Acuerdo de tratamiento de datos

Versión 2026-10-14

Partes. El presente acuerdo se celebra entre {seller_legal_name}, {seller_address}, número de registro {seller_registration_number} (el vendedor, usted) y Unworn i.o., pendiente de inscripción, Cámara de Comercio pendiente de inscripción, que opera la plataforma con el nombre Unworn (la plataforma, nosotros). Unworn i.o. es una sociedad en constitución. Sus founders actúan como sus representantes y la sociedad ratifica este acuerdo en el momento de su constitución.

Aceptación. La persona que registra a su organización como vendedor acepta este acuerdo en nombre de esta en el momento del registro, junto con las condiciones de la plataforma y antes de que se establezca cualquier conexión o se cargue cualquier archivo. Se registran la versión, la persona y el momento.

Idioma. El presente acuerdo existe en neerlandés, inglés, alemán, francés, español e italiano. En caso de discrepancia entre las versiones, prevalecerá el texto en inglés.

Contacto. [email protected]

Artículo 1. Definiciones y partes

1.1 Los términos definidos en el Reglamento General de Protección de Datos (GDPR) tienen el significado que este les atribuye.

1.2 En el presente acuerdo, los siguientes términos tienen el siguiente significado.

• Condiciones de la plataforma: las condiciones de la plataforma que usted aceptó en el momento del registro, en la versión que le sea aplicable.
• Conexión: un enlace entre la plataforma y uno de sus sistemas, o la carga de un archivo, a través del cual leemos sus datos. Shopify, un ERP, un sistema de almacén y un archivo CSV o XLSX constituyen cada uno una conexión.
• Datos conectados: todo lo que leemos o recibimos a través de una conexión.
• Carga útil sin procesar: un registro tal como se recibe de una conexión, antes de que lo mapeemos.
• Datos normalizados: los datos conectados una vez mapeados en las tablas propias de la plataforma.
• Registros: los registros de decisiones, las narrativas de decisiones, los documentos de transacción y la pista de auditoría que genera la plataforma, según se describen en las condiciones de la plataforma.
• Subencargado del tratamiento: una parte a la que recurrimos para tratar datos conectados por cuenta nuestra.

1.3 Con respecto a los datos conectados, usted es el responsable del tratamiento y nosotros somos el encargado del tratamiento. El presente acuerdo es el contrato exigido por el artículo 28, apartado 3, del GDPR.

1.4 Con respecto a los datos descritos en nuestra política de privacidad (las cuentas de sus usuarios, los datos de contacto de su organización, los pedidos de compra, las facturas y los registros), nosotros somos el responsable del tratamiento. Dicho tratamiento se rige por la política de privacidad, no por el presente acuerdo.

Artículo 2. Objeto, duración y naturaleza del tratamiento

2.1 Tratamos los datos conectados para analizar sus existencias, para elaborar las recomendaciones con los cálculos en que se basan y los borradores de oferta que de ellas se derivan, y para generar los registros de lo que se recomendó y de lo que usted decidió.

2.2 El tratamiento consiste en leer una conexión, almacenar las cargas útiles sin procesar, mapearlas en datos normalizados, calcular las señales y recomendaciones, redactar borradores de oferta y generar los registros. Un modelo de lenguaje propone mapeos de columnas, borradores de oferta y narrativas; una persona los confirma. Ninguna cifra de una recomendación procede de un modelo.

2.3 El tratamiento comienza cuando usted establece una conexión o carga un archivo, se prolonga mientras exista la conexión y finaliza con la devolución y supresión previstas en el artículo 12.

2.4 Actuamos como agente entre usted y un comprador. En ningún caso somos propietarios de mercancías ni las custodiamos, compramos o vendemos, y el dinero pagado por las mercancías nunca pasa por nuestra propia cuenta bancaria. Nada de lo dispuesto en el presente acuerdo modifica lo anterior.

Artículo 3. Categorías de interesados y de datos

3.1 Interesados: sus clientes, únicamente a través de los identificadores seudónimos que les asignan sus sistemas; las personas de contacto de sus clientes wholesale, proveedores y almacén, cuando figuren en los datos de pedidos o de existencias; y los miembros de su propio personal cuyos nombres o datos de contacto profesionales figuren en los datos conectados.

