Shopify

Shopify como encargado del tratamiento: fundamentos del RGPD

Shopify actúa como encargado del tratamiento en el sentido del Art. 28 del RGPD al operar las tiendas de los comerciantes. El comerciante es el responsable del tratamiento y determina los fines para los que se tratan los datos de los clientes. Shopify trata estos datos exclusivamente siguiendo las instrucciones del comerciante. Las categorías de datos tratados incluyen nombres, direcciones de envio, correos electrónicos, tokens de pago e historial de compras. El primer paso hacia el cumplimiento del RGPD es comprender el propio papel como responsable del tratamiento y documentar todas las actividades de tratamiento.

Consentimiento de cookies para tiendas Shopify

Shopify utiliza varios tipos de cookies. Las cookies técnicamente necesarias para el carrito y el proceso de pago no requieren consentimiento. Sin embargo, las cookies de analítica y marketing, como las de Google Analytics o Facebook Pixel, requieren un consentimiento previo e informado. Shopify ofrece una infraestructura de consentimiento integrada a través de su Customer Privacy API. Para un banner de cookies plenamente conforme con el RGPD, se recomienda utilizar una plataforma de gestión de consentimiento especializada que detecte y controle todas las cookies de terceros.

Firma del acuerdo de tratamiento de datos con Shopify

El Art. 28 del RGPD exige que entre el responsable y el encargado del tratamiento se celebre un contrato escrito de tratamiento de datos (DPA). Shopify pone a disposición este contrato automáticamente como parte de sus condiciones de uso, pero debe aceptarse por separado. El contrato regula los fines del tratamiento, las medidas de seguridad, los subencargados y las obligaciones en caso de violaciones de datos. Los comerciantes deben verificar que el DPA este activado en su cuenta de Shopify y documentarlo en su registro de actividades de tratamiento.

Derechos de los interesados y solicitudes de datos de clientes

Los clientes tienen derecho de acceso, rectificación, supresión y portabilidad de datos según el RGPD. Shopify proporciona herramientas integradas para ello: desde el panel de administración, los comerciantes pueden exportar datos de clientes y eliminar cuentas. Ante solicitudes de supresión, los comerciantes deben asegurarse de que también se eliminen todos los datos en las aplicaciones instaladas. Las solicitudes deben responderse en un plazo de 30 días. Shopify apoya el cumplimiento de estas obligaciones, pero la responsabilidad final recae en el comerciante.

Transferencias de datos a EE.UU. y cláusulas contractuales tipo

Shopify es una empresa canadiense con infraestructura de servidores en EE.UU. Las transferencias de datos a terceros países fuera del EEE deben estar respaldadas por garantías adecuadas. Shopify utiliza para ello las cláusulas contractuales tipo (CCT) de la Comisión Europea. Los comerciantes deben informar de forma transparente sobre estas transferencias en su política de privacidad y verificar si Shopify también hace uso del Marco de Privacidad de Datos UE-EE.UU. para acreditar el cumplimiento normativo.

Aplicaciones de Shopify y obligaciones adicionales del RGPD

Cada aplicación instalada desde la tienda de aplicaciones de Shopify puede introducir encargados del tratamiento adicionales. Para cada aplicación que trate datos personales, los comerciantes necesitan un DPA propio. Los comerciantes deben revisar periódicamente sus aplicaciones instaladas, desinstalar las que ya no necesiten y asegurarse de que todos los datos sean eliminados por el proveedor correspondiente. Muchas aplicaciones de Shopify ofrecen su propia documentación sobre el RGPD. Esta debe integrarse en el propio registro de actividades de tratamiento para garantizar una documentación de cumplimiento completa.