Acuerdo de encargado del tratamiento de Puente Contable para Shopify

Versión 1.0 · última actualización el 14 de septiembre de 2026

Este acuerdo regula cómo trata Puente Contable los datos personales de tus clientes por tu cuenta. Es el contrato que el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) exige entre quien decide sobre los datos (tú, el comerciante) y quien los trata por su encargo (Puente Contable). Lo aceptas al instalar la aplicación en tu tienda, en la pantalla de Shopify en la que se muestran los permisos que la aplicación pide. Está escrito para que lo entienda un comerciante sin abogado; cuando una cláusula existe porque la ley la exige, se cita el artículo.

1. Quiénes firman

Responsable del tratamiento: tú, el comerciante titular de la tienda Shopify en la que instalas la aplicación. Decides sobre los datos de tus clientes y respondes de ellos ante ellos y ante la autoridad de control (artículo 4.7 RGPD).

Encargada del tratamiento: Judit Ortiz, trabajadora autónoma, con nombre comercial Puente Contable. Correo: [email protected]. Web: puentecontable.com. Su NIF y su domicilio se facilitan al responsable que los pida en ese correo. Trata los datos por tu cuenta y siguiendo tus instrucciones (artículo 4.8 RGPD).

2. Objeto

La encargada presta al responsable el servicio de la aplicación Puente Contable para Shopify: leer los pedidos de la tienda y convertirlos en asientos contables con el IVA europeo calculado, para que el responsable los exporte a su programa de contabilidad (Holded, Contasimple o un archivo genérico). Para prestarlo, la encargada trata por cuenta del responsable los datos personales descritos en la cláusula 5. La aplicación prepara datos; no presenta declaraciones ante Hacienda ni sustituye a una asesoría.

3. Duración

Este acuerdo dura mientras la aplicación esté instalada en la tienda. Termina al desinstalarla. Tras la desinstalación, la encargada conserva los datos durante treinta días por si el responsable reinstala la aplicación, y a los treinta días los borra (cláusula 9). Las obligaciones de confidencialidad de la cláusula 7.2 siguen vigentes después de terminar.

4. Naturaleza y finalidad del tratamiento

Operaciones: recogida desde Shopify (por webhooks y por consulta a la interfaz de administración), registro, conservación, consulta, cálculo del IVA aplicable, comprobación del NIF-IVA de los clientes empresa en VIES (servicio de la Comisión Europea), generación de asientos contables, generación de archivos que el responsable descarga para su programa de contabilidad, anonimización y supresión.

Finalidad: exclusivamente generar los asientos contables de la tienda y calcular el IVA aplicable a cada venta. La encargada no usa los datos para ningún otro fin: ni marketing, ni elaboración de perfiles, ni venta o cesión a terceros.

5. Tipo de datos y categorías de interesados

Interesados: los clientes de la tienda del responsable, es decir, las personas que han hecho un pedido.

Datos que se tratan, los que vienen dentro de cada pedido:

Nombre, o razón social si es una empresa.
Dirección de envío y de facturación, a nivel de país, provincia, código postal y ciudad.
Identificador numérico de cliente que asigna Shopify.
Importes, líneas y fechas del pedido.
Número de IVA intracomunitario, si el cliente lo dio (empresas).

Datos que NO se tratan: correo electrónico, teléfono, calle, coordenadas, dirección IP, datos de pago y contraseñas. A Shopify solo se le ha pedido acceso al nombre y la dirección, y así está declarado ante Shopify. El código de la aplicación elimina el resto de campos personales antes de guardar nada.

No se tratan categorías especiales de datos (artículo 9 RGPD) ni datos de menores de forma deliberada.

6. Instrucciones del responsable

La encargada trata los datos únicamente siguiendo las instrucciones documentadas del responsable (artículo 28.3.a RGPD). Las instrucciones son:

Las de este acuerdo.
Las que el responsable da al configurar la aplicación (su configuración fiscal y qué asientos exporta).
Las que Shopify transmite en nombre del responsable mediante los webhooks obligatorios de privacidad: solicitud de acceso de un cliente (customers/data_request), supresión de un cliente (customers/redact) y supresión de la tienda (shop/redact).

Si la encargada considera que una instrucción infringe el RGPD u otra norma de protección de datos, informará inmediatamente al responsable (artículo 28.3, párrafo final).

Si el Derecho de la Unión o de un Estado miembro obligara a la encargada a tratar los datos de otro modo, informará al responsable antes de hacerlo, salvo que esa misma norma lo prohíba por razones de interés público (artículo 28.3.a).

