Política de privacidad y encargo de tratamiento
Última actualización: 14 de octubre de 2026
Este documento explica cómo trata Refitto los datos personales conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (en adelante, «RGPD»), y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, «LOPDGDD»). Se compone de dos partes: la Parte I, en la que Refitto actúa como responsable del tratamiento, y la Parte II, que constituye el contrato de encargo de tratamiento del artículo 28 del RGPD. Los términos definidos en los Términos y condiciones tienen aquí el mismo significado.
Delimitación de roles
| Datos | Papel de Refitto | Quién decide |
|---|---|---|
| Datos de registro, cuenta, comunicaciones y facturación de los Clientes y sus Usuarios autorizados | Responsable del tratamiento (Parte I) | Refitto |
| Datos de los Compradores finales que tramitan cambios y devoluciones en el Portal | Encargado del tratamiento (Parte II) | El Cliente, como responsable del tratamiento |
| Datos de pago de la suscripción | No los trata: los trata Shopify como responsable independiente | Shopify |
Parte I. Refitto como responsable del tratamiento
1. Identidad del responsable
El titular del servicio que opera bajo el nombre comercial Refitto, cuyos datos identificativos (nombre, NIF y domicilio) figuran en el Aviso legal. Correo electrónico de contacto en materia de protección de datos: legal@refitto.com.
2. Datos tratados
- Identificación y contacto: nombre, apellidos, correo electrónico y, en su caso, teléfono.
- Datos de la empresa: razón social, número de identificación fiscal, domicilio y tienda conectada.
- Datos de cuenta: identificador de usuario, sesiones, registros de acceso y preferencias.
- Datos de suscripción: Plan, estado, fechas e identificadores de la tienda y de la suscripción en Shopify. Refitto no recibe los datos completos de la tarjeta ni de otros medios de pago.
- Comunicaciones mantenidas con soporte.
3. Finalidades y bases jurídicas
| Finalidad | Base jurídica |
|---|---|
| Registrar la cuenta, prestar el Servicio, conectar la tienda y gestionar la suscripción | Ejecución del contrato (artículo 6.1.b RGPD) |
| Cumplir obligaciones contables, fiscales y de atención a requerimientos de autoridades | Obligación legal (artículo 6.1.c RGPD) |
| Garantizar la seguridad del Servicio, prevenir el fraude y los usos abusivos | Interés legítimo (artículo 6.1.f RGPD) |
| Enviar comunicaciones sobre novedades del Servicio a Clientes | Interés legítimo y artículo 21.2 LSSI-CE; el Cliente puede oponerse en cualquier momento desde cada comunicación |
Los datos de contacto de las personas que prestan servicios en personas jurídicas se tratan al amparo del artículo 19 de la LOPDGDD.
4. Plazos de conservación
Los datos se conservarán mientras se mantenga la relación contractual y, tras su finalización, debidamente bloqueados conforme al artículo 32 de la LOPDGDD durante los plazos de prescripción de las acciones que pudieran derivarse, en particular cinco años conforme al artículo 1.964 del Código Civil, cuatro años conforme a la Ley 58/2003, de 17 de diciembre, General Tributaria y seis años conforme al artículo 30 del Código de Comercio para la documentación mercantil. Transcurridos estos plazos, se suprimirán.
5. Destinatarios
Los datos no se cederán a terceros salvo obligación legal. Tendrán acceso a ellos, como encargados del tratamiento de Refitto, los proveedores enumerados en el apartado 9 de la Parte II, además de Clerk, Inc. (autenticación de usuarios del panel) y Vercel Inc. (medición anónima de visitas, ver la política de cookies del Aviso legal). Shopify tratará los datos necesarios para el cobro como responsable independiente, conforme a su propia política de privacidad.
6. Transferencias internacionales
Algunos proveedores están establecidos en Estados Unidos. Las transferencias se amparan en la decisión de adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE-EE. UU., cuando el proveedor está adherido, o en las cláusulas contractuales tipo aprobadas por la Comisión Europea, de conformidad con los artículos 45 y 46 del RGPD.
7. Derechos
Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como no ser objeto de decisiones individuales automatizadas, escribiendo a legal@refitto.com e indicando el derecho que ejercita. Si considera que el tratamiento no es conforme a la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
8. Menores de edad
El Servicio se dirige exclusivamente a empresas y profesionales. Queda prohibido el registro de menores de dieciocho años en la plataforma, salvo que actúen debidamente representados por quien ostente su representación legal y con capacidad suficiente para obligar a la empresa en cuyo nombre actúan. Si Refitto detecta una cuenta que incumple este requisito, podrá suspenderla y suprimir sus datos.
