1. Principios y normas aplicables

1.1. El COLABORADOR, como responsable del tratamiento, y el PROVEEDOR SaaS, como encargado del tratamiento, se comprometen a y garantizan tratar los datos de los Clientes del COLABORADOR únicamente de conformidad con el Reglamento Comunitario 2016/679, de 27 de abril relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, Reglamento General de Protección de Datos o RGPD).

1.2. De este modo, el COLABORADOR y el PROVEEDOR SaaS garantizan a los usuarios su derecho a la intimidad en lo que se refiere al tratamiento de sus datos personales y, en consecuencia, todos los procesos se regirán por los principios de legalidad, veracidad, propósito, transparencia, libertad, consentimiento, acceso, seguridad y confidencialidad.

2. Contexto y responsable del tratamiento

2.1. El COLABORADOR resulta responsable del tratamiento de los datos personales de sus clientes, recabando y tratando los mismos en su propio nombre.

2.2. El PROVEEDOR SaaS actuará como encargado del tratamiento respecto a los datos personales de los clientes del COLABORADOR, accediendo y tratando los mismos únicamente con objeto de prestarle al COLABORADOR los servicios referidos en las Condiciones Generales de contratación de las que el presente documento resulta Anexo II.

2.3. El Colaborador habilita al PROVEEDOR SaaS como encargado del tratamiento de los datos de carácter personal de los Clientes del Colaborador (clientes de las tiendas online).

2.4. Responsable por el tratamiento de datos:

FLOCKTORY SPAIN S.L.
Plaza De Carlos Trías Bertrán, 4, 28020 – Madrid
kilian.byszio@flocktory.com

3. Ámbito de aplicación

3.1. Todos los datos personales de los clientes del COLABORADOR sujetos a tratamiento por parte del PROVEEDOR SaaS en el marco de los servicios prestados por ésta última al COLABORADOR.

4. Definiciones

4.1. Datos personales: cualquier información concerniente a personas físicas identificadas o identificables.

4.2. Datos especialmente protegidos: Son los datos que revelen la ideología, afiliación sindical, religión y creencias.

4.3. Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

4.4. Responsable del tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.

4.5. Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.

4.6. Titular de los datos: Persona física titular de los datos que sean objeto del tratamiento al que se refiere el presente contrato.

5. Obtención y uso de los datos de carácter personal

5.1. Los tipos de datos personales comprendidos en los arts. 9 y 10 del Reglamento General de Protección de Datos quedan excluidos de aquellos que el COLABORADOR se compromete a facilitar al PROVEEDOR SaaS para la prestación del servicio.

5.2. Los datos personales que sean objeto de tratamiento por el PROVEEDOR SaaS, en su condición de en-cargado del tratamiento, corresponden a clientes del COLABORADOR y que éste ha obtenido de conformidad con la normativa de protección de datos vigente, y, en especial del Reglamento General de Protección de Datos.

5.3. La información obtenida por el COLABORADOR y tratada posteriormente por el PROVEEDOR SaaS puede incluir los siguientes tipos de datos:

Datos de carácter personal identificativos, no especiales ni biométricos:

(i) Nombre y apellidos;

(ii) Información de contacto (dirección de correo electrónico);

(iii) Información de geolocalización (país, región, ciudad)

(iv) Datos sobre cuentas en redes sociales;

(v) Datos sobre el historial de compras;

(vi) Datos sobre el historial de visualización de paginas

(vii) Identificadores online (cookies, tipo de dispositivo, identificadores navegador)

(viii) La información obtenida por el COLABORADOR no deberá incluir datos de carácter personal especialmente protegidos

5.4. El PROVEEDOR SaaS, al realizar el tratamiento de los datos de carácter personal por orden del COLABORADOR, puede realizar las siguientes acciones con los datos de carácter personal: registrar, sistematizar, acumular, almacenar, extraer, utilizar, bloquear, cancelar y eliminar.

