Acuerdo de tratamiento de datos personales de Reveni - Reservas

Entre el comerciante y Reveni Labs, para la app Reveni - Reservas.

Este acuerdo (el «Acuerdo» o «DPA») regula el tratamiento de datos personales que Reveni Labs realiza por cuenta del comerciante cuando este instala y usa la app Reveni - Reservas en su tienda Shopify: sobre todo, los datos de los alumnos que reservan sus clases y de los profesores que las dan.

Está redactado en español porque así lo exige la normativa peruana que lo gobierna: la Ley N.º 29733, Ley de Protección de Datos Personales, y su Reglamento, aprobado por Decreto Supremo N.º 016-2024-JUS, vigente desde el 30 de marzo de 2025.

Se complementa con la política de privacidad de la app. En la relación con el comerciante y en materia de datos personales, este Acuerdo prevalece sobre cualquier otra condición del servicio si hubiera contradicción.

Cómo se acepta. Al instalar la app o seguir usándola, el comerciante acepta este Acuerdo. Está enlazado desde la ficha de la app en la Shopify App Store y desde su política de privacidad.

1. Las partes y sus papeles§

Lo que eso significa, sin rodeos. El comerciante decide para qué y cómo se tratan los datos personales de sus alumnos y de sus profesores, y responde de ello ante ellos y ante la Autoridad Nacional de Protección de Datos Personales. Nosotros solo tratamos esos datos siguiendo sus instrucciones, para prestarle el servicio de la app, y nunca para fines propios.

Cuando tratamos datos de la cuenta del comerciante (el dominio de su tienda, su correo de contacto, su plan y el uso que hace de la app), ahí el responsable somos nosotros, y ese tratamiento se rige por la política de privacidad, no por este Acuerdo.

Contacto. Todo lo relativo a este Acuerdo se dirige a ayuda@revenilabs.com. Oficial de datos personales: [NOMBRE Y CORREO DEL OFICIAL DE DATOS PERSONALES, SI SE DESIGNA].

2. Definiciones§

Se usan las de la Ley 29733 y su Reglamento. Las tres que más importan:

• Titular de datos personales: la persona física a la que se refieren los datos. Aquí, los alumnos que reservan clases en la tienda y los profesores del estudio.
• Titular del banco de datos personales o responsable del tratamiento: quien decide sobre el tratamiento. Aquí, el comerciante.
• Encargado del tratamiento: quien trata los datos por cuenta del responsable. Aquí, Reveni Labs.

Subencargado: el tercero que trata datos por cuenta nuestra, con autorización del comerciante (artículo 32 del Reglamento).

3. Objeto, alcance y duración del encargo§

El detalle está en el Anexo I. En resumen:

• Objeto: prestar el servicio de reservas de la app, tal como lo describen su ficha en la Shopify App Store y su política de privacidad.
• Naturaleza y finalidad: recoger, registrar, organizar, conservar, consultar, usar, modificar, bloquear y suprimir los datos necesarios para convertir cada pedido de una clase en la reserva de una sesión, llevar su cupo, mostrar la lista de alumnos y pasar lista, permitir que el alumno gestione sus reservas, dar a cada profesor su portal y sus ganancias, y enviar los correos de la app.
• Duración: mientras la app esté instalada en la tienda, más los plazos de supresión del capítulo 12.
• Categorías de datos y de titulares: Anexo I.

El encargo no incluye el tratamiento de datos de tarjetas de pago, que gestiona Shopify; ni el pago a los profesores, porque la app calcula sus ganancias pero no paga ni mueve dinero; ni el uso de los datos para publicidad, prospección comercial, elaboración de perfiles o decisiones automatizadas con efectos legales o significativos. Lo único automático que toca a un alumno es el reembolso cuando paga tarde y la sesión ya se llenó: la app le devuelve el dinero y se lo dice.

4. Instrucciones del comerciante§

Tratamos los datos únicamente conforme a las instrucciones documentadas del comerciante. Son instrucciones documentadas, y forman el conjunto completo salvo que el comerciante nos dé otras por escrito:

1. Este Acuerdo y sus anexos.
2. La política de privacidad de la app y la descripción del servicio en su ficha de la Shopify App Store.
3. La configuración que el comerciante elige dentro de la app y los permisos que concede a la app en Shopify.
4. Las acciones que el comerciante y su equipo ejecutan desde el panel de la app.
5. Lo que sus profesores hacen desde su portal: se aplica, o queda a la espera de que el estudio lo apruebe, según el permiso que el estudio le haya dado a cada uno.

