# ANEXO III — CONTRATO DE ENCARGO DE TRATAMIENTO DE DATOS PERSONALES **Artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD)** **Servicio:** OpAuto **Versión:** 1.0 — 20 de agosto de 2026 Este Anexo forma parte inseparable de las Condiciones Generales de Contratación de OpAuto y se entiende suscrito por ambas partes con la aceptación de aquellas. En caso de contradicción con cualquier otro documento contractual, **prevalece este Anexo** en todo lo relativo al tratamiento de datos personales. --- ## 1. PARTES Y ROLES | | | |---|---| | **Responsable del tratamiento** | El **Cliente** (el taller o empresa que contrata OpAuto), identificado en el proceso de alta con su denominación, NIF y domicilio. | | **Encargado del tratamiento** | **David González Calzado**, NIF 58030382W, domicilio en Calle Mayor 26, 3.º C, 26313 Uruñuela (La Rioja), España, correo electrónico contacto@opticorp.es (el "Prestador"). | **1.1.** El Cliente, como responsable, determina los fines y medios del tratamiento de los datos personales que introduce en el Servicio. El Prestador trata dichos datos **por cuenta del Cliente** y únicamente conforme a sus instrucciones documentadas. **1.2.** Las instrucciones documentadas del Cliente están constituidas por: (i) este Anexo; (ii) las Condiciones Generales y la Documentación del Servicio; (iii) las configuraciones y opciones que el Cliente active en su panel de administración; y (iv) las instrucciones adicionales que el Cliente comunique por escrito a contacto@opticorp.es y que resulten técnicamente viables y conformes a Derecho. **1.3.** Si el Prestador considerase que una instrucción del Cliente infringe el RGPD, la LOPDGDD u otra norma de protección de datos de la Unión o de España, lo comunicará de inmediato al Cliente y podrá suspender la ejecución de esa instrucción concreta hasta su aclaración (art. 28.3, último párrafo, RGPD). **1.4.** Si el Prestador determinase los fines y medios de algún tratamiento al margen de las instrucciones del Cliente, será considerado responsable respecto de ese tratamiento concreto conforme al artículo 28.10 RGPD. **1.5. Designación de delegado de protección de datos.** El Prestador **no** está obligado a designar delegado de protección de datos conforme al artículo 37 RGPD y al artículo 34 LOPDGDD. Punto de contacto en materia de protección de datos: **contacto@opticorp.es**. --- ## 2. OBJETO, DURACIÓN, NATURALEZA Y FINALIDAD DEL TRATAMIENTO **2.1. Objeto.** La prestación del servicio SaaS de gestión integral de talleres OpAuto, que implica el alojamiento y tratamiento de datos personales por cuenta del Cliente. **2.2. Duración.** El tratamiento se extenderá durante toda la vigencia del contrato principal y, tras su terminación, durante los plazos de recuperación y supresión previstos en la cláusula 9 de este Anexo. **2.3. Naturaleza y operaciones de tratamiento.** Recogida, registro, estructuración, conservación, consulta, modificación, extracción, comunicación por transmisión (únicamente a los destinatarios que el Cliente determine), cotejo, limitación, supresión y destrucción. **2.4. Finalidad.** Exclusivamente la prestación del Servicio contratado: gestión de clientes y vehículos, agenda y citas, órdenes de reparación, presupuestos, facturación, almacén, comunicaciones con los clientes del taller, informes de gestión y soporte técnico. **El Prestador no tratará los datos para fines propios.** **2.5. Prohibiciones expresas.** El Prestador **no podrá**, en ningún caso: a) Utilizar los datos personales para finalidades propias, distintas de la prestación del Servicio. b) Comunicar o ceder los datos a terceros, salvo a los subencargados autorizados conforme a la cláusula 6 o por obligación legal. c) Utilizar los datos personales para **entrenar, ajustar o evaluar modelos de inteligencia artificial o de aprendizaje automático**, propios o de terceros, sin autorización expresa, específica y por escrito del Cliente. d) Elaborar perfiles comerciales del Cliente o de los interesados con fines de marketing propio. e) Vender, alquilar o monetizar de cualquier forma los datos. **2.5.bis. Módulo "Correo con IA".