Acuerdo de Encargo del Tratamiento de OrderSay
Borrador — pendiente de revisión jurídica: sin vigencia. Un abogado y el asesor de KVKK aún no han revisado este texto y un hablante nativo debe revisar el español. Los valores entre [corchetes] son provisionales.
Última actualización: [fecha de publicación]
Este Acuerdo de Encargo del Tratamiento («DPA») forma parte de las Condiciones del servicio de OrderSay entre la tienda que instala OrderSay («el comerciante», responsable del tratamiento) y CHATINBOX YAZILIM ARGE VE TEKNOLOJI LIMITED SIRKETI, con domicilio social en Estambul (Turquía) y con número de identificación fiscal turco 2091959267 («OrderSay», encargado del tratamiento). Se aplica a los datos personales que OrderSay trata por cuenta del comerciante y cumple el artículo 28 del Reglamento General de Protección de Datos de la UE (RGPD). El anexo 4 añade los compromisos que exige la Ley turca n.º 6698 de Protección de Datos Personales (KVKK).
1. Definiciones
Términos como «datos personales», «tratamiento», «responsable», «encargado», «interesado» y «violación de la seguridad de los datos personales» tienen el significado que les da el RGPD. «Subencargado» es un proveedor al que OrderSay recurre para tratar datos personales del comerciante.
2. Papeles e instrucciones
- El comerciante es el responsable y OrderSay es el encargado del tratamiento de los datos personales descritos en el anexo 1, incluidos los datos del personal del comerciante que OrderSay trata para hacer funcionar la bandeja.
- OrderSay trata esos datos solo siguiendo las instrucciones documentadas del comerciante. Las instrucciones son estas condiciones, este DPA y los ajustes que el comerciante elige en la aplicación. OrderSay informará inmediatamente al comerciante si, en su opinión, una instrucción infringe el RGPD u otras disposiciones aplicables de protección de datos de la Unión o de los Estados miembros.
- OrderSay no vende los datos, no los usa para publicidad y no combina los datos de un comerciante con los de otro.
3. Confidencialidad
Todas las personas de OrderSay que pueden acceder a los datos personales del comerciante están obligadas a guardar confidencialidad y solo tienen acceso cuando su función lo requiere.
4. Seguridad
OrderSay aplica las medidas técnicas y organizativas del anexo 2 y las mantiene a un nivel adecuado al riesgo (artículo 32 del RGPD). OrderSay puede mejorar las medidas, pero nunca reduce el nivel general de protección. Teniendo en cuenta la naturaleza del tratamiento y la información de la que dispone, OrderSay también ayuda al comerciante a cumplir sus propias obligaciones de seguridad del artículo 32.
5. Subencargados
- El comerciante concede una autorización general para los subencargados que figuran en ordersay.com/es/subprocessors/ (anexo 3).
- OrderSay anuncia cualquier subencargado nuevo o sustituido en esa página y al comerciante por correo electrónico o aviso en la aplicación al menos [30] días antes de que empiece a tratar los datos del comerciante. El comerciante puede oponerse por escrito en ese plazo por motivos razonables de protección de datos. Mientras la oposición esté abierta, el nuevo subencargado no trata los datos de ese comerciante. Si las partes no resuelven la oposición, el comerciante puede terminar la suscripción antes de que el cambio entre en vigor.
- OrderSay impone a cada subencargado obligaciones de protección de datos al menos tan protectoras como las de este DPA y sigue siendo responsable ante el comerciante del trabajo del subencargado.
6. Ayuda con las solicitudes de los interesados
OrderSay ayuda al comerciante a responder a las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición). Las notificaciones de Shopify sobre solicitudes de datos y eliminación de clientes llegan a OrderSay automáticamente. Si un interesado se dirige directamente a OrderSay sobre datos del comerciante, OrderSay traslada la solicitud al comerciante sin dilación indebida y no la responde por su cuenta salvo que el comerciante se lo pida.
7. Violaciones de la seguridad de los datos personales
OrderSay notifica al comerciante sin dilación indebida, y en todo caso en un plazo de 72 horas, desde que tiene conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del comerciante. La notificación describe lo ocurrido, los datos y las personas afectadas en la medida en que se conozcan, las consecuencias probables y las medidas adoptadas. OrderSay informa al comerciante a medida que conoce más datos. Teniendo en cuenta la naturaleza del tratamiento y la información de la que dispone, OrderSay ayuda al comerciante a notificar la violación a la autoridad de control y, cuando sea necesario, a comunicarla a las personas afectadas (artículos 33 y 34 del RGPD).
8. Evaluaciones de impacto y consulta previa
OrderSay facilita al comerciante la información que razonablemente necesite para una evaluación de impacto relativa a la protección de datos o para una consulta previa a una autoridad de control sobre el tratamiento que realiza OrderSay.
