Acuerdo de encargo del tratamiento (DPA)

Artículo 28 del Reglamento (UE) 2016/679 — RGPD

El presente Acuerdo de Encargo del Tratamiento (en adelante, el «Acuerdo» o «DPA») complementa y forma parte integrante de las Condiciones Generales de Uso y Venta de jenvoie (en adelante, el «Contrato Principal»), cuyo artículo 11 desarrolla, celebradas entre:

Gravity5, sociedad por acciones simplificada de derecho francés («société par actions simplifiée») con capital variable de 150 €, inscrita en el RCS Créteil 931 799 860, con domicilio social en 6bis, rue Jean Mermoz, 94450 Limeil-Brévannes, France, representada por el Sr. Yohann MEPA, Presidente, en adelante denominada «el Encargado del Tratamiento» o «Gravity5».

Y

El Cliente, profesional que ha aceptado el Contrato Principal, incluso mediante la instalación de la aplicación jenvoie para Shopify, cuyos datos figuran en su cuenta o en su tienda, en adelante denominado «el Cliente» o «el Responsable del Tratamiento».

En adelante denominados conjuntamente las «Partes» e individualmente la «Parte».

Preámbulo

El Cliente utiliza jenvoie, plataforma en línea de creación de juegos promocionales y de envío de emails (boletines, secuencias), accesible en jenvoie.fr y mediante la aplicación jenvoie para Shopify (en adelante, el «Servicio»).

En el marco del uso del Servicio, el Encargado del Tratamiento debe tratar, por cuenta y siguiendo las instrucciones del Cliente, Datos Personales relativos a los participantes en los juegos del Cliente y a sus contactos (clientes potenciales, clientes, suscriptores de listas de difusión, clientes de su tienda).

El Cliente actúa en calidad de Responsable del Tratamiento en el sentido del RGPD respecto de dichos datos. Gravity5 actúa en calidad de Encargado del Tratamiento en el sentido del RGPD.

El presente Acuerdo tiene por objeto regular las condiciones de dicho tratamiento de conformidad con el artículo 28 del RGPD y con la Loi Informatique et Libertés modificada.

Artículo 1 — Definiciones

• «RGPD»: Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.
• «Loi Informatique et Libertés»: Ley francesa n.º 78-17, de 6 de enero de 1978, relativa a la informática, los ficheros y las libertades, en su versión modificada.
• «Datos Personales» o «Datos»: toda información sobre una persona física identificada o identificable, en el sentido del artículo 4.1 del RGPD.
• «Interesado»: la persona física a la que se refieren los Datos.
• «Tratamiento»: toda operación realizada sobre los Datos, en el sentido del artículo 4.2 del RGPD.
• «Responsable del Tratamiento»: el Cliente, que determina los fines y los medios del Tratamiento.
• «Encargado del Tratamiento»: Gravity5, que trata los Datos por cuenta del Cliente.
• «Subencargado del Tratamiento»: tercero contratado por el Encargado del Tratamiento para realizar una parte del Tratamiento (proveedor de alojamiento, etc.).
• «Violación de Datos»: violación de la seguridad en el sentido del artículo 4.12 del RGPD.
• «Autoridad de Control»: la Commission Nationale de l’Informatique et des Libertés (CNIL, autoridad francesa de protección de datos) o cualquier otra autoridad competente.

Artículo 2 — Objeto y descripción del Tratamiento

2.1 Objeto

El presente Acuerdo tiene por objeto definir las condiciones en las que el Encargado del Tratamiento se compromete a realizar, por cuenta del Responsable del Tratamiento, las operaciones de Tratamiento de Datos descritas a continuación.

2.2 Descripción del Tratamiento

Naturaleza del Tratamiento

Alojamiento de los juegos del Cliente, registro de las participaciones, determinación y certificación de los resultados, creación de códigos de descuento en la tienda Shopify del Cliente, recogida, registro, organización, conservación, consulta, utilización, comunicación por transmisión (envío de emails), supresión o destrucción de los Datos, elaboración de estadísticas.

Finalidad(es)

Permitir al Cliente organizar juegos promocionales, gestionar sus contactos, diseñar y enviar emails (boletines, secuencias, emails relacionados con las participaciones) a los contactos que lo hayan consentido, y hacer un seguimiento de las estadísticas de dichos envíos.

