# Anexo de tratamiento de datos Última actualización: 26 de abril de 2026 Esta es una traducción para tu comodidad. La [versión en inglés](https://v3.shoprocket.io/gdpr.md) es la versión legalmente vinculante y prevalece si ambas difieren. Este Anexo de tratamiento de datos de Shoprocket (el "Anexo") modifica los Términos y condiciones de Shoprocket (el "Acuerdo") entre tú ("Tú") y **Shoprocket LTD** (n.º de empresa 12656598, registrada en Inglaterra y Gales en 20-22 Wenlock Road, Londres, NG 17U). Si tienes un SLA aparte con Shoprocket, las referencias al Acuerdo se entienden hechas a ese SLA. Este Anexo está sujeto al Acuerdo y se incorpora a él. Todo término en mayúscula inicial que no se defina aquí tiene el significado que se le da en el Acuerdo. --- ## Definiciones - **Ajustes de la cuenta**: configuraciones de tu Cuenta de Shoprocket (incluida la seguridad) que te permiten gestionar cómo trata Shoprocket los Datos personales. - **Fines comerciales**: los Servicios definidos en el Acuerdo. - **Datos de la cuenta del cliente**: Datos personales sobre tu relación con Shoprocket (por ejemplo, contactos autorizados, datos de facturación), además de la información que Shoprocket recopila para la gestión de la cuenta, las comprobaciones de identidad o los requisitos legales. - **Datos de uso del cliente**: datos de uso tratados por Shoprocket en relación con tu uso de los Servicios (por ejemplo, registros, métricas de rendimiento, datos de prevención de abusos). - **Legislación de protección de datos**: incluye la CCPA, el RGPD de la UE, la Ley Federal suiza de Protección de Datos, el RGPD del Reino Unido, la DPA 2018 y la PECR 2003, cada una según su última actualización. Los términos (por ejemplo, "Responsable del tratamiento", "Encargado del tratamiento") siguen el RGPD de la UE. - **EEE**: Espacio Económico Europeo. - **CCT de la UE**: las Cláusulas Contractuales Tipo conforme a la Decisión de la Comisión 2021/914. - **Transferencia fuera del EEE**: una transferencia de Datos personales (conforme al RGPD de la UE) fuera del EEE sin una decisión de adecuación en virtud del artículo 45 del RGPD de la UE. - **Transferencia fuera del Reino Unido**: una transferencia de Datos personales (conforme al RGPD del Reino Unido) fuera del Reino Unido sin una decisión de adecuación del Secretario de Estado del Reino Unido. - **Proveedor de servicios**: según la definición de la CCPA. - **Servicios**: las herramientas de Shoprocket para crear y gestionar tiendas online ("Tienda de Shoprocket"), gestionar productos, pagos, envíos, marketing y cualquier herramienta o servicio que Shoprocket pueda ofrecer. - **Cuenta de Shoprocket**: tu cuenta que da acceso a los Servicios, incluidos los Ajustes de la cuenta, en [https://www.shoprocket.io](https://www.shoprocket.io). - **Política de privacidad de Shoprocket**: el aviso disponible en [https://shoprocket.io/privacy](https://shoprocket.io/privacy), según su última actualización. - **Tienda de Shoprocket**: tu sitio de comercio electrónico alojado o facilitado por Shoprocket. - **Datos de categorías especiales**: según la definición de los artículos 4(13), 4(14), 4(15) y 9 del RGPD de la UE/del Reino Unido (según corresponda). - **Cláusulas Contractuales Tipo (CCT)**: las CCT de la UE y las CCT del Reino Unido, según proceda. - **CCT del Reino Unido**: las CCT de la UE modificadas por el Anexo IDTA de la ICO del Reino Unido. - **Nosotros/Nos/Nuestro**: Shoprocket LTD (incluidos "Shoprocket" y "Shoprocket.io"). - **Tú/Tu**: la parte contratante nombrada en el Acuerdo. --- ## Instrucciones del cliente Este Anexo y el Acuerdo (incluidas las instrucciones de tus Ajustes de la cuenta) constituyen las **Instrucciones documentadas** sobre cómo trata Shoprocket los Datos personales. Shoprocket solo tratará los Datos personales conforme a las instrucciones. Cualquier instrucción adicional al margen de estos términos requiere un acuerdo previo por escrito (y puede conllevar tarifas adicionales). Shoprocket puede rescindir este Anexo y el Acuerdo si tus instrucciones contravienen la Legislación de protección de datos o se desvían de las instrucciones acordadas. Dada la naturaleza del tratamiento, Shoprocket por