Acuerdo de tratamiento de datos (DPA)

Esta traducción se ofrece para tu comodidad. La versión en inglés es la que prevalece. English

Última actualización: 11 de octubre de 2026

Este anexo («DPA», por sus siglas en inglés: Data Processing Addendum) forma parte de los Términos del servicio de HolaReply para Shopify y de los términos del servicio de HolaReply para cualquier web, y se celebra entre el comerciante o propietario de la web («tú», el responsable del tratamiento) y SEO Agency Inc («HolaReply», «nosotros», el encargado del tratamiento). Se aplica a los datos personales de los compradores de tu tienda, o de los visitantes de tu web, que tratamos para prestar la app o el servicio. En el caso de una web, «tienda» significa en adelante tu web y «comprador», su visitante; lo que se dice sobre las solicitudes de datos de Shopify y las consultas de pedidos se refiere únicamente a Shopify. Su finalidad es cumplir el artículo 28 del RGPD y del UK GDPR y leyes de privacidad similares (cuando actuamos como tu «proveedor de servicios» o «encargado del tratamiento»).

1. Detalles del tratamiento


Objeto y finalidad	Prestar la app: responder a los compradores en el chat de la tienda con el contenido de tu tienda, pasar las consultas y los temas bloqueados a tu equipo, consultar el estado de los pedidos, mostrarte las conversaciones y consultas, y atender las solicitudes de datos de Shopify
Duración	Mientras la app esté instalada o la web esté en HolaReply; después, eliminación según la sección 8
Interesados	Los compradores y visitantes de tu tienda que usan el chat
Datos personales	Mensajes del chat (preguntas y respuestas); los datos de contacto que un comprador decide facilitar (nombre, correo electrónico, teléfono, empresa) y su mensaje de consulta; solo para el seguimiento de pedidos, el número de pedido y el correo electrónico que escribe el comprador y el correo electrónico, el estado y el seguimiento del pedido (se muestran, no se guardan); el idioma del comprador
Categorías especiales	No se prevén. No las solicites a los compradores; aun así, un comprador puede escribirlas en el chat
No se tratan	Datos de pago, direcciones, cuentas de clientes, direcciones IP junto con las conversaciones (solo un hash unidireccional en un contador de límite de frecuencia de corta duración)

2. Nuestras obligaciones

Nos comprometemos a:

tratar los datos personales únicamente siguiendo tus instrucciones documentadas, que son estos términos, este DPA y tus ajustes en la app, salvo que la ley exija otra cosa (en cuyo caso te lo comunicaremos antes, salvo que la ley lo prohíba);
garantizar que todas las personas que autoricemos a tratarlos estén sujetas a confidencialidad;
aplicar las medidas de seguridad de la sección 4;
recurrir a subencargados del tratamiento únicamente según la sección 5;
ayudarte, en la medida en que razonablemente podamos, a responder a los compradores que ejerzan sus derechos (acceso, supresión y otros): la app gestiona automáticamente las solicitudes customers/data_request y customers/redact de Shopify, y las consultas pueden verse y descargarse en la app;
ayudarte en materia de seguridad, notificación de brechas, evaluaciones de impacto y consultas con las autoridades, en lo que afecte a nuestro tratamiento;
eliminar los datos al finalizar el servicio (sección 8);
poner a tu disposición la información necesaria para demostrar el cumplimiento de este DPA y permitir auditorías según la sección 9;
informarte de inmediato si consideramos que una instrucción infringe la normativa de protección de datos.

No vendemos datos personales, no los compartimos para publicidad conductual entre contextos, no los usamos para entrenar modelos de IA ni los combinamos con datos de otras tiendas.

3. Tus obligaciones

Confirmas que dispones de una base jurídica para el tratamiento, que facilitas a tus compradores la información que exige la ley (tu aviso de privacidad debe mencionar el chat y HolaReply) y que tus instrucciones cumplen la ley.

4. Medidas de seguridad

Cifrado en tránsito: HTTPS (TLS) para el chat de la tienda, el panel de administración y los webhooks.
Cifrado en reposo: los mensajes del chat, los datos de contacto de una conversación y todos los campos de las consultas se cifran en la base de datos (XSalsa20-Poly1305, con las claves guardadas fuera de la base de datos); los compradores solo se buscan mediante hashes con clave de su correo electrónico o teléfono. Los tokens de acceso y las claves de IA también se cifran. Las copias de seguridad diarias se cifran (AES-256-GCM) con una clave independiente.
Aislamiento: los datos de cada tienda se mantienen separados; cada petición se verifica con el token de sesión de Shopify o la firma del webhook.
Minimización: los correos electrónicos y los números de teléfono se eliminan de todo lo que se envía a un proveedor de IA; los campos de contacto nunca se le envían; los datos de pedidos nunca se guardan ni se envían a una IA.
Control de acceso y registro: acceso al servidor solo mediante claves SSH, para dos personas como máximo; cada consulta de datos de compradores (en la app o por nuestra parte) se anota en un registro de accesos que se conserva durante un año y que puedes ver en la app para los últimos 90 días.
Conservación: las conversaciones se conservan hasta que las borres, o se borran 30, 90 o 365 días después del último mensaje si eliges un plazo; todo se borra 48 horas después de que desinstales la app; las copias de seguridad se conservan 14 días.
Respuesta a incidentes: una política escrita (sección 6).
Copia externa: cada copia de seguridad diaria, también cifrada, se conserva además durante 14 días en un bucket privado de Cloudflare R2.