Parte II. Contrato de encargo de tratamiento (artículo 28 RGPD)
Esta Parte II regula el tratamiento que Refitto (el «Encargado») realiza por cuenta del Cliente (el «Responsable») de los datos personales de los Compradores finales. Se entiende aceptada por el Cliente al aceptar los Términos y condiciones y forma parte integrante de ellos.
1. Objeto, naturaleza y finalidad
El Encargado tratará los datos únicamente para prestar el Servicio: mostrar el Portal, verificar el pedido contra la Plataforma de comercio, registrar y presentar al Responsable las solicitudes de cambio y devolución, y generar estadísticas para el propio Responsable. Las operaciones de tratamiento comprenden la recogida, el registro, la conservación, la consulta, la estructuración, la comunicación al Responsable y la supresión.
2. Tipos de datos y categorías de interesados
- Interesados: Compradores finales del Responsable que utilizan el Portal.
- Datos: correo electrónico, número e identificador del pedido, productos, tallas y variantes, importes, motivo de la solicitud, preferencia de cambio, devolución o crédito, y comentarios. El Servicio no solicita ni conserva el nombre, la dirección ni el teléfono del Comprador final.
- No se tratan categorías especiales de datos. El Responsable se compromete a no solicitar ni introducir este tipo de datos en el Servicio.
3. Duración
El encargo tendrá la misma duración que la suscripción del Responsable. A su finalización, se aplicará lo dispuesto en el apartado 11.
Durante la vigencia del encargo, las solicitudes de cambio y devolución y los datos asociados se conservarán durante un máximo de 36 meses desde que el Responsable las resuelve, transcurridos los cuales se suprimirán de forma automática.
4. Obligaciones del Responsable
El Responsable garantiza y se obliga a:
- disponer de una base jurídica válida conforme al artículo 6 del RGPD, como la ejecución del contrato de compraventa o el cumplimiento de sus obligaciones legales en materia de garantías y desistimiento, para tratar los datos de sus Compradores finales y para encargar dicho tratamiento a Refitto, y, cuando la base sea el consentimiento, haberlo recabado válidamente;
- informar a los Compradores finales conforme a los artículos 13 y 14 del RGPD, incluida la existencia de este encargo, en su propia política de privacidad;
- verificar la edad y la capacidad de sus Compradores finales cuando resulte necesario, teniendo en cuenta que el artículo 7 de la LOPDGDD fija en catorce años la edad para consentir el tratamiento de datos;
- atender los derechos de los interesados, con la asistencia del Encargado prevista en el apartado 7;
- dar instrucciones lícitas y documentadas y supervisar el tratamiento.
5. Obligaciones del Encargado
El Encargado se obliga a:
- tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, que se entienden constituidas por este contrato y la configuración que el Responsable realice en el Servicio, e informarle inmediatamente si considera que una instrucción infringe la normativa;
- no utilizar los datos para fines propios ni comunicarlos a terceros salvo lo previsto en el apartado 9 o por obligación legal;
- garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad;
- aplicar las medidas de seguridad del apartado 6;
- llevar, cuando proceda, el registro de actividades de tratamiento efectuadas por cuenta del Responsable conforme al artículo 30.2 del RGPD;
- poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con un preaviso mínimo de treinta días, una vez al año como máximo, a cargo del Responsable y sin acceso a datos de otros clientes.
6. Medidas de seguridad
Teniendo en cuenta el estado de la técnica, los costes y los riesgos, el Encargado aplica, entre otras, las siguientes medidas conforme al artículo 32 del RGPD: cifrado en tránsito mediante TLS; cifrado de las credenciales de acceso a la Plataforma de comercio con AES-256-GCM; aislamiento de los datos de cada Cliente mediante políticas de seguridad a nivel de fila en la base de datos; control de acceso basado en autenticación y principio de mínimo privilegio; copias de seguridad gestionadas por el proveedor de base de datos; y registro de accesos. Estas medidas podrán actualizarse siempre que no reduzcan el nivel de protección.