lo general no puede juzgar si tus instrucciones infringen la ley; si llega a formarse esa opinión, te lo comunicará y podrás modificar o retirar las instrucciones. --- ## Tratamiento de datos 1. **Tratamiento por parte de Shoprocket** - **Encargado del tratamiento/Proveedor de servicios**: salvo los Datos de la cuenta del cliente y los Datos de uso del cliente, Shoprocket trata los Datos personales (conforme al RGPD de la UE/del Reino Unido) o la información personal (conforme a la CCPA) por cuenta tuya. - **Responsable del tratamiento independiente**: Shoprocket es Responsable del tratamiento de los Datos personales recopilados directamente de los clientes de la Tienda y de los Datos de la cuenta del cliente o los Datos de uso del cliente. 2. **Almacenamiento** - Los Datos personales se almacenan en: 1. servidores de AWS en Irlanda (u otras regiones del EEE), 2. servidores de Hetzner en Núremberg/Falkenstein (Alemania). 3. **Alcance y finalidad** - Shoprocket solo trata los Datos personales en la medida necesaria para los Fines comerciales que especifiques (acordes con los Servicios contratados) y de conformidad con la Legislación de protección de datos. - Si la ley exige un tratamiento distinto, Shoprocket te lo notificará, salvo que la ley lo prohíba. - Shoprocket sigue sin demora tus instrucciones por escrito para modificar, transferir o eliminar Datos personales, o para detener un tratamiento no autorizado. - Shoprocket mantiene la confidencialidad de los Datos personales, salvo que su divulgación esté autorizada o sea exigida por ley. - Shoprocket te ayuda a cumplir tus obligaciones (por ejemplo, las solicitudes de los interesados y las evaluaciones de impacto) sin coste adicional. - Shoprocket te notifica los cambios legales que puedan afectar al Acuerdo o a este Anexo. 4. **Shoprocket como Responsable del tratamiento independiente** - En cuanto a los Datos de la cuenta del cliente y los Datos de uso del cliente, Shoprocket no es corresponsable del tratamiento, sino que trata esos datos para gestionar su relación contigo, prevenir fraudes e incidentes de seguridad, cumplir obligaciones legales, etc., de acuerdo con la Política de privacidad de Shoprocket. 5. **CCPA** - Salvo los Datos de la cuenta del cliente y los Datos de uso del cliente, Shoprocket es tu Proveedor de servicios conforme a la CCPA; no "venderá" dicha información personal y solo la usará para prestar los Servicios o según permita la ley. 6. **Complementos** - Puedes integrar complementos de terceros ("Complementos") conforme a EULA independientes con cada editor. Shoprocket transfiere al Editor del complemento los Datos personales necesarios, pero no es responsable de su tratamiento. Los Complementos actuales que comercializa Shoprocket incluyen: - **Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping**: cumplimiento y sincronización multicanal. - **Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay**: integraciones de pago compatibles con distintos métodos y monedas. - **Zapier**: automatiza las transferencias de datos y los flujos de trabajo entre Shoprocket y otras aplicaciones. - Si Shoprocket y tú tenéis CCT, tu instrucción de integrar Complementos supone el consentimiento para transferir Datos personales a dichos Editores de complementos si lo exigen las CCT. 7. **Tus responsabilidades** - Eres el Responsable del tratamiento de cualquier Dato personal recopilado o tratado por Shoprocket por cuenta tuya. - Eres responsable de cumplir los requisitos de avisos y consentimientos y de garantizar el cumplimiento de la Legislación de protección de datos. --- ## Tipos de Datos personales y fines del tratamiento - **Objeto**: los Datos personales que subes a los Servicios, incluidos tu Cuenta o Tienda de Shoprocket. - **Duración**: determinada por ti (hasta que suspendas o canceles tu suscripción a Shoprocket o las integraciones correspondientes). - **Finalidad**: prestar los Servicios siguiendo tus instrucciones (por ejemplo, hacer funcionar tu Tienda o Cuenta de Shoprocket). - **Naturaleza del tratamiento**: la plataforma de comercio electrónico de Shoprocket (y cualquier Subencargado o Editor de complementos) puede almacenar o tratar Datos personales. - **Tipos de Datos personales**: los datos que subes (por ejemplo, información de contacto, datos de clientes, registros de transacciones). - **Interesados**: tú, tus clientes, empleados, contratistas, agentes, proveedores o vendedores. --- ## Seguridad del tratamiento de datos Shoprocket mantendrá medidas técnicas y organizativas adecuadas para proteger los Datos personales frente a un tratamiento no autorizado o ilícito, la pérdida accidental o la destrucción, de conformidad con el **artículo 32** del RGPD de la UE/del Reino Unido. Las medidas incluyen (según proceda): - Seudonimización/cifrado de los datos; - Garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas; - Restablecer la disponibilidad de los datos de forma oportuna tras los incidentes; - Probar, evaluar y valorar periódicamente estas medidas. ### Empleados de Shoprocket - Shoprocket garantiza que los empleados, contratistas y agentes que manejan Datos personales reciben formación, están sujetos a confidencialidad y conocen plenamente sus obligaciones de protección de datos. ### Seguridad (reiteración) - Shoprocket actualiza continuamente las salvaguardas técnicas y organizativas para evitar el tratamiento no autorizado, incluidos el cifrado, la resiliencia de los sistemas, la capacidad de recuperación y las pruebas de eficacia. --- ## Violación de la seguridad de los Datos personales 1. **Notificación** - Shoprocket te notifica en un plazo de **72 horas** (y sin dilación indebida) si tiene conocimiento de: 1. Pérdida o daño de Datos personales; 2. Cualquier tratamiento accidental, no autorizado o ilícito; 3. Una violación de la seguridad de los Datos personales. 2. **Información** - Shoprocket proporciona una descripción del incidente, las categorías y el número de datos afectados y las medidas adoptadas o propuestas para mitigar el impacto. 3. **Cooperación** - Shoprocket coordina contigo la investigación y no informará a terceros sin tu consentimiento por escrito, salvo que la ley lo exija. 4. **Costes** - Shoprocket asume los gastos razonables de estas obligaciones, salvo que el incidente se derive de tus instrucciones, negligencia o incumplimiento, en cuyo caso tú asumes los gastos razonables de Shoprocket (incluidos los de asesores profesionales). --- ## Subencargados del tratamiento Shoprocket utiliza actualmente estos **Subencargados del tratamiento** para el alojamiento y tratamiento de datos, los servicios de infraestructura y red u otras funciones del servicio: | **Nombre** | **Descripción** | **Ubicación** | | --- | --- | --- | | **200OK LLC (Profitwell)** | Informes y analítica de suscripciones. | MA, EE. UU. | | **Amazon Web Services EMEA SARL** | Alojamiento en la nube, computación y almacenamiento. | Luxemburgo, UE | | **Automattic, Inc. (Gravatar)** | Permite a los usuarios subir imágenes de perfil a las cuentas de Shoprocket. | CA, EE. UU. | | **Cloudflare, Inc.** | Seguridad y conectividad de red. | CA, EE. UU. | | **Crisp IM SAS** | Aplicación de chat en vivo y mensajería con clientes para la atención a los usuarios. | Francia, UE | | **Facebook Technologies Ireland** | Píxeles de Facebook para conversiones, optimización de anuncios y creación de audiencias. | Irlanda, UE | | **Google Ireland Limited** | Google Analytics (analítica de comportamiento), Adwords (colocación y monetización de anuncios). | Irlanda, UE | | **GmbH** | Alojamiento en la nube, computación y almacenamiento. | Alemania, UE | | **TPS Unlimited, Inc. (Taxjar)** | Automatización de impuestos para el IVA de la UE y el impuesto sobre ventas de EE. UU. en las Tiendas de Shoprocket. | CA, EE. UU. | | **Twilio, Inc. (Sendgrid)** | Mensajería multicanal (correo electrónico, SMS, WhatsApp). | Irlanda, UE | | **Twitter, Inc.