Acuerdo de tratamiento de datos

Versión: [VERSIÓN Y FECHA]

1. Partes y ámbito

Este acuerdo vincula al cliente identificado en la contratación de ProfitRocket, en adelante «Cliente», y a [RAZÓN SOCIAL], NIF [NIF], domicilio [DOMICILIO], en adelante «ProfitRocket».

El Cliente actúa como responsable del tratamiento de los datos personales de sus tiendas o, si trata datos por cuenta de otro responsable, como encargado con autorización suficiente para contratar a ProfitRocket. ProfitRocket actúa respectivamente como encargado o subencargado respecto a las operaciones descritas en el anexo I.

Los tratamientos propios de ProfitRocket relativos a la cuenta, facturación y relación comercial se describen en su Política de privacidad y no se confunden con los tratamientos realizados por cuenta del Cliente.

2. Objeto y duración

El objeto es permitir la prestación del servicio de análisis de rentabilidad contratado: recepción y organización de datos autorizados, cálculo de indicadores, presentación de informes y las operaciones del anexo I. No autoriza finalidades independientes de publicidad, comercialización de datos de compradores o entrenamiento de modelos generales.

El acuerdo se aplica mientras ProfitRocket trate datos por cuenta del Cliente, incluyendo las operaciones de devolución, supresión y conservación restringida que procedan al terminar el servicio. No se extinguen por la cancelación de un plan las obligaciones que deban subsistir sobre datos aún conservados.

3. Instrucciones del Cliente

ProfitRocket tratará los datos conforme a instrucciones documentadas: este acuerdo, las funciones activadas por personas autorizadas y otras instrucciones compatibles con el contrato y la legislación aplicable. Las instrucciones adicionales se comunicarán mediante [CANAL VERIFICADO] y quedarán registradas.

Si una instrucción parece contraria a la normativa de protección de datos, ProfitRocket lo comunicará al Cliente y podrá suspender la operación afectada mientras se resuelve la incidencia, preservando los datos. Si una obligación legal exige un tratamiento distinto, informará previamente al Cliente, salvo prohibición legal.

4. Obligaciones del Cliente

El Cliente determina la legitimación y finalidad del tratamiento original, facilita la información necesaria a los interesados y limita lo que conecta o importa a datos adecuados para el servicio. Mantiene la exactitud de sus instrucciones y las autorizaciones para acceder a fuentes de terceros.

No debe incorporar categorías especiales de datos ni datos de condenas o infracciones salvo que se acuerde expresamente su tratamiento, exista base legal y se adopten las garantías necesarias. Si utiliza ProfitRocket como encargado de otro responsable, deberá acreditar las autorizaciones y transmitir las instrucciones pertinentes.

Estas obligaciones no exoneran a ProfitRocket de las que le correspondan por su propio papel y actuación.

5. Confidencialidad y acceso

ProfitRocket limitará el acceso a personas que lo necesiten para las funciones autorizadas. Estas estarán sujetas a confidencialidad y recibirán instrucciones adecuadas. Se gestionarán la concesión, revisión y retirada de accesos, manteniendo la confidencialidad tras finalizar la relación de las personas autorizadas.

El acceso de soporte a datos de una tienda se limitará a lo necesario para la incidencia y quedará sujeto al mecanismo de autorización y registro descrito en el anexo III.

6. Seguridad

ProfitRocket aplicará medidas técnicas y organizativas adecuadas al riesgo, concretadas en el anexo III. Considerará la confidencialidad, integridad, disponibilidad y recuperación de los datos, así como la evaluación de la eficacia de esas medidas.

Los cambios técnicos no podrán reducir injustificadamente la protección acordada. Las partes cooperarán cuando una modificación de las fuentes, datos o finalidades exija revisar los riesgos y medidas. No se atribuyen a ProfitRocket certificaciones o garantías técnicas que no estén identificadas y acreditadas en los anexos.

7. Subencargados

El Cliente autoriza de forma general y escrita los subencargados identificados en el anexo II para sus funciones indicadas. No se entenderán autorizados proveedores no identificados por el mero uso de expresiones genéricas como «servicios en la nube».

