Acuerdo de Tratamiento de Datos (DPA)

1. 1.Este Acuerdo regula el tratamiento de datos personales relacionado con la prestación de la app de Shopify «SellRules» (la «App») entre el comerciante que instala la App (el «Comerciante») y JizaiDev, proveedor de la App («nosotros»).
2. 2.El Comerciante es el responsable del tratamiento de los datos personales de los compradores, y nosotros somos el encargado del tratamiento que los procesa siguiendo las instrucciones del Comerciante.
3. 3.Nuestro contacto: [email protected]

Tratamos datos personales únicamente para las siguientes finalidades.

1. 1.Aplicar reglas de venta por producto (pedido anticipado, por encargo, comportamiento sin stock, límites de compra, pagos con depósito/saldo) a la tienda, el checkout y la gestión de pedidos
2. 2.Enviar correos de notificación a los compradores (confirmación de pedido anticipado, retraso, envío, reposición, cobro del saldo)
3. 3.Gestionar el progreso de pedidos anticipados y por encargo, e imprimir albaranes
4. 4.Evaluar límites de compra (por pedido y por cliente, elegibilidad por etiqueta de cliente)
5. 5.Atender las solicitudes de acceso y eliminación de datos de Shopify (customers/data_request, customers/redact, shop/redact)
6. 6.Resolver incidencias de la App y prevenir usos indebidos

El Comerciante acepta que utilicemos los siguientes subencargados.

1. 1.Cifrado en tránsito: la App solo acepta conexiones HTTPS. Las comunicaciones con Shopify y Resend también se cifran con TLS.
2. 2.Cifrado en reposo: la base de datos se encuentra en un volumen cifrado de Fly.io y las instantáneas automáticas también están cifradas. Los datos de autorización de la integración externa con IA se cifran adicionalmente con AES-GCM.
3. 3.Almacenamiento mínimo: no se guardan direcciones de envío ni teléfonos. Los webhooks de pedidos se reducen a los campos necesarios, se guardan temporalmente y se eliminan tras el procesamiento.
4. 4.Restricción de acceso: el acceso administrativo al entorno de producción se limita a nuestros operadores. Las pantallas de administración solo están disponibles para el personal autenticado por Shopify.
5. 5.Registro de accesos: las consultas de albaranes (con direcciones y teléfonos) y las descargas de exportaciones de datos de clientes se registran con ID de empleado, cantidad y hora, y se conservan 365 días (sin registrar los datos personales).
6. 6.Separación de datos de producción y de prueba: las pruebas se realizan en un entorno de alojamiento, una base de datos y una app de Shopify distintos, con tiendas de desarrollo; no se usan datos de producción para pruebas.
7. 7.Autenticación: las cuentas de los operadores usan contraseñas seguras y tienen activada la verificación en dos pasos.

1. 1.Consideramos la configuración de la App y las acciones del Comerciante a través de Shopify como instrucciones de tratamiento.
2. 2.Cuando un comprador solicita acceso, rectificación o supresión, respondemos mediante customers/data_request y customers/redact de Shopify. Los datos divulgados pueden descargarse durante 7 días desde «Solicitudes de datos de clientes» en las pantallas de administración.

1. 1.Cuando tengamos conocimiento de una violación de datos personales o de una sospecha de ella, lo notificaremos a Shopify en un plazo de 24 horas.
2. 2.Notificaremos a los Comerciantes afectados sin demora indebida y, a más tardar, 72 horas después de tener conocimiento, con lo siguiente en la medida en que se conozca: cuándo y qué ocurrió, los datos afectados y el número estimado de registros, las medidas adoptadas, las acciones que debe tomar el Comerciante y nuestro contacto. Enviaremos información adicional en cuanto esté disponible.
3. 3.Las notificaciones se enviarán a la dirección de correo registrada en la tienda de Shopify del Comerciante.
4. 4.Contenemos, investigamos, recuperamos y prevenimos la repetición de los incidentes según nuestro procedimiento interno de respuesta a incidentes, y conservamos un registro de ellos.

1. 1.Cuando el Comerciante desinstala la App, eliminamos los datos de esa tienda al recibir el evento. Lo mismo ocurre al recibir shop/redact.
2. 2.Las copias que queden en las instantáneas automáticas desaparecen en un máximo de 5 días. En todos los casos, todas las copias se eliminan en un plazo de 30 días desde la desinstalación.
3. 3.Podemos conservar agregados anónimos que no contengan datos personales ni identifiquen la tienda.

1. 1.A petición del Comerciante, facilitaremos información que demuestre el cumplimiento de este Acuerdo (este Acuerdo, los plazos de conservación, una descripción de las medidas de seguridad y el número de registros de acceso).
2. 2.Las auditorías in situ requieren acuerdo previo por escrito, un preaviso de 30 días y un alcance y frecuencia razonables (como máximo una vez al año), y su coste corre a cargo del Comerciante.