** | Píxel de Twitter para el seguimiento de conversiones y métricas de rendimiento de anuncios. | CA, EE. UU. | Autorizas a Shoprocket a utilizar los Subencargados anteriores y concedes una autorización general para que Shoprocket añada otros ("Subencargados autorizados"). Shoprocket te avisará con al menos **30 días** de antelación (mediante el sitio web, correo electrónico o una notificación en la Cuenta) antes de utilizar un nuevo Subencargado. Puedes oponerte por escrito en un plazo de **10 días** desde el aviso, por motivos razonables de protección de datos. Si interviene un Subencargado esencial y no se encuentra una alternativa en un plazo de **90 días**, puedes dejar de usar o cancelar los Servicios correspondientes (pagando las tarifas que se adeuden). Si no te opones en un plazo de 10 días, el nuevo Subencargado se considera aprobado. Cuando Shoprocket contrata a un Subencargado: - Restringe su acceso a lo estrictamente necesario para prestar o mejorar los Servicios; - Le impone las mismas obligaciones de protección de datos; - Sigue siendo responsable de su cumplimiento. Si se aplican CCT, tu autorización equivale al consentimiento previo por escrito conforme a la Cláusula 9(c) o a las cláusulas pertinentes de las CCT del Reino Unido. Shoprocket puede suprimir detalles comerciales no esenciales antes de compartir contigo los contratos de subtratamiento. --- ## Transferencias de Datos personales Shoprocket puede transferir Datos personales fuera del EEE, el Reino Unido o Suiza para prestar los Servicios (por ejemplo, algunos Editores de complementos o Subencargados en EE. UU.). Cuando no se aplique una decisión de adecuación, Shoprocket garantizará las salvaguardas adecuadas conforme a la Legislación de protección de datos. - **Transferencias fuera del EEE**: cubiertas por las CCT de la UE (Módulo Uno para Shoprocket como Responsable, Módulo Dos para Shoprocket como Encargado). Determinadas cláusulas (por ejemplo, la cláusula de acoplamiento de la Cláusula 7) no se aplican; las disputas se rigen por la ley y los tribunales irlandeses. - **Transferencias fuera del Reino Unido**: cubiertas por el Anexo IDTA. - **Transferencias desde Suiza**: similares a las CCT de la UE, con modificaciones para la FADP suiza. - **Medidas complementarias**: - No existen solicitudes formales de acceso a datos por parte de gobiernos a la fecha de este Anexo. - Si se le obliga a divulgar tus datos, Shoprocket te lo notificará (salvo que esté prohibido) y te ayudará a solicitar medidas de protección. - Shoprocket y tú analizaréis periódicamente si las leyes del país importador ofrecen una protección equivalente o exigen medidas adicionales. - Si algún mecanismo de transferencia deja de ser válido o una Autoridad de Control lo suspende, Shoprocket puede aplicar acuerdos alternativos o suspender las transferencias. Cuando apruebes un Subencargado o Complemento fuera del EEE, también autorizas a Shoprocket a firmar CCT en tu nombre. --- ## Reclamaciones, solicitudes de los interesados y derechos de terceros Shoprocket te facilitará sin demora cualquier información o ayuda que necesites para: 1. Atender los derechos de los Interesados (acceso, rectificación, supresión, portabilidad, oposición, etc.). 2. Responder a los requerimientos de información o evaluación de los reguladores, o cumplirlos. Shoprocket te notifica de inmediato si recibe reclamaciones o comunicaciones sobre el tratamiento, y en un plazo de **14 días** si recibe una solicitud de un Interesado. Shoprocket ayuda a responder y no divulgará Datos personales a terceros salvo que lo exija la ley o lo indiquen tus instrucciones. --- ## Duración y rescisión Este Anexo permanece en vigor mientras lo esté el Acuerdo o mientras Shoprocket conserve Datos personales relacionados. Las disposiciones que deban subsistir para la protección de datos siguen vigentes. Cualquier incumplimiento grave de este DPA es un incumplimiento grave del Acuerdo, y te da derecho a rescindir de inmediato sin más responsabilidad. Si los cambios en la Legislación de protección de datos impiden a una parte cumplir sus obligaciones, las partes pueden suspender el tratamiento hasta lograr el cumplimiento. Si no se resuelve en **90 días**, cualquiera de las partes puede rescindir con efecto inmediato mediante notificación. --- ## Devolución y destrucción de datos - **Previa solicitud**, Shoprocket te facilita (o facilita a un tercero que designes por escrito) copias de los Datos personales o acceso a ellos en el formato que especifiques (cuando sea razonable). - **Al finalizar**, Shoprocket devuelve o elimina los Datos personales, salvo que la ley exija seguir almacenándolos. Si la