ProfitRocket comunicará las incorporaciones o sustituciones previstas con treinta días de antelación, indicando entidad, función, ubicación y datos afectados. El Cliente podrá oponerse durante ese plazo por motivos fundados de protección de datos. Las partes intentarán una alternativa adecuada; si no existe, se acordará la terminación ordenada de la parte afectada, la devolución o supresión y el ajuste de importes anticipados por servicios no prestados.

ProfitRocket impondrá al subencargado obligaciones de protección equivalentes a las que resulten aplicables y mantendrá frente al Cliente la responsabilidad correspondiente por el cumplimiento de esas obligaciones. Los roles independientes de ciertos proveedores deben documentarse aparte y no presentarse como subencargo cuando no lo sean.

8. Transferencias internacionales

Las transferencias y accesos desde fuera del EEE deben estar identificados en el anexo II, amparados por instrucciones y por un mecanismo válido cuando sea necesario. Se documentarán las garantías, evaluaciones y medidas complementarias que correspondan.

Este acuerdo no incorpora por sí solo cláusulas contractuales tipo ni acredita una decisión de adecuación o adhesión de un proveedor. Los instrumentos pertinentes se identificarán y facilitarán conforme a su régimen aplicable. Las solicitudes de autoridades se gestionarán de acuerdo con la ley y se comunicarán al Cliente cuando no esté legalmente prohibido.

9. Solicitudes de derechos

ProfitRocket asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento, para atender las solicitudes de los interesados. Si recibe una solicitud relativa a datos tratados por cuenta del Cliente, la trasladará sin dilación indebida al contacto designado y no responderá sustantivamente en su nombre sin instrucciones, salvo obligación legal.

Las herramientas o procedimientos disponibles para localizar, exportar, rectificar, limitar o suprimir registros se describen en el anexo III. La asistencia debe permitir cumplir los plazos aplicables, sin establecer esperas internas que los impidan.

10. Incidentes de datos personales

ProfitRocket notificará al Cliente, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad de los datos personales tratados por su cuenta. El canal operativo será el indicado en el anexo I.

La comunicación incluirá la información disponible sobre naturaleza, datos y personas potencialmente afectados, consecuencias, medidas adoptadas y contacto de seguimiento. Podrá completarse por fases conforme avance la investigación. Se conservarán los registros necesarios y se colaborará en la contención y las notificaciones que correspondan al responsable.

ProfitRocket no esperará a disponer de un informe final para dar el primer aviso ni asumirá, por esta cláusula, la función de notificar en nombre del Cliente sin instrucciones o una obligación legal propia.

11. Asistencia, comprobación y auditoría

ProfitRocket facilitará la información necesaria para demostrar el cumplimiento de este acuerdo y permitirá auditorías e inspecciones del Cliente o de un auditor autorizado, con medidas de confidencialidad y protección de otros clientes.

Las comprobaciones ordinarias podrán coordinarse con un preaviso razonable. Esa coordinación no debe impedir actuaciones urgentes por incidentes, obligaciones legales o requerimientos de autoridad. Podrán emplearse informes independientes cuando resulten suficientes, sin eliminar el derecho a comprobaciones adicionales justificadas.

Prestará asistencia razonable para evaluaciones de impacto y consultas previas teniendo en cuenta el tratamiento y la información a su disposición. Los acuerdos de costes de asistencia adicional no pueden vaciar las obligaciones legales ni bloquear actuaciones urgentes necesarias.

12. Devolución y supresión

Al finalizar el tratamiento, el Cliente podrá elegir la devolución o la supresión, con eliminación de copias, salvo conservación exigida por la ley. El formato de devolución, plazos y tratamiento de copias de seguridad se fijan en el anexo IV.

Si una obligación exige conservar determinados datos, estos se identificarán y permanecerán restringidos a esa finalidad. Los datos que se mantengan temporalmente en copias de seguridad no se usarán para otras finalidades, seguirán protegidos y se eliminarán en el ciclo acordado. Una restauración deberá respetar las supresiones ya solicitadas.

