Acuerdo de encargo del tratamiento de datos

Cuando un comerciante conecta su tienda a LIORA, nos confía datos personales de los que él es el responsable del tratamiento: los de sus propios clientes —nombres, direcciones de entrega, pedidos—. Solo los tratamos para prestarle el servicio, siguiendo sus instrucciones.

El artículo 28 del RGPD exige que esta relación se regule mediante un contrato escrito. El presente documento hace sus veces. El cliente lo acepta, junto con las CGU y las CGV, marcando la casilla prevista a tal efecto al registrarse en este sitio y de nuevo antes del pago; una cuenta solo puede abrirse desde la aplicación con esa misma aceptación. Se conservan la fecha y la versión aceptadas. Forma parte integrante del contrato de suscripción.

NO se refiere a los datos de la cuenta del propio comerciante —su nombre, su dirección de correo electrónico, su suscripción—. De esos datos somos responsables del tratamiento, y es nuestra Política de privacidad la que se aplica.

• Objeto — la prestación del servicio LIORA: sincronización del catálogo, de las existencias, de los precios, de los pedidos y de los clientes de la tienda Shopify del cliente; gestión de las herramientas que utiliza (compras, producción, costes); emisión de sus facturas y, cuando lo solicita, su envío por correo electrónico a sus propios clientes; tramitación de las solicitudes relativas a datos personales que Shopify nos transmite.
• Duración — la de la suscripción, ampliada con el periodo de recuperación de al menos treinta días previsto en las Condiciones generales de venta.
• Naturaleza — lectura de los datos de la tienda mediante la API de Shopify, consulta, estructuración, conservación, puesta a disposición en la aplicación, escritura de vuelta hacia la tienda cuando el cliente lo solicita, emisión y envío de las facturas por correo electrónico, y supresión.
• Finalidad — permitir al cliente gestionar su actividad comercial. Ninguna otra.
• Interesados — los clientes de la tienda del comerciante y las personas a las que este autoriza a utilizar la aplicación.
• Categorías de datos — identidad y datos de contacto, direcciones de entrega y de facturación, contenido e historial de los pedidos y de las facturas; y, cuando existen, fecha de nacimiento, notas, etiquetas, consentimientos a las comunicaciones comerciales y documentos adjuntos: información introducida en todos los casos por el cliente, en Shopify o en LIORA.
• Datos sensibles — no solicitamos ninguno en el sentido del artículo 9 del RGPD, y el cliente se abstiene de introducirlos en los campos libres y en los documentos adjuntos.

Shopify nos transmite tres tipos de solicitudes, que tramitamos por cuenta del cliente:

• Solicitud de acceso de un cliente final — reunimos los datos que le conciernen y los ponemos a disposición del cliente, a quien corresponde responder.
• Solicitud de supresión de un cliente final — suprimimos sus datos de la copia de la tienda que mantenemos.
• Supresión de la tienda — cuarenta y ocho horas después de la desinstalación de LIORA, Shopify nos pide que suprimamos los datos de la tienda: suprimimos entonces la copia que manteníamos. Lo que el cliente haya creado por sí mismo en LIORA —compras, recetas, facturas— sigue las reglas de la terminación del contrato, descritas más abajo.

