Mora Technologies ApS · Legal

Acuerdo de tratamiento de datos

Última actualización: 9 de noviembre de 2026 · Versión: 2026-10-26 · Art. 28 del RGPD · Se aplica a todas las aplicaciones de Shopify publicadas por Mora Technologies ApS con la marca Aveus

Esta es una traducción del original en inglés. Si hay alguna diferencia entre las dos versiones, prevalece la versión en inglés.

El presente Acuerdo de tratamiento de datos (el «Acuerdo») se celebra entre la empresa que instala una Aplicación de Aveus en su tienda Shopify (el «Comerciante», que actúa como responsable del tratamiento) y Mora Technologies ApS, que opera con el nombre Aveus ApS (nombre secundario registrado), CVR 46 17 19 77, Rantzausgade 11, 2. 6., 2200 København N, Dinamarca (que actúa como encargado del tratamiento). Forma parte de nuestros Términos del servicio y se aplica siempre que una Aplicación trate datos personales por cuenta del Comerciante. El Comerciante lo acepta junto con los Términos y la Política de privacidad: en cada Aplicación antes de usarla; en Aveus AI, en su primera pantalla, y antes de eso no se trata nada conforme a este DPA (Términos, A.13), salvo las respuestas a los webhooks de privacidad obligatorios de Shopify y la dirección IP del visitante que los scripts de la tienda y la página pública de información usan como clave del límite de peticiones (Anexo II).

Respecto de los datos de la propia cuenta del Comerciante (dominio de la tienda, token de acceso, registros de auditoría y los demás datos del comerciante enumerados en la Parte B de la Política de privacidad), Mora Technologies ApS es un responsable del tratamiento independiente, no un encargado; esos datos se rigen por la Política de privacidad y no por este Acuerdo.

1. Cláusulas contractuales tipo

Las partes acuerdan que las cláusulas contractuales tipo entre responsables y encargados del tratamiento que figuran en el anexo de la Decisión de Ejecución (UE) 2021/915 de la Comisión, de 4 de junio de 2021 (las «Cláusulas», disponibles en eur-lex.europa.eu/eli/dec_impl/2021/915/oj), se aplican entre ellas y quedan incorporadas a este Acuerdo por remisión, con el Comerciante como responsable del tratamiento y Mora Technologies ApS como encargado del tratamiento. Los anexos de las Cláusulas se completan con los Anexos I a IV que figuran más abajo. En caso de contradicción entre las Cláusulas y los Términos o cualquier otro acuerdo entre las partes, prevalecerán las Cláusulas (Cláusula 4).

Las partes eligen lo siguiente en los puntos que las Cláusulas dejan abiertos:

Cláusula 5 (cláusula de incorporación)	No se utiliza. Cada nueva tienda instala la Aplicación y acepta directamente este Acuerdo, en la Aplicación, antes de usarla.
Cláusula 7.7 (subencargados del tratamiento)	Opción 2: autorización general por escrito. El encargado informa al responsable de cualquier incorporación o sustitución prevista de un subencargado con al menos 14 días de antelación, por correo electrónico o en la Aplicación, y el responsable puede oponerse; si la oposición no puede resolverse, el responsable puede poner fin a la relación desinstalando la Aplicación. La lista vigente figura en el Anexo IV.
Cláusula 7.8 (transferencias internacionales)	Solo a los destinatarios y con las garantías indicadas en el Anexo IV y en la sección A.4 de la Política de privacidad: las cláusulas contractuales tipo de la Decisión (UE) 2021/914 de la Comisión conforme al art. 46.2.c del RGPD cuando pueda accederse a los datos desde fuera del EEE y, para Shopify Inc. en Canadá, la decisión de adecuación de la Comisión Europea para Canadá.
Cláusula 9 (violación de la seguridad de los datos personales)	El encargado notifica la violación al responsable sin dilación indebida tras tener conocimiento de ella y, cuando sea posible, en un plazo de 48 horas, con la información enumerada en la Cláusula 9.2.
Instrucciones (Cláusula 7.1)	El responsable da instrucciones al encargado a través del uso que hace de la Aplicación: su configuración, las acciones que realiza en ella y los webhooks de privacidad obligatorios de Shopify (customers/data_request, customers/redact, shop/redact).
Supresión al finalizar el servicio (Cláusula 10.d)	Antes de desinstalar, el responsable puede pedir en contact@aveus.ai una copia de los datos personales tratados por su cuenta. Después, esos datos se suprimen al desinstalar la Aplicación o al recibir la solicitud de supresión verificada que Shopify envía 48 horas después, según se indica para cada Aplicación en la Parte B de la Política de privacidad, y, si lo solicita, confirmamos la supresión por escrito.