9. Transferencias internacionales
- La aplicación, la base de datos y la cola de OrderSay se alojan en Fráncfort (Alemania). Todavía no se guardan los adjuntos de los mensajes; antes de que se guarden, su proveedor de almacenamiento se añade conforme a la sección 5. El anexo 3 indica la ubicación de cada subencargado. OrderSay está establecida en Turquía y su personal puede acceder a los datos desde Turquía.
- El mecanismo de transferencia aplicable a cada destinatario y actividad de tratamiento figura en la relación de transferencias [por completar con el abogado]. Cuando se aplique la Decisión (UE) 2021/914, el módulo seleccionado y los apéndices cumplimentados forman parte de este DPA. Las transferencias que requieren garantías no comenzarán hasta que esas garantías estén en vigor. El comerciante puede pedir una copia de las garantías aplicables; pueden omitirse las condiciones comerciales.
- Antes de que comience una transferencia al extranjero sujeta al artículo 9 de la KVKK, debe existir un mecanismo de transferencia aplicable. Cuando la transferencia se base en el contrato tipo de la Autoridad Turca de Protección de Datos, las partes firmarán el modelo prescrito que corresponda a sus papeles reales e indicarán qué parte notifica a la Autoridad en un plazo de cinco días hábiles desde que se completen ambas firmas. Las Cláusulas Contractuales Tipo de la UE no sustituyen los requisitos turcos de transferencia aplicables.
10. Supresión y devolución al terminar
A elección del comerciante, OrderSay devuelve o suprime los datos personales del comerciante al terminar los servicios y suprime las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros exija conservarlos.
- Devolución: no existe una exportación de datos de autoservicio. El comerciante puede pedir en privacy@ordersay.com una copia de sus datos personales en un formato estructurado y de lectura mecánica antes de desinstalar o en los [7] días siguientes a la desinstalación. Si OrderSay termina el acceso del comerciante (sección 9 de las Condiciones del servicio), el comerciante puede pedirla en un plazo de [30] días. OrderSay envía la copia en un plazo de [14] días desde la solicitud y antes del plazo de supresión aplicable, sin restablecer el acceso a la aplicación. Salvo que el comerciante ordene una supresión anterior, OrderSay no empieza la supresión antes de que termine el plazo de [7] días ni mientras no se haya enviado una copia solicitada.
- Supresión: después de que el comerciante desinstale OrderSay, Shopify suele enviar una solicitud de eliminación de la tienda 48 horas después, y OrderSay completa la supresión en un plazo de 30 días desde que la recibe. Si OrderSay terminó el acceso del comerciante, OrderSay suprime los datos una vez enviada la copia solicitada o transcurridos los [30] días sin solicitud.
- Si una ley vinculante de un tercer país impide la devolución o la supresión, OrderSay informa al comerciante salvo que la ley lo prohíba, identifica los datos afectados y la obligación de conservación, y aplica las garantías y limitaciones del tratamiento que exijan las condiciones de transferencia aplicables.
- Las copias de seguridad se suprimen en un plazo de [plazo máximo verificado de las copias de seguridad] y no se restauran al tratamiento ordinario sin volver a aplicar las instrucciones de supresión.
11. Auditorías
OrderSay pone a disposición la información necesaria para demostrar el cumplimiento de este DPA. Las auditorías ordinarias pueden realizarse normalmente una vez al año con un preaviso por escrito de 30 días, en horario laboral y bajo confidencialidad. Estos límites no se aplican cuando una auditoría adicional o anticipada sea razonablemente necesaria por indicios de incumplimiento, por una violación de la seguridad de los datos personales o por una solicitud de una autoridad de control competente. OrderSay puede responder primero con información escrita o con informes de auditores independientes cuando existan.
12. Responsabilidad y orden de prelación
Los límites de responsabilidad de las Condiciones del servicio se aplican a este DPA en la medida en que la ley lo permita. Si este DPA contradice las Condiciones del servicio, prevalece este DPA en materia de protección de datos. Si las Cláusulas Contractuales Tipo contradicen este DPA, prevalecen las Cláusulas Contractuales Tipo.
