DOCUMENTOS
Documentos para la revisión
Contrato de encargo de tratamiento, medidas técnicas y organizativas, subencargados y política de supresión — sin solicitud, sin formulario.
01 / POR QUÉ AQUÍ
Porque la pregunta llega igualmente.
Todo delegado de protección de datos pide estos cuatro documentos antes de que se instale nada. Esconderlos detrás de una conversación comercial cuesta dos semanas a ambas partes y responde al final a la misma pregunta.
02 / LOS DOCUMENTOS
Cuatro documentos.
Contrato de encargo de tratamiento (art. 28 RGPD)
Objeto, duración, naturaleza y finalidad del tratamiento, categorías de interesados, derecho de instrucción, subencargos, devolución y supresión. Se formaliza de forma electrónica y sin papel, por separado para cada cliente: en el portal de clientes, en «Protección de datos», o al configurar la app de Shopify. Sus tres anexos son los documentos siguientes en la misma versión. En el portal queda el justificante con el texto acordado.
Medidas técnicas y organizativas (art. 32 RGPD)
Acceso físico, acceso lógico, control de uso, transmisión, introducción, control del encargo, disponibilidad y separación — con lo que este software incorpora concretamente para ello.
Anexo al contrato de encargo: otros encargados
Quién trata por nuestro encargo conforme al art. 28 RGPD, para qué, dónde y sobre qué base en caso de transferencia fuera de la UE. Los destinatarios que actúan como responsables propios figuran allí por separado.
Política de supresión
Qué datos permanecen y cuánto tiempo, qué ocurre al suprimir a una persona y por qué en ese proceso nace una lista de bloqueo.
03 / PROVEEDORES Y DESTINATARIOS
Quién recibe datos y en qué función.
Esta visión general nombra a todos los destinatarios, sea cual sea su función. No es un anexo contractual: el anexo al contrato de encargo recoge solo a quienes tratan por nuestro encargo conforme al art. 28 RGPD y presenta a los demás por separado. Si quiere saber quién recibe sus datos, lea esta tabla; si quiere saber de qué respondemos como encargados, lea el anexo.
Los datos de esta tabla existen en alemán y en inglés. Esta página los muestra en inglés.
| Empresa | Finalidad | Función | Lugar del tratamiento | Base en caso de tercer país |
|---|---|---|---|---|
| Google Cloud EMEA Limited | Operation of the application, database, secret management, scheduling, load balancing and TLS | Encargado del tratamiento | EU – europe-west3 (Frankfurt); separately, administration and system logs of the cloud platform in global logging buckets of the provider that cannot be moved to a region (up to 400 days; a further global bucket with seven days, to which the application logs are not written) | EU–US adequacy decision (EU-US Data Privacy Framework) to the extent of the recipient’s certification; in addition, and for companies that are not certified, EU standard contractual clauses. A copy of the safeguards is available via privacy@metrunio.com |
| Google Cloud – BigQuery | Analytics mirror of the measurement data of all tenants in the same environment, separated per tenant; a tenant’s reports are calculated from it once data volumes are larger or retention exceeds 180 days | Encargado del tratamiento | EU – europe-west3 (Frankfurt) | EU–US adequacy decision (EU-US Data Privacy Framework) to the extent of the recipient’s certification; in addition, and for companies that are not certified, EU standard contractual clauses. A copy of the safeguards is available via privacy@metrunio.com |
| Google Cloud – Vertex AI | Language model behind the data assistant in the portal; receives the question, metrics and, where the question calls for it, individual conversions and journeys | Encargado del tratamiento | EU – europe-west3 (Frankfurt) | EU–US adequacy decision (EU-US Data Privacy Framework) to the extent of the recipient’s certification; in addition, and for companies that are not certified, EU standard contractual clauses. A copy of the safeguards is available via privacy@metrunio.com |
| Google Workspace | Mailbox for support, contract and data-subject requests; sending of system mails, including reports and alerts containing client data in the body and as attachments, with a copy under “Sent”; measurement data only where it appears in that correspondence or in those mails | Encargado del tratamiento | Data region Europe, set by policy on 18 September 2026; exceptions for logs and cache and the migration status remain to be evidenced | EU–US adequacy decision (EU-US Data Privacy Framework) to the extent of the recipient’s certification; in addition, and for companies that are not certified, EU standard contractual clauses. A copy of the safeguards is available via privacy@metrunio.com |
| Brevo (Brevo GmbH / Sendinblue SAS) | Sending our newsletter; for a transition period, receiving inbound support mail. System and support e-mails have been sent via Google Workspace since 1 October 2026 | Encargado del tratamiento | EU – France and Germany (OVH), Belgium (Google Cloud) | EU standard contractual clauses with supplementary measures; for the US additionally the EU–US adequacy decision (Data Privacy Framework); for Canada the adequacy decision |
| Stripe Payments Europe, Ltd. | Payment processing: billing address, payment method, invoice and subscription status. No measurement data | Función doble | EU – Ireland | EU–US adequacy decision (EU-US Data Privacy Framework) to the extent of the recipient’s certification; in addition, and for companies that are not certified, EU standard contractual clauses. A copy of the safeguards is available via privacy@metrunio.com |
04 / CAMBIOS
Qué ocurre si algo cambia.
PREAVISO
Anunciamos aquí un nuevo encargado directo con al menos 30 días de antelación a su intervención y lo comunicamos por correo a la dirección registrada en la cuenta. Si uno de ellos recurre a un nuevo encargado ulterior, reenviamos su aviso a más tardar cinco días hábiles después de recibirlo. Usted puede oponerse; lo que sucede entonces lo regula la sección 7 del contrato de encargo.