Contrato de encargo del tratamiento

Versión del contrato: 0.1 · Fecha: 13 de octubre de 2026

Quién firma

• La tienda (responsable del tratamiento): la persona o empresa titular de la tienda de Shopify en la que se instala Shipkin. Se identifica por el dominio de su tienda (….myshopify.com).
• Shipkin (encargado del tratamiento): Alejandro Gomariz Núñez, NIF [pendiente], [pendiente]. Contacto: alexgproyects@gmail.com.

Para qué sirve este contrato

Para preparar los envíos de la tienda, Shipkin necesita leer datos de las personas que le compran (nombre, dirección, teléfono, email). Esos datos son de la tienda, no de Shipkin. El Reglamento General de Protección de Datos (RGPD, artículo 28) obliga a dejar por escrito qué puede hacer Shipkin con ellos y cómo los protege. Eso es este contrato.

De los datos de la propia tienda (su cuenta, sus credenciales, su dirección de remitente) no trata este contrato: de esos Shipkin es responsable y los explica en su política de privacidad (https://shipkin.es/privacidad).

1. Cómo se acepta y cuánto dura

1.1. La tienda acepta este contrato por medios electrónicos al instalar Shipkin o al empezar a usarlo. Shipkin guarda la versión aceptada y la fecha.

1.2. El contrato dura mientras Shipkin esté instalado en la tienda. Termina cuando la tienda lo desinstala. Las obligaciones de confidencialidad y de borrado siguen después.

1.3. Usar Shipkin en «modo de demostración» no trata datos de compradores con ningún transportista: los envíos de demostración no salen de Shipkin.

2. Qué hace Shipkin con los datos

2.1. Shipkin trata los datos de los compradores solo para prestar el servicio a la tienda:

• crear envíos y devoluciones en el transportista que la tienda elija, con el contrato de la propia tienda, y obtener sus etiquetas;
• preparar la declaración de aduana (CN23) cuando el envío la necesita;
• indicar al transportista el importe que debe cobrar al entregar, si el pedido va contra reembolso;
• marcar el pedido como preparado en Shopify, con su número de seguimiento;
• consultar el estado del envío en el transportista y llevarlo al pedido de Shopify;
• si la tienda lo activa, avisar por email al comprador cuando no se ha podido entregar el paquete o le espera en una oficina, y recoger su respuesta a «¿estabas en casa?»;
• si la tienda lo activa, mostrar una página pública de seguimiento del envío;
• dar a la tienda sus cifras: envíos, plazos, incidencias y costes.

2.2. El detalle (qué personas, qué datos, qué se guarda y qué no, y cuánto tiempo) está en el Anexo I.

2.3. Shipkin no usa estos datos para nada propio: no hace publicidad con ellos, no elabora perfiles, no los vende y no los cruza con los de otras tiendas.

3. Las instrucciones de la tienda

3.1. Shipkin solo trata los datos siguiendo instrucciones de la tienda. Las instrucciones son este contrato y lo que la tienda hace y configura en la app. En concreto:

3.2. Si Shipkin cree que una instrucción va contra la normativa de protección de datos, se lo dirá a la tienda antes de cumplirla.

3.3. Si una ley obliga a Shipkin a tratar los datos de otra manera, avisará antes a la tienda, salvo que esa ley se lo prohíba.

4. Los transportistas y Shopify no son subencargados de Shipkin

4.1. Transportistas. La tienda tiene su propio contrato con Correos, MRW o Correos Express y es la tienda quien decide con cuál sale cada envío. Cuando Shipkin envía los datos del destinatario a ese transportista, lo hace por orden de la tienda y con las credenciales del contrato de la tienda. El transportista no trabaja para Shipkin: Shipkin no lo elige, no lo contrata y no le paga. Por eso el transportista no es un subencargado de Shipkin, sino un destinatario que la tienda ha designado. Lo que el transportista haga con los datos se rige por el contrato entre la tienda y el transportista y por la política de privacidad del transportista.

