Acuerdo de tratamiento de datos

Última actualización: 17 de agosto de 2026 · Pymbú · hola@pymbu.com

Entre: el comerciante (responsable del tratamiento) y Pymbú (encargado del tratamiento). Se acepta al instalar la app. Queda registrado qué tienda aceptó, qué versión de estos documentos y en qué fecha. No se registra qué persona hizo el clic: la app no recibe de Shopify la identidad de quien la está mirando, y un nombre inventado en un registro de aceptación sería peor que su ausencia.

1. Objeto

El comerciante instala PymbuPay para cobrar los pedidos de su tienda Shopify a través de Plexo. Para eso, Pymbú trata datos personales de los compradores por cuenta y bajo instrucciones del comerciante.

2. Alcance del tratamiento

Finalidad	Procesar el cobro de un pedido: leer su importe, cobrarlo, confirmarlo y conciliarlo
Duración	Mientras la app esté instalada, más los plazos de retención del punto 6
Interesados	Compradores de la tienda
Categorías de datos	Identificador, total, moneda y líneas del pedido; de la tarjeta sólo marca, banco, BIN y últimos cuatro dígitos; identificadores de pago de Plexo; IP y navegador en el momento del pago, que viajan a Plexo para el 3-D Secure y no se guardan

Fuera del alcance, de forma expresa

Número completo de tarjeta, código de seguridad y fecha de vencimiento. No pasan por los sistemas de Pymbú en ningún momento; se ingresan directamente en el formulario de Plexo.
Correo electrónico del comprador. Los avisos los envía Shopify al cliente del pedido; la app pide el envío sin indicar la dirección, de modo que el dato no llega a Pymbú.
Dirección, teléfono y documento de identidad del comprador.

3. Obligaciones de Pymbú

Tratar los datos sólo para la finalidad del punto 2, y sólo siguiendo instrucciones del comerciante.
No usarlos para fines propios: ni analítica comercial, ni entrenamiento de modelos, ni marketing, ni cruzarlos con datos de otras tiendas.
Mantener las medidas de seguridad del punto 5, entendidas como las descritas y no como una garantía de inviolabilidad.
Avisar al comerciante sin demora indebida ante una violación de seguridad que afecte a sus datos, para que éste cumpla sus propias obligaciones de notificación. Los plazos y los pasos concretos están en la política de respuesta a incidentes: primer aviso dentro de las 24 horas de tomar conocimiento.
Asistirlo, en la medida de lo razonable, para responder pedidos de acceso, rectificación y borrado.
Borrar los datos cuando termine el tratamiento, según el punto 6.

4. Obligaciones del comerciante

Tener base legal para tratar los datos de sus compradores e informarles adecuadamente, incluida la transferencia internacional del punto 7.
Cargar credenciales de Plexo que le pertenezcan, obtenidas de su propia relación con Plexo.
Configurar promociones y cuotas que reflejen lo que efectivamente acordó con Plexo y con los bancos. La app publica lo que el comerciante carga y no puede verificarlo: la exactitud de esa configuración, y cualquier consecuencia de anunciar un descuento que no corresponde, son responsabilidad exclusiva del comerciante.
Dar instrucciones lícitas. Pymbú actúa conforme a ellas y no responde por su licitud.

5. Medidas de seguridad

Esto es lo que la app hace hoy, no una lista de intenciones:

Credenciales cifradas con AES-256-GCM, con clave fuera de la base de datos y versionada, para poder rotarla sin interrumpir el servicio.
El cifrado está atado a la tienda: las credenciales de un comerciante no se pueden descifrar en el contexto de otro, aunque alguien copie el registro.
Aislamiento entre tiendas por construcción, no por convención: no existe forma de consultar datos sin indicar de qué tienda son.
Sin datos de tarjeta en almacenamiento ni en tránsito por nuestros sistemas.
Sin datos personales en los registros de la aplicación, que además se borran a los 90 días.
Todo el tráfico por HTTPS; base de datos sin acceso público.
Recuperación a un punto en el tiempo de la base de datos, continua, con una ventana de tres días, provista por el proveedor de alojamiento.

Ningún sistema conectado a internet es invulnerable. Lo anterior describe controles concretos; no constituye garantía de que no pueda ocurrir un incidente.

6. Retención y borrado

Situación	Qué pasa
Desinstalación de la app	Las credenciales de Plexo se borran al instante
`shop/redact` de Shopify	Se borran todos los datos de esa tienda
`customers/redact`	Se borran los datos de ese comprador
Registros de pago	Se borran a los 90 días del cierre del pago

7. Subencargados y transferencia internacional

Subencargado	Para qué	Dónde
Plexo	Procesamiento de pagos — con relación contractual directa del comerciante	Uruguay
Render	Ejecutar la aplicación y su base de datos	Ohio, Estados Unidos
Shopify	La plataforma de la tienda y el envío de los avisos al comprador	Según su propia política

Transferencia internacional. La aplicación y su base de datos se alojan en Estados Unidos. Al aceptar este acuerdo el comerciante autoriza esa transferencia y asume informarla a sus compradores. Pymbú avisará antes de incorporar un subencargado nuevo, con tiempo razonable para objetar; si el comerciante objeta, su único remedio es desinstalar la app.

8. Auditoría

Pymbú pondrá a disposición del comerciante la información razonablemente necesaria para acreditar el cumplimiento de este acuerdo. No incluye acceso a sistemas, ni a datos de otros comerciantes, ni auditorías en sitio.

9. Responsabilidad

La responsabilidad de Pymbú se limita a su papel de encargado del tratamiento y a los datos del punto 2 mientras están bajo su control.
Pymbú no responde por Shopify, Plexo, el comerciante ni ningún tercero, ni por instrucciones, configuraciones o datos que el comerciante introduzca o autorice.
El servicio se presta tal como está, sin más garantías que las expresamente indicadas aquí.
En la medida en que lo permita la ley aplicable, la responsabilidad total de Pymbú por cualquier reclamo relacionado con este acuerdo no excederá el importe abonado por el comerciante a Pymbú en los doce meses anteriores al hecho que la origine, y no alcanza a daños indirectos, lucro cesante ni pérdida de datos atribuibles a terceros o al propio comerciante.

10. Ley aplicable y jurisdicción

Este acuerdo se rige por la ley de la República Oriental del Uruguay, en particular la Ley N.º 18.331 de Protección de Datos Personales. Cualquier controversia se somete a los tribunales de Montevideo, Uruguay.

11. Vigencia y cambios

Rige desde su aceptación al instalar la app y mientras ésta permanezca instalada. Los cambios se avisan al comerciante dentro de la app antes de aplicarse; continuar usando la app tras el aviso implica aceptarlos.

Ver también la política de privacidad.