Adenda de tratamiento de datos

Ámbito de aplicación

Esta Adenda de tratamiento de datos («DPA») forma parte de los Términos de servicio siempre que su uso de Storelift implique datos personales protegidos por el RGPD de la UE, el UK GDPR o la Ley n.º 6698 de Turquía (KVKK).

Los clientes Enterprise que necesiten un ejemplar firmado por ambas partes pueden solicitarlo en hello@storelift.net; el texto es el mismo que el de esta página.

Roles

Usted es el responsable del tratamiento de los datos personales que incorpora a Storelift: los miembros de su equipo, las reseñas de sus apps y los informes de las cuentas que conecta. Storelift, operado por Volkan Günay (persona física en Turquía), trata esos datos por cuenta de usted como encargado del tratamiento.

Respecto de los datos que necesitamos para gestionar su propia cuenta —su correo electrónico de inicio de sesión, la facturación y los registros de seguridad—, Storelift es un responsable del tratamiento independiente, tal como se describe en la Política de privacidad.

De quién son los datos y con qué fin

Tratamos estos datos para prestar las funciones que usted utiliza: medir sus apps y elaborar informes sobre ellas, redactar borradores de respuestas y sugerencias cuando usa las funciones de IA, enviar las alertas y los informes que usted configura y responder a sus solicitudes de soporte. Ello implica almacenar los datos, leerlos, combinarlos, enviarlos a los destinatarios indicados en este DPA y eliminarlos.

Las personas a las que pueden referirse:

• Su equipo: las personas a las que usted invita a su espacio de trabajo.
• Autores de reseñas: personas que han publicado una reseña pública de sus apps en el App Store o en Google Play.
• Usuarios finales de sus apps: personas cuyos eventos de suscripción o de compra nos llegan a través de un webhook de RevenueCat o de Adapty que usted ha configurado.
• Cualquier persona cuya información personal aparezca en un texto que usted nos envía, como una pregunta a las funciones de IA o un mensaje de soporte.

Qué tratamos

• Miembros del equipo: nombre, dirección de correo electrónico, rol y el registro de auditoría de sus cambios.
• Reseñas de las tiendas de apps: texto de la reseña, valoración y nombre público del autor, además de las respuestas que usted escribe.
• Cuentas conectadas (App Store Connect, Google Play, Apple Ads, RevenueCat, Google Analytics, AdMob, Adapty): informes agregados, como descargas, ingresos, sesiones y gasto de campañas.
• Los webhooks de RevenueCat y Adapty incluyen además eventos de suscripción y de compra e identificadores de usuario o de perfil que pueden asociarse a un usuario final de la app, con información de producto, tienda, país, importe y origen o cohorte. Los registros de eventos normalizados reciben un plazo de conservación configurado de 400 días y los registros de usuario o de cohorte, uno de 800 días; algunas actualizaciones de los registros de usuario renuevan ese plazo. Los registros vencidos se eliminan en segundo plano.
• Funciones de IA: preguntas, contexto de la conversación y de la página, texto de las reseñas y datos pertinentes de los informes consultados dentro de los permisos del usuario. La información personal incluida en estas entradas puede enviarse al proveedor de IA. Las preguntas y respuestas de Ask, los nombres de las herramientas, el usuario que hace la solicitud, la información del modelo y los comentarios se guardan en el historial del espacio de trabajo con un plazo de conservación configurado de 90 días; el acceso depende de los roles y de los permisos de datos. Esto es independiente de la conservación en los sistemas propios del proveedor.
• Soporte: los mensajes que usted nos envía.
• Duración: los plazos específicos indicados arriba se aplican a esos registros; los demás datos de la cuenta se conservan mientras la cuenta permanezca abierta y, después, la eliminación sigue el proceso descrito más abajo.

Nuestros compromisos

• Tratamos los datos únicamente siguiendo sus instrucciones documentadas: estas condiciones, sus ajustes y las acciones que usted realiza en el producto.
• Todas las personas con acceso a ellos están sujetas a una obligación de confidencialidad.
• Le ayudamos a responder a las solicitudes de los interesados: los miembros del equipo y las conexiones pueden modificarse y eliminarse en Ajustes, y enviamos una copia de los datos o los eliminamos cuando se nos solicita.
• Le ayudamos con las evaluaciones de impacto relativas a la protección de datos y con las consultas a las autoridades cuando usted lo pide, con la información de que disponemos.
• Al finalizar el servicio eliminamos los datos tal como se describe más abajo.