Si una instrucción del comerciante nos pareciera contraria a la Ley 29733, a su Reglamento o a cualquier otra norma aplicable, se lo diremos y podremos suspender la ejecución de esa instrucción hasta que se aclare, sin que ello constituya incumplimiento nuestro.

Si el comerciante nos pide un tratamiento que la app no ofrece, o distinto del descrito en el Anexo I, hará falta un acuerdo escrito específico.

5. Nuestras obligaciones como encargado§

Además de lo dicho en el resto del Acuerdo, nos obligamos a lo siguiente. Los cinco primeros son literalmente los mecanismos que el artículo 30 del Reglamento exige a quien presta un servicio de tratamiento por medios tecnológicos tercerizados.

1. Comunicar los cambios en nuestra política de privacidad o en las condiciones del servicio, y pedir el consentimiento del comerciante cuando el cambio suponga ampliar nuestras facultades de tratamiento.
2. Permitir al comerciante limitar el tipo de tratamiento sobre los datos de los que prestamos el servicio. En la práctica: el comerciante decide qué permisos concede a la app en Shopify (el de subir fotos es opcional), qué datos de sus profesores introduce y qué puede hacer cada profesor desde su portal.
3. Establecer y mantener medidas de seguridad adecuadas (capítulo 8 y Anexo III).
4. Garantizar y evidenciar la supresión de los datos una vez concluido el servicio, después de que el comerciante haya tenido ocasión de conservar lo que necesite (capítulo 12).
5. Impedir el acceso a los datos a quien no tenga privilegios, y, si una autoridad competente nos requiriera acceso, informar al comerciante de ese hecho salvo que la ley nos lo prohíba.

Y además:

1. No tratar los datos para fines propios ni distintos de los del encargo, ni venderlos.
2. No transferir los datos a terceros sin autorización del comerciante, tal como exige el artículo 31.1 del Reglamento. La autorización para los subencargados del Anexo II se entiende concedida al aceptar este Acuerdo.
3. Guardar confidencialidad, también después de terminado el encargo, y obligar por contrato a la misma confidencialidad a toda persona que acceda a los datos por nuestra cuenta.
4. Limitar el acceso del personal a quien lo necesite para su función, con autenticación en dos factores y revisión periódica de privilegios.
5. No usar los datos para crear, entrenar, ajustar ni mejorar sistemas de inteligencia artificial o de aprendizaje automático, ni propios ni de terceros.
6. No cruzar los datos de una tienda con los de otra ni entre nuestras apps, ni usarlos para promocionar otras apps nuestras. Cada correo que envía la app es sobre la reserva, la clase o el portal de quien lo recibe.
7. Asistir al comerciante en el cumplimiento de sus propias obligaciones: derechos de los titulares (capítulo 11), notificación de incidentes (capítulo 14), evaluaciones de impacto y consultas a la autoridad, en la medida que nuestra posición nos lo permita.
8. Documentar el tratamiento y poner a disposición del comerciante la información necesaria para demostrar el cumplimiento de este Acuerdo (capítulo 13).

6. Obligaciones del comerciante§

El comerciante, como responsable del tratamiento:

1. Es quien debe tener una base legal para el tratamiento y quien debe cumplir el deber de información del artículo 6 del Reglamento frente a sus alumnos y sus profesores: identidad y domicilio del responsable, finalidades, destinatarios, existencia del banco de datos, carácter obligatorio o facultativo de los datos, consecuencias de darlos o negarlos, transferencias nacionales e internacionales, existencia de decisiones automatizadas, plazo de conservación y mecanismos para ejercer derechos.
2. Debe publicar y mantener su propia política de privacidad, y describir en ella el uso de la app de reservas. La publicación de una política de privacidad cumple el deber de información pero no exonera de obtener el consentimiento cuando la ley lo exija (artículo 7 del Reglamento).
3. Debe inscribir sus bancos de datos personales en el Registro Nacional de Protección de Datos Personales cuando le corresponda, según el artículo 42 del Reglamento. Esa obligación es suya, no nuestra.
4. Garantiza que los datos que nos entrega o que la app recoge por su cuenta son exactos y se han obtenido lícitamente; en particular, los de sus profesores, que introduce él.
5. Es quien responde ante sus alumnos, sus profesores y la autoridad por el tratamiento, y quien decide si una petición de derechos procede o no.
6. Debe mantener actualizado su correo de contacto en la tienda, porque es la dirección por la que le avisaremos de un incidente de seguridad o de un cambio de subencargado, y la que la app pone como dirección de respuesta en los correos a alumnos y profesores.
7. Decide quién de su lado accede a los datos: su equipo, que en el panel de la app ve a los alumnos con su nombre y su correo, y sus profesores, que en su portal ven los nombres de los alumnos de sus clases, sin sus correos. Esas personas actúan por cuenta del comerciante, no por la nuestra, y es él quien debe asegurarse de que usen esos datos solo para dar y gestionar las clases.
8. No debe usar la app para tratar categorías de datos que la app no está diseñada para tratar, en particular datos sensibles en el sentido de la Ley 29733. La app no pide datos de salud de los alumnos y no debe usarse para recogerlos. Tampoco está dirigida a menores: si el estudio ofrece clases para niños, la reserva la hace y la paga un adulto con su cuenta, y la app no pide la edad ni el nombre del niño. La biografía del profesor es texto libre y se publica en la tienda: el comerciante es responsable de que no incluya datos sensibles.

7. Personal y confidencialidad§

Solo accede a los datos el personal que lo necesita para operar y dar soporte a la app. Todo el personal con acceso está sujeto a un deber de confidencialidad de duración indefinida, sobrevive al fin de la relación laboral o de servicios, y recibe instrucciones sobre el tratamiento de datos personales acordes a su función.

Los accesos se revisan al menos cada seis meses, y se retiran el mismo día en que una persona deja de necesitarlos.

8. Medidas de seguridad§

Aplicamos las medidas técnicas y organizativas descritas en el Anexo III, alineadas con los artículos 46 a 51 del Reglamento. Las principales:

• Cifrado en tránsito (TLS) en todas las conexiones y cifrado en reposo del proveedor de base de datos.
• Cifrado adicional de aplicación con AES-256-GCM sobre el nombre y el correo del alumno y el correo del profesor. Cada cifrado va atado a su fila mediante un dato autenticado adicional, de modo que un texto cifrado no se puede mover de una persona a otra, y la clave de estos datos es distinta de la que protege los tokens de acceso a la tienda, para poder rotar una sin la otra.
• Registro de trazabilidad: cada descifrado de un nombre o un correo escribe una entrada de auditoría con quién, sobre qué fila, para qué y cuándo. El valor descifrado nunca se escribe en ese registro, y es el único camino por el que se puede descifrar.
• Control de acceso por identidad, con autenticación en dos factores y privilegios mínimos.
• Aislamiento por app: esquema de base de datos y usuario propios, sin permisos sobre los de las demás apps de Reveni Labs.
• Redacción automática en los registros de servidor, aplicada en el momento de escribir, no después.
• Separación de entornos: las pruebas se hacen en tiendas de desarrollo con datos inventados, y en desarrollo no se usan datos reales.
• Copias de seguridad cifradas.

No contamos con certificación ISO/IEC 27001, informe SOC 2 ni ningún sello equivalente, y no afirmamos lo contrario. Ningún sistema es invulnerable: si ocurriera un incidente, se aplica el capítulo 14. El documento de seguridad del artículo 47 del Reglamento está en [ESTADO DEL DOCUMENTO DE SEGURIDAD: elaborado, con fecha cierta, y su ubicación].

9. Subencargados§

El comerciante autoriza de forma general que recurramos a los subencargados listados en el Anexo II, en los términos del artículo 32.2 del Reglamento.

