Contrato de encargo del tratamiento de datos personales
En vigor desde el 5 de diciembre de 2026. Versión 1.0.
Conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD), versión 1.0. El contrato forma parte de las condiciones del servicio de Portican y el cliente lo acepta al registrar la tienda. A petición del cliente, le enviaremos un ejemplar firmado.
Entrada en vigor y modificaciones. Esta versión entra en vigor una vez transcurridos 30 días desde el envío de la notificación a los clientes por correo electrónico. Para el cliente que se registre más tarde, entra en vigor en la fecha de su registro. Cualquier modificación posterior la notificaremos a los clientes por correo electrónico y entrará en vigor una vez transcurridos 30 días desde el envío de la notificación. El cliente que no acepte la modificación puede resolver el contrato con efecto en la fecha en que esta entre en vigor.
1. Partes
Responsable del tratamiento: el cliente de Portican que opera la tienda (en adelante, «el cliente»), según los datos facilitados en el registro.
Encargado del tratamiento: Nydrok LLC, 1209 Mountain Road Pl NE, Ste R, Albuquerque, NM 87110, EE. UU., EIN 36-5152970. Representante en la UE conforme al art. 27 del RGPD: Matúš Mikčo, Duplín 119, 091 01 Stropkov, República Eslovaca, matus@portican.com.
2. Objeto, naturaleza y finalidad
El encargado trata los datos personales de los clientes del cliente exclusivamente para operar la tienda Portican del cliente: mostrar la tienda, recibir y gestionar pedidos, cuentas de cliente, comunicación con los clientes, envíos, documentos, copias de seguridad, soporte y el asistente de la administración. Solo trata datos en la medida de las funciones que el cliente haya activado.
3. Alcance
| Interesados | clientes y clientes potenciales de la tienda del cliente, destinatarios de los envíos, personal de la tienda y socios con acceso a la administración |
|---|---|
| Categorías de datos | nombre, datos de contacto, direcciones de facturación y de entrega, pedidos, estado de los pagos (sin datos de tarjetas de pago), comunicaciones, datos de acceso y datos técnicos |
| Categorías especiales (art. 9) | el cliente no las introduce en la tienda; si necesita tratarlas (por ejemplo, con un surtido de productos sanitarios), lo comunicará de antemano y las partes acordarán medidas adicionales |
| Duración | mientras dure el contrato y durante los plazos de la cláusula 11 de las condiciones del servicio |
4. Derechos y obligaciones del cliente
El cliente responde de la licitud del tratamiento y de las instrucciones que da. Tiene derecho a dar instrucciones, a supervisar el cumplimiento de este contrato y a oponerse a la incorporación de subencargados conforme al artículo 6.
5. Obligaciones del encargado
El encargado:
- trata los datos únicamente siguiendo instrucciones documentadas del cliente, también en lo relativo a las transferencias a un tercer país, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros; en tal caso, informará al cliente de esa exigencia legal antes del tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. Son instrucciones estas condiciones, la configuración de la tienda y las instrucciones escritas del cliente. Si considera que una instrucción infringe la ley, lo advertirá al cliente sin demora;
- obliga a la confidencialidad a toda persona que tenga acceso a los datos;
- adopta las medidas técnicas y organizativas del anexo 1;
- incorpora subencargados solo conforme al artículo 6;
- ayuda al cliente a cumplir sus obligaciones frente a los interesados conforme al capítulo III del RGPD (acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición) mediante las funciones de la administración y la exportación;
- ayuda al cliente en materia de seguridad, notificación de violaciones de la seguridad de los datos, evaluación de impacto y consulta previa;
- notifica al cliente cualquier violación de la seguridad de los datos personales sin dilación indebida, a más tardar 48 horas después de tener conocimiento de ella, con la información de que disponga;
- al terminar el contrato, a elección del cliente, suprime los datos o se los devuelve mediante exportación y después los suprime, incluidas las copias existentes. Los plazos figuran en la cláusula 11 de las condiciones del servicio: tras el fin del contrato el cliente tiene 90 días de acceso a la administración con posibilidad de exportar; después los datos se conservan otros 90 días sin acceso del cliente y luego se suprimen. Los datos de las copias de seguridad desaparecen a más tardar 90 días después de la supresión. La supresión no afecta a los datos que el encargado deba conservar en virtud del Derecho de la Unión o de los Estados miembros, en particular documentos y registros contables;
- pone a disposición del cliente la información necesaria para demostrar el cumplimiento y permite auditorías, incluidas inspecciones. La auditoría puede realizarla el cliente o un auditor designado por él y sujeto a confidencialidad. Se realiza primero mediante un cuestionario por escrito; una inspección in situ la anunciará el cliente con al menos 30 días de antelación y la costeará él mismo si no revela ningún incumplimiento.
