Información legal

INFORMACIÓN LEGAL

Política de privacidad y condiciones de uso para los visitantes del sitio web, los visitantes de la tienda online y los contratos SaaS y de encargado del tratamiento (AVV) para los operadores

Visitantes del sitio web →

Usuarios de la vista de cliente de la tienda online →

Operadores de una tienda online OIDO →

Definiciones

OIDO: OIDO order & pay systems, S.L. Proveedor técnico de servicios que alquila, actualiza y aloja el software de tienda OIDO.

Vendedor: empresario que ofrece bienes o servicios propios a través de una tienda online OIDO (operador de la tienda). Es la contraparte de OIDO en el contrato SaaS y en el contrato de encargado del tratamiento (AVV). En estos dos contratos se denomina «cliente» o «responsable del tratamiento», respectivamente.

Cliente de la tienda: comprador de bienes o servicios en la tienda online del vendedor.

Stripe: proveedor de servicios de pago (Stripe Payments Europe, Limited, Irlanda) para el procesamiento seguro de los pagos.

Visitante: visitante de este sitio web.

Visitantes del sitio web

OIDO order & pay systems, S.L. Avda. Comte Güell, 12, 08871 Sitges (Barcelona), España Registro Mercantil de Barcelona, TOMO 48456, FOLIO 123, HOJA B 584519, INSCRIPCIÓN 1. CIF B72461288 · NIF-IVA ESB72461288 · DUNS: 471411102 Representada por los administradores: Günter Beer, Manon Straver Teléfono: +34 616 340 840 · Correo electrónico: oido@oido.me Punto de contacto único conforme a la Ley de Servicios Digitales (Reglamento (UE) 2022/2065): oido@oido.me – Idiomas: alemán, inglés, español

Política de privacidad para los visitantes del sitio web

Responsable del tratamiento: OIDO order & pay systems, S.L., Avda. Comte Güell, 12, 08871 Sitges (Barcelona), España, correo electrónico: oido@oido.me.

Esta política se aplica a los visitantes de este sitio web, así como a los interesados y a los vendedores durante la preparación y la ejecución del contrato con OIDO. Para los datos que OIDO trata por cuenta de un vendedor en la tienda online de este, se aplican las «Condiciones de privacidad para los clientes de una tienda online OIDO» y el AVV.

Principio: OIDO no hace seguimiento de visitantes individuales, no vende datos, no utiliza datos con fines publicitarios y no elabora perfiles.

Alojamiento y archivos de registro del servidor: el sitio web se aloja en Digitalpress.blog, con servidores en la UE. Al acceder, el servidor trata brevemente los datos técnicamente necesarios (dirección IP, fecha y hora, página visitada, información del navegador y del dispositivo). La base jurídica es el art. 6.1.f) del RGPD (funcionamiento seguro y estable).

Medición de audiencia con Plausible Analytics: utilizamos Plausible Analytics (Plausible Insights OÜ, Estonia) con servidores en la UE. Según el proveedor, el servicio funciona sin cookies y sin perfiles personales. Se registran las fuentes de referencia, las páginas visitadas, la duración de la visita, así como el tipo de dispositivo, el sistema operativo, el navegador y el país. La base jurídica es el art. 6.1.f) del RGPD (comprender las tendencias generales de uso).

Cookies y almacenamiento local: este sitio web solo utiliza almacenamientos técnicamente necesarios, por ejemplo el ajuste «modo oscuro» en el navegador. Estos son admisibles sin consentimiento (art. 22.2 LSSI). No se instalan cookies de terceros con fines publicitarios.

Contacto: cuando nos escribe por correo electrónico o por teléfono, tratamos los datos que nos facilita para responderle (art. 6.1.b) o f) del RGPD) y los suprimimos una vez resuelta la consulta, salvo que existan obligaciones legales de conservación.

Cita de asesoramiento: para reservar una cita de asesoramiento gratuita utilizamos Brevo Meetings (Brevo, antes Sendinblue SAS, París, Francia). Se tratan el nombre, el correo electrónico, la cita elegida y los datos facilitados voluntariamente. La base jurídica es el art. 6.1.b) del RGPD (medidas precontractuales). Con Brevo existe un contrato de encargo del tratamiento.

Prueba, registro y ejecución del contrato (vendedores): para la versión de prueba y la suscripción tratamos el nombre, la empresa, la dirección, el NIF/NIF-IVA, el correo electrónico, los datos de facturación y los datos de uso de la cuenta. Las finalidades son la ejecución del contrato, la facturación, el soporte y el cumplimiento de obligaciones legales (art. 6.1.b) y c) del RGPD). El procesamiento de pagos se realiza a través de Stripe. Los plazos de conservación mercantiles y fiscales (en España, por lo general 6 años) no se ven afectados.

Enlaces a redes sociales y contenidos externos: los enlaces a Instagram, TikTok, LinkedIn, YouTube y Facebook son meros enlaces. Los datos solo se transmiten cuando hace clic en el enlace; entonces se aplica la política de privacidad del proveedor correspondiente. Si se incrustan vídeos de YouTube, la incrustación se realiza en modo de privacidad mejorada (youtube-nocookie.com) y solo tras hacer clic.