5.5. El tratamiento de datos de carácter personal realizado por el PROVEEDOR SaaS, por orden del COLABORADOR, debe ser llevado a cabo de conformidad con los requisitos establecidos en la RGPD y cualquier otra norma jurídica aplicable, así como según las normas internas del PROVEEDOR SaaS para cumplir con los derechos y obligaciones que resulten de las relaciones contractuales con el COLABORADOR (tienda online).

5.6. Finalidad del tratamiento: El COLABORADOR compartirá la información personal mencionada en la sección 5.3 con el PROVEEDOR SaaS, quien presta servicios como, por ejemplo, tratamiento de información, gestión y optimización de información de los Clientes del COLABORADOR, con el fin de prestar servicios mejorados al Cliente, mejorando la experiencia de compra, ofreciendo promociones personalizadas y realizando investigaciones de mercado o encuestas de satisfacción.

6. Deberes y responsabilidades del PROVEEDOR SaaS

6.1. El PROVEEDOR SaaS reconoce que la legislación sobre protección de datos personales establece una serie de obligaciones en el tratamiento de datos de carácter personal. A tal efecto,  el PROVEEDOR SaaS deberá cumplir con las siguientes obligaciones:

i) El PROVEEDOR SaaS guardará la más estricta reserva y confidencialidad sobre los datos personales respecto a los que el COLABORADOR ostente la condición de responsable del fichero y a los que acceda en virtud de este contrato.

ii) El PROVEEDOR SaaS únicamente tratará dichos datos conforme a las instrucciones del COLABORADOR.

iii) El PROVEEDOR SaaS no aplicará o utilizará los datos con fin distinto al establecido en el presente contrato, ni los comunicará, ni siquiera para su conservación, a otras personas.

iv) El PROVEEDOR SaaS teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, aplicará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que entrañe el tratamiento de los datos que le sean confiados.

v) El PROVEEDOR SaaS aplicará todas las medidas necesarias según establecido en el artículo 32 del Reglamento.

vi) Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos por el PROVEEDOR SaaS o devueltos al COLABORADOR, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. En cualquier caso, el PROVEEDOR SaaS podrá conservar los datos debidamente bloqueados con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades.

vii) El PROVEEDOR SaaS se compromete a remitir al COLABORADOR diariamente las solicitudes de los afectados que reciba –en su caso- por el tratamiento de los ficheros titularidad del COLABORADOR en el ejercicio de sus derechos de acceso, rectificación, cancelación y/u oposición.

viii) El PROVEEDOR SaaS se compromete llevar un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del COLABORADOR. Este registro contendrá los datos según establecidos en el artículo 30(2) desde el apartado a hasta el d del Reglamento.

6.2. El PROVEEDOR SaaS pueda subcontratar a cualquier tercero parte de sus actividades consistentes en el tratamiento de datos personales objeto del presente contrato.

6.3. El PROVEEDOR SaaS deberá garantizar que el Sub-encargado del tratamiento queda sujeto a las obligaciones del PROVEEDOR SaaS establecidas en el presente contracto del tratamiento, y debe supervisar su cumplimiento. El PROVEEDOR SaaS informará al COLABORADOR  de la identidad del sub-encargado con carácter previo a su designación, de forma que el COLABORADOR pueda oponerse a ésta en el plazo de 10 días naturales.

6.4. La contratación del Sub-encargado se someterá a lo dispuesto en el art. 28.4 del Reglamento General de Protección de Datos.

7. Deberes y responsabilidades del COLABORADOR.

7.1. El COLABORADOR se compromete a atenerse a los siguientes principios durante el tratamiento de los datos de carácter personal:

7.2. Garantizar la transparencia en el tratamiento informando al Titular de los datos sobre la existencia del almacenamiento y tratamiento de los datos de carácter personal, su destino, finalidad y el destinatario de la información, la identidad del responsable, la obligatoriedad o voluntariedad a contestar las preguntas, así como las posibles consecuencias ante la falta de respuesta, finalidad del almacenamiento y una dirección válida a la que dirigirse en caso de querer ejercer los derechos de acceso, oposición, rectificación y cancelación; la obtención del consentimiento del Titular de los datos previo al tratamiento de los datos y/o la transmisión a terceros responsables; facilitar al Titular de los datos el ejercicio de sus derechos de acceso, oposición, rectificación y cancelación.

