Anexo de tratamiento de datos

1. Partes y roles

Respecto a los datos de la tienda que tratamos para prestar la app — tu catálogo de productos, la configuración de campañas, la analítica agregada de los widgets y las líneas de pedido — tú eres el responsable del tratamiento (o "empresa" según las leyes estatales de privacidad de EE. UU.) y Summer Apps es el encargado del tratamiento ("proveedor de servicios").

Respecto a los datos que recopilamos para nuestros propios fines — tus datos de cuenta y de contacto, los registros de facturación, el registro de actividad de la app y la analítica de producto del administrador — Summer Apps es un responsable independiente. Ese tratamiento se describe en nuestra Política de privacidad.

"Datos personales", "tratamiento", "responsable", "encargado", "interesado" y "autoridad de control" tienen el significado que les otorga el Reglamento General de Protección de Datos de la UE (RGPD) y, cuando corresponda, el RGPD del Reino Unido.

2. Objeto y duración

El objeto del tratamiento es la prestación de la app Summer Upsell & Cross Sell y sus widgets de tienda a tu tienda de Shopify. El tratamiento continúa mientras la app esté instalada y finaliza cuando la app se desinstala y tus datos se han eliminado conforme a la Sección 6.

3. Naturaleza y finalidad del tratamiento

Tratamos datos personales únicamente en la medida necesaria para:

• mostrar widgets de upsell y cross-sell en tu tienda y aplicar los descuentos que configures;
• medir el rendimiento de los widgets (impresiones, clics de añadir al carrito, conversiones e ingresos atribuidos) y mostrártelo en la app;
• generar recomendaciones de productos con Summer AI cuando las solicites;
• operar, proteger y dar soporte a la app.

4. Categorías de interesados

• Personal del comerciante: el propietario de la tienda y los miembros del personal que usan la app en el administrador de Shopify.
• Clientes finales: compradores que visitan tu tienda o realizan pedidos. Tratamos sus datos únicamente de forma agregada (recuentos y líneas de pedido) y no almacenamos nombres, direcciones, correos electrónicos, números de teléfono ni ningún identificador de comprador.

5. Categorías de datos personales

Las categorías de datos personales se describen en la Sección 2.3 de nuestra Política de privacidad. En resumen:

• Datos de la tienda y de la cuenta: dominio de la tienda, nombre de la tienda, nombre y correo electrónico del propietario, idioma, moneda y mercados de la tienda, catálogo de productos.
• Datos de sesión del personal: nombre, correo electrónico e idioma de los miembros del personal que usan la app.
• Datos de pedidos: id del pedido y líneas de pedido (producto, cantidad, precio, descuentos, propiedad de campaña).
• Analítica agregada de la tienda: impresiones, clics, conversiones e ingresos atribuidos, sin identificadores de compradores.
• Registro de actividad: acción realizada, dominio de la tienda y, cuando está disponible, el correo electrónico del miembro del personal que actuó.

No tratamos categorías especiales de datos personales.

6. Obligaciones del encargado

Summer Apps se compromete a:

• tratar los datos personales únicamente siguiendo tus instrucciones documentadas — tu instalación y configuración de la app, las API de Shopify y este DPA constituyen dichas instrucciones — salvo que la ley exija otra cosa, en cuyo caso te informaremos antes del tratamiento cuando esté legalmente permitido;
• garantizar que toda persona autorizada a tratar datos personales esté sujeta a un deber de confidencialidad;
• aplicar las medidas técnicas y organizativas descritas en la Sección 7;
• contratar subencargados únicamente según lo establecido en la Sección 8;
• ayudarte, teniendo en cuenta la naturaleza del tratamiento, a responder a las solicitudes de los interesados y a cumplir tus obligaciones en materia de seguridad, notificación de violaciones y evaluaciones de impacto en la protección de datos;
• notificarte sin dilación indebida, y en cualquier caso dentro de las 72 horas siguientes a tener conocimiento, cualquier violación de datos personales que afecte a tus datos, y proporcionarte la información que necesites para cumplir tus propias obligaciones de notificación;
• eliminar tus datos personales cuando la app se desinstale o este DPA termine, dentro de los plazos establecidos en la Sección 7 de la Política de privacidad, salvo que la ley exija su conservación;
• poner a tu disposición, previa solicitud, la información necesaria para demostrar el cumplimiento de este DPA, y permitir y contribuir a las auditorías, incluidas inspecciones, realizadas por ti o por un auditor que designes, con un preaviso razonable y no más de una vez al año salvo que una autoridad de control exija otra cosa.

