1. Alcance e incorporación
Este Acuerdo de Tratamiento de Datos forma parte de los Términos y Condiciones que regulan TallerCloud / RepairDock Cloud (el “Servicio”). Se aplica cuando un cliente utiliza el Servicio para tratar datos personales respecto de los cuales dicho cliente actúa como responsable y Gonzalo Cardozo, operando bajo el nombre comercial GCPSoft (el “Encargado”), trata esos datos por cuenta del cliente.
2. Roles e instrucciones documentadas
El cliente actúa como Responsable y determina los fines y medios del tratamiento de sus Datos del Cliente. El Encargado tratará dichos datos únicamente para prestar, asegurar, mantener y dar soporte al Servicio, para cumplir las instrucciones documentadas que surgen de los Términos, este DPA y las funciones habilitadas por el cliente, o cuando la ley lo exija. Si el Encargado considera que una instrucción infringe la normativa aplicable de protección de datos, informará al Responsable salvo prohibición legal.
3. Confidencialidad y personal
El Encargado procurará que las personas autorizadas para tratar Datos del Cliente estén sujetas a obligaciones de confidencialidad y accedan únicamente a la información necesaria para sus funciones.
4. Seguridad
El Encargado mantendrá medidas técnicas y organizativas apropiadas al riesgo, incluyendo controles de acceso, autenticación, separación por taller/TAG, registros de actividad, copias de seguridad, transporte seguro, acceso administrativo restringido, gestión de actualizaciones y procedimientos de respuesta a incidentes. Las medidas podrán evolucionar siempre que el nivel general de protección no se reduzca de forma sustancial.
5. Subencargados
El Responsable otorga autorización general para utilizar subencargados necesarios para prestar el Servicio. La lista vigente se publica en la página de Subprocesadores. Cuando resulte razonablemente posible, se notificará con al menos 30 días de antelación un cambio material de subencargado, por correo electrónico y/o notificación dentro del producto. Se impondrán a los subencargados obligaciones de protección de datos apropiadas a los servicios que presten.
6. Transferencias internacionales
El Servicio se opera desde Uruguay y se aloja en Santiago de Chile, con copias de seguridad en Estados Unidos y otros proveedores detallados en la página de Subprocesadores. Cuando correspondan restricciones del GDPR a transferencias internacionales, se utilizará un mecanismo válido según el destino y proveedor. Uruguay cuenta actualmente con una decisión de adecuación de la Unión Europea para transferencias hacia Uruguay; las transferencias posteriores se analizan por separado.
7. Derechos de los interesados
Teniendo en cuenta la naturaleza del tratamiento, el Encargado prestará asistencia razonable al Responsable para responder solicitudes de acceso, rectificación, supresión, restricción, oposición y portabilidad. El Servicio incluye herramientas administrativas destinadas a facilitar estos procesos. El Responsable continúa siendo quien determina la validez de la solicitud y quien se comunica con sus interesados.
8. Violaciones de datos personales
El Encargado notificará al Responsable sin dilación indebida después de tomar conocimiento de una violación de datos personales que afecte sus Datos del Cliente y facilitará la información razonablemente disponible necesaria para la evaluación y las obligaciones de notificación del Responsable. La información podrá entregarse por etapas a medida que avance la investigación.
9. DPIA y autoridades
Teniendo en cuenta la naturaleza del tratamiento y la información disponible, el Encargado prestará asistencia razonable con evaluaciones de impacto y consultas previas cuando sean exigibles respecto del tratamiento realizado mediante el Servicio.
10. Devolución y eliminación
Al finalizar la relación y a solicitud del Responsable, el Encargado ofrecerá los mecanismos de exportación disponibles y eliminará o anonimizará los Datos del Cliente conforme al flujo de eliminación del Servicio, sujeto a obligaciones legales de conservación y retención limitada en copias de seguridad. La baja por falta de pago no elimina datos automáticamente. Una solicitud confirmada de eliminación de cuenta queda habilitada para procesamiento manual después de un período de gracia de 30 días. Las copias de seguridad pueden conservar datos protegidos hasta vencer conforme a su ciclo de vida.
11. Información y auditorías
El Encargado pondrá a disposición información razonablemente necesaria para demostrar el cumplimiento del artículo 28 GDPR. Cuando legalmente correspondan derechos adicionales de auditoría, deberán ejercerse de forma razonable y proporcional, protegiendo la confidencialidad y seguridad de otros clientes y priorizando, cuando sea posible, documentación, registros y evidencia remota antes de requerir acceso intrusivo.
12. Obligaciones del Responsable
El Responsable debe contar con una base jurídica válida para los Datos del Cliente, proporcionar avisos requeridos, configurar comunicaciones conforme a derecho, administrar usuarios y permisos y utilizar el Servicio de acuerdo con la normativa aplicable. Las preferencias de marketing no deshabilitan notificaciones relacionadas con el servicio necesarias para prestar el servicio solicitado.
Anexo I — Detalles del tratamiento
- Objeto: gestión en la nube para talleres y negocios de servicios.
- Duración: relación con el cliente más períodos aplicables de eliminación/conservación.
- Naturaleza y finalidad: alojamiento, almacenamiento, consulta, organización, transmisión, soporte, copias de seguridad, seguridad, comunicaciones con clientes e integraciones/IA opcionales habilitadas por el Responsable.
- Interesados: clientes del taller, contactos, empleados/usuarios, proveedores y otras personas cuyos datos incorpore el Responsable.
- Categorías: identidad/contacto, órdenes, activos/vehículos/equipos, presupuestos, facturas, agenda, mensajes, archivos/imágenes, notas, campos personalizados y registros de negocio relacionados.
- Datos especiales: el Servicio no está diseñado para el tratamiento sistemático de categorías especiales de datos; el Responsable debe evitar ingresarlos salvo necesidad y base jurídica suficiente.
Anexo II — Medidas técnicas y organizativas actuales
- El acceso se autentica y limita por permisos de usuario y taller/TAG.
- El tráfico de producción utiliza HTTPS; Cloudflare funciona como proxy inverso/capa de seguridad.
- La base operativa, aplicación y archivos subidos se alojan en el servidor de producción en Santiago de Chile.
- Las copias de seguridad se almacenan en Backblaze B2 US East con Object Lock configurado por 30 días; el ciclo de vida conserva la última versión del archivo.
- Las operaciones de privacidad se registran sin conservar intencionalmente el contenido eliminado dentro del registro de auditoría.
Este DPA está destinado a cubrir los requisitos contractuales aplicables a la relación responsable-encargado conforme al artículo 28 GDPR. No sustituye la evaluación que cada Responsable debe hacer de sus propias obligaciones legales.