Destinatarios y transferencias a terceros países: los destinatarios son nuestros proveedores de servicios (alojamiento, Plausible, Brevo, Stripe) en el marco del correspondiente encargo del tratamiento o procesamiento de pagos, así como las autoridades, cuando exista obligación legal. Solo se realizan transferencias a terceros países con garantías adecuadas (p. ej., cláusulas contractuales tipo de la UE o Marco de Privacidad de Datos UE-EE. UU.).

Sus derechos: tiene derecho de acceso (art. 15 del RGPD), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad de los datos (art. 20) y oposición (art. 21), así como a retirar en cualquier momento los consentimientos otorgados. Dirija sus solicitudes a oido@oido.me.

Derecho a presentar una reclamación: puede presentar una reclamación ante una autoridad de protección de datos, en particular ante la Agencia Española de Protección de Datos (AEPD), competente para OIDO, C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es, o ante la autoridad de su lugar de residencia.

Fecha: 6 de octubre de 2026

Condiciones de uso para los visitantes del sitio web

Este sitio web es la página principal de la oferta de software como servicio (SaaS) de OIDO y se dirige a clientes profesionales.

Toda la información se ha recopilado con el mayor cuidado y se actualiza de forma continua. Las entradas del blog son información de mercado y de contexto, así como artículos de opinión de sus respectivos autores, y no sustituyen el asesoramiento jurídico ni fiscal.

Fuentes de las imágenes: utilizamos fotografías de nuestro propio archivo e imágenes libres de derechos de Unsplash.com.

Todos los montajes de imágenes y contenidos están protegidos por derechos de autor y no pueden reproducirse ni copiarse sin autorización expresa por escrito.

© 2022–2026 OIDO order & pay systems, S.L.

OIDO® es una marca de la Unión Europea registrada en la Oficina de Propiedad Intelectual de la Unión Europea (EUIPO) (n.º 018623488).

Uso de la vista de cliente de la app de la tienda

Condiciones de privacidad para los clientes de una tienda online OIDO

Estas condiciones de privacidad estándar se aplican siempre que el vendedor no haya incluido en su tienda sus propias condiciones de privacidad.

¿Quién es el responsable? El responsable del tratamiento de sus datos en la tienda online es el vendedor al que usted compra. Sus datos de contacto figuran en la tienda, en «Contacto». OIDO order & pay systems, S.L. (OIDO) opera el software de la tienda como proveedor técnico de servicios y trata sus datos exclusivamente por cuenta del vendedor. Como cliente de la tienda, usted no establece ninguna relación comercial con OIDO. OIDO no utiliza sus datos para fines propios.

¿Qué datos, para qué y con qué base jurídica? La tienda puede utilizarse sin registro. Para tramitar su pedido, el vendedor trata los datos que usted facilita, p. ej. nombre, correo electrónico, teléfono, dirección de entrega y de facturación, productos pedidos y momento de recogida o entrega. La base jurídica es la ejecución del contrato (art. 6.1.b) del RGPD). Los datos de facturación y de pago se tratan para cumplir obligaciones legales (art. 6.1.c) del RGPD). Solo recibirá correos de marketing si da su consentimiento (art. 6.1.a) del RGPD); puede retirarlo en cualquier momento.

Con registro: si crea una cuenta de cliente, sus datos (p. ej. correo electrónico, pedidos, direcciones) se almacenan en la infraestructura en la nube de Google Cloud en Fráncfort del Meno (Alemania) y se utilizan para su comodidad en esta tienda. Sus datos no se comparten con otras tiendas ni se analizan con fines publicitarios ni se venden.

Destinatarios: sus datos solo los reciben los organismos necesarios para la tramitación: OIDO y los proveedores de servicios que OIDO emplea (Google Cloud para el alojamiento, Brevo/Sendinblue para el envío de correos de pedidos y del sistema), el proveedor de servicios de pago Stripe y, si el vendedor utiliza la función de mercado, los proveedores participantes en su pedido, en la medida en que preparen o entreguen los productos correspondientes.

Procesamiento de pagos: para el pago, Stripe necesita como mínimo sus datos de pago, así como su nombre y correo electrónico; según el país de origen del medio de pago, la ley puede exigir que se soliciten otros datos. Stripe trata estos datos en parte como responsable independiente. OIDO no utiliza los datos recabados por Stripe para fines propios. Condiciones de privacidad de Stripe: https://stripe.com/es/privacy.

Plazo de conservación: el vendedor conserva sus datos mientras sea necesario para la tramitación y, después, durante el tiempo que exijan los plazos de conservación mercantiles y fiscales (según la sede del vendedor, varios años; p. ej. en Alemania 8 o 10 años). Las cuentas de cliente se mantienen hasta que usted las elimine. Si el vendedor pone fin a su contrato con OIDO, OIDO devuelve los datos al vendedor en los plazos del contrato de encargo del tratamiento y a continuación los suprime.

Sus derechos: usted tiene derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos y oposición. Diríjase para ello al vendedor; OIDO le asiste en su tramitación. Además, puede presentar una reclamación ante la autoridad de protección de datos competente para el vendedor.