** Cuando el Cliente active este Módulo, el contenido de las comunicaciones que someta a él se transmitirá al proveedor de servicios de inteligencia artificial identificado en la cláusula 6.2, que actúa como subencargado. El Prestador garantiza que dicho proveedor **no utiliza el contenido transmitido para entrenar sus modelos**, conforme a las condiciones comerciales de su interfaz de programación de aplicaciones y al contrato de encargo suscrito con él. El Cliente es responsable de revisar el contenido generado antes de utilizarlo o remitirlo a terceros. **2.5.ter. Módulos de comunicación con los clientes del taller.** Cuando el Cliente active Módulos que permitan remitir comunicaciones a sus propios clientes (avisos sobre el estado del vehículo, recordatorios de recogida, confirmaciones de cita) por WhatsApp, SMS o correo electrónico: a) El **Cliente actúa como responsable** de dicho tratamiento y garantiza disponer de base jurídica: la ejecución del contrato de reparación (art. 6.1.b RGPD) para los avisos de naturaleza informativa sobre el servicio contratado. b) El Cliente **informará a sus clientes**, en el momento de la recepción del vehículo, de que recibirán avisos por dicho canal y de cómo oponerse a ello. c) Los mensajes **no podrán incluir contenido promocional o comercial** salvo que el Cliente disponga del consentimiento exigido por el artículo 21 LSSI-CE. El Prestador podrá suspender el Módulo si detecta un uso publicitario del canal. d) El proveedor del canal actúa como **subencargado** en los términos de la cláusula 6. **2.6. Datos agregados y anonimizados.** El Prestador podrá elaborar estadísticas agregadas y anonimizadas de forma irreversible, que dejen de ser datos personales conforme al considerando 26 RGPD, con la única finalidad de mantener, medir y mejorar el Servicio. El proceso de anonimización se documentará y podrá ser auditado por el Cliente en los términos de la cláusula 8. --- ## 3. TIPOS DE DATOS PERSONALES E INTERESADOS **3.1. Categorías de interesados:** - Clientes del taller (personas físicas) y personas de contacto de clientes personas jurídicas. - Conductores y usuarios habituales de los vehículos, cuando el Cliente los registre. - Proveedores y sus personas de contacto. - Empleados y colaboradores del Cliente que actúen como Usuarios del Servicio. - Terceros que aparezcan en documentación asociada (peritos, compañías aseguradoras, gestores). **3.2. Categorías de datos personales:** - **Identificativos:** nombre y apellidos, NIF/NIE/CIF, dirección postal, teléfono, correo electrónico, firma (incluida firma digitalizada en órdenes de reparación y resguardos de depósito). - **Datos del vehículo asociados a persona identificada o identificable:** matrícula, bastidor (VIN), marca, modelo, kilometraje, historial de averías y reparaciones, fechas de ITV, seguro. - **Económicos y de transacción:** presupuestos, facturas, importes, forma de pago, cuenta bancaria para domiciliaciones, estado de cobro, historial de impagos. - **Comerciales:** historial de visitas, preferencias, comunicaciones enviadas, consentimientos de marketing. - **De conexión y uso (Usuarios del Cliente):** identificador de usuario, dirección IP, fecha y hora de acceso, acciones registradas en los logs de auditoría. - **Imágenes:** fotografías del vehículo y de daños que el Cliente adjunte, que pueden incorporar de forma incidental datos personales. **3.3. Categorías especiales de datos.** El Servicio **no está diseñado para tratar** categorías especiales de datos del artículo 9 RGPD ni datos relativos a condenas e infracciones penales (art. 10 RGPD). El Cliente se obliga a no introducirlos en campos de texto libre. Si un caso de uso concreto lo requiriese (por ejemplo, adaptaciones de vehículo por discapacidad), deberá acordarse previamente por escrito y adoptarse medidas reforzadas, dejando constancia en un apéndice a este Anexo. **3.4. Datos de menores.