Contrato de encargo del tratamiento (DPA)

1. Partes

1.1 El responsable del tratamiento es el cliente indicado en el contrato principal, en el pedido o en la cuenta de cliente (en adelante, el «Cliente»).

1.2 El encargado del tratamiento es SimpliServ GmbH, Gewerbepark West 2a, 8504 Preding, Austria, FN 676594t, Tribunal Regional de lo Civil de Graz (Landesgericht für ZRS Graz), NIF-IVA ATU83276107, representada por su administrador Luca Malli (en adelante, «SimpliServ»).

1.3 SimpliServ pone a disposición del Cliente el software SimpliServ en modalidad de software como servicio (en adelante, el «Contrato Principal»: las Condiciones Generales de SimpliServ GmbH junto con el pedido o, en su caso, el contrato SaaS individual). En ese marco, SimpliServ trata datos personales por cuenta del Cliente. El presente contrato se aplica a todas las actividades en las que SimpliServ, sus empleados o sus subencargados del tratamiento entren en contacto con datos personales del Cliente.

2. Objeto y duración

2.1 SimpliServ trata datos personales por cuenta del Cliente con el fin de proporcionar, explotar y mantener el software SimpliServ y prestar asistencia al Cliente (soporte, configuración, importación de datos, formación).

2.2 El contrato estará vigente mientras lo esté el Contrato Principal y, posteriormente, hasta que SimpliServ haya suprimido o devuelto todos los datos del Cliente conforme a la cláusula 12.

3. Naturaleza, finalidad, categorías de datos e interesados

3.1 Naturaleza del tratamiento: recogida, conservación, organización, modificación, consulta, utilización, comunicación (a instancia del Cliente), limitación y supresión.

3.2 Finalidad: funcionamiento de las funciones utilizadas por el Cliente, en particular la gestión de clientes y vehículos, pedidos y tickets, citas, presupuestos, facturas y caja, pagos, almacén y compras, comunicación con clientes finales (correo electrónico, SMS, WhatsApp, teléfono), planificación de turnos, registro de jornada y documentación de personal, firmas, informes, así como funciones basadas en IA, en la medida en que el Cliente las active.

3.3 Categorías de datos: datos maestros y de contacto (nombre, dirección, correo electrónico, teléfono, empresa, NIF-IVA); