Este Acuerdo de Tratamiento de Datos ("DPA") se celebra entre el cliente ("Responsable" o "Controller") y Navi Fairs SL ("Encargado" o "Processor"), y forma parte integrante de los Términos de Servicio. Regula el tratamiento de datos personales que insiti realiza por cuenta del cliente al prestar el servicio, conforme al artículo 28 del RGPD y demás normativa aplicable.
1. Roles
- Responsable del tratamiento: el cliente / merchant que contrata insiti.
- Encargado del tratamiento: Navi Fairs SL.
- Respecto de los datos propios de la cuenta del cliente (su correo, datos de facturación), insiti actúa como responsable independiente, regido por nuestra Política de Privacidad.
2. Objeto, duración y naturaleza del tratamiento
- Objeto: almacenar y procesar fotografías y modelos 3D aportados por el Responsable, producir modelos 3D/AR por encargo con herramientas de terceros, servir los modelos a compradores finales vía visor embebido.
- Duración: mientras esté vigente la suscripción, y hasta la supresión de los datos al cierre de la cuenta (cláusula 8).
- Naturaleza: almacenamiento, transformación (modelado y optimización), distribución del visor en la ficha de producto, generación de métricas agregadas.
- Finalidad: prestación del servicio descrito en los Términos.
3. Categorías de datos e interesados
- Interesados: usuarios del panel del Responsable (si el Responsable da de alta subusuarios) y, de forma indirecta, los compradores finales que interactúan con el visor AR (identificador de sesión anónimo, tipo de dispositivo, referente, zona horaria y ubicación aproximada por país, región y ciudad deducida de la IP; la IP no se conserva).
- Categorías de datos: correos, nombres, dominio Shopify, imágenes de producto, modelos 3D generados, eventos anónimos de uso AR. No se tratan categorías especiales del art. 9 RGPD.
4. Obligaciones del Encargado
insiti, como Encargado, se compromete a:
- Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable (contenidas en los Términos, este DPA y el uso del producto).
- Garantizar que el personal autorizado se compromete a confidencialidad.
- Implementar las medidas técnicas y organizativas descritas en la cláusula 6.
- Asistir al Responsable para responder a solicitudes de los interesados (acceso, rectificación, supresión, portabilidad).
- Ayudar al Responsable a cumplir los artículos 32 a 36 del RGPD (seguridad, notificación de brechas, evaluaciones de impacto).
- Devolver o suprimir los datos personales al finalizar el servicio, salvo obligación legal de conservación.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables con preaviso y bajo confidencialidad.
5. Transferencias internacionales
Cuando alguno de nuestros proveedores tecnológicos se encuentre fuera del Espacio Económico Europeo, insiti aplicará Cláusulas Contractuales Tipo (SCCs) adoptadas por la Comisión Europea (Decisión 2021/914) y, cuando proceda, adhesión al EU–US Data Privacy Framework. El almacenamiento principal de contenidos se realiza en buckets de la región de la UE. La geolocalización aproximada de los compradores finales se obtiene de un proveedor en EE. UU. al que solo se envía la dirección IP, que no se conserva.
Puedes solicitar la lista completa y actualizada de subencargados (proveedores que tratan datos personales por cuenta nuestra, conforme al art. 28.2 RGPD) escribiendo a info@insiti.io. Te la facilitamos por escrito, con la finalidad de cada uno y su ubicación.
6. Medidas técnicas y organizativas
- Cifrado en reposo: AES-256 en todos los buckets que almacenan contenidos del cliente.
- Cifrado en tránsito: TLS 1.2+ obligatorio en todos los endpoints públicos.
- Control de acceso: principio de mínimo privilegio, 2FA obligatorio para administradores y personal con acceso a producción.
- Gestión de secretos: variables de entorno cifradas en el proveedor de hosting; rotación periódica de claves de API.
- Backups: copias diarias cifradas de la base de datos a cargo del proveedor de hosting, con retención de 7 días.
- Segregación: entornos de desarrollo y producción aislados, con credenciales distintas.
- Monitorización: herramientas de observabilidad para errores y métricas propias para detección de anomalías.
- Formación: formación periódica del equipo en privacidad y seguridad.
- Registro de actividades: mantenemos un registro de actividades de tratamiento (art. 30 RGPD) disponible para autoridades.
7. Notificación de brechas de seguridad
Si detectamos una violación de la seguridad que afecte a datos personales tratados por cuenta del Responsable, le notificaremos sin dilación indebida y en todo caso dentro de las 72 horas siguientes desde que tengamos conocimiento. La notificación incluirá, en la medida de lo conocido:
- Naturaleza de la brecha, categorías y volumen aproximado de interesados y registros afectados.
- Nombre y contacto del responsable de privacidad de insiti.
- Consecuencias probables y medidas adoptadas o propuestas para mitigar.
Canal de notificación: info@insiti.io.
8. Duración, terminación y devolución
Este DPA estará vigente mientras insiti trate datos personales por cuenta del Responsable. Al terminar, y salvo obligación legal, suprimiremos los datos personales en los 30 días siguientes. El Responsable podrá solicitar una exportación previa (JSON + GLB) contactando con info@insiti.io.
9. Contacto
Para cualquier asunto relacionado con este DPA, privacidad o avisos legales: info@insiti.io.