Cambios y consultas: OIDO puede actualizar estas condiciones para cumplir la normativa aplicable. Si tiene preguntas, diríjase al vendedor o a oido@oido.me.

Condiciones de uso para los clientes de una tienda online OIDO

El vendedor es el único responsable de los contenidos, las ofertas y la venta. Ofrece sus productos o servicios en su tienda online OIDO con sus propias condiciones. El contrato de compraventa se celebra exclusivamente entre usted y el vendedor. Los datos de contacto del vendedor figuran en la tienda, abajo a la derecha, en «Contacto».

OIDO order & pay systems, S.L. trata por cuenta del vendedor datos comerciales y de transacciones como proveedor técnico de servicios. Como cliente de la tienda, usted no establece ninguna relación comercial con OIDO.

En caso de discrepancias, diríjase al vendedor indicado en el recibo, la factura o la confirmación del pedido.

Notificación de contenidos ilícitos (Ley de Servicios Digitales): si encuentra en una tienda online OIDO contenidos que considere ilícitos, puede notificarlo a oido@oido.me. Indique, por favor: (1) la dirección de Internet (URL) exacta del contenido, (2) una justificación de por qué el contenido es ilícito, (3) su nombre y su correo electrónico y (4) la declaración de que la información facilitada es, a su leal saber y entender, correcta y completa. OIDO acusa recibo, examina la notificación con diligencia e informa a usted y al vendedor afectado de la decisión y de las posibilidades de recurrirla.

Derecho de desistimiento

Para consumidores: si usted compra como consumidor en la tienda online de un vendedor, en los contratos a distancia tiene, en principio, un derecho de desistimiento de 14 días sin necesidad de justificación. En el caso de bienes, el plazo comienza con la recepción de la mercancía. Puede ejercer el desistimiento con un solo clic mediante la función de desistimiento de su confirmación de pedido, factura o recibo, o comunicar su decisión de forma inequívoca al vendedor. Es determinante la información sobre el desistimiento del vendedor.

No existe derecho de desistimiento, en particular (según la oferta del vendedor), en los siguientes casos:

  • bienes que puedan deteriorarse o caducar con rapidez (p. ej. frutas y verduras frescas como zanahorias, productos lácteos, pescado y carne frescos, productos de panadería frescos, comidas preparadas);
  • bienes confeccionados conforme a sus especificaciones o claramente personalizados (p. ej. una tarta con una inscripción personalizada);
  • bienes precintados que no sean aptos para su devolución por razones de protección de la salud o de higiene, si se han desprecintado tras la entrega;
  • el suministro de comidas y bebidas cuando se haya acordado una fecha o un período determinados para ello (p. ej. recogida o entrega en el momento elegido).

Los alimentos y bebidas de larga duración no están excluidos de forma general; puede existir un derecho de desistimiento mientras no se aplique ninguna de las exclusiones indicadas.

Para empresarios: no existe un derecho legal de desistimiento.

Nota para el vendedor: este texto es una información general y no sustituye la información sobre el desistimiento que el vendedor debe facilitar por sí mismo a sus consumidores.

Cambios y consultas

Podemos actualizar esta política cuando sea necesario para cumplir la normativa aplicable y tener en cuenta nuevas prácticas. Póngase en contacto con nosotros si tiene preguntas, comentarios o dudas sobre esta política de privacidad, sus datos o sus derechos en relación con su información.

Contratos básicos para vendedores (operadores de tiendas)

Aquí encontrará los contratos para la colaboración entre el vendedor y OIDO. El contrato principal es el contrato SaaS / de licencia; las cuestiones de protección de datos las regula el contrato de encargado del tratamiento (AVV). Para operar su tienda online OIDO debe aceptar ambos contratos.

Contrato SaaS / de licencia – ES

Contrato de prestación de servicios SaaS y licencia de uso entre OIDO order & pay systems s.l. (proveedor) y el titular de la tienda online (cliente).

1. Partes, objeto y servicios

El presente contrato se celebra entre OIDO order & pay systems, S.L., NIF B72461288, Avda. Comte Güell, 12, 08871 Sitges (Barcelona), España ("proveedor") y nombre del cliente, dirección, NIF/NIF-IVA ("cliente"). La oferta se dirige exclusivamente a empresarios y profesionales.

Objeto: puesta a disposición del software de tienda online en la nube OIDO tienda online en suscripción como software como servicio (SaaS) para su uso a través de Internet. El cliente opera con él su propia tienda online y vende a través de ella exclusivamente sus propios bienes y servicios a sus propios clientes. El proveedor no opera ningún marketplace. Si el cliente configura en su tienda, mediante la función de mercado, una oferta conjunta de varios proveedores, es el único responsable de sus contratos con los proveedores participantes y de sus propias obligaciones fiscales.

Alcance de los servicios: el proveedor pone a disposición del cliente el software en su versión vigente, con las funciones descritas en el paquete elegido (entre otras: tienda, gestión de pedidos, emisión de facturas, gestión de clientes y estadísticas). El alojamiento y la operación se realizan en la infraestructura en la nube de Google Cloud (centros de datos dentro de la UE). La incorporación (onboarding) por parte del proveedor es gratuita; el servicio adicional de configuración (Shopbuild) solo se presta previo encargo específico conforme a la cláusula 3.

Documentos contractuales: (1) este contrato, (2) la descripción de servicios/lista de precios del paquete elegido y (3) el contrato de encargado de tratamiento (AVV) con sus anexos. En caso de contradicción prevalecen en este orden; en materia de protección de datos prevalece el AVV.

2. Derecho de uso y obligaciones del cliente

Derecho de uso: el proveedor concede al cliente, durante la vigencia del contrato, un derecho simple, intransferible y no sublicenciable a utilizar el software en el alcance acordado para la operación de su propia tienda online. No existe derecho a la entrega del código fuente.

Obligaciones del cliente:

  1. Mantener en secreto sus datos de acceso y protegerlos frente a terceros; informar de inmediato al proveedor ante sospecha de uso indebido.
  2. Utilizar el software conforme a la legislación vigente y no publicar contenidos o productos ilícitos.
  3. Responsabilizarse de la exactitud de los datos de su tienda, productos, precios e impuestos. El cliente sigue siendo, como vendedor, responsable del cumplimiento de sus obligaciones mercantiles, fiscales, de consumo y alimentarias (p. ej. aviso legal, información precontractual, indicación de precios, alérgenos) y de la exactitud fiscal de las facturas emitidas mediante el software.
  4. Cumplir sus propias obligaciones legales de conservación (art. 30 Código de Comercio, Ley General Tributaria) y asegurar a tiempo una copia de sus datos antes de la finalización del contrato (véase la cláusula 4).
  5. No copiar el software, no aplicar ingeniería inversa, no ponerlo a disposición de terceros ajenos a su actividad y no realizar acciones que afecten a la estabilidad o seguridad de la plataforma.

Facturación y VERI*FACTU: el sistema de facturación integrado en el software funciona exclusivamente en la modalidad «VERI*FACTU», que resulta de aplicación en todo el territorio español con excepción de la Comunidad Foral de Navarra y del País Vasco. Respecto de los clientes con domicilio fiscal en Navarra o en el País Vasco, territorios que cuentan con un sistema comparable, aunque ligeramente distinto («Verifactu Navarra» en Navarra y «TicketBAI» en el País Vasco), el software funciona únicamente como sistema de pedidos, sin emisión de facturas. La declaración responsable del sistema informático de facturación, conforme al Real Decreto 1007/2023 y a la Orden HAC/1177/2024, y el histórico de las declaraciones de las distintas versiones están disponibles en https://es.myownshopoido.com/verifactu-declaracion-responsable/.

En caso de incumplimiento culpable de estas obligaciones, el proveedor puede bloquear temporalmente el acceso en la medida necesaria para evitar daños, informando de inmediato al cliente.

3. Precio, pago y servicio de incorporación

Precio periódico: el cliente elige al contratar una de las suscripciones ofrecidas. Los precios resultan de la lista de precios vigente en el momento del pedido, disponible en https://es.myownshopoido.com/precios/ (siempre más IVA legal). Las suscripciones Mini, Small y Medium incluyen todas las funciones de la tienda online OIDO y se diferencian por el número de pedidos (transacciones) procesados al mes: Mini 50, Small 250, Medium 1.000. El cupo no utilizado no se acumula para los meses siguientes y caduca al final del mes. Si el cliente supera el cupo de su suscripción, el proveedor se lo comunicará. En caso de superación considerable o reiterada, el proveedor podrá suspender la posibilidad de realizar pedidos tras una advertencia previa. Si el cliente cambia a una suscripción superior, esta se activa de inmediato. No existe derecho al procesamiento de pedidos por encima del cupo; la tolerancia temporal de una superación no genera tal derecho. La suscripción Catalog sirve exclusivamente para presentar el catálogo como carta online o catálogo de productos, sin posibilidad de pedido. El cliente puede elegir entre pago mensual o anual; el precio vence por adelantado para el período elegido y se cobra a través del proveedor de pagos Stripe mediante tarjeta de credito o domiciliación SEPA. La configuración y las pruebas de la tienda son gratuitas; la obligación de pago comienza con la activación de la suscripción de pago. Las facturas se ponen a disposición por vía electrónica.

Incorporación: la configuración básica de la tienda es gratuita. El servicio opcional Shopbuild (creación de la tienda e incorporación de productos por el proveedor) solo se presta a petición del cliente, por el precio único indicado en el pedido de 300 € más IVA, pagadero al contratarlo.

Demora en el pago: en caso de impago, el proveedor podrá bloquear el acceso tras un requerimiento previo con plazo razonable (mín. 14 días); la obligación de pago subsiste. Quedan a salvo los intereses de demora y costes legales. Si el pago sigue sin realizarse tras vencer el plazo fijado en el requerimiento, el proveedor podrá resolver el contrato de forma extraordinaria por escrito; el impago por sí solo no se considera resolución. Con la efectividad de la resolución comienza el plazo para la puesta a disposición de la exportación de datos conforme a la cláusula 6 del AVV. La exportación no se supedita al pago de importes pendientes. Antes de la supresión definitiva de los datos, el proveedor avisará de nuevo al cliente por escrito.

Modificación de precios: el proveedor podrá modificar el precio con un preaviso mínimo de 30 días por escrito. En ese caso el cliente podrá resolver el contrato con efectos en la fecha de entrada en vigor del cambio. Si no lo hace, el cambio se entiende aceptado.

4. Duración, cancelación y exportación de datos al finalizar

Duración y cancelación: el contrato comienza con el pedido y la activación del acceso y se celebra por tiempo indefinido. La posibilidad de cancelación depende del intervalo de pago elegido: con pago mensual, cualquiera de las partes puede cancelar el contrato con efectos al final del mes de facturación en curso; con pago anual, con efectos al final del año de facturación en curso. La cancelación puede comunicarse por escrito o mediante la función prevista en la cuenta del cliente. Queda a salvo el derecho de resolución por causa grave.

Exportación de datos al finalizar: el cliente puede exportar sus datos (datos de tienda, pedidos, clientes y facturas con trascendencia fiscal) en un formato legible por máquina antes y después de la finalización del contrato. Los detalles, en particular los plazos para la puesta a disposición de la exportación, el plazo de transición y la posterior supresión irreversible, se regulan en la cláusula 6 del AVV. El cliente sigue siendo el único responsable de cumplir sus obligaciones legales de conservación también tras la finalización del contrato.

Efectos de la finalización: con el fin del contrato se extingue el derecho de uso, la tienda se desactiva y el acceso se bloquea. El precio ya abonado del período de facturación en curso no se reembolsa proporcionalmente, salvo que la cancelación se base en una causa grave imputable al proveedor.

5. Disponibilidad, soporte, protección de datos y cobros con Stripe

Disponibilidad: el proveedor garantiza una disponibilidad del software del 98 % de media mensual. Quedan excluidos los trabajos de mantenimiento programados (preferiblemente fuera del horario comercial habitual y con preaviso razonable) y las interrupciones ajenas a la esfera de control del proveedor (p. ej. fallos de terceros o fuerza mayor).

Soporte y evolución: el proveedor presta soporte por correo electrónico, videoconsulta o centro de ayuda en días laborables y en horario comercial habitual. Podrá evolucionar el software y modificar funciones, siempre que se mantenga el alcance esencial pactado. Los cambios en la normativa legal pueden exigir excepcionalmente modificaciones del alcance esencial; el proveedor informará de ello al cliente por escrito y, siempre que sea posible, con antelación.

Protección de datos: en la medida en que el proveedor trate datos personales por cuenta del cliente, se aplica el contrato de encargado de tratamiento (AVV), que forma parte de este contrato. El cliente sigue siendo responsable del tratamiento, en el sentido del RGPD, respecto de los datos de los clientes de su tienda.

Cobros mediante Stripe: los pagos de los clientes finales del cliente se procesan a través de Stripe Connect. Para ello el cliente celebra un contrato propio con Stripe (Stripe Connected Account Agreement) y recibe los pagos directamente en su cuenta de Stripe. El proveedor no es proveedor de servicios de pago ni parte en el procesamiento de los pagos y no responde de servicios, incidencias ni decisiones de Stripe (p. ej. bloqueos de cuenta o comisiones). El cliente es responsable del cumplimiento de las condiciones de Stripe.

6. Responsabilidad, confidencialidad y disposiciones finales

Responsabilidad: el proveedor responde sin limitación en caso de dolo o negligencia grave, por lesiones a la vida, la integridad física o la salud y conforme a las disposiciones legales imperativas. En caso de negligencia leve en el incumplimiento de obligaciones esenciales del contrato, la responsabilidad se limita al daño previsible y típico del contrato, con un máximo de el precio abonado en los últimos 12 meses. Por lo demás, se excluye la responsabilidad por negligencia leve. Por lucro cesante y daños indirectos el proveedor solo responde conforme a esta regulación. El cliente es corresponsable de la copia de seguridad de sus datos mediante exportaciones periódicas.

Confidencialidad: ambas partes tratarán con estricta confidencialidad la información confidencial de la otra parte a la que accedan en el marco de este contrato y la utilizarán solo para su ejecución. Esta obligación subsiste tras la finalización del contrato.

Disposiciones finales: las modificaciones y adiciones requieren forma escrita. Si alguna disposición resultara nula, el contrato seguirá siendo válido en lo demás y se sustituirá la disposición nula por otra válida que más se aproxime a su finalidad económica. Este contrato se rige por la legislación española. Los tribunales competentes serán los del domicilio del proveedor, en la medida en que la ley lo permita. El AVV forma parte integrante de este contrato.

Contrato de Encargado de Tratamiento (AVV)

Contrato de encargo de tratamiento conforme al art. 28 RGPD y la LOPDGDD entre el titular de la tienda online (responsable del tratamiento) y el proveedor SaaS OIDO order & pay systems s.l. (encargado del tratamiento).

1. Partes, objeto y duración

El presente contrato de encargo de tratamiento regula los derechos y obligaciones de [Nombre del titular de la tienda online], [dirección] ("responsable del tratamiento") y OIDO order & pay systems s.l., CIF B72461288, Avda. Comte Güell, 12, 08871 Sitges (Barcelona), España ("encargado del tratamiento") en relación con el tratamiento de datos personales derivado del uso de la plataforma de comercio electrónico OIDO tienda online. Desarrolla las obligaciones del art. 28 RGPD y de la LOPDGDD, y forma parte del contrato principal (contrato SaaS/de licencia de fecha [fecha]).

