Acuerdo de Tratamiento de Datos (DPA)

Traducción de cortesía. La versión jurídicamente vinculante sobre el fondo del presente DPA es la versión inglesa publicada en gethokku.com/dpa. En caso de divergencia sustantiva entre esta versión española y la versión inglesa, prevalece la versión inglesa, con la excepción documentada en la cláusula §13.3.

Resúmenes en lenguaje sencillo aparecen en cursiva a lo largo del documento, para la legibilidad. Carecen de valor contractual. Solo los párrafos numerados vinculan a las partes.

El presente Acuerdo de Tratamiento de Datos (el «DPA») forma parte integrante de las Condiciones Hokku y rige la manera en que H-MOON Digital (el «Encargado») trata los datos personales por cuenta del comerciante Shopify (el «Responsable», «Comerciante») dentro de la aplicación Hokku.

Al instalar o utilizar Hokku, el Comerciante acepta el presente DPA. No se exige firma separada.

Dónde se sitúa este DPA. Hokku se distribuye a través de la Shopify App Store. Shopify actúa como encargado distinto del Comerciante, bajo el Shopify Data Processing Addendum, que cubre todo lo que Shopify trata directamente. El presente DPA cubre únicamente lo que H-MOON Digital trata directamente dentro de la aplicación Hokku — una relación de tratamiento distinta de la de Shopify. Los datos recopilados en el sitio de marketing gethokku.com se cubren por separado en la Política de privacidad.

1. Funciones y alcance

En resumen: tu tienda es el responsable del tratamiento. Hokku es el encargado que actúa siguiendo tus instrucciones.

1.1. El Comerciante actúa como Responsable del tratamiento de los datos personales relativos a sus clientes, prospectos, personal y actividad a nivel de tienda, incluidos los datos que llegan a Hokku a través de la tienda y el admin Shopify.

1.2. H-MOON Digital actúa como Encargado del tratamiento de los datos personales que el Comerciante envía o genera mediante Hokku, tratándolos únicamente siguiendo las instrucciones documentadas del Responsable, materializadas en las Condiciones Hokku, el presente DPA y la interfaz de usuario de Hokku.

1.3. Alcance. El presente DPA se aplica al tratamiento efectuado por H-MOON Digital dentro de la aplicación Hokku y su infraestructura de soporte. No se aplica (a) al tratamiento efectuado por Shopify bajo el DPA Shopify, (b) al tratamiento efectuado en el sitio de marketing gethokku.com, ni (c) al tratamiento efectuado por el Comerciante fuera de Hokku.

2. Categorías de datos personales y de interesados

En resumen: lo mínimo necesario para que Hokku funcione en tu tienda. Sin datos publicitarios. Sin rastreo más allá de lo indispensable.

2.1. Categorías de interesados.

• La clientela y los prospectos del Comerciante (usuarios finales de la tienda).

• El personal y los colaboradores del Comerciante con acceso al admin Hokku.

• El Comerciante mismo, cuando es trabajador autónomo individual.

  2.2. Categorías de datos personales tratados dentro de Hokku.

• Lado cliente (tienda del Comerciante): identificadores seudónimos (token de carrito Shopify), referencias de productos vistos o añadidos al carrito, URL de la página donde se muestra un widget Hokku. No se trata ningún campo identificativo de la clientela — ni nombre, ni dirección de correo electrónico, ni número de teléfono, ni dirección de facturación o de envío, ni identificador de cliente. Sin rastreo de terceros, sin identificadores publicitarios, sin elaboración de perfiles de comportamiento.

• Lado pedido (tras la compra): identificador de pedido, fecha de creación, divisa, total del pedido, total de descuentos, total de impuestos, marca de prueba y canal de origen; por cada línea: identificador de línea, identificador de producto, identificador de variante, cantidad y precio; líneas de envío — únicamente su precio, para detectar el envío gratis; códigos de descuento aplicados y su valor. Utilizado para atribuir el incremento de ingresos a ofertas Hokku específicas (analítica avanzada — plan Starter en adelante) y para contar el volumen mensual de pedidos que determina el plan de suscripción. No se lee ni el transportista, ni la dirección de envío, ni el plazo de entrega.

• Lado comerciante (admin): URL de la tienda Shopify, correo electrónico del propietario de la tienda, identificadores de usuarios admin Hokku, dirección IP y agente de usuario para los registros de seguridad.

  2.3. Categorías de datos que explícitamente NO se tratan.

• Nombres, direcciones de correo electrónico, números de teléfono y direcciones de facturación o de envío de la clientela — nunca; las consultas de Hokku a la Shopify Admin API no seleccionan el objeto cliente, y los webhooks de pedido se analizan sin leer ningún campo identificativo de la clientela.

• Datos de tarjeta bancaria — nunca (Shopify Billing gestiona todo el tratamiento de pagos de las tarifas de suscripción Hokku).

• Contraseñas o credenciales de clientela — nunca.

• Datos de salud, datos biométricos, datos religiosos, políticos o de orientación sexual — nunca; si tales datos se envían por inadvertencia por un Comerciante mediante campos personalizados Hokku, el Comerciante es el único responsable.

  2.4. Medición de audiencia en la tienda del Comerciante.

Hokku registra un identificador técnico en el navegador de las personas que visitan la tienda del Comerciante, con el fin de contar las visualizaciones y los clics en las ofertas sin contar dos veces a la misma persona, y de vincular una venta a la oferta que la desencadenó. Ese identificador es propio de la tienda del Comerciante, no contiene ningún dato personal (ni nombre, ni dirección de correo electrónico, ni dirección IP) y se renueva a los trece (13) meses.

En las filas brutas de visualizaciones y clics, el identificador de visitante se borra a las veinticuatro (24) horas mediante un proceso diario — su utilidad aplicativa dura treinta minutos.

Lo que se conserva en las filas de conversión es el identificador de pedido, por necesidad: es la clave con la que H-MOON Digital atiende una solicitud customers/redact. No se puede anonimizar aquello que debe seguir siendo eliminable a petición.

3. Fines del tratamiento y base jurídica

En resumen: tratamos los datos únicamente para hacer funcionar Hokku, darte soporte y mejorar el servicio. Tu base RGPD es «ejecución de contrato».

3.1. Fines. H-MOON Digital trata los datos personales dentro de Hokku exclusivamente para:

• (a) mostrar las ofertas Hokku (bundles, upsells, cross-sells, etc.) en la tienda y el admin del Comerciante;

• (b) atribuir el incremento de ingresos a las ofertas Hokku para el panel del Comerciante;

• (c) contar el volumen mensual de pedidos del Comerciante, que determina el plan de suscripción Hokku aplicable;

• (d) prestar soporte al Comerciante cuando lo solicite;

• (e) mantener la seguridad e integridad del Servicio (limitación de tasa, detección de abusos, registros de auditoría);

• (f) mejorar el Servicio (estadísticas agregadas no identificativas, pruebas A/B de cambios de interfaz);

• (g) cumplir las obligaciones legales (facturación fiscal vía Shopify, respuestas a webhooks RGPD, resoluciones judiciales).

  3.2. Base jurídica. El Responsable es el encargado de establecer una base jurídica al amparo del artículo 6 del RGPD para el tratamiento subyacente de los datos de su clientela, así como del cumplimiento de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) cuando proceda. H-MOON Digital, como Encargado, trata los datos siguiendo instrucciones documentadas del Responsable, principalmente sobre la base de la «ejecución de contrato» (artículo 6.1.b RGPD) entre el Responsable y H-MOON Digital, y del «interés legítimo» (artículo 6.1.f RGPD) para los registros de seguridad.

4. Subencargados

En resumen: una lista corta de proveedores priorizados europeos. 30 días de preaviso antes de añadir uno nuevo.

4.1. Subencargados autorizados a 27 de junio de 2026.

4.2. La lista actualizada de Subencargados también se publica en gethokku.com/es/encargados-tratamiento.

4.3. Aviso de nuevos subencargados. H-MOON Digital notificará al Comerciante por correo electrónico y mediante actualización de /es/encargados-tratamiento con al menos treinta (30) días de antelación antes de añadir un nuevo subencargado que afecte de forma sustancial al tratamiento de datos personales. El Comerciante podrá oponerse por escrito en ese plazo de 30 días. Si H-MOON Digital y el Comerciante no acuerdan una alternativa, el único recurso del Comerciante será resolver la suscripción Hokku antes de que el nuevo subencargado comience a tratar.

4.4. Obligaciones de los subencargados. Cada subencargado queda vinculado por obligaciones de protección de datos no menos protectoras que las del presente DPA.

4.5. Asistente de IA. Cuando el Comerciante activa el Hokku Assistant opcional —un chat de soporte con IA integrado en la aplicación (véanse las Condiciones §14)—, el contenido de las conversaciones (los mensajes del Comerciante y las respuestas generadas) es tratado por Anthropic únicamente para producir respuestas. Este contenido se conserva durante treinta (30) días y, después, se elimina. Se invita al Comerciante a no transmitir datos sensibles a través del Asistente.

5. Transferencias internacionales

En resumen: priorizamos infraestructura UE. Cuando los datos salen de la UE, se cubren con mecanismos jurídicos estándar reconocidos por la UE.

5.1. Los datos personales tratados por H-MOON Digital se almacenan principalmente en la Unión Europea (Supabase Frankfurt para los datos de la aplicación; Sentry UE para la supervisión de errores).

5.2. Cuando es necesaria una transferencia fuera del Espacio Económico Europeo (EEE) (Vercel, sociedad constituida en Estados Unidos — su acceso a los datos constituye una transferencia aunque el admin Hokku se ejecute sobre cómputo en la UE, en Frankfurt; Resend multirregión para la entrega de correos, Anthropic US para el asistente de IA opcional), H-MOON Digital se apoya en:

• (a) el Marco UE-EE.UU. de Privacidad de Datos (Decisión (UE) 2023/1795) para las transferencias a destinatarios estadounidenses certificados (Vercel);

• (b) las Cláusulas Contractuales Tipo de 2021 (Decisión (UE) 2021/914) cuando el Marco de Privacidad de Datos no se aplica (Resend, Anthropic).

  5.3. El Comerciante acepta que H-MOON Digital firme Cláusulas Contractuales Tipo con subencargados por cuenta del Comerciante en la medida necesaria para la prestación del Servicio.

6. Webhooks RGPD impuestos por Shopify

En resumen: cuando una persona cliente o una tienda pide a Shopify que borre sus datos, Shopify nos traslada la solicitud. La ejecutamos de inmediato, sin agotar el plazo que se nos concede.

6.1. Conforme a las obligaciones de Shopify en materia de webhooks RGPD, H-MOON Digital implementa los tres webhooks RGPD obligatorios y los procesa según el siguiente calendario:

6.2. Las recepciones de webhook se registran con fines de auditoría. El Comerciante podrá solicitar un registro de las acciones webhook que afecten a su tienda enviando un correo a hello@gethokku.com.

7. Medidas de seguridad

En resumen: cifrado, control de acceso, registros de auditoría. Cosas estándar, hechas en serio.

7.1. H-MOON Digital aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluidas:

• Cifrado en tránsito — TLS 1.3 para todo el tráfico Hokku.

• Cifrado en reposo — AES-256 sobre la base Supabase Frankfurt y todas las copias de seguridad.

• Control de acceso — acceso de mínimo privilegio a los datos de producción, restringido al personal y a los contratistas de H-MOON Digital vinculados por confidencialidad, con autenticación multifactor obligatoria.

• Registros de auditoría — todas las acciones administrativas sobre datos de producción se registran con actor, marca de tiempo y objetivo, conservados durante doce (12) meses.

• Gestión de vulnerabilidades — análisis automatizado de dependencias (OSV-Scanner) y aplicación de parches de seguridad en plazos razonables tras su divulgación.

• Aislamiento de red — los sistemas de producción están aislados de los entornos de desarrollo y pre-producción.

  7.2. La lista de medidas técnicas y organizativas puede evolucionar; la versión vigente se refleja en el presente DPA, alineada con los estándares del sector.