Anexo 1 — Descripción del tratamiento
| Elemento | Descripción |
|---|---|
| Objeto | Prestar al comerciante la bandeja de atención por WhatsApp de OrderSay |
| Duración | Mientras el comerciante tenga OrderSay instalada y, después, hasta la supresión según la sección 10 |
| Naturaleza y finalidad | Recibir y enviar mensajes de WhatsApp en el número del comerciante; asociar los mensajes con clientes y pedidos de Shopify; mostrar el pedido, el envío y la devolución; agrupar y ordenar las conversaciones como tareas cuando las funciones asistidas por IA estén disponibles; respuestas automáticas a «¿dónde está mi pedido?» con datos verificados del pedido si el comerciante las activa; registros de seguridad y auditoría |
| Interesados | Los clientes del comerciante y otras personas que escriben al número de WhatsApp del comerciante; el personal del comerciante que usa la aplicación |
| Categorías de datos | Nombre, teléfono (incluido el que figura en la dirección de envío o de facturación de un pedido), nombre de perfil de WhatsApp; datos del pedido (número y fecha, artículos, importes, estado de pago, de preparación, de cancelación y de reembolso, transportista, número, enlace y estado de seguimiento, fechas de entrega estimada y real, estado de la devolución); número de pedidos e importe total gastado por el cliente en la tienda; correos electrónicos y direcciones postales contenidos en las notificaciones de Shopify (recibidos, pero no guardados); contenido y adjuntos de los mensajes, incluido cualquier correo electrónico u otro dato que un cliente escriba en un mensaje; si el comerciante sigue usando la aplicación WhatsApp Business en el mismo número, las respuestas enviadas desde el teléfono y los chats anteriores que el comerciante decide compartir, incluidos los anteriores a la instalación; los detalles que Meta envía con cada mensaje recibido (por ejemplo, una ubicación compartida, una tarjeta de contacto, una reacción, un pie de foto o la respuesta a un botón); metadatos de los mensajes; registros de la baja de un cliente (la baja bloquea cualquier plantilla de mensaje a ese cliente); identificadores de usuario de Shopify, roles y acciones del personal |
| Categorías especiales | No previstas. Un cliente puede escribir este tipo de datos en un mensaje; OrderSay no los pide ni los analiza con ese fin |
| Conservación | Mensajes e historial de tareas 12 meses; adjuntos 90 días; notificaciones entrantes que no se pudieron procesar 7 días; registros de auditoría 24 meses; registros de contacto de los clientes, registros de bajas y asociaciones con pedidos hasta que el comerciante reenvía la solicitud de eliminación de ese cliente o se eliminan los datos de la tienda tras la desinstalación; cada plazo se cuenta como indica la sección 7 de la Política de privacidad |
Anexo 2 — Medidas técnicas y organizativas
- Cifrado en tránsito (TLS) y en reposo; las credenciales de acceso de la tienda y de WhatsApp tienen además un cifrado a nivel de aplicación.
- Aislamiento entre tiendas: cada consulta a la base de datos se limita a los datos de una sola tienda, y pruebas automáticas lo comprueban en cada cambio.
- Se verifica la firma de cada webhook entrante de Shopify y de Meta; las solicitudes no válidas se rechazan.
- Permisos basados en roles para el personal del comerciante en la aplicación; acceso a los sistemas de producción limitado al personal que lo necesita y protegido con autenticación en dos pasos [confirmar antes de la publicación]; la aplicación solo añade entradas al registro de auditoría y no tiene ninguna función para modificar su contenido; cuando se eliminan los datos de una tienda, se elimina el vínculo de sus entradas con la tienda y las entradas se conservan hasta que se cumplen sus 24 meses; las entradas conservan los identificadores que registran, por ejemplo números de cliente y de pedido de Shopify, el identificador de Meta del número de WhatsApp y los identificadores de la tienda en las entradas de la solicitud de eliminación de la tienda y de la propia eliminación.
- Los secretos se guardan en el almacén de secretos del proveedor de alojamiento, nunca en el código; los registros del servidor y de errores enmascaran los teléfonos y nunca contienen credenciales de acceso.
- Copias de seguridad [conservación y cifrado por confirmar]; pruebas de restauración [por implantar; frecuencia por confirmar]; respuesta a incidentes con aviso al comerciante en un plazo de 72 horas.
- El tratamiento con IA no está disponible. Antes de que lo esté, sus medidas y proveedores se añaden aquí y a la lista de subencargados con el aviso de la sección 5.
Anexo 3 — Subencargados
La lista vigente, con la finalidad y la ubicación de cada proveedor, está en ordersay.com/es/subprocessors/.
Anexo 4 — Compromisos según la KVKK
A efectos de la KVKK, el comerciante es el responsable del tratamiento (veri sorumlusu) y OrderSay es el encargado (veri işleyen) de los datos del anexo 1. Conforme al artículo 12 de la KVKK, OrderSay se compromete a tratar los datos solo según las instrucciones recibidas, a adoptar las medidas técnicas y administrativas necesarias para impedir el tratamiento y el acceso ilícitos y para custodiar los datos, a no revelar los datos ni usarlos para fines propios, y a informar al comerciante sin demora si terceros obtienen los datos de forma ilícita. Estos compromisos siguen vigentes tras el fin del contrato. Las transferencias al extranjero según el artículo 9 de la KVKK siguen la sección 9. Los plazos de conservación son los del anexo 1. [Anexo KVKK por completar por el asesor de KVKK.]
Anexo 5 — Nota de evaluación de impacto de la transferencia
Antes de iniciar una transferencia basada en las Cláusulas Contractuales Tipo, las partes documentarán la evaluación que exige la cláusula 14 y aplicarán las medidas complementarias eficaces que esa evaluación muestre necesarias. La evaluación se revisará cuando cambien las circunstancias pertinentes, y las transferencias se suspenderán cuando no pueda garantizarse el nivel de protección exigido. [Evaluación para el acceso desde Turquía y para cada destinatario fuera de la UE, por redactar con el abogado antes de la primera transferencia.]