3.2 Datos: pedidos y líneas de venta con un identificador de cliente; niveles y movimientos de existencias; precios, costes y márgenes; datos de producto (SKU, EAN, tallas, composición, origen, temporada, fotografías); y los datos de contacto profesionales de las personas mencionadas en el artículo 3.1.

3.3 No solicitamos ni tratamos a sabiendas nombres, direcciones postales, direcciones de correo electrónico ni datos de pago de sus consumidores. Cuando una carga útil sin procesar contenga más datos de los que mapeamos, el excedente se suprime junto con la carga útil conforme al artículo 12.1.

3.4 En virtud del presente acuerdo no se tratan categorías especiales de datos personales (artículo 9 del GDPR) ni datos relativos a condenas penales. Usted no conecta ni carga datos de ese tipo.

Artículo 4. Instrucciones

4.1 Tratamos los datos conectados únicamente siguiendo sus instrucciones documentadas: el presente acuerdo, las condiciones de la plataforma y sus acciones en el portal, como establecer una conexión, cargar un archivo, confirmar un mapeo de columnas, confirmar o modificar una recomendación, presentar una oferta, o exportar o suprimir datos.

4.2 Tratamos los datos conectados únicamente para el análisis, las recomendaciones, los borradores de oferta y los registros. No los utilizamos para ningún otro fin, no los vendemos y no los compartimos con otra marca. Los resultados de transacciones anonimizados y agregados sirven como datos de referencia conforme a las condiciones de la plataforma únicamente cuando una cifra se basa en al menos cinco transacciones.

4.3 Le informaremos si, en nuestra opinión, una instrucción infringe el GDPR u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros, y podremos suspender la instrucción hasta que se resuelva la cuestión.

4.4 Le informaremos antes de iniciar cualquier tratamiento que nos exija el Derecho de la Unión o de los Estados miembros, salvo que dicho Derecho prohíba tal información por razones importantes de interés público.

Artículo 5. Confidencialidad y personal

5.1 Toda persona que trabaje para nosotros y tenga acceso a los datos conectados está sujeta a un deber de confidencialidad, escrito o legal, y ha sido instruida sobre el presente acuerdo.

5.2 El acceso a los datos conectados se limita a las personas que lo necesitan para las tareas descritas en el artículo 2. Cada consulta de un reserve y cada acceso a las credenciales de una conexión se registran con la persona y el momento, incluido nuestro propio personal.

5.3 Mantenemos la confidencialidad del hecho de que usted utiliza la plataforma y del contenido de sus datos conectados.

Artículo 6. Medidas de seguridad

6.1 Adoptamos las medidas técnicas y organizativas del Anexo 2. Estas ofrecen un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza de los datos conectados.

6.2 Podemos sustituir una medida por otra que ofrezca una seguridad igual o superior, y actualizar el Anexo 2 con la siguiente versión del presente acuerdo.

6.3 En la medida en que lo permita el tratamiento, le asistimos en el cumplimiento de su propia obligación de seguridad, en sus evaluaciones de impacto relativas a la protección de datos y en cualquier consulta previa a la autoridad de control conforme a los artículos 32 a 36 del GDPR.

Artículo 7. Subencargados del tratamiento

7.1 Usted autoriza a los subencargados del tratamiento indicados en el Anexo 1. Cada uno de ellos está vinculado por un acuerdo escrito que le impone las mismas obligaciones de protección de datos que el presente acuerdo nos impone a nosotros. Seguimos siendo plenamente responsables ante usted del cumplimiento de un subencargado del tratamiento.

7.2 Le informaremos por correo electrónico con al menos 30 días de antelación antes de añadir o sustituir a un subencargado del tratamiento, indicando la parte, su país y la actividad que realiza.

7.3 Usted podrá oponerse dentro de dicho plazo por motivos razonables relacionados con la protección de datos. Si no podemos ofrecer una alternativa antes de que el cambio surta efecto, usted podrá poner fin sin coste alguno a la conexión afectada y, cuando el nuevo subencargado del tratamiento preste servicio a todas las conexiones, al presente acuerdo. La terminación se rige por el artículo 12.

7.4 Para mayor claridad, el Anexo 1 también menciona a dos partes que no son subencargados del tratamiento: la entidad de pago, responsable independiente del tratamiento en lo que respecta al pago, y Shopify, origen de una conexión.

