ACUERDO DE TRATAMIENTO DE DATOS PERSONALES BOKS

Actualización: 08 de julio de 2026

- SECCIÓN I -

Cláusula 1 — Objeto y ámbito de aplicación

a) Las presentes cláusulas contractuales tipo (en lo sucesivo, las «cláusulas») tienen por objeto garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

b) Los responsables del tratamiento y los encargados del tratamiento enumerados en el anexo I han acordado estas cláusulas con el fin de garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679.

c) Las presentes cláusulas se aplican al tratamiento de datos personales tal como se describe en el anexo II.

d) Los anexos I a IV forman parte integrante de las cláusulas.

e) Las presentes cláusulas se entienden sin perjuicio de las obligaciones a las que está sujeto el responsable del tratamiento en virtud del Reglamento (UE) 2016/679.

f) Las presentes cláusulas no bastan por sí solas para garantizar el cumplimiento de las obligaciones relativas a las transferencias internacionales de conformidad con el capítulo V del Reglamento (UE) 2016/679.

Cláusula 2 — Invariabilidad de las cláusulas

a) Las partes se comprometen a no modificar las cláusulas, salvo para añadir información a los anexos o actualizar la información que figura en ellos.

b) Ello no impide a las partes incluir las cláusulas contractuales tipo establecidas en las presentes cláusulas en un contrato más amplio, ni añadir otras cláusulas o garantías adicionales, siempre que estas no contradigan, directa o indirectamente, las cláusulas ni menoscaben las libertades y los derechos fundamentales de los interesados.

Cláusula 3 — Interpretación

a) Cuando en las cláusulas se utilicen términos definidos, respectivamente, en el Reglamento (UE) 2016/679, dichos términos tendrán el mismo significado que en dicho Reglamento.

b) Las presentes cláusulas deben leerse e interpretarse a la luz de las disposiciones del Reglamento (UE) 2016/679.

c) Las presentes cláusulas no deben interpretarse de un modo que sea contrario a los derechos y obligaciones establecidos en el Reglamento (UE) 2016/679 ni de un modo que menoscabe las libertades o los derechos fundamentales de los interesados.

Cláusula 4 — Jerarquía

En caso de contradicción entre las presentes cláusulas y las disposiciones de los acuerdos conexos existentes entre las partes en el momento en que se acuerdan las presentes cláusulas o celebrados posteriormente, prevalecerán las presentes cláusulas.

- SECCIÓN II - OBLIGACIONES DE LAS PARTES

Cláusula 6 — Descripción del tratamiento o tratamientos

Los detalles de las operaciones de tratamiento, en particular las categorías de datos personales y las finalidades del tratamiento para las que los datos personales se tratan por cuenta del responsable del tratamiento, se especifican en el anexo II.

Cláusula 7 — Obligaciones de las partes

7.1. Instrucciones

a) El encargado del tratamiento tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable del tratamiento, salvo que esté obligado a ello en virtud del Derecho de la Unión o del Derecho del Estado miembro al que esté sujeto. En tal caso, el encargado del tratamiento informará al responsable del tratamiento de esa obligación jurídica antes del tratamiento, salvo que la ley se lo prohíba por razones importantes de interés público. El responsable del tratamiento también podrá dar instrucciones posteriores durante todo el tratamiento de los datos personales. Estas instrucciones deberán documentarse siempre.

b) El encargado del tratamiento informará inmediatamente al responsable del tratamiento si, en su opinión, una instrucción dada por el responsable del tratamiento infringe el Reglamento (UE) 2016/679 u otras disposiciones del Derecho de la Unión o del Derecho de los Estados miembros en materia de protección de datos.

7.2. Limitación de la finalidad

El encargado del tratamiento tratará los datos personales únicamente para la finalidad o finalidades específicas del tratamiento, tal como se establezcan en el anexo II, salvo que reciba instrucciones adicionales del responsable del tratamiento.

7.3. Duración del tratamiento de los datos personales

El tratamiento por el encargado del tratamiento solo tendrá lugar durante el período especificado en el anexo II.

7.4. Seguridad del tratamiento

a) El encargado del tratamiento aplicará como mínimo las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales. Entre estas medidas figura la protección de los datos contra toda violación de la seguridad que ocasione, de manera accidental o ilícita, la destrucción, la pérdida, la alteración, la comunicación no autorizada de datos personales o el acceso no autorizado a dichos datos (violación de la seguridad de los datos personales). Al evaluar el nivel de seguridad adecuado, las partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y las finalidades del tratamiento, así como los riesgos para los interesados.

b) El encargado del tratamiento concederá acceso a los datos personales objeto de tratamiento a los miembros de su personal únicamente en la medida estrictamente necesaria para la ejecución, la gestión y el seguimiento del contrato. El encargado del tratamiento garantizará que las personas autorizadas a tratar los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal apropiada de confidencialidad.

