Contrato de Encargo del Tratamiento (DPA)
Este Contrato de Encargo del Tratamiento («DPA») forma parte de los Términos del Servicio y regula el tratamiento, por parte de Álvaro Mármol Romero (autónomo, nombre comercial «Visitrek»; NIF 53911791K; domicilio en Calle Puerta de Madrid 21, 1.º, 23740 Andújar, Jaén) («el Encargado»), de los datos personales cuyo responsable es el taller usuario del Servicio («el Responsable»), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).
1. Objeto y rol de las partes
El Responsable (el taller) determina los fines y medios del tratamiento de los datos de sus clientes y de los titulares de los vehículos. El Encargado (el Prestador) trata esos datos únicamente por cuenta del Responsable y siguiendo sus instrucciones, para posibilitar las funcionalidades de la Plataforma.
2. Instrucciones del Responsable
El Encargado tratará los datos solo conforme a las instrucciones documentadas del Responsable (estos Términos, el uso de la Plataforma y las indicaciones que este comunique). Informará al Responsable si considera que una instrucción infringe la normativa de protección de datos.
3. Obligaciones del Encargado (art. 28.3 RGPD)
- Tratar los datos solo para prestar el Servicio y según instrucciones; no usarlos para fines propios.
- Garantizar la confidencialidad de quienes traten los datos.
- Adoptar las medidas de seguridad del art. 32 RGPD (Anexo II).
- Respetar las condiciones para recurrir a subencargados (cláusula 5).
- Asistir al Responsable, en la medida de lo posible, para atender el ejercicio de derechos de los interesados.
- Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto (arts. 32 a 36).
- A elección del Responsable, suprimir o devolver los datos al terminar el Servicio (cláusula 7).
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
4. Confidencialidad
El personal del Encargado con acceso a los datos está sujeto a deber de confidencialidad y accede solo en la medida necesaria para prestar el Servicio.
5. Subencargados
El Responsable autoriza con carácter general el recurso a los subencargados del Anexo III para la prestación del Servicio (alojamiento, almacenamiento de archivos, envío de correo, etc.). El Encargado impondrá a cada subencargado obligaciones equivalentes a las de este DPA e informará de cualquier cambio previsto (alta o sustitución), pudiendo el Responsable oponerse por motivos razonables.
6. Transferencias internacionales
Los subencargados Supabase (región UE, Irlanda) y Sentry (región UE, Alemania) no implican transferencia fuera del EEE. Google (correo) trata datos en EE. UU. al amparo de las cláusulas contractuales tipo de la UE. Si en el futuro se incorpora un subencargado fuera del EEE, se aplicarán las garantías del Capítulo V del RGPD (decisión de adecuación o cláusulas contractuales tipo).
7. Devolución o supresión al finalizar
Terminada la prestación, el Encargado pondrá a disposición del Responsable la exportación de sus datos durante 30 días y, a elección del Responsable, los suprimirá o se los devolverá, salvo que deba conservarlos por obligación legal (p. ej. facturación). La Plataforma ofrece una función de exportación y un mecanismo de anonimización que conserva las facturas por imperativo fiscal.
8. Notificación de violaciones de seguridad
El Encargado notificará al Responsable sin dilación indebida tras tener conocimiento de una violación de la seguridad que afecte a datos tratados por cuenta de este, con la información disponible para que el Responsable pueda cumplir, en su caso, sus obligaciones de notificación (arts. 33 y 34 RGPD).
9. Responsabilidad
Cada parte responde de los daños que cause por el incumplimiento de las obligaciones del RGPD que le correspondan, en los términos del art. 82 del RGPD y de los Términos del Servicio.
Anexo I — Descripción del tratamiento
- Objeto y naturaleza: gestión de taller mediante la Plataforma (clientes, vehículos, órdenes, presupuestos, facturación, inventario, citas).
- Finalidad: permitir al Responsable gestionar su actividad y emitir la documentación correspondiente.
- Duración: la de la relación contractual del Servicio.
- Categorías de interesados: clientes del taller y titulares o conductores de los vehículos; personal del taller.
- Categorías de datos: identificativos (nombre, DNI/NIF), de contacto (teléfono, correo, domicilio), datos del vehículo (matrícula, bastidor, marca/modelo), datos de servicio (intervenciones, revisiones) y datos de facturación. No se tratan categorías especiales de datos (art. 9 RGPD).
Anexo II — Medidas de seguridad (art. 32)
- Cifrado de las comunicaciones (HTTPS/TLS).
- Contraseñas almacenadas con funciones de hash; nunca en claro.
- Control de acceso por taller (multi-tenant) y por rol; separación de los datos de cada taller.
- Autenticación con tokens y revocación de sesiones.
- Copias de seguridad periódicas y procedimiento de restauración.
- Registro de accesos y acciones sensibles (auditoría).
- [Completar: política de contraseñas, gestión de accesos del personal del Encargado, pruebas de seguridad, etc.]
Anexo III — Subencargados autorizados
| Subencargado | Servicio | Ubicación / garantías |
|---|---|---|
| [Proveedor de hosting — pendiente de elegir] | Alojamiento de la aplicación y la base de datos | [UBICACIÓN] |
| Supabase, Inc. | Almacenamiento de archivos, exportaciones y copias de seguridad | Región UE (Irlanda) |
| Google (Gmail / Google Workspace) | Envío de correos del sistema | EE. UU. (cláusulas contractuales tipo) |
| Sentry (Functional Software, Inc.) | Monitorización de errores | Región UE (Alemania) |
| [Proveedor de pagos, p. ej. Stripe] (cuando se active) | Cobro de la suscripción | [UBICACIÓN] |
Firma
Este DPA se entiende aceptado por el Responsable al aceptar los Términos del Servicio durante el alta. [Si el abogado lo prefiere, habilitar además una firma o aceptación expresa y conservar su evidencia.]