Artículo 8. Asistencia en las solicitudes de los interesados

8.1 En la medida en que lo permita el tratamiento, le asistimos mediante medidas técnicas y organizativas apropiadas en la respuesta a las solicitudes de los interesados conforme al capítulo III del GDPR.

8.2 Toda solicitud que recibamos directamente de un interesado en relación con los datos conectados se le remitirá sin dilación indebida. No la responderemos nosotros mismos salvo que usted nos dé instrucciones para ello.

8.3 En el caso de una conexión con Shopify, Shopify nos envía tres solicitudes de cumplimiento. Las gestionamos de la siguiente manera y registramos cada una de ellas.

• customers/data_request: le comunicamos el identificador seudónimo de cliente afectado y las líneas de pedido en las que figura. No existe ningún otro dato.
• customers/redact: anulamos el identificador seudónimo de cliente en las líneas de venta afectadas y lo eliminamos de las cargas útiles sin procesar correspondientes.
• shop/redact, enviada después de que usted desinstale la aplicación: revocamos la conexión, destruimos sus credenciales y suprimimos sus cargas útiles sin procesar.

8.4 Los datos normalizados, las recomendaciones y los registros no contienen ningún identificador de cliente y se conservan tras las tres solicitudes. Los datos normalizados solo se suprimen mediante la acción prevista en el artículo 12.5.

Artículo 9. Violación de la seguridad de los datos personales

9.1 Le informaremos de cualquier violación de la seguridad de los datos personales que afecte a los datos conectados sin dilación indebida y, en todo caso, en un plazo de 48 horas desde que tengamos conocimiento de ella, en la dirección de correo electrónico de los propietarios de su organización.

9.2 La notificación describe la naturaleza de la violación, incluidas, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados; nuestra persona de contacto; las posibles consecuencias; y las medidas adoptadas o propuestas, incluidas las destinadas a mitigar sus efectos. La información que no esté disponible de inmediato se facilitará de forma gradual sin más dilación indebida.

9.3 Le asistimos en su notificación a la autoridad de control y, cuando sea necesario, a los interesados, y no realizamos ninguna de dichas notificaciones en su nombre salvo que usted nos dé instrucciones para ello. Documentamos cada violación, sus efectos y las medidas correctivas adoptadas, y ponemos dicha documentación a su disposición.

Artículo 10. Auditorías

10.1 Ponemos a su disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 del GDPR y del presente acuerdo.

10.2 Una vez al año, previa solicitud, usted podrá auditar nuestro cumplimiento. La auditoría comienza con un cuestionario escrito, que responderemos en un plazo razonable. Cuando las respuestas sean insuficientes, usted o un auditor independiente sujeto a confidencialidad podrán realizar una auditoría in situ, a su cargo, en horario laboral, con un preaviso mínimo de 30 días, sin perturbar nuestras operaciones y sin acceso a los datos de otra organización.

10.3 Una auditoría exigida por una autoridad de control, o derivada de una violación de la seguridad de los datos personales, no se computa como la auditoría anual.

Artículo 11. Transferencias fuera del EEE

11.1 Los datos conectados se almacenan y tratan en la Unión Europea. El Anexo 1 indica el país de cada subencargado del tratamiento.

11.2 Tres subencargados del tratamiento del Anexo 1 están establecidos en los Estados Unidos. Mailgun y Sentry tratan los datos en infraestructura de la UE a través del endpoint de la UE y la ingesta en la UE, y no reciben datos conectados. Anthropic PBC recibe la información limitada indicada en el Anexo 2, punto 7. La inferencia está fijada en la región de la UE que ofrece el proveedor y el proveedor no entrena modelos con nuestros datos. La transferencia de lo que llega al proveedor se basa en las cláusulas contractuales tipo adoptadas por la Comisión Europea y en la certificación del proveedor conforme al Marco de Privacidad de Datos UE-EE. UU. Las mismas cláusulas cubren a las otras dos partes estadounidenses para cualquier acceso desde fuera del EEE.

11.3 No realizamos ninguna otra transferencia fuera del EEE, ni ninguna transferencia ulterior, sin su instrucción previa por escrito y un mecanismo de transferencia válido.

