Acuerdo de encargo del tratamiento

1. Partes y celebración

Responsable del tratamiento: el Cliente que ha contratado una Suscripción a FrameCRM (el «Responsable»).

Encargado del tratamiento: Pavlo Okhmak, empresario individual (persona física que ejerce una actividad empresarial) inscrito en el Registro de Actividades Profesionales checo (živnostenský rejstřík), número de identificación (IČO) 29485941, con domicilio social (lugar de actividad) en Bezručova 4201, 430 03 Chomutov, República Checa, no registrado a efectos del IVA (el «Encargado»).

El presente Acuerdo de encargo del tratamiento (el «DPA») forma parte de las Condiciones generales. El Responsable lo acepta al confirmar su consentimiento durante el registro en FrameCRM; no se requiere firma. El DPA cumple el requisito de contrato previsto en el art. 28(3) del Reglamento (UE) 2016/679 (RGPD).

La versión checa del presente DPA es la vinculante. Este texto en español es una traducción facilitada únicamente a título informativo; en caso de discrepancia, prevalecerá la versión checa. En materia de protección de datos personales, el DPA prevalece sobre las Condiciones generales.

2. Objeto, duración, naturaleza y finalidad

• Objeto: tratamiento de los datos personales que el Responsable o sus usuarios introducen en FrameCRM.
• Duración: durante la vigencia de la Suscripción y, posteriormente, hasta la supresión de los datos conforme al artículo 10.
• Naturaleza del tratamiento: recogida (incluidas las consultas y reservas procedentes del sitio web o del formulario de reserva en línea del Responsable, si se utilizan), almacenamiento, organización, visualización, búsqueda, modificación, exportación, preparación de recordatorios y mensajes que los usuarios del Responsable envían ellos mismos a los clientes (p. ej., mediante un enlace de WhatsApp), notificaciones a los usuarios del Responsable (a través de Telegram, si el Responsable lo ha activado), emisión de documentos como facturas, copia de seguridad y supresión.
• Finalidad: prestación del servicio FrameCRM: registro de los clientes, vehículos, pedidos, calendario, recordatorios, valoraciones, facturas, existencias, nóminas y estadísticas del Responsable.

3. Categorías de interesados y de datos personales

Interesados: los clientes y potenciales clientes del Responsable, sus personas de contacto, los empleados y otros usuarios del Responsable.

Categorías de datos:

• datos identificativos y de contacto (nombre, teléfono, correo electrónico, dirección);
• datos del vehículo (marca, modelo, matrícula, VIN, kilometraje);
• historial de pedidos, citas, precios y registros de pago, notas;
• datos de facturación (nombre o razón social de facturación, dirección, número de identificación / NIF-IVA);
• fotografías (principalmente de vehículos), que también pueden contener otros datos personales;
• comunicaciones con los clientes y valoraciones;
• datos de los usuarios del Responsable (nombre, correo electrónico, teléfono, función, registros de inicio de sesión, registro de actividad) y, si el Responsable utiliza la gestión de nóminas, sus reglas de remuneración, ingresos y pagos.

No está previsto el tratamiento de categorías especiales de datos (art. 9 RGPD) ni de datos relativos a condenas penales; el Responsable no introduce dichos datos en FrameCRM.

4. Obligaciones del Responsable

El Responsable es responsable de disponer de una base jurídica para el tratamiento, de informar debidamente a los interesados, de la exactitud de los datos introducidos y de que sus instrucciones al Encargado sean conformes a la ley. El Responsable protege las credenciales de acceso de sus usuarios.

5. Obligaciones del Encargado

El Encargado:

• trata los datos personales únicamente siguiendo instrucciones documentadas del Responsable (se consideran tales instrucciones las Condiciones generales, el presente DPA y la configuración y las acciones del Responsable en la aplicación), incluso con respecto a las transferencias a terceros países; informará inmediatamente al Responsable si considera que una instrucción es ilícita;
• garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad;
• adopta medidas técnicas y organizativas conforme al art. 32 RGPD (artículo 7);
• respeta las condiciones para recurrir a subencargados del tratamiento (artículo 6);
• asiste al Responsable en la respuesta a las solicitudes de los interesados, en particular mediante las funciones de la aplicación para buscar, rectificar, exportar y suprimir datos;
• asiste al Responsable en el cumplimiento de sus obligaciones conforme a los arts. 32 a 36 RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone;
• suprime o devuelve los datos tras la finalización del servicio (artículo 10);
• pone a disposición del Responsable la información necesaria para demostrar el cumplimiento y permite la realización de auditorías (artículo 11);
• no utiliza los datos del Responsable para fines propios.

