Contrato de encargo del tratamiento

1. Qué cubre

Cuando usas nuvols.app, tratamos datos personales por tu cuenta: los datos de las tiendas que añades a tu espacio de trabajo, descritos en el anexo I. Para tu propia tienda, tú eres el responsable del tratamiento y nosotros tu encargado. Para las tiendas de tus clientes, el propietario de la tienda es el responsable, tú eres el encargado y nosotros tu subencargado; confirmas que tu contrato con el propietario de la tienda te permite usar nuvols.app. Este contrato no cubre los datos sobre ti y los miembros de tu equipo que necesitamos para gestionar tu cuenta; los tratamos como responsables, según se describe en la política de privacidad.

2. Tus instrucciones

Tratamos los datos personales solo para prestar nuvols.app según se describe en las condiciones, en este contrato y en los ajustes que elijas en la aplicación; en conjunto, son tus instrucciones. Te avisamos si creemos que una instrucción infringe la normativa de protección de datos. Si la ley nos obliga a tratar los datos de otra manera, te lo comunicamos antes, salvo que la ley lo prohíba.

3. Confidencialidad

Solo tienen acceso a los datos personales las personas que lo necesitan para prestar el servicio, y están obligadas a guardar confidencialidad. Hoy es una persona, el titular de nuvols.app.

4. Seguridad

Protegemos los datos personales con las medidas técnicas y organizativas del anexo II. Podemos mejorarlas; no reduciremos el nivel general de protección.

5. Subencargados

Nos autorizas a recurrir a los subencargados indicados en la página de subencargados. Cada uno está obligado por un contrato escrito con obligaciones de protección de datos al menos tan protectoras como estas, y seguimos siendo responsables de ellos. Avisamos por correo electrónico a los propietarios de cada espacio de trabajo al menos 30 días antes de que un nuevo subencargado empiece a tratar los datos. Si te opones en ese plazo por motivos razonables de protección de datos y no podemos resolverlo, puedes poner fin a las suscripciones afectadas; te reembolsamos la parte no utilizada de lo que hayas pagado por adelantado.

6. Dónde están los datos

Almacenamos los datos personales en la Unión Europea (jurisdicción de la UE de Cloudflare). Las solicitudes se gestionan en la red global de Cloudflare, y algunos subencargados están establecidos fuera del Espacio Económico Europeo; cada una de esas transferencias está cubierta por una decisión de adecuación de la Comisión Europea (como el Marco de Privacidad de Datos UE-EE. UU.) o por las cláusulas contractuales tipo de la Comisión, según se indica en la página de subencargados.

7. Solicitudes de las personas

Si alguien nos pide ejercer sus derechos de protección de datos sobre datos que tratamos por tu cuenta, te trasladamos la solicitud y no la respondemos nosotros, salvo que nos lo pidas. Te ayudamos a responder a esas solicitudes en la medida en que lo permita la naturaleza del servicio.

8. Ayuda con tus obligaciones

Te facilitamos la información que necesites, en la medida en que la tengamos, para tus medidas de seguridad, las evaluaciones de impacto relativas a la protección de datos y las consultas a una autoridad de control.

9. Violaciones de la seguridad de los datos personales

Si una violación de la seguridad afecta a los datos personales, te lo comunicamos sin dilación indebida después de tener conocimiento de ella. Procuramos hacerlo en un plazo de 48 horas; es un objetivo, no un plazo vinculante. Te indicamos qué ocurrió, qué datos y cuántas personas pueden verse afectados, las consecuencias probables, qué hemos hecho y qué haremos al respecto, y con quién contactar; lo que aún no sepamos, te lo enviamos en cuanto lo sepamos. Documentamos todas las violaciones.

10. Al terminar

Cuando cierras tu espacio de trabajo, suprimimos los datos personales que tratamos por tu cuenta en un plazo de 30 días, salvo que la ley nos obligue a conservarlos. Durante esos 30 días puedes pedir una copia de los datos de tus tiendas en un formato legible por máquina. La recuperación a un momento dado de nuestra base de datos en Cloudflare conserva versiones anteriores hasta 30 días más; después también desaparecen. Cuando eliminas una tienda, sus datos se suprimen de la misma manera 30 días después de eliminarla.

11. Pruebas y auditorías

Ponemos a tu disposición la información necesaria para demostrar que cumplimos este contrato y respondemos a tus preguntas por escrito sobre él. Si no es suficiente, puedes auditarnos tú o un auditor obligado a guardar confidencialidad, una vez al año, con 30 días de preaviso, a tu cargo y en horario laboral, sin acceso a datos de otros clientes. Las certificaciones e informes de auditoría de nuestros subencargados pueden formar parte de la respuesta.

12. Cambios

Modificamos este contrato igual que las condiciones, con 30 días de preaviso por correo electrónico; los nuevos subencargados siguen la sección 5. Antes de que nuvols.app empiece un nuevo tipo de tratamiento (por ejemplo, copias de seguridad o revisión de código con IA), actualizamos el anexo I y te avisamos; esas funciones solo tratan datos de las tiendas en las que las actives.

13. Responsabilidad

La responsabilidad de cada parte en virtud de este contrato se rige por las condiciones del servicio, incluidos sus límites, salvo cuando la ley no permita un límite.

