Contrato de encargo de tratamiento

Contrato celebrado entre cada tienda asociada y Emelva, aceptado en línea al crear la cuenta de tienda · versión 2026-08-05-sasu.

Cuando una clienta crea su silueta en una tienda asociada, es la tienda quien decide recoger esa foto y con qué finalidad: es la responsable del tratamiento. Emelva se limita a tratar esos datos por su cuenta: somos el encargado del tratamiento. El artículo 28.3 del RGPD exige que esta relación se regule mediante un contrato escrito — ese es el objeto del presente documento.

Entre los abajo firmantes

El responsable del tratamiento — en adelante, «la Tienda»: el comercio identificado al crear su cuenta Emelva (denominación, ciudad y número SIREN/SIRET o identificador de sociedad introducidos al darse de alta), representado por la persona que crea la cuenta.

El encargado del tratamiento — en adelante, «Emelva»: Emelva, société par actions simplifiée unipersonnelle con un capital de 1000 €, en curso de inscripción en el Registro Mercantil (RCS) de Compiègne, con domicilio social en 9 rue Notre-Dame de Bon Secours, 60200 Compiègne, France. Número SIREN y número de IVA intracomunitario en curso de asignación. Contacto para cuestiones de datos personales: hello@emelva.com.

Artículo 1 — Objeto

El presente contrato define las condiciones en las que Emelva trata, por cuenta de la Tienda y siguiendo sus instrucciones, los datos personales necesarios para prestar el servicio de prueba virtual Emelva. Se aplica durante todo el tiempo de utilización del servicio y prevalece, en materia de protección de datos, sobre cualquier estipulación contraria.

Artículo 2 — Descripción del tratamiento

Naturaleza y finalidad. Permitir a las clientas de la Tienda probarse virtualmente las prendas de su catálogo a partir de una fotografía que ellas facilitan, conservar los resultados obtenidos, intercambiar mensajes con la Tienda y facilitar a la Tienda estadísticas de uso de su colección.

Duración. El tiempo de la relación contractual, ampliado con los plazos de conservación del artículo 8.

Categorías de interesados. Las clientas de la Tienda registradas en el servicio; la gerente y los miembros de su equipo con acceso.

Categorías de datos tratados.

Punto de atención. Las fotografías de personas son datos personales ordinarios mientras no se realice ningún tratamiento de identificación biométrica. Emelva no realiza ningún reconocimiento facial, ninguna plantilla biométrica ni ninguna identificación automatizada: las imágenes sirven únicamente para producir un resultado visual solicitado por la propia persona. Este límite es constitutivo del servicio y su evolución sería objeto de una adenda.

Artículo 3 — Instrucciones documentadas

Emelva trata los datos únicamente siguiendo instrucciones documentadas de la Tienda. Constituyen tales instrucciones: el presente contrato, las condiciones generales del servicio y la configuración realizada por la Tienda en su espacio. Si Emelva considera que una instrucción infringe el RGPD, informa a la Tienda sin demora. Si una obligación legal le exige tratar más allá de las instrucciones recibidas, informa a la Tienda antes del tratamiento, salvo prohibición legal.

Artículo 4 — Confidencialidad

Emelva vela por que las personas autorizadas a tratar los datos estén sujetas a una obligación de confidencialidad y reciban la formación necesaria. El acceso a los datos de una Tienda está técnicamente compartimentado: cada lectura se filtra por el identificador de la tienda de la sesión. Es posible un acceso de asistencia a la cuenta de una Tienda («impersonation») para el soporte; queda registrado, se señala en pantalla mediante un banner permanente y no permite ni cambiar la contraseña ni acceder al soporte interno.

Artículo 5 — Seguridad (artículo 32)

Emelva aplica las siguientes medidas, actualmente en vigor:

• cifrado en tránsito de todas las comunicaciones (HTTPS) y en la base de datos (cifrado en reposo garantizado por el proveedor de alojamiento);
• fotografías almacenadas fuera de la aplicación, en un espacio privado sin acceso público; toda lectura pasa por una URL firmada que caduca en una hora, y toda subida por una URL firmada que caduca en diez minutos, cuyo tamaño exacto está firmado;
• verificación del contenido subido (tipo real del archivo, límite de tamaño) antes de cualquier uso;
• contraseñas almacenadas con hash (scrypt con sal) — nunca en claro, nunca reversibles;
• limitación de los intentos de autenticación, contabilizada en la base de datos;
• sesiones firmadas y revocables; la revocación de una vendedora es efectiva en la siguiente petición;
• registro de los incidentes que afectan a los datos o a la facturación, con alerta al operador;
• copia de seguridad semanal de la base, conservada 90 días, y restauración a un instante dado ofrecida por el proveedor sobre las últimas 24 horas.