Objeto: alojamiento, operación y almacenamiento de los datos de la tienda, pedidos, pagos y clientes del responsable en la plataforma SaaS del encargado, incluido el registro de datos financieros con trascendencia contable y fiscal (facturas, justificantes de pago, historiales de pedidos).

Sistema informático de facturación (VERI*FACTU): el sistema de facturación integrado en la plataforma del encargado funciona exclusivamente en la modalidad «VERI*FACTU», que resulta de aplicación en todo el territorio español con excepción de la Comunidad Foral de Navarra y del País Vasco. Respecto de los vendedores (titulares de tienda) con domicilio fiscal en la Comunidad Foral de Navarra o en el País Vasco, territorios que cuentan con un sistema comparable, aunque ligeramente distinto («Verifactu Navarra» en Navarra y «TicketBAI» en el País Vasco), la plataforma funciona únicamente como sistema de pedidos, sin emisión de facturas. Su productor, OIDO order & pay systems s.l. (NIF B72461288), ha suscrito la declaración responsable del sistema informático de facturación conforme al Real Decreto 1007/2023, de 5 de diciembre, y a la Orden HAC/1177/2024, de 17 de octubre. La declaración responsable y el histórico de las declaraciones de las distintas versiones del sistema están disponibles en https://es.myownshopoido.com/verifactu-declaracion-responsable/. Respecto de los vendedores con domicilio fiscal fuera de Navarra y del País Vasco, los registros de facturación generados por la plataforma se remiten a la Agencia Estatal de Administración Tributaria (AEAT) en cumplimiento de una obligación legal del responsable (art. 6.1.c RGPD), siguiendo sus instrucciones; la AEAT figura como destinataria de dichos datos.

Duración: este contrato tiene la misma vigencia que el contrato principal. Respecto de los datos sujetos a obligaciones legales de conservación (art. 30 Código de Comercio, Ley General Tributaria), lo dispuesto en la cláusula 6 (devolución/supresión de datos) permanecerá vigente tras la extinción del contrato principal.

2. Naturaleza, finalidad, interesados y datos

Finalidad: prestación y explotación del software de tienda online como SaaS, incluyendo procesamiento de pagos, gestión de pedidos, facturación y archivo con valor probatorio.

Categoría de interesados Categorías de datos
Clientes de la tienda online Nombre, dirección, email, teléfono, datos de pago, historial de pedidos
Empleados del responsable Credenciales de acceso, registros de inicio de sesión
Contactos de proveedores de pago IDs de transacción, estado del pago

Los datos financieros (facturas, justificantes de pago, confirmaciones de pedido) se tratan y conservan también para los fines mercantiles y fiscales del responsable (art. 30 Código de Comercio, Ley General Tributaria).

3. Obligaciones del encargado (art. 28.3 RGPD)

El encargado se compromete a:

  1. Tratar los datos únicamente siguiendo instrucciones documentadas del responsable (art. 28.3.a), incluidas las transferencias a terceros países.
  2. Garantizar que las personas autorizadas para tratar los datos se comprometan a la confidencialidad (art. 28.3.b).
  3. Adoptar todas las medidas técnicas y organizativas exigidas por el art. 32 RGPD, en particular: cifrado, control de accesos, registro de actividad, inalterabilidad de los datos con trascendencia fiscal, documentación del sistema y copias de seguridad periódicas (art. 28.3.c). Detalle en el Anexo 1 – Medidas técnicas y organizativas.
  4. Respetar las condiciones para la subcontratación de otros encargados conforme a la cláusula 4 (art. 28.3.d).
  5. Asistir al responsable, mediante medidas técnicas y organizativas adecuadas, en el cumplimiento de su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados (art. 28.3.e).
  6. Ayudar al responsable a garantizar el cumplimiento de las obligaciones de los arts. 32 a 36 RGPD (art. 28.3.f).
  7. Suprimir o devolver, a elección del responsable, todos los datos una vez finalizada la prestación de los servicios, salvo obligación legal de conservación (art. 28.3.g, ver cláusula 6).
  8. Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías (art. 28.3.h, ver cláusula 5).

4. Subencargados, ubicación de los datos y transferencias internacionales

Subencargados: el encargado solo podrá recurrir a otros encargados (p. ej. hosting, pasarelas de pago, copias de seguridad) con autorización previa, general o específica, del responsable. Los subencargados actuales figuran en el Anexo 2; cualquier cambio se comunicará con antelación razonable (mín. 30 días), pudiendo el responsable oponerse.

Ubicación de los datos: el tratamiento se realiza en centros de datos situados dentro de la Unión Europea / Espacio Económico Europeo (UE/EEE). Las ubicaciones concretas figuran en el Anexo 2. No es necesario que los datos se almacenen en España.