** El Servicio no se dirige a menores de edad. El Cliente evitará introducir datos de menores salvo que resulte imprescindible y esté legitimado para ello. --- ## 4. OBLIGACIONES DEL PRESTADOR (ENCARGADO) El Prestador se obliga a: **4.1.** Tratar los datos únicamente siguiendo instrucciones documentadas del Cliente, incluso en materia de transferencias internacionales. **4.2.** Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad **por escrito**, o están sujetas a una obligación legal de confidencialidad, y han recibido la formación necesaria. Este compromiso se mantendrá aun después de finalizar su relación con el Prestador. **4.3.** Aplicar las medidas técnicas y organizativas del artículo 32 RGPD descritas en el **Apéndice A** de este Anexo, y mantenerlas actualizadas conforme a la evolución del estado de la técnica. **4.4.** No recurrir a otro encargado sin cumplir la cláusula 6. **4.5.** Asistir al Cliente, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que pueda **atender las solicitudes de ejercicio de derechos** de los interesados (arts. 15 a 22 RGPD). A tal efecto, el Servicio incorpora funcionalidades de búsqueda, exportación en formato estructurado, rectificación, limitación, bloqueo y supresión que el Cliente puede utilizar de forma autónoma. Si un interesado dirigiera su solicitud al Prestador, este la remitirá al Cliente sin dilación indebida y, en todo caso, en un plazo máximo de **cuarenta y ocho (48) horas**, junto con los datos disponibles, absteniéndose de responder por sí mismo salvo indicación del Cliente. **4.6.** Ayudar al Cliente en el cumplimiento de las obligaciones de los **artículos 32 a 36 RGPD** (seguridad, notificación de violaciones, evaluación de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga. **4.7.** Poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del artículo 28 RGPD y permitir y contribuir a auditorías conforme a la cláusula 8. **4.8.** Llevar un **registro de las categorías de actividades de tratamiento efectuadas por cuenta del Cliente** conforme al artículo 30.2 RGPD, y facilitarlo a la autoridad de control o al Cliente cuando lo soliciten. **4.9.** Notificar al Cliente cualquier requerimiento vinculante de una autoridad pública o judicial relativo a los datos, salvo que la norma aplicable lo prohíba, y limitar la entrega a lo estrictamente exigido. **4.10.** No conservar los datos más allá de lo previsto en la cláusula 9. --- ## 5. OBLIGACIONES DEL CLIENTE (RESPONSABLE) **5.1.** Determinar y documentar la **base jurídica** de cada tratamiento que realice mediante el Servicio (ejecución contractual, obligación legal, interés legítimo, consentimiento) y disponer de ella con carácter previo. **5.2.** Cumplir el **deber de información** a los interesados (arts. 13 y 14 RGPD), incluyendo la existencia de encargados de tratamiento y las finalidades. El Prestador facilita en el Apéndice B un modelo de cláusula informativa de apoyo, cuya adecuación al caso concreto debe verificar el Cliente. **5.3.** Mantener su propio **registro de actividades de tratamiento** (art. 30.1 RGPD) y realizar, cuando proceda, el **análisis de riesgos** y la **evaluación de impacto** (art. 35 RGPD). **5.4.** Introducir únicamente datos adecuados, pertinentes y limitados a lo necesario (principio de minimización), y mantenerlos exactos y actualizados. **5.5.** Gestionar diligentemente las altas, bajas y permisos de sus Usuarios, revocando los accesos de quienes cesen en su organización, y activar la autenticación de doble factor. **5.6.** Recabar y gestionar los **consentimientos para comunicaciones comerciales** (art. 21 LSSI-CE) cuando utilice las funcionalidades de envío de recordatorios comerciales, campañas o encuestas, y respetar las solicitudes de oposición y baja. **5.7.