8. Notificación de violación de datos personales

En resumen: si algo va mal con tus datos, te avisamos en 24 horas.

8.1. H-MOON Digital notificará al Comerciante afectado por correo electrónico en un plazo de veinticuatro (24) horas desde la toma de conocimiento de una violación de datos personales que afecte a los datos del Comerciante, con la información requerida por el artículo 33.3 del RGPD (naturaleza de la violación, categorías y número aproximado de interesados afectados, consecuencias probables, medidas tomadas o propuestas).

8.2. Este compromiso de notificación a 24 horas supera el mínimo de 72 horas impuesto por el artículo 33 del RGPD y se alinea con la obligación del Shopify Partner Program Agreement § 9.14.2(vi).

8.3. El Comerciante sigue siendo el único responsable de cualquier notificación debida a interesados o a la Agencia Española de Protección de Datos (AEPD), o a cualquier otra autoridad de control competente conforme a los artículos 33 y 34 del RGPD; H-MOON Digital prestará cooperación razonable, a petición del Comerciante y con sus gastos razonables.

9. Asistencia para los derechos de los interesados

En resumen: cuando tu clientela ejerce sus derechos RGPD, te ayudamos a responder.

9.1. H-MOON Digital, teniendo en cuenta la naturaleza del tratamiento, asiste al Comerciante con medidas técnicas y organizativas apropiadas, en la medida de lo posible, para cumplir su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados previstos en los artículos 12 a 23 del RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición, decisión automatizada), así como los derechos digitales reconocidos por la LOPDGDD (Ley Orgánica 3/2018).

9.2. Las solicitudes recibidas directamente por H-MOON Digital que se refieran a interesados del Comerciante se reenviarán al Comerciante sin demora injustificada.

10. Derecho de auditoría

En resumen: puedes preguntarnos sobre nuestra seguridad y prácticas. Respondemos de buena fe.

10.1. H-MOON Digital, a petición escrita razonable del Comerciante y como máximo una vez cada doce meses (salvo en caso de incidente documentado), pondrá a disposición del Comerciante toda la información necesaria para demostrar el cumplimiento del presente DPA, incluido un resumen escrito de sus medidas de seguridad, la lista de subencargados y la posición respecto a las CCT y el Marco UE-EE.UU. de Privacidad de Datos.

10.2. Para los comerciantes con una preocupación específica y documentada, H-MOON Digital responderá a un cuestionario de auditoría documentado en un plazo de treinta (30) días. No se ofrecen auditorías in situ para los planes de autoservicio; para los acuerdos enterprise, las modalidades de auditoría podrán convenirse por separado por escrito.

11. Restitución y eliminación de los datos a la terminación

En resumen: tus datos viven mientras uses Hokku — salvo tus intercambios con soporte y con el Hokku Assistant, que se borran solos según sus propios plazos, sin esperar a que desinstales. Al desinstalar, borramos de inmediato todo lo que identifica a una persona y conservamos tus ofertas y tu analítica 60 días por si vuelves — después también las eliminamos.

11.1. Mientras la aplicación está instalada. H-MOON Digital conserva los Datos del Comerciante todo el tiempo que el Comerciante use Hokku, porque su propia analítica — incluidas las cifras desde el inicio — se construye a partir de ellos.

Los intercambios con nuestro equipo de soporte y con el Hokku Assistant tienen sus propios plazos de conservación, incluso mientras la aplicación está instalada: H-MOON Digital elimina cada ticket de soporte doce (12) meses después de su envío y borra la dirección de correo electrónico de respuesta que contiene a los noventa (90) días; la misma regla de noventa (90) días se aplica a los mensajes recibidos en support@gethokku.com. Las conversaciones con el Hokku Assistant se eliminan a los treinta (30) días. El Comerciante puede además solicitar en cualquier momento, desde Configuración, la eliminación inmediata de sus datos, que incluye sus tickets de soporte y sus conversaciones con el Hokku Assistant.

