Contrato de encargo del tratamiento
Versión 1.0 · 2 de noviembre de 2026 · Artículo 28 del RGPD
Las tiendas que instalan la app FitScouts desde la Shopify App Store aceptan este contrato al instalarla. Las que contratan directamente lo aceptan al firmar el presupuesto. Cómo se tratan los datos en la práctica está en la política de privacidad.
Partes
- Responsable del tratamiento («la Tienda»): la persona física o jurídica titular de la tienda online que instala o contrata FitScouts.
- Encargado del tratamiento («FitScouts»): Albert Moreno, NIF 47239092J, Avinguda Corts Catalanes 32, 08172 Sant Cugat del Vallès (Barcelona). Contacto: info@fit-scouts.com.
1. Objeto
FitScouts presta a la Tienda un asistente por chat que recomienda tallas y resuelve dudas de producto en su web, y un panel con las conversaciones y sus resultados (ventas, devoluciones, encuestas). Para ello trata datos personales de las personas que visitan y compran en la Tienda, por cuenta de esta.
2. Duración
Mientras la Tienda use el servicio. Al terminar se aplica la cláusula 10.
3. Naturaleza, finalidad y datos
| Tratamiento | Datos | Interesados | Para qué |
|---|---|---|---|
| Chat | Texto de los mensajes (puede incluir medidas corporales y talla habitual), identificador de sesión aleatorio, producto que se mira | Visitantes que usan el chat | Responder y calcular la talla |
| Formulario de contacto (si la Tienda lo activa) | Nombre, email o teléfono, consentimiento | Visitantes que lo rellenan | Que la Tienda pueda contactarles |
| Pedidos y devoluciones (app de Shopify) | Número de pedido, productos, talla, cantidad, importe, motivo de devolución, conversación de la que viene | Compradores de la Tienda | Atribución de ventas y acierto de talla |
| Encuesta de talla | Número de pedido, producto, talla, respuesta | Compradores que la contestan | Acierto de talla |
| Estado del pedido en el chat | Estado, envío y seguimiento de los pedidos de la clienta con sesión iniciada (no se guardan) | Compradores con sesión | Responder dónde está su pedido |
| Límites de uso | Dirección IP, solo como contador temporal (minutos u horas) | Visitantes | Evitar abusos |
FitScouts no trata nombre, email, teléfono ni dirección de los pedidos, ni datos de pago. Las medidas corporales no son datos de categoría especial (art. 9 RGPD), pero se tratan con el mismo cuidado.
4. Instrucciones
FitScouts trata los datos solo siguiendo las instrucciones documentadas de la Tienda, que son este contrato y la configuración que la Tienda elige en su panel, también en lo que se refiere a las transferencias internacionales de la cláusula 7. Si una instrucción le parece contraria al RGPD, lo avisará de inmediato.
5. Confidencialidad
Las personas autorizadas a tratar los datos están obligadas a confidencialidad. Hoy solo el titular de FitScouts tiene acceso de administración, protegido con inicio de sesión de Google y lista de correos autorizados.
6. Seguridad (art. 32 RGPD)
- Cifrado en tránsito (HTTPS) en todas las comunicaciones.
- Tokens de acceso a Shopify cifrados (AES-GCM) en reposo.
- Aislamiento por tienda: el panel de una tienda no ve datos de otra.
- Contraseñas del panel con PBKDF2 (100.000 iteraciones) y límite de intentos.
- Firma HMAC en los avisos de Shopify, los enlaces de encuesta y los datos de pedidos.
- Límites de uso por IP y por tienda.
- Plazos de borrado automáticos (cláusula 9).
El detalle técnico está disponible para la Tienda bajo petición.