2. Límites de este Acuerdo

Este Acuerdo regula únicamente la protección de datos. No amplía el alcance de las Aplicaciones descrito en los Términos, no hace a Mora Technologies ApS responsable de las obligaciones propias del Comerciante como responsable del tratamiento (incluida la información que facilita a sus clientes y la licitud de los datos que recoge) ni como responsable del despliegue con arreglo al Reglamento de Inteligencia Artificial de la UE, y no modifica la limitación de responsabilidad prevista en los Términos, salvo cuando las Cláusulas o la legislación imperativa exijan otra cosa. La asistencia prevista en las Cláusulas 7.6 y 8 que vaya más allá de lo que la Aplicación ofrece de forma automática (por ejemplo, auditorías in situ) se ofrece a un coste razonable acordado de antemano.

Anexo I. Lista de partes

Función	Parte	Contacto
Responsable del tratamiento	La empresa titular de la tienda Shopify en la que está instalada la Aplicación, identificada por el dominio de su tienda y representada por la cuenta de personal de Shopify que aceptó este Acuerdo	El correo electrónico del propietario de la tienda registrado en Shopify
Encargado del tratamiento	Mora Technologies ApS, que opera con el nombre Aveus ApS (nombre secundario registrado), CVR 46 17 19 77, Rantzausgade 11, 2. 6., 2200 København N, Dinamarca	contact@aveus.ai

Cada parte acepta las Cláusulas y este Acuerdo en la fecha en que el responsable los acepta en la Aplicación, que la Aplicación registra (Términos, A.13).

Anexo II. Descripción del tratamiento

Categorías de interesados	Los clientes del responsable y los visitantes de su tienda en línea y de su página pública de información; las personas que puedan aparecer en sus imágenes de producto o ser mencionadas en los metadatos de estas; las personas que el responsable mencione en los registros que lleva en la Aplicación (por ejemplo, su registro de incidentes).
Categorías de datos personales	Los identificadores de cliente de Shopify que llegan a través de los webhooks de privacidad obligatorios (por ejemplo, el ID de cliente de una solicitud customers/data_request o customers/redact); la dirección IP de los visitantes, utilizada como clave de un contador de limitación de solicitudes por los scripts de la tienda y la página pública de información, que caduca automáticamente en un plazo de dos horas, el agente de usuario de sus solicitudes, que se usa junto con la dirección IP para bloquear el tráfico abusivo y las solicitudes de determinados países o redes, y que se conserva en los registros del servicio descritos en la sección A.11 de la Política de privacidad (en las solicitudes bloqueadas, con un hash seudonimizado de la dirección IP), y el país que se deduce de la dirección IP, que no se guarda, para mostrar el Sello de confianza solo en la UE y el EEE; los metadatos de las imágenes de producto, que solo se leen para buscar marcas de procedencia (solo se almacena el resultado de la detección); y, únicamente si el responsable activa el análisis visual en Aveus AI, una copia reducida de las imágenes de producto que decida analizar, en la que puede aparecer una persona (la imagen no se almacena); el análisis visual no está disponible por el momento; el contenido que el responsable escribe en la Aplicación, como los incidentes que registra (descripción, autoridad y su dirección de correo electrónico) y sus notas de revisión. Las Aplicaciones no leen pedidos, perfiles de clientes ni datos de pago.
Datos sensibles	Ninguno. Las Aplicaciones no están diseñadas para tratar categorías especiales de datos personales (art. 9 del RGPD) ni datos relativos a condenas penales (art. 10).
Naturaleza del tratamiento	Automatizada: recepción y almacenamiento de las solicitudes recibidas por webhook, recuento temporal para limitar la frecuencia de solicitudes, bloqueo de solicitudes abusivas, lectura de los metadatos de las imágenes, almacenamiento de los registros que el responsable lleva en la Aplicación y supresión; y, solo por instrucción del responsable (análisis visual activado en Aveus AI), envío de una copia reducida de las imágenes de producto que seleccione al subencargado de IA para que pueda sugerir si hace falta una etiqueta. El análisis visual no está disponible por el momento (Términos de Aveus AI, B.1.5): mientras no lo esté, no se envía ninguna imagen de producto.
Finalidades	Prestar la Aplicación al responsable; ejecutar las solicitudes de privacidad del responsable recibidas a través de Shopify; proteger los puntos de conexión de la tienda frente a usos abusivos.
Duración	Mientras la Aplicación esté instalada, seguida de la supresión indicada en la Parte B de la Política de privacidad (claves de limitación de solicitudes: dos horas como máximo; cola de solicitudes de privacidad: 90 días tras su finalización).