** Cumplir la normativa sectorial aplicable a su actividad, en particular la relativa a la documentación del taller (Real Decreto 1457/1986 y normativa autonómica) y a la facturación. **5.8.** Comunicar al Prestador, por escrito, cualquier instrucción especial y cualquier circunstancia que altere el alcance del tratamiento. --- ## 6. SUBENCARGADOS **6.1. Autorización general.** El Cliente **autoriza de forma general** al Prestador a recurrir a otros encargados (subencargados) para la prestación del Servicio, conforme al artículo 28.2 RGPD. **6.2. Relación vigente.** La relación actualizada de subencargados se publica en **https://opticorp.es/op-auto/legal/dpa#subencargados** e incluye, a fecha de esta versión: | Subencargado | Servicio prestado | Ubicación del tratamiento | |---|---|---| | **DigitalOcean, LLC** | Infraestructura de servidores, base de datos y almacenamiento | Centro de datos de Ámsterdam (Países Bajos), Unión Europea | | **DigitalOcean, LLC** (Spaces / Backups) | Copias de seguridad cifradas | Unión Europea | | **Stripe Payments Europe, Ltd.** | Procesamiento de pagos de la suscripción | Irlanda, con posible tratamiento en EE. UU. (véase cláusula 7) | | **Zoho Corporation B.V. (ZeptoMail)** | Envío de correos transaccionales del Servicio | Unión Europea | | **Cloudflare, Inc.** (Turnstile) | Verificación antibot y protección de formularios | Red global, con posible tratamiento en EE. UU. (véase cláusula 7) | | **Anthropic** (API de Claude) | Procesamiento de texto del Módulo "Correo con IA": redacción, clasificación y resumen de comunicaciones | Estados Unidos (véase cláusula 7) | | **Functional Software, Inc. (Sentry)** | Monitorización de errores, trazas y diagnóstico de incidencias | Estados Unidos, con posible almacenamiento en la Unión Europea según la región del proyecto (véase cláusula 7) | | **WhatsApp / Meta Platforms Ireland Ltd.** y el proveedor de la API utilizado | Canal de soporte al Cliente y, cuando se active el Módulo correspondiente, avisos sobre el estado del vehículo a los clientes del taller | Irlanda, con tratamiento en EE. UU. (véase cláusula 7) | **6.3. Nuevos subencargados.** El Prestador informará al Cliente de cualquier incorporación o sustitución de subencargados con una antelación mínima de **treinta (30) días naturales**, mediante correo electrónico y actualización de la página indicada. **6.4. Derecho de oposición.** El Cliente podrá oponerse motivadamente dentro de dicho plazo por razones fundadas de protección de datos. En tal caso, las partes buscarán de buena fe una solución alternativa durante quince (15) días; de no alcanzarse, el Cliente podrá **resolver el contrato sin penalización**, con reembolso de la parte proporcional del precio anticipado no consumido. **6.5. Régimen jurídico.** El Prestador impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que las establecidas en este Anexo, y **responderá plenamente ante el Cliente** del incumplimiento de sus obligaciones por parte del subencargado (art. 28.4 RGPD). --- ## 7. TRANSFERENCIAS INTERNACIONALES **7.1.** El tratamiento se realizará, con carácter general, **dentro del Espacio Económico Europeo**. Los servidores principales y las copias de seguridad se ubican en el centro de datos de DigitalOcean en **Ámsterdam (Países Bajos)**. **7.1 bis. Proveedores estadounidenses.** El Prestador utiliza servicios de **Stripe** (procesamiento de pagos), **Cloudflare** (protección antibot), **Anthropic** (modelo de lenguaje del Módulo "Correo con IA"), **Sentry** (monitorización de errores) y **WhatsApp / Meta** (canal de soporte y avisos) que pueden implicar el tratamiento de datos fuera del Espacio Económico Europeo. Dichas transferencias se amparan en el **EU-US Data Privacy Framework** (Decisión de adecuación de la Comisión Europea de 10 de julio de 2023) cuando el proveedor esté certificado en él, y/o en las **cláusulas contractuales tipo** de la Decisión de Ejecución (UE) 2021/914. El Prestador conserva copia de las garantías adoptadas y la facilitará al Cliente a requerimiento. **7.2.