Acuerdo de tratamiento de datos

1. Roles

Respecto de los datos grabados de los visitantes de tu tienda y de los datos importados sobre tus clientes, tú eres el responsable del tratamiento y Frondia LLC es tu encargado del tratamiento. Tú decides los fines y los medios; nosotros actuamos únicamente siguiendo tus instrucciones documentadas, que son estas condiciones más lo que configuras en el producto.

Tus instrucciones documentadas incluyen cada función que activas, en particular conectar una tienda, una cuenta de Klaviyo o una plataforma publicitaria o de correo electrónico a la que Whence envía tus pedidos, mantener activado el ajuste que vincula las visitas con los datos de contacto que escriben los visitantes, y activar el ajuste que envía esos datos de contacto a los clientes de tu propia tienda Shopify.

Si en algún momento consideramos que una de tus instrucciones infringe la normativa de protección de datos, te lo diremos en lugar de ejecutarla en silencio.

2. Qué tratamos y para quién

En las grabaciones, el texto escrito en los campos de formulario se enmascara en el navegador del visitante antes de llegar a nosotros. Las contraseñas y los números de tarjeta de pago nunca se leen. Los únicos valores escritos que recibimos son los datos de contacto indicados arriba. La analítica de formularios contiene nombres de campos y recuentos, nunca los valores escritos.

2A. Tus obligaciones como responsable del tratamiento

Antes de que Whence grabe a nadie o envíe cualquier pedido a una plataforma, debes:

• (a) cuando la ley exija consentimiento, recabarlo antes de que se ejecute el script y antes de que se lean datos de contacto, utilizando el banner de cookies de Shopify o una herramienta de consentimiento conectada a la Customer Privacy API de Shopify o al script de Whence según lo documentado; Whence no ofrece un banner de cookies propio y lee el consentimiento que recoge tu tienda;
• (b) informar a los visitantes y clientes, en tu aviso de privacidad, de que Whence graba las visitas, de qué se graba, incluidos clics, desplazamiento, uso de formularios y eventos, y de los datos de contacto que lee el script, de qué elementos se almacenan en su navegador y de qué plataformas reciben sus pedidos;
• (c) asegurarte de que el consentimiento de marketing que recabas cubre la comunicación de los datos de compra a las plataformas publicitarias que conectes, incluso para la medición y la personalización de anuncios cuando una plataforma lo exija;
• (d) contar con una base jurídica para cada tratamiento que ordenes;
• (e) si activas «Grabar sin esperar el consentimiento», Whence graba las visitas, lee los datos de contacto escritos y envía los eventos a las plataformas que conectes sin esperar el consentimiento del visitante, siguiendo tus instrucciones. Solo tú lo decides y eres responsable de ello: en la UE, el Reino Unido y algunos estados de EE. UU. es ilegal sin consentimiento. Registramos cada cambio de este ajuste con quién lo hizo y cuándo, y marcamos cada visita grabada así; el rechazo explícito de un visitante sigue respetándose.
• (f) «Grabar aunque el visitante rechace» está desactivado por defecto, y solo puedes activarlo confirmando que asumes la responsabilidad. Si lo activas, Whence graba también, siguiendo tus instrucciones, a los visitantes que rechazan en el banner de cookies o la herramienta de consentimiento de tu tienda, como excepción a la última frase de la letra (e). Solo tú lo decides y eres responsable de ello: grabar a un visitante que ha rechazado está prohibido por el RGPD en la UE, el EEE, el Reino Unido y Suiza. Registramos cada cambio de este ajuste con quién lo hizo y cuándo, y marcamos cada visita grabada así. No se envía nada sobre un visitante que ha rechazado a las plataformas publicitarias que conectes: ni su dirección de red, ni sus identificadores de clic, y no se presume ningún consentimiento de marketing.

3. Confidencialidad

Todas las personas con acceso a tus datos están sujetas a obligaciones de confidencialidad que subsisten tras el fin de su relación, y el acceso solo se concede cuando el trabajo lo requiere.

4. Seguridad

Mantenemos medidas adecuadas al riesgo, entre ellas: cifrado en tránsito; grabaciones conservadas en un almacenamiento privado y no en una dirección pública; eliminación de los parámetros sensibles y del fragmento de las direcciones de página almacenadas para una visita, tal como se describe en nuestro aviso de privacidad; reglas de base de datos que limitan el acceso de cada cuenta a sus propias tiendas; los procesos en segundo plano que necesitan un acceso más amplio se ejecutan solo en nuestros servidores, con credenciales que nunca se envían a un navegador; y acceso restringido a los sistemas de producción.