13. Vigencia y prevalencia

Este acuerdo prevalece sobre los términos generales en lo relativo al tratamiento por cuenta del Cliente, sin desplazar instrumentos de transferencia que deban prevalecer en su ámbito. Se rige por la legislación aplicable al contrato, respetando las disposiciones imperativas de protección de datos.

La aceptación y versión aplicable se vincularán al Cliente por [MECANISMO DE FIRMA O ACEPTACIÓN DOCUMENTADA]. Una publicación web no permite modificar unilateralmente las instrucciones o garantías contractuales vigentes.

Anexo I. Tratamiento e interlocutores

Elemento	Alcance a completar y validar
Servicio	Análisis de rentabilidad de las tiendas autorizadas del Cliente.
Interesados	Compradores y otros interesados cuyos datos se incluyan legítimamente en las fuentes; [CONCRETAR Y ELIMINAR CATEGORÍAS NO NECESARIAS].
Datos	Identificadores de pedido, fechas, productos, importes, país de destino y otros campos efectivamente recibidos; [INVENTARIO EXACTO, INCLUYENDO CONTACTOS/DIRECCIONES SOLO SI SE TRATAN].
Datos sensibles	No previstos en el alcance estándar. [DOCUMENTAR CUALQUIER EXCEPCIÓN ACORDADA].
Operaciones	Recogida autorizada, almacenamiento, organización, consulta, cálculo, exportación y supresión; [CONCRETAR OTRAS OPERACIONES REALES].
Duración	Contrato y fase final de devolución/supresión del anexo IV.
Contacto del Cliente	[IDENTIDAD Y EMAIL DEL CONTACTO AUTORIZADO].
Contacto de ProfitRocket	[EMAIL OPERATIVO PARA PRIVACIDAD E INCIDENTES].

Un identificador de pedido o información seudonimizada puede seguir siendo dato personal. No debe declararse anónimo sin comprobarlo.

Anexo II. Subencargados y ubicaciones

Entidad legal	Servicio concreto	Datos afectados	País de almacenamiento y accesos	Transferencia y garantía	Fecha de autorización
[COMPLETAR]	[COMPLETAR]	[COMPLETAR]	[COMPLETAR]	[COMPLETAR O JUSTIFICAR QUE NO APLICA]	[COMPLETAR]

Anexo III. Medidas y asistencia

Completar con medidas implantadas y evidencia disponible. Esta tabla no afirma que se hayan desplegado todavía.

Área	Medida y alcance verificados
Control de acceso	[ROLES, AUTORIZACIÓN EN SERVIDOR, REVISIÓN Y RETIRADA DE ACCESOS].
Separación de clientes y tiendas	[CONTROLES Y PRUEBAS DE AISLAMIENTO].
Protección de comunicaciones y almacenamiento	[MECANISMOS REALES, ALCANCE Y GESTIÓN DE CLAVES].
Credenciales de integraciones	[ALMACENAMIENTO, ACCESO, ROTACIÓN Y REVOCACIÓN].
Soporte	[AUTORIZACIÓN Y REGISTRO DE ACCESO A DATOS].
Registro e incidentes	[DETECCIÓN, TRIAJE, CANAL Y PROCEDIMIENTO].
Copias y recuperación	[FRECUENCIA, UBICACIÓN, CICLO Y COMPROBACIONES DE RESTAURACIÓN].
Cambios y vulnerabilidades	[ACTUALIZACIONES, REVISIÓN Y CORRECCIÓN].
Derechos	[PROCEDIMIENTO DE LOCALIZACIÓN, EXPORTACIÓN, RECTIFICACIÓN Y SUPRESIÓN].

Anexo IV. Final del tratamiento

• Solicitud y verificación del contacto autorizado: [PROCEDIMIENTO].
• Formato y canal seguro de devolución: [FORMATO Y CANAL].
• Plazo para devolución y para eliminación operativa: [PLAZOS CONCRETOS].
• Copias de seguridad y prevención de reaparición de datos: [CICLO Y MECANISMO].
• Datos que se conservan por obligación legal y finalidad: [IDENTIFICAR].
• Confirmación de finalización: [PROCEDIMIENTO].