Categorías de Datos

Dirección de email y demás campos elegidos por el Cliente en sus formularios (nombre, teléfono, respuestas, pronósticos, atributos personalizados); opciones de consentimiento (marketing, medición de apertura) y su fecha; partidas (fecha, idioma, resultado, premio, código de descuento, navegador, referencia del certificado); actividad de email (envíos, entrega, rebotes, bajas, quejas, clics y, si el destinatario lo ha aceptado, aperturas); identificador técnico único.

Categorías de Interesados

Participantes en los juegos del Cliente; clientes potenciales, clientes y suscriptores de las listas de difusión del Cliente; clientes de la tienda Shopify del Cliente; contactos profesionales.

Duración del Tratamiento

Durante toda la vigencia del Contrato Principal, más el período de devolución o supresión previsto en el artículo 11.

2.3 Datos sensibles

El Cliente se compromete a no transmitir al Servicio datos sensibles en el sentido del artículo 9 del RGPD (origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos, datos relativos a la salud o a la orientación sexual), ni datos relativos a condenas penales (artículo 10 del RGPD), salvo consentimiento expreso, previo y por escrito del Encargado del Tratamiento.

Artículo 3 — Obligaciones del Encargado del Tratamiento

3.1 Cumplimiento de las instrucciones

El Encargado del Tratamiento trata los Datos únicamente siguiendo instrucciones documentadas del Responsable del Tratamiento, incluso en lo relativo a las transferencias fuera de la Unión Europea. Se consideran instrucciones documentadas:

• El Contrato Principal y el presente Acuerdo;
• Los ajustes y configuraciones realizados por el Cliente en su cuenta o en la aplicación jenvoie para Shopify;
• Las acciones realizadas por el Cliente a través de la interfaz, de la API o de un asistente de inteligencia artificial conectado por MCP con sus accesos (creación de juegos, envío de campañas, importación de listas de contactos);
• Las solicitudes específicas formuladas por escrito (email, ticket de soporte).

Si el Encargado del Tratamiento considera que una instrucción infringe el RGPD u otras disposiciones aplicables en materia de protección de datos, informará inmediatamente de ello al Responsable del Tratamiento.

3.2 Confidencialidad

El Encargado del Tratamiento vela por que las personas autorizadas a tratar los Datos se comprometan a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad apropiada.

3.3 Seguridad

El Encargado del Tratamiento aplica las medidas técnicas y organizativas apropiadas previstas en el Anexo 2 del presente Acuerdo, de conformidad con el artículo 32 del RGPD, para garantizar un nivel de seguridad adecuado al riesgo.

3.4 Asistencia al Responsable del Tratamiento

El Encargado del Tratamiento asiste al Responsable del Tratamiento, en la medida de lo posible y teniendo en cuenta la naturaleza del Tratamiento, para:

• Responder a las solicitudes de ejercicio de los derechos de los Interesados (artículos 12 a 23 del RGPD);
• Garantizar el cumplimiento de las obligaciones previstas en los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluación de impacto, consulta previa).

Esta asistencia se presta a través de las funcionalidades del Servicio (exportación, supresión, modificación de contactos) o, en su defecto, previa solicitud por escrito a través de los canales de soporte.

3.5 Información y cooperación

El Encargado del Tratamiento pone a disposición del Responsable del Tratamiento toda la información necesaria para demostrar el cumplimiento de sus obligaciones en virtud del presente Acuerdo.

Artículo 4 — Obligaciones del Responsable del Tratamiento

El Responsable del Tratamiento se compromete a:

• Documentar por escrito toda instrucción relativa al Tratamiento de los Datos por el Encargado del Tratamiento;
• Asegurarse de que dispone de una base jurídica válida (en particular el consentimiento previo, libre, específico, informado e inequívoco para el marketing directo B2C, obtenido en el caso de los participantes mediante la casilla de consentimiento del juego, nunca premarcada) para cada envío efectuado a través del Servicio;
• Conservar la prueba del consentimiento de cada destinatario (fecha, origen, mecanismo de opt-in);
• Cumplir las obligaciones del RGPD que le incumben como Responsable del Tratamiento, en particular la información a los Interesados (artículos 13 y 14), incluso sobre la medición de apertura de los emails, que solo es individual con el consentimiento del destinatario;
• Publicar las bases de sus juegos y seguir siendo responsable de sus premios;
• No importar en el Servicio listas compradas, alquiladas, recopiladas en sitios web u obtenidas sin un consentimiento válido;
• Mantener actualizado su registro de las actividades de tratamiento;
• Respetar la Política de Uso Aceptable del Servicio;
• Velar por la calidad y la exactitud de los Datos que carga en el Servicio;
• Responder a las solicitudes de los Interesados e informar al Encargado del Tratamiento cuando se requiera la asistencia de este.

Artículo 5 — Derechos de los Interesados

En la medida de lo posible, el Encargado del Tratamiento asiste al Responsable del Tratamiento para responder a las solicitudes de ejercicio de los derechos de los Interesados, en particular:

• Derecho de acceso (artículo 15 del RGPD) — mediante la consulta y la exportación de los contactos;
• Derecho de rectificación (artículo 16 del RGPD) — mediante la funcionalidad de modificación de contactos;
• Derecho de supresión (artículo 17 del RGPD) — mediante la funcionalidad de supresión definitiva;
• Derecho a la limitación del Tratamiento (artículo 18 del RGPD);
• Derecho a la portabilidad (artículo 20 del RGPD) — mediante la exportación en formato CSV;
• Derecho de oposición (artículo 21 del RGPD) — mediante el enlace de baja presente en cada email y, en cuanto a la medición de apertura, mediante el enlace de retirada del consentimiento presente en cada email que contiene un píxel individual.

En el caso de la aplicación jenvoie para Shopify, el Encargado del Tratamiento tramita además las solicitudes de privacidad transmitidas por Shopify:

• customers/data_request: el Encargado del Tratamiento identifica los Datos que conserva sobre dicho cliente para la tienda y los envía al Cliente, por email a la dirección de la tienda, en forma de archivo;
• customers/redact: el Encargado del Tratamiento suprime la ficha de contacto, las respuestas y el historial de emails de dicho cliente y anonimiza sus partidas;
• shop/redact (recibido cuarenta y ocho (48) horas después de la desinstalación): el Encargado del Tratamiento suprime los Datos de todos los participantes y contactos de la tienda, así como los accesos a la tienda. En cuanto a las personas dadas de baja o que se hayan opuesto a los envíos, así como a las direcciones con fallo definitivo de entrega, solo conserva una huella no reversible de la dirección de email, con el único fin de impedir su reimportación; lo mismo sucede a raíz de una solicitud de supresión (customers/redact).

Si se dirige una solicitud directamente al Encargado del Tratamiento, este informará de ello al Responsable del Tratamiento en un plazo razonable y remitirá al Interesado al Responsable del Tratamiento, salvo instrucción en contrario.

Artículo 6 — Notificación de Violaciones de Datos

El Encargado del Tratamiento notifica al Responsable del Tratamiento toda Violación de Datos sin dilación indebida y, a más tardar, en las cuarenta y ocho (48) horas siguientes a haber tenido conocimiento de ella.

La notificación precisa, en la medida en que dicha información esté disponible:

• La naturaleza de la Violación, las categorías y el número aproximado de Interesados y de registros afectados;
• Los datos del punto de contacto (privacy@jenvoie.fr);
• Las consecuencias probables de la Violación;
• Las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos.

Si no toda la información está disponible inmediatamente, se comunicará de forma gradual y sin dilación indebida.

Corresponde al Responsable del Tratamiento, en su caso, notificar la Violación a la CNIL y a los Interesados en las condiciones de los artículos 33 y 34 del RGPD.

Artículo 7 — Subencargo del tratamiento

7.1 Autorización general

El Responsable del Tratamiento autoriza al Encargado del Tratamiento a recurrir a Subencargados del Tratamiento para la ejecución del Servicio. La lista de Subencargados del Tratamiento figura en el Anexo 1 del presente Acuerdo.