eliminación es inviable o ilegal, Shoprocket bloquea cualquier tratamiento posterior y sigue protegiendo los datos. - **Certificaciones de las CCT**: si se aplican CCT, Shoprocket certificará la eliminación conforme a la Cláusula 8.1(d) de las CCT de la UE (o de las CCT del Reino Unido) previa solicitud por escrito tuya. - Si alguna ley o reglamento obliga a Shoprocket a conservar determinados datos, te notificará el fundamento y el plazo y después los eliminará cuando ya no sea obligatorio conservarlos. - Shoprocket certifica la eliminación en un plazo de **30 días** tras completarla. --- ## Registros Shoprocket mantiene registros detallados, exactos y actualizados de todo el tratamiento de Datos personales (por ejemplo, medidas de seguridad, subencargados, fines del tratamiento, transferencias internacionales). Estos registros deben permitirte verificar el cumplimiento de Shoprocket. Se facilitan copias previa solicitud. --- ## Garantías Shoprocket garantiza que: 1. Sus empleados, subcontratistas o agentes con acceso a Datos personales son fiables, dignos de confianza y están debidamente formados. 2. Tratará los Datos personales en pleno cumplimiento de la Legislación de protección de datos y las leyes conexas. 3. No tiene motivos para creer que la ley le impide prestar los Servicios acordados. 4. Teniendo en cuenta la tecnología y los costes, adoptará las medidas adecuadas para evitar el tratamiento no autorizado o los daños o pérdidas accidentales, garantizando una seguridad proporcional al riesgo y a la sensibilidad de los datos. --- ## Formalización y modificaciones Al firmar el Acuerdo, aceptas este Anexo y quedas vinculado por él. Shoprocket puede actualizar este Anexo con un **preaviso por escrito de 30 días** si es necesario por motivos legales o regulatorios. Si te opones y no se alcanza una solución mutua, puedes cancelar los Servicios afectados mediante notificación por escrito dentro de ese plazo (abonando las tarifas devengadas). Esta cancelación no da lugar a más reclamaciones. ## Anexo A **Normas de seguridad de Shoprocket** (Los términos en mayúscula inicial que no se definen aquí tienen el significado que se les asigna en el Anexo.) Este Anexo describe las medidas técnicas y organizativas de Shoprocket para: 1. Proteger los Datos personales frente a la pérdida, el acceso o la divulgación accidentales o ilícitos; 2. Identificar los riesgos previsibles para la seguridad e impedir el acceso no autorizado a los Servicios (incluida tu cuenta de Shoprocket); 3. Minimizar los riesgos de seguridad mediante la evaluación de riesgos y las pruebas. Shoprocket designa a uno o más empleados para supervisar estas prácticas de seguridad de la información y responder a las consultas relacionadas. --- ## 1. Modelo de responsabilidad compartida Shoprocket es una aplicación **SaaS basada en la nube** alojada por: - **Amazon Web Services (AWS)** en la región eu-west-1 (Irlanda) - **Hetzner Online** en Falkenstein, Alemania **AWS** ejecuta la plataforma principal de Shoprocket, la infraestructura y el alojamiento de datos. **Hetzner Online** proporciona espacio adicional en servidores dedicados para imágenes, descargas digitales, registros y facturas. Con este modelo: - **Shoprocket** gestiona la seguridad a nivel de aplicación (por ejemplo, el acceso de usuarios y los parches de la aplicación). - **AWS / Hetzner** gestionan la seguridad física y el entorno de nube subyacente. Para más información sobre la seguridad de AWS y Hetzner, consulta su documentación respectiva. --- ## 2. Servidores de AWS y Hetzner Online ### AWS Shoprocket eligió AWS tras una revisión cuidadosa conforme a los artículos 28(3)(c) y 32 del RGPD del Reino Unido. AWS está certificada con numerosas normas (por ejemplo, SOC 1/2/3, ISO 27001/27017/27018, PCI DSS, FedRAMP, HITRUST) y ofrece una amplia documentación de cumplimiento. Shoprocket configura AWS para almacenar los Datos personales únicamente en la UE/EEE. ### Hetzner Online Hetzner Online, certificada conforme a DIN ISO/IEC 27001, proporciona espacio en servidores dedicados para determinadas copias de seguridad y registros de datos. Los centros de datos de Hetzner Online en Núremberg y Falkenstein están auditados