Seguridad y tratamiento de datos

Respecto a los datos de los visitantes de una tienda («compradores»), el comerciante es el responsable del tratamiento y OneSite Agency es su encargado. Respecto a las cuentas de los propios comerciantes y a nuestra web, somos nosotros el responsable. Nuestras Condiciones del servicio son nuestro contrato de encargo de tratamiento; no hay otro documento que firmar.

Datos de compradores, guardados por tienda y solo para esa tienda:

• Conversaciones: lo que el comprador escribió o dictó y los productos mostrados y elegidos (tablas queries, events). El dictado se convierte en texto en nuestros propios servidores; el audio no se guarda.
• Visitas: referente, etiquetas UTM, tipo de dispositivo, navegador, sistema operativo, zona horaria y un país y ciudad aproximados deducidos de la dirección IP (tabla visits). La dirección IP en sí no se guarda.
• Contactos que un comprador decide dejar tras una consulta que la tienda no pudo responder (tabla misses): se guardan cifrados con AES-GCM, con la clave fuera de la base de datos, junto a un hash con clave que solo sirve para encontrarlos de nuevo en una solicitud de borrado o de datos. Las peticiones de hablar con una persona —«Hablar con una persona», una pregunta sobre un pedido que el asistente no pudo responder, «avísame cuando esté disponible» (tabla handoffs)— se guardan del mismo modo, con las palabras del comprador limpias de otros contactos; solo las ven las personas de la propia tienda, en la bandeja de entrada de su panel, y se borran con el mismo plazo.
• Notas de compra y solicitudes de datos de un comprador (tablas checkout_notes, data_exports).
• Registros de pedidos de la tienda (tablas purchase_orders, purchase_lines, purchase_discounts, purchase_cart): totales, líneas y códigos de descuento. No contienen identidad del comprador; su vínculo con una conversación se elimina cuando caducan los registros del comprador.

Datos del comerciante y de la tienda:

• Catálogo, embeddings y enriquecimiento de productos, los datos del comerciante sobre envío, pago y devoluciones, páginas del escaparate e imágenes subidas, gasto mensual del modelo y las acciones del comerciante en el panel (tablas products, embeddings, product_enrichment, facts, pages, storefront_*, budget_month, cabinet_deeds y similares, todas asociadas a la tienda).
• Cuentas de los comerciantes que inician sesión en nuestra web: correo electrónico, una contraseña guardada solo como hash Argon2id, idioma, y la hora, la dirección IP y el navegador de cada inicio de sesión (tablas accounts, memberships, sessions).
• Conexión con la plataforma: el dominio de la tienda, el estado de la suscripción y las claves de acceso necesarias para llamar a la API de la plataforma; para clientes directos, los identificadores de cliente y suscripción de Stripe. Los datos de la tarjeta nunca nos llegan.
• Solicitudes enviadas desde nuestra web y, para tiendas traídas por un socio de referidos, la comisión devengada (tablas applications, partner_accruals).

Conocimiento que no está ligado a ninguna tienda y, por construcción, no lleva identificador de tienda: valoraciones de listas de otros sitios, una tabla de referencia de IP a lugar, atributos por título derivados de los títulos y valoraciones y reseñas públicas de libros leídas de páginas públicas de otros sitios. Las reseñas incluyen el nombre visible y el texto de quien las escribió y se guardan solo mientras la fuente aún las muestra (véase más abajo).

No entrenamos ni ajustamos modelos de lenguaje con datos de comerciantes ni de compradores, y no vendemos datos. Los datos de las tiendas instaladas a través de Shopify no se usan para ningún tipo de aprendizaje.

• Registros de compradores (conversaciones, eventos, visitas, contactos, notas de compra, solicitudes de datos): se borran 395 días (13 meses) después de registrarse, mediante una tarea nocturna. El plazo es una decisión de producto: los informes del propietario comparan un mes con el mismo mes del año anterior.
• Reseñas copiadas de otros sitios: se borran 30 días después de que la fuente las mostró por última vez. Las valoraciones permanecen, pues no contienen a ninguna persona.
• Una tienda tras desinstalar: los datos se conservan para que una reinstalación los restablezca, hasta que Shopify envía su aviso de borrado (shop/redact) 48 horas después; entonces se borra todo sobre la tienda. En una suscripción directa, la tienda se borra 30 días después de terminar la suscripción.
• Una cuenta de comerciante: mientras exista la cuenta, y se borra en un plazo de 30 días desde la solicitud.
• Copias de seguridad de la base de datos: nocturnas, cifradas, se guardan 14 días en el mismo servidor, de modo que los datos borrados salen de las copias en 14 días.