6. Subencargados del tratamiento

El Responsable otorga una autorización general para recurrir a subencargados del tratamiento. A la fecha de entrada en vigor del presente DPA, son los siguientes:

Los pagos de la Suscripción son procesados por Stripe; no obstante, Stripe no trata datos personales de los clientes del Responsable.

Los mensajes a los clientes a través de WhatsApp los envían los usuarios del Responsable desde su propia aplicación WhatsApp (enlace de chat directo); por tanto, WhatsApp (Meta) no es subencargado del tratamiento del Encargado, y el uso de WhatsApp por parte del Responsable se rige por su propia relación con Meta. Cuando un usuario decodifica un VIN, solo se envía el VIN (sin ningún otro dato) a la base de datos pública y gratuita NHTSA vPIC (Departamento de Transporte de EE. UU.) para consultar la marca y el modelo; las direcciones de los estudios pueden buscarse en OpenStreetMap (Nominatim).

El Encargado informará al Responsable por correo electrónico, con al menos 14 días de antelación, de cualquier incorporación o sustitución prevista de un subencargado. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si las partes no encuentran una solución, el Responsable podrá cancelar la Suscripción con efecto desde la fecha del cambio. El Encargado impone a sus subencargados las mismas obligaciones de protección de datos y sigue siendo responsable de su cumplimiento.

Las transferencias a terceros países solo se realizan con garantías conforme al capítulo V del RGPD (decisiones de adecuación, cláusulas contractuales tipo).

7. Medidas técnicas y organizativas

• cifrado en tránsito (HTTPS/TLS) y cifrado de los datos almacenados por parte del proveedor de la base de datos;
• inicio de sesión mediante contraseñas o enlaces de inicio de sesión de un solo uso (válidos durante un tiempo limitado), sesiones seguras, funciones y permisos de usuario dentro de la cuenta;
• separación lógica de los datos de cada cliente;
• acceso del Encargado a los datos de producción solo en la medida necesaria (soporte, resolución de incidencias), protegido mediante autenticación reforzada;
• copias de seguridad periódicas en el proveedor de la base de datos con posibilidad de restauración;
• actualización continua del software y de las dependencias, gestión de secretos fuera del código fuente;
• registros de operaciones y de eventos de seguridad;
• minimización de datos: no se envían datos personales de los clientes a la analítica;
• un procedimiento de respuesta a incidentes de seguridad.

8. Violaciones de la seguridad de los datos personales

El Encargado notificará al Responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y, a más tardar, en las 48 horas siguientes a haber tenido conocimiento de ella. La notificación contendrá la información prevista en el art. 33(3) RGPD de que disponga el Encargado y se completará a medida que se disponga de más información. El Encargado adoptará medidas razonables para mitigar sus consecuencias.

9. Solicitudes de los interesados

Si el Encargado recibe una solicitud de un interesado relativa a datos del Responsable, la remitirá al Responsable sin dilación indebida y no la responderá por sí mismo, salvo autorización del Responsable.

10. Supresión y devolución de los datos

Durante la Suscripción, el Responsable puede exportar y suprimir los datos en cualquier momento. Tras la finalización de la Suscripción, el Encargado conserva los datos durante 90 días, en los que el Responsable puede solicitarlos en un formato legible por máquina. Después, el Encargado suprime los datos definitivamente; las copias en las copias de seguridad caducan mediante la rotación de estas, a más tardar en un plazo adicional de 30 días. Lo anterior no se aplica cuando la ley exija su conservación.

11. Información y auditorías

Previa solicitud, el Encargado facilitará al Responsable la información necesaria para demostrar el cumplimiento del art. 28 RGPD, normalmente en forma de respuestas escritas y documentación. El Responsable, o un auditor designado por él y sujeto a confidencialidad, podrá realizar una auditoría o inspección in situ con un preaviso mínimo de 30 días, no más de una vez al año (salvo para investigar una violación de la seguridad de los datos personales o a petición de una autoridad de control), a costa del Responsable.

12. Responsabilidad y disposiciones finales

La responsabilidad de las partes se rige por el art. 82 RGPD y, en lo demás, por las Condiciones generales. El presente DPA permanece en vigor mientras el Encargado trate datos del Responsable. Se rige por el Derecho de la República Checa.

Contacto para protección de datos: info@frame-webs.com.