7.2 Notificación de los cambios

El Encargado del Tratamiento informa al Responsable del Tratamiento de todo cambio previsto relativo a la incorporación o la sustitución de un Subencargado del Tratamiento, con un preaviso mínimo de treinta (30) días, dando así al Responsable del Tratamiento la oportunidad de formular objeciones motivadas a dichos cambios.

7.3 Objeción

En caso de objeción razonable del Responsable del Tratamiento basada en motivos relacionados con la protección de los Datos, las Partes negociarán de buena fe para encontrar una solución. A falta de acuerdo, el Encargado del Tratamiento podrá, a su discreción, no contratar al Subencargado del Tratamiento de que se trate o permitir al Responsable del Tratamiento resolver el Contrato Principal sin penalización (en el caso de la aplicación jenvoie para Shopify, desinstalándola).

7.4 Responsabilidad

El Encargado del Tratamiento impone a cada Subencargado del Tratamiento, mediante contrato escrito, las mismas obligaciones en materia de protección de los Datos que las establecidas en el presente Acuerdo. El Encargado del Tratamiento sigue siendo plenamente responsable, frente al Responsable del Tratamiento, del cumplimiento por el Subencargado del Tratamiento de sus obligaciones.

Artículo 8 — Transferencias fuera de la Unión Europea

Los Datos se alojan en la Unión Europea (centros de datos de Hetzner situados en Alemania).

El envío de los emails se realiza mediante la infraestructura de envío propia del Encargado del Tratamiento (mail.jenvoie.fr), alojada en Alemania (UE): el contenido de los mensajes no es objeto de ninguna transferencia fuera de la UE. Cuando un tratamiento implique no obstante a un Subencargado del Tratamiento situado fuera de la Unión Europea (Anexo 1), la transferencia se rige por:

• Bien una decisión de adecuación de la Comisión Europea (en particular el Data Privacy Framework para Estados Unidos cuando el Subencargado del Tratamiento esté certificado en él);
• Bien la celebración de Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea (Decisión 2021/914), incluidas, en su caso, las medidas complementarias necesarias de conformidad con la sentencia Schrems II.

La lista de Subencargados del Tratamiento precisa para cada uno de ellos la ubicación y el mecanismo de transferencia aplicable (Anexo 1).

Artículo 9 — Auditoría

El Encargado del Tratamiento pone a disposición del Responsable del Tratamiento, previa solicitud escrita y razonable, la información y la documentación necesarias para demostrar el cumplimiento de las obligaciones previstas en el presente Acuerdo y en el artículo 28 del RGPD.

Esta obligación se cumple prioritariamente mediante la puesta a disposición:

• De la presente documentación contractual;
• De los eventuales informes de certificación o de auditoría de sus Subencargados del Tratamiento (en particular la ISO 27001 del proveedor de alojamiento);
• De respuestas a un cuestionario de seguridad estandarizado.

El Responsable del Tratamiento puede, a su cargo y con un preaviso razonable de al menos treinta (30) días hábiles, solicitar la realización de una auditoría complementaria limitada a los aspectos cubiertos por el presente Acuerdo, como máximo una vez al año, salvo en caso de Violación de Datos acreditada. La auditoría se realiza en horario laboral, no debe perturbar la actividad del Encargado del Tratamiento y debe respetar la confidencialidad de los demás clientes del Encargado del Tratamiento.

Artículo 10 — Duración y resolución

El presente Acuerdo surte efecto en la fecha de aceptación del Contrato Principal por el Cliente y permanece en vigor durante toda la vigencia del Contrato Principal, así como durante el período necesario para el cumplimiento de las obligaciones poscontractuales (en particular la devolución y la supresión de los Datos previstas en el artículo 11).

Artículo 11 — Destino de los Datos al término del contrato

El Cliente puede exportar sus contactos en cualquier momento desde el Servicio. En el caso de la aplicación jenvoie para Shopify, la desinstalación pone fin inmediatamente a la visualización de los juegos y, al recibir el webhook shop/redact enviado por Shopify cuarenta y ocho (48) horas más tarde, el Encargado del Tratamiento suprime definitivamente los Datos de los participantes y contactos de la tienda; las partidas solo se conservan de forma anonimizada, para las estadísticas.