7.5. Datos sensibles

Si el tratamiento se refiere a datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como datos genéticos o datos biométricos con el fin de identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física, o datos relativos a condenas e infracciones penales («datos sensibles»), el encargado del tratamiento aplicará limitaciones específicas o garantías adicionales, o ambas.

7.6. Documentación y cumplimiento

a) Las partes deben poder demostrar el cumplimiento de las presentes cláusulas.

b) El encargado del tratamiento tramitará de manera rápida y adecuada las solicitudes del responsable del tratamiento relativas al tratamiento de los datos de conformidad con las presentes cláusulas.

c) El encargado del tratamiento pondrá a disposición del responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en las presentes cláusulas y que se derivan directamente del Reglamento (UE) 2016/679. A petición del responsable del tratamiento, el encargado del tratamiento también permitirá la realización de auditorías de las actividades de tratamiento cubiertas por las presentes cláusulas y contribuirá a ellas, a intervalos razonables o cuando existan indicios de incumplimiento. Al decidir sobre una revisión o auditoría, el responsable del tratamiento podrá tener en cuenta las certificaciones pertinentes en poder del encargado del tratamiento.

d) El responsable del tratamiento podrá optar por realizar él mismo la auditoría o encomendarla a un auditor independiente. Las auditorías también podrán incluir inspecciones en los locales o las instalaciones físicas del encargado del tratamiento y se efectuarán, en su caso, con un preaviso razonable.

e) Las partes pondrán a disposición de la autoridad de control competente o de las autoridades de control competentes, cuando así lo soliciten, la información mencionada en la presente cláusula, incluidos los resultados de cualquier auditoría.

7.7. Recurso a otros encargados del tratamiento

El encargado del tratamiento dispone de la autorización general del responsable del tratamiento para la contratación de otros encargados del tratamiento sobre la base de una lista acordada. El encargado del tratamiento informará específicamente por escrito al responsable del tratamiento de todo cambio previsto en dicha lista mediante la incorporación o la sustitución de otros encargados del tratamiento con una antelación mínima de tres (3) meses, dando así al responsable del tratamiento tiempo suficiente para poder oponerse a tales cambios antes de la contratación del otro u otros encargados del tratamiento de que se trate. El encargado del tratamiento facilitará al responsable del tratamiento la información necesaria para permitirle ejercer su derecho de oposición.

b) Cuando el encargado del tratamiento recurra a otro encargado del tratamiento para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable del tratamiento), lo hará mediante un contrato que imponga a este otro encargado del tratamiento, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al encargado del tratamiento en virtud de las presentes cláusulas. El encargado del tratamiento garantizará que el otro encargado del tratamiento cumpla las obligaciones a las que él mismo está sujeto en virtud de las presentes cláusulas y del Reglamento (UE) 2016/679.

c) A petición del responsable del tratamiento, el encargado del tratamiento le facilitará una copia de dicho contrato celebrado con el otro encargado del tratamiento y de toda modificación posterior del mismo. En la medida necesaria para proteger los secretos comerciales u otra información confidencial, incluidos los datos personales, el encargado del tratamiento podrá expurgar el texto del contrato antes de facilitar una copia.

d) El encargado del tratamiento seguirá siendo plenamente responsable, ante el responsable del tratamiento, del cumplimiento de las obligaciones del otro encargado del tratamiento con arreglo al contrato celebrado con este. El encargado del tratamiento informará al responsable del tratamiento de todo incumplimiento por parte del otro encargado del tratamiento de sus obligaciones contractuales.

e) El encargado del tratamiento acordará con el otro encargado del tratamiento una cláusula de tercero beneficiario en virtud de la cual —en caso de que el encargado del tratamiento haya desaparecido de hecho, haya dejado de existir jurídicamente o haya devenido insolvente— el responsable del tratamiento tenga derecho a rescindir el contrato celebrado con el otro encargado del tratamiento y a ordenar a este otro encargado del tratamiento que suprima o devuelva los datos personales.

7.8. Transferencias internacionales

a) Toda transferencia de datos a un tercer país o a una organización internacional por el encargado del tratamiento se efectuará únicamente sobre la base de instrucciones documentadas del responsable del tratamiento o para cumplir un requisito específico del Derecho de la Unión o del Derecho del Estado miembro al que esté sujeto el encargado del tratamiento, y se realizará de conformidad con el capítulo V del Reglamento (UE) 2016/679.

b) El responsable del tratamiento acepta que, cuando el encargado del tratamiento recurra a otro encargado del tratamiento de conformidad con la cláusula 7.7 para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable del tratamiento) y esas actividades de tratamiento impliquen una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679, el encargado del tratamiento y el otro encargado del tratamiento podrán garantizar el cumplimiento del capítulo V del Reglamento (UE) 2016/679 utilizando las cláusulas contractuales tipo adoptadas por la Comisión con arreglo al artículo 46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan las condiciones de utilización de dichas cláusulas contractuales tipo.

Cláusula 8 — Asistencia al responsable del tratamiento

a) El encargado del tratamiento informará sin dilación al responsable del tratamiento de toda solicitud que haya recibido del interesado. No dará curso él mismo a dicha solicitud, salvo que haya sido autorizado a ello por el responsable del tratamiento.

b) El encargado del tratamiento asistirá al responsable del tratamiento en el cumplimiento de su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados, teniendo en cuenta la naturaleza del tratamiento. En el cumplimiento de sus obligaciones con arreglo a las letras a) y b), el encargado del tratamiento se atendrá a las instrucciones del responsable del tratamiento.

c) Además de la obligación del encargado del tratamiento de asistir al responsable del tratamiento con arreglo a la cláusula 8, letra b), el encargado del tratamiento asistirá asimismo al responsable del tratamiento para garantizar el cumplimiento de las siguientes obligaciones, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado del tratamiento:

1) la obligación de llevar a cabo una evaluación del impacto de las operaciones de tratamiento previstas en la protección de los datos personales («evaluación de impacto relativa a la protección de datos») cuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas;

2) la obligación de consultar a la autoridad de control competente o a las autoridades de control competentes antes del tratamiento cuando una evaluación de impacto relativa a la protección de datos indique que el tratamiento entrañaría un alto riesgo si el responsable del tratamiento no tomara medidas para mitigar el riesgo;

3) la obligación de velar por que los datos personales sean exactos y estén actualizados, informando sin dilación al responsable del tratamiento si el encargado del tratamiento tiene conocimiento de que los datos personales que trata son inexactos o han quedado obsoletos;

4) las obligaciones establecidas en el artículo 32 del Reglamento (UE) 2016/679.

d) Las partes establecerán en el anexo III las medidas técnicas y organizativas apropiadas mediante las cuales el encargado del tratamiento está obligado a asistir al responsable del tratamiento en la aplicación de la presente cláusula, así como el ámbito y el alcance de la asistencia requerida.

Cláusula 9 — Notificación de violaciones de la seguridad de los datos personales

En caso de violación de la seguridad de los datos personales, el encargado del tratamiento cooperará con el responsable del tratamiento y le asistirá para que este pueda cumplir las obligaciones que le incumben en virtud de los artículos 33 y 34 del Reglamento (UE) 2016/679, según el que sea aplicable, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado del tratamiento.

9.1. Violación de la seguridad de los datos en relación con datos tratados por el responsable del tratamiento

En caso de violación de la seguridad de los datos personales en relación con datos tratados por el responsable del tratamiento, el encargado del tratamiento asistirá al responsable del tratamiento:

a) a los efectos de notificar la violación de la seguridad de los datos personales a la autoridad de control competente o a las autoridades de control competentes, sin dilación indebida tras haber tenido conocimiento de ella el responsable del tratamiento, en su caso (salvo que sea improbable que la violación de la seguridad de los datos personales entrañe un riesgo para los derechos y libertades de las personas físicas);

b) a los efectos de obtener la información siguiente que, de conformidad con [OPTION 1] el artículo 33, apartado 3, del Reglamento (UE) 2016/679, debe figurar en la notificación del responsable del tratamiento e incluir, al menos:

1) la naturaleza de los datos personales, incluidas, cuando sea posible, las categorías y el número aproximado de interesados afectados por la violación y las categorías y el número aproximado de registros de datos personales afectados;

2) las posibles consecuencias de la violación de la seguridad de los datos personales;

3) las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluidas, en su caso, las medidas adoptadas para mitigar sus posibles efectos negativos.

