政策的更新与变更

Lycolé可修改或更新本隐私政策，以适应法律或判例变化、监管机构标准、新功能、供应商变化、处理活动调整或内部合规措施。

如果某项变更对数据处理方式产生重大影响，将提供相应信息；如果新的处理目的需要同意，则会在开始基于该授权进行处理之前取得同意。

本政策的更新不得使个人数据被追溯用于不相容的目的，也不得使本来需要不同法律依据的处理因更新而变得合法。

建议定期查阅本文件，以了解现行版本。

最后更新或修订日期：2026年8月20日。

---

隐私相关咨询

如对本隐私政策、个人数据处理或权利行使有任何疑问，可通过Lycolé的联系表单与Lycolé联系，也可发送电子邮件至legal@lycole.com，或使用本政策开头所列的其他联系方式。