Un traslado a un tercer país fuera de la UE/EEE requiere el consentimiento previo del responsable y exige (a) garantías adecuadas conforme a los arts. 44 y ss. RGPD (p. ej. cláusulas contractuales tipo) y (b) que el acceso electrónico de la Administración tributaria a los datos quede garantizado en todo momento.

El encargado garantiza en todo caso que los datos con trascendencia fiscal permanecerán inalterables, íntegros y disponibles durante el plazo legal de conservación aplicable (con carácter general, 6 años conforme al art. 30 del Código de Comercio).

5. Derecho de auditoría, asistencia y notificación de brechas de seguridad

Derecho de auditoría: el responsable podrá verificar el cumplimiento de este contrato antes del inicio de la prestación y, posteriormente, con periodicidad razonable, por ejemplo mediante la solicitud de informes de auditoría o auditorías presenciales con aviso previo razonable (mín. 14 días), a su propio cargo.

Asistencia: el encargado asistirá al responsable en la atención de solicitudes de los interesados (acceso, rectificación, supresión, portabilidad), así como en las evaluaciones de impacto y consultas previas a la autoridad de control.

Notificación de brechas de seguridad: el encargado notificará al responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes a tener conocimiento de ella, aportando toda la información necesaria para la notificación conforme al art. 33 RGPD.

6. Devolución/supresión de datos, responsabilidad y disposiciones finales

A la finalización del contrato principal, el encargado pondrá a disposición del responsable, en un plazo de 30 días, una exportación completa y explotable informáticamente de todos los datos (incluidos los justificantes con trascendencia fiscal y la documentación del sistema).

Respecto de los datos sujetos a plazos legales de conservación (art. 30 Código de Comercio: 6 años; Ley General Tributaria: 4 años), el encargado, a elección del responsable, (a) continuará conservándolos durante un plazo adicional de transición de 90 días, remunerado aparte, para permitir su recuperación, o (b) los suprimirá inmediatamente tras la exportación. Transcurrido el plazo de transición pactado, todos los datos serán suprimidos de forma irreversible, salvo obligación legal en contrario. La responsabilidad de garantizar el cumplimiento de sus propias obligaciones de conservación corresponde al responsable.

Responsabilidad: se aplica el régimen de responsabilidad del art. 82 RGPD; en las relaciones internas, cada parte responde de los daños que haya causado.

Disposiciones finales: las modificaciones requieren forma escrita. Este contrato se rige por la legislación española. Los tribunales competentes serán los del domicilio del encargado, en la medida en que la ley lo permita. Los Anexos 1 (medidas técnicas y organizativas) y 2 (subencargados) forman parte integrante de este contrato.

Anexo 1 – Medidas técnicas y organizativas (art. 32 RGPD)

Las siguientes medidas son formulaciones de ejemplo que el encargado debe adaptar al estado real de sus sistemas antes de la firma; las medidas no implantadas deben eliminarse y los datos entre corchetes completarse.

  • Control de acceso físico: Centros de datos dentro de la UE, operados por Google Cloud, con control de acceso, registro de visitas y videovigilancia (responsabilidad del operador del centro de datos); el encargado opera como organización virtual y no dispone de oficinas ni salas de servidores propias.
  • Control de acceso lógico: Cuentas de usuario individuales, Firebase Authentication, política de contraseñas robusta, autenticación de dos factores para administradores y cuentas de Google Cloud, bloqueo tras intentos fallidos; los datos personales se tratan exclusivamente en la infraestructura en la nube de Google Cloud y no se almacenan en ubicaciones locales. El acceso del personal es remoto mediante VPN; todos los dispositivos de trabajo están protegidos con autenticación biométrica y contraseña.
  • Control de acceso a los datos: Modelo de roles y permisos según el principio de necesidad de conocer (Google Cloud IAM, reglas de seguridad de Firebase), registro de los accesos de administración (registros de auditoría), revisión periódica de permisos.
  • Separación: Separación lógica de los datos de cada titular de tienda (multi-inquilino); separación de entornos de desarrollo, pruebas y producción.
  • Cifrado / seudonimización: Cifrado TLS en tránsito; cifrado de datos almacenados y copias de seguridad; seudonimización en accesos de soporte cuando sea posible.
  • Control de transmisión: Interfaces cifradas (API/HTTPS), documentación de destinatarios y vías de transmisión, sin cesión sin instrucción del responsable.
  • Control de entrada / inalterabilidad: Registro de alta, modificación y supresión de datos; archivo inalterable de justificantes con trascendencia fiscal y documentación del procedimiento.
  • Disponibilidad y resiliencia: Copias de seguridad periódicas [método, frecuencia, plazo de conservación], pruebas de restauración, infraestructura redundante de Google Cloud, plan de contingencia y recuperación, monitorización y gestión de parches.
  • Control del encargo: Selección y verificación diligente de subencargados (Anexo 2), contratos conforme al art. 28 RGPD, compromiso de confidencialidad y formación en protección de datos del personal.
  • Supresión y devolución: Política de supresión documentada con plazos, supresión segura de datos, exportación de datos a la finalización conforme a la cláusula 6.
  • Verificación y evaluación: Revisión de la eficacia de las medidas al menos una vez al año, procedimiento de respuesta a incidentes con notificación conforme a la cláusula 5; el encargado no dispone actualmente de certificaciones propias (p. ej. ISO 27001) y para la infraestructura se apoya en las certificaciones e informes de auditoría de Google Cloud.