7. Subencargados
La Tienda autoriza de forma general a FitScouts a recurrir a estos subencargados. FitScouts avisará con 30 días de antelación de cualquier cambio en Cloudflare u OpenRouter, y la Tienda podrá oponerse y, en ese caso, dejar el servicio. El proveedor concreto del modelo de IA lo elige OpenRouter entre los que cumplen la condición de abajo y puede cambiar sin aviso previo; su lista está en trust.openrouter.ai.
| Subencargado | Qué hace | Dónde | Garantía |
|---|---|---|---|
| Cloudflare, Inc. | Servidores, base de datos y almacenamiento | UE y EE. UU. | Acuerdo de tratamiento de Cloudflare con Cláusulas Contractuales Tipo |
| OpenRouter, Inc. | Envía el texto del chat al modelo de IA | EE. UU. | Acuerdo de tratamiento de OpenRouter con Cláusulas Contractuales Tipo |
| Proveedor del modelo vía OpenRouter (hoy Anthropic, PBC) | Redacta las respuestas del chat | EE. UU. | Según el acuerdo de tratamiento de OpenRouter |
FitScouts impone a sus subencargados obligaciones de protección de datos equivalentes a las de este contrato (art. 28.4 RGPD), mediante sus acuerdos de tratamiento.
Sin entrenamiento. Todas las peticiones al modelo de IA se envían con la condición de OpenRouter de que solo las atiendan proveedores que no recogen ni guardan los datos para sus propios fines. Por eso los datos no se usan para entrenar modelos de IA.
8. Derechos de los interesados
FitScouts ayudará a la Tienda a atender las solicitudes de acceso, supresión y demás derechos. Los avisos de privacidad de Shopify (petición de datos y borrado de una clienta) se atienden automáticamente. Para el resto, la Tienda escribe a info@fit-scouts.com y FitScouts responde en un plazo máximo de 10 días.
9. Plazos de conservación
| Datos | Plazo |
|---|---|
| Mensajes del chat, tallas calculadas con medidas, datos del formulario de contacto, eventos del chat, temas y valoraciones | 90 días |
| Pedidos, devoluciones, encuestas y cambios de talla | 13 meses |
| Fichas de producto (no son datos personales) | Mientras la app esté instalada |
| Contadores de límites por IP | Minutos u horas |
| Datos de contacto guardados en el navegador de la visitante | 90 días |
10. Fin del servicio
Al desinstalar la app, el acceso a la tienda se borra en el momento y, 48 horas después, todos los datos de la Tienda: pedidos, devoluciones, encuestas, cambios de talla, fichas y, si la tienda se dio de alta con la app, sus conversaciones. En las altas directas, la Tienda elige si los datos se borran o se le entregan, en un plazo de 30 días.
11. Estadísticas anónimas
La Tienda autoriza a FitScouts a elaborar, antes del borrado, estadísticas agregadas y anónimas (por ejemplo: número de conversaciones, porcentaje de pedidos con asesora o de devoluciones por talla, por mes y tipo de tienda), sin ningún dato de personas ni de la Tienda que permita identificarlas. Estas estadísticas no son datos personales y FitScouts puede usarlas para mejorar el servicio y en su comunicación comercial. Nunca se publicarán datos de una Tienda concreta sin su permiso por escrito.
12. Brechas de seguridad
FitScouts avisará a la Tienda sin dilación indebida y, como máximo, en 48 horas desde que tenga conocimiento de una brecha que afecte a sus datos, también cuando se la comunique un subencargado. El aviso dirá qué ha pasado, qué datos y cuántas personas pueden estar afectados, y las medidas tomadas, para que la Tienda pueda notificar a la autoridad de control en sus 72 horas.
13. Ayuda con evaluaciones de impacto
Si la Tienda tiene que hacer una evaluación de impacto o una consulta previa a la autoridad de control (arts. 35 y 36 RGPD) sobre el tratamiento que hace FitScouts, este le facilitará la información que tenga sobre él.
14. Auditoría
FitScouts pondrá a disposición de la Tienda la información necesaria para demostrar el cumplimiento y permitirá auditorías razonables, con aviso de 30 días y a costa de la Tienda.
15. Ley aplicable
Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD). Juzgados de Barcelona, salvo norma imperativa en contrario.