** No se realizarán otras transferencias internacionales de datos a terceros países u organizaciones internacionales sin que concurra alguna de las garantías del Capítulo V del RGPD: decisión de adecuación (art. 45), cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914) complementadas, cuando proceda, con medidas suplementarias tras la correspondiente evaluación de impacto de la transferencia, u otra garantía adecuada del artículo 46. **7.3.** Si algún subencargado implicara una transferencia internacional, se identificará expresamente en el cuadro de la cláusula 6.2, indicando la garantía aplicada, y se informará al Cliente conforme a la cláusula 6.3. **7.4.** El Prestador informará al Cliente de cualquier cambio que afecte a la ubicación del tratamiento con la antelación de la cláusula 6.3. --- ## 8. AUDITORÍA Y ACREDITACIÓN DEL CUMPLIMIENTO **8.1.** El Prestador pondrá a disposición del Cliente, previa solicitud, la documentación acreditativa del cumplimiento: descripción de medidas de seguridad, política de copias de seguridad, registro de subencargados, certificaciones o informes de auditoría de que disponga y el registro del artículo 30.2 RGPD. **8.2.** El Cliente podrá realizar auditorías, por sí o a través de un auditor independiente sujeto a confidencialidad y no competidor del Prestador, con las siguientes condiciones: preaviso de **treinta (30) días naturales**, una auditoría al año como máximo —salvo que exista una violación de seguridad acreditada o un requerimiento de la autoridad de control—, en horario laboral, sin interferir en la operativa y sin acceso a datos de otros clientes. **8.3.** Los costes de la auditoría serán a cargo del Cliente, salvo que se detecten incumplimientos relevantes imputables al Prestador, en cuyo caso los asumirá este último junto con el coste de la subsanación. **8.4.** El Prestador podrá satisfacer las solicitudes de auditoría mediante la entrega de informes de auditoría independientes vigentes (por ejemplo, ISO/IEC 27001 o SOC 2) cuando cubran razonablemente el alcance solicitado. --- ## 9. DEVOLUCIÓN Y SUPRESIÓN DE LOS DATOS **9.1.** Finalizada la prestación del Servicio, el Prestador, a elección del Cliente comunicada por escrito: a) **Devolverá** los datos personales en formato estructurado, de uso común y lectura mecánica (CSV, JSON, XML y, en el caso de facturas, el formato estructurado aplicable), junto con los soportes y documentos que contengan datos; o b) Los **suprimirá** de forma segura e irreversible. **9.2.** En defecto de instrucción, el Prestador mantendrá los datos accesibles para exportación durante **treinta (30) días naturales** desde la terminación y, transcurridos estos, procederá a su supresión. **9.3. Copias de seguridad.** La supresión alcanzará a las copias de seguridad conforme a los ciclos de rotación descritos en el Apéndice A, en un plazo máximo de **noventa (90) días** desde la supresión de los datos en producción. Durante ese periodo las copias permanecerán cifradas y sin acceso operativo. **9.4. Bloqueo.** El Prestador podrá conservar los datos **debidamente bloqueados** —conforme al artículo 32 LOPDGDD— cuando sea necesario para la formulación, el ejercicio o la defensa de reclamaciones o para atender responsabilidades derivadas del tratamiento, durante el plazo de prescripción de dichas responsabilidades, tras el cual se suprimirán definitivamente. **9.5.** A solicitud del Cliente, el Prestador emitirá **certificado de supresión** en el plazo de quince (15) días. --- ## 10. VIOLACIONES DE LA SEGURIDAD DE LOS DATOS **10.1.** El Prestador notificará al Cliente, **sin dilación indebida y en un plazo máximo de veinticuatro (24) horas** desde que tenga conocimiento de una violación de la seguridad de los datos personales, a la dirección de contacto designada por el Cliente. **10.2.