Privacidad de la aplicación para Shopify

1. Para qué existe la aplicación

Envasify calcula la declaración anual de envases que el Real Decreto 1055/2022 obliga a presentar ante el MITECO: los kilos de envase por material que una empresa ha puesto en el mercado español durante un año natural.

Quien instala la aplicación es el responsable del tratamiento de los datos de su tienda. Envasify actúa como encargado: trata esos datos por cuenta del comerciante, siguiendo sus instrucciones y para ninguna finalidad propia. Las condiciones completas de esa relación están en el Acuerdo de Tratamiento de Datos.

2. Qué datos leemos de la tienda

De cada pedido del año declarado leemos exactamente esto:

• Fecha de creación — para situar el pedido en el año natural.
• Si está cancelado o reembolsado — para excluirlo, porque comercialmente no ocurrió.
• Código de país del envío — para decidir si el envase se puso en el mercado español.
• Líneas del pedido: cantidad, producto y variante — para multiplicar unidades por el envase configurado.

El código de país es el único dato relacionado con un comprador que leemos. No leemos, ni recibimos, ni almacenamos el nombre, el correo electrónico, el teléfono, la calle, la ciudad ni el código postal de nadie. La consulta que enviamos a Shopify pide únicamente el código de país y ningún otro campo de la dirección.

3. Qué hacemos con el código de país

Se compara con «ES». Si coincide, las líneas de ese pedido suman a la declaración; si no, el pedido se excluye y se cuenta aparte, para que el comerciante pueda ver cuánto quedó fuera y por qué.

Un pedido sin dirección de envío se excluye, no se supone español. No inferimos un país que no nos han dado.

4. Qué se guarda, y qué no

El código de país se usa durante el cálculo y no se almacena. Lo que queda guardado es el resultado agregado:

• kilos por material y por sistema colectivo (SCRAP);
• totales del año;
• cuántos pedidos entraron y cuántos se excluyeron, con el motivo;
• el detalle por producto o variante, que es lo que necesita el archivo oficial.

Ninguno de esos registros contiene identificadores de pedido ni de comprador, así que una declaración exportada no puede rastrearse hasta una persona.

También guardamos los datos que el propio comerciante introduce: su NIF, razón social y domicilio como productor, y la configuración de envases de sus productos. Son datos de empresa; en el caso de un empresario individual, también datos personales suyos.

5. Base jurídica

El tratamiento responde a una obligación legal del comerciante (Real Decreto 1055/2022), no a su consentimiento ni al de sus clientes. Envasify actúa como encargado del tratamiento por cuenta del comerciante, que es el responsable.

6. Cuánto tiempo se conserva

No hay nada personal de compradores que conservar, porque no se almacena.

Los datos del comerciante se conservan mientras tenga la aplicación instalada, y también después: una declaración presentada debe poder defenderse ante una inspección posterior. Al desinstalar se borran de inmediato las credenciales de acceso. Shopify nos envía además una orden de borrado de la tienda unas 48 horas después de la desinstalación, y al recibirla se borra todo lo que guardamos de ese comerciante.

La configuración de envases de los productos no vive en nuestros servidores, sino en la propia tienda, en sus metadatos, que siguen siendo del comerciante y editables por él aunque desinstale la aplicación.

7. Seguridad

• La comunicación con Shopify va cifrada (TLS).
• Las credenciales que custodiamos se cifran con AES-256-GCM, con la clave guardada fuera de la base de datos.
• Los entornos de desarrollo y de producción están separados, en bases de datos distintas.
• Minimización: la consulta a Shopify pide un único campo de la dirección, el país, y ninguno de los demás.

8. Con quién compartimos datos

Con un único proveedor de infraestructura: Railway Corporation, donde se ejecuta la aplicación y se aloja su base de datos, en su región de la Unión Europea (Ámsterdam). Al ser Railway una entidad estadounidense, cualquier transferencia se ampara en las garantías adecuadas que prevé el RGPD, mediante cláusulas contractuales tipo aprobadas por la Comisión Europea.

No compartimos datos con nadie más por defecto, y en ningún caso para publicidad, elaboración de perfiles, entrenamiento de modelos ni venta a terceros.

El comerciante puede activar voluntariamente una conexión con su gestoría, y en ese caso enviamos las cifras agregadas de envases —nunca datos de compradores— al servidor cuya dirección introduce él mismo. Está desactivada hasta que la configura.

9. Derechos

Si un comprador ejerce sus derechos ante el comerciante, la respuesta por nuestra parte es que no guardamos ningún dato personal suyo. Atendemos las solicitudes de acceso y de supresión que Shopify nos remite, así como la orden de borrado de la tienda.

El comerciante puede ejercer sus propios derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a info@envasify.com. También puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

10. Contacto

Adrián Serra Navarrete — NIF 29208373Y

Santos Justo y Pastor 53, Valencia, España

info@envasify.com

Última actualización: 9 de septiembre de 2026