Section Store: aviso de privacidad y condiciones de tratamiento de datos

1. Responsable

BrandUp Factory GmbH
Tilsiter Str. 174, 22047 Hamburgo, Alemania
Director general: Tim Meyer
Registro mercantil: HRB 186196, Amtsgericht Hamburg
Contacto de privacidad: info@brandupfactory.com

2. En resumen

• La app guarda datos sobre tu tienda y las secciones que creas, no sobre tus clientes.
• Las estadísticas de secciones están desactivadas por defecto. Si las activas, un píxel web de Shopify cuenta vistas, clics, añadidos al carrito y pedidos por sección, solo cuando las preferencias de privacidad del visitante permiten la analítica, y guardamos solo totales diarios por sección.
• No vendemos datos, no los usamos para publicidad y no creamos perfiles de visitantes ni tomamos decisiones automatizadas sobre ellos.

3. Datos sobre tu tienda

Cuando instalas y usas la app tratamos:

• Datos de la tienda proporcionados por Shopify: dominio, nombre de la tienda, dirección de correo de la tienda, plan de Shopify, zona horaria e idiomas de la tienda. La moneda de la tienda se lee cuando hace falta y no se guarda.
• Uso de la app: idioma de la app, fecha de instalación y de la última visita, progreso de la puesta en marcha, las páginas de la app abiertas en los primeros 14 días tras la instalación (solo direcciones de página y horas, para mejorar la puesta en marcha), el estado de la solicitud de reseña, incluidos los comentarios privados y la valoración si los envías, y si las estadísticas están activadas.
• Tus secciones: lo que introduces en el editor (textos, enlaces, direcciones de imágenes, colores, traducciones, reglas de visibilidad, direcciones de tiendas para el localizador), las últimas 25 versiones guardadas por sección, si una sección está colocada en tu tema, y las fuentes y colores leídos de tu tema para que las secciones encajen. El código generado de las secciones se guarda en Shopify como datos de la app de tu tienda.
• Compras y suscripciones: qué secciones compraste, el ID de cargo de Shopify, precio, moneda, estado y fechas; el ID de suscripción de Shopify, su estado y sus fechas. Los pagos los gestiona Shopify; nunca vemos datos de pago.
• Análisis de tienda (Enterprise): puntuaciones, hallazgos y ejemplos como direcciones de páginas o títulos de productos, de los últimos 20 análisis.
• Los deseos de secciones y votos que envías.
• Páginas con IA (Enterprise), cuando las usas: el borrador comprobado (secciones elegidas y sus textos), el ID y el título del producto elegido, el idioma, el número de tokens y una estimación del coste. Tu encargo, la descripción y el precio del producto y el texto enviado al servicio de IA no se guardan como tales, pero el borrador guardado puede citarlos.

Finalidad: prestar la app y sus funciones, el acceso a las secciones compradas, la facturación y el soporte. Base jurídica: art. 6.1.b RGPD (contrato); para los datos de compras y suscripciones también art. 6.1.c RGPD (obligaciones contables legales).

4. Tokens de acceso

Shopify emite tokens de acceso (OAuth) a la app para que pueda trabajar en tu tienda con los permisos que concediste. Los guardamos con la sesión en nuestra base de datos: un token de acceso válido una hora, un token de actualización válido 90 días que cambia en cada actualización, y los permisos concedidos. Si Shopify emite una sesión propia de un usuario, puede contener también el ID de usuario, el nombre, la dirección de correo y el idioma del miembro del personal. Las sesiones se eliminan al desinstalar la app. Base jurídica: art. 6.1.b RGPD.

5. Correos de primeros pasos

Las tiendas que instalaron la app el 3 de noviembre de 2026 o después y aún no tienen ninguna sección publicada reciben como máximo tres correos de primeros pasos en la dirección de correo de la tienda: unos 1, 3 y 7 días después de instalarla, con al menos 40 horas entre ellos. No se envía ninguno cuando una sección ya está publicada ni más de 14 días después de la instalación. Mencionan tu tienda y, si guardaste alguna, tu sección más reciente.