• Cada subencargado está vinculado por contrato a obligaciones equivalentes a las de este Acuerdo, como exige el artículo 33.
• Respondemos ante el comerciante del cumplimiento de cada subencargado como si el tratamiento lo hiciéramos nosotros.
• Si añadimos o sustituimos un subencargado, avisaremos al comerciante con al menos [PLAZO DE AVISO DE CAMBIO DE SUBENCARGADO, POR EJEMPLO 30 DÍAS] de antelación, antes de que empiece a tratar datos, a la dirección de correo de su tienda. El comerciante puede oponerse por motivos razonables de protección de datos dentro de ese plazo; si no encontramos una alternativa, podrá resolver el contrato desinstalando la app sin penalidad.

10. Flujo transfronterizo de datos personales§

Declaración expresa: los datos se alojan y se tratan en Estados Unidos (región us-east-1). Esto constituye un flujo transfronterizo de datos personales en el sentido del artículo 18 del Reglamento, y así se declara.

Perú no ha emitido una declaración general de nivel adecuado de protección respecto de Estados Unidos. En consecuencia, y conforme al artículo 18.2 del Reglamento, el exportador debe otorgar garantías adecuadas. Las que aplicamos, al amparo del artículo 20, son:

1. Contrato escrito con cada subencargado, que le impone al menos las mismas obligaciones a las que estamos sujetos y recoge las condiciones en las que el titular consintió el tratamiento.
2. Cláusulas contractuales modelo de la Dirección General competente, cuando estén disponibles y sean aplicables; y, para los comerciantes sujetos al Reglamento europeo, las cláusulas contractuales tipo de la Comisión Europea (Anexo IV).
3. Cifrado en tránsito y en reposo, más el cifrado de aplicación del nombre y el correo descrito en el capítulo 8.
4. Prohibición contractual de que el subencargado use los datos para fines propios.

Puesta en conocimiento y registro. Conforme al artículo 21.2 del Reglamento, el flujo transfronterizo debe ponerse en conocimiento de la Dirección General competente e inscribirse en el Registro Nacional de Protección de Datos Personales. [ESTADO DE LA COMUNICACIÓN E INSCRIPCIÓN DEL FLUJO TRANSFRONTERIZO: pendiente de tramitar por el fundador.]

El comerciante debe informar de esta transferencia internacional a sus alumnos y a sus profesores, según el punto 7 del artículo 6.1 del Reglamento.

11. Asistencia en el ejercicio de derechos§

Los titulares pueden ejercer sus derechos ante el comerciante, que es el responsable, o escribirnos a nosotros; las dos vías funcionan. Le asistimos así:

1. Si un titular se dirige a nosotros directamente, en ayuda@revenilabs.com e indicando la tienda, no resolvemos por nuestra cuenta: le confirmamos la recepción, trasladamos la petición al comerciante sin demora y le prestamos la asistencia técnica necesaria.
2. Si la petición llega por el canal automático de Shopify (customers/data_request, customers/redact), la ejecutamos directamente porque el comerciante ya la ha aprobado al originarla desde su panel. Ver el capítulo 12.
3. Las peticiones de acceso las preparamos nosotros y las entrega el comerciante. Reunimos en un paquete las reservas y las clases a favor de la persona, y su nombre y su correo descifrados; el comerciante lo descarga desde la pantalla «Datos personales» de la configuración de la app, se lo hace llegar y marca la petición como entregada. Cada descifrado queda registrado, y el paquete se borra 30 días después de entregarlo.
4. Herramientas de autoservicio. El alumno puede cancelar o cambiar de fecha sus reservas, y usar sus clases a favor, él mismo en «Mis reservas», con su cuenta de la tienda. Un profesor puede pedir al estudio que corrija su ficha o que deje de enlazar su cuenta.

Plazos legales de referencia, según los artículos 69 y 71 del Reglamento:

Nuestra asistencia se presta con la antelación necesaria para que el comerciante pueda cumplir esos plazos. Cuando la petición llega por el canal de Shopify, el plazo máximo de ejecución es de 30 días, con una alarma interna que salta siete días antes de vencer.

12. Conservación, devolución y supresión§

12.1 Durante el encargo§

Conservamos los datos mientras la app esté instalada en la tienda. No hay un plazo más corto, y es deliberado: mientras la app siga instalada, el estudio necesita el historial de sus reservas, porque detrás de cada una hay un pedido que tiene que contabilizar y con ellas se calculan las ganancias de sus profesores. Por eso no las borramos solos antes: se borran o se anonimizan por las vías de este capítulo. Si algún día anonimizamos de forma automática a los alumnos sin actividad, lo diremos en la política de privacidad, con su plazo.

