Acuerdo de encargo de tratamiento

TIENDASWEB

Acuerdo de Encargo del Tratamiento de Datos Personales

Anexo contractual entre TiendasWeb y cada Comerciante que utilice funciones que traten datos de sus clientes

Tipo: Acuerdo conforme al artículo 28 del RGPD

Versión: 0.2 - 26 de julio de 2026

Ámbito: Comerciantes y servicios ofrecidos en España / Unión Europea

DISTRIBUCIÓN DE FUNCIONES El Comerciante es responsable del tratamiento de los datos de sus clientes. TiendasWeb actúa como encargado únicamente cuando aloja, transmite, consulta o trata esos datos siguiendo instrucciones documentadas del Comerciante. TiendasWeb sigue siendo responsable independiente de los datos que usa para administrar su propia suscripción, seguridad, facturación y cumplimiento.

1. Partes y aceptación

Este Acuerdo de Encargo del Tratamiento (el «Acuerdo») se celebra entre The Automatic Office Corp, corporation constituida conforme a las leyes del Estado de Florida (EE. UU.), inscrita en la Florida Division of Corporations con el n.º , identificación fiscal (EIN) 45-3537902, domicilio en 8400 NW 33rd Street, Suite 310 PMB 2477, Doral, Florida 33122 (EE. UU.), teléfono +1 (888) 744-6449 y correo privacidad@tiendasweb.net («TiendasWeb» o el «Encargado»), y el Comerciante identificado en la Cuenta o pedido de suscripción (el «Comerciante» o el «Responsable»).

El Acuerdo forma parte de los Términos y Condiciones de Suscripción para Comerciantes. Se considerará aceptado mediante la misma firma, casilla o mecanismo electrónico utilizado para aceptar dichos términos, dejando evidencia de la versión, fecha, hora, persona y entidad.

2. Definiciones e interpretación

Datos del Comerciante. datos personales respecto de los cuales el Comerciante determina los fines y medios esenciales, incluidos los datos de Clientes finales tratados mediante el Sitio.

Cliente final. persona que visita el Sitio, formula una consulta, solicita una reserva, realiza un pedido o se relaciona directamente con el Comerciante.

Instrucciones documentadas. configuraciones, acciones y solicitudes realizadas por usuarios autorizados a través del Servicio, además de las instrucciones expresas incorporadas a este Acuerdo o acordadas por escrito.

Subencargado. tercero contratado por TiendasWeb que trata Datos del Comerciante por cuenta de este para prestar una parte del Servicio.

Incidente de seguridad. violación de la seguridad que ocasione destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado a Datos del Comerciante.

Los términos «datos personales», «tratamiento», «responsable», «encargado», «interesado» y «autoridad de control» tendrán el significado establecido en el RGPD.

3. Objeto, duración, naturaleza y finalidad

TiendasWeb tratará Datos del Comerciante únicamente para alojar y operar el Sitio y las funciones contratadas, ejecutar instrucciones, prestar soporte, mantener la seguridad, crear copias de respaldo y cumplir las obligaciones que correspondan al Encargado.

4. Descripción del tratamiento

4.1 Personas afectadas

Clientes finales, visitantes y personas que contactan con el Comerciante.

Personas que realizan o reciben un pedido, reserva, cita o solicitud.

Representantes, empleados y contactos del Comerciante cuando sus datos aparezcan en flujos de clientes.

Otras categorías expresamente habilitadas y documentadas en el Anexo I.

4.2 Categorías de datos

Identificación y contacto: nombre, correo, teléfono, dirección y datos equivalentes.

Datos operativos: consulta, pedido, productos, cantidades, preferencias, fecha, reserva, instrucciones y estado.

Datos de entrega o prestación del servicio cuando la función esté habilitada.

Metadatos técnicos y de seguridad vinculados al flujo: sellos de tiempo, registros de actividad, dirección IP o identificadores técnicos necesarios.

Contenido libre introducido por la persona o el Comerciante, sujeto a las restricciones de este Acuerdo.

EXCLUSIÓN POR DEFECTO No se autoriza el tratamiento ordinario de datos de tarjetas, cuentas bancarias, contraseñas de terceros, categorías especiales del artículo 9 RGPD, condenas o infracciones, ni datos dirigidos a menores. Cualquier excepción requiere evaluación, función específica, base jurídica y acuerdo escrito.

5. Instrucciones y límites del tratamiento

TiendasWeb tratará los Datos del Comerciante solo conforme a instrucciones documentadas, salvo obligación legal aplicable.

Si una ley exige otro tratamiento, TiendasWeb informará previamente al Comerciante, salvo prohibición legal.

TiendasWeb informará si considera que una instrucción infringe el RGPD u otra norma de protección de datos y podrá suspenderla mientras se aclara.

TiendasWeb no venderá Datos del Comerciante, no los utilizará para publicidad propia ni construirá perfiles comerciales de Clientes finales.

Los datos agregados o anonimizados solo podrán utilizarse si no permiten identificar razonablemente a personas ni a un Comerciante concreto.