Estas medidas evolucionan con el estado de la técnica; su nivel de protección no se verá reducido.

Artículo 6 — Subencargados

La Tienda autoriza a Emelva a recurrir a los subencargados enumerados a continuación. Emelva informa a la Tienda de toda incorporación o sustitución con al menos treinta días de antelación, por escrito. La Tienda puede oponerse por un motivo razonable relativo a la protección de datos; a falta de acuerdo, puede resolver sin penalización.

Emelva impone contractualmente a cada uno obligaciones equivalentes a las del presente contrato y sigue siendo plenamente responsable de su ejecución frente a la Tienda.

Artículo 7 — Transferencias fuera de la Unión Europea

La base de datos está alojada en la Unión Europea. La generación de los resultados implica una transferencia de las imágenes a proveedores establecidos en Estados Unidos (OpenAI, FASHN AI, Seedance), durante el tiempo estrictamente necesario para producir el resultado solicitado. Estas transferencias están amparadas por las cláusulas contractuales tipo de la Comisión Europea (decisión 2021/914) y, para los proveedores que se acogen a él, por el marco UE–EE. UU. de protección de datos (Data Privacy Framework). No se realiza ninguna otra transferencia fuera de la Unión Europea. La Tienda informa a sus clientas de estas transferencias; la política de privacidad publicada por Emelva las describe y le es oponible.

Artículo 8 — Plazos de conservación y destino de los datos

• cuenta de clienta: hasta su supresión por la persona, o tras 24 meses de inactividad;
• fotografía de silueta: suprimida del almacenamiento al sustituirse o al eliminarse la cuenta;
• resultados de prueba: conservados mientras la persona los conserve; los resultados guardados en caché para evitar recalcular una misma prueba se conservan bajo una clave técnica que no permite identificar a la persona;
• datos de facturación de la Tienda: diez años (obligación contable);
• registros técnicos: doce meses como máximo.

Al finalizar el contrato, a elección de la Tienda expresada en un plazo de treinta días: devolución de los datos en un formato estructurado y legible por máquina, o supresión. A falta de instrucción, supresión al término de dicho plazo, salvo conservación impuesta por la ley. Las copias de seguridad se borran según su propio ciclo (90 días como máximo).

Artículo 9 — Asistencia a la Tienda

Emelva asiste a la Tienda, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento:

• derechos de los interesados: el servicio permite a cada clienta ejercer directamente, desde su espacio, su derecho de acceso (exportación completa de sus datos) y su derecho de supresión (eliminación de la cuenta y de las imágenes). Para toda solicitud dirigida a la Tienda que esta no pudiera atender por sí sola, Emelva responde en un plazo de cinco días hábiles;
• seguridad, notificación de violaciones, evaluación de impacto (artículos 32 a 36): Emelva facilita la información de que dispone.

Artículo 10 — Violación de datos

Emelva notifica a la Tienda toda violación de datos personales en un plazo de cuarenta y ocho horas desde que tiene conocimiento de ella, por correo electrónico al contacto declarado, indicando: la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Corresponde a la Tienda, como responsable del tratamiento, notificar a la autoridad de control y, en su caso, a los interesados.

Artículo 11 — Registro, información y auditoría

Emelva lleva el registro de las categorías de actividades de tratamiento realizadas por cuenta de la Tienda (artículo 30.2) y pone a su disposición, a petición, la información necesaria para demostrar el cumplimiento del artículo 28. La Tienda puede realizar una auditoría, una vez al año, con un preaviso razonable, a cargo de la parte solicitante, en condiciones que preserven la confidencialidad de los datos de las demás tiendas.

Artículo 12 — Responsabilidad y duración

Cada parte responde de los daños causados por un tratamiento que infrinja el RGPD, en las condiciones de su artículo 82. El presente contrato surte efecto desde su aceptación y permanece en vigor durante todo el tiempo de utilización del servicio, así como para las obligaciones que le sobreviven (artículos 4, 8 y 10).

Aceptación

El presente contrato se acepta en línea, al crear la cuenta de tienda, por la persona facultada para representar a la Tienda. La aceptación queda con fecha y hora y se conserva junto con la versión aceptada del contrato (2026-08-05-sasu); equivale a firma en el sentido del artículo 28.9 del RGPD (forma electrónica).