Además, hay datos que se borran o caducan antes:

La política de conservación, explicada para alumnos y profesores, está en la política de privacidad, capítulo 7.

12.2 Petición de borrado de una persona (customers/redact)§

En un plazo máximo de 30 días desde la recepción:

• Se borran su nombre, su correo, la huella de su correo (Anexo I) y su identificador de cliente.
• Se conservan, anonimizadas, sus reservas. Motivo declarado: son pedidos reales que el estudio debe contabilizar. La conservación se hace por anonimización, sin ningún dato que identifique a la persona, y sus clases a favor dejan de ser de nadie.
• Se anulan los avisos que tuviera pendientes y se vacía el contenido de los avisos de pedido guardados.
• Si entraba al portal de profesores con esa cuenta, se le quita el acceso.

12.3 Fin del encargo (shop/redact, tras la desinstalación)§

Shopify nos envía la petición de borrado 48 horas después de la desinstalación. Al recibirla, y dentro de las 48 horas siguientes, borramos todos los datos de esa tienda de nuestra base de datos.

De lo que guardábamos para la tienda solo sobrevive el registro mínimo de las peticiones de borrado atendidas, sin ningún dato personal dentro. Aparte se conserva el registro de trazabilidad de los accesos (Anexo III), que anota quién consultó un dato, para qué y cuándo, pero nunca el dato. Son nuestra prueba de que cumplimos, y se conservan conforme a los artículos 35 y 46.3 del Reglamento, que obligan a documentar el tratamiento para que la autoridad pueda verificarlo.

Antes de desinstalar, el comerciante debe tener en cuenta que lo que solo vive en la app (las reservas, la asistencia, las clases a favor y las ganancias de sus profesores) se borra, y que la app no ofrece hoy una exportación de esos datos. Los pedidos siguen en su tienda, y lo que la app creó en ella se queda allí (capítulo 15). Después de la desinstalación ya no tenemos acceso a su tienda.

12.4 Límite legal de conservación§

Conforme al artículo 31.2 del Reglamento, el plazo máximo de conservación de datos personales por parte del encargado es de dos años contados desde la finalización del último encargo. Nosotros suprimimos mucho antes: dentro de las 48 horas siguientes a la petición de Shopify. La conservación indeterminada está prohibida y no la practicamos.

12.5 Copias de seguridad§

Las copias de seguridad son cifradas y tienen su propio ciclo de vida. Una copia restaurada puede contener datos ya suprimidos: por eso conservamos el registro de las peticiones de borrado atendidas y las volvemos a aplicar sobre cualquier restauración. El periodo de retención de las copias es de [PERIODO DE RETENCIÓN DE COPIAS DE SEGURIDAD DEL PROVEEDOR].

13. Información y auditoría§

Ponemos a disposición del comerciante la información razonablemente necesaria para acreditar el cumplimiento de este Acuerdo: la descripción de las medidas de seguridad, la lista de subencargados, la información de un incidente que le afecte y la evidencia de que un borrado se ejecutó.

El comerciante puede auditar el cumplimiento, o encargarlo a un tercero independiente sujeto a confidencialidad, una vez al año salvo que una autoridad o un incidente justifiquen otra, avisando con al menos 30 días de antelación, en horario laboral, sin interrumpir la operación y sin acceder a datos de otros comerciantes. Los costes de la auditoría los asume quien la solicita, salvo que revele un incumplimiento nuestro relevante.

14. Incidentes de seguridad§

Este capítulo resume, para el comerciante, el procedimiento interno que tenemos escrito, con severidades, responsables y relojes.

Le avisaremos de forma inmediata, sin esperar a terminar la investigación, de cualquier incidente de seguridad de datos personales del que tengamos conocimiento y que afecte a datos tratados por su cuenta. Es lo que exige el artículo 36 del Reglamento al encargado del tratamiento, y coincide con el artículo 33.2 del Reglamento europeo.

