Política de Privacidad

Esta Política explica qué datos trata la aplicación Growth Safety («la Aplicación»), con qué finalidad, durante cuánto tiempo y con qué proveedores, cuando un comercio («el Merchant») la instala en su tienda de Shopify.

1. Responsable del tratamiento

Titular y responsable de la Aplicación: Adrián Escribano Vigaray (persona física), NIF 54684146J, con domicilio en Calle 3 de abril 1, portal 6, 2C, Cobeña, Madrid, España.

Al tratarse de una persona física, no consta inscripción en el Registro Mercantil ni datos registrales asociados.

Contacto de privacidad: growthsafety.app@gmail.com. Puede dirigirse a esa dirección para cualquier cuestión relativa a esta Política o al ejercicio de sus derechos.

2. Qué es Growth Safety

Growth Safety es una aplicación integrada («embedded app») que se ejecuta dentro del panel de administración de Shopify. Ofrece al Merchant indicadores e información de apoyo a la decisión sobre inventario, ritmo de ventas, cobertura de stock y simulaciones de gasto/compra, calculados a partir de los datos de su propia tienda.

Growth Safety es una herramienta de apoyo a la decisión. No ejecuta compras, pagos ni cambios en la tienda, y no presta asesoramiento financiero, fiscal, contable ni jurídico.

3. A quién afecta esta Política

La Aplicación la instala y utiliza el Merchant y las personas de su organización con acceso al panel de Shopify (personal de la tienda). Los datos personales que puede llegar a tratar Growth Safety se refieren a esas personas usuarias y a la propia tienda, no a los clientes finales del Merchant (ver apartado 5).

4. Datos que recibimos de Shopify

Cuando el Merchant instala la Aplicación, Shopify solicita su autorización para los permisos read_products y read_orders. Con esos permisos, la Aplicación consulta a la API de Shopify, en el momento en que el Merchant abre la Aplicación, la siguiente información:

• Tienda: nombre de la tienda y dominio myshopify.com.
• Productos: identificador, título y unidades de inventario totales de cada producto; número total de productos.
• Pedidos de los últimos 30 días: fecha de creación del pedido y, por cada línea de pedido, la cantidad y el identificador y título del producto asociado.

5. Datos de clientes finales: qué NO pedimos

Growth Safety no solicita ni recibe nombres, apellidos, direcciones de correo electrónico, teléfonos, direcciones postales, datos de pago ni ningún otro dato identificativo de los clientes finales del Merchant. Las consultas de pedidos se limitan a fechas y cantidades agregadas por producto; no se solicita el objeto customer ni las direcciones de facturación o envío.

6. Datos de productos y pedidos: uso y no conservación

La información de productos y pedidos descrita en el apartado 4 se utiliza en memoria, durante la generación de la vista que el Merchant está consultando, para calcular indicadores (stock total, unidades vendidas en 30 días, ritmo de venta, cobertura, clasificación por producto y simulaciones). Una vez generada la respuesta, no se almacena ningún dato de productos ni de pedidos en la base de datos de Growth Safety.

7. Qué información almacenamos

Growth Safety guarda de forma persistente únicamente:

7.1. Sesión y credenciales de Shopify

• El registro de sesión que genera la librería oficial de Shopify: identificador de sesión, dominio de la tienda, estado, ámbitos (scopes) concedidos, marcas de caducidad y los tokens de acceso y de actualización necesarios para autenticar las llamadas a la API de Shopify en nombre de la tienda.
• El modelo de sesión incluye campos para datos de la persona usuaria (nombre, apellidos, correo, identificador de usuario) que solo se rellenan si se utilizan tokens «online». La configuración actual de la Aplicación usa tokens «offline», por lo que esos campos permanecen vacíos.

7.2. Configuración del Merchant

• Dominio de la tienda.
• Porcentaje de caja de seguridad (safetyCashPercentage) y cobertura objetivo de inventario en días (targetCoverageDays).
• Fechas de creación y última modificación de esa configuración.