6. Subencargados del tratamiento
El cliente otorga una autorización general para la incorporación de los subencargados indicados en el anexo 2. El encargado informará al cliente por correo electrónico, con al menos 30 días de antelación, de su intención de añadir o sustituir un subencargado. Esto se aplica también a un nuevo proveedor de modelo de lenguaje para el asistente y las demás herramientas de la administración. El cliente puede oponerse en un plazo de 14 días; si las partes no llegan a un acuerdo, el cliente puede resolver el contrato sin penalización con efecto en la fecha del cambio.
Nydrok LLC está obligada a celebrar con cada subencargado al que facilite datos personales de los clientes del cliente un contrato que le imponga las mismas obligaciones de protección de datos en los términos del art. 28, apartado 4, del RGPD, y responde ante el cliente de su cumplimiento. Las herramientas de fal.ai indicadas en el anexo 2 no están destinadas al tratamiento de datos personales de clientes.
7. Transferencias fuera de la Unión Europea
El servidor y la base de datos de las tiendas están en la Unión Europea (netcup, Viena, Austria). Las imágenes, los archivos privados, las exportaciones y las copias de seguridad externas los almacena Cloudflare en el almacenamiento R2 (anexo 2). El encargado tiene su sede en EE. UU. y el administrador de la plataforma accede al servicio en remoto también desde países fuera del EEE (anexo 2). Se trata, por tanto, de una transferencia de datos a un tercer país.
- A la transferencia del cliente al encargado se aplican las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, módulo dos (de responsable a encargado), como garantía adecuada conforme al art. 46, apartado 2, letra c), del RGPD. El cliente es el exportador de datos y Nydrok LLC el importador de datos y encargado. Las cláusulas se incorporan a este contrato por remisión con las siguientes opciones: se aplica la cláusula 7 (cláusula de incorporación); cláusula 9, letra a), opción 2 (autorización general, aviso con 30 días de antelación); cláusula 11 sin organismo independiente de resolución de litigios; cláusula 13: es competente la autoridad de control del Estado miembro en el que esté establecido el cliente (anexo I.C); cláusula 17, opción 1, Derecho de la República Eslovaca; cláusula 18, tribunales de la República Eslovaca. Los anexos de las cláusulas los constituyen los artículos 1 a 3 y los anexos 1 y 2 de este contrato.
- La transferencia a subencargados fuera del EEE la garantiza Nydrok LLC mediante la certificación del proveedor en el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795 de la Comisión), mediante cláusulas contractuales tipo en el contrato con el proveedor o mediante una decisión de adecuación de la Comisión relativa al país del proveedor.
- Si las cláusulas, el marco o la decisión de adecuación dejaran de ser válidos, el encargado pasará sin demora a otro instrumento conforme al capítulo V del RGPD e informará de ello al cliente.
8. Ley aplicable
Este contrato se rige por el Derecho de la República Eslovaca. Los litigios los resuelven los tribunales de la República Eslovaca.
