Acuerdo de encargo del tratamiento

1. Partes y ámbito#

Este Acuerdo de encargo del tratamiento («Acuerdo») se celebra conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD) entre el comerciante titular de una cuenta de NoHold Checkout, como responsable del tratamiento, y Miranda Network, S.L. (CIF B-75866194), como encargado del tratamiento. Forma parte de los Términos del servicio y se acepta en el registro. Se aplica a los datos personales de los compradores que tratamos por cuenta del comerciante («Datos de Compradores»). En materia de protección de datos, este Acuerdo prevalece sobre los Términos.

2. Objeto, naturaleza, finalidad y duración#

• Objeto y finalidad: hacer funcionar el checkout del comerciante: recoger los datos que introduce el comprador, enviarlos a la cuenta de Whop del comerciante para procesar el pago, crear el pedido en la tienda de Shopify del comerciante, ejecutar order bumps, upsells post-compra y encuestas, sincronizar el seguimiento de envíos con Whop y, si el comerciante los activa, enviar eventos de compra a sus cuentas de Meta, TikTok y Google.
• Naturaleza: recogida, registro, conservación, consulta, comunicación a los destinatarios anteriores, visualización en el panel del comerciante y supresión.
• Duración: mientras estén en vigor los Términos, más el plazo de supresión del apartado 9.

3. Interesados y categorías de datos#

• Interesados: compradores y visitantes de las páginas de checkout del comerciante.
• Datos: email, nombre, dirección de envío, teléfono, carrito y datos del pedido, referencia al método de pago guardado en Whop (no números de tarjeta), dirección IP y agente de usuario, respuestas a encuestas, aceptación de comunicaciones comerciales, elección sobre cookies y, si el comerciante activa píxeles, identificadores publicitarios (Meta fbp/fbc, TikTok ttp/ttclid, Google gclid) y URL de llegada.
• No está previsto tratar categorías especiales de datos. El comerciante no debe usar encuestas ni campos personalizados para recogerlas.

4. Instrucciones y confidencialidad#

Tratamos los Datos de Compradores solo siguiendo las instrucciones documentadas del comerciante, que son los Términos, este Acuerdo y la configuración que elige en el panel, salvo que el Derecho de la UE o español nos obligue a otra cosa (en ese caso se lo comunicaremos antes, salvo que la ley lo prohíba). Avisaremos al comerciante si consideramos que una instrucción infringe la normativa de protección de datos. Todas las personas autorizadas para tratar los Datos de Compradores están sujetas a confidencialidad.

5. Medidas de seguridad#

Aplicamos medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD), entre ellas:

• cifrado en tránsito (HTTPS/TLS);
• credenciales de Shopify y Whop cifradas en reposo (AES-256-GCM) y contraseñas guardadas como hash scrypt;
• alojamiento en un centro de datos en la UE (Alemania);
• separación lógica de los datos de cada comerciante, accesibles solo desde su propia cuenta;
• acceso a los sistemas limitado al personal autorizado que lo necesita;
• verificación de la firma de los webhooks entrantes, límites de uso y protección frente a abusos.

6. Subencargados#

El comerciante autoriza de forma general a estos subencargados:

Shopify, Whop y, si se activan, Meta, TikTok y Google reciben Datos de Compradores porque el comerciante conecta con ellos sus propias cuentas; actúan conforme a los contratos del propio comerciante con esos proveedores.

Avisaremos al comerciante por email al menos 15 días antes de añadir o sustituir un subencargado. El comerciante puede oponerse por motivos razonables de protección de datos dentro de ese plazo; si no podemos resolver la oposición, el comerciante puede resolver los Términos sin penalización. Imponemos a cada subencargado obligaciones de protección de datos equivalentes a las de este Acuerdo y seguimos siendo responsables de su cumplimiento.

7. Asistencia al comerciante#

• Si un comprador nos envía una solicitud de ejercicio de derechos, la trasladaremos al comerciante sin dilación indebida y le ayudaremos a responder, en la medida de lo posible, con el panel o a petición suya.
• Ayudaremos al comerciante en materia de seguridad, evaluaciones de impacto y consultas previas (arts. 32 a 36 RGPD), teniendo en cuenta la información de la que dispongamos.

8. Violaciones de seguridad#

Notificaremos al comerciante cualquier violación de seguridad que afecte a Datos de Compradores sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tengamos constancia, con la información disponible según el artículo 33.3 RGPD (naturaleza de la violación, categorías y número aproximado de personas y registros afectados, posibles consecuencias y medidas adoptadas o propuestas), y le mantendremos informado.

9. Supresión al terminar el servicio#

Cuando se cierra la cuenta, suprimimos los Datos de Compradores en un plazo de 30 días, salvo que el Derecho de la UE o español nos obligue a conservarlos. Antes del cierre, el comerciante puede pedirnos una copia en support@mirandanetwork.es. Los pedidos también constan en las propias cuentas de Shopify y Whop del comerciante, que no controlamos.

10. Información y auditorías#

Pondremos a disposición del comerciante la información necesaria para demostrar el cumplimiento de este Acuerdo. El comerciante puede realizar una auditoría, por sí mismo o mediante un auditor independiente sujeto a confidencialidad, previa solicitud razonable con al menos 30 días de antelación, no más de una vez al año salvo que lo exija una violación de seguridad o una autoridad, a su cargo y sin interrumpir el servicio ni exponer datos de otros comerciantes.

11. Transferencias internacionales#

Los Datos de Compradores se alojan en la UE. Cuando un subencargado los trata fuera del Espacio Económico Europeo, la transferencia se basa en el Marco de Privacidad de Datos UE-EE. UU. si el proveedor está certificado o, en otro caso, en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, con medidas adicionales cuando sea necesario.

12. Obligaciones del comerciante#

El comerciante es responsable de contar con una base jurídica para el tratamiento, informar a los compradores en su política de privacidad, obtener el consentimiento para los píxeles cuando sea necesario (incluida la configuración de su banner de cookies) y dar solo instrucciones lícitas.

13. Responsabilidad, ley y contacto#

La responsabilidad derivada de este Acuerdo se rige por los Términos del servicio, en la medida en que lo permita la normativa de protección de datos. Este Acuerdo se rige por la legislación española y son competentes los Juzgados y Tribunales de Granadilla de Abona (España). Contacto: support@mirandanetwork.es.