• Actuar siguiendo instrucciones — solo tratamos estos datos para ejecutar el servicio, nunca por cuenta propia y nunca para entrenar modelos.
• Instrucción contraria a la ley — si una instrucción del cliente nos parece contraria al RGPD o a otra disposición en materia de protección de datos, se lo comunicamos de inmediato.
• Confidencialidad — las personas que tienen acceso a los datos están sujetas a una obligación de confidencialidad y solo acceden a ellos por un motivo de explotación o de asistencia.
• Seguridad — cifrado en tránsito y en reposo, compartimentación por empresa, registro de las acciones, contraseñas almacenadas con hash. El detalle figura en la página Seguridad y respuesta a incidentes, en la sección «Medidas técnicas y organizativas».
• Subencargados del tratamiento — solo recurrimos a ellos en las condiciones descritas a continuación, imponiendo a cada uno, por contrato, obligaciones de protección de datos equivalentes a las del presente acuerdo, en particular garantías suficientes en cuanto a las medidas técnicas y organizativas. Seguimos siendo plenamente responsables ante el cliente del cumplimiento de sus obligaciones.
• Asistencia — ayudamos al cliente a responder a las solicitudes de ejercicio de derechos que recibe y a llevar a cabo sus evaluaciones de impacto cuando afectan a nuestro tratamiento.
• Alerta — informamos al cliente sin dilación indebida de toda violación de datos que le afecte, con lo que sepamos de ella, para que pueda cumplir su propio plazo de setenta y dos horas.
• Documentación — ponemos a su disposición aquello que permite demostrar el cumplimiento de estos compromisos, y nos sometemos a las auditorías que ordene, en condiciones razonables y sin comprometer la seguridad de los demás clientes.

El cliente autoriza el recurso a los siguientes proveedores, que intervienen por nuestra cuenta en la ejecución del servicio:

• Scaleway SAS — alojamiento de la aplicación y de su base de datos, en Francia.
• Vercel Inc. — alojamiento del sitio y ejecución de los tratamientos, en la Unión Europea (París).
• Databricks, Inc. (servicio Neon) — alojamiento de la base de datos del sitio, en la Unión Europea (Fráncfort).
• Stripe Payments Europe Ltd — cobro de las suscripciones. No accede a los datos de la tienda; solo trata los de la cuenta y del pago.
• Resend Inc. — envío de los correos electrónicos del sitio. Solo recibe la dirección del destinatario y el contenido del mensaje.
• Google (Google Workspace) — correo electrónico de nuestro equipo. Recibe las solicitudes de asistencia y los intercambios con el cliente, que pueden mencionar datos de sus clientes.

La aplicación permite también al cliente enviar él mismo una factura por correo electrónico a uno de sus propios clientes. Ese mensaje lo encamina un proveedor de mensajería que aún no figura en esta lista; se añadirá, como cualquier nuevo subencargado del tratamiento, tras el aviso previsto a continuación. Hasta entonces, el cliente que no quiera confiar esos envíos a un proveedor aún no designado transmite sus facturas por sus propios medios en lugar de mediante esta función. Todo cambio en esta lista se anuncia con al menos treinta días de antelación por correo electrónico. El cliente que se oponga a él por un motivo relativo a la protección de datos puede cancelar sin gastos, y se le reembolsa la parte no consumida de su suscripción.

La aplicación y sus datos están alojados en Francia, y el sitio en la Unión Europea. No obstante, Vercel, Databricks (servicio Neon), Stripe, Resend y Google pertenecen a grupos cuya matriz está establecida en Estados Unidos: no puede excluirse un acceso desde ese país, con fines de explotación o de soporte, y los mensajes recibidos en nuestro correo de Google pueden conservarse fuera de la Unión Europea. Estas transferencias están amparadas por las cláusulas contractuales tipo de la Comisión Europea, completadas con las medidas técnicas descritas más arriba.

Preferimos señalar esta reserva antes que afirmar una estanqueidad que no podríamos demostrar.

Al término del contrato, el cliente elige entre la devolución y la supresión de los datos, en las condiciones de la sección «Cambio de proveedor» de las Condiciones generales de venta. A falta de elección expresa, siguen siendo recuperables durante al menos treinta días y después se suprimen de nuestros sistemas activos, incluidos los de nuestros subencargados del tratamiento.

Las copias de seguridad cifradas pueden conservar una copia más allá de ese plazo, mientras dura su rotación. Nunca se consultan y se sobrescriben automáticamente.

Para cualquier pregunta relativa a este acuerdo, escriba a direction@liora-eu.com.