Anexo 1: Medidas técnicas y organizativas
| Ámbito | Medida |
|---|---|
| Ubicación | servidor y base de datos de las tiendas en netcup GmbH en Viena (Austria); imágenes, archivos privados, exportaciones y copias de seguridad externas en el almacenamiento Cloudflare R2 |
| Transmisión | conexión cifrada HTTPS, protección frente a ataques a través de Cloudflare |
| Copias de seguridad | copia cada noche, verificada mediante restauración en una base de datos temporal; en el servidor, 7 copias diarias y 4 semanales; copia fuera del servidor en Cloudflare R2, donde se conserva 90 días |
| Secretos de integraciones | cifrado AES-256-GCM, enmascarados en la administración |
| Separación de tiendas | cada tienda tiene su propio canal y sus propios permisos; exportación y supresión solo para esa tienda |
| Acceso | nombre y contraseña; autenticación de dos factores (TOTP con códigos de respaldo) obligatoria para los administradores de la plataforma, y para el personal de la tienda opcional o impuesta por la tienda |
| Asistente de la administración | el modelo de lenguaje solo recibe datos personales de un cliente de la tienda tras el consentimiento expreso del personal; el consentimiento se registra y vale solo para quien lo dio y para el lugar de tratamiento comunicado (dentro o fuera de la UE); como máximo 20 comunicaciones de datos por conversación |
| Supresión | la supresión de una tienda la inicia manualmente el administrador de la plataforma una vez transcurridos los plazos, con confirmación escribiendo el identificador de la tienda; los documentos y registros contables se conservan durante el plazo que exige la normativa |
| Registros del servidor | registros de acceso de las tiendas, como máximo 7 días |
| Tarjetas de pago | los datos de las tarjetas solo los trata Stripe; Portican no los tiene |
Anexo 2: Subencargados y países de acceso
| Subencargado | Actividad | Lugar de tratamiento | Instrumento de transferencia |
|---|---|---|---|
| netcup GmbH, Karlsruhe, Alemania | servidor, base de datos, copias de seguridad en el servidor | UE, Viena (Austria) | no es necesario |
| Cloudflare, Inc., EE. UU. | entrega del sitio web, protección frente a ataques, almacenamiento R2 (imágenes, archivos privados, exportaciones de tiendas, copias de seguridad externas) | red mundial; almacenamiento R2 según la jurisdicción configurada en los buckets | art. 7, punto 2 |
| Mailgun Technologies, Inc., región europea | envío de correos de las tiendas (proveedor predeterminado) | UE | art. 7, punto 2 |
| Amazon Web Services, Inc. (Amazon SES) | envío de correo de respaldo cuando Mailgun falla, o principal si el administrador de la plataforma lo cambia | región según la configuración, por defecto UE (Fráncfort) | art. 7, punto 2 |
| OpenAI OpCo, LLC, EE. UU. | asistente de la administración: conversación con el personal, imágenes y archivos que el personal adjunte y, tras su consentimiento expreso, también el nombre, el correo, el teléfono y la dirección del cliente de un pedido concreto; redacción y traducción de contenidos (blog, fichas de producto, traducciones del catálogo); lectura de imágenes de productos; voz del podcast a partir de texto | EE. UU. | art. 7, punto 2 |
| Features & Labels Inc. (fal.ai), EE. UU. | generación y edición de imágenes de productos y de anuncios, voz del podcast a partir de texto | EE. UU. y otros países | las herramientas no están destinadas a datos personales (véase más abajo) |
| OpenStreetMap Foundation (servicio Nominatim), Reino Unido | conversión de la dirección que el cliente introduce en la tienda en una ubicación para calcular el precio del envío según la distancia; solo si la tienda configura esta función | Reino Unido | decisión de adecuación de la Comisión |
Stripe no figura aquí: los pagos de los clientes de la tienda los recibe el comerciante a través de su propia cuenta de Stripe (el pago se crea con la clave de la tienda en su cuenta), de modo que Stripe es la contraparte contractual del comerciante, no un subencargado de Nydrok LLC. Nydrok LLC usa Stripe solo para los pagos de la suscripción y para el pago de comisiones a los socios (Stripe Connect), lo que no afecta a los datos de los clientes de las tiendas.
OpenAI y fal.ai. Tratan datos solo cuando el personal de la tienda usa la herramienta correspondiente. Solo el modelo de lenguaje del asistente puede recibir datos personales de clientes, y únicamente tras el consentimiento expreso del personal. El asistente informa primero al personal de que los datos irán al servidor del modelo de lenguaje y de si este está dentro o fuera de la UE. Solo tras el consentimiento puede enviar al modelo el nombre, el correo, el teléfono y la dirección del cliente de un pedido concreto. El consentimiento se registra (quién y cuándo consintió, el lugar de tratamiento, qué datos y de qué pedido) y vale solo para quien lo dio y solo para el lugar de tratamiento comunicado; si el lugar cambia, se vuelve a preguntar. En una conversación, el asistente comunica datos de clientes como máximo 20 veces. Las herramientas de fal.ai están destinadas a fotos de productos e imágenes de anuncios; el personal no debe introducir en ellas datos de clientes ni fotos de personas.
Países de acceso remoto del administrador: EE. UU. (sede de Nydrok LLC) y otros países fuera del EEE desde los que el administrador de la plataforma accede temporalmente en remoto. Nydrok LLC lleva su lista actualizada en el registro de las actividades de tratamiento y la facilita al cliente antes de iniciar el acceso y con cada cambio. Para estos países, Nydrok LLC elaborará una evaluación escrita del impacto de la transferencia conforme a la cláusula 14.