Cada correo incluye un enlace para darse de baja (y una cabecera para darse de baja con un clic); tras darte de baja no se envían más correos de este tipo. Guardamos cuándo se envió cada correo y cuándo te diste de baja. Los correos se envían mediante Resend. Base jurídica: art. 6.1.f RGPD (nuestro interés legítimo en ayudar a los comerciantes a usar una app instalada); puedes oponerte en cualquier momento con el enlace de baja.

6. Soporte, ayuda y comentarios

Cuando nos escribes mediante el formulario de soporte, el widget de ayuda, los comentarios de la reseña o un deseo de sección, el mensaje se envía por correo (mediante Resend) a info@brandupfactory.com junto con el dominio de tu tienda y, si los indicas, tu nombre y tu dirección de correo. Lo usamos para responderte. Los comentarios de la reseña y los deseos de secciones también se guardan en nuestra base de datos. Base jurídica: art. 6.1.b y f RGPD.

7. Estadísticas de secciones (opcionales, visitantes de tu tienda)

Las estadísticas están desactivadas hasta que las activas en la página Rendimiento. Al activarlas se piden a Shopify dos permisos adicionales (write_pixels, read_customer_events) y se añade nuestro píxel web a tu tienda; al desactivarlas se elimina.

Cuándo se ejecuta el píxel

El píxel está registrado en Shopify como píxel de analítica (no de marketing, sin venta de datos). Shopify solo lo ejecuta cuando las preferencias de privacidad del visitante permiten la analítica, según la configuración de privacidad de clientes de tu tienda. Si un visitante retira su consentimiento durante la visita, el píxel deja de enviar y descarta los contadores aún no enviados. Se ejecuta en el entorno aislado de Shopify y no instala cookies propias.

Qué lee en el navegador del visitante

• Eventos de las secciones de Section Store: el identificador, el ID de plantilla y la variante de la sección cuando se ve (al menos la mitad visible durante un segundo), se hace clic en ella o se usa su formulario de añadir al carrito.
• Eventos estándar de Shopify: la ruta de la página, el ID del producto en las páginas de producto, el ID del producto y el total de línea de un añadido al carrito, y el ID y el total del pedido de un checkout completado.

Qué guarda en el navegador

En el almacenamiento de sesión del navegador (clave ss_seen, se elimina al terminar la sesión del navegador; las entradas de más de 12 horas se descartan): las secciones vistas con hora, ruta de la página e ID del producto, hasta 10 ID de pedido (para contar cada pedido una vez) y los contadores aún no enviados.

Qué nos envía

Lotes de contadores: el ID de tu tienda en nuestra base de datos y, por evento, su tipo (vista, clic, añadido al carrito, pedido), el identificador de la sección, el ID de plantilla, la variante, la hora, el importe y la moneda (añadidos al carrito y pedidos) y el ID del pedido (solo pedidos). No envía nombres, direcciones de correo, direcciones postales, números de teléfono, ID de clientes, rutas de páginas ni ID de productos.

Qué guardamos

Solo totales diarios por sección: vistas, clics, añadidos al carrito y su valor, pedidos e ingresos atribuidos a las secciones y el número de pedidos en otras monedas. No guardamos ID de pedidos ni direcciones IP. El ID del pedido se mantiene como máximo 48 horas en la memoria del servidor para contar cada pedido una vez. Para limitar la frecuencia, el servidor calcula en memoria un hash de la dirección IP del remitente; ni la dirección ni el hash se escriben en la base de datos ni en nuestros registros de la aplicación.

Las cifras no se usan para elaborar perfiles, publicidad ni decisiones automatizadas, y no se venden. Los totales diarios se eliminan como muy tarde a los 13 meses.

Roles

Para este tratamiento, el comerciante es el responsable y BrandUp Factory GmbH el encargado del tratamiento (sección 13). El comerciante decide si las estadísticas están activadas e informa a los visitantes, por ejemplo en la política de privacidad y el banner de consentimiento de la tienda.