8. Finalidad del tratamiento

• Autenticar y mantener la conexión de la tienda con Shopify.
• Prestar la funcionalidad de la Aplicación: cálculo de indicadores y simulaciones de apoyo a la decisión.
• Conservar la configuración elegida por el Merchant.
• Atender obligaciones legales, incluidos los webhooks de cumplimiento de privacidad de Shopify (apartado 11).

9. Base jurídica

El tratamiento se realiza en el marco de la relación de servicio entre el Titular y el Merchant (ejecución de contrato) y, en su caso, del interés legítimo en prestar y asegurar el servicio, así como del cumplimiento de obligaciones legales para las solicitudes de privacidad. La calificación concreta de cada base jurídica y la determinación de los roles de responsable y encargado se realizan conforme a la normativa de protección de datos aplicable.

10. Conservación

• Datos de productos y pedidos: no se conservan; se procesan en memoria y se descartan al terminar la petición.
• Sesión y tokens: mientras la Aplicación está instalada. Se eliminan al desinstalar (apartado 11).
• Configuración del Merchant: mientras la Aplicación está instalada. Se elimina al desinstalar y, como salvaguarda, con el webhook shop/redact.
• Los registros técnicos (logs) del servidor se minimizan y no incluyen tokens ni datos personales de clientes; su retención depende del proveedor de hosting (apartado 13).

11. Qué ocurre al desinstalar y webhooks de privacidad de Shopify

Growth Safety implementa los webhooks obligatorios de Shopify:

• app/uninstalled: al desinstalar la Aplicación, se eliminan de nuestra base de datos todas las sesiones y la configuración asociadas a esa tienda.
• shop/redact: 48 horas después de la desinstalación, Shopify solicita el borrado de los datos de la tienda; se vuelven a eliminar sesiones y configuración de esa tienda (operación idempotente).
• customers/redact y customers/data_request: dado que Growth Safety no almacena datos de clientes finales, no hay datos que borrar ni que entregar; la Aplicación se limita a acusar recibo. Los payloads de estos webhooks no se registran ni se conservan.

12. Derechos de las personas interesadas

Las personas cuyos datos se traten pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento cuando sea la base aplicable, escribiendo a growthsafety.app@gmail.com. También pueden presentar una reclamación ante la autoridad de control competente (en España, la Agencia Española de Protección de Datos, www.aepd.es).

Si el Merchant actúa como responsable del tratamiento respecto de los datos de su tienda, canalizaremos hacia él las solicitudes que correspondan y le prestaremos asistencia razonable.

13. Proveedores y subencargados

Para prestar el servicio intervienen los siguientes proveedores. En la página de Subprocesadores se detalla la función, categorías de información y verificación de cada uno.

• Shopify — plataforma y API de origen de los datos de la tienda; proveedor de la infraestructura de la app integrada y de los webhooks. Según su documentación pública, Shopify actúa como encargado del tratamiento respecto de los datos personales de clientes del Merchant.
• Railway — alojamiento (hosting) del servidor de la Aplicación. Procesa el tráfico de la Aplicación y los registros técnicos.
• Neon — base de datos PostgreSQL gestionada donde se almacenan la sesión/tokens y la configuración del Merchant.

14. Transferencias internacionales

El tratamiento por parte de determinados proveedores puede implicar transferencias internacionales de datos. Cuando resulte aplicable, dichas transferencias se someterán a las garantías previstas por la normativa de protección de datos, como una decisión de adecuación o las cláusulas contractuales tipo aprobadas por la Comisión Europea. Puede consultar información adicional sobre los proveedores en la página de Subprocesadores.

15. Seguridad

Se aplican medidas técnicas y organizativas razonables: cifrado en tránsito (HTTPS) hacia Shopify y hacia la base de datos, control de acceso, minimización de datos (no se almacenan productos, pedidos ni datos de clientes), minimización de logs y borrado de datos al desinstalar. El cifrado en reposo depende de los proveedores de hosting y base de datos.

16. Cambios en esta Política

Esta Política puede actualizarse. La versión vigente es la publicada en esta página, identificada por su número de versión y fecha. Si se incorporan herramientas de analítica, publicidad o seguimiento, esta Política y la información sobre cookies se revisarán antes de activarlas.

17. Versión

Versión 0.1. Fecha de entrada en vigor: 28 de agosto de 2026.