y certificados por terceros, y aplican un Sistema de Gestión de la Seguridad de la Información (SGSI). --- ## 3. Diseño, integridad y disponibilidad de la aplicación de Shoprocket - **Arquitectura**: creada con un framework de JavaScript, la aplicación de Shoprocket se basa en el Servicio de base de datos relacional de Amazon (Amazon RDS) para MySQL. - **Alto rendimiento y redundancia**: AWS gestiona automáticamente el equilibrio de carga y Shoprocket mantiene copias de seguridad diarias en Amazon S3. Las copias de seguridad se almacenan en distintas regiones de AWS para garantizar la resiliencia. Además, las copias de seguridad se almacenan en los servidores dedicados de Hetzner Online (con sistemas de discos RAID-1). - **Seguridad desde el diseño**: Shoprocket comprueba periódicamente las vulnerabilidades web conocidas (por ejemplo, el Top Ten de OWASP) e implementa protección frente a XSS y saneamiento de datos. Un especialista externo prueba anualmente el código y la infraestructura en busca de vulnerabilidades, complementado por un servicio externo de análisis de vulnerabilidades. --- ## 4. Cifrado - **En reposo**: los Datos personales en AWS/Hetzner se cifran con **AES-256** o superior. - **Gestión de claves**: el AWS Key Management Service (KMS) garantiza que nadie (ni siquiera el personal de AWS) pueda acceder a las claves en texto plano; las claves se rotan anualmente. Hetzner implementa cifrado de disco completo AES-256 y autenticación obligatoria. - **En tránsito**: todas las transferencias externas de datos usan **TLS 1.2+**. Las API y las interfaces web exigen HTTPS (sin conexiones sin cifrar). --- ## 5. Restricción de las ubicaciones de los servidores al EEE/UE Shoprocket almacena los datos **exclusivamente en el EEE** (AWS en Irlanda, Hetzner en Alemania), lo que minimiza los riesgos vinculados a las transferencias de datos fuera del EEE (por ejemplo, el cumplimiento de la sentencia Schrems II). --- ## 6. Zonas de disponibilidad Los sistemas de front-end y back-end de Shoprocket están **distribuidos de forma redundante** en varias zonas de disponibilidad (tanto de AWS como de Hetzner). Cada zona cuenta con varios ISP, fuentes de alimentación y enlaces de alta velocidad, lo que garantiza una alta disponibilidad y un rendimiento óptimo. --- ## 7. Detección de intrusiones Shoprocket utiliza un **Sistema de detección de intrusiones (IDS)** para supervisar: - Archivos de registro en busca de entradas inusuales, - Cambios en la integridad de los archivos, - Tráfico de red (suplantación, exploits conocidos, rootkits), - Cambios de puertos y - Eventos de la cuenta de AWS (por ejemplo, cambios de configuración). Las anomalías críticas activan medidas preventivas automáticas. El IDS también respalda los requisitos de PCI DSS 3.0. --- ## 8. Registro / Pista de auditoría Shoprocket registra: - Eventos del sistema, - Errores, - Actividad de los usuarios, - Inicios de sesión y solicitudes a la base de datos, - Otros eventos relacionados con la seguridad. Mediante **AWS CloudTrail**, Shoprocket registra todos los eventos de sus entornos en la nube con fines de transparencia y análisis forense. --- ## 9. Supervisión Shoprocket emplea varias **herramientas de supervisión** para garantizar la disponibilidad y el rendimiento, y realiza un seguimiento de: - **Disponibilidad**: accesibilidad de la aplicación, estado del backend y del sistema; - **Recursos**: CPU, interfaces de red, uso de almacenamiento; - **Rendimiento**: tiempos de respuesta de la aplicación y de la base de datos; - **Seguridad**: estado del IDS, actualizaciones del sistema, registros de errores y de acceso. El personal de Shoprocket también sigue las actualizaciones de seguridad, los informes de vulnerabilidades y los blogs de seguridad relevantes (como OWASP). --- ## 10. Auditorías de seguridad y pruebas de penetración Shoprocket realiza periódicamente **pruebas de seguridad internas y externas**. Los proveedores externos comprueban las vulnerabilidades, mientras que las auditorías internas evalúan la eficacia de las medidas técnicas y organizativas. --- ## 11. Gestión de cambios Shoprocket mantiene **repositorios** con control de versiones para los cambios de