7. Medidas de seguridad

Mantenemos medidas técnicas y organizativas apropiadas, entre ellas:

• cifrado en tránsito (HTTPS/TLS) para todo el tráfico entre los compradores, el administrador de Shopify, nuestros servidores y nuestros proveedores;
• cifrado en reposo de nuestra base de datos (MongoDB Atlas);
• OAuth de Shopify con los permisos de acceso mínimos necesarios y verificación de firma (HMAC) de cada webhook y de cada solicitud del proxy de la tienda;
• acceso a los sistemas de producción basado en roles y limitado al personal autorizado, con Cloudflare delante de nuestros servidores;
• registros del servidor conservados durante un máximo de 90 días y eliminación de los datos de la app al desinstalarla.

8. Subencargados

Nos autorizas a contratar a los subencargados enumerados en la Sección 5 de nuestra Política de privacidad, que constituye la lista actual de subencargados. Actualizaremos esa lista y te avisaremos con al menos 30 días de antelación — por correo electrónico o mediante un aviso en la app — antes de añadir o sustituir un subencargado que trate tus datos personales. Si te opones por motivos razonables de protección de datos y no podemos resolver la objeción, puedes rescindir desinstalando la app.

Imponemos a cada subencargado obligaciones de protección de datos no menos protectoras que las de este DPA y seguimos siendo responsables de su cumplimiento.

9. Transferencias internacionales

Tenemos nuestra sede en Estados Unidos y tratamos tus datos allí. Cuando tus datos proceden del EEE, el Reino Unido o Suiza, la transferencia se rige por las Cláusulas Contractuales Tipo de la UE (Módulo 2, de responsable a encargado) y el Addendum de transferencia internacional de datos del Reino Unido, que se incorporan a este DPA por referencia, y por las cláusulas equivalentes de los acuerdos con nuestros subencargados. Cuando un subencargado está certificado bajo el Marco de Privacidad de Datos UE-EE. UU., también nos basamos en dicha certificación. Puedes solicitar una copia del mecanismo aplicable a través de nuestra página de contacto.

10. Solicitudes de los interesados

Si recibimos una solicitud de un interesado relacionada con tu tienda, te la remitiremos sin dilación indebida y no responderemos directamente salvo para confirmar la recepción o cuando la ley lo exija. Las solicitudes presentadas a través del flujo de solicitudes de privacidad de Shopify nos llegan como webhooks customers/data_request y customers/redact, que respondemos en un plazo de 30 días. Como no conservamos datos personales de clientes finales, una solicitud de datos se responde con una confirmación de que no hay nada que devolver.

11. Responsabilidad

La responsabilidad de cada parte en virtud de este DPA está sujeta a las exclusiones y limitaciones establecidas en los Términos de servicio. Nada en este DPA limita la responsabilidad de cualquiera de las partes frente a los interesados o las autoridades de control cuando la ley aplicable prohíba dicha limitación.

12. Ley aplicable y contacto

Este DPA se rige por la misma ley que rige los Términos de servicio. Cuando se apliquen las Cláusulas Contractuales Tipo, sus cláusulas de ley aplicable y jurisdicción prevalecen para las materias que regulan. En caso de conflicto entre este DPA y los Términos, este DPA prevalece en materia de protección de datos.

Preguntas sobre este DPA:

• Formulario: summer-apps.com/contact
• Dirección: Summer Apps, 6401 JF Kennedy Blvd E, West New York, NJ, EE. UU.