Para los demás Clientes, a la expiración o resolución del Contrato Principal, y según la elección del Responsable del Tratamiento expresada por escrito en un plazo de treinta (30) días a partir de la terminación del contrato, el Encargado del Tratamiento procede:

• Bien a la devolución de los Datos al Responsable del Tratamiento en un formato estructurado, de uso común y de lectura mecánica (CSV o JSON), en un soporte seguro;
• Bien a la supresión definitiva de todos los Datos.

A falta de instrucción del Responsable del Tratamiento en el plazo establecido, el Encargado del Tratamiento procede a la supresión definitiva de los Datos, sin perjuicio de los plazos técnicos de tratamiento.

Quedan excluidos de la supresión:

• Las copias de seguridad técnicas, que se suprimen según el ciclo de rotación habitual;
• Los datos cuya conservación venga impuesta por una obligación legal (facturación, contabilidad, lucha contra el fraude).

El Encargado del Tratamiento facilita, previa solicitud por escrito, un certificado de supresión.

Artículo 12 — Responsabilidad e indemnización

Cada una de las Partes es responsable de los daños causados por un incumplimiento de sus obligaciones en virtud del presente Acuerdo y del RGPD, en las condiciones previstas en el artículo 82 del RGPD.

Sin perjuicio de lo anterior, la responsabilidad del Encargado del Tratamiento en virtud del presente Acuerdo está sujeta a las limitaciones y exclusiones previstas en el Contrato Principal.

Ninguna disposición del presente Acuerdo limita o excluye la responsabilidad de una Parte frente a los Interesados en la medida en que dicha limitación o exclusión sea contraria al RGPD o a cualquier otra disposición legal imperativa.

Artículo 13 — Disposiciones generales

13.1 Jerarquía de los documentos

En caso de contradicción entre el presente Acuerdo y el Contrato Principal en cuestiones relativas a la protección de los Datos, prevalece el presente Acuerdo.

13.2 Modificación

El Encargado del Tratamiento puede modificar el presente Acuerdo para reflejar cambios normativos o modificaciones del Servicio. Toda modificación sustancial se notifica al Responsable del Tratamiento con un preaviso de treinta (30) días.

13.3 Derecho aplicable y jurisdicción competente

El presente Acuerdo se rige por el derecho francés. Todo litigio relativo a su interpretación o a su ejecución se resolverá en las condiciones del artículo 14 del Contrato Principal.

13.4 Aceptación

El presente Acuerdo se acepta junto con el Contrato Principal, en las condiciones previstas en el preámbulo de este (casilla al crear la cuenta en jenvoie.fr, casilla y botón de confirmación en la primera apertura de la aplicación jenvoie para Shopify, o aceptación de un Presupuesto). El Encargado del Tratamiento conserva constancia de dicha aceptación (identificador de la cuenta o dominio de la tienda Shopify, fecha y hora, versión aceptada).

Anexo 1 — Lista de Subencargados del Tratamiento

Lista actualizada a 13 de noviembre de 2026.

Hetzner Online GmbH

Alojamiento de la infraestructura (servidores, base de datos, copias de seguridad) y de los servidores de envío de emails del Encargado del Tratamiento — Alemania (UE) — todos los Datos del Servicio — sin transferencia (dentro de la UE).

Shopify

Para las tiendas que utilizan la aplicación jenvoie para Shopify: plataforma en la que funciona la aplicación; transmite las solicitudes de privacidad y aloja los códigos de descuento creados por la aplicación en la tienda del Cliente; no se le transmite ningún dato de los participantes ni de los contactos — Irlanda (UE), Canadá (decisión de adecuación) y Estados Unidos (Data Privacy Framework) — según las condiciones de Shopify.

OpenAI

Traducción automática opcional de los textos de los juegos redactados por el Cliente — Estados Unidos — ningún dato de participantes o de contactos — DPF / CCT.

Stripe

Pago de los clientes suscritos directamente en jenvoie.fr (fuera de Shopify) — UE y Estados Unidos — únicamente datos de facturación del Cliente, nunca los participantes ni los contactos — DPF / CCT.

Nota: el encaminamiento de los emails se realiza a través de la infraestructura de envío propia del Encargado del Tratamiento (mail.jenvoie.fr), alojada en la Unión Europea; no interviene ningún proveedor de emailing externo, salvo cuando el Cliente decide enviar sus emails a través de su propio servidor o proveedor de envío, que designa entonces bajo su responsabilidad.

