Política de privacidad

Respecto de sus datos como comerciante (dominio de la tienda, tokens de acceso, registros de auditoría y los datos de cada Aplicación que se indican en la Parte B), Mora Technologies ApS actúa como responsable del tratamiento independiente.

Respecto de los datos de sus clientes finales, Mora Technologies ApS actúa, en la medida en que una Aplicación llegue a tratar esos datos, como encargado del tratamiento con arreglo al Art. 28 del RGPD, siguiendo las instrucciones que recibe a través de los webhooks de privacidad obligatorios de Shopify (customers/data_request, customers/redact, shop/redact). Usted sigue siendo el responsable del tratamiento de los datos de sus clientes y de su tienda, lo que incluye la licitud de los datos que recoge de ellos, la información que les facilita y los servicios de terceros que instala. Nada de lo dispuesto en esta Política nos transfiere esas responsabilidades. Las condiciones de ese tratamiento (Art. 28.3 del RGPD) se recogen en nuestro Acuerdo de tratamiento de datos.

• Nunca vendemos, alquilamos ni intercambiamos sus datos, y nunca los compartimos con intermediarios de datos ni con anunciantes.
• Nunca utilizamos sus datos, el contenido de su tienda ni los datos de sus clientes para entrenar modelos de inteligencia artificial, ni nuestros ni de nadie.
• Nunca colocamos código de analítica, publicidad o seguimiento en su tienda online. Cuando una Aplicación añade código a su tienda online (por ejemplo, una etiqueta o un sello), la Parte B indica exactamente qué hace. Ese código nunca nos envía datos personales de sus visitantes; lo que llega a nuestros servidores son los datos técnicos que cualquier navegador envía al cargar un script (su dirección IP, su agente de usuario y la página de la que viene), y solo los utilizamos para servir el script, limitar el ritmo de las peticiones y, en el caso del Sello de confianza, saber si el visitante está en la UE o el EEE (B.1.5). No conservamos la dirección IP más de dos horas; A.11 explica los registros del servicio de nuestro proveedor de alojamiento.
• Nunca recogemos por iniciativa propia datos personales de sus clientes finales. Una Aplicación solo recibe identificadores de clientes cuando Shopify nos los envía a través de sus webhooks obligatorios, y la Parte B indica qué ocurre con ellos.
• Nunca transferimos datos fuera del Espacio Económico Europeo si no es con las garantías descritas en A.4.
• Nunca conservamos datos durante más tiempo que el plazo de conservación que la Parte B indica para ellos.

Todas las Aplicaciones se apoyan en los siguientes subencargados del tratamiento principales. La Parte B enumera cualquier subencargado adicional que utilice una Aplicación concreta.

Supabase, Vercel y Upstash (que figura en la Parte B) son sociedades constituidas en Estados Unidos cuya infraestructura en la UE puede contar con el apoyo de personal situado fuera del EEE. Cualquier acceso residual de este tipo está cubierto por las cláusulas contractuales tipo de la Comisión Europea (Decisión (UE) 2021/914) previstas en el Art. 46.2.c del RGPD, incorporadas al anexo de tratamiento de datos de cada proveedor. No se transfiere ningún dato personal fuera del EEE sin estas garantías. Puede pedirnos una copia de ellas en contact@aveus.ai.

Correos electrónicos que nos envíe. Nuestro buzón contact@aveus.ai, que recibe las consultas de asistencia, las solicitudes en materia de privacidad y las respuestas a los correos que envían nuestras Aplicaciones, está alojado por Google Ireland Limited (Google Workspace / Gmail) conforme a su anexo de tratamiento de datos. Si Google o sus propios subencargados tratan estos mensajes fuera del EEE, se aplican las cláusulas contractuales tipo de dicho anexo. Utilizamos sus mensajes únicamente para responderle y para dejar constancia de cómo atendimos su solicitud (Art. 6.1.b y Art. 6.1.f del RGPD), y los suprimimos a más tardar tres años después del último mensaje de la conversación. Le rogamos que no nos envíe por correo electrónico datos personales de sus clientes.

