Acuerdo de Tratamiento de Datos Personales (DPA) — Caravel Suite

Traducción; en caso de discrepancia prevalece la versión portuguesa.

Versión 1.0 · 30/10/2026

Partes

1. El Comerciante — la persona física o jurídica titular de la tienda Shopify que instala una o varias de las Aplicaciones indicadas a continuación, identificada por los datos de su cuenta Shopify y de su tienda, en calidad de Responsable del Tratamiento (art. 4.7 del RGPD).
2. Jardim Idílico Unipessoal, Lda., que opera con la marca Caravel Suite, NIF PT518764532, con domicilio social en Rua da Póvoa, n.º 775, Fração L, Zona Industrial de Amorim, 4495-121 Póvoa de Varzim, Portugal, contacto caravel@caravelsuite.com, en calidad de Encargado del Tratamiento (art. 4.8 y art. 28 del RGPD) — en adelante, «Caravel Suite».

Cláusula 1.ª — Objeto y ámbito

1. El presente DPA regula el tratamiento de datos personales que Caravel Suite efectúa por cuenta del Comerciante al prestar las aplicaciones Shopify Caravel Invoice PT, Caravel Track, Caravel Reviews y Caravel Packing Slips («Aplicaciones»), y se aplica únicamente a las Aplicaciones que el Comerciante tenga instaladas.
2. El presente DPA forma parte integrante de los Términos del Servicio de cada Aplicación. Al instalar o seguir utilizando una Aplicación, el Comerciante acepta los Términos y, con ellos, el presente DPA. Los Términos de cada Aplicación remiten a este documento.
3. Los datos de la propia relación comercial con el Comerciante (cuenta, facturación, soporte) son tratados por Caravel Suite como responsable y se rigen por la Política de Privacidad de caravelsuite.com, no por el presente DPA.

Cláusula 2.ª — Duración

El tratamiento comienza con la instalación de la Aplicación y dura mientras esta permanezca instalada, más el tiempo estrictamente necesario para la supresión prevista en la Cláusula 10.ª.

Cláusula 3.ª — Naturaleza, finalidad, categorías de datos y de interesados

1. Interesados: clientes (compradores) de la tienda del Comerciante; en las sesiones de administración, también los usuarios (empleados) del Comerciante que abren la Aplicación en el panel de Shopify.
2. Naturaleza y finalidad por Aplicación — véase el Anexo I.
3. Las Aplicaciones no están destinadas a tratar categorías especiales de datos (art. 9) ni datos relativos a condenas penales (art. 10) y no los solicitan. Si un comprador los incluye por iniciativa propia en el texto libre o la fotografía de una reseña, el Comerciante puede retenerla o suprimirla con las herramientas de moderación de Caravel Reviews.
4. Obligaciones y derechos del Comerciante. El Comerciante: (a) garantiza que dispone de una base de licitud para el tratamiento y que informa a los compradores (incluso sobre las Aplicaciones que utiliza); (b) da instrucciones lícitas; (c) contrata y gestiona directamente los servicios propios que conecta a las Aplicaciones; (d) tiene derecho a dar instrucciones, a obtener la información de la Cláusula 11.ª y a solicitar la supresión o la exportación de los datos en los términos del presente DPA.

Cláusula 4.ª — Instrucciones documentadas

1. Caravel Suite trata los datos únicamente siguiendo instrucciones documentadas del Comerciante, incluso con respecto a las transferencias a terceros países, salvo que esté obligada a ello en virtud del Derecho de la Unión o de Portugal; en tal caso, informa al Comerciante de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.
2. Constituyen instrucciones documentadas: (a) el presente DPA y los Términos; (b) la instalación, configuración y utilización de las Aplicaciones por el Comerciante (incluidas las credenciales de servicios propios del Comerciante que este introduce, como InvoiceXpress, proveedor de correo electrónico o servicio de seguimiento); (c) las solicitudes de privacidad recibidas a través de los webhooks obligatorios de Shopify (customers/data_request, customers/redact, shop/redact); (d) las instrucciones escritas enviadas a caravel@caravelsuite.com.
3. Caravel Suite informa inmediatamente al Comerciante si considera que una instrucción infringe el RGPD u otras disposiciones de la Unión o de Portugal en materia de protección de datos.

