Anexo de Tratamiento de Datos

1. Objeto y roles

El comerciante es el responsable y ShopiDeck es el encargado respecto de los datos personales tratados mediante la cuenta de Klaviyo autorizada por el comerciante y sus instrucciones documentadas. Este DPA describe el tratamiento necesario para prestar el servicio, incluidos la auditoría de perfiles, el scoring, los resultados, la supresión confirmada por el comerciante, el historial de auditorías y la asistencia con solicitudes de privacidad.

2. Duración

Este DPA comienza cuando el comerciante acepta los Términos o usa el servicio y continúa mientras ShopiDeck trate datos personales para el comerciante. Termina cuando finaliza ese tratamiento, sujeto a las conservaciones exigidas por ley, seguridad, controversias o flujos documentados de eliminación.

3. Instrucciones

ShopiDeck trata datos personales únicamente siguiendo las instrucciones documentadas del comerciante, los Términos, la Política de Privacidad y la configuración y acciones que el comerciante realice en la app. El comerciante debe asegurar que sus instrucciones sean lícitas y que tiene autoridad para conectar Klaviyo y proporcionar los datos.

4. Categorías de datos

• Klaviyo Account ID, scopes y tokens de acceso y refresh OAuth cifrados.
• Profile ID, email, nombre, teléfono, ciudad, país, IP cuando esté disponible, fechas de creación y actualización, dominio del email y estado de suscripción de marketing.
• Patrones normalizados de detección, score de riesgo, nivel de riesgo, razones, resultados de supresión, historial de auditorías e historial de supresiones.
• Identificadores de la tienda Shopify, información de sesión y cuenta, plan y uso, solicitudes de soporte y registros técnicos limitados necesarios para el servicio.

5. Categorías de titulares

• Clientes y contactos representados por perfiles de Klaviyo.
• Propietarios, administradores y usuarios autorizados del comerciante.
• Personas cuya información aparece en registros de soporte, privacidad, seguridad u operación.

6. Confidencialidad

ShopiDeck limitará el acceso a datos personales a las personas y proveedores que necesiten tratarlos para prestar, proteger, soportar u operar el servicio y que estén sujetos a obligaciones de confidencialidad o deber legal apropiado.

7. Seguridad

ShopiDeck aplica las medidas técnicas y organizativas descritas en la Política de Privacidad, incluidos tokens de Klaviyo cifrados, HTTPS, secretos en el servidor, rutas autenticadas, verificación de webhooks, validación de backend, comprobaciones de propiedad, confirmación del comerciante antes de la supresión, límites en backend y solicitudes de privacidad cifradas. Ninguna medida garantiza seguridad absoluta.

8. Subencargados

El comerciante autoriza los subencargados listados en la página pública de subencargados: Shopify, Klaviyo, Supabase, Vercel y Resend. ShopiDeck los utilizará para las finalidades descritas allí y mantendrá la lista actualizada cuando cambie el servicio.

• Ver la lista de subencargados

9. Transferencias internacionales

El tratamiento puede ocurrir en Estados Unidos y otros países donde operen los proveedores listados. Supabase utiliza la región US East y Vercel procesa en Estados Unidos. ShopiDeck utiliza contratos y salvaguardas de los proveedores cuando corresponde. El comerciante puede solicitar información adicional sobre salvaguardas escribiendo a team@shopideck.com.

10. Asistencia con derechos

ShopiDeck asiste al comerciante con solicitudes documentadas de privacidad recibidas mediante Shopify y con los webhooks implementados de solicitud y redacción de datos de clientes. El comerciante sigue siendo responsable de responder a sus clientes y decidir si una solicitud es válida y cómo debe atenderse.

11. Incidentes

ShopiDeck investiga incidentes de seguridad sospechados y notifica al comerciante cuando la ley lo exige o cuando resulte apropiado para el incidente. El comerciante debe reportar rápidamente credenciales comprometidas o acceso no autorizado sospechado a team@shopideck.com y no enviar secretos por email.

12. Auditorías e información

ShopiDeck pondrá a disposición la información de la Política de Privacidad, este DPA y la lista pública de subencargados para ayudar al comerciante a evaluar el tratamiento. Cualquier solicitud adicional de auditoría o información debe ser proporcional al servicio, proteger la información confidencial y enviarse a team@shopideck.com.

13. Eliminación o devolución

Al desconectar Klaviyo, se eliminan los tokens OAuth y la conexión, mientras puede permanecer el historial conservado. Durante la desinstalación, eliminación de cuenta y shop/redact, ShopiDeck sigue los flujos de eliminación implementados. Los registros locales se eliminan según los periodos y flujos de la Política de Privacidad. Shopify y Klaviyo pueden conservar datos de forma independiente.

14. Obligaciones del comerciante

• Mantener una base jurídica y avisos apropiados para los datos de clientes.
• Dar instrucciones lícitas y documentadas.
• Tener autoridad sobre las cuentas de Shopify y Klaviyo.
• Revisar y confirmar las supresiones.
• Atender solicitudes y reclamos de titulares como responsable.
• No enviar datos sensibles, credenciales, API keys ni contraseñas mediante el servicio o canales de soporte de forma inapropiada.

15. Medidas técnicas y organizativas

Las medidas del servicio incluyen control de acceso mediante autenticación de Shopify, rutas protegidas, tokens OAuth cifrados, HTTPS, gestión de secretos en servidor, verificación de webhooks, validación de backend, verificación de propiedad para acciones críticas, límites de uso en backend, confirmación de supresiones y exportaciones de solicitudes de privacidad cifradas. Estas medidas pueden actualizarse a medida que evolucione el servicio sin reducir las obligaciones de las partes bajo la ley aplicable.

16. Contacto

Para este DPA, escribe a team@shopideck.com o usa la dirección Cra. 79A # 6-04, Bogotá D.C., Colombia.