Aplicamos medidas técnicas y organizativas apropiadas al riesgo, entre ellas: cifrado AES-256-GCM en reposo de los tokens de acceso de Shopify; seguridad a nivel de fila (Row Level Security, RLS), de modo que una tienda nunca pueda leer las filas de otra; verificación de la firma HMAC de cada webhook de Shopify; TLS en tránsito; registros de auditoría a los que solo se pueden añadir entradas (el único cambio permitido es marcar como notificado un incidente que usted registró); análisis de dependencias y de secretos en nuestro proceso de compilación, y revisiones periódicas de seguridad conforme al OWASP Top 10. Ningún sistema es perfectamente seguro; si tenemos conocimiento de una violación de la seguridad de los datos personales que le afecte, se lo notificaremos a usted y, cuando sea obligatorio, a la autoridad de control dentro de los plazos previstos en los Art. 33 y 34 del RGPD.

Con arreglo al capítulo III del RGPD, usted tiene los siguientes derechos respecto de sus datos como comerciante:

• Derecho de acceso (Art. 15): Solicitar una copia de los datos que conservamos sobre su tienda Shopify.
• Derecho de rectificación (Art. 16): Solicitar la corrección de datos inexactos.
• Derecho de supresión (Art. 17): Solicitar la supresión de sus datos. Qué elimina una solicitud de supresión verificada, y qué elimina automáticamente la desinstalación de la Aplicación, se indica para cada Aplicación en la Parte B.
• Derecho a la portabilidad de los datos (Art. 20): Solicitar sus datos en un formato de lectura mecánica.
• Derecho a la limitación del tratamiento (Art. 18): Solicitar que limitemos el uso de sus datos en determinadas circunstancias.
• Derecho de oposición (Art. 21): Oponerse al tratamiento basado en intereses legítimos.
• Derecho a retirar el consentimiento (Art. 7.3): Cuando nos basamos en su consentimiento (novedades de Aveus por correo, A.12 y B.1.1), puede retirarlo en cualquier momento, con la misma facilidad con que lo dio: en Ajustes de la app, con el enlace de cada correo de novedades o escribiéndonos. La retirada no afecta a lo hecho antes.
• Derecho de oposición al marketing directo (Art. 21, apartados 2 y 3): Oponerse en cualquier momento a recibir de nosotros novedades y ofertas por correo. Paramos de inmediato.

Para ejercer cualquiera de estos derechos, escríbanos a contact@aveus.ai desde la dirección de correo electrónico asociada a su tienda Shopify, o hágalo a través de los webhooks de privacidad de Shopify. Responderemos en un plazo de 30 días (Art. 12 del RGPD). Antes de atender una solicitud, podemos pedirle que acredite que controla la tienda en cuestión.

Facilitar sus datos de comerciante es necesario para celebrar y ejecutar nuestro contrato con usted: sin ellos la Aplicación no puede funcionar. No tomamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en usted o le afecten significativamente de modo similar (Art. 22 del RGPD); las clasificaciones y estimaciones que produce una Aplicación son propuestas que usted revisa y decide.

Estos derechos también le corresponden si se suscribió a nuestras novedades en aveus.ai sin ser comerciante (A.12).

Usted tiene derecho a presentar una reclamación ante la autoridad de control competente:

Cada categoría de datos de la Parte B se suprime automáticamente cuando vence su plazo de conservación. Los plazos son máximos, no mínimos: no conservamos los datos más allá de la finalidad que lo justifica (Art. 5.1.e del RGPD, limitación del plazo de conservación). Cuando una categoría se conserva después de la desinstalación, la Parte B lo indica y explica por qué. Los registros que documentan que atendimos una solicitud legal (por ejemplo, la entrada que acredita que se procesó un webhook shop/redact) se conservan como prueba de cumplimiento con arreglo al Art. 5.2 del RGPD (responsabilidad proactiva) y al Art. 17.3.e (defensa de reclamaciones). El registro de una solicitud shop/redact procesada conserva el dominio de la tienda durante 90 días para poder acreditar la supresión; los demás registros de este tipo se seudonimizan cuando es posible.