** La notificación incluirá, en la medida en que esté disponible: la naturaleza de la violación, las categorías y número aproximado de interesados y de registros afectados, los datos de contacto del punto de información, las consecuencias probables y las medidas adoptadas o propuestas, incluidas las de mitigación. Si no fuera posible facilitar toda la información simultáneamente, se hará de manera gradual sin dilación indebida. **10.3.** El Prestador colaborará con el Cliente para que este pueda cumplir, en su caso, los plazos de notificación a la autoridad de control (**72 horas**, art. 33 RGPD) y de comunicación a los interesados (art. 34 RGPD). **La decisión de notificar corresponde al Cliente como responsable.** **10.4.** El Prestador documentará todas las violaciones, sus efectos y las medidas correctoras adoptadas, y pondrá dicha documentación a disposición del Cliente. **10.5.** Ninguna de las partes realizará comunicaciones públicas que identifiquen a la otra en relación con una violación sin su consentimiento previo por escrito, salvo obligación legal. --- ## 11. RESPONSABILIDAD **11.1.** El régimen de responsabilidad frente a los interesados y frente a la autoridad de control se rige por los artículos 82 y 83 RGPD. **11.2.** Las limitaciones de responsabilidad previstas en las Condiciones Generales **no serán aplicables** a la responsabilidad derivada del artículo 82 RGPD frente a los interesados. **11.3.** Entre las partes, cada una asumirá la parte de responsabilidad que le corresponda en función de su grado de participación en el daño, con derecho de repetición conforme al artículo 82.5 RGPD. **11.4.** El Prestador responderá de las sanciones que se impongan al Cliente cuando traigan causa directa y exclusiva del incumplimiento por el Prestador de las obligaciones que este Anexo le atribuye o de instrucciones ilícitas no advertidas conforme a la cláusula 1.3. --- ## 12. DISPOSICIONES FINALES **12.1.** Este Anexo entra en vigor con la aceptación de las Condiciones Generales y permanecerá vigente mientras dure el tratamiento. **12.2.** Su modificación seguirá el procedimiento de la cláusula 11.3 de las Condiciones Generales. Las modificaciones exigidas por cambios normativos o por directrices vinculantes de la AEPD o del Comité Europeo de Protección de Datos podrán aplicarse con la antelación que dichas normas o directrices permitan. **12.3.** Se rige por el RGPD, la LOPDGDD y demás normativa española y europea aplicable. --- # APÉNDICE A — MEDIDAS TÉCNICAS Y ORGANIZATIVAS (art. 32 RGPD) ## A.1 Seudonimización y cifrado - Cifrado de las comunicaciones mediante **TLS 1.2 o superior**, con redirección forzosa a HTTPS y HSTS. - Cifrado de los datos en reposo en la base de datos y en el almacenamiento de ficheros AES-256. - Cifrado de las copias de seguridad y de los soportes extraíbles. - Almacenamiento de contraseñas mediante función de derivación de clave resistente (bcrypt/argon2), nunca en claro ni reversible. - Seudonimización de los datos en los entornos de desarrollo y pruebas: **prohibido el uso de datos reales de producción** en dichos entornos. ## A.2 Confidencialidad - **Aislamiento lógico entre inquilinos** (arquitectura multi-tenant) mediante identificador de inquilino con filtrado obligatorio a nivel de consulta (*global scopes*) y pruebas automatizadas de aislamiento. - Control de acceso basado en roles y principio de mínimo privilegio. - Autenticación de doble factor disponible para todos los Usuarios y obligatoria para los perfiles administradores y para el personal del Prestador. - Gestión de credenciales del personal del Prestador mediante gestor de secretos; prohibición de credenciales compartidas. - Acuerdos de confidencialidad firmados por todo el personal y colaboradores con acceso. - Política de puesto despejado y bloqueo automático de sesiones. ## A.3 Integridad - Registro de auditoría (*logs*) de accesos y de operaciones sobre datos personales, con identificación de usuario, fecha, hora y