7. Obligaciones de la encargada

7.1 Tratar solo según instrucciones

Tratar los datos solo para la finalidad de la cláusula 4 y según la cláusula 6. No comunicarlos a terceros salvo a los subencargados autorizados del anexo I o cuando una ley lo obligue.

7.2 Confidencialidad

La encargada es una sola persona, Judit Ortiz, y es la única con acceso a los sistemas. Se compromete a la confidencialidad de los datos, también después de terminar este acuerdo (artículo 28.3.b). Si en el futuro incorporara a otras personas, las obligaría a la misma confidencialidad por escrito antes de darles acceso.

7.3 Medidas de seguridad

Aplicar las medidas técnicas y organizativas del anexo II, conforme al artículo 32 RGPD (artículo 28.3.c).

7.4 Subencargados

No recurrir a otro encargado sin autorización del responsable (artículo 28.2). El responsable otorga con este acuerdo una autorización general para los subencargados del anexo I. La encargada informará al responsable de cualquier cambio en esa lista, por correo electrónico a la dirección de la cuenta de la tienda y con al menos treinta días de antelación, para que el responsable pueda oponerse. Si el responsable se opone y no hay alternativa, podrá terminar el acuerdo desinstalando la aplicación. La encargada impone a cada subencargado, mediante el contrato que tiene con él, las mismas obligaciones de protección de datos de este acuerdo (artículo 28.4). Si un subencargado incumple, la encargada sigue siendo plenamente responsable ante el responsable.

7.5 Asistencia con los derechos de los interesados

Ayudar al responsable a atender las solicitudes de los clientes de acceso, rectificación, supresión, limitación, portabilidad y oposición (artículos 15 a 22 RGPD; artículo 28.3.e). En concreto:

Acceso: cuando Shopify transmite una solicitud de acceso (customers/data_request), la aplicación reúne todo lo que guarda de esa persona (los pedidos con nombre, dirección a nivel de ciudad, NIF-IVA e importes) y lo pone a disposición del responsable, que es quien contesta al cliente. La encargada deja constancia de la solicitud y del acceso.
Supresión: cuando Shopify transmite una solicitud de supresión (customers/redact), la aplicación anonimiza los pedidos de esa persona: elimina el nombre y el identificador de cliente. El apunte contable en sí (importes, fechas, país, provincia, código postal y ciudad, y la razón social con su NIF-IVA si la había) se conserva, porque el responsable tiene la obligación legal de conservar su contabilidad y sus registros fiscales (artículo 17.3.b RGPD, en relación con el Código de Comercio y la Ley General Tributaria) y sin el nombre ya no identifica a nadie.
Si un cliente se dirige directamente a la encargada, esta le remitirá al responsable y le avisará sin dilación indebida.

7.6 Asistencia en seguridad, brechas y evaluaciones

Ayudar al responsable a cumplir las obligaciones de los artículos 32 a 36 RGPD (artículo 28.3.f):

Violaciones de la seguridad de los datos: la encargada notificará al responsable sin dilación indebida, y en todo caso dentro de las 72 horas desde que tenga constancia (artículo 33.2), por correo electrónico a la dirección de la cuenta de la tienda. La notificación incluirá, en cuanto se conozca: qué ha pasado, qué datos y cuántos clientes están afectados, las consecuencias probables, las medidas tomadas o propuestas y un punto de contacto. El responsable decide si notifica a la Agencia Española de Protección de Datos y a los interesados; la encargada le facilitará toda la información que necesite. El procedimiento completo está en el documento de respuesta a incidentes de Puente Contable.
Evaluaciones de impacto y consultas previas: si el responsable las necesita, la encargada aportará la información sobre el tratamiento que esté en su mano.

7.7 Supresión o devolución al terminar

Al terminar el acuerdo, la encargada borra todos los datos personales tratados por cuenta del responsable (artículo 28.3.g), en el plazo y la forma de la cláusula 9. Antes de desinstalar, el responsable puede exportar sus asientos desde la propia aplicación; esa es la vía de devolución. Pasado el plazo, no se conserva ninguna copia salvo lo que una ley obligue a conservar, y de eso no hay nada hoy. Lo único que puede quedar, hasta que caduquen, son las copias de seguridad del proveedor de base de datos descritas en la cláusula 9.

7.8 Información y auditorías

Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permitir y contribuir a las auditorías e inspecciones que el responsable o un auditor por él designado realicen (artículo 28.3.h). Dado el tamaño de la encargada, la vía ordinaria es la documentación: este acuerdo, la política de privacidad, el documento de respuesta a incidentes, el registro de accesos y el historial de solicitudes de privacidad, que la encargada entregará a petición del responsable en un plazo razonable. Las inspecciones presenciales se acordarán con antelación razonable y en horario laboral.

