Acuerdo de Encargado del Tratamiento (DPA)
Fecha efectiva: septiembre 2026
Este documento tiene validez legal únicamente en su versión en español. Las versiones en otros idiomas son traducciones de referencia. / This document is legally binding only in its Spanish version.
1. Partes y ámbito
Este Acuerdo forma parte de los Condiciones y regula el tratamiento de datos personales que MecánicOS realiza por cuenta del taller cuando este usa el servicio (art. 28 RGPD).
- Encargado del tratamiento: el prestador identificado en el Aviso legal (nombre comercial MecánicOS).
- Responsable del tratamiento: el taller (persona física o jurídica) titular de la cuenta, cuyos datos constan en ella.
Se entiende aceptado al aceptar los Términos y usar el servicio. El taller puede consultarlo y conservar una copia en esta página en cualquier momento.
2. Objeto y duración
El encargado tratará datos personales por cuenta del responsable para prestar el servicio de gestión de taller descrito en los Términos. La duración es la de la relación contractual (incluida la prueba), más el plazo razonable necesario para la devolución o supresión de los datos.
3. Naturaleza, finalidad, datos e interesados
- Naturaleza del tratamiento: alojamiento, almacenamiento, consulta, organización y generación de documentos; envío de correos a instancia del responsable; copias de seguridad.
- Finalidad: gestión operativa del taller del responsable.
- Tipos de datos: identificación y contacto de clientes; vehículos; historial de órdenes, reparaciones y documentos (presupuestos, albaranes, facturas); fotografías, firmas y notas; datos de los usuarios del taller (nombre, email, rol).
- Categorías de interesados: clientes del taller y sus contactos, usuarios y empleados del taller, y proveedores que sean personas físicas.
- No se prevé el tratamiento de categorías especiales de datos; el responsable evitará introducirlas.
4. Obligaciones del encargado
- Tratar los datos únicamente siguiendo las instrucciones documentadas del responsable. Los Términos, este Acuerdo y el uso de las funciones del servicio constituyen esas instrucciones.
- Informar al responsable si considera que una instrucción infringe la normativa de protección de datos.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
- Aplicar medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD), entre ellas: cifrado en tránsito, autenticación de usuarios, control de acceso por roles, aislamiento lógico de los datos de cada taller y registros de actividad.
- Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este Acuerdo y permitir auditorías razonables, con preaviso razonable, en horario laboral, sin comprometer la seguridad ni los datos de terceros y, preferentemente, mediante documentación y certificaciones. Los costes corren a cargo de quien solicita la auditoría, salvo que revele un incumplimiento del encargado.
5. Subencargados
El responsable concede autorización general para los subencargados siguientes. El encargado les impone obligaciones equivalentes a las de este Acuerdo y responde ante el responsable de su cumplimiento.
| Subencargado | Servicio | Notas |
|---|---|---|
| Google (Firebase) | Base de datos, autenticación y almacenamiento de archivos | Puede implicar transferencia fuera del EEE (apartado 10) |
| Vercel | Alojamiento y ejecución de la aplicación | Puede implicar transferencia fuera del EEE (apartado 10) |
| Cloudinary | Almacenamiento y entrega de fotografías | Puede implicar transferencia fuera del EEE (apartado 10) |
| Resend | Envío de correos electrónicos a instancia del responsable | Puede implicar transferencia fuera del EEE (apartado 10) |
| Anthropic | Asistente de IA, solo cuando un usuario lo utiliza y con el contexto que envía | Puede implicar transferencia fuera del EEE (apartado 10) |
| Sentry | Monitorización de errores (servidor en la UE); no está previsto enviar datos de clientes finales | Datos técnicos |
El encargado informará al responsable de cualquier alta o sustitución de subencargados con una antelación mínima de 30 días, por correo al contacto de la cuenta o mediante aviso en el servicio. El responsable puede oponerse por motivos razonables de protección de datos durante ese plazo; si no se alcanza una solución, podrá cancelar el servicio sin penalización.
6. Asistencia al responsable
- Derechos de los interesados: trasladar al responsable, en un plazo razonable, las solicitudes que reciba, y ofrecerle las herramientas del servicio (exportación, rectificación y supresión) para atenderlas.
- Seguridad, brechas, evaluaciones de impacto y consultas previas: facilitar la información de que disponga y colaborar razonablemente cuando el responsable deba realizarlas.
7. Violaciones de seguridad
Si el encargado tiene conocimiento de una violación de la seguridad de los datos personales que trata por cuenta del responsable, se lo comunicará sin dilación indebida, por correo al contacto de la cuenta del taller (propietario o administrador registrado). La comunicación incluirá, en la medida en que disponga de ello: naturaleza de la violación, categorías y número aproximado de datos e interesados afectados, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto. Es el responsable quien decide si debe notificarla a la autoridad de control y a los interesados.
8. Devolución o supresión
Al terminar el servicio, el propietario puede generar una copia local cifrada y versionada desde Configuración. Incluye los datos restaurables y los archivos que puedan descargarse; el manifiesto declara cualquier omisión y se excluyen credenciales y secretos. Tras la baja, el encargado suprimirá o devolverá los datos en un plazo razonable, salvo que una obligación legal exija conservarlos, y sin perjuicio de las copias de seguridad de los subencargados según sus políticas de retención.
9. Obligaciones del responsable
El responsable garantiza que cuenta con base legal e información suficiente para los datos que introduce, y que sus instrucciones se ajustan a la normativa.
10. Transferencias internacionales
Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU. si el proveedor está certificado), en cláusulas contractuales tipo de la Comisión Europea o en otra garantía del capítulo V del RGPD.
11. Ley aplicable
Este Acuerdo se rige por el RGPD (UE) 2016/679 y la LOPDGDD (LO 3/2018). Será de aplicación la legislación española y serán competentes los juzgados y tribunales que determine la normativa aplicable.
12. Vigencia y cambios
Válido mientras exista relación contractual. Se actualizará ante cambios normativos relevantes, con un preaviso de 30 días por correo o aviso en el servicio.