Anexo III. Medidas técnicas y organizativas

Residencia de los datos en la UE: base de datos en Fráncfort (AWS eu-central-1), ejecución de la aplicación en Fráncfort (Vercel fra1) y tratamiento de IA en el punto de conexión multirregional de la UE de Vertex AI.
Aislamiento entre tiendas: el acceso a los datos se limita a la tienda correspondiente, mediante la seguridad a nivel de fila (Row Level Security) de la base de datos en las solicitudes hechas para una tienda y mediante un filtro por tienda en las tareas del servidor que funcionan sin ella.
Cifrado: TLS en tránsito; tokens de acceso de Shopify cifrados en reposo con AES-256-GCM; base de datos cifrada en reposo por el proveedor.
Autenticación: cada solicitud procedente del panel de administración de Shopify se verifica con el token de sesión firmado de Shopify, y cada webhook, con su firma HMAC; en el entorno de ejecución no existe ninguna clave de cuenta de servicio en la nube de larga duración (Workload Identity Federation).
Mínimo privilegio: la Aplicación solo solicita los permisos de Shopify que necesita; el rol de base de datos utilizado para las solicitudes de las tiendas solo tiene los privilegios de columna que necesita.
Minimización de datos: no recogemos por iniciativa propia ningún dato de clientes finales; no se almacena ninguna dirección IP en la base de datos; en los informes de errores se ocultan los datos sensibles y se aplica la seudonimización.
Desarrollo seguro: análisis de dependencias y de secretos en el proceso de compilación, pruebas automatizadas en cada cambio y revisiones de seguridad periódicas conforme al OWASP Top 10.
Registro y conservación: los registros de seguridad y de funcionamiento se conservan durante los plazos indicados en la Política de privacidad y después se suprimen automáticamente.
Gestión de incidentes: las violaciones de la seguridad se notifican según lo previsto en la Cláusula 9 (sección 1 de este Acuerdo).

Anexo IV. Lista de subencargados del tratamiento

El responsable autoriza a los siguientes subencargados del tratamiento (Cláusula 7.7, opción 2).

Subencargado	Aplicación	Finalidad	Ubicación
Shopify International Limited (Irlanda) / Shopify Inc.	Todas	La plataforma en la que funcionan las Aplicaciones: autenticación, Admin API y webhooks de privacidad obligatorios	UE y Canadá, conforme al Shopify Data Processing Addendum
Supabase Inc.	Todas	Alojamiento de la base de datos	UE: AWS eu-central-1 (Fráncfort)
Vercel Inc.	Todas	Alojamiento de la aplicación y entorno de ejecución sin servidor	UE: Fráncfort (fra1); enrutamiento perimetral en la ubicación más cercana al visitante
Upstash, Inc.	Aveus AI	Limitación de solicitudes, presupuesto de gasto en IA e idempotencia de los webhooks	Región de la UE
Google Cloud EMEA Limited (Irlanda), Vertex AI	Aveus AI	Clasificación mediante IA de extractos de los archivos del tema y de la documentación pública de los proveedores (no se envía al modelo ningún dato de clientes finales); y, solo por instrucción del responsable, copias reducidas de las imágenes de producto que seleccione para el análisis visual (el análisis visual no está disponible por el momento)	UE: Vertex AI multirregional «eu»
Google Ireland Limited (Google Workspace / Gmail)	Aveus AI	Alertas de errores operativos enviadas a nuestro buzón de ingeniería	UE y EE. UU., conforme al Google DPA y a las cláusulas contractuales tipo

Supabase, Vercel, Upstash y Google pueden recurrir a personal o a empresas de su grupo situados fuera del EEE para tareas limitadas de soporte y de acceso técnico; todo acceso de este tipo está cubierto por las cláusulas contractuales tipo conforme al art. 46.2.c del RGPD, tal como se describe en la Política de privacidad. Los datos de contacto de cada subencargado son los que este publica; si lo solicita, se los facilitamos junto con una copia de las condiciones de tratamiento de datos correspondientes.