Acuerdo de encargo del tratamiento

El presente Acuerdo de encargo del tratamiento (el Acuerdo de encargo) forma parte de los Términos del servicio (los Términos) entre Mycarro (Mycarro, el encargado del tratamiento) y el Cliente que aceptó los Términos (el Cliente, el responsable del tratamiento). Se aplica siempre que Mycarro trate datos personales por cuenta del Cliente en la prestación del Servicio. Cumple los requisitos del artículo 28 del Reglamento General de Protección de Datos (UE) 2016/679 (RGPD) y, cuando resulte aplicable, de la Ley Federal suiza de Protección de Datos (LPD, o FADP por sus siglas en inglés). Los términos definidos en los Términos o en el RGPD tienen aquí el mismo significado.

1. Funciones y ámbito

1.1. Respecto de los datos personales que el Cliente y sus usuarios introducen en el Servicio sobre sus clientes, contactos comerciales (leads), compradores, vendedores, avalistas, empleados y visitantes de su sitio web (los Datos Personales del Cliente), el Cliente es el responsable del tratamiento y Mycarro es el encargado del tratamiento. El Anexo 1 describe el tratamiento.

1.2. Mycarro es responsable independiente del tratamiento, al margen de este Acuerdo de encargo, respecto de:

• los datos de la cuenta de los usuarios del Cliente;
• los datos de facturación;
• los datos de uso, de seguridad y de auditoría;
• los datos desidentificados y agregados que obtiene conforme a los Términos;

todo ello según se describe en su Política de privacidad.

1.3. El Cliente es responsable de la licitud del tratamiento que encomienda. Ello comprende disponer de una base jurídica válida y facilitar la información exigida, recabar los consentimientos necesarios, informar a los interesados sobre su sitio web de concesionario y garantizar que los Datos Personales del Cliente y sus instrucciones se ajustan a la ley. El Cliente no introducirá en el Servicio categorías especiales de datos (como datos de salud) ni datos relativos a condenas penales, salvo cuando una funcionalidad esté diseñada para ello y la ley lo permita.

2. Instrucciones

2.1. Mycarro trata los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, incluso en lo relativo a las transferencias, salvo que la ley exija otra cosa. En tal caso, Mycarro informará previamente al Cliente, salvo que la ley lo prohíba.

2.2. Las instrucciones completas del Cliente son las siguientes: los Términos, este Acuerdo de encargo y el uso y la configuración del Servicio por parte del Cliente, incluidas las acciones de sus usuarios y de cualquier asistente de IA o integración que conecte. Cualquier instrucción adicional deberá constar por escrito, ser aceptada por Mycarro y ser coherente con la funcionalidad del Servicio. Podrá estar sujeta a tarifas.

2.3. Mycarro informará al Cliente si, en su opinión, una instrucción infringe la normativa de protección de datos. En tal caso, podrá suspender dicho tratamiento, sin responsabilidad alguna, hasta que la instrucción sea confirmada o modificada. Fuera de lo anterior, Mycarro no tiene obligación alguna de valorar la licitud de las instrucciones del Cliente.

3. Confidencialidad

Mycarro garantiza que las personas autorizadas para tratar los Datos Personales del Cliente se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal, y que solo acceden a los datos en la medida necesaria para el Servicio.

4. Seguridad

4.1. Mycarro aplica las medidas técnicas y organizativas descritas en el Anexo 2, que son apropiadas al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento.

4.2. Mycarro puede actualizar dichas medidas, siempre que no se reduzca el nivel general de protección. El Cliente ha evaluado las medidas y conviene en que son apropiadas para los Datos Personales del Cliente.

4.3. El Cliente es responsable de la seguridad de sus propios sistemas, dispositivos y credenciales, de los roles y permisos que asigne a sus usuarios, de las integraciones y asistentes de IA que conecte y de la configuración del Servicio que esté bajo su control.

5. Subencargados del tratamiento

5.1. Autorización general. El Cliente otorga a Mycarro una autorización general para recurrir a subencargados del tratamiento, incluidos los enumerados en el Anexo 3.

5.2. Cambios. Mycarro informará al Cliente de cualquier incorporación o sustitución prevista de un subencargado actualizando el Anexo 3 en esta página y, cuando el cambio sea sustancial, por correo electrónico o en el panel de control, con al menos 14 días de antelación. En caso de urgencia, como el fallo repentino de un proveedor, el plazo podrá ser más breve.

5.3. Oposición. El Cliente podrá oponerse a un cambio por motivos razonables relacionados con la protección de datos, por escrito y dentro de dicho plazo. Las partes lo examinarán entonces de buena fe. Si Mycarro no puede evitar razonablemente el cambio, el único y exclusivo remedio del Cliente será resolver el plan afectado antes de que el cambio surta efecto, sin reembolso alguno de las tarifas abonadas por anticipado más allá de lo que permitan los Términos. Si el Cliente continúa utilizando el Servicio una vez transcurrido el plazo de preaviso, se entenderá que acepta el cambio.