Las Aplicaciones son herramientas de software. Sus resultados (clasificaciones de cumplimiento, puntuaciones de riesgo, etiquetas de imágenes, certificados, documentos generados y similares) se generan automáticamente a partir de los datos de que dispone la Aplicación en ese momento y pueden ser incompletos o inexactos. Se facilitan para ayudarle y no constituyen asesoramiento jurídico; usted sigue siendo el único responsable de revisarlos y de que su tienda cumpla el Reglamento de IA de la UE, el RGPD y cualquier otra norma que le sea aplicable. Nuestra responsabilidad, las garantías, la ley aplicable y el fuero competente para las controversias se rigen exclusivamente por nuestros Términos del servicio, que usted acepta en cada Aplicación antes de usarla (en Aveus AI, en su primera pantalla). Esta Política describe cómo tratamos los datos; no crea obligaciones más allá de las que exige la normativa de protección de datos.

Podemos actualizar esta Política de privacidad, lo que incluye añadir una sección a la Parte B para una nueva Aplicación o modificar una sección existente cuando una Aplicación cambie lo que hace con los datos. Se lo comunicaremos actualizando la fecha de «Última actualización» que figura al principio de esta página. Los cambios sustanciales se le comunicarán por correo electrónico o en la Aplicación al menos 30 días antes de su entrada en vigor, salvo que los exija la ley o Shopify, y, cuando uno entra en vigor, Aveus AI le pide que acepte la nueva versión en la Aplicación antes de que pueda seguir utilizándola.

Nuestro sitio web aveus.ai no utiliza cookies, analítica, publicidad ni seguimiento de ningún tipo, y sus fuentes tipográficas se sirven desde nuestro propio dominio. El sitio está alojado por Vercel Inc. (véase A.4) y sus páginas se sirven a través de la red de Vercel desde la ubicación más cercana a usted. Para servir cada página y proteger el sitio frente a usos abusivos, Vercel trata los datos técnicos que acompañan a toda petición web: su dirección IP, el agente de usuario de su navegador, la página solicitada y la hora de la petición. Solo conserva estos datos durante el periodo limitado en que se guardan los registros de su servicio. Base jurídica: Art. 6.1.f del RGPD (nuestro interés legítimo en mantener un sitio web seguro). Si nos escribe, A.4 explica cómo se trata su correo electrónico.

La propia aplicación, en app.aveus.ai, se aloja del mismo modo y Vercel trata los mismos datos técnicos en cada petición. Cuando nuestras reglas de seguridad bloquean una petición, nuestros registros guardan un hash seudonimizado de la dirección IP, el agente de usuario y la ruta. Para proteger el servicio podemos bloquear peticiones procedentes de determinados países o redes de origen, por ejemplo los sujetos a sanciones o los que se usan para abusos. Base jurídica: Art. 6.1.f del RGPD (nuestro interés legítimo en mantener un servicio seguro).

En aveus.ai puede pedir recibir por correo novedades de Mora Technologies ApS: funciones nuevas de Aveus AI, otras apps de Mora Technologies para Shopify y ofertas de planes. Suscribirse es opcional y nunca es condición para nada.

Qué tratamos. La dirección de correo que escribe, el idioma de la página, la versión del texto de consentimiento que se le mostró y cuándo y cómo se suscribió, confirmó, recibió un mensaje o se dio de baja. Aparte de los datos técnicos que Vercel trata en cada petición a nuestros servidores (véase la sección anterior, sobre los visitantes de nuestro sitio web), su dirección IP se usa solo como clave de un contador de límite de peticiones de corta duración que protege el formulario frente a abusos (B.1.3); no se guarda con su suscripción.

Doble confirmación. Primero le enviamos un correo con un enlace de confirmación que vale 72 horas. Hasta que lo pulse no le enviamos nada más, salvo un nuevo correo de confirmación, como mucho uno al día, si se vuelve a enviar el formulario con su dirección; una suscripción sin confirmar se borra a los 7 días.

