Legal · Versión 2026-10 · Actualizado 25 de octubre de 2026
Contrato de Encargo del Tratamiento
El contrato del artículo 28 del RGPD para los datos personales que TryYourSize trata por cuenta de las marcas y los comercios.
Borrador — requiere revisión por un abogado antes de su publicación. Redactado por un asistente de IA, no por un abogado. Cada nota «Para el abogado» señala un punto que necesita criterio jurídico.
El presente Contrato de Encargo del Tratamiento (el «DPA») forma parte de las Condiciones del Servicio entre [DENOMINACIÓN SOCIAL], S.L. («TryYourSize», el «Encargado») y la organización que lo acepta (el «Cliente», el «Responsable»). Se aplica cuando TryYourSize trata datos personales por cuenta del Cliente (los «Datos Personales de la Marca») conforme al artículo 28 del Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (el «RGPD»), y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (la «LOPDGDD»). Los términos no definidos en este DPA tienen el significado que les atribuyen el RGPD o las Condiciones.
1. Roles: qué cubre este DPA y qué no
| Datos | Rol de TryYourSize | Regulado en |
|---|---|---|
Pedidos, devoluciones y resultados que envía el Cliente (identificadores de pedido y de línea, producto, talla comprada, talla devuelta, motivo de devolución, fit_check_id, visitor_id anónimo, fechas) | Encargado del tratamiento por cuenta del Cliente | Este DPA |
| Asignaciones y exposiciones de pruebas A/B en las tiendas del Cliente (identificador anónimo de visitante, grupo, marcas de tiempo) | Encargado del tratamiento | Este DPA |
| Análisis por tienda y webhooks entregados al Cliente | Encargado del tratamiento | Este DPA |
| Cuentas de Comprador: correo electrónico, inicio de sesión, cuerpos, medidas, conexiones con tiendas, perfiles de menor | Responsable del tratamiento independiente | Política de Privacidad |
| Eventos de Talla que recibe el Cliente (producto, talla, identificador de la respuesta de talla) | Comunicados por TryYourSize como responsable; el Cliente pasa a ser responsable para su propio uso | Condiciones §7, Política de Privacidad |
| Miembros del Cliente (usuarios de Studio), contactos de facturación | Responsable del tratamiento independiente (administración de la cuenta, seguridad, facturación) | Política de Privacidad |
| Estadísticas agregadas y anónimas (k ≥ 50) | No son datos personales | Condiciones §8.2 |
2. Instrucciones
- TryYourSize trata los Datos Personales de la Marca únicamente siguiendo las instrucciones documentadas del Cliente, que son las Condiciones, este DPA, la configuración del Servicio realizada por el Cliente y sus solicitudes por escrito, salvo que el Derecho de la Unión o de los Estados miembros le obligue a otra cosa; en tal caso, TryYourSize informará previamente al Cliente, salvo que dicho Derecho lo prohíba.
- TryYourSize informará al Cliente si, en su opinión, una instrucción infringe la normativa de protección de datos.
3. Confidencialidad
Todas las personas autorizadas para tratar Datos Personales de la Marca en TryYourSize están sujetas a un deber de confidencialidad. El personal accede a los datos de producción únicamente mediante herramientas auditadas, solo en la medida necesaria para el soporte o la seguridad, y nunca a los cuerpos de los compradores.
4. Seguridad
TryYourSize aplica las medidas técnicas y organizativas descritas en el Anexo II y las mantiene adecuadas al riesgo (art. 32 RGPD). Puede actualizarlas siempre que no disminuya el nivel de protección.
5. Subencargados
- El Cliente otorga una autorización general para recurrir a subencargados. La lista vigente figura en el Anexo III y en /es/legal/subprocessors/.
- TryYourSize comunicará con al menos 30 días de antelación la incorporación o sustitución de un subencargado, actualizando dicha página y enviando un correo electrónico a los propietarios de la organización. El Cliente podrá oponerse por motivos razonables de protección de datos dentro de ese plazo. Si no se encuentra una solución, el Cliente podrá resolver la parte afectada del Servicio sin penalización.
- TryYourSize impone contractualmente a cada subencargado las mismas obligaciones de protección de datos y sigue siendo responsable de su cumplimiento.
6. Transferencias internacionales
- Los Datos Personales de la Marca se almacenan y tratan en la Unión Europea (Google Cloud
europe-west1, Bélgica; Temporal Cloudeurope-west3, Fráncfort; PostHog EU Cloud, Fráncfort). - Cuando un subencargado o sus filiales puedan acceder a los datos desde un país que no cuente con una decisión de adecuación, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. si el destinatario está certificado y, en otro caso, en las Cláusulas Contractuales Tipo (Decisión de Ejecución (UE) 2021/914 de la Comisión), Módulo 3 (de encargado a encargado), con medidas complementarias cuando la evaluación de impacto de la transferencia lo exija. El Anexo III indica cada caso.
- Clientes fuera del EEE. Si el Cliente está establecido fuera del EEE en un país sin decisión de adecuación, a la devolución de los Datos Personales de la Marca al Cliente se aplica el Módulo 4 de las CCT (de encargado a responsable). Para el Reino Unido se aplica el UK International Data Transfer Addendum; para Suiza, las CCT con las adaptaciones del FDPIC.
7. Asistencia
- Solicitudes de los interesados. TryYourSize ayuda al Cliente a atender las solicitudes relativas a los Datos Personales de la Marca, mediante herramientas en Studio o en la API cuando sea posible, y le remite sin responderla cualquier solicitud que reciba directamente, salvo que se refiera a datos de los que TryYourSize sea responsable.