4.2. Shopify. La tienda ya es clienta de Shopify, que guarda sus pedidos. Shipkin lee esos pedidos y escribe en ellos (la preparación y el seguimiento) a través de la interfaz de Shopify y con los permisos que la tienda concede al instalar. Shopify tampoco es un subencargado de Shipkin: es el sistema de la propia tienda.

4.3. La lista de transportistas y de los datos que recibe cada uno está en el Anexo III.

5. Obligaciones de Shipkin

Shipkin se compromete a:

a) Tratar los datos solo para lo descrito en la cláusula 2 y según las instrucciones de la cláusula 3.

b) Guardar lo mínimo. Shipkin no guarda el nombre, la dirección, el teléfono ni el email de los compradores: los lee de Shopify en el momento y los pasa al transportista. Lo que sí guarda de cada pedido está en el Anexo I.

c) Confidencialidad. Solo accede a los datos el titular de Shipkin. Si en el futuro accede alguien más (un empleado o un colaborador), antes firmará un compromiso de confidencialidad.

d) Seguridad. Aplicar las medidas del Anexo II y mantenerlas al día.

e) Registro. Llevar el registro de las actividades de tratamiento que hace por cuenta de las tiendas (artículo 30.2 del RGPD).

f) No sacar los datos del Espacio Económico Europeo, salvo lo que se indica en el Anexo III para cada subencargado y con las garantías que allí constan.

g) Ayudar a la tienda a cumplir sus propias obligaciones (cláusulas 7, 8 y 9).

6. Subencargados

6.1. Para prestar el servicio, Shipkin necesita a otras empresas que tratan los datos por su cuenta: hoy, la que aloja el servidor y, cuando esté activo, la que envía los emails. La tienda autoriza con carácter general a Shipkin a contratar subencargados y, en concreto, a los del Anexo III.

6.2. La lista al día está en https://shipkin.es/subencargados.

6.3. Antes de añadir un subencargado o de cambiar uno por otro, Shipkin avisará a la tienda con 15 días de antelación, por email y con un aviso dentro de la app. Si la tienda no está de acuerdo, puede oponerse escribiendo a alexgproyects@gmail.com o desinstalando la app antes de que el cambio se aplique. Si el cambio es urgente por seguridad o porque el proveedor deja de prestar el servicio, Shipkin avisará lo antes posible y explicará por qué.

6.4. Shipkin exige a cada subencargado, por escrito, las mismas obligaciones de protección de datos que asume aquí. Si un subencargado incumple, Shipkin responde ante la tienda.

7. Derechos de los compradores

7.1. Quien responde a los compradores es la tienda. Si un comprador escribe a Shipkin para ejercer sus derechos (acceso, rectificación, supresión, oposición, limitación o portabilidad), Shipkin no le contestará sobre el fondo: le dirá que se dirija a la tienda y se lo comunicará a la tienda como muy tarde el siguiente día laborable.

7.2. Acceso. Cuando la tienda pide a Shopify los datos de un cliente, Shopify se lo comunica a Shipkin. Shipkin enviará a la tienda lo que guarda de los pedidos de ese cliente en un máximo de 10 días naturales.

7.3. Supresión. Cuando la tienda pide a Shopify que borre los datos de un cliente, Shopify se lo comunica a Shipkin y Shipkin borra automáticamente los envíos, las devoluciones, las llamadas registradas y el recuento de etiquetas de sus pedidos.

7.4. Rectificación. Shipkin no guarda la dirección ni el contacto del comprador, así que no tiene nada que corregir: lee siempre lo que haya en el pedido de Shopify.

8. Brechas de seguridad

8.1. Si Shipkin sabe de una brecha de seguridad que afecte a datos de los compradores de la tienda, se lo notificará a la tienda sin dilación indebida y, como máximo, en 48 horas desde que la conozca.

8.2. Lo hará por email, a la dirección de avisos que la tienda tenga en Ajustes o, si no hay ninguna, al email de la tienda en Shopify.

8.3. La notificación dirá, en la medida en que se sepa: qué ha pasado, qué datos y cuántas personas están afectados, qué consecuencias puede tener, qué ha hecho Shipkin para remediarlo y con quién hablar. Si no se sabe todo al principio, Shipkin lo irá completando.