Anexo 2 — Medidas técnicas y organizativas de seguridad

De conformidad con el artículo 32 del RGPD, el Encargado del Tratamiento aplica las siguientes medidas para garantizar un nivel de seguridad adecuado a los riesgos:

1. Seguridad de las infraestructuras

• Alojamiento en centros de datos con certificación ISO 27001 (Hetzner, Alemania);
• Aislamiento de red, cortafuegos y restricción de los puertos expuestos;
• Actualizaciones periódicas del sistema operativo y de las dependencias;
• Supervisión del rendimiento y alertas en caso de anomalía;
• Copias de seguridad automáticas diarias, cifradas y conservadas en una ubicación distinta.

2. Seguridad de las comunicaciones

• Cifrado TLS 1.2 como mínimo (TLS 1.3 recomendado) para todas las comunicaciones entrantes y salientes;
• Aplicación de los estándares de autenticación de email: SPF, DKIM, DMARC;
• HTTPS obligatorio en todo el dominio jenvoie.fr;
• Verificación de la firma (HMAC) de cada webhook recibido de Shopify;
• Cabeceras de seguridad (HSTS, CSP, X-Frame-Options, etc.).

3. Seguridad de los datos almacenados

• Cifrado en reposo según la política del proveedor de alojamiento (Hetzner);
• Hash criptográfico de las contraseñas y de los códigos de acceso;
• Separación lógica de los datos entre las cuentas de los Clientes;
• Tokens de API almacenados en forma de hash en la base de datos;
• Valor secreto propio de cada partida, suprimido en el momento de la supresión, que hace imposible vincular los certificados al participante.

4. Control de accesos

• Autenticación individual para cada administrador del Encargado del Tratamiento;
• Principio de mínimo privilegio para los accesos internos;
• Registro de los accesos de los administradores a las bases de datos;
• Revocación inmediata de los accesos en caso de fin de misión o de salida.

5. Seguridad de las aplicaciones

• Validación de las entradas y protección contra las inyecciones (SQL, XSS, CSRF);
• Limitación de frecuencia (rate limiting) en los endpoints sensibles;
• Revisión de código para las funcionalidades críticas;
• Actualización periódica de las dependencias y vigilancia de las vulnerabilidades (CVE).

6. Medidas organizativas

• Compromiso de confidencialidad firmado por toda persona que acceda a los Datos;
• Concienciación en materia de protección de los Datos y de seguridad;
• Política documentada de gestión de incidentes;
• Mantenimiento de un registro de tratamientos en calidad de encargado del tratamiento (artículo 30.2 del RGPD).

7. Medidas específicas del servicio de email

• Enlace de baja presente y operativo en cada email de campaña;
• Píxel individual de medición de apertura solo con el consentimiento del destinatario (casilla nunca premarcada), enlace de retirada en cada email que lo contiene y ningún píxel tras la retirada; para los demás destinatarios, píxel anónimo sin datos personales;
• Conservación de la prueba del consentimiento a cargo del Cliente, que debe poder facilitarla a petición;
• Mecanismos antispam (gestión de rebotes, quejas FBL, lista de supresión);
• Exclusión automática y definitiva de todos los envíos futuros de los contactos dados de baja y de las direcciones con fallo definitivo;
• Detección y exclusión de las aperturas y los clics automáticos (robots, precarga);
• Pausa automática de las campañas con una tasa de rebotes o de quejas anormal;
• Seudonimización parcial en los registros cuando sea técnicamente posible.

8. Continuidad de la actividad

• Plan de copias de seguridad probado periódicamente;
• RTO (Recovery Time Objective, tiempo objetivo de recuperación): 24 horas para los servicios críticos;
• Documentación actualizada de los procedimientos de restauración.

9. Gestión de las Violaciones

• Procedimiento de notificación al Responsable del Tratamiento en un plazo de 48 horas;
• Mantenimiento de un registro interno de las Violaciones;
• Análisis posterior al incidente y aplicación de medidas correctoras.

Las presentes medidas pueden adaptarse y completarse a medida que evolucionen la técnica y la normativa, sin reducir el nivel global de protección.