código, con un entorno de pruebas (staging) que replica la producción. Los cambios se prueban antes de su despliegue, lo que garantiza la trazabilidad de la fecha y el contenido. --- ## 12. Control de acceso - **Principio de necesidad de conocer**: solo reciben acceso a los sistemas los empleados cuyas funciones lo requieren. - **Sistemas IAM**: el control de acceso utiliza la gestión de identidades de AWS/Hetzner. - **Seguridad**: solo se puede acceder a los sistemas backend mediante conexiones seguras y autenticadas. Un número muy limitado de personas tiene acceso directo a los datos con fines de diagnóstico; ese acceso se registra y se supervisa. ## Anexo B **Transferencias transfronterizas** ## PARTE 1 - Transferencias fuera del EEE 1. **Anexo I.A de las Cláusulas Contractuales Tipo (CCT)** - **Exportador de datos**: tú (conforme al Acuerdo). - Datos de contacto: los del Acuerdo. - Función: Responsable del tratamiento. - **Módulo Uno**: el Importador de datos es un Responsable del tratamiento (para los Datos de la cuenta del cliente y los Datos de uso del cliente). - **Módulo Dos**: el Importador de datos es un Encargado del tratamiento (para todos los demás Datos personales). - Firma/Fecha: al celebrar el Acuerdo y el DPA, se considera que el Exportador de datos ha firmado las CCT en la Fecha de entrada en vigor. - **Importador de datos**: Shoprocket. - Datos de contacto: los del Acuerdo. - Firma/Fecha: al celebrar el Acuerdo y el DPA, se considera que el Importador de datos ha firmado las CCT en la Fecha de entrada en vigor. 2. **Anexo I.B de las CCT** - Interesados: los descritos en la cláusula 4.6 del Anexo. - Categorías de Datos personales: las descritas en la cláusula 4.5 del Anexo. - No se prevé transferir Datos de categorías especiales. - Frecuencia: de forma continua durante la vigencia del Acuerdo. - Naturaleza: véase la cláusula 4.4 del Anexo. - Finalidad: véase la cláusula 4.3 del Anexo. - Conservación: la duración del Acuerdo, salvo que se indique otra cosa. - Transferencias a Subencargados: objeto, naturaleza y duración conforme a la cláusula 9 del Anexo. 3. **Anexo I.C de las CCT** - Autoridad de control competente: la indicada en la cláusula 10(e) del Anexo. - Las **Normas de seguridad de Shoprocket (Anexo A)** cumplen los requisitos del Anexo II de las CCT. 4. **Conflicto** - En caso de conflicto entre las CCT y el DPA o el Acuerdo, prevalecen las CCT. --- ## PARTE 2 - Transferencias fuera del Reino Unido 1. El **Anexo IDTA** se aplica a las Transferencias fuera del Reino Unido, con efectos desde el **21 de marzo de 2022**. 2. Los términos no definidos en el Acuerdo o en el DPA siguen el significado de la **Parte 2 del Anexo 2** (Cláusulas obligatorias). ### Parte 1: Tablas ### Tabla 1 del Anexo IDTA 1. **Tabla 1** - **Exportador de datos**: tú (conforme al Acuerdo). - Datos de contacto: los del Acuerdo. - Firma/Fecha: al celebrar el Acuerdo y el Anexo, se considera que el Exportador ha firmado el Anexo IDTA en la Fecha de entrada en vigor. - **Importador de datos**: Shoprocket. - Datos de contacto: los del Acuerdo. - Firma/Fecha: al celebrar el Acuerdo y el DPA, se considera que el Importador ha firmado el Anexo IDTA en la Fecha de entrada en vigor. ### Tabla 2 del Anexo IDTA 1. **Tabla 2** - **CCT de la UE aprobadas**: las cláusulas y módulos de las CCT de la UE aprobadas vigentes para este Anexo. - Módulos y cláusulas utilizados: - Módulo 1 y Módulo 2; la Cláusula 7 y la Cláusula 11 (opción) no se aplican; la Cláusula 9a es una Autorización general con un plazo de preaviso de 30 días (cláusula 9.2 del Anexo). - No hay combinación de Datos personales del Importador con datos del Exportador. ### Tabla 3 del Anexo IDTA 1. **Anexo I.A** - **Exportador de datos**: tú (responsable). - **Importador de datos**: Shoprocket (responsable de los Datos de la cuenta/uso del cliente; encargado del resto de los Datos personales). - Firma/Fecha: se considera firmado al celebrar el Acuerdo y el DPA. 2. **Anexo I.B** - Los interesados, las categorías de datos, la ausencia de Datos de categorías especiales, las transferencias continuas, la naturaleza y finalidad del tratamiento y la conservación coinciden con las cláusulas 4.4, 4.3, 4.5 y 4.6 del Anexo. - La información sobre Subencargados se rige por la cláusula 9 del Anexo. - El Anexo III (lista de Subencargados) no se aplica, ya que Shoprocket utiliza una autorización general. ### Tabla 4 del Anexo IDTA 1. El Importador puede poner fin a este Anexo IDTA conforme a la cláusula 26 de este Anexo IDTA. ### Parte 2: Cláusulas obligatorias 1. Cada Parte queda vinculada por estos términos del Anexo IDTA a cambio de la aceptación de la otra Parte, de modo que los interesados puedan ejercer los derechos indicados. 