CumpleData
Legal

Acuerdo de Procesamiento de Datos (DPA)

Marco contractual entre CumpleData (Encargado) y el comercio (Responsable).

Acuerdo de datos (DPA)

Marco entre CumpleData y tu tienda para el tratamiento de datos.

Más información
Modelo estándar
Este DPA se aplica automáticamente al aceptar los Términos de Servicio. Si necesitas una versión firmada, escríbenos a legal@cumpledata.cl.

1. Partes

El Responsable es el comercio titular de la cuenta. El Encargado es CumpleData SpA.

2. Objeto y duración

El Encargado tratará datos personales por cuenta del Responsable, exclusivamente para prestar los servicios de CumpleData. La duración coincide con la vigencia de la cuenta.

3. Naturaleza y finalidad

Operar los módulos de consentimientos, DSR, RAT, incidentes, cumplimiento y reportes; ejecutar acciones sobre la Customer API de Shopify autorizadas por el Responsable.

4. Categorías de datos

Identificación básica de clientes de la tienda (correo, id, nombre) y evidencia técnica (fecha, versión, hash de IP, UA, idioma). No se tratan datos sensibles salvo instrucción expresa.

5. Obligaciones del Encargado

  • Tratar los datos solo según instrucciones documentadas del Responsable.
  • Garantizar la confidencialidad del personal autorizado.
  • Aplicar medidas técnicas y organizativas: cifrado en tránsito (TLS) y en reposo (AES-256-GCM para tokens), RLS por shop_id, auditoría inmutable, principio de mínimo privilegio.
  • Notificar al Responsable cualquier brecha en menos de 48 horas desde su conocimiento.
  • Colaborar en el cumplimiento de derechos ARCO+ del titular.
  • Devolver o suprimir los datos al término del contrato o ante desinstalación (shop/redact).

6. Subencargados

El Responsable autoriza el uso de los siguientes subencargados:

  • Supabase (base de datos y auth) — región AWS us-east-1.
  • Cloudflare (edge runtime y CDN) — red global.
  • Shopify — como plataforma comercial del Responsable.

Los cambios en la lista se notifican con al menos 30 días de antelación.

7. Transferencias internacionales

Los datos se procesan en infraestructura fuera de Chile bajo cláusulas contractuales que garantizan un nivel de protección adecuado.

8. Auditoría

El Responsable puede solicitar información razonable para verificar el cumplimiento del Encargado, con aviso previo de 30 días.

9. Terminación

Al terminar, el Encargado suprimirá o devolverá los datos personales conservando solo lo exigido por ley.

10. Ley aplicable

Ley 21.719 de la República de Chile.