5. Subencargados del tratamiento

Otorgas una autorización general para los subencargados del tratamiento que figuran a continuación. Te avisaremos con al menos 30 días de antelación antes de añadir o sustituir uno (en la app o por correo electrónico y en esta página); puedes oponerte por motivos razonables de protección de datos y, si no podemos atender la objeción, puedes dejar de usar la app. Vinculamos a cada subencargado mediante condiciones de protección de datos al menos tan protectoras como este DPA y seguimos siendo responsables de ellos.

Subencargado	Finalidad	Datos	Ubicación
Google LLC (API de Gemini)	Respuestas de IA y el índice de búsqueda (HolaReply AI, o tu clave de Gemini)	Contenido de la tienda; preguntas de los compradores sin correos electrónicos ni números de teléfono	Fuera del EEE
OpenAI, L.L.C.	Solo si eliges OpenAI con tu propia clave	Los mismos	Fuera del EEE
Anthropic, PBC	Solo si eliges Claude con tu propia clave	Los mismos	Fuera del EEE
Resend (Plus Five Five, Inc.)	Correos electrónicos a ti, a tu equipo y las respuestas de tu equipo a los compradores	Direcciones de correo electrónico y el contenido de los correos	Fuera del EEE
Hostinger International Ltd	El servidor en el que funciona la app (un servidor privado virtual)	Todos los datos que guardamos (campos cifrados según lo indicado)	Fuera del EEE
Cloudflare, Inc.	Red y seguridad delante de app.holareply.com; almacenamiento de la copia de seguridad externa cifrada (R2)	Peticiones en tránsito; copias de seguridad cifradas (14 días)	Red global; copias de seguridad fuera del EEE
Shopify	La plataforma y la facturación	Lo que Shopify ya tiene	—

6. Violaciones de la seguridad de los datos personales

Te lo notificamos sin dilación indebida, y en un plazo de 72 horas, desde que tengamos conocimiento de una violación de la seguridad de los datos personales que afecte a los datos de tu tienda, en la dirección de correo electrónico de tu tienda, con la información de la que dispongamos: la naturaleza de la violación, los datos y las personas afectados, las consecuencias probables, lo que hemos hecho y lo que debes hacer, y un contacto (support@holareply.com). Te mantendremos informado a medida que sepamos más. Nuestra política de respuesta a incidentes describe el proceso.

7. Transferencias internacionales

Nosotros y algunos de nuestros subencargados tratamos datos fuera del EEE, el Reino Unido y Suiza. Cuando se transfieren dichos datos, la transferencia está cubierta por las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914 de la Comisión: módulo 2, de responsable a encargado del tratamiento, y módulo 3 para las transferencias ulteriores a nuestros subencargados), el Anexo de Transferencia Internacional de Datos del Reino Unido (UK International Data Transfer Addendum) y, para los datos suizos, las adaptaciones suizas de dichas cláusulas, que se incorporan al presente acuerdo por referencia, o por otro mecanismo lícito, como la certificación de un subencargado en el Marco de Privacidad de Datos (Data Privacy Framework).

8. Supresión

Cuando desinstalas la app, todos los datos de tu tienda se eliminan 48 horas después (para que una reinstalación dentro de ese plazo no pierda nada), o de inmediato cuando Shopify envía su solicitud shop/redact. Los datos eliminados pueden permanecer en copias de seguridad cifradas hasta 14 días; después desaparecen. Puedes descargar tus consultas en CSV desde la app antes de desinstalarla.

En el caso de una web, pídenos (support@holareply.com) que la eliminemos: sus conversaciones, consultas, contenido y equipo se eliminan en un plazo de 7 días y salen de las copias de seguridad cifradas 14 días después. Hasta entonces, se conservan hasta que los borres, o durante el plazo que elijas en el Desk.

9. Auditorías

Previa solicitud por escrito, como máximo una vez al año (o tras una violación de seguridad), responderemos a un cuestionario de seguridad razonable y facilitaremos los documentos que demuestren el cumplimiento de este DPA. Cuando la ley exija una inspección, se realizará con un preaviso de 30 días, en horario laboral, por un auditor sujeto a confidencialidad, a tu cargo y sin acceso a los datos de otros clientes.

10. Orden de prelación

Si este DPA y los términos entran en conflicto en lo relativo a los datos personales, prevalece este DPA; las Cláusulas Contractuales Tipo, cuando sean de aplicación, prevalecen sobre ambos.

Contacto

SEO Agency Inc (HolaReply) — support@holareply.com