Quién más toca los datos

Titular de Shipkin: Alejandro Gomariz Núñez · Contacto: alexgproyects@gmail.com · Última actualización: 13 de octubre de 2026

Hay tres tipos de terceros y no son lo mismo:

1. Subencargados de Shipkin: empresas que Shipkin contrata y que tratan datos por su cuenta. Necesitan la autorización de la tienda (la da en el contrato de encargo).
2. Destinatarios que designa la tienda: los transportistas con los que la tienda tiene su propio contrato. Reciben los datos porque la tienda lo ordena. No son subencargados.
3. Shopify: el sistema de la propia tienda.

1. Subencargados de Shipkin

1.1. Google Cloud: alojamiento

Lo que hay guardado en ese servidor:

• De los compradores: lo que lista el Anexo I del contrato de encargo (número de pedido, códigos de seguimiento, estado, importes, zona, respuesta a «¿estabas en casa?»…). No nombre, dirección, teléfono ni email.
• De las tiendas: dominio, acceso de Shopify, dirección de remitente, credenciales de los transportistas (cifradas), tarifas, ajustes, mensajes de ayuda.
• Copias de seguridad diarias de lo anterior (14 días) y, aparte, las copias del disco entero que programa Google.

Transferencias internacionales. Los datos se guardan en Madrid. Google es un grupo con matriz en Estados Unidos y sus condiciones permiten que personal o subencargados de fuera del Espacio Económico Europeo accedan a los datos para prestar soporte. Para esos accesos, la adenda de Google aplica las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914) o el mecanismo alternativo que Google tenga adoptado (el Marco de Privacidad de Datos UE-EE. UU.).

1.2. Proveedor de correo: sin elegir

Hoy Shipkin no envía ningún email: el servidor no tiene correo configurado. Este apartado se rellena antes de activarlo.

Qué datos pasan por él:

El último es el único que lleva datos de compradores. Si el proveedor elegido es un grupo con matriz fuera de la UE (Amazon), valen las mismas notas sobre transferencias que en 1.1.

2. Destinatarios que designa la tienda: los transportistas

No son subencargados de Shipkin. La tienda tiene su propio contrato con cada uno, le da a Shipkin las credenciales de ese contrato y decide con cuál sale cada envío. Shipkin transmite los datos por orden de la tienda. Cada transportista trata los datos para hacer el envío según su contrato con la tienda y su propia política de privacidad.

Todos están en España.

2.1. Correos

Sociedad Estatal Correos y Telégrafos, S.A., S.M.E. Solo si la tienda conecta su contrato de Correos.

• Del destinatario: nombre, empresa, dirección, código postal, localidad, teléfono y email (si el pedido lo tiene). En las entregas en oficina, además el móvil para el aviso por SMS.
• Del pedido: número de pedido (sale en la etiqueta), peso, bultos y servicio.
• Si el envío pasa aduana: los artículos (descripción, cantidad, peso, valor) y la partida arancelaria que la tienda puso en Ajustes, para el CN23.
• En una devolución: la dirección del comprador va como remitente y la de la tienda como destino.
• Del remitente: nombre, empresa, dirección, teléfono y email de la tienda.
• De la tienda: sus credenciales de Correos ID y los números de contrato, cliente y etiquetadora.
• Después: Shipkin consulta el estado con el código de seguimiento, sin más datos.

Nota: además de las credenciales de la tienda, cada llamada lleva las claves de la aplicación de Shipkin en el portal de desarrolladores de Correos. Eso identifica a Shipkin como programa integrador; no cambia que el envío se hace con el contrato de la tienda.

2.2. MRW

La franquicia de MRW con la que la tienda tiene el contrato y, en su caso, la red de MRW (FITMAN, S.L., franquiciadora de la marca). Solo si la tienda conecta su contrato de MRW.

• Del destinatario: nombre, dirección, código postal, localidad y teléfono.
• Email del destinatario: solo si la tienda activa los avisos de MRW en Ajustes y crea el envío con «Avisar al cliente». Entonces MRW le escribe con el seguimiento y el preaviso de entrega.
• Del pedido: número de pedido, peso, bultos y servicio.
• Contrarreembolso: el importe que MRW tiene que cobrar al entregar, si la tienda lo acepta al crear el envío.
• En una devolución: la dirección del comprador como lugar de recogida.
• De la tienda: sus credenciales de MRW (franquicia, abonado, departamento, usuario y contraseña). La dirección de recogida no se envía: MRW recoge en la del abonado.

2.3. Correos Express

Correos Express Paquetería Urgente, S.A., S.M.E. Solo si la tienda conecta su contrato de Correos Express. A 10/10/2026 la app no lo ofrece a tiendas nuevas (nunca se ha probado con credenciales reales).

• Del destinatario: nombre, dirección, código postal, localidad, teléfono (obligatorio) y email (si el pedido lo tiene).
• Del pedido: número de pedido, peso, bultos y producto.
• De la tienda: sus credenciales (usuario, contraseña, código de cliente y código solicitante) y sus datos de remitente.

3. Shopify

Para clientes europeos, Shopify International Limited (Irlanda).

• Ante la tienda, Shopify es su proveedor: guarda sus pedidos y sus clientes y es su encargado del tratamiento según el acuerdo de tratamiento de datos de Shopify. La tienda ya tenía esa relación antes de instalar Shipkin.
• Shipkin lee los pedidos por la interfaz de Shopify con los permisos que la tienda concede al instalar (leer pedidos y preparar envíos) y escribe en el pedido la preparación, el número de seguimiento y los cambios de estado. No manda a Shopify nada que no sea para ese pedido de esa tienda.
• No es subencargado de Shipkin: Shipkin no contrata a Shopify para tratar datos de los compradores; accede al sistema de la tienda.
• Ante Shipkin, Shopify impone sus condiciones a las apps (condiciones de uso de la API y requisitos de datos protegidos de clientes): usar los datos solo para la función de la app, borrarlos al desinstalar, atender las solicitudes de acceso y de borrado, y avisar a Shopify de una brecha en 24 horas.
• Las transferencias internacionales que haga Shopify (a Canadá, Estados Unidos u otros países) son las de su acuerdo con la tienda, no dependen de Shipkin.

4. Quién no recibe datos de compradores

Para que quede claro lo que no hay:

• No hay analítica, publicidad ni píxeles de terceros, ni en la app ni en la web.
• Las tipografías las sirve la propia app, no un servicio externo.
• Let's Encrypt emite el certificado HTTPS: solo conoce el nombre del dominio.
• GitHub guarda el código, que no lleva datos de tiendas ni de compradores.

5. Cambios previstos y cómo se avisan

• Cambio de alojamiento antes de finales de diciembre de 2026. La prueba gratuita de Google Cloud termina entonces. La opción preparada es Fly.io en su región de Madrid (Fly.io, Inc., Estados Unidos), todavía sin decidir. Será un cambio de subencargado y hay que avisarlo.
• Alta del proveedor de correo. Cuando se elija.
• Cómo se avisa. Con 15 días de antelación, por email y con un aviso en la app, según la cláusula 6 del contrato de encargo. La tienda puede oponerse escribiendo a alexgproyects@gmail.com o desinstalando la app.