6. Obligaciones del Comerciante como Responsable

El Comerciante deberá:

Determinar y documentar una finalidad lícita, base jurídica y plazo de conservación para cada función habilitada.

Facilitar a los Clientes finales la información de privacidad exigible y gestionar sus preferencias y derechos.

Configurar el Servicio de forma coherente con sus políticas, actividad y obligaciones sectoriales.

No introducir datos excesivos ni usar campos libres para información sensible no autorizada.

Mantener actualizados los usuarios autorizados y proteger sus credenciales.

Responder por la legalidad, exactitud y origen de los datos y por las instrucciones impartidas.

Notificar a TiendasWeb cualquier solicitud, reclamación o incidente que pueda requerir asistencia técnica.

7. Personal autorizado y confidencialidad

TiendasWeb limitará el acceso a quienes lo necesiten para sus funciones.

Toda persona autorizada quedará sujeta a deber de confidencialidad contractual o legal.

El acceso administrativo será individual, basado en funciones y revisado periódicamente.

El deber de confidencialidad subsistirá después de terminar la relación o el acceso.

8. Medidas técnicas y organizativas

TiendasWeb mantendrá medidas apropiadas al riesgo, al estado de la técnica, a los costes de aplicación y a la naturaleza del tratamiento. El mínimo inicial se describe en el Anexo II.

Las medidas podrán evolucionar siempre que no disminuya materialmente la protección global. TiendasWeb documentará cambios sustanciales y mantendrá controles equivalentes o superiores.

9. Credenciales e integraciones del Comerciante

Cada Comerciante conectará sus propias cuentas y credenciales de pago o integración.

TiendasWeb no solicitará ni almacenará datos bancarios del Comerciante que puedan facilitarse directamente al proveedor elegido.

Si una credencial debe almacenarse para operar una integración, se cifrará, se mantendrá fuera del código y de los registros, y solo se descifrará para la función autorizada.

Los pagos se enviarán directamente del Cliente final al proveedor y cuenta del Comerciante; TiendasWeb no recibirá, custodiará, repartirá ni reembolsará fondos de ventas.

El uso de credenciales propias no elimina este Acuerdo cuando datos de pedidos, clientes o webhooks pasan por infraestructura de TiendasWeb.

10. Subencargados

El Comerciante concede una autorización general para utilizar los Subencargados identificados en el Anexo III o en https://tiendasweb.net/subencargados/. TiendasWeb:

Impondrá al Subencargado obligaciones de protección sustancialmente equivalentes a las de este Acuerdo.

Seguirá siendo responsable frente al Comerciante del cumplimiento de las obligaciones del Subencargado, en los términos legalmente aplicables.

Informará con al menos 30 días de antelación sobre altas o sustituciones materiales, salvo urgencia justificada de seguridad o continuidad.

Permitirá objeciones razonadas por motivos de protección de datos durante el plazo comunicado.

Procurará una alternativa razonable; si no existe, cualquiera de las partes podrá terminar la función afectada o la suscripción sin penalización adicional por esa terminación.

11. Transferencias internacionales

El Encargado está establecido en Estados Unidos y su infraestructura principal se encuentra actualmente en ese país (Amazon Web Services, región us-east-1). El tratamiento objeto de este Acuerdo implica, por tanto, una transferencia internacional de datos desde el primer día, y no un supuesto excepcional.

La transferencia se ampara en [MECANISMO: cláusulas contractuales tipo de la Decisión (UE) 2021/914, módulo dos (responsable a encargado), incorporadas como anexo a este Acuerdo / certificación vigente del proveedor en el Marco de Privacidad de Datos UE-EE. UU.], junto con la evaluación de transferencia y las medidas complementarias documentadas. La ubicación de cada Subencargado se indica en el Anexo III. Si el alojamiento migra a una región del Espacio Económico Europeo, se actualizarán este apartado y el Anexo III.

PENDIENTE Elegir e incorporar el mecanismo (SCC módulo dos como anexo, o verificación de la certificación DPF del proveedor) antes de aceptar este Acuerdo con ningún Comerciante.

12. Derechos de las personas

El Comerciante es responsable de recibir, evaluar y responder las solicitudes.

Si TiendasWeb recibe una solicitud relativa a Datos del Comerciante, la remitirá al Comerciante sin responder sobre el fondo, salvo obligación legal.

Teniendo en cuenta la naturaleza del tratamiento, TiendasWeb ofrecerá funciones o asistencia razonable para acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento.

La asistencia ordinaria incluida y los posibles costes extraordinarios se definirán en el plan o se aprobarán antes de ejecutar trabajo adicional.

13. Incidentes de seguridad

TiendasWeb notificará al Comerciante sin dilación indebida tras tener constancia de un Incidente que afecte a Datos del Comerciante y, en todo caso, dentro de un plazo orientativo máximo de 48 horas, de modo que el Comerciante pueda cumplir su propio plazo de 72 horas ante la autoridad de control.

La notificación inicial incluirá, cuando esté disponible, naturaleza, sistemas y datos afectados, categorías y volumen aproximado, consecuencias, medidas adoptadas y punto de contacto.