14. Orden de prelación

Si este contrato y las condiciones difieren sobre la protección de los datos personales, prevalece este contrato. Si se aplican cláusulas contractuales tipo, estas prevalecen sobre ambos.

15. Ley aplicable

Este contrato se rige por la ley española, y son competentes los tribunales indicados en las condiciones.

Anexo I: el tratamiento

Objeto y naturaleza: supervisión de las tiendas PrestaShop que añades a tu espacio de trabajo: comprobaciones externas de disponibilidad y versión, el inventario que envía el conector de nuvols.app, el estado de seguridad de la tienda, las alertas por correo electrónico y el registro de actividad de tu espacio de trabajo.

Finalidad: prestar nuvols.app conforme a las condiciones.

Duración: mientras la tienda esté en tu espacio de trabajo y, después, según la sección 10.

Interesados: los propietarios de las tiendas y su personal, cuando la dirección, el nombre o el dominio de una tienda permiten identificarlos (por ejemplo, el nombre de un autónomo); los desarrolladores que figuran como autores en la lista de módulos de una tienda; los miembros de tu equipo, tal como aparecen en el registro de actividad y como destinatarios de alertas.

Datos personales: direcciones, nombres y dominios de las tiendas; nombres, versiones y autores de módulos y temas; las rutas de los archivos de sobrescritura (overrides); resultados de disponibilidad e incidencias; qué alertas se enviaron, a quién y cuándo; entradas del registro de actividad (quién hizo qué en el espacio de trabajo y cuándo).

No tratados: los registros de clientes, pedidos, direcciones y empleados de tus tiendas, los valores de configuración, el contenido de los archivos y las contraseñas de las tiendas. El conector no los envía, y las comprobaciones externas no guardan el contenido de las páginas. Ninguna categoría especial de datos personales.

Frecuencia: de forma continua: la disponibilidad cada 5 minutos, la comprobación de versión una vez al día, el inventario cuando el conector informa de un cambio.

Plazo de conservación: historial de inventario 90 días, el inventario actual mientras la tienda esté en tu espacio de trabajo; resultados de disponibilidad 3 meses en detalle, el estado actual y las incidencias anteriores mientras la tienda esté en tu espacio de trabajo; registros de alertas enviadas 30 días; registro de actividad 1 año; una tienda eliminada, 30 días después de eliminarla; un espacio de trabajo cerrado, 30 días después de cerrarlo (sección 10).

Ubicación: almacenados en la jurisdicción de la UE de Cloudflare; los informes de errores, en la región de la UE de Sentry (Fráncfort), con los datos personales eliminados antes de enviarlos; los correos electrónicos se envían a través de Brevo en la UE.

Anexo II: medidas técnicas y organizativas

Cifrado en tránsito: solo HTTPS, con HSTS. Los mensajes entre el conector y nuvols.app van firmados (Ed25519) y se rechazan si su marca de tiempo se desvía más de 5 minutos.

Cifrado en reposo: Cloudflare cifra en reposo la base de datos y el almacenamiento de archivos. Los secretos de la verificación en dos pasos los ciframos además nosotros (AES-256-GCM, por usuario, con claves rotables).

Inicio de sesión: enlaces de inicio de sesión de un solo uso por correo electrónico, limitados por dirección y por red; verificación en dos pasos opcional (aplicación de autenticación) con códigos de recuperación. Las sesiones usan cookies seguras HttpOnly; solo guardamos un hash del token de sesión; las sesiones terminan tras 7 días sin uso y, como máximo, a los 30 días. Las solicitudes que modifican datos están protegidas contra la falsificación de solicitudes entre sitios.

Separación de clientes: cada consulta se limita a un espacio de trabajo, y pruebas automáticas comprueban cada vía de acceso a los datos frente al acceso desde otro espacio de trabajo.

Minimización de datos: el conector solo informa de versiones, módulos, temas, nombres de tiendas y dominios, y solo responde a una lista fija de solicitudes de lectura. No ejecuta código enviado por nosotros y no descarga nada tras la instalación. Las comprobaciones externas solo leen lo que necesitan y no guardan el contenido de las páginas.

Nuestro acceso: solo el titular de nuvols.app tiene acceso a los sistemas de producción. Los cambios llegan a producción únicamente mediante versiones firmadas, tras pruebas automáticas y revisiones de código y de seguridad.

Registro: un registro de actividad por espacio de trabajo al que solo se pueden añadir entradas, conservado 1 año. Los informes de errores se depuran de datos personales antes de enviarlos a Sentry; los registros de solicitudes están desactivados.

Disponibilidad y recuperación: la base de datos puede restaurarse a cualquier momento de los últimos 30 días (recuperación a un momento dado de Cloudflare D1), y antes de cada cambio de la base de datos en una versión se registra un punto de restauración. Nuestro propio servicio se supervisa desde fuera, con una página de estado pública.

Supresión: los plazos de conservación (anexo I) se aplican automáticamente cada día.

Desarrollo seguro: cada cambio se prueba y se revisa en materia de seguridad antes de publicarlo; el conector y las reglas de seguridad siguen requisitos de seguridad escritos; antes de cualquier función que modifique tiendas se realiza una revisión de seguridad externa.

Incidentes: las violaciones se gestionan y comunican según la sección 9.