Contrato de encargo del tratamiento

Versión 1.0 · 6 de octubre de 2026

Se aplica antes de que entre en tu tienda con acceso de colaborador para prestarte un servicio. Lo aceptas con la casilla del formulario de inicio o del presupuesto, o firmándolo.

Partes

De una parte, el cliente que contrata el servicio, con los datos de su pedido o presupuesto (el «Responsable»).

De otra parte, Adrián Ortin, que trabaja con el nombre comercial GEMIGNIS, con domicilio en El Morron (el «Encargado»).

Este contrato forma parte del pedido o presupuesto del servicio contratado (el «Servicio») y, en materia de protección de datos, prevalece sobre él.

1. Objeto

El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestar el Servicio contratado (auditoría, montaje, optimización de velocidad, mantenimiento, instalación, desarrollo a medida o apps y conexiones a medida) en la tienda Shopify indicada en el pedido o presupuesto (la «Tienda»).

2. Duración

Desde su aceptación o firma hasta que termine el Servicio. Las obligaciones de confidencialidad y de supresión continúan después de su terminación.

3. Naturaleza y finalidad del tratamiento

Consulta, acceso, modificación técnica de la configuración y del tema, pruebas y, solo si es imprescindible, extracción puntual, únicamente para prestar el Servicio. En las apps y conexiones a medida, además, el tratamiento automático que haga la app según el alcance aprobado por escrito (por ejemplo, enviar los pedidos nuevos a otra herramienta). Queda prohibido cualquier otro uso, en particular enviar comunicaciones comerciales a los clientes del Responsable.

4. Tipos de datos y categorías de interesados

Interesados: clientes, suscriptores y usuarios de la Tienda, y personal del Responsable.
Datos: identificativos y de contacto (nombre, email, teléfono, dirección), pedidos y transacciones (sin datos completos de tarjeta), historial de compras, datos de cuenta y comunicaciones con la Tienda.
No se tratarán categorías especiales de datos (art. 9 RGPD). Si la Tienda las contiene (por ejemplo, productos de salud), el Responsable lo indicará por escrito antes de empezar.

5. Obligaciones del Encargado

El Encargado se obliga a:

a) Tratar los datos solo siguiendo las instrucciones documentadas del Responsable (este contrato, el pedido o presupuesto y las que dé por escrito, incluido el email), también respecto de las transferencias internacionales, salvo que una ley le obligue a otra cosa, lo que comunicará antes al Responsable. Si cree que una instrucción infringe la normativa de protección de datos, se lo dirá inmediatamente al Responsable.
b) Garantizar la confidencialidad: solo él accede a los datos. Si en el futuro intervinieran otras personas bajo su autoridad, firmarán un compromiso de confidencialidad (art. 5 LOPDGDD), que continuará tras su relación.
c) Aplicar las medidas de seguridad del Anexo I (art. 32 RGPD).
d) No recurrir a otro encargado (subencargado) sin autorización previa del Responsable. El Responsable autoriza los subencargados del Anexo II. Para añadir o cambiar alguno, el Encargado avisará por email con 15 días de antelación; el Responsable podrá oponerse por motivos razonables y, en ese caso, cualquiera de las partes podrá terminar el Servicio sin penalización. El Encargado impondrá al subencargado las mismas obligaciones y seguirá respondiendo de lo que haga el subencargado.
e) Ayudar al Responsable a atender las solicitudes de los interesados. Si recibe una solicitud directamente, la trasladará al Responsable en un máximo de 5 días hábiles, sin contestarla él.
f) Ayudar al Responsable con los arts. 32 a 36 RGPD (seguridad, violaciones de seguridad, evaluaciones de impacto y consultas previas), según la naturaleza del tratamiento y la información de que disponga.
g) Notificar al Responsable, sin dilación indebida y en un máximo de 24 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos, por email a la dirección del pedido o presupuesto, con al menos: naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, datos de contacto, posibles consecuencias y medidas adoptadas o propuestas. Si no puede dar toda la información a la vez, la dará por fases. Corresponde al Responsable notificar a la autoridad de control y a los interesados. El Responsable queda informado de que, por el Acuerdo de Partners de Shopify (cláusula 9.14), el Encargado debe comunicar también a Shopify cualquier violación real o sospechada de los datos de la Tienda en un máximo de 24 horas desde que tenga conocimiento. Esa comunicación se limitará a la información necesaria y se hará con copia al Responsable.
h) Al terminar el Servicio, suprimir los datos y cualquier copia (incluidas exportaciones, capturas y grabaciones) en un máximo de 30 días, salvo que antes de ese plazo el Responsable pida por escrito su devolución, y certificarlo por escrito si se le pide. El Encargado podrá conservar, bloqueados, los datos imprescindibles mientras puedan derivarse responsabilidades de la ejecución del Servicio (art. 33.4 LOPDGDD).
i) Poner a disposición del Responsable la información necesaria para demostrar que respeta este contrato y permitir auditorías o inspecciones, con preaviso de 15 días, en horario laboral y sin acceso a información de otros clientes. Las auditorías las paga el Responsable, salvo que se detecte un incumplimiento grave.
j) Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
k) No hacer transferencias internacionales de los datos, salvo a los subencargados del Anexo II con las garantías indicadas.
l) Acceso mínimo: entrar en la Tienda solo con una cuenta de colaborador con los permisos estrictamente necesarios y verificación en dos pasos; no usar las credenciales personales del Responsable ni de su personal.
m) No introducir datos personales de la Tienda en herramientas de inteligencia artificial ni en servicios que no estén en el Anexo II.
n) Usar, siempre que sea posible, tiendas de desarrollo, copias del tema y datos ficticios.
o) No usar los datos para fines propios. Si lo hiciera, se le consideraría responsable del tratamiento (art. 28.10 RGPD y art. 33.2 LOPDGDD).

