Acuerdo de tratamiento de datos

1. Objeto y duración

El Encargado trata datos personales por cuenta del Responsable para prestar el servicio FLUXO: recibir los pedidos del Responsable, prepararlos y enviarlos a través del operador logístico que el Responsable ha elegido, seguir las entregas, contactar a los clientes sobre la entrega cuando está activado, enviar los mensajes de marketing por WhatsApp del Responsable a los clientes que han dado su consentimiento, cuando está activado, y conciliar los cobros contra reembolso.

El DPA dura mientras el Encargado trate datos personales para el Responsable y termina cuando los datos se han eliminado o devuelto según el apartado 9.

2. Datos e interesados

• Interesados: los clientes del Responsable y los destinatarios de sus pedidos.
• Categorías de datos: nombre, dirección de envío, teléfono, email, contenido e importes del pedido, forma de pago, datos de entrega y seguimiento, mensajes y transcripciones de llamadas sobre la entrega, registros de consentimiento y baja de marketing (solo si esas funciones están activas).
• No se tratan categorías especiales de datos (como datos de salud).

3. Instrucciones

El Encargado trata los datos solo siguiendo las instrucciones documentadas del Responsable, que se dan con la configuración de su tienda y de su portal FLUXO y con este DPA, también cuando el operador logístico elegido por el Responsable gestiona el portal por su cuenta. El Responsable debe contar con una base jurídica válida para cada uso que active, incluido el consentimiento de los clientes para el marketing; el Encargado envía mensajes de marketing solo a los clientes que constan como consentidos y aplica las bajas al momento. El Encargado avisa al Responsable si considera que una instrucción infringe la normativa de protección de datos.

4. Confidencialidad

Todas las personas autorizadas a acceder a los datos están obligadas a la confidencialidad y acceden solo a lo necesario para el servicio.

5. Seguridad

El Encargado aplica las medidas técnicas y organizativas descritas en el Anexo y las mantiene actualizadas.

6. Subencargados

El Responsable autoriza de forma general el uso de los subencargados indicados en la Política de privacidad de FLUXO (/privacy). El Encargado informa al Responsable al menos 15 días antes de añadir o sustituir un subencargado, para que pueda oponerse. Cada subencargado está sujeto a obligaciones de protección de datos equivalentes a este DPA y el Encargado sigue siendo responsable de él.

7. Asistencia

El Encargado ayuda al Responsable a responder a las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición). Las solicitudes RGPD de Shopify (customers/data_request, customers/redact, shop/redact) se gestionan automáticamente. El Encargado también colabora, cuando sea necesario, en materia de seguridad, evaluaciones de impacto y consultas a las autoridades.

8. Brechas de datos personales

El Encargado notifica al Responsable sin demora indebida, y en todo caso en un plazo de 48 horas desde que tenga conocimiento, cualquier brecha de datos personales que afecte a sus datos, con la información disponible sobre su naturaleza, los datos y personas afectados, las consecuencias probables y las medidas adoptadas. El Encargado informa también a Shopify cuando lo exigen las condiciones de Shopify.

9. Supresión y devolución

Cuando se desinstala la app o termina el servicio, el Encargado elimina los datos personales del Responsable (solicitud shop/redact de Shopify, ejecutada en las 48 horas siguientes a su recepción), salvo que la ley obligue a conservarlos. Antes, el Responsable puede exportar sus pedidos desde el portal FLUXO. Durante el servicio, los datos personales se eliminan según los plazos de conservación de la Política de privacidad.

10. Auditorías e información

El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de este DPA y responde por escrito a sus preguntas. Las auditorías se acuerdan con antelación razonable y a cargo del Responsable.

11. Transferencias internacionales

Los datos se guardan en la Unión Europea. Cualquier transferencia fuera de la UE por parte de un subencargado se basa en las Cláusulas Contractuales Tipo de la Comisión Europea o en una decisión de adecuación.

Anexo — Medidas técnicas y organizativas

• Cifrado en tránsito (HTTPS/TLS) en todas las conexiones y cifrado en reposo (AES-256), incluidas las copias de seguridad diarias.
• Cifrado adicional (AES-256-GCM) de los tokens de Shopify y de las credenciales de los transportistas, con la clave fuera de la base de datos.
• Separación de los datos de cada operador logístico y de cada tienda, aplicada en la base de datos (seguridad a nivel de fila) y en cada acción del servidor.
• Acceso del personal con mínimo privilegio, cuentas individuales, contraseñas robustas, registro de accesos; rotación de credenciales cuando sale una persona con acceso.
• Verificación de la firma HMAC de Shopify en la instalación y en cada webhook; pruebas solo en tiendas de prueba con datos de prueba.
• Prevención de pérdida de datos: copias de seguridad diarias cifradas con recuperación a un momento concreto en el proveedor de base de datos, reglas en la base de datos que rechazan datos no válidos, ninguna exportación masiva de datos de clientes fuera del portal.
• Procedimiento escrito de respuesta a incidentes de seguridad (detección, contención, evaluación, notificación en los plazos indicados, revisión).
• Eliminación automática de los datos personales según los plazos de conservación de la Política de privacidad.