7.9 Registro de actividades

Llevar el registro de las categorías de actividades de tratamiento efectuadas por cuenta del responsable, con el contenido del artículo 30.2 RGPD, en la medida en que le sea exigible.

8. Obligaciones del responsable

Tener una base jurídica para tratar los datos de sus clientes y para encargar este tratamiento, e informar a sus clientes de que usa la aplicación para su contabilidad.
Dar a la encargada instrucciones conformes a la ley.
Atender a sus clientes cuando ejerzan sus derechos: la aplicación le ayuda, pero quien contesta es el responsable.
Decidir si una violación de seguridad se notifica a la autoridad de control y a los interesados, y hacerlo.
Configurar correctamente su tienda Shopify, en particular no introducir datos personales en campos donde la aplicación no espera encontrarlos (por ejemplo, poner un teléfono en el campo de empresa de una dirección).

9. Conservación y supresión

Mientras la aplicación esté instalada, los datos se conservan porque el servicio los necesita.
Al desinstalar, la tienda se marca inactiva y sus credenciales de acceso a Shopify se borran en el acto.
A los treinta días de la desinstalación, la aplicación borra automáticamente los pedidos, la cola de eventos, las importaciones y el registro de la tienda. Este plazo está declarado ante Shopify y fijado en el código, con una prueba automática que lo comprueba. Shopify envía además su propia orden de borrado (shop/redact) a las 48 horas de la desinstalación; el borrado a los treinta días cae dentro del plazo que Shopify da para cumplirla.
Del historial de solicitudes de privacidad se conserva la constancia (qué se pidió, cuándo, qué se hizo) sin la parte que identifica a la persona, para poder demostrar que se atendieron.
Copias de seguridad: la base de datos está en Neon, que permite restaurarla a cualquier momento de las últimas 6 horas; lo que sale de ese plazo se elimina automáticamente. Además, según su documentación, Neon hace copias de seguridad diarias y cifradas que conserva 30 días. Un dato borrado o anonimizado por la aplicación puede seguir en ese historial y en esas copias del proveedor mientras no caduquen. En Fly.io no se generan copias de los datos: las copias automáticas que documenta Fly.io son de volúmenes de disco, y la aplicación no usa ninguno.

10. Transferencias internacionales

Los datos se alojan en servidores situados en la Unión Europea, en la región de Fráncfort (Alemania) de los proveedores del anexo I. Dos de esos proveedores (Fly.io y Neon) son empresas de Estados Unidos. Puede existir acceso desde fuera de la Unión con fines de soporte o administración de la infraestructura. Para ese caso, las garantías son:

Neon: Databricks, Inc., que presta el servicio, está certificada en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), y la certificación cubre a su filial Neon, LLC. La Comisión Europea reconoce que las empresas de ese marco ofrecen un nivel de protección adecuado (Decisión de Ejecución (UE) 2023/1795; artículo 45 RGPD). Si esa decisión dejara de aplicarse, el acuerdo de tratamiento de datos de Databricks prevé las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), módulo 3, de encargado a encargado.
Fly.io: Fly.io, Inc. está certificada en el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795; artículo 45 RGPD), y además su acuerdo de tratamiento incorpora las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914) en su anexo 2, que Fly.io firmó como importadora de datos el 14 de enero de 2022 (sección 12.1 del acuerdo). Esas cláusulas se rigen por el Derecho alemán y los tribunales competentes son los alemanes (cláusulas 17 y 18); el interesado puede además demandar ante los tribunales de su propio Estado miembro (cláusula 18.c). Leído y comprobado el 17 de septiembre de 2026.

La encargada no realizará ninguna otra transferencia fuera de la Unión sin autorización del responsable y sin las garantías del capítulo V del RGPD.

11. Responsabilidad

Cada parte responde de los daños que cause por incumplir el RGPD en lo que le corresponde (artículo 82 RGPD). La encargada responde de los daños causados por un tratamiento que incumpla las obligaciones que el RGPD dirige específicamente a los encargados o que se aparte de las instrucciones lícitas del responsable.