El aviso incluirá, en la medida en que la información esté disponible y conforme al artículo 34.2 del Reglamento:

1. La naturaleza del incidente y, cuando sea posible, los tipos de datos y el número aproximado de titulares afectados.
2. El nombre y los datos de contacto de nuestro punto de contacto.
3. Las posibles consecuencias del incidente.
4. Las medidas adoptadas o propuestas, incluidas las de mitigación.

Los plazos que corren, y quién los cumple:

Los plazos se cuentan desde la toma de conocimiento, no desde la confirmación técnica.

Documentamos todo incidente, sus efectos y las medidas adoptadas, conforme al artículo 35 del Reglamento, y esa documentación queda a disposición del comerciante y de la autoridad.

15. Límites que declaramos por escrito§

Un acuerdo que prometa lo imposible no sirve. Estos son los límites reales del servicio en materia de datos, y se declaran aquí para que el comerciante los conozca antes de instalar:

1. Lo que la app creó dentro de la tienda se queda en ella al desinstalar: los productos de las clases, los metaobjetos de profesores y sesiones y las fotos subidas a los Archivos de la tienda. Es deliberado (son del comerciante) y además es un hecho técnico: Shopify revoca nuestro acceso a la tienda 48 horas antes de enviarnos la petición de borrado, así que no podríamos tocarlos aunque quisiéramos. Ninguno contiene datos de alumnos, y los de profesores solo llevan lo que ya se publica en la tienda: su nombre, su biografía y su foto.
2. Un correo que ya se envió no es recuperable. Borramos nuestra copia, no la de la bandeja de entrada de quien lo recibió.
3. Aunque la app no pide el teléfono, los avisos de cumplimiento de Shopify lo traen. Cuando alguien pide ver o borrar sus datos, Shopify nos envía el aviso completo, con su correo y su teléfono. Los usamos únicamente para saber a quién hay que buscar, y vaciamos ese contenido de nuestro registro en cuanto la tarea toma la petición, antes de dar ningún otro paso.
4. El paquete de una petición de acceso se entrega al comerciante, no a la persona. Lo descarga él desde el panel de la app y es él, como responsable, quien se lo hace llegar (capítulo 11).
5. Una copia de seguridad restaurada puede contener datos ya borrados. Ver el punto 12.5.

16. Responsabilidad§

Cada parte responde de sus propios incumplimientos. La limitación de responsabilidad del servicio, [LIMITACIÓN DE RESPONSABILIDAD: Reservas no tiene términos de servicio; fijarla aquí o remitir a unos términos], se aplica también a este Acuerdo, salvo en aquello que la Ley 29733, su Reglamento o cualquier otra norma imperativa no permitan limitar, y salvo en caso de dolo o culpa inexcusable.

Las sanciones administrativas que la Autoridad Nacional imponga a una parte por hechos que le sean imputables las asume esa parte.

17. Vigencia, modificación y ley aplicable§

• Vigencia: desde la instalación de la app hasta que se completen las obligaciones de supresión del capítulo 12. Las obligaciones de confidencialidad y de documentación sobreviven.
• Modificación: podemos actualizar este Acuerdo cuando cambie la normativa o el servicio, avisando al comerciante, por correo o dentro de la app, con al menos [PLAZO DE AVISO, POR EJEMPLO 30 DÍAS] de antelación. Si no está de acuerdo, puede desinstalar la app antes de que entre en vigor.
• Ley aplicable y jurisdicción: las leyes de [JURISDICCIÓN, POR EJEMPLO: LA REPÚBLICA DEL PERÚ], y los tribunales de [TRIBUNALES COMPETENTES]. Para los comerciantes sujetos al Reglamento europeo, el Anexo IV prevalece en lo que le sea propio.
• Nulidad parcial: si una cláusula resulta inválida, el resto sigue vigente.

Anexo I · Detalle del tratamiento§

Objeto: prestación del servicio de reservas de la app Reveni - Reservas.

Duración: mientras la app esté instalada, más los plazos de supresión del capítulo 12.