5.4. Traslado de obligaciones. Mycarro impone contractualmente a cada subencargado obligaciones de protección de datos que, en lo sustancial, no ofrecen una protección inferior a la de este Acuerdo de encargo, en la medida en que resulten aplicables a los servicios prestados. Mycarro sigue respondiendo frente al Cliente del cumplimiento de sus subencargados en los términos exigidos por el RGPD, con sujeción a la cláusula 11.

5.5. Terceros que no son subencargados. Las plataformas de anuncios, los asistentes de IA, los servicios de pago, los registradores de dominios y demás terceros que el Cliente decida conectar o utilizar actúan conforme a sus propias condiciones. No son subencargados de Mycarro, y Mycarro no responde de ellos.

6. Transferencias internacionales

Mycarro solo podrá transferir Datos Personales del Cliente fuera del Espacio Económico Europeo y de Suiza, o permitir que sus subencargados lo hagan, cuando:

• la transferencia esté amparada por una decisión de adecuación;
• existan garantías adecuadas, como las Cláusulas Contractuales Tipo de la Comisión Europea (con las adaptaciones suizas cuando se aplique la LPD), junto con medidas adicionales cuando sea necesario; o
• resulte aplicable otro mecanismo de transferencia permitido por el RGPD.

El Cliente autoriza las transferencias que los subencargados del Anexo 3 realicen sobre estas bases.

7. Asistencia

7.1. Solicitudes de los interesados. El Servicio pone a disposición del Cliente herramientas de autoservicio para acceder a los Datos Personales del Cliente y para rectificarlos, exportarlos y suprimirlos. Si Mycarro recibe una solicitud de un interesado relativa a Datos Personales del Cliente, la remitirá al Cliente sin dilación indebida, si puede identificarlo, y no la responderá por sí misma salvo siguiendo instrucciones del Cliente. Cuando las herramientas de autoservicio no basten, Mycarro prestará una asistencia razonable, teniendo en cuenta la naturaleza del tratamiento.

7.2. Otra asistencia. Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, Mycarro prestará una asistencia razonable en relación con las obligaciones del Cliente en materia de seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consulta previa a las autoridades, principalmente facilitando este Acuerdo de encargo, sus anexos y la documentación del Servicio.

7.3. Costes. La asistencia que exceda de las herramientas de autoservicio y de la documentación, o que sea consecuencia de un acto o incumplimiento del propio Cliente, se facturará según las tarifas estándar de Mycarro vigentes en ese momento.

8. Violaciones de la seguridad de los datos personales

8.1. Mycarro notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos Personales del Cliente. La notificación se enviará a la dirección de correo electrónico del propietario o del administrador del Cliente. En la medida en que se conozcan en ese momento, describirá la naturaleza de la violación, las categorías y el número aproximado de afectados, las posibles consecuencias y las medidas adoptadas o propuestas. La información podrá facilitarse de forma gradual.

8.2. Mycarro adoptará medidas razonables para contener la violación y mitigar sus efectos. Corresponde al Cliente decidir si notifica a las autoridades de control y a los interesados, y hacerlo.

8.3. Ni la notificación ni la asistencia prestada suponen un reconocimiento de culpa o de responsabilidad. Los intentos fallidos o las actividades que no comprometan la seguridad de los Datos Personales del Cliente, como pings, escaneos de puertos, intentos fallidos de inicio de sesión o ataques de denegación de servicio, no constituyen violaciones y no requieren notificación.

9. Devolución y supresión

9.1. Durante la vigencia, el Cliente puede exportar y suprimir los Datos Personales del Cliente con las herramientas del Servicio.

9.2. Una vez extinguidos los Términos, el Cliente podrá solicitar una exportación final dentro del plazo que fijen los Términos. Transcurrido dicho plazo, Mycarro suprimirá los Datos Personales del Cliente, salvo que la ley exija su conservación. Las copias contenidas en las copias de seguridad se suprimen según el ciclo normal de copias de seguridad, por lo general en un plazo de 90 días, y hasta entonces siguen protegidas conforme a este Acuerdo de encargo y no se utilizan de forma activa. Mycarro podrá conservar datos desidentificados y agregados, que no son datos personales.

10. Auditorías e información

10.1. Mycarro pone a disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD. Lo hace facilitando este Acuerdo de encargo, sus anexos, las respuestas a un cuestionario de seguridad razonable formulado por escrito y, cuando estén disponibles, certificaciones o informes de auditoría de terceros (incluidos los de sus subencargados).

10.2. Si el Cliente demuestra razonablemente que esta información no es suficiente, o si una autoridad de control lo exige, el Cliente podrá realizar una auditoría, por sí mismo o a través de un auditor independiente sujeto a confidencialidad que no sea competidor de Mycarro. La auditoría está sujeta a las siguientes condiciones:

• como máximo una vez en cada periodo de 12 meses, salvo que exista una violación o una orden de una autoridad;
• con un preaviso por escrito de al menos 30 días y un alcance acordado previamente;
• en horario laboral, a distancia cuando sea posible, sin perturbar el Servicio y sin acceso a los datos de otros clientes ni a las instalaciones de los subencargados;
• a cargo exclusivo del Cliente, incluidos los costes razonables de Mycarro según sus tarifas estándar;
• el Cliente compartirá el informe de auditoría con Mycarro y mantendrá su confidencialidad.