• El comerciante ve en el panel los datos de su propia tienda. Cada registro se guarda bajo la tienda a la que pertenece y se lee solo en nombre de esa tienda; una tienda nunca ve los datos de otra, y un registro de todas las tablas y cachés indica cuáles pertenecen a una tienda y cuáles son conocimiento compartido, verificado por una prueba.
• Nuestro operador tiene acceso a los sistemas de producción; el acceso se limita al operador.
• Un socio de referidos que trajo una tienda ve el dominio de la tienda, si paga y la comisión devengada.
• Los subencargados indicados abajo, solo lo descrito para cada uno.

Todo lo que guardamos está en nuestros servidores de Hetzner Online GmbH en Núremberg, Alemania. La búsqueda, los embeddings de texto y el reconocimiento de voz funcionan en esos servidores, sin terceros. Subencargados:

• Hetzner Online GmbH, Alemania: alojamiento.
• DeepSeek (China): el modelo de lenguaje (para tiendas fuera de la UE, el EEE y el Reino Unido). Para redactar una respuesta recibe el texto de la conversación, datos de productos del catálogo de la tienda, textos de reseñas públicas de libros, sin los nombres de quienes las escribieron y una foto que el comprador decide adjuntar, en las tiendas que han activado la búsqueda por foto (no la guardamos). Nunca recibe nombres de compradores, datos de contacto, direcciones IP y datos de pedidos. Las peticiones se envían por una conexión cifrada.
• Para tiendas de la UE, el EEE y el Reino Unido: las respuestas se elaboran sin modelo de lenguaje, en nuestros propios servidores; ningún dato de compradores llega a un proveedor de modelos.
• Shopify: la plataforma en la que funciona la aplicación y la facturación de las instalaciones. Stripe: facturación de los comerciantes que se suscriben directamente con nosotros.
• PostHog, nube de la UE: analítica de uso en nuestra web y en el panel, no dentro del asistente en un escaparate.
• Telegram: cuando está activado, avisos internos a nuestro equipo sobre nuevas solicitudes de comerciantes.

Qué proveedor atiende a qué tiendas se decide en un solo lugar de nuestro código, según la zona de datos de la tienda, y las entradas del modelo de lenguaje de arriba se generan a partir de ese lugar, de modo que esta página no puede decir algo que el código no hace. Añadimos o cambiamos un subencargado en la Política de privacidad, con su fecha, antes de que empiece.

El comerciante decide sobre los datos de los compradores, así que estos escriben primero a la tienda; si nos escriben a nosotros, trasladamos la solicitud y ayudamos al comerciante a responderla. A través de Shopify, las tres solicitudes estándar se gestionan automáticamente:

• Solicitud de datos (customers/data_request): en 30 días enviamos al propietario de la tienda los datos que tenemos de ese cliente, como archivo legible por máquina.
• Borrado de cliente (customers/redact): eliminamos el contacto que dejó ese cliente, las conversaciones vinculadas a él y los pedidos indicados en la solicitud.
• Borrado de tienda (shop/redact): eliminamos todo lo que tenemos de la tienda.

Los comerciantes escriben a la dirección de abajo y respondemos en 30 días. Compradores y comerciantes también pueden presentar una reclamación ante una autoridad de protección de datos.

Un solo camino sirve tanto para un aviso de borrado de la plataforma como para una baja hecha por el operador. Cada tabla propia de una tienda referencia la tienda con una clave en cascada, de modo que borrar la única fila de la tienda elimina todo lo suyo en una transacción, todo o nada. Las imágenes subidas al constructor del escaparate están en disco y se eliminan primero; un borrado fallido se repite. Los comerciantes que se quedan sin tiendas se eliminan después de la tienda.

Lo que queda tras borrar una tienda, por diseño:

• Comisiones devengadas a favor de un socio de referidos: importe y dominio, con el identificador de la tienda borrado. No contienen compradores.
• El registro de acciones del operador, que debe sobrevivir a su objeto como prueba de quién activó, desactivó o borró una tienda, incluido el propio borrado.
• El conocimiento independiente de tiendas descrito arriba, que no contiene identificador de tienda ni de comprador. Las copias de seguridad caducan en 14 días.

• El tráfico hacia y desde nuestros servidores va cifrado con TLS. Las copias de seguridad están cifradas (AES-256) y solo las puede leer la cuenta de administración del servidor.
• Las contraseñas se guardan solo como hashes Argon2id y los tokens de sesión solo como huellas SHA-256. Los contactos de los compradores se guardan cifrados (AES-GCM), con la clave fuera de la base de datos.
• Los avisos de Shopify y Stripe solo se aceptan con una firma válida. Los registros de cada tienda se mantienen separados y solo se leen en nombre de esa tienda.
• El acceso a los sistemas de producción se limita a nuestro operador. Cuando el operador abre el panel de un comerciante para ayudar con una consulta de soporte, la apertura queda registrada con quién abrió qué tienda.

Las preguntas de seguridad, los avisos de vulnerabilidad y las solicitudes de datos van a la dirección de abajo; solemos responder en un día laborable. Si una brecha afecta a datos personales que tenemos, avisamos a los comerciantes afectados sin demora indebida y a más tardar 72 horas después de conocerla.