Naturaleza y finalidad: el estudio vende cada clase como un producto de Shopify, con horario y cupo, y la app convierte cada pedido pagado en el checkout en la reserva de una sesión. Para eso:

• Apartar la plaza mientras el alumno paga, y confirmarla o liberarla según el estado del pedido.
• Llevar la lista de alumnos de cada sesión y pasar lista.
• Permitir que el alumno cancele, cambie de fecha y use sus clases a favor en «Mis reservas».
• Dar a cada profesor su portal, al que entra con su cuenta de cliente de la tienda, con sus clases, los nombres de sus alumnos y sus ganancias.
• Enviar los correos de la app: al alumno, cuando su sesión cambia de fecha, hora o sala, o se cancela, con lo que se le devuelve; al profesor, la invitación a su portal, los cambios en sus clases, su acuerdo y los pagos que el estudio marca; y al estudio, lo que sus profesores cambian o piden desde el portal.
• Atender las peticiones de acceso y de borrado.

Categorías de titulares de datos personales:

• Los alumnos: clientes de la tienda que reservan y pagan clases.
• Los profesores del estudio, cuyos datos introduce el comerciante y que entran a su portal con su cuenta de cliente de la tienda.
• El personal del comerciante que usa el panel de la app, solo en la medida en que el registro de trazabilidad anota quién consulta los datos de los alumnos.

Categorías de datos personales tratados:

Cómo llegan el nombre y el correo: la app los lee del pedido al consultarlo por la API de Shopify. Los avisos automáticos que Shopify envía cuando cambia un pedido llegan recortados en origen y no los traen.

Datos que NO se tratan: el teléfono, la dirección, la fecha de nacimiento ni datos de salud del alumno; del pedido, ni el teléfono, ni la dirección de facturación, ni la de envío, ni la nota, ni los datos del navegador del comprador; del registro de cliente de Shopify, nada más que el identificador, el nombre y el correo de quien compró, y solo en los pedidos de la tienda (la app pide el permiso read_customers solo para eso, y no pide permiso para escribir en los clientes); la edad ni el nombre de un niño cuando la clase es para niños; datos de tarjetas de pago; datos sensibles en el sentido de la Ley 29733. La app no instala cookies propias ni usa píxeles de seguimiento.

Operaciones: recopilación, registro, organización, estructuración, conservación, adaptación, consulta, uso, comunicación a los subencargados del Anexo II, limitación, supresión y destrucción.

Anexo II · Subencargados autorizados§

[DIRECCIONES LEGALES COMPLETAS DE CADA SUBENCARGADO]

Shopify Inc. no figura como subencargado nuestro: es la plataforma del propio comerciante, sobre la que corren su tienda y la app, y su relación con él se rige por los acuerdos de Shopify. Las fotos que se suben desde la app se guardan en los Archivos de la tienda, en Shopify, no en nuestros servidores.

Si en el futuro incorporamos herramientas de observabilidad de errores o de analítica de producto, se añadirán a este anexo y se avisará al comerciante en los términos del capítulo 9 antes de que empiecen a tratar datos.

Anexo III · Medidas técnicas y organizativas§

Alineadas con los artículos 46 a 51 del Reglamento.

Control de acceso (art. 46.1)

• Gestión de altas, cambios y bajas de usuarios en todas las consolas y en la base de datos.
• Identificación y autenticación con contraseña fuerte, guardada en un gestor de contraseñas, y segundo factor obligatorio en Shopify Partners, Vercel, Supabase, GitHub y Resend.
• Privilegios mínimos por rol, con revisión al menos semestral, que es el intervalo mínimo que fija el propio artículo.
• Usuario y esquema de base de datos propios por app, sin permisos cruzados. Sin uso de credenciales con privilegios de servicio dentro de las apps.

Monitoreo y capacitación (art. 46.2)

• Revisión periódica de las medidas de seguridad y de las alertas de seguridad de las dependencias.
• Instrucciones al personal sobre tratamiento de datos personales según su función.

Registros de trazabilidad (art. 46.3)

• Cada descifrado de un nombre o un correo escribe una entrada de auditoría con quién (una persona o un proceso automático), para qué, sobre qué fila y cuándo, antes de descifrar y sin el valor descifrado. Es el único camino de descifrado del sistema. También queda registrada la descarga del paquete de una petición de acceso.
• Registros de servidor con redacción automática en el momento de escribir: los tokens de acceso, las firmas, los identificadores de cliente que Shopify pasa en la URL y los correos se sustituyen por [redacted].
• Retención mínima de los registros de trazabilidad: [RETENCIÓN DEL REGISTRO DE AUDITORÍA. El artículo 46.3 fija un mínimo de dos años.]