Artículo 12. Conservación, devolución y supresión

12.1 Las cargas útiles sin procesar se suprimen 180 días después de su recepción, o antes conforme al artículo 8.3.

12.2 Los datos normalizados se conservan mientras exista la conexión. No contienen ningún identificador de cliente distinto del identificador seudónimo mencionado en el artículo 3.1.

12.3 Cuando finalice una conexión o el presente acuerdo, usted exporta sus datos normalizados, recomendaciones y registros mediante la función de exportación del portal. Tras su exportación, o cuando nos indique que no la necesita, eliminamos los datos normalizados y las credenciales de la conexión. La finalización de su cuenta conforme a las condiciones de la plataforma tiene el mismo efecto para cada conexión.

12.4 Conservamos los registros como responsable del tratamiento para el cumplimiento de nuestras propias obligaciones: cinco años desde su creación para los registros de decisiones, las narrativas y el registro de auditoría, plazo configurable por país cuando la ley exija uno mayor, y siete años para las facturas y los documentos de las transacciones que las sustentan conforme a la legislación fiscal neerlandesa. No se eliminan dentro de dicho plazo, ni siquiera cuando finaliza su cuenta. Los datos personales de sus usuarios se suprimen de ellos cuando ello no debilite su valor probatorio. No contienen ningún identificador de cliente.

12.5 Puede solicitarnos en cualquier momento que suprimamos todo lo que hayamos incorporado desde una conexión: sus cargas útiles sin procesar y los datos normalizados procedentes de ella. Se trata de una acción deliberada con su propia confirmación, que queda registrada junto con el motivo, y es la única vía que alcanza los datos normalizados. No suprime los registros del artículo 12.4; la confirmación así lo indica antes de que usted confirme.

12.6 La supresión se aplica de inmediato en nuestros sistemas en producción, y en las copias de seguridad cuando se completa el ciclo de copias de seguridad descrito en el Anexo 2. Previa solicitud, confirmamos una supresión por escrito.

Artículo 13. Responsabilidad

13.1 La responsabilidad de cada parte en virtud del presente acuerdo se rige por el artículo sobre responsabilidad de las condiciones de la plataforma, incluidos su límite y su exclusión de los daños indirectos y consecuenciales. Nada de lo dispuesto en el presente acuerdo limita la responsabilidad que el GDPR impone a una parte frente a un interesado o una autoridad de control.

13.2 Cada parte asume las multas administrativas que se le impongan por su propia infracción. La parte que pague una multa o una indemnización por una infracción de la otra parte podrá reclamar el importe a dicha parte dentro del límite establecido en el artículo 13.1.

Artículo 14. Vigencia, prelación y legislación aplicable

14.1 El presente acuerdo se aplica desde su aceptación mientras usted tenga una conexión o datos conectados en la plataforma y, posteriormente, hasta que se hayan completado la devolución y la supresión previstas en el artículo 12. Los artículos 5, 12, 13 y 14 subsisten tras su finalización.

14.2 Podemos modificar el presente acuerdo con un preaviso de 30 días por correo electrónico. El uso continuado de una conexión una vez transcurrido el plazo de preaviso constituye aceptación. Si no acepta la modificación, puede finalizar la conexión conforme al artículo 12.

14.3 En las cuestiones relativas al tratamiento de los datos conectados, el presente acuerdo prevalece sobre las condiciones de la plataforma. En cualquier otra cuestión, prevalecen las condiciones de la plataforma.

14.4 El presente acuerdo se rige por la legislación neerlandesa. El Rechtbank Amsterdam tiene competencia exclusiva sobre cualquier litigio derivado del mismo.