12. Aceptación, cambios y ley aplicable

Aceptación: al instalar la aplicación desde la pantalla de permisos de Shopify, el responsable acepta este acuerdo. El acuerdo está publicado en puentecontable.com/app/encargado y enlazado desde la ficha de la aplicación en la Shopify App Store.
Cambios: si este acuerdo cambia, la encargada avisará por correo electrónico a la dirección de la cuenta de la tienda con al menos treinta días de antelación, salvo que el cambio sea para cumplir una obligación legal. Seguir usando la aplicación tras ese plazo supone aceptar la versión nueva; si el responsable no está de acuerdo, puede desinstalar la aplicación.
Ley y jurisdicción: este acuerdo se rige por el Derecho español y por el RGPD y la Ley Orgánica 3/2018 (LOPDGDD). Para cualquier controversia son competentes los juzgados y tribunales de Barcelona, sin perjuicio de los derechos que la ley reconozca al responsable.
Autoridad de control: Agencia Española de Protección de Datos (AEPD), www.aepd.es.

Anexo I. Subencargados autorizados

Subencargado	Qué hace	Dónde	Garantía de transferencia
Shopify International Ltd (Irlanda)	Plataforma de la tienda y origen de los datos. Relación directa del responsable con Shopify: no es subencargado de Puente Contable, se cita para claridad.	Según el contrato del responsable con Shopify	No aplica a este acuerdo
Fly.io, Inc. (Estados Unidos)	Alojamiento del servidor de la aplicación	Fráncfort (Alemania), Unión Europea: región «fra» de Fly.io	Certificada en el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795), y cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914) en el anexo 2 de su acuerdo de tratamiento, firmadas por Fly.io como importadora
Neon (Databricks, Inc., Estados Unidos, sociedad matriz de Neon, LLC)	Base de datos Postgres gestionada	Fráncfort (Alemania), Unión Europea: región AWS Europe Central 1 de Neon	Databricks, Inc. certificada en el Marco de Privacidad de Datos UE-EE. UU., con Neon, LLC cubierta (Decisión de Ejecución (UE) 2023/1795). Respaldo: cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914), módulo 3, en su acuerdo de tratamiento de datos
Comisión Europea, servicio VIES (UE)	Comprueba que el número de IVA intracomunitario de un cliente empresa existe. Recibe ese número y el de la tienda, nada más, y devuelve un número de consulta que la app guarda como prueba	Comisión Europea (Unión Europea)	Destinatario público, no subencargado: la comprobación es la prueba de la exención de las ventas a empresas de otros países (artículo 25 Ley 37/1992; artículo 6.1.c RGPD)
El programa de contabilidad del responsable (Holded, Contasimple)	Recibe los archivos que el responsable descarga e importa; la aplicación no se conecta a él	Según el contrato del responsable con ese programa	Relación directa del responsable: no es subencargado de Puente Contable

Anexo II. Medidas de seguridad

Las medidas que la encargada aplica, conforme al artículo 32 RGPD. Todas son ciertas hoy o llevan marca de verificación pendiente; ninguna es una promesa.

Minimización desde el origen. A Shopify solo se le pide acceso al nombre y la dirección. El código elimina correo, teléfono, calle, coordenadas y dirección IP de cada pedido antes de guardarlo, y el nombre se guarda una sola vez. Hay pruebas automáticas que lo comprueban.
Cifrado en tránsito. Todas las conexiones (con Shopify, con el navegador del responsable, con la base de datos y con VIES) van por TLS.
Cifrado en reposo. La base de datos está en un volumen cifrado del proveedor (Neon cifra los datos en reposo con AES-256, según su documentación). La aplicación no guarda credenciales del programa de contabilidad del responsable: no se conecta a él.
Control de acceso. Solo la desarrolladora tiene acceso a los sistemas, con gestor de contraseñas y verificación en dos pasos en Shopify Partners, en el proveedor de alojamiento y en el repositorio de código.
Registro de accesos. Cada acceso a los datos de una persona concreta (para entregarlos al responsable o para anonimizarlos) deja una fila en un registro con quién, qué tienda, qué y cuándo.
Separación de entornos. El entorno de desarrollo y el de producción están separados, con bases de datos distintas. En desarrollo solo hay una tienda de pruebas con datos ficticios.
Copias de seguridad. Las de la base de datos las hace Neon: un historial para restaurarla de 6 horas y, según su documentación, copias diarias cifradas que conserva 30 días (cláusula 9). En Fly.io no se generan copias de los datos, porque la aplicación no usa volúmenes de disco en su servidor.
Supresión automática. A los treinta días de desinstalar, la aplicación borra los datos de la tienda sin intervención humana, en una tarea que se ejecuta cada hora.
Respuesta a incidentes. Existe un procedimiento escrito de detección, contención, evaluación, notificación en 72 horas y registro de incidentes, ejecutable por una persona.
Verificación de origen. Cada webhook de Shopify se comprueba con su firma HMAC antes de procesarlo; una petición sin firma válida se rechaza.