Anexo 2 – proveedores de servicios (Subencargados autorizados)

Para prestar el servicio OIDO utilizamos los proveedores que se indican a continuación. Tratan datos personales únicamente por cuenta nuestra y siguiendo nuestras instrucciones, en virtud de un contrato de encargo del tratamiento (art. 28 del RGPD). Cuando los datos se tratan fuera de la UE o del EEE, la transferencia se basa en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea.

Si utiliza OIDO para su negocio, estos proveedores también tratan los datos de sus clientes que tratamos por cuenta de usted.

Google Cloud EMEA Limited (Google Firebase y Google Cloud), Irlanda

  • Finalidad: alojamiento de las aplicaciones de OIDO y de su tienda, base de datos, inicio de sesión, almacenamiento de archivos, funciones de servidor, registros y copias de seguridad, notificaciones push a la app del panel.
  • Datos: todos los datos tratados en OIDO. Entre ellos están los datos de la cuenta, el contenido de su tienda, los pedidos con el nombre y los datos de contacto y de entrega de sus clientes, las facturas, las direcciones IP y los identificadores de dispositivo.
  • Ubicación: UE: la base de datos en Bélgica y los Países Bajos, las funciones de servidor y sus registros en Bélgica, los archivos y las copias de seguridad en centros de datos dentro de la UE. Los inicios de sesión (correo electrónico y contraseña) los trata Google LLC en EE. UU.; la entrega de contenidos y las notificaciones push utilizan centros de datos de Google en todo el mundo. Las notificaciones push solo contienen el identificador del dispositivo y un texto general como «Nuevo pedido».

Stripe Payments Europe, Limited, Irlanda

  • Finalidad: pago de los pedidos de sus clientes en su propia cuenta de Stripe, reembolsos y tarjetas guardadas; facturación de su suscripción a OIDO; configuración de su cuenta de Stripe.
  • Datos: correo electrónico, nombre, datos de facturación y de pago de sus clientes, artículos e importes de los pedidos; sus datos de facturación. Los datos de la tarjeta se introducen directamente en Stripe y nunca llegan a OIDO.
  • Ubicación: UE, con transferencias a Stripe, Inc., EE. UU. Para algunos fines, como la prevención del fraude, Stripe actúa como responsable independiente (véase la política de privacidad de Stripe).

Sendinblue SAS (Brevo), Francia

  • Finalidad: envío de correos electrónicos: verificación, contraseña y bienvenida, confirmaciones y estado de los pedidos, tiques y facturas.
  • Datos: direcciones de correo electrónico y nombres de los destinatarios, y el contenido de los correos, incluidos los detalles del pedido y los tiques y facturas adjuntos.
  • Ubicación: UE.

IONOS SE, Alemania

  • Finalidad: almacenamiento del historial inalterable de cambios de sus datos con relevancia fiscal (pedidos, facturas, pagos, productos y ajustes), que la normativa fiscal exige conservar sin posibilidad de modificación.
  • Datos: cada versión de estos datos, con la indicación de quién la modificó. El correo electrónico, el teléfono, la dirección de entrega y las notas de sus clientes se eliminan antes de almacenar nada. El nombre y la dirección de facturación se conservan, porque la factura los necesita.
  • Ubicación: UE (Alemania: Fráncfort y Berlín).

Apple Distribution International Ltd., Irlanda

  • Finalidad: entrega de notificaciones push a la app del panel de OIDO en iPhone y iPad (Apple Push Notification service).
  • Datos: el identificador del dispositivo y el texto de la notificación, un texto general como «Nuevo pedido» sin datos personales.
  • Ubicación: UE y EE. UU.

Digital shift OÜ (Capgo), Estonia

  • Finalidad: actualizaciones de la app del panel de OIDO para iOS y Android.
  • Datos: un identificador de dispositivo aleatorio, la versión de la app y del sistema operativo, la dirección IP. Ningún dato de la cuenta.
  • Ubicación: UE.

Plausible Insights OÜ, Estonia

  • Finalidad: estadísticas de uso anónimas de nuestro sitio web y de las aplicaciones de OIDO en www.oido.me, sin cookies.
  • Datos: dirección IP e información del navegador. Solo se utilizan para calcular estadísticas anónimas y no se almacenan.
  • Ubicación: UE (Alemania).

Anthropic PBC, EE. UU.

  • Finalidad: traducción automática del contenido de su tienda con el modelo de IA Claude, si la activa; y, cuando a petición suya nuestro equipo crea su carta a partir de su sitio web actual, el análisis de ese sitio. Anthropic no utiliza estos datos para entrenar sus modelos.
  • Datos: los textos que se traducen (nombres y descripciones de productos, categorías y opciones, avisos, los textos de sus páginas e historias) y, para la importación de la carta, el contenido públicamente accesible de su sitio web. Pueden incluir nombres, direcciones y números de teléfono, por ejemplo de su aviso legal o de sus páginas.
  • Ubicación: EE. UU.

Actualizaremos esta lista cada vez que añadamos o sustituyamos un proveedor.