8. Análisis de tienda (Enterprise)

Cuando inicias un análisis de tienda, o se ejecuta el análisis semanal (puedes desactivarlo), la app lee datos de tu tienda mediante la Admin API de Shopify (datos de la tienda, hasta los 250 productos más recientes, hasta 50 colecciones, el tema publicado), carga páginas públicas de tu tienda como un visitante (página de inicio, una página de producto, una página de colección, robots.txt, sitemap.xml y las páginas de políticas) y envía las direcciones públicas de esas páginas a la API PageSpeed Insights de Google y el dominio de tu tienda a la API Chrome UX Report de Google. No intervienen datos de visitantes ni de clientes. Base jurídica: art. 6.1.b RGPD.

9. Otros servicios que usa la app

• La interfaz de la app carga Shopify App Bridge y la fuente Inter desde la CDN de Shopify (cdn.shopify.com).
• Las vistas previas del editor y el contenido de ejemplo pueden cargar imágenes de ejemplo de Unsplash (images.unsplash.com) y, para mostrar las fuentes de tu tema, fuentes de Google Fonts (fonts.googleapis.com, fonts.gstatic.com). Tu navegador se conecta directamente a estos servicios, lo que les transmite tu dirección IP.
• «Buscar coordenadas que faltan» (localizador de tiendas y otras secciones con direcciones) envía la dirección introducida desde nuestro servidor a OpenStreetMap Nominatim (nominatim.openstreetmap.org).
• Las secciones pueden incrustar contenido de terceros que configures en tu tienda, como mapas o vídeos (los vídeos solo se cargan tras un clic). Incrustarlos es decisión tuya como propietario de la tienda.

Shopify muestra las secciones en tu tienda a partir de los datos de la app; los navegadores de los visitantes no se conectan a nuestros servidores para ello. La única excepción es el píxel de estadísticas, cuando activas las estadísticas.

Páginas con IA (Enterprise)

Solo donde esta función esté activada y solo cuando pides un borrador: nuestro servidor envía tu encargo, el título, el identificador de URL, la descripción y el precio del producto elegido (si lo hay), el idioma de la tienda, las fuentes y colores de tu tema y nuestra lista de secciones a la API de Anthropic PBC (Claude). La app no envía datos de tus clientes ni visitantes; no incluyas datos personales en el encargo. La respuesta es un borrador que la app comprueba; no se escribe nada en tu tienda hasta que haces clic en Crear, y añadir las secciones al tema sigue siendo un paso tuyo en el editor de temas. Base jurídica: art. 6.1.b) del RGPD.

10. Proveedores de servicios

• Shopify: la plataforma en la que funciona la app (instalación, permisos, facturación, datos de la app, el píxel web).
• Heroku (Salesforce, Inc.): alojamiento de los servidores de la app, incluido el punto de recepción de estadísticas; los datos pueden tratarse en EE. UU.
• Amazon Web Services: la base de datos, región eu-central-1 (Fráncfort, Alemania).
• Resend: envío de correos (correos de primeros pasos, mensajes de soporte y comentarios); EE. UU.
• Google: PageSpeed Insights y Chrome UX Report para el análisis de tienda; solo direcciones públicas de la tienda.
• OpenStreetMap Foundation (Nominatim): direcciones para «Buscar coordenadas que faltan», solo cuando lo usas.
• Anthropic PBC: redacta los borradores de las páginas con IA, como nuestro encargado del tratamiento; recibe lo que indica la sección 9, solo cuando pides un borrador. EE. UU.

Cuando los datos se tratan fuera de la UE/EEE, la transferencia se basa en el EU-US Data Privacy Framework si el proveedor está certificado, y si no en las cláusulas contractuales tipo de la UE (art. 46 RGPD).