8.4. Notificar a la Agencia Española de Protección de Datos y, si hace falta, a los compradores, corresponde a la tienda. Shipkin le dará la información que necesite.

9. Otra ayuda a la tienda

Si la tienda tiene que hacer una evaluación de impacto o una consulta a la autoridad de control por un tratamiento en el que participa Shipkin, Shipkin le dará la información que tenga sobre cómo trata los datos.

10. Qué pasa con los datos al terminar

10.1. La tienda elige la supresión: al terminar, Shipkin borra los datos. No hay nada que devolver que la tienda no tenga ya, porque los números de seguimiento y el estado de cada envío están en sus pedidos de Shopify.

10.2. Plazos:

• Al desinstalar, Shipkin borra de inmediato el acceso que Shopify le había dado a la tienda.
• A las 48 horas de la desinstalación, Shopify se lo comunica a Shipkin y Shipkin borra automáticamente todo lo de la tienda: envíos, devoluciones, credenciales de los transportistas, registro de llamadas, tarifas, ajustes y mensajes de ayuda.
• Las copias de seguridad diarias del servidor se conservan 14 días, así que los datos borrados desaparecen de ellas en ese plazo.
• Copias de seguridad fuera del servidor y copias del disco que hace el proveedor de alojamiento: [POR DECIDIR: plazo máximo].

10.3. Si la tienda vuelve a instalar Shipkin antes de las 48 horas, sus datos siguen ahí.

10.4. Shipkin puede conservar, bloqueada, la constancia de que la tienda aceptó este contrato (dominio de la tienda, versión y fecha) mientras puedan derivarse responsabilidades.

11. Información y auditorías

11.1. Shipkin pondrá a disposición de la tienda la información necesaria para demostrar que cumple este contrato: este documento con sus anexos, la lista de subencargados y, si la tienda lo pide, la parte del registro de actividades que le afecta.

11.2. La tienda puede hacer comprobaciones, por sí misma o con un auditor. Como Shipkin no tiene oficinas ni servidores propios (funciona en un proveedor de alojamiento), las comprobaciones se harán por escrito: la tienda envía sus preguntas y Shipkin contesta con la documentación que tenga, en un máximo de 30 días. Cada parte paga sus costes.

12. Obligaciones de la tienda

La tienda se compromete a:

a) Tener una base legal para tratar los datos de sus compradores y haberles informado, en su propia política de privacidad, de que usa proveedores para preparar y seguir los envíos y de que sus datos se comunican al transportista.

b) Tener en regla su contrato con cada transportista que conecte a Shipkin.

c) Activar los avisos al comprador solo si puede enviarlos legalmente. Son avisos sobre la entrega de un pedido ya hecho, no publicidad.

d) Guardar con cuidado sus credenciales de los transportistas y cambiarlas si cree que alguien más las conoce.

e) No escribir datos de compradores en la página Ayuda de la app ni en los emails a Shipkin. Para explicar un problema basta el número de pedido.

f) Avisar a Shipkin si cambia algo que afecte a este contrato.

13. Responsabilidad

Cada parte responde de lo que le toca según el RGPD (artículo 82): la tienda, de las decisiones sobre los datos de sus compradores; Shipkin, de cumplir este contrato y las obligaciones que el RGPD impone a los encargados. [POR DECIDIR con el asesor: si se añade un límite de responsabilidad mientras la app sea gratuita.]

14. Cambios en este contrato

14.1. Si Shipkin cambia este contrato, publicará la nueva versión con su fecha y avisará a la tienda con 15 días de antelación, por email y dentro de la app.

14.2. Si el cambio solo corrige errores o refleja una función nueva que la tienda decide si activa o no, bastará el aviso. Si cambia lo que Shipkin hace con los datos sin que la tienda lo active, la app pedirá a la tienda que acepte la nueva versión.

15. Ley aplicable

Este contrato se rige por el RGPD, por la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales y por la ley española. [POR DECIDIR con el asesor: tribunales competentes.]

