Acuerdo de encargo del tratamiento de datos

Cuando un comerciante conecta su tienda a LIORA, nos confía datos personales de los que él es el responsable del tratamiento: los de sus propios clientes — nombres, direcciones de entrega, pedidos. Solo los tratamos para prestarle el servicio, siguiendo sus instrucciones.

El artículo 28 del RGPD exige que esta relación se regule mediante un contrato escrito. El presente documento hace sus veces. El cliente lo acepta en el momento en que conecta su tienda, y forma parte integrante del contrato de suscripción.

NO se refiere a los datos de la cuenta del propio comerciante — su nombre, su dirección de correo electrónico, su suscripción. De esos somos responsables del tratamiento, y es nuestra Política de privacidad la que se aplica.

• Objeto — la prestación del servicio LIORA: sincronización del catálogo, de las existencias, de los precios y de los pedidos de la tienda Shopify del cliente.
• Duración — la de la suscripción, ampliada con el plazo de recuperación de treinta días previsto en las Condiciones generales de venta.
• Naturaleza — recogida desde la API de Shopify, consulta, estructuración, puesta a disposición en la aplicación y escritura de vuelta hacia la tienda cuando el cliente lo solicita.
• Finalidad — permitir al cliente gestionar su actividad comercial. Ninguna otra.
• Interesados — los clientes de la tienda del comerciante y las personas a las que este autoriza a utilizar la aplicación.
• Categorías de datos — identidad y datos de contacto, direcciones de entrega y de facturación, contenido e historial de los pedidos. No se trata ningún dato sensible en el sentido del artículo 9.

• Actuar siguiendo instrucciones — solo tratamos estos datos para ejecutar el servicio, nunca por cuenta propia y nunca para entrenar modelos.
• Confidencialidad — las personas que tienen acceso a los datos están sujetas a una obligación de confidencialidad y solo acceden a ellos por un motivo de explotación o de asistencia.
• Seguridad — cifrado en tránsito y en reposo, compartimentación por empresa, registro de los accesos, contraseñas con hash. El detalle figura en nuestra Seguridad y respuesta a incidentes.
• Asistencia — ayudamos al cliente a responder a las solicitudes de ejercicio de derechos que recibe y a llevar a cabo sus evaluaciones de impacto cuando afectan a nuestro tratamiento.
• Alerta — informamos al cliente sin dilación indebida de toda violación de datos que le afecte, con lo que sepamos de ella, para que pueda cumplir su propio plazo de setenta y dos horas.
• Documentación — ponemos a su disposición aquello que permite demostrar el cumplimiento de estos compromisos, y nos sometemos a las auditorías que ordene, en condiciones razonables y sin comprometer la seguridad de los demás clientes.

El cliente autoriza el recurso a los siguientes proveedores, que intervienen por nuestra cuenta en la ejecución del servicio:

• Vercel Inc. — alojamiento del sitio y ejecución de los tratamientos, en la Unión Europea (París).
• Neon Inc. — alojamiento de la base de datos, en la Unión Europea (Fráncfort).
• Stripe Payments Europe Ltd — cobro de las suscripciones. No accede a los datos de la tienda; solo trata los de la cuenta y del pago.
• Resend Inc. — envío de los correos electrónicos del servicio. Solo recibe la dirección del destinatario y el contenido del mensaje.
• Scaleway SAS — alojamiento de la aplicación, en Francia.

Todo cambio en esta lista se anuncia con al menos treinta días de antelación por correo electrónico. El cliente que se oponga a él por un motivo relativo a la protección de datos puede cancelar sin gastos, y se le reembolsa la parte no consumida de su suscripción.

Los datos confiados por los comerciantes se alojan y se tratan en la Unión Europea. Vercel Inc., Stripe y Resend son sociedades cuya matriz está establecida en Estados Unidos: no puede excluirse un acceso desde ese país, con fines de explotación o de soporte. En tal caso queda amparado por las cláusulas contractuales tipo de la Comisión Europea, completadas con las medidas técnicas descritas más arriba.

Preferimos señalar esta reserva antes que afirmar una estanqueidad que no podríamos demostrar.

Al término del contrato, el cliente elige entre la devolución y la supresión de los datos. A falta de elección expresa, siguen siendo recuperables durante treinta días y después se suprimen de nuestros sistemas activos, incluidos los de nuestros subencargados del tratamiento.

Las copias de seguridad cifradas pueden conservar una copia más allá de ese plazo, mientras dura su rotación. Nunca se consultan y se sobrescriben automáticamente.

Para cualquier pregunta relativa a este acuerdo, escriba a direction@liora-eu.com.