La información podrá proporcionarse por fases sin retrasar injustificadamente la primera alerta.

TiendasWeb preservará evidencia, investigará, contendrá, remediará y cooperará razonablemente.

El Comerciante decide y realiza, cuando proceda, las notificaciones a la autoridad y a los interesados; TiendasWeb facilitará la información técnica disponible.

CANAL OPERATIVO Incidentes del Comerciante: security@tao-corp.com. Contacto de TiendasWeb: security@tao-corp.com. Este dato debe completarse antes de activar tratamiento real.

14. Evaluaciones y consultas previas

TiendasWeb prestará asistencia razonable, teniendo en cuenta la naturaleza del tratamiento y la información disponible, para evaluaciones de impacto, consultas previas y demostración de cumplimiento. El Comerciante sigue siendo responsable de determinar si una evaluación o consulta es necesaria.

15. Devolución, exportación y supresión

Durante la suscripción, el Comerciante podrá exportar los datos mediante las funciones disponibles.

Tras la terminación, TiendasWeb mantendrá una ventana de exportación de 60 días, salvo riesgo, impago grave, orden legal o acuerdo distinto.

Finalizada la ventana, TiendasWeb suprimirá o anonimizará los Datos del Comerciante y copias activas conforme al calendario aprobado.

Las copias de respaldo se eliminarán por rotación dentro de 72 meses y quedarán aisladas de uso ordinario.

Los datos sujetos a obligación legal, bloqueo, litigio o preservación de evidencia se mantendrán restringidos solo durante el plazo necesario.

A solicitud razonable, TiendasWeb proporcionará confirmación de la supresión completada.

16. Información, auditoría y demostración de cumplimiento

TiendasWeb facilitará información razonablemente necesaria para demostrar el cumplimiento del artículo 28 RGPD.

Se priorizarán informes, certificaciones, cuestionarios y documentación remota para evitar riesgos y duplicidad.

Si resulta necesario, el Comerciante podrá solicitar una auditoría con al menos [30] días de aviso, durante horario laboral, una vez al año, por auditor independiente sujeto a confidencialidad.

No se permitirá acceso a datos de otros clientes, código fuente, pruebas de explotación no coordinadas ni información que incremente el riesgo de seguridad.

Cada parte asumirá sus costes; el Comerciante asumirá costes extraordinarios salvo que la auditoría revele incumplimiento material de TiendasWeb.

17. Solicitudes de autoridades

TiendasWeb verificará la legitimidad de las solicitudes que reciba, limitará la divulgación a lo legalmente exigido y, salvo prohibición, informará al Comerciante antes de responder. Las solicitudes dirigidas al Comerciante se remitirán a este cuando proceda.

18. Responsabilidad y prioridad documental

La responsabilidad derivada de este Acuerdo se regirá por los límites y exclusiones de los Términos para Comerciantes en la medida permitida por el RGPD y demás normativa imperativa. Nada limita los derechos de los interesados ni las facultades de las autoridades.

En caso de conflicto sobre protección de Datos del Comerciante, prevalecerá este Acuerdo sobre los Términos. Las cláusulas contractuales tipo aplicables a una transferencia internacional prevalecerán respecto de esa transferencia.

19. Vigencia y cambios

El Acuerdo entra en vigor al habilitarse una función que implique tratamiento por cuenta del Comerciante y continuará mientras TiendasWeb conserve Datos del Comerciante. Los cambios materiales se comunicarán conforme a los Términos; no reducirán derechos exigidos por el RGPD.

Anexo I. Instrucciones y ficha del tratamiento

Anexo II. Medidas técnicas y organizativas mínimas

Anexo III. Subencargados autorizados

Completar antes del lanzamiento y mantener sincronizado con el listado público o contractual vigente.

Anexo interno. Pendientes antes de firmar

Completar identidad legal y contactos de ambas partes.

Mapear cada flujo para confirmar si TiendasWeb recibe, almacena o solo transmite datos.

Cerrar el calendario de exportación, copias, bloqueo y supresión.

Aprobar la lista real de Subencargados, regiones y transferencias.

Validar y probar las medidas del Anexo II; no prometer controles aún no implantados.

Definir canal, responsables y cobertura de incidentes.

Definir qué asistencia está incluida y qué trabajo extraordinario puede facturarse.

Confirmar con abogado español la coordinación con los límites de responsabilidad de los Términos.

Anexo IV. Base normativa de redacción

Referencias oficiales consultadas para este borrador. La versión contractual final deberá adaptarse a la estructura societaria, proveedores, ubicaciones y medidas técnicas reales.

Reglamento (UE) 2016/679 (RGPD), especialmente artículos 28, 32 a 36 y 44 a 49: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679

Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales: https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673

AEPD, Directrices para la elaboración de contratos entre responsables y encargados del tratamiento: https://www.aepd.es/guias/guia-directrices-contratos.pdf

AEPD, Guía para la gestión y notificación de brechas de seguridad: https://www.aepd.es/guias/guia-brechas-seguridad.pdf

← Volver a la portada