Anexo 1. Subencargados del tratamiento

Parte	País	Finalidad	Datos afectados
Hetzner Online GmbH	Alemania; Finlandia, cuando se utilice (UE)	Alojamiento de la plataforma, la base de datos y las copias de seguridad	Todos los datos conectados, cifrados en reposo
Anthropic PBC	Estados Unidos, región de inferencia de la UE	Llamadas al modelo de lenguaje para el mapeo de columnas, los borradores de ofertas y las narrativas; sin entrenamiento con nuestros datos; SCCs y Marco de Privacidad de Datos UE-EE. UU.	Los datos de entrada descritos en el Anexo 2, punto 7, sin su nombre
Mailgun (Sinch), endpoint de la UE	Estados Unidos, datos almacenados en la UE	Correo electrónico transaccional a sus usuarios	Dirección de correo electrónico y contenido de la notificación; ningún dato conectado
Functional Software Inc., que opera como Sentry, ingesta en la UE	Estados Unidos, datos almacenados en la UE	Supervisión de errores, 90 días	Únicamente identificadores de organización y de usuario; sin nombres, direcciones de correo electrónico, cuerpos de solicitud ni datos conectados
ScrapingBee SAS	Francia (UE)	Obtención de una página pública de producto en nuestro nombre cuando el servidor de la página rechaza nuestro propio lector (ADR 0076); solo para páginas que un vendedor indica para sus productos	La dirección pública de dicha página; ningún dato conectado, ningún nombre, ningún inicio de sesión

Dos partes indicadas a título aclaratorio, no como subencargados del tratamiento:

Parte	País	Función
Online Payment Platform B.V., Delft	Países Bajos	Entidad de pago autorizada por De Nederlandsche Bank; responsable independiente del tratamiento para el pago y su propia verificación de clientes; no recibe datos conectados
Shopify International Ltd	Irlanda	Origen de una conexión que usted autoriza; envía las solicitudes de cumplimiento del artículo 8.3; no recibe de nosotros nada más allá de lo necesario para el funcionamiento de la aplicación

Anexo 2. Medidas de seguridad

1. Alojamiento en la UE y cifrado. La plataforma, su base de datos y sus copias de seguridad se ejecutan en el subencargado de alojamiento indicado en el Anexo 1. Los datos se cifran en tránsito; la base de datos y las copias de seguridad se cifran en reposo.
2. Credenciales cifradas. Las credenciales de cada conexión se almacenan cifradas con una clave que custodia la aplicación y no la base de datos. Nunca aparecen en registros, informes de errores ni exportaciones.
3. Delimitación por función y organización. El portal del vendedor, el portal del comprador y la consola interna tienen autenticación independiente. Cada tabla que contiene sus datos incluye el identificador de su organización y cada consulta del portal se limita a dicho identificador. Los propietarios y miembros de su organización tienen los permisos que usted les asigne.
4. Registros de auditoría y de decisiones de solo anexión. Cada cambio de estado, cada decisión manual de nuestro personal junto con su motivo, cada consulta de un reserve y cada exportación se escriben en un registro de auditoría que la aplicación no puede modificar ni eliminar; la base de datos lo impone. Los registros de decisiones y las narrativas son igualmente de solo anexión.
5. Ninguna fila sin procesar ni valor de muestra en los registros. Los registros y los informes de errores nunca contienen una carga útil sin procesar, una fila de datos, un valor de muestra, una credencial ni un reserve. A cada evento se le aplica una lista de claves prohibidas antes de que salga de la plataforma.
6. Supervisión de errores solo con identificadores. Los informes de errores incluyen los identificadores de organización, usuario y proceso, nunca un nombre, una dirección de correo electrónico, un cuerpo de solicitud ni un valor de consulta, y se conservan 90 días en el subencargado de supervisión de errores en la UE.
7. La regla de muestreo del modelo de lenguaje. El mapeo de columnas envía encabezados, tipos inferidos y como máximo diez valores de muestra por columna, nunca de columnas de ingresos, clientes o márgenes, sin su nombre. Los borradores de ofertas y las narrativas envían los campos agregados de un único registro, nunca filas de datos de ventas. Ninguna llamada contiene datos de dos organizaciones. Almacenamos un hash de los datos de entrada y de la propuesta, nunca los datos de entrada. Una persona confirma cada propuesta antes de que afecte a sus datos.
8. Copias de seguridad. Las copias de seguridad se realizan con una periodicidad fija, se almacenan cifradas en la UE y se sobrescriben en un ciclo fijo. Las restauraciones se someten a pruebas.
9. Gestión de accesos y cambios. El acceso al entorno de producción es personal, utiliza autenticación multifactor, se limita a las personas que lo necesitan y se revoca cuando una persona se marcha. Los cambios se revisan y prueban antes de su publicación; las pruebas de seguridad verifican que los datos de una organización nunca lleguen a otro portal.
10. Procedimiento ante violaciones de seguridad. Un procedimiento documentado abarca la detección, la contención, la evaluación y la notificación prevista en el artículo 9.