Anexo I. Descripción del tratamiento

Personas cuyos datos se tratan

Los compradores de la tienda y las personas que reciben sus pedidos (el destinatario del envío puede no ser quien compró). No hay tratamiento intencionado de datos de menores ni de categorías especiales (salud, ideología, etc.).

Datos que Shipkin lee de Shopify y no guarda

Las etiquetas y los CN23 (que llevan nombre y dirección) los genera el transportista. Pasan por el servidor de Shipkin camino del navegador de la tienda y no se guardan.

Datos que Shipkin sí guarda de cada pedido

• Identificador y número del pedido en Shopify (por ejemplo, «#1001»).
• Transportista, servicio, peso, número de bultos y si lleva declaración de aduana.
• Estado del envío, códigos de seguimiento y enlace de seguimiento.
• El texto del último estado tal como lo da el transportista (hasta 200 caracteres) y las fechas de sus movimientos.
• Zona de destino (provincial, península, Baleares, Canarias…), no la dirección.
• Importes: coste del envío con la tarifa de la tienda, lo que pagó el comprador por el envío y, si lo hay, el importe del contrarreembolso.
• Si la tienda eligió avisar al cliente, y si ya se le mandó el aviso de entrega fallida.
• La respuesta del comprador a «¿estabas en casa?» (sí o no) y su fecha, si contesta.
• Si el transportista rechaza el envío, su mensaje de error, que puede citar el dato rechazado (por ejemplo, un código postal).
• Un identificador aleatorio para la página pública de seguimiento.
• El registro técnico de cada llamada al transportista: operación, número de pedido o código de seguimiento, resultado, duración y mensaje de error sin los valores citados.

Lo que enseña la página pública de seguimiento

Solo si la tienda la activa: nombre y email de la tienda, número de pedido, transportista, estado, el texto del estado tal como lo da el transportista y los códigos de seguimiento. No enseña nombre, dirección ni contacto del comprador. Su dirección lleva un identificador aleatorio de 96 bits y no se indexa en buscadores.

Cuánto tiempo

Operaciones

Consulta, transmisión al transportista, registro de lo indicado arriba, envío de emails en nombre de la tienda, y supresión.

Anexo II. Medidas de seguridad

Las que Shipkin aplica de verdad a 10/10/2026. LEEME.md lista las que faltan.

Guardar poco

• No se guardan nombre, dirección, teléfono ni email de los compradores.
• El registro de llamadas quita de los mensajes de error los valores citados entre comillas.
• El registro de llamadas se borra solo a los 90 días.

Cifrado

• Todas las conexiones van por HTTPS: entre el navegador y Shipkin, y entre Shipkin y Shopify y los transportistas.
• Las credenciales de los transportistas se guardan cifradas con AES-256-GCM. La clave no está en la base de datos ni en el código.
• El disco del servidor lo cifra en reposo el proveedor de alojamiento.

Acceso

• Solo el titular de Shipkin tiene acceso al servidor, con clave SSH.
• La app solo es accesible desde dentro del panel de Shopify de cada tienda, con la sesión que Shopify firma. Una tienda no puede ver datos de otra.
• Shipkin pide a Shopify solo los permisos que necesita: leer pedidos y preparar envíos.
• Las contraseñas de los transportistas, una vez guardadas, no vuelven al navegador.
• Los avisos de Shopify (desinstalación, solicitudes de datos y de borrado) se aceptan solo si llevan la firma de Shopify.

Disponibilidad

• Copia de seguridad diaria de la base de datos, comprobada, guardada 14 días.
• Restauración probada.
• El servicio se reinicia solo si se cae.

Trazabilidad

• Cada llamada a un transportista queda registrada (qué operación, para qué pedido, cuándo y con qué resultado) y la tienda la ve en la página Actividad.

Ubicación

• El servidor está en la Unión Europea (Madrid).

Pruebas

• El desarrollo se hace con una base de datos local y transportistas simulados, aparte de la base de datos del servidor.

Anexo III. Subencargados y destinatarios

Resumen. El detalle y las garantías están en subencargados.md (publicado en https://shipkin.es/subencargados).

Subencargados de Shipkin (autorizados por la tienda)

Destinatarios que designa la tienda (no son subencargados de Shipkin)