- EIPD y consulta previa. TryYourSize facilita al Cliente la información que razonablemente necesite para sus propias evaluaciones de impacto relativas a la protección de datos.
- Violaciones de la seguridad de los datos personales. TryYourSize notificará al Cliente sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento de una violación que afecte a Datos Personales de la Marca, con la información prevista en el art. 33.3 RGPD a medida que disponga de ella, y le ayudará a cumplir sus obligaciones.
8. Supresión y devolución
A la finalización del Servicio, o cuando el Cliente cierre su organización, TryYourSize suprimirá los Datos Personales de la Marca una vez transcurrido el plazo de reapertura de 30 días, salvo que el Derecho de la Unión o de los Estados miembros exija su conservación. Durante la prestación del Servicio, el Cliente puede exportar sus datos. Las copias de seguridad se eliminan en un plazo aproximado de 30 días desde la supresión.
9. Auditorías
TryYourSize pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del art. 28 RGPD: este DPA, la descripción de seguridad del Anexo II y los informes de terceros cuando disponga de ellos (está prevista la certificación SOC 2). El Cliente puede realizar auditorías, por sí mismo o a través de un auditor independiente sujeto a confidencialidad, como máximo una vez al año, con un preaviso de 30 días, en horario laborable y a su costa, salvo que la auditoría derive de una violación de seguridad o de un requerimiento de una autoridad.
10. Responsabilidad y duración
La responsabilidad derivada de este DPA se rige por las Condiciones (§14), sin perjuicio del art. 82 RGPD. Este DPA estará vigente mientras TryYourSize trate Datos Personales de la Marca.
Anexo I: Descripción del tratamiento
| Responsable | El Cliente (denominación, dirección y contacto de la organización en Studio) |
|---|---|
| Encargado | [DENOMINACIÓN SOCIAL], S.L., [DOMICILIO SOCIAL]; contacto [email protected] |
| Interesados | Visitantes y clientes de las tiendas del Cliente |
| Categorías de datos | Identificadores de pedido y de línea; producto y variante; talla comprada y devuelta; códigos de motivo de devolución; fit_check_id; identificador anónimo de visitante (aleatorio, establecido en el sitio del Cliente para pruebas A/B); grupo de la prueba; marcas de tiempo; identificadores de tienda. No se necesitan nombres, direcciones, datos de pago ni medidas corporales; el Cliente no debe enviarlos. |
| Categorías especiales | Ninguna |
| Naturaleza y finalidad | Almacenar, asociar y agregar resultados con las respuestas de talla para medir las devoluciones relacionadas con la talla, ejecutar grupos de control A/B y ofrecer al Cliente informes y webhooks |
| Frecuencia | Continua, mientras se utilice el Servicio |
| Conservación | Mientras la organización esté activa; supresión 30 días después del cierre. Eventos de webhook y registros de peticiones: 30 días |
| Subencargados | Anexo III |
Anexo II: Medidas técnicas y organizativas
- Alojamiento y ubicación: Google Cloud
europe-west1(Bélgica). Red privada para la base de datos; sin IP pública de base de datos; un bucket privado por entorno con el acceso público bloqueado. - Cifrado: TLS 1.2 o superior en tránsito (HSTS); cifrado en reposo gestionado por Google para bases de datos, almacenamiento y copias de seguridad; las entradas y los resultados de las tareas en segundo plano los cifra TryYourSize (AES-256-GCM, claves en Secret Manager) antes de que lleguen a Temporal Cloud.
- Control de acceso: acceso de los miembros basado en roles (siete roles, permisos por marca); autenticación multifactor para los usuarios de las marcas mediante WorkOS; acceso del personal solo mediante una autorización temporal concedida por el Cliente, de solo lectura por defecto.
- Sin acceso a los cuerpos: ningún endpoint, rol ni herramienta del personal puede leer el cuerpo ni las medidas de un comprador.
- Auditoría: un registro de auditoría de solo adición con los cambios de configuración, las acciones sobre claves y las acciones del personal, conservado 1 año (3 años en Scale/Enterprise) y consultable por propietarios y administradores.
- Claves: claves publicables y secretas tipificadas por prefijo; las claves secretas se almacenan con hash; las claves reales solo funcionan en dominios verificados.
- Minimización: las tiendas reciben tallas, nunca medidas; la analítica de producto nunca contiene datos del cuerpo ni de medidas (garantizado mediante una prueba de esquema); de los informes de errores se eliminan correos, claves, tokens y códigos antes de registrarlos o enviarlos a PostHog.
- Resiliencia: copias de seguridad automáticas de la base de datos con recuperación a un momento determinado; infraestructura como código; procedimientos de restauración documentados.
- Desarrollo: revisión de código, actualización de dependencias, secretos en Secret Manager, entornos de desarrollo y producción separados.
- Incidentes: un procedimiento de gestión de incidentes con guardias, registro y notificación de violaciones conforme al §7.3.
Anexo III: Subencargados
La lista vigente, con ubicaciones y mecanismos de transferencia, se publica en /es/legal/subprocessors/ y forma parte de este Anexo. En la fecha de esta versión incluye Google Cloud (alojamiento, UE), Temporal Cloud (tareas en segundo plano, UE), Resend (correo electrónico), WorkOS (inicio de sesión de usuarios de marcas), Stripe (facturación), Shopify (para marcas instaladas desde la Shopify App Store), PostHog (EU Cloud: analítica de producto y seguimiento de errores) y Cloudflare (DNS y reenvío de correo).