Cláusula 5.ª — Confidencialidad

Solo tienen acceso a los datos las personas autorizadas por Caravel Suite que lo necesiten para prestar, mantener o dar soporte a las Aplicaciones, y todas ellas están sujetas a un deber de confidencialidad contractual o legal. Actualmente la única persona con acceso es el gerente. Las herramientas automáticas de mantenimiento y desarrollo operan bajo la cuenta y la responsabilidad de este y, por norma interna, no consultan las bases de datos ni los ficheros de claves de las Aplicaciones en producción.

Cláusula 6.ª — Seguridad del tratamiento (art. 32)

Caravel Suite adopta todas las medidas exigidas por el art. 32, incluidas las medidas técnicas y organizativas del Anexo II, que describen únicamente controles en funcionamiento. Puede actualizarlas con medidas equivalentes o mejores, siempre que el nivel global de seguridad siga siendo adecuado al riesgo.

Cláusula 7.ª — Subencargados del tratamiento

1. El Comerciante otorga autorización general por escrito para que Caravel Suite recurra a los subencargados del Anexo III.
2. Antes de añadir o sustituir un subencargado, Caravel Suite actualiza el Anexo III en caravelsuite.com/legal/dpa/ y avisa al Comerciante por correo electrónico (dirección de la cuenta Shopify) con al menos 30 días de antelación. El Comerciante puede oponerse por escrito en dicho plazo por motivos razonables de protección de datos; a falta de acuerdo, puede desinstalar la Aplicación sin penalización, y las suscripciones de pago finalizan conforme a las condiciones de Shopify. Excepción de urgencia: si la sustitución es necesaria para proteger los datos o mantener el servicio (por ejemplo, un fallo grave o un incidente de seguridad en un proveedor), Caravel Suite puede efectuarla de inmediato y avisa al Comerciante lo antes posible, manteniéndose el derecho de oposición y de desinstalación sin penalización.
3. Caravel Suite impone a cada subencargado, mediante contrato (incluidos los acuerdos de tratamiento de datos de dichos proveedores), las mismas obligaciones de protección de datos del presente DPA, en particular la de ofrecer garantías suficientes de medidas técnicas y organizativas apropiadas (art. 28.4), y sigue siendo plenamente responsable ante el Comerciante de su cumplimiento.
4. No son subencargados de Caravel Suite los servicios que el Comerciante contrata y conecta a las Aplicaciones con sus propias credenciales (Anexo I, columna «Servicios del propio Comerciante»): dichos proveedores tratan los datos por cuenta del Comerciante, al amparo de los contratos de este. Shopify es la plataforma del propio Comerciante.

Cláusula 8.ª — Asistencia al Comerciante

1. Derechos de los interesados (arts. 12 a 22): teniendo en cuenta la naturaleza del tratamiento, Caravel Suite asiste al Comerciante, mediante medidas técnicas y organizativas apropiadas, para responder a todas las solicitudes de ejercicio de derechos (información, acceso, rectificación, supresión, limitación, portabilidad y oposición). En particular, las Aplicaciones responden automáticamente a las solicitudes de Shopify: customers/data_request genera, en Invoice PT, Track y Reviews, una exportación cifrada que el Comerciante descarga en el panel de la Aplicación (disponible durante 30 días; Packing Slips no guarda datos de compradores); customers/redact suprime o anonimiza los datos de ese comprador; shop/redact suprime los datos de la tienda. Las rectificaciones y otras solicitudes no cubiertas por los webhooks se atienden a petición del Comerciante dirigida a caravel@caravelsuite.com. Si un interesado contacta directamente con Caravel Suite, la solicitud se reenvía al Comerciante en un plazo de 5 días hábiles y no se responde directamente, salvo instrucción del Comerciante u obligación legal.
2. Arts. 32 a 36: teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, Caravel Suite asiste al Comerciante en el cumplimiento de las obligaciones de seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa relativas a las Aplicaciones.