11. Responsabilidad

La responsabilidad de cada parte derivada de este Acuerdo de encargo o relacionada con él, ya sea contractual, extracontractual o de otro tipo, está sujeta a las exclusiones y limitaciones de responsabilidad de los Términos, y computa dentro del mismo límite máximo acumulado, en la medida en que la ley lo permita. El Cliente indemnizará a Mycarro, en los términos previstos en los Términos, frente a las reclamaciones y multas derivadas de las instrucciones del Cliente, de los Datos Personales del Cliente o de su incumplimiento de la normativa de protección de datos.

12. Vigencia, prelación y modificaciones

12.1. Este Acuerdo de encargo se aplica mientras Mycarro trate Datos Personales del Cliente, y se extingue automáticamente cuando deje de hacerlo.

12.2. Si este Acuerdo de encargo contradice los Términos en lo relativo al tratamiento de los Datos Personales del Cliente, prevalecerá este Acuerdo de encargo. En todos los demás aspectos prevalecerán los Términos. Las disposiciones de los Términos sobre ley aplicable, jurisdicción, idioma, notificaciones y modificaciones se aplican a este Acuerdo de encargo.

12.3. Mycarro podrá actualizar este Acuerdo de encargo, incluso para reflejar cambios en la ley o en el Servicio, según se describe en los Términos. Una actualización no reducirá el nivel general de protección de los Datos Personales del Cliente.

Anexo 1. Descripción del tratamiento

• Objeto y duración: la prestación del Servicio al Cliente, durante la vigencia de los Términos y el periodo de liquidación posterior.
• Naturaleza del tratamiento: recogida, registro, organización, conservación, adaptación, extracción, consulta, utilización, comunicación por transmisión (incluso a las plataformas de anuncios y a las integraciones que el Cliente active), cotejo, limitación, supresión y destrucción, por medios automatizados, incluidos modelos de IA.
• Finalidad: las funciones de gestión del concesionario que utilice el Cliente. Entre ellas figuran la gestión del stock y de los vehículos, el sitio web de concesionario, la publicación en plataformas de anuncios, la gestión de contactos comerciales y de clientes, las ventas, los contratos, las garantías, las facturas y la tesorería, las campañas, los documentos, y las funciones y conectores de IA.
• Categorías de interesados:
  • los clientes y clientes potenciales del Cliente (compradores, vendedores, propietarios de vehículos entregados como parte del pago, avalistas);
  • contactos comerciales y personas que realizan consultas;
  • visitantes del sitio web de concesionario del Cliente;
  • los empleados y colaboradores externos del Cliente;
  • otras personas que el Cliente registre.
• Categorías de datos personales:
  • datos identificativos y de contacto: nombre, correo electrónico, teléfono, dirección postal;
  • números de identificación personal y fiscal, números de documentos de identidad y fechas de nacimiento, cuando el Cliente los registre para contratos, facturas o matriculaciones;
  • datos de vehículos y de operaciones vinculados a una persona (número de bastidor (VIN), matrícula, compra, venta, entrega como parte del pago, precios, pagos, financiación, garantía);
  • comunicaciones y notas;
  • documentos que cargue el Cliente;
  • datos técnicos de los visitantes del sitio web de concesionario.
• Categorías especiales: no se prevé ninguna. Véase la cláusula 1.3.

Anexo 2. Medidas técnicas y organizativas

• Cifrado: tráfico cifrado en tránsito mediante TLS; secretos y credenciales cifrados en reposo.
• Control de acceso: cada usuario inicia sesión de forma individual a través de un proveedor de autenticación específico, con autenticación multifactor disponible; el acceso se basa en roles y se limita al propio concesionario del Cliente; el acceso del personal al entorno de producción sigue el principio de mínimo privilegio y se limita a lo necesario.
• Auditoría: los cambios realizados en el panel de control y a través de los conectores se registran junto con el usuario o el asistente que los efectuó.
• Separación: cada registro está circunscrito a su concesionario, y los controles de acceso se aplican en el servidor.
• Disponibilidad y resiliencia: alojamiento en la Unión Europea, copias de seguridad periódicas, monitorización y alertas, y procedimientos de restauración.
• Desarrollo y gestión de cambios: pruebas automatizadas, revisión de código, análisis de dependencias y de secretos, y entornos separados de desarrollo, preproducción y producción.
• Minimización de datos: los informes de errores no incluyen grabación de sesiones ni datos que identifiquen al usuario; la analítica del sitio web no utiliza cookies.
• Proveedores: los subencargados se eligen por su seguridad y están vinculados contractualmente.
• Respuesta a incidentes: procedimientos documentados para detectar, contener, investigar y notificar las violaciones de la seguridad de los datos personales.

Anexo 3. Subencargados del tratamiento