11. Plazos de conservación

• Sesiones y tokens de acceso: se eliminan al desinstalar la app. Shopify elimina al mismo tiempo los datos de la app en tu tienda (incluido el código generado de las secciones).
• 48 horas después de la desinstalación, Shopify nos envía una solicitud de eliminación (shop/redact). Entonces eliminamos los ajustes y versiones de las secciones, las estadísticas y los análisis de tienda, y quitamos del registro de la tienda sus datos, el estado de los correos, los comentarios y las preferencias. Los deseos de secciones permanecen en la lista sin vínculo con tu tienda; tus votos se eliminan.
• Se conserva después: el registro de la tienda reducido a su ID, dominio y fechas, con los datos de compras y suscripciones, por obligaciones contables legales y para que las secciones compradas vuelvan a estar disponibles tras una reinstalación.
• Mientras la app está instalada: versiones de secciones: las últimas 25 por sección; análisis de tienda: los últimos 20 por tienda; estadísticas: como máximo 13 meses.
• Correos de soporte: en nuestro buzón el tiempo necesario para atender la solicitud y según las obligaciones legales de conservación.
• Registros: registros de servidor en Heroku según el plazo de conservación del proveedor.
• Páginas con IA: las ejecuciones del mes en curso y las 20 anteriores más recientes por tienda. Al desinstalar la app se eliminan los borradores y las referencias de producto; el estado, el número de tokens y la estimación del coste permanecen hasta la solicitud de eliminación (shop/redact). Los cambios sin guardar de la revisión permanecen en el almacenamiento de sesión de tu navegador. Las secciones que creaste permanecen como cualquier otra sección.

12. Seguridad

• Todas las conexiones con la app y con el punto de recepción de estadísticas usan HTTPS (TLS).
• El acceso a los sistemas de producción está limitado al personal de BrandUp Factory GmbH que lo necesita para su trabajo.
• Las solicitudes de Shopify (webhooks) se verifican por firma; las direcciones de retorno de las compras están firmadas.
• El punto de recepción de estadísticas solo acepta contadores acotados para tiendas con las estadísticas activadas y tiene limitación de frecuencia.
• Las conexiones de la app con la base de datos están cifradas (TLS).

13. Condiciones de tratamiento para las estadísticas de secciones (art. 28 RGPD)

Estas condiciones se aplican entre BrandUp Factory GmbH (encargado del tratamiento) y cada comerciante que usa Section Store (responsable del tratamiento) para los datos personales de los visitantes de la tienda tratados mediante el píxel de estadísticas. Al instalar y usar la app y activar las estadísticas, el comerciante acepta estas condiciones. Se aplican junto con el Shopify Partner Program Agreement y las condiciones de API de Shopify con arreglo a las cuales se presta la app.

• Objeto y duración: contar vistas, clics, añadidos al carrito y pedidos de las secciones para la tienda del comerciante, desde que se activan las estadísticas hasta que se desactivan o se desinstala la app y se eliminan los datos.
• Naturaleza y finalidad: recogida en el navegador del visitante por el píxel web, transmisión, agregación en totales diarios por sección, almacenamiento y visualización en la app, únicamente para mostrar al comerciante el rendimiento de sus secciones.
• Tipos de datos: datos de eventos del navegador del visitante (identificador de sección, hora, ruta de la página e ID de producto, que permanecen en el navegador, ID de pedido, importes del carrito y del pedido con su moneda) y la dirección IP de la solicitud (solo para la transmisión y la limitación de frecuencia, no se guarda).
• Interesados: visitantes y clientes de la tienda online del comerciante.
• Instrucciones: tratamos los datos solo como se describe en esta página y según lo configurado por el comerciante en la app (estadísticas activadas o no), salvo que la ley exija otra cosa. Informamos al comerciante si consideramos que una instrucción infringe la normativa de protección de datos.
• Confidencialidad: todas las personas autorizadas a tratar los datos están obligadas a la confidencialidad.
• Seguridad: aplicamos las medidas técnicas y organizativas descritas en la sección 12 (art. 32 RGPD).
• Subencargados: el comerciante autoriza a Shopify, Heroku (Salesforce, Inc.) y Amazon Web Services según la sección 10. Imponemos a los subencargados obligaciones de protección de datos equivalentes. Anunciamos los cambios actualizando esta página y su fecha antes de que surtan efecto; un comerciante que se oponga puede desactivar las estadísticas o desinstalar la app.
• Asistencia: ayudamos al comerciante a responder a las solicitudes de los interesados y a cumplir sus obligaciones de los art. 32 a 36 RGPD, en la medida en que lo permita la naturaleza del tratamiento. Nuestros datos solo contienen totales diarios sin identificadores y no pueden vincularse a un visitante concreto.
• Violaciones de seguridad: notificamos al comerciante sin dilación indebida tras tener conocimiento de una violación que afecte a estos datos.
• Supresión: los totales diarios se eliminan como muy tarde a los 13 meses, y por completo tras la solicitud de eliminación que Shopify envía 48 horas después de la desinstalación; antes, si se solicita.
• Información: ponemos a disposición la información necesaria para demostrar el cumplimiento de estas condiciones. Contacto: info@brandupfactory.com.