Cuando, y en la medida en que, no sea posible facilitar toda la información al mismo tiempo, la notificación inicial contendrá la información disponible en ese momento y, a medida que esté disponible, se comunicará posteriormente información adicional sin dilación indebida;

c) a los efectos de cumplir, de conformidad con el artículo 34 del Reglamento (UE) 2016/679, la obligación de comunicar sin dilación indebida la violación de la seguridad de los datos personales al interesado, cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas.

9.2. Violación de la seguridad de los datos en relación con datos tratados por el encargado del tratamiento

En caso de violación de la seguridad de los datos personales en relación con datos tratados por el encargado del tratamiento, este lo notificará al responsable del tratamiento sin dilación indebida tras haber tenido conocimiento de ella. Dicha notificación contendrá, al menos:

a) una descripción de la naturaleza de la violación constatada (incluidas, cuando sea posible, las categorías y el número aproximado de interesados afectados por la violación y de registros de datos personales afectados);

b) los datos de contacto de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los datos personales;

c) sus posibles consecuencias y las medidas adoptadas o propuestas para poner remedio a la violación, incluida la mitigación de sus posibles efectos negativos.

Cuando, y en la medida en que, no sea posible facilitar toda la información al mismo tiempo, la notificación inicial contendrá la información disponible en ese momento y, a medida que esté disponible, se comunicará posteriormente información adicional sin dilación indebida.

Las partes establecerán en el anexo III todos los demás elementos que el encargado del tratamiento deba facilitar cuando asista al responsable del tratamiento a los efectos del cumplimiento de las obligaciones que incumben a este último en virtud de los artículos 33 y 34 del Reglamento (UE) 2016/679.

- SECCIÓN III - DISPOSICIONES FINALES

Cláusula 10 — Incumplimiento de las cláusulas y rescisión

a) Sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679, en caso de incumplimiento por el encargado del tratamiento de las obligaciones que le incumben en virtud de las presentes cláusulas, el responsable del tratamiento podrá ordenar al encargado del tratamiento que suspenda el tratamiento de los datos personales hasta que este se ajuste a las presentes cláusulas o se rescinda el contrato. El encargado del tratamiento informará sin dilación al responsable del tratamiento si, por cualquier motivo, no puede cumplir las presentes cláusulas.

b) El responsable del tratamiento tendrá derecho a rescindir el contrato en la medida en que se refiera al tratamiento de datos personales de conformidad con las presentes cláusulas si:

1) el responsable del tratamiento ha suspendido el tratamiento de datos personales por el encargado del tratamiento con arreglo a la letra a) y no se restablece el cumplimiento de las presentes cláusulas en un plazo razonable y, en todo caso, en el plazo de un mes a partir de la suspensión;

2) el encargado del tratamiento incumple de forma grave o persistente las presentes cláusulas o las obligaciones que le incumben en virtud del Reglamento (UE) 2016/679;

3) el encargado del tratamiento no cumple una resolución vinculante de un órgano jurisdiccional competente o de la autoridad de control competente o de las autoridades de control competentes en relación con las obligaciones que le incumben en virtud de las presentes cláusulas o del Reglamento (UE) 2016/679.

c) El encargado del tratamiento tendrá derecho a rescindir el contrato en la medida en que se refiera al tratamiento de datos personales en virtud de las presentes cláusulas cuando, tras haber informado al responsable del tratamiento de que sus instrucciones infringen los requisitos jurídicos aplicables de conformidad con la cláusula 7.1, letra b), el responsable del tratamiento insista en que se sigan sus instrucciones.

d) Tras la rescisión del contrato, el encargado del tratamiento, a elección del responsable del tratamiento, suprimirá todos los datos personales tratados por cuenta del responsable del tratamiento y certificará a este que lo ha hecho, o bien devolverá todos los datos personales al responsable del tratamiento y destruirá las copias existentes, salvo que el Derecho de la Unión o el Derecho nacional exija su conservación durante más tiempo. El encargado del tratamiento seguirá garantizando el cumplimiento de las presentes cláusulas hasta la supresión o la devolución de los datos.

- ANEXO 1 -

Lista de las partes

Responsable del tratamiento: Adrien Oksman

El Cliente de BOKS en el sentido de las CGV (accesibles a través del siguiente enlace: https://www.boks.app/pages/conditions-generales-de-vente) y las CGU (accesibles a través del siguiente enlace: https://www.boks.app/pages/conditions-generales-dutilisation).

