Preámbulo
Este Acuerdo de tratamiento de datos («DPA») complementa las Condiciones del servicio de GMC Guardian y se aplica a los comerciantes que utilizan GMC Guardian cuyos clientes finales se encuentran en el Espacio Económico Europeo, el Reino Unido o Suiza.
1. Definiciones
- Responsable del tratamiento: usted (el comerciante), que determina los fines y medios del tratamiento de los datos personales.
- Encargado del tratamiento: GMC Guardian, que trata los datos personales en su nombre. La identificación corporativa completa de la entidad operadora está disponible bajo solicitud a [email protected].
- Datos personales: cualquier dato relativo a una persona física identificada o identificable, conforme a la definición del artículo 4 del RGPD.
2. Objeto y duración
El Encargado trata datos personales únicamente de los comerciantes - no de los clientes finales del comerciante - para entregar el servicio GMC Guardian durante la vigencia de la suscripción del Responsable.
3. Naturaleza y finalidad del tratamiento
Las operaciones de tratamiento incluyen: almacenamiento de tokens de autenticación, ejecución de análisis, generación de paquetes de pruebas, propuestas de corrección de feed mediante IA, notificaciones por correo electrónico y registro de auditoría - estrictamente limitadas a lo necesario para entregar el servicio contratado.
4. Categorías de interesados y de datos personales
Interesados: el comerciante (propietario de la tienda) y los usuarios de agencia autorizados.
Categorías de datos personales: identidad empresarial (nombre, correo electrónico, dirección, teléfono), tokens de autenticación (cifrados), resultados de análisis, entradas del registro de auditoría (IP, user agent, acción, marca de tiempo).
El Encargado no trata datos personales de los clientes finales del comerciante (compradores).
5. Subencargados
El Responsable autoriza el uso de los subencargados listados en /confianza. El Encargado actualizará esa lista antes de que un nuevo subencargado comience a tratar los datos. El Responsable puede oponerse por motivos legítimos, en cuyo caso el Encargado ofrecerá una alternativa comercialmente razonable o, en su defecto, permitirá la resolución del servicio afectado.
6. Transferencias internacionales
Cuando los datos personales se transfieran fuera del EEE, el Encargado se basa en las Cláusulas Contractuales Tipo (CCT) o en el Marco de Protección de Datos UE-EE. UU. cuando proceda.
7. Medidas de seguridad
El Encargado implementa medidas técnicas y organizativas apropiadas, entre ellas:
- Cifrado en reposo de todos los tokens de autenticación (libsodium AEAD)
- TLS 1.3 en tránsito
- Registro de auditoría append-only
- Control de acceso con separación de roles (operador / admin / comerciante)
- Auditorías de seguridad periódicas y análisis de dependencias
- Procedimientos de respuesta a incidentes con compromiso de notificación de brechas en 72 horas
8. Derechos de los interesados
El Encargado asistirá al Responsable en la tramitación de solicitudes de derechos de los interesados (acceso, rectificación, supresión, portabilidad, limitación, oposición) en un plazo de 14 días desde la recepción.
9. Auditorías
El Responsable podrá, a su costa y con 30 días de aviso, auditar el cumplimiento de este DPA por parte del Encargado - mediante cuestionario remoto, mediante revisión de certificaciones independientes de terceros (SOC 2 Type II, cuando se obtenga), o mediante visita in situ cuando esté justificado.
10. Notificación de brechas
El Encargado notificará al Responsable cualquier brecha de datos personales sin demora indebida y, en cualquier caso, en un plazo de 72 horas desde que tenga conocimiento, proporcionando toda la información necesaria para que el Responsable cumpla sus propias obligaciones de notificación conforme al artículo 33 del RGPD.
11. Devolución o eliminación
Al término del contrato, el Encargado eliminará o devolverá todos los datos personales en un plazo de 30 días, salvo cuando la conservación venga exigida por ley (por ejemplo, obligaciones de conservación del registro de auditoría).
12. Responsabilidad
Este DPA se rige por las cláusulas de responsabilidad de las Condiciones del servicio de GMC Guardian.
13. Contacto
Para consultas sobre protección de datos, escriba a [email protected].