6. Obligaciones del Responsable

a) Dar al Encargado el acceso y las instrucciones necesarios.
b) Garantizar que los datos de la Tienda se han obtenido y se tratan lícitamente, y que ha informado a sus clientes de que pueden intervenir proveedores de servicios técnicos.
c) Supervisar el tratamiento y hacer, en su caso, las evaluaciones de impacto.
d) Retirar el acceso de colaborador del Encargado al terminar el Servicio.

7. Responsabilidad

La responsabilidad entre las partes se rige por la cláusula 21.2 de las Condiciones de contratación de servicios de GEMIGNIS, sin perjuicio de la responsabilidad frente a los interesados del art. 82 RGPD.

8. Legislación y jurisdicción

Este contrato se rige por la ley española. Si el Responsable está establecido en España, será competente el juzgado que corresponda según la Ley de Enjuiciamiento Civil. Si está establecido en otro país, el que corresponda según las normas aplicables (dentro de la Unión Europea, el Reglamento (UE) 1215/2012).

Anexo I · Medidas de seguridad del Encargado

Verificación en dos pasos en la cuenta de Shopify Partner y de colaborador, en el email y en el gestor de contraseñas.
Contraseñas únicas y robustas guardadas en un gestor de contraseñas.
Disco del ordenador cifrado, bloqueo automático de pantalla y actualizaciones automáticas.
Acceso de colaborador con permisos mínimos; revisión y baja al terminar.
Prohibición de exportar datos de clientes salvo necesidad documentada; si se exportan, en almacenamiento cifrado y borrado al terminar.
Capturas, grabaciones y entregables sin datos personales de clientes (difuminados).
Copia del tema antes de cada cambio (sin datos de clientes).
Registro interno de incidencias y procedimiento de notificación de violaciones de seguridad (al Responsable y a Shopify en un máximo de 24 horas).
Trabajo solo en redes seguras (nunca wifi pública sin VPN).

Anexo II · Subencargados autorizados

Subencargado	Servicio	Ubicación	Garantía
Google (Gmail)	Email con el Responsable, sin exportaciones de datos de clientes	UE / EE. UU.	Cláusulas contractuales tipo / Marco de Privacidad de Datos UE-EE. UU.

Shopify no es subencargado del Encargado: es proveedor del propio Responsable. Lo mismo ocurre con el servicio donde funciona una app a medida (por ejemplo, Cloudflare) y con la herramienta que se conecta: los contrata el Responsable a su nombre.