Anexo de encargado del tratamiento de datos

1. Objeto y roles

El Responsable es el comerciante titular de la tienda, quien recolecta los datos de sus clientes y define las finalidades del tratamiento. El Encargado trata esos datos únicamente por cuenta del Responsable y bajo sus instrucciones, con el único fin de operar el servicio de suscripciones contratado. Este anexo no aplica a los datos del comerciante mismo, sobre los cuales Suscriva actúa como responsable según su política de privacidad.

2. Datos y titulares comprendidos

• Titulares: los clientes finales de la tienda del Responsable que crean o gestionan una suscripción.
• Datos de identificación y contacto: nombre, correo electrónico y teléfono cuando la tienda lo recolecta.
• Datos de envío: dirección y datos necesarios para calcular tarifas y despachar las órdenes.
• Datos de la suscripción: plan, frecuencia, historial de cobros y estado del ciclo de vida.
• Referencia de pago: el token emitido por la pasarela de pagos de la tienda. El Encargado nunca recibe ni almacena el número completo de la tarjeta (tokenización con alcance PCI SAQ-A).

No se tratan datos sensibles ni datos de menores de edad en el marco del servicio.

3. Actividades de tratamiento autorizadas

El Responsable instruye y autoriza al Encargado a:

• Registrar la suscripción del cliente y almacenar su información de forma segura.
• Instruir los cobros recurrentes de cada ciclo en la pasarela de pagos del Responsable, con las credenciales de este.
• Crear las órdenes correspondientes en la tienda Shopify del Responsable.
• Enviar al cliente los correos del ciclo de vida de su suscripción en nombre de la tienda.
• Operar el portal de autogestión donde el cliente administra su suscripción.

El Encargado no usará los datos para fines propios, no los venderá ni los cederá a terceros distintos de los subencargados autorizados en este anexo.

4. Subencargados autorizados

El Responsable autoriza al Encargado a apoyarse en los siguientes proveedores, que tratan los datos bajo contratos con medidas de seguridad y confidencialidad:

• Amazon Web Services (Estados Unidos): infraestructura y bases de datos de la plataforma.
• Mercado Pago: pasarela de pagos del Responsable, donde se tokenizan las tarjetas y se procesan los cobros.
• Shopify: plataforma de la tienda del Responsable, donde se crean las órdenes.
• Proveedores de envío de correo transaccional, para los correos del ciclo de vida.

El uso de estos proveedores implica una transmisión internacional de datos a Estados Unidos u otros países, que el Responsable autoriza y declara tener cubierta en la autorización que recaba de sus clientes.

5. Obligaciones del Encargado

• Tratar los datos solo conforme a este anexo y a las instrucciones documentadas del Responsable.
• Garantizar condiciones de seguridad adecuadas para evitar adulteración, pérdida, consulta o acceso no autorizado (cifrado en tránsito, credenciales cifradas en reposo, acceso restringido por rol).
• Guardar confidencialidad sobre los datos, incluso después de terminada la relación.
• Notificar al Responsable sin dilación indebida los incidentes de seguridad que afecten los datos comprendidos en este anexo.
• Dar traslado oportuno al Responsable de las consultas y reclamos que reciba de los titulares, y colaborar en su atención dentro de los plazos de la Ley 1581 de 2012.
• Suprimir o devolver los datos al terminar el servicio, según la sección 7.

6. Obligaciones del Responsable

• Contar con la autorización previa, expresa e informada de sus clientes para el tratamiento de sus datos, incluida su entrega al Encargado y la transmisión internacional descrita en la sección 4.
• Tener publicada su propia política de tratamiento de datos y atender los derechos de sus titulares.
• Garantizar que los datos entregados al Encargado son veraces y fueron recolectados lícitamente.
• Impartir instrucciones lícitas: el Encargado puede abstenerse de ejecutar instrucciones contrarias a la ley.

7. Supresión y devolución de los datos

Al terminar el contrato de servicio, el Encargado suprime los datos de los clientes finales o los devuelve al Responsable si este lo solicita antes de la supresión, salvo los datos que deba conservar por obligación legal, caso en el cual permanecerán bloqueados para cualquier otro uso hasta que expire ese deber. Los tokens de pago residen en la cuenta de la pasarela del Responsable y permanecen bajo su control directo.

8. Verificación y vigencia

El Responsable puede solicitar al Encargado información razonable que acredite el cumplimiento de este anexo escribiendo a hi@suscriva.com. Este anexo rige mientras esté vigente el contrato de servicio y se entiende aceptado junto con los Términos y condiciones. La versión vigente estará siempre publicada en esta página con su fecha de actualización.