14. Solicitudes de tus clientes

Section Store no guarda datos sobre clientes o visitantes individuales de tu tienda: ni perfiles de clientes, ni nombres, ni direcciones de correo, ni detalles de pedidos, solo totales diarios por sección. Si un cliente te pide acceso a sus datos o su eliminación, nada en nuestros sistemas se refiere a él. Shopify nos reenvía estas solicitudes automáticamente (customers/data_request y customers/redact); las confirmamos y no hay nada que entregar ni eliminar. Puedes reenviar otras solicitudes a info@brandupfactory.com.

15. Tus derechos

Tienes derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición (art. 15 a 21 RGPD), y puedes retirar un consentimiento en cualquier momento con efecto para el futuro. Escribe a info@brandupfactory.com. También puedes presentar una reclamación ante una autoridad de control, por ejemplo el Comisionado de Hamburgo para la Protección de Datos y la Libertad de Información.

16. Cambios

Actualizamos esta página cuando cambia la app. Los cambios de subencargados para las estadísticas se anuncian aquí antes de que surtan efecto. La fecha de arriba indica el último cambio.

17. Asistentes de IA (opcional, Enterprise)

Puedes conectar un asistente de IA de tu elección (por ejemplo Claude, ChatGPT o Cursor) en la página «Asistente de IA». No ocurre nada hasta que haces clic en Conectar en tu admin de Shopify; Desconectar termina el acceso al momento.

Qué guardamos

• Sobre el asistente: el nombre y las direcciones de retorno con las que se registró. Este registro no contiene datos de tu tienda; si nunca se conecta, se elimina a los 7 días.
• De cada conexión: tu tienda, el nombre y la dirección de retorno del asistente, cuándo se conectó y cuándo se usó por última vez, y el miembro del equipo que lo conectó (ID de usuario de Shopify, o el nombre si la sesión lo contiene).
• Solo hashes SHA-256 de los secretos de la conexión, nunca los secretos: tokens de acceso (válidos 1 hora), tokens de actualización (válidos 60 días, cambian con cada actualización), códigos de autorización (5 minutos) y tokens de confirmación de cambios (10 minutos, 30 minutos para los cambios pendientes de tu aprobación). Los cambios pendientes también guardan los valores antiguos y nuevos y quién los aprobó o rechazó. Los hashes caducados se eliminan una vez al día.
• Un registro de lo que han cambiado los asistentes: fecha, nombre del asistente, qué ajuste u oferta y los valores antiguos y nuevos. Sirve para deshacer cambios y se elimina a los 30 días.

Qué recibe el asistente

Cuando lo pide, el asistente recibe el nombre, el dominio y la moneda de tu tienda, tu plan y los permisos concedidos, las ofertas, los ajustes de las secciones y los títulos, handles, estados, imágenes y precios de variantes de productos y colecciones, leídos con el acceso de la app a tu tienda. Los clientes y los pedidos no están a su alcance. No puede tocar la facturación, las compras de secciones ni los temas.

Lo que recibe el asistente llega a su proveedor. Tú eliges ese proveedor y lo usas bajo tu propio acuerdo con él; no es proveedor de servicios nuestro y no le enviamos nada por iniciativa propia. La app en sí no usa ningún servicio de IA.

Límites de solicitudes y eliminación

Para limitar las solicitudes, el servidor calcula en memoria un hash de la dirección IP del remitente; ni la dirección ni el hash se escriben en la base de datos ni en nuestros registros de la aplicación. Desconectar elimina la conexión con sus hashes. Desinstalar la app y la solicitud de eliminación (shop/redact) eliminan todas las conexiones y el registro de cambios de tu tienda. Base jurídica: art. 6.1.b) RGPD.