Medidas de seguridad

• Los datos se almacenan en AWS Fráncfort (eu-central-1) y se cifran en reposo; todas las conexiones usan TLS.
• Las claves de conexión recién guardadas se sellan con AWS KMS y quedan ligadas a su cuenta. Los registros cifrados más antiguos pueden seguir usando el contexto anterior hasta que se vuelvan a guardar; no se ha verificado que esa migración haya concluido. Los servicios de tratamiento autorizados que necesitan las claves para prestar las funciones conectadas pueden descifrarlas. Ninguna pantalla ni respuesta de la API devuelve las claves de conexión guardadas.
• Las claves de API se guardan únicamente como un hash SHA-256 y se muestran una sola vez.
• Los roles del espacio de trabajo (lector, miembro, administrador, propietario) limitan quién puede cambiar qué; cada cambio se conserva en un registro de auditoría durante 365 días.
• Las copias de seguridad continuas con recuperación a un momento dado y la rotación de claves de KMS están activadas.
• Más detalles: Confianza y seguridad.

Subencargados

La lista vigente está en Subencargados. Avisamos a quienes se han suscrito a esa página al menos 30 días antes de que un nuevo subencargado empiece a tratar datos personales.

Usted puede oponerse dentro de ese plazo por motivos razonables de protección de datos. Si no podemos resolver la objeción, usted puede poner fin al servicio afectado antes de que el cambio surta efecto.

Imponemos a cada subencargado condiciones de protección de datos que protegen al menos tanto como este DPA, y seguimos siendo responsables de su trabajo.

Transferencias internacionales

Los datos propios de Storelift permanecen en la UE (Fráncfort). Cuando un subencargado trata datos personales fuera del EEE, del Reino Unido o de Turquía, la transferencia se basa en una decisión de adecuación o en las cláusulas contractuales tipo de la Comisión Europea y, en el caso de Turquía, en los contratos tipo previstos en el artículo 9 de la KVKK.

Violaciones de la seguridad de los datos personales

Le notificamos sin dilación indebida, y a más tardar en un plazo de 72 horas desde que tengamos constancia de una violación de la seguridad que afecte a sus datos, con lo que sepamos en ese momento: la naturaleza de la violación, las categorías y el número aproximado de registros, las posibles consecuencias y las medidas adoptadas. Añadimos detalles a medida que los conocemos.

Auditorías

Respondemos sin coste a un cuestionario de seguridad razonable una vez al año; envíelo a hello@storelift.net. Los clientes Enterprise pueden acordar en su contrato condiciones de auditoría adicionales.

Eliminación al finalizar el servicio

La eliminación de la cuenta tiene un plazo de recuperación de 30 días. Vencido ese plazo, un proceso programado limpia los registros de cuenta y de apps de la base de datos principal y solicita la eliminación de los registros de inicio de sesión. Un marcador mínimo de cuenta eliminada tiene configurado un vencimiento adicional de 30 días; los registros vencidos se eliminan de forma asíncrona. Las copias de seguridad vencen conforme a su propia política de conservación. Los totales anónimos y las cachés compartidas de datos públicos de las tiendas se tratan por separado.

Storelift y Polar conservan por separado los registros financieros necesarios para la contabilidad durante los plazos que exigen sus respectivas obligaciones aplicables. Los registros de bloqueo de correo se conservan para evitar que se vuelvan a enviar correos no deseados. Las copias ya enviadas a los destinos que usted conecta siguen los ajustes de conservación de esos destinatarios. Consulte la Política de privacidad para conocer el proceso de eliminación de la cuenta y cómo contactar con nosotros acerca de sus datos.

Si desea una copia de los datos antes de que se eliminen, solicítela en hello@storelift.net mientras la cuenta esté abierta o durante el plazo de recuperación.

Contacto

Preguntas sobre este DPA: hello@storelift.net.