Prevención de copias no autorizadas (art. 46.4)

• Sin exportaciones ad hoc desde producción. La única exportación es el paquete que se produce al atender una petición de acceso, que el comerciante descarga desde el panel de la app.
• Ningún dato de alumnos sale a la tienda: ni a los metaobjetos, ni al tema, ni a sus páginas. El portal del profesor muestra solo los nombres de sus alumnos, sin sus correos.

Cifrado

• TLS en tránsito. Cifrado en reposo del proveedor.
• AES-256-GCM de aplicación sobre el nombre y el correo del alumno, el correo del profesor y los tokens de acceso a la tienda. El nombre y los correos van atados a su fila mediante datos autenticados adicionales, de forma que un texto cifrado no se puede descifrar fuera de su contexto.
• La huella del correo del alumno se calcula con la clave de la app (HMAC), nunca con un resumen sin clave.
• Claves separadas para los datos personales y para los tokens de sesión, rotables de forma independiente; cada fila guarda con qué versión de la clave se cifró.

Copias de respaldo (art. 48 y 51)

• Copias cifradas y automáticas del proveedor de base de datos.
• Reaplicación de las peticiones de borrado sobre cualquier restauración.
• [FRECUENCIA Y PRUEBA DE RESTAURACIÓN DE LAS COPIAS. El artículo 51.1 fija una frecuencia mínima semanal.]

Separación de entornos

• Las pruebas se hacen en tiendas de desarrollo con datos inventados. El entorno de desarrollo solo trabaja con tiendas de desarrollo y usa sus propias claves, que no descifran los datos de producción, y las pruebas automáticas corren contra una base de datos en memoria, sin credenciales de producción. Prohibido usar datos reales fuera de producción.

Verificación continua

• Pruebas automáticas que fallan si un aviso de pedido de Shopify empieza a traer datos personales del cliente, si el cifrado de los datos personales deja de funcionar o si un descifrado no deja su entrada de auditoría.

Gestión de incidentes

• Procedimiento interno escrito con severidades, responsables y relojes, que incluye la rotación por separado de la clave de los datos personales y la de los tokens de sesión.

Documento de seguridad (art. 47)

• [ESTADO DEL DOCUMENTO DE SEGURIDAD: elaborado, con fecha cierta, y su ubicación]

Anexo IV · Adenda para comerciantes sujetos al Reglamento europeo§

Este anexo aplica solo si el comerciante está sujeto al Reglamento (UE) 2016/679 (RGPD) o al UK GDPR. En lo que no lo contradiga, sigue vigente el resto del Acuerdo.

• Papeles: el comerciante es el responsable del tratamiento y Reveni Labs el encargado, en el sentido del artículo 4 del RGPD.
• Artículo 28.3: el objeto, la duración, la naturaleza, la finalidad, los tipos de datos y las categorías de interesados son los del Anexo I. Las obligaciones del encargado enumeradas en el artículo 28.3, letras a) a h), se corresponden con los capítulos 4, 5, 7, 8, 9, 11, 12, 13 y 14 de este Acuerdo.
• Subencargados: autorización general con derecho de oposición, según el capítulo 9 y el artículo 28.2 y 28.4.
• Transferencias internacionales: las transferencias a Estados Unidos se amparan en las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, módulo responsable a encargado, que se incorporan por referencia. [CONFIRMAR LA FIRMA DE LAS CLÁUSULAS TIPO CON CADA SUBENCARGADO Y ADJUNTARLAS.]
• Notificación de violaciones: le avisamos sin dilación indebida (artículo 33.2) para que pueda cumplir su plazo de 72 horas frente a la autoridad de control (artículo 33.1) y, si procede, comunicarlo a los interesados (artículo 34).
• Supresión al terminar: se aplica el capítulo 12, con la salvedad de los registros que debamos conservar por obligación legal.
• Evaluaciones de impacto: le asistiremos con la información técnica necesaria, en los términos del artículo 28.3.f y de los artículos 35 y 36.

Marcadores pendientes§

Mientras queden corchetes, este Acuerdo no está completo. Faltan estos datos:

Última actualización: 25 de octubre de 2026.