acción, conservado durante **doce (12) meses** y protegido frente a modificación. - Control de versiones del código, revisión de cambios por pares y despliegues trazables. - Validación de entradas, protección frente a inyección, XSS y CSRF; cabeceras de seguridad. - Integridad de los registros de facturación mediante encadenamiento por huella (*hash*) y, en su caso, firma electrónica, conforme al RD 1007/2023. ## A.4 Disponibilidad y resiliencia - Copias de seguridad **diarias**, con retención de **treinta (30) días** y copia en ubicación separada. - **Pruebas de restauración documentadas con periodicidad trimestral.** - Objetivos de recuperación: **RPO ≤ 24 horas**, **RTO ≤ 8 horas**. - Monitorización de disponibilidad y alertas automáticas. - Redundancia de infraestructura y protección frente a denegación de servicio. ## A.5 Verificación y evaluación periódica - Revisión anual de la política de seguridad y del análisis de riesgos. - Gestión de vulnerabilidades: actualización de dependencias, análisis automatizado de seguridad en el ciclo de desarrollo, aplicación de parches críticos en un plazo máximo de **siete (7) días** desde su publicación. - Procedimiento documentado de gestión de incidentes con roles, escalado y plazos. ## A.6 Medidas organizativas - Responsable interno de seguridad y protección de datos: David González Calzado. - Formación periódica del personal en protección de datos y seguridad. - Procedimiento de alta y baja de personal con revocación inmediata de accesos. - Registro de actividades de tratamiento del artículo 30.2 RGPD. - Selección de proveedores con verificación previa de sus garantías (art. 28.1 RGPD) y suscripción de los correspondientes contratos de encargo. --- # APÉNDICE B — MODELO DE CLÁUSULA INFORMATIVA PARA EL CLIENTE (TALLER) **Información básica sobre protección de datos** | | | |---|---| | **Responsable** | [DENOMINACIÓN DEL TALLER], NIF [NIF DEL TALLER], [DOMICILIO DEL TALLER], [EMAIL DEL TALLER] | | **Finalidad** | Gestionar la prestación de servicios de reparación y mantenimiento de su vehículo, la elaboración de presupuestos, órdenes de reparación y facturas, el mantenimiento del historial del vehículo y la comunicación con usted en relación con dichos servicios. [Si procede: y el envío de recordatorios de mantenimiento e ITV y de comunicaciones comerciales sobre servicios similares.] | | **Legitimación** | Ejecución del contrato de reparación o medidas precontractuales (art. 6.1.b RGPD); cumplimiento de obligaciones legales en materia fiscal, contable y de la normativa de talleres (art. 6.1.c RGPD); interés legítimo en el envío de comunicaciones sobre servicios similares (art. 6.1.f RGPD y art. 21.2 LSSI-CE); su consentimiento para el resto de comunicaciones comerciales (art. 6.1.a RGPD). | | **Destinatarios** | Administraciones públicas cuando exista obligación legal; entidades financieras para el cobro; compañías aseguradoras y peritos cuando la reparación se tramite a través de un siniestro; proveedores de servicios tecnológicos que actúan como encargados del tratamiento. No se prevén transferencias internacionales fuera del Espacio Económico Europeo. | | **Conservación** | Durante la relación y, posteriormente, durante los plazos de prescripción legal (6 años en materia mercantil y contable; 4 años en materia tributaria), debidamente bloqueados. | | **Derechos** | Acceso, rectificación, supresión, oposición, limitación y portabilidad, dirigiéndose a [EMAIL O DIRECCIÓN DEL TALLER]. Puede presentar una reclamación ante la Agencia Española de Protección de Datos ([www.aepd.es](https://www.aepd.es)). | | **Información adicional** | [URL o referencia a la información ampliada disponible en el taller]. | --- **Aceptado por las partes** mediante la aceptación electrónica de las Condiciones Generales de Contratación de OpAuto, con constancia de fecha, hora, identificador de usuario y versión del documento. *Versión 1.0 — 20 de agosto de 2026*