Encargado del tratamiento: BOKS, sociedad por acciones simplificada con un capital social de 10 €, cuyo domicilio social está situado en 8 RUE REAUMUR 75003 PARIS, inscrita en el Registro Mercantil y de Sociedades de París con el número 991 499 971, representada por Pinsk, que actúa y dispone de los poderes necesarios en calidad de presidente - Contacto: +33 1 87 65 05 87 (coste de una llamada local - disponible de 09:00 a 12:00 y de 14:00 a 18:00, excepto fines de semana y festivos) - info@boks.app

- ANEXO II -

Descripción del tratamiento

Categorías de interesados cuyos datos personales se tratan

Usuarios de las cajas para paquetes

Categorías de datos personales tratados

• Apellidos
• Nombre
• Dirección de correo electrónico
• Dirección física
• Número de teléfono

Datos sensibles tratados (en su caso) y limitaciones o garantías aplicadas que tengan plenamente en cuenta la naturaleza de los datos y los riesgos existentes, como, por ejemplo, la limitación estricta de la finalidad, las restricciones de acceso (incluido el acceso reservado únicamente al personal que haya recibido una formación especializada), el mantenimiento de un registro del acceso a los datos, las restricciones aplicables a las transferencias ulteriores o las medidas de seguridad adicionales.

Ninguno

Naturaleza del tratamiento

Alojamiento y explotación

Finalidad(es) para la(s) que se tratan los datos personales por cuenta del responsable del tratamiento

Permitir prestar los Servicios y hacer funcionar las cajas para paquetes según los servicios y las suscripciones contratados

Duración del tratamiento

Toda la duración de utilización de los servicios + cinco años.

- ANEXO III -

Medidas técnicas y organizativas, incluidas las medidas técnicas y organizativas destinadas a garantizar la seguridad de los datos

• Seudonimización y cifrado de los datos personales;
• Suscripción de contratos de acceso a los servicios de alojamiento con un alto nivel de SLA y un bajo porcentaje de tiempo de fallo;
• Revisión y prueba periódica de todo el código fuente de las herramientas utilizadas por Boks;
• Uso de identificadores personales para todas las herramientas que alojan datos personales;
• Cifrado de los datos transmitidos OTA;
• Suscripción de contratos de alojamiento con redundancias de almacenamiento;
• Oficinas centrales seguras y vigiladas las 24 horas del día, los 7 días de la semana
• Minimización de la cantidad de datos utilizados con fines de seguridad y coste sinérgicos

- ANEXO IV -

Lista de otros encargados del tratamiento

El responsable del tratamiento ha autorizado el recurso a los siguientes otros encargados del tratamiento:

1. Salesforce

• Dirección: Salesforce.com France SAS, 3 Avenue Octave Gréard, 75007 Paris, France
• Contacto: Service du Délégué à la Protection des Données / Office of the Global Privacy Counsel - dpo@salesforce.com
• Descripción del tratamiento: alojamiento del backoffice tecnológico de las actividades de la sociedad, almacenamiento y actualización de los datos de contacto físicos, telefónicos y digitales

2. Amazon Web Services

• Dirección: AWS EMEA SARL (Succursale Française), Tour Carpe Diem, 31 Place des Corolles, 92400 Courbevoie
• Contacto: Amazon GDPR Data Protection Officer (DPO) - aws-eu-privacy@amazon.com
• Descripción del tratamiento: alojamiento del backoffice administrativo de las actividades de la sociedad, almacenamiento y actualización de los datos de contacto físicos, telefónicos y digitales

3. Odoo

• Dirección: Odoo S.A., Chaussée de Namur 40, 1367 Grand-Rosière, Belgique.
• Contacto: Responsable RGPD / Data Protection Officer - privacy@odoo.com
• Descripción del tratamiento: ERP general de la sociedad

4. Shopify

• Dirección: Shopify International Limited, c/o Intertrust Ireland, 2nd Floor, 1-2 Victoria Buildings, Haddington Road, Dublin 4, D04 XN32, Irlande
• Contacto: Data Protection Officer (DPO) / Service Protection des Données - privacy@shopify.com
• Descripción del tratamiento: Alojamiento del sitio web de la sociedad y gestión de los pagos en línea

5. Brevo

• Dirección: Brevo SAS (anciennement Sendinblue), 106 Boulevard Voltaire, 75011 Paris, France
• Contacto: Délégué à la Protection des Données (DPO) - dpo@brevo.com
• Descripción del tratamiento: motor de envío de los correos electrónicos automáticos a los clientes de la sociedad