7.3. El COLABORADOR es el único responsable de obtener los consentimientos necesarios y las autorizaciones exigidas por la normativa aplicable, incluyendo sin limitación la Ley 34/2002 de 11 de Julio de Servicios de la Sociedad de la Información, la Ley Orgánica 15/1999 de 13 de Diciembre, de Protección de Datos de Carácter Personal, Ley 34/1998 de 11 de Noviembre General de Publicidad y normativa en materia comercial y de protección de consumidores y usuarios en su caso, para la colocación de cookies y el envío de mensajes comerciales electrónicos.

7.4. El COLABORADOR deberá notificar inmediatamente al PROVEEDOR SaaS por escrito, en caso de que se ejercite el derecho de oposición o revocación del consentimiento por cualquiera de los usuarios receptores de mensajes electrónicos con objeto de suspender el envío de mensajes electrónicos a dicho usuario o en el supuesto de revocación del consentimiento válidamente otorgado por un usuario con objeto de suspender el uso de los datos personales y eliminar las Cookies.

7.5. El COLABORADOR se compromete a informar a sus Clientes sobre la finalidad, método y motivos jurídicos, así como sobre sus derechos en virtud de la ley aplicable. El COLABORADOR debe mantener dicha información disponible para sus Clientes en todo momento mientras dure el almacenamiento y tratamiento de los datos por parte del PROVEEDOR SaaS.

8. Integridad y conservación de datos de carácter personal

8.1. El COLABORADOR debe proporcionar al Titular de los datos los medios a través de los cuales podrá mantener la información exacta, completa y actualizada.

8.2. El COLABORADOR debe transmitir cualquier cambio sobre la información que el Titular de los datos proporcione con el fin de mantener la información exacta, completa y actualizada.

8.3. El PROVEEDOR SaaS debe retener la información personal necesaria con el fin de cumplir la finalidad descrita en la Política de Privacidad, siempre que no se requiera o permita un periodo de retención mayor de acuerdo con la normativa española.

8.4. El COLABORADOR debe informar al Titular de los datos sobre la duración de retención de la información personal.

9. Cooperación con la Autoridad de control

9.1. El COLABORADOR y el PROVEEDOR SaaS, y en su caso, sus representantes cooperarán con la autoridad de control que lo solicite en el desempeño de sus funciones.

10. Notificación de una violación de la seguridad de los datos personales

10.1. En caso de que se haya producido una violación de la seguridad de los datos personales, el COLABORADOR la notificará a la autoridad de control competente, sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, de la forma establecida en el artículo 33 del Reglamento.

11. Cookies

11.1. El COLABORADOR debe informar al usuario sobre la existencia de cookies, así como obtener su consentimiento.

11.2. La información sobre las cookies proporcionada por el COLABORADOR a sus Clientes debe ser clara, concisa y completa. Además, debe incluir detalles sobre las cookies de terceros generadas por el PROVEEDOR SaaS.

11.3. Para las finalidades de tratamiento de los datos personales, el PROVEEDOR SaaS utiliza las siguientes Cookies:

Nombre de la Cookie Finalidad de la Cookie

__flocktory-web_session2  = Identificación de usuario

flocktory-uuid  = Identificación de usuario

optimizelyBuckets  = Segmento de un usuario en una prueba A/B

optimizelyEndUserId  = Identificación de usuario en una prueba A/B

optimizelySegments  = Segmento de un usuario en una prueba A/B

12. Para las finalidades de tratamiento de datos, el PROVEEDOR puede hacer un seguimiento de las siguientes acciones de los visitantes

• Cualquier visualización de la página

• Visualización de página de categoría

• Visualización de página de producto

• Acto de añadir al carro de la compra

• Compra

• Email de suscripción al boletín de novedades

• Clicks en elementos visuales (widgets) del PROVEEDOR

• Clicks en mensajes (email, push) enviados por el PROVEEDOR