Cláusula 9.ª — Violaciones de la seguridad de los datos personales

1. Caravel Suite notifica al Comerciante sin dilación indebida y, en cualquier caso, en un plazo máximo de 24 horas después de tener conocimiento de una violación de la seguridad de los datos personales que afecte a datos tratados por cuenta de este, por correo electrónico a la dirección de la cuenta Shopify.
2. La notificación incluye, en la medida en que se conozca (completándose por fases): la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros, las consecuencias probables, las medidas adoptadas o propuestas, y el punto de contacto para obtener más información (caravel@caravelsuite.com).
3. La notificación a la CNPD y a los interesados (arts. 33 y 34) corresponde al Comerciante como responsable; Caravel Suite le facilita la información necesaria. El procedimiento interno figura en la Política de Respuesta a Incidentes de Seguridad de Caravel Suite, disponible previa solicitud.

Cláusula 10.ª — Fin del tratamiento: supresión, devolución y conservación

1. Elección del Comerciante (art. 28.3.g)): antes de desinstalar, el Comerciante puede obtener la devolución de los datos exportando lo que cada Aplicación pone a disposición en el panel o solicitándolo a caravel@caravelsuite.com hasta la recepción del shop/redact; al desinstalar sin hacerlo, elige la supresión.
2. Al desinstalar una Aplicación: las sesiones de acceso a la tienda se suprimen de inmediato y la Aplicación deja de tratar datos nuevos de esa tienda (los trabajos pendientes se cancelan). Los demás datos de la tienda se suprimen cuando Shopify envía la solicitud shop/redact (Shopify la envía 48 horas después de la desinstalación). En Caravel Invoice PT, si por cualquier motivo la solicitud shop/redact no llega, los datos se purgan como máximo 30 días después de la desinstalación.
3. Durante la utilización, los plazos de conservación son los del Anexo I.
4. Copias de seguridad: los datos suprimidos desaparecen de las copias de seguridad cifradas al final del ciclo de conservación de las copias (hasta 5 semanas: 14 copias diarias + 4 semanales). Las copias no se utilizan para ningún fin distinto de recuperar el servicio.
5. Queda a salvo la conservación exigida por el Derecho de la UE o de Portugal (por ejemplo, registros mínimos del cumplimiento de solicitudes de privacidad, sin datos personales en claro).

Cláusula 11.ª — Demostración del cumplimiento y auditorías

1. Caravel Suite pone a disposición del Comerciante toda la información necesaria para demostrar el cumplimiento del art. 28 (en particular, el presente DPA, las medidas del Anexo II, la Política de Respuesta a Incidentes y la Estrategia de Prevención de Pérdida de Datos) y permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Comerciante, de un auditor autorizado por este o de una autoridad de control.
2. Si la información no es suficiente, el Comerciante (o un auditor autorizado por este, sujeto a confidencialidad) puede realizar una auditoría, como máximo una vez al año (salvo en caso de violación de la seguridad de los datos o de solicitud de una autoridad de control, que no están sujetas a este límite), con 30 días de preaviso, en días hábiles, sin acceso a datos de otros comerciantes ni a secretos comerciales, y a cargo del Comerciante, salvo que revele un incumplimiento material por parte de Caravel Suite.

Cláusula 12.ª — Transferencias internacionales

1. Los datos se alojan en servidores situados en la Unión Europea (Francia) y en el Reino Unido (Anexo III). El Reino Unido cuenta con una decisión de adecuación de la Comisión Europea (art. 45).
2. Cualquier transferencia fuera del EEE o de un país con decisión de adecuación solo se produce con garantías adecuadas del Capítulo V del RGPD — decisión de adecuación (incluido el EU-US Data Privacy Framework, para entidades certificadas) o cláusulas contractuales tipo de la Comisión Europea (art. 46.2.c)) — y se indica en el Anexo III.

Cláusula 13.ª — Responsabilidad, prevalencia, ley y fuero

1. La responsabilidad de cada parte se rige por el art. 82 del RGPD y, entre las partes, por las limitaciones de los Términos del Servicio en la medida en que la ley lo permita; ninguna limitación afecta a los derechos de los interesados.
2. En caso de conflicto entre el presente DPA y los Términos, prevalece el presente DPA en lo relativo a la protección de datos personales.
3. Ley portuguesa. Fuero: los tribunales de la comarca de Oporto, sin perjuicio de las normas imperativas.
4. Caravel Suite puede actualizar el presente DPA para reflejar cambios legales o de los servicios; los cambios mantienen un nivel global de protección adecuado al riesgo, y los cambios relevantes se avisan por correo electrónico con 30 días de antelación.