Podemos actualizar estas medidas, pero no de forma que se reduzca sustancialmente el nivel de protección.

5. Subencargados del tratamiento

Nos autorizas a recurrir a los subencargados del tratamiento que figuran en la página de subencargados. Cada uno está sujeto a obligaciones que no ofrecen menos protección que estas.

Anunciaremos un nuevo subencargado del tratamiento en esa página al menos treinta días antes de que empiece a tratar tus datos. Si te opones por motivos razonables de protección de datos dentro de esos treinta días y no podemos ofrecerte una alternativa, podrás resolver la parte afectada del servicio y recibir el reembolso del periodo no utilizado.

Seguimos siendo responsables ante ti de lo que hagan nuestros subencargados del tratamiento.

5A. Destinatarios que tú designas

Cuando conectas una plataforma publicitaria o de correo electrónico en Whence (Meta, Google, TikTok, Snapchat, Pinterest, Microsoft, Reddit, Taboola o Klaviyo), nos ordenas enviar los datos de tus pedidos, y los eventos de la tienda que elijas para esa plataforma (vistas de producto, carritos, checkouts y, si lo activas, vistas de página), a tu cuenta en esa plataforma. Cuando el visitante ha aceptado el marketing, la dirección IP que usó su navegador en tu tienda acompaña al pedido y a estos eventos: Whence solo la conserva cuando el visitante ha aceptado el marketing y tu tienda envía eventos al menos a una plataforma, y se borra a los 7 días. Cuando pides a Whence que ejecute el píxel de esa plataforma en el navegador, su propio script se carga en tu tienda conforme a sus condiciones. Esa plataforma no es nuestro subencargado del tratamiento: tienes tu propio acuerdo con ella, eres responsable de aceptar y cumplir sus condiciones, y trata los datos conforme a esas condiciones. Solo enviamos un pedido cuando las señales de consentimiento descritas en nuestro aviso de privacidad lo permiten. Para las plataformas publicitarias, los datos de contacto se transforman mediante hash cuando la plataforma lo exige; Klaviyo los recibe sin hash, en tu propia cuenta. No podemos recuperar los datos que una plataforma ya ha recibido; las solicitudes de supresión de esos datos deben dirigirse a la plataforma. Puedes dejar de enviar datos a cualquier plataforma en cualquier momento.

Cuando activas el envío de los contactos capturados a tus clientes de Shopify (desactivado por defecto), nos ordenas crear, en tu propia tienda Shopify, un cliente por cada contacto capturado en tu tienda online tras el consentimiento del visitante y después de que activaras el ajuste, con su dirección de correo electrónico, número de teléfono, nombre y apellidos, la etiqueta whence-captured y una nota. Nunca modificamos un cliente que ya exista en tu tienda, salvo para añadir esa etiqueta, y no registramos ningún consentimiento de marketing. Shopify es tu plataforma de tienda, no nuestro subencargado del tratamiento. Desactivar el ajuste detiene el envío y no borra nada; suprimir a una persona en Whence no elimina el cliente creado en tu tienda, que debes suprimir en Shopify.

Lo mismo se aplica cuando conectas Google Analytics 4, HubSpot o Zapier: nos ordenas enviar los eventos que elijas, con el identificador de cliente de Google Analytics (solo tras un consentimiento expreso de estadísticas) o la dirección de correo electrónico del visitante (solo tras el consentimiento de marketing), tal como se describe en nuestro aviso de privacidad, a tu propia cuenta en esa herramienta. Y cuando conectas WooCommerce o BigCommerce, nos ordenas leer tus pedidos en ellas con las claves de solo lectura que proporcionas. Estas herramientas son destinatarios que tú eliges, no nuestros subencargados del tratamiento.

6. Transferencias internacionales

Los datos de tus visitantes y clientes se almacenan en la Unión Europea, en las ubicaciones indicadas en la página de subencargados. Frondia LLC y algunos subencargados del tratamiento acceden a ellos desde Estados Unidos, y partes de la capa de red son globales. Cuando una transferencia requiera una garantía, las partes incorporan por referencia las cláusulas contractuales tipo de la Comisión Europea de 4 de junio de 2021, módulo dos (de responsable a encargado), contigo como exportador de datos y Frondia LLC como importador de datos, junto con el anexo del Reino Unido emitido por la Information Commissioner's Office cuando la transferencia esté sujeta al Derecho del Reino Unido.