11.2. Tras la desinstalación — qué se borra de inmediato. Shopify notifica a H-MOON Digital mediante el webhook shop/redact 48 horas después de la desinstalación. Al recibirlo, H-MOON Digital borra de los sistemas Hokku activos los datos que identifican a una persona — tokens de acceso, tickets de soporte y conversaciones con el Hokku Assistant — y anonimiza los identificadores de pedido conservados en los registros de analítica, sin demora adicional. Ningún dato personal de comprador se conserva más allá de ese punto.

11.3. Tras la desinstalación — qué se conserva, y cuánto tiempo. La configuración propia del Comerciante (ofertas y ajustes) y su analítica agregada se conservan en los sistemas activos durante sesenta (60) días desde la desinstalación, para que el Comerciante que vuelva a instalar dentro de ese plazo recupere su trabajo. La difusión de las ofertas se detiene en todos los casos con la desinstalación. Al vencer ese plazo, una purga automática elimina definitivamente estos datos; la misma purga se aplica si el webhook shop/redact no llega a entregarse.

11.4. Copias de seguridad. Las copias de seguridad cifradas de nuestro proveedor de alojamiento se purgan conforme a los ciclos rotativos de copia, completándose la purga total en los treinta (30) días adicionales; los datos eliminados en virtud de los §11.2 u §11.3 desaparecen de ellas en el mismo término.

11.5. Previa solicitud por escrito, en cualquier momento mientras la aplicación esté instalada, H-MOON Digital facilita una exportación estructurada de los Datos del Comerciante en un formato de uso común y legible por máquina. Dado que el acceso del Comerciante termina con la desinstalación y los datos conservados se eliminan sesenta (60) días después, el Comerciante debe solicitar cualquier exportación antes de desinstalar.

11.6. H-MOON Digital solo puede conservar datos tras la terminación en la medida exigida por la ley aplicable (contabilidad, obligaciones fiscales), en cuyo caso la conservación se limita a la duración legal mínima y los datos se separan del tratamiento activo.

12. Duración y supervivencia

En resumen: este DPA dura tanto como tu suscripción Hokku. Las obligaciones sobre datos sobreviven después.

12.1. El presente DPA entra en vigor con la primera instalación de Hokku y permanece en vigor mientras H-MOON Digital trate datos personales por cuenta del Comerciante.

12.2. Las secciones 5 (Transferencias), 7 (Seguridad), 8 (Notificación de violación), 10 (Auditoría), 11 (Restitución y eliminación) y 13 (Disposiciones diversas) sobreviven a la resolución en la medida necesaria para ejecutar las obligaciones de eliminación y cooperación.

13. Disposiciones diversas

13.1. Derecho aplicable y jurisdicción. El presente DPA se rige por el mismo derecho y se somete a la misma jurisdicción que las Condiciones (derecho francés, competencia exclusiva de los tribunales de París — véanse las Condiciones §12).

13.2. Orden de prevalencia. En caso de conflicto entre el presente DPA y las Condiciones respecto al tratamiento de datos personales, prevalece el presente DPA.

13.3. Traducciones. El presente DPA se publica en inglés (versión canónica) con traducciones de cortesía a otros idiomas. En caso de divergencia sustantiva entre la versión inglesa y una traducción, la versión inglesa disponible en gethokku.com/dpa prevalece. Excepción — cuando una traducción incluya cláusulas o aclaraciones requeridas por el derecho imperativo local de la jurisdicción de dicha traducción (por ejemplo, referencias a la LOPDGDD o a la AEPD en España), tales disposiciones impuestas localmente se aplicarán dentro de esa jurisdicción y no constituirán una «divergencia» en el sentido de la presente cláusula. Los idiomas disponibles se enumeran al pie del presente documento.

13.4. Modificaciones. Las modificaciones sustanciales del presente DPA se notifican a los comerciantes en las mismas condiciones que las modificaciones de las Condiciones (véanse las Condiciones §11).

13.5. Contacto. Consultas de protección de datos, oposiciones a subencargado, solicitudes de interesado, peticiones de auditoría y notificaciones de violación: hello@gethokku.com. Se agradece el asunto [DPA] para encaminar el mensaje.

Última actualización: 5 de agosto de 2026.