Base jurídica. Su consentimiento (Art. 6.1.a del RGPD). Conservar la prueba de su consentimiento después de la baja: nuestro interés legítimo en poder demostrarlo (Art. 6.1.f). Enviar el correo de confirmación y conservar una solicitud sin confirmar hasta 7 días: nuestro interés legítimo en comprobar que la solicitud viene de quien usa la dirección (Art. 6.1.f).

Conservación. Mientras esté suscrito y, después, 2 años desde su baja, como prueba de su consentimiento. Después se borra.

Retirada. Con el enlace de cada correo que le enviemos tras su confirmación, con efecto inmediato, o escribiendo a contact@aveus.ai.

Destinatarios. El formulario lo procesa nuestra app en app.aveus.ai, alojada por Vercel en Fráncfort (A.4), y el contador de límite de peticiones lo guarda Upstash (B.1.3). La lista se guarda en nuestra base de datos en Supabase, en Fráncfort (A.4), y los correos los envía Lettermint B.V. (Países Bajos, UE) sin seguimiento de aperturas ni de clics (B.1.3). Nunca cargamos esta lista en otra app, nunca la combinamos con datos de una tienda Shopify y nunca la vendemos ni la cedemos.

Aveus AI, publicada en la Shopify App Store como “Aveus: EU AI Act Labels”, es una plataforma RegTech B2B al servicio de comerciantes de Shopify. Recogemos los datos mínimos necesarios para prestar servicios de auditoría de cumplimiento (Art. 5.1.c del RGPD, minimización de datos). No recogemos perfiles de clientes, pedidos ni datos de pago de sus clientes finales (consumidores). Los únicos datos de clientes que tratamos son los identificadores de cliente que Shopify envía en sus webhooks de privacidad obligatorios y la dirección IP que acompaña a toda petición a nuestros servidores, utilizada como se describe en B.1.3 y B.1.5. Ninguna función de Aveus AI se pone en marcha, tampoco la auditoría nocturna, hasta que usted acepta en la Aplicación los Términos del servicio, el Acuerdo de tratamiento de datos y esta Política. Antes de eso solo ocurre lo que exigen la instalación y la aceptación: se guarda la sesión de instalación, se registra su aceptación y se responden los webhooks de privacidad obligatorios y el de desinstalación de Shopify, y los puntos públicos de la tienda usan la dirección IP del visitante como clave del límite de peticiones (B.1.3).

B.1.1 Qué datos recogemos y por qué

B.1.2 Conservación de los datos

B.1.3 Subencargados adicionales

La clasificación mediante IA se ejecuta en Google Cloud Vertex AI, fijada al punto de acceso multirregional de la UE y limitada a modelos de disponibilidad general, de modo que el procesamiento de aprendizaje automático del contenido enviado para su análisis tiene lugar dentro de la Unión Europea. Nos autenticamos con credenciales de corta duración emitidas mediante Workload Identity Federation: en nuestro entorno de ejecución no existe ninguna clave de cuenta de servicio de Google Cloud de larga duración. El tratamiento se rige por el Anexo de tratamiento de datos de Google Cloud (Art. 28 del RGPD). No enviamos al modelo datos personales de sus clientes finales: lo que se analiza son extractos de los archivos de su tema (código, ajustes y cualquier texto que usted haya puesto en ellos) y la documentación de los proveedores disponible públicamente. Para no repetir un análisis, los resultados se guardan en caché bajo una huella del contenido analizado durante 30 días desde su último uso, de modo que un contenido idéntico visto en otra tienda reutiliza el resultado; en esa caché no se guarda nada que identifique su tienda. Google Cloud EMEA Limited puede recurrir a Google LLC (EE. UU.) y a otras filiales de Google como subencargados propios para tareas limitadas de soporte, acceso de ingeniería y supervisión de abusos, conforme a las cláusulas contractuales tipo descritas en A.4.