7. Asistencia al Responsable
El Encargado asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento, en la respuesta a las solicitudes de ejercicio de derechos de los interesados y en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD. Si un interesado se dirige directamente al Encargado, este dará traslado al Responsable sin dilación. Las solicitudes de supresión de datos de clientes que la Plataforma de comercio transmite en nombre del Responsable se ejecutan automáticamente. Cuando la Plataforma de comercio transmita una solicitud de acceso de un Comprador final, el Encargado facilitará al Responsable, en un plazo máximo de treinta días, los datos que conserve de ese Comprador final.
8. Violaciones de seguridad
El Encargado notificará al Responsable, sin dilación indebida y en un plazo máximo de cuarenta y ocho horas desde que tenga conocimiento de ella, toda violación de la seguridad de los datos personales, junto con la información disponible necesaria para que el Responsable pueda documentarla y, en su caso, comunicarla a la autoridad de control y a los interesados.
9. Subencargados
El Responsable otorga una autorización general para recurrir a los siguientes subencargados, con los que el Encargado ha suscrito contratos que imponen obligaciones equivalentes a las de este contrato:
| Subencargado | Servicio | Ubicación y garantías |
|---|---|---|
| Supabase, Inc. | Base de datos y almacenamiento | Servidores en la Unión Europea (Irlanda) |
| Vercel, Inc. | Alojamiento y ejecución de la aplicación | Ejecución en la Unión Europea (Irlanda) y red global de distribución; Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Resend, Inc. | Envío de emails transaccionales (avisos de solicitudes) | Envío desde la Unión Europea (Irlanda); Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Clerk, Inc. | Inicio de sesión de los usuarios del panel | Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
El Encargado informará al Responsable de cualquier incorporación o sustitución de subencargados con una antelación mínima de quince días, por correo electrónico o actualizando esta página. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si no se alcanza una solución, podrá cancelar la suscripción. El Encargado seguirá siendo plenamente responsable ante el Responsable del cumplimiento de los subencargados.
La Plataforma de comercio no es subencargada de Refitto: es un proveedor contratado directamente por el Responsable, de quien Refitto recibe los datos por autorización de este.
10. Transferencias internacionales
Las transferencias de datos fuera del Espacio Económico Europeo solo se realizarán con las garantías del Capítulo V del RGPD, conforme a lo indicado en el apartado anterior.
11. Destino de los datos al finalizar
Antes de que termine el encargo, el Responsable puede solicitar a legal@refitto.com una copia de las solicitudes y los datos asociados en un formato estructurado de uso común (CSV), que el Encargado entregará en un plazo máximo de treinta días. Finalizada la prestación, o cuando la Plataforma de comercio comunique la solicitud de supresión de la tienda tras la desinstalación de la aplicación, el Encargado suprimirá los datos personales tratados por cuenta del Responsable en un plazo máximo de treinta días, salvo que una norma exija conservarlos, en cuyo caso se mantendrán bloqueados. Las copias de seguridad se eliminarán en su ciclo ordinario de rotación.
12. Responsabilidad
Cada parte responderá de los incumplimientos que le sean imputables conforme al artículo 82 del RGPD. Si el Encargado destina los datos a otra finalidad, los comunica o los utiliza incumpliendo este contrato, será considerado responsable del tratamiento respecto de dicho tratamiento, conforme al artículo 28.10 del RGPD.
13. Clientes sujetos a otras normas
Cuando el tratamiento esté sujeto al Reglamento General de Protección de Datos del Reino Unido (UK GDPR), las referencias al RGPD se entenderán hechas también a dicha norma. Cuando el Responsable esté sujeto a la California Consumer Privacy Act u otra ley estatal de privacidad de los Estados Unidos, el Encargado actuará como «service provider» o «processor» y se compromete a: (a) no vender ni compartir los datos personales; (b) no conservarlos, usarlos ni divulgarlos para ninguna finalidad distinta de la prestación del Servicio, ni fuera de la relación directa con el Responsable; (c) no combinarlos con datos de otras fuentes salvo en lo permitido por dicha ley; (d) cumplir las obligaciones que le resulten aplicables y avisar al Responsable si no puede cumplirlas; y (e) permitir al Responsable adoptar medidas razonables para detener y corregir un uso no autorizado. Si el Responsable está establecido fuera del Espacio Económico Europeo, la comunicación de datos del Encargado al Responsable se ampara, en la medida necesaria, en el Módulo 4 de las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914.