1. Partes y roles
Este Acuerdo de Encargado del Tratamiento ("DPA") se celebra entre el comercio que se registra en Trusteed ("Responsable", "tú", "el Comercio") y Felix Pumeda Seoane, NIF 43692169N, Camino de San Xes 23, San Xes - Lobeira, 32850 Ourense, España ("Encargado", "Trusteed", "nosotros"). Contacto: support@trusteed.xyz.
Este DPA se incorpora por referencia a la cláusula 9 de las Condiciones de Servicio y queda aceptado en el momento en que aceptas esas Condiciones al registrarte: no requiere una firma separada. Aplica cuando Trusteed trate datos personales de compradores finales por cuenta del Comercio en los flujos descritos en la sección 2.
2. Objeto, duración y naturaleza del tratamiento
Objeto: habilitar la integración técnica entre la tienda del Comercio y agentes de IA de terceros mediante el protocolo MCP y los conectores de plataforma, completar el pedido y dejar constancia auditable de la transacción cuando el flujo de checkout implique datos de un comprador final.
Duración: mientras dure la relación bajo las Condiciones de Servicio y, tras su fin, durante el tiempo necesario para la devolución o supresión de datos conforme a la sección 10, o por obligación legal.
Naturaleza: recogida, registro, conservación temporal, consulta, transmisión y, cuando procede, supresión de datos, según la configuración y el uso que el Comercio haga del Servicio.
El catálogo del Comercio se sincroniza desde la plataforma que uses (Shopify, WooCommerce, PrestaShop, Odoo o Magento), usando las credenciales que tú facilitas y bajo tu instrucción. En ese flujo de catálogo no se accede a datos personales de compradores finales; sólo nombre de la tienda, divisa, país y ficha de producto. El detalle de cada integración vive en la sección 11 de la Política de Privacidad.
3. Categorías de datos e interesados
Interesados
- Compradores finales del Comercio, cuando el flujo de checkout lo requiere.
- Usuarios del Comercio con acceso al panel (administradores, operadores).
Categorías de datos
- Identificativos y de contacto del comprador (nombre, correo, dirección de envío), sólo si el flujo de checkout lo requiere.
- Datos de pedido (artículos, cantidades, importes, estado).
- Datos técnicos y de seguridad: IP, agente de usuario, marcas de tiempo, identificadores de sesión, registros de auditoría de llamadas a herramientas.
No tratamos números de tarjeta, CVV ni datos de autenticación de pago sensibles. Detalle completo por tratamiento, base jurídica y plazo en la sección 14 de la Política de Privacidad.
4. Instrucciones del Comercio
Trusteed trata los datos personales únicamente siguiendo instrucciones documentadas del Comercio, salvo que una norma nos obligue a otra cosa, en cuyo caso te lo notificaremos antes de tratar, salvo que la propia norma lo prohíba por razones de interés público.
Esas instrucciones se materializan, como mínimo, en la configuración de tu cuenta y tienda, las herramientas y buckets MCP que habilitas, y las integraciones de plataforma que conectas. Si consideramos que una instrucción infringe el RGPD u otra norma de protección de datos, te lo diremos sin demora indebida.
5. Confidencialidad
Garantizamos que el personal autorizado para tratar datos personales se ha comprometido a la confidencialidad o está sujeto a una obligación legal equivalente.
6. Medidas técnicas y organizativas (Art. 32 RGPD)
- Credenciales de plataforma cifradas en reposo (AES-256-GCM).
- Tokens de sesión almacenados como hash, nunca en claro.
- Evidencia de transacción con el correo y la dirección del comprador como HMAC: seudonimización con clave custodiada en un HSM gestionado (AWS KMS), destruida a los 12 años. Detalle en la sección 14 de la Política de Privacidad.
- Minimización de logs: hash de parámetros de herramientas, sin payloads con PII salvo necesidad.
- Control de accesos por rol y separación de privilegios.
- Límites de frecuencia (rate limiting) en endpoints críticos, incluidos los de autenticación.
- Ausencia total de almacenamiento de datos de tarjeta de pago.
6 bis. Subencargados
Autorizas el uso de los subencargados necesarios para operar el Servicio. La lista vigente, con alcance de acceso y mecanismo de transferencia entrada por entrada (incluido lo que explícitamente NO usamos), se mantiene en la sección 15 de la Política de Privacidad, que es la fuente única: si contratamos un subencargado nuevo, aparece ahí antes de que trate ningún dato tuyo. No la duplicamos aquí para no mantener dos listas que puedan divergir.
Imponemos a cada subencargado obligaciones de protección de datos equivalentes a las de este DPA. Si cambia un subencargado de forma material, te lo notificaremos con antelación razonable y podrás oponerte por causa justificada; si no hay alternativa razonable, podrás resolver el Servicio.
7. Transferencias internacionales
Cuando un subencargado implica una transferencia fuera del EEE, el mecanismo aplicado (cláusulas contractuales tipo, Decisión 2021/914; o el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado) se documenta junto a cada entrada de la sección 15. Una copia de las cláusulas contractuales tipo aplicadas se facilita por escrito a quien la solicite en support@trusteed.xyz.
8. Asistencia al Comercio
Te asistimos, teniendo en cuenta la naturaleza del tratamiento, para atender solicitudes de derechos de tus compradores (acceso, rectificación, supresión, oposición, portabilidad) cuando no puedas atenderlas tú mismo. El Servicio dispone de un flujo de solicitudes DSAR que puedes usar como mecanismo operativo. No sustituye tu responsabilidad como Responsable frente al interesado.
Te asistimos también en evaluaciones de impacto (DPIA) cuando sea razonablemente necesario, en consultas previas con autoridades si aplica, y con documentación de nuestras medidas de seguridad cuando la necesites.
9. Notificación de brechas
Te notificaremos sin demora indebida tras tener conocimiento de una brecha de seguridad que afecte a datos personales tratados bajo este DPA, con la naturaleza del incidente, las categorías y el volumen aproximado de datos e interesados afectados, las medidas adoptadas o propuestas, y un punto de contacto. Evaluar si procede notificar a la AEPD y/o a los interesados, y hacerlo dentro de los plazos del RGPD, es responsabilidad tuya como Responsable.
10. Devolución o supresión de datos al finalizar
A tu elección, cuando sea técnicamente posible, devolveremos o suprimiremos los datos personales tratados por tu cuenta al finalizar la prestación del Servicio, salvo que una norma nos obligue a conservarlos. Al desconectar una tienda, los datos sincronizados se eliminan mediante hard delete con CASCADE: sin borrado lógico, sin registros residuales.
Los registros de auditoría y seguridad podrán conservarse un plazo limitado por interés legítimo de seguridad, minimizados y con acceso restringido, salvo que instruyas otra cosa y sea compatible con nuestras obligaciones legales.
11. Auditorías
Ponemos a tu disposición la información necesaria para demostrar el cumplimiento del Art. 28 RGPD. Puedes auditar mediante revisión documental y cuestionarios, o mediante auditoría in situ o por tercero independiente, previa notificación razonable, sujeta a confidencialidad y a una limitación de alcance que no comprometa la seguridad ni los datos de otros comercios. Las auditorías se limitan a una periodicidad razonable, salvo incidente.
12. Responsabilidad
Cada parte responde de sus propios incumplimientos del RGPD en su rol respectivo (Responsable o Encargado). Las limitaciones de responsabilidad de las Condiciones de Servicio no se aplican cuando la ley lo prohíba.