---

Anexo I — Descripción del tratamiento por Aplicación

Anexo II — Medidas técnicas y organizativas en funcionamiento

1. Cifrado en tránsito. Todas las conexiones a servicios externos utilizan HTTPS/TLS (Shopify Admin API, InvoiceXpress, VIES, Postmark, Resend, 17TRACK, TrackingMore, proveedor de IA — este solo se acepta con URL https y sin redirecciones); el SMTP propio del Comerciante solo con TLS implícito (puerto 465). Las Aplicaciones solo escuchan en 127.0.0.1 y se publican únicamente por HTTPS.
2. Cifrado en reposo, por campo. Los datos personales guardados se cifran en la base de datos con AES-256-GCM (nonce aleatorio de 96 bits, autenticación del nombre del campo), con una clave derivada mediante HKDF-SHA256 de la clave maestra de la Aplicación, que nunca se guarda en la base de datos ni en el código: sesiones (token y datos del usuario) en las 4 Aplicaciones; en Reviews, el correo electrónico y el nombre del comprador, el título y el texto de la reseña y las fotografías; en Track, los eventos de transporte; exportaciones de privacidad (Invoice PT, Track y Reviews; Packing Slips no guarda exportaciones). Las credenciales de los servicios del Comerciante (InvoiceXpress, correo electrónico, seguimiento) también se cifran con AES-256-GCM. Los correos electrónicos utilizados para búsquedas se guardan únicamente como HMAC-SHA256.
3. Minimización. Invoice PT no guarda el nombre, el NIF, la dirección ni el correo electrónico del comprador; Packing Slips no guarda datos de compradores; Track no guarda el correo electrónico en claro. Cada Aplicación solicita a Shopify únicamente los ámbitos que necesita (solo lectura).
4. Copias de seguridad cifradas. Copia automática diaria (03:20 UTC) de las bases de datos de las Aplicaciones con restic, cifrada en el servidor de origen antes de salir (AES-256 + Poly1305), enviada por SFTP/SSH a otro servidor en otro país (Francia). Conservación: 14 diarias + 4 semanales. Integridad verificada en cada copia; prueba de restauración automática semanal con registro del resultado. La clave de las copias no se encuentra en el servidor de destino.
5. Registros sin datos personales. Los registros de las Aplicaciones eliminan automáticamente campos como correo electrónico, teléfono, dirección, nombre, NIF, tokens y secretos; el registro de solicitudes HTTP del servidor está desactivado (las URL podrían contener identificadores).
6. Control de acceso. Acceso a los servidores solo mediante clave SSH (contraseña desactivada), cortafuegos activo en el servidor de las Aplicaciones, bases de datos no expuestas a la red. Webhooks de Shopify verificados mediante HMAC. Acceso limitado al gerente.
7. Separación de los datos de prueba. El desarrollo y las pruebas utilizan datos sintéticos y una tienda de desarrollo propia; las pruebas automáticas bloquean las conexiones de red reales.
8. Registro de accesos. Cada Aplicación registra quién (id del usuario de Shopify, a partir del token de sesión firmado por Shopify), cuándo y qué página del panel abrió, sin guardar el contenido ni los parámetros; se conserva 365 días y se suprime junto con la tienda.
9. Supresión y conservación automáticas conforme al Anexo I, ejecutadas mediante tareas periódicas de las Aplicaciones.
10. Respuesta a incidentes conforme a la Política de Respuesta a Incidentes de Seguridad (notificación a Shopify y al Comerciante en 24 horas, registro de incidentes, revisión).

Anexo III — Subencargados del tratamiento

Infraestructura a la fecha de esta versión. El traslado al alojamiento definitivo de producción se avisará conforme a la Cláusula 7.ª antes de entrar en funcionamiento.

Última actualización: 2026-10-30