2. Celebrar este Anexo IDTA equivale a firmar las CCT de la UE aprobadas (incluida cualquier firma exigida conforme al Anexo 1A/Cláusula 7). ### Interpretación 1. Los términos de las CCT de la UE aprobadas conservan aquí su mismo significado; otros términos pertinentes (por ejemplo, "CCT de la UE del Anexo", "Anexo aprobado", "Leyes de protección de datos del Reino Unido") se definen en este Anexo IDTA. 2. Este Anexo IDTA debe interpretarse de forma coherente con las Leyes de protección de datos del Reino Unido y debe cumplir las "Salvaguardas adecuadas". 3. Toda modificación de las CCT de la UE aprobadas que no esté permitida por ellas o por el Anexo aprobado es nula. Las disposiciones en conflicto vuelven a los términos de las CCT sin modificar. 4. Si hay un conflicto con las Leyes de protección de datos del Reino Unido, se aplican estas últimas. 5. Cualquier ambigüedad se resuelve de la forma que mejor se ajuste a las Leyes de protección de datos del Reino Unido. 6. Las referencias a la legislación incluyen cualquier versión revisada o consolidada. ### Jerarquía 1. La Cláusula 5 de las CCT de la UE aprobadas establece que prevalecen sobre otros acuerdos, pero para las Transferencias restringidas se aplica la jerarquía de la Sección 17 siguiente. 2. Si es incoherente o está en conflicto con las CCT de la UE aprobadas, el Anexo aprobado prevalece, salvo que las CCT ofrezcan una **mayor protección** a los interesados, en cuyo caso prevalecen los términos de las CCT. 3. Nada de lo aquí dispuesto afecta a las CCT que las partes utilicen para cumplir el RGPD de la UE. ### Incorporación y cambios de las CCT de la UE 1. El Anexo IDTA incorpora las CCT de la UE aprobadas con las modificaciones necesarias para que funcionen en las transferencias relacionadas con el Reino Unido, prevalezcan sobre la jerarquía de la Cláusula 5 y se rijan por la **ley y los tribunales ingleses** (salvo que se elija otra cosa para Escocia o Irlanda del Norte). 2. Si no se acuerda una alternativa específica, se aplica la Sección 22. 3. No se permiten más modificaciones de las CCT de la UE aprobadas que las necesarias conforme a la Sección 19. 4. Las **modificaciones** de las CCT de la UE del Anexo incluyen aclaraciones sobre las referencias a las Leyes de protección de datos del Reino Unido, la sustitución de las referencias al Reglamento (UE) 2016/679 por "Leyes de protección de datos del Reino Unido", la supresión de las referencias al Reglamento (UE) 2018/1725, la adaptación de las Cláusulas 17/18 a la ley y los tribunales ingleses, etc. Las notas a pie de página no forman parte del IDTA, salvo las notas 8, 9, 10 y 11. ### Modificaciones de este IDTA 1. Las Partes pueden modificar las Cláusulas 17 o 18 para referirse a los tribunales escoceses o norirlandeses. 2. Las Partes también pueden ajustar el formato de las Tablas mediante acuerdo mutuo por escrito, garantizando que se mantenga el mismo nivel de protección. 3. La ICO puede emitir de vez en cuando un Anexo aprobado revisado, que modifica automáticamente este Anexo IDTA desde su fecha de entrada en vigor, lo que puede requerir una revisión por las partes. 4. Si los cambios de la ICO aumentan de forma sustancial y desproporcionada los costes o el riesgo de una parte, y no es posible reducirlos, esa parte puede poner fin a este IDTA con un preaviso razonable a la otra antes de que entre en vigor el Anexo revisado. 5. No se requiere el consentimiento de ningún tercero para los cambios, pero las modificaciones deben cumplir los términos de este Anexo IDTA. --- - HTML version: https://v3.shoprocket.io/es/rgpd - Language: Español (es) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)