B.1.4 Supresión y desinstalación

Una solicitud de supresión verificada elimina su inventario de IA, el registro de cumplimiento, los registros de auditoría, las sesiones, los proveedores detectados, las marcas de contenido sintético, los certificados, la telemetría de costes de IA, los contadores de gasto guardados en nuestra base de datos, la telemetría de rendimiento de los análisis, las notificaciones operativas, el historial de análisis de la tienda online, los registros de las noches en que se ejecutaron las medidas automáticas, los registros de errores seudonimizados, los registros de aceptación legal, su suscripción a las novedades de Aveus y su prueba del consentimiento, los registros de los expedientes de evidencias y los vínculos con agencias asociadas. La desinstalación de la app elimina automáticamente su inventario de IA, las marcas de contenido sintético, los proveedores detectados y los datos de sesión; las demás categorías se eliminan mediante una solicitud de supresión verificada o cuando vence su plazo de conservación. Desinstalar la app también detiene en el acto los correos de novedades de Aveus.

B.1.5 Qué lee y escribe la Aplicación en su tienda

Para detectar marcas de procedencia, la Aplicación descarga como máximo los primeros 256 KB de cada imagen de producto (y, en algunos archivos grandes, también los últimos 256 KB), los examina en memoria y los descarta; solo se guarda el resultado de la detección. Lee los archivos de su tema, pero nunca los modifica. Escribe en su tienda un metacampo de producto por cada imagen etiquetada y un metacampo de tienda con la lista de archivos etiquetados, en el espacio de nombres propio de la Aplicación, y un metacampo en la instalación de la Aplicación (aveus.free_plan) que indica a los bloques del tema si su tienda está en el plan gratuito. En los planes de pago, en cada auditoría y cada noche, también configura los ajustes de privacidad de Shopify para que el consentimiento de cookies y la exclusión de la venta de datos sean obligatorios en los países de la UE y del EEE, el Reino Unido, Suiza y los territorios donde rigen las mismas normas (Reunión, Guadalupe, Martinica, Guayana Francesa, Mayotte, San Martín, las Islas Åland, Gibraltar, Jersey, Guernsey y la Isla de Man), siempre que su tienda siga usando para ese país la configuración predeterminada de Shopify; un ajuste que haya hecho usted mismo se mantiene tal cual, y puede cambiarlo en el panel de administración de Shopify. Este ajuste no muestra ningún banner de cookies: el banner lo activa usted, en Shopify o con otra aplicación.

El bloque del Sello de confianza que puede activar en su tema carga un script desde app.aveus.ai, por lo que el navegador del visitante se conecta a nuestros servidores y su dirección IP se utiliza como clave de limitación de peticiones, tal como se describe en B.1.3; el país que Vercel deduce de ella, que no guardamos, decide si se muestra el sello, porque solo se muestra a visitantes en la UE y el EEE. El bloque no pone ninguna cookie ni guarda nada en el navegador del visitante. El bloque de la Etiqueta de imagen IA lee los metacampos anteriores y no carga nada de nuestros servidores; su enlace abre su página pública de información en app.aveus.ai, que cualquiera puede abrir y que enumera las tecnologías de IA encontradas en su tema y las imágenes etiquetadas en su tienda (nombre, nivel de riesgo, finalidad y fechas); no muestra las clasificaciones pendientes de revisión humana o rechazadas en ella. Para mostrarle en la pestaña «Avisos en tu tienda» si su tienda tiene un banner de cookies, la Aplicación lee sus ajustes de privacidad de Shopify (si el banner de cookies de Shopify está activado) y los bloques de apps activados en su tema publicado; no guarda esta información. Dentro del panel de administración de Shopify, la Aplicación guarda algunas preferencias en el almacenamiento local de su navegador (por ejemplo, el idioma que eligió y las alertas que marcó como revisadas); se quedan en su navegador.

Antes de publicar una nueva Aplicación de Aveus en la Shopify App Store, añadimos a la Parte B una sección que describe los datos que trata (qué almacenamos y por qué, qué leemos pero no conservamos, qué escribe la Aplicación en su tienda, la conservación, los subencargados y los webhooks de privacidad). Ese mismo día cambia la fecha de «Última actualización» que figura al principio de esta página. Una Aplicación que no tenga sección en la Parte B no está cubierta por esta Política y no la publicamos nosotros.