A efectos de dichas cláusulas, la descripción de la cláusula 2 hace las veces de Anexo I, las medidas de la cláusula 4 de Anexo II y la página de subencargados de Anexo III. La autoridad de control es la del Estado miembro en el que estés establecido. La cláusula 17 se rige por el Derecho de Irlanda y la cláusula 18 atribuye la competencia a los tribunales de Irlanda.

Para las transferencias sujetas a la Ley federal suiza de protección de datos, se aplican las mismas cláusulas, la autoridad competente es el Comisionado Federal de Protección de Datos e Información de Suiza, y las referencias al RGPD se entienden hechas a dicha Ley.

7. Supresión y devolución

Las grabaciones y las visitas, junto con los clics, la analítica de formularios, las medidas de velocidad de página y los eventos medidos durante ellas y los recuentos diarios elaborados a partir de ellos, se eliminan automáticamente una vez transcurrido el periodo de conservación de tu plan. Los eventos de carrito y de checkout se eliminan a los 90 días, los resúmenes de IA con el mismo calendario que las grabaciones, los registros de consentimiento a los 24 meses, y los pedidos, los checkouts abandonados y los contactos importados en el plazo de un día desde que se desconecta la tienda o se desinstala la app de Shopify. Los detalles figuran en nuestro aviso de privacidad.

Cuando se cancela tu cuenta, puedes exportar tus datos durante los treinta días siguientes; después, los eliminamos. Si usas la app de Shopify, desinstalarla también hace que Shopify nos pida suprimir los datos de la tienda 48 horas después; exporta lo que necesites antes de desinstalarla.

Puedes exportar o suprimir los datos de un visitante o cliente concreto en cualquier momento desde la sección Privacy requests (solicitudes de privacidad) de tus ajustes. Una supresión que no puede eliminar todas las partes falla de forma visible en lugar de indicar que se ha completado: nunca se te dirá que se ha producido una eliminación cuando no ha sido así.

8. Ayudarte a cumplir tus propias obligaciones

Te ayudaremos, en la medida de lo razonable y teniendo en cuenta la información de que dispongamos:

• Con las solicitudes de los interesados. La sección Privacy requests de tus ajustes te permite buscar a una persona por dirección de correo electrónico, número de teléfono, nombre y apellidos, identificador de visitante o número de pedido, y exportar o suprimir lo que Whence conserva sobre ella. Las solicitudes que Shopify nos envía aparecen allí con su fecha límite. Cuando una solicitud nos llegue directamente, te la remitiremos en lugar de atenderla nosotros mismos.
• Con las evaluaciones de impacto y las consultas relativas al tratamiento aquí descrito.
• Con los incidentes de seguridad. Te lo notificaremos sin dilación indebida y, cuando sea posible, en un plazo de 48 horas y, en todo caso, en un plazo de 72 horas desde que tengamos conocimiento de una violación de la seguridad de los datos personales que afecte a tus datos, con lo que sepamos en ese momento, lo que estemos haciendo al respecto y lo que te recomendamos hacer.

9. Auditoría

Pondremos a tu disposición la información razonablemente necesaria para demostrar el cumplimiento de este acuerdo y responderemos a un cuestionario de seguridad por escrito una vez en cada periodo de doce meses. Cuando eso resulte realmente insuficiente, podrás auditarnos con un preaviso de treinta días, una vez en cada periodo de doce meses, a tu cargo, en horario laboral y sin perturbar el servicio ni la confidencialidad de los datos de otros clientes.

9A. Leyes de privacidad de los estados de EE. UU.

Cuando se aplique la California Consumer Privacy Act o una ley estatal estadounidense similar, tratamos la información personal únicamente para los fines empresariales descritos en la cláusula 2 y conforme a tus instrucciones. No la venderemos, no la compartiremos para publicidad comportamental entre contextos por cuenta propia, no la conservaremos, usaremos ni divulgaremos fuera de nuestra relación comercial directa contigo, ni la combinaremos con información personal que recibamos de terceros, salvo en la medida en que dichas leyes lo permitan. Cumpliremos dichas leyes, ofreceremos el mismo nivel de protección que exigen y te informaremos si dejamos de poder cumplir estas obligaciones. Puedes adoptar medidas razonables para detener y subsanar cualquier uso no autorizado.

10. Prelación

En caso de conflicto entre este acuerdo y las condiciones del servicio respecto del tratamiento de datos de visitantes o clientes, prevalece este acuerdo. En caso de conflicto con las cláusulas contractuales tipo, prevalecen dichas cláusulas.

11. Contacto

Frondia LLC, Nuevo México, Estados Unidos. contact@usewhence.com.