Acuerdo de Encargo de Tratamiento (DPA)

Esta adenda («DPA») está redactada para regular el tratamiento de datos personales que Adrián Escribano Vigaray («el Encargado») realizaría por cuenta del comercio que instala Growth Safety («el Responsable»), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD), como complemento de los Términos del Servicio.

Este documento se pone a disposición para su consulta. Su publicación en esta página no implica, por sí sola, su aceptación ni la formalización de un acuerdo entre las partes. El mecanismo de aceptación (por ejemplo, aceptación en la instalación o firma de un documento) se determinará antes de un escenario en el que resulte jurídicamente necesario formalizarlo. En caso de contradicción con los Términos, esta DPA prevalecería en materia de protección de datos una vez formalizada.

1. Roles de las partes

El Responsable determina los fines y medios del tratamiento de los datos de su tienda. El Encargado trata dichos datos únicamente para prestar el servicio y siguiendo las instrucciones documentadas del Responsable (estos Términos, esta DPA y la configuración de la Aplicación). Respecto de terceros proveedores, el Encargado actúa como tal y aquellos como subencargados (ver apartado 8).

2. Objeto

Tratamiento de datos personales por el Encargado en la medida necesaria para prestar Growth Safety: autenticación con Shopify, cálculo en memoria de indicadores y simulaciones a partir de datos de productos y pedidos, y conservación de la sesión y de la configuración del Responsable.

3. Duración

Mientras la Aplicación esté instalada. A la desinstalación se aplican las reglas de supresión del apartado 10.

4. Naturaleza y finalidad del tratamiento

• Naturaleza: lectura de datos vía API de Shopify, cálculo en memoria, almacenamiento limitado de sesión y configuración, y borrado al desinstalar.
• Finalidad: prestación de la funcionalidad de apoyo a la decisión de la Aplicación y su seguridad y mantenimiento.

5. Categorías de datos personales

• Datos de sesión/identificación técnica: dominio de la tienda, identificador de sesión, ámbitos concedidos, tokens de acceso y de actualización, marcas de caducidad.
• Datos de personal del comercio: los campos de nombre, apellidos, correo e identificador de usuario del modelo de sesión solo se rellenan con tokens «online»; la configuración actual usa tokens «offline», por lo que permanecen vacíos.
• Datos de negocio tratados en memoria: identificadores y títulos de productos, inventario, fechas de pedidos y cantidades por producto de los últimos 30 días. No se solicitan datos identificativos de clientes finales y no se almacenan productos ni pedidos.
• Configuración: parámetros numéricos definidos por el Responsable y marcas de tiempo.

No se tratan de forma deliberada categorías especiales de datos (art. 9 RGPD).

6. Categorías de interesados

• Personal y usuarios autorizados del comercio con acceso al panel de Shopify.
• De forma indirecta y transitoria, información asociada a pedidos del comercio (sin datos identificativos de clientes), procesada solo en memoria.

7. Instrucciones documentadas y confidencialidad

El Encargado tratará los datos solo conforme a las instrucciones documentadas del Responsable y a la normativa aplicable, y le informará si, a su juicio, una instrucción la infringe. El personal del Encargado con acceso a los datos está sujeto a deber de confidencialidad.

8. Medidas técnicas y organizativas

Atendiendo al estado de la técnica y al riesgo, se aplican:

• Cifrado en tránsito (HTTPS/TLS) con Shopify y con la base de datos.
• Minimización: no se almacenan productos, pedidos ni datos de clientes; la sesión y la configuración son los únicos datos persistentes.
• Minimización de logs: sin tokens ni datos personales de clientes.
• Control de acceso a la infraestructura y a la base de datos mediante credenciales gestionadas como secretos y no versionadas.
• Borrado de sesión y configuración al desinstalar y ante shop/redact.
• Cifrado en reposo a nivel de infraestructura: según las medidas que apliquen los proveedores de hosting y de base de datos.

No se declaran certificaciones propias (p. ej. ISO 27001, SOC 2) del Encargado. Las de los subencargados figuran, en su caso, en su propia documentación.

9. Subencargados

El Responsable autoriza con carácter general el recurso a los subencargados listados en la página de Subprocesadores (actualmente Shopify, Railway y Neon). El Encargado impondrá a cada subencargado obligaciones de protección de datos equivalentes a las de esta DPA y comunicará con antelación razonable cualquier alta o sustitución, permitiendo al Responsable oponerse por motivos razonables relacionados con la protección de datos.

10. Asistencia al Responsable

• Derechos de los interesados: el Encargado asistirá al Responsable, en la medida de lo posible y dada la naturaleza del tratamiento, para atender solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Dado que no se almacenan datos de clientes, la asistencia se refiere principalmente a los datos de sesión y configuración de la tienda.
• Seguridad, notificación de brechas y evaluaciones de impacto: el Encargado prestará asistencia razonable al Responsable en el cumplimiento de los artículos 32 a 36 del RGPD.

11. Notificación de incidentes

El Encargado notificará al Responsable sin dilación indebida tras tener conocimiento de una violación de seguridad que afecte a datos personales tratados por cuenta del Responsable, aportando la información razonable disponible para que este pueda cumplir sus obligaciones de notificación. El canal de notificación es growthsafety.app@gmail.com.

12. Supresión o devolución

• A la desinstalación (app/uninstalled) se eliminan todas las sesiones y la configuración de la tienda.
• Con shop/redact (48 h después) se repite el borrado como salvaguarda; la operación es idempotente.
• No se conservan copias de datos de productos, pedidos o clientes porque no se almacenan en ningún momento.
• Las copias de seguridad y registros gestionados por los subencargados se eliminan según sus propios ciclos de retención.

13. Auditoría e información

El Encargado pondrá a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de esta DPA y colaborará en auditorías o inspecciones realizadas por el Responsable o un auditor mandatado, con preaviso razonable, durante el horario laboral y sin comprometer la seguridad o la confidencialidad de otros clientes.

14. Transferencias internacionales

El tratamiento por parte de determinados subencargados puede implicar transferencias internacionales de datos. Cuando resulte aplicable, dichas transferencias se someterán a las garantías previstas por la normativa de protección de datos, como una decisión de adecuación o las cláusulas contractuales tipo aprobadas por la Comisión Europea. La identificación y evaluación de estas transferencias, y en su caso las evaluaciones de impacto de transferencia, se realizan conforme a la normativa aplicable (ver Subprocesadores).

15. Finalización

Al término de la prestación se aplica el apartado 12. Las obligaciones que por su naturaleza deban subsistir (confidencialidad, responsabilidad por incumplimientos previos) permanecerán vigentes.

16. Ley aplicable

Esta DPA se rige por el Reglamento (UE) 2016/679 (RGPD) y por la normativa española de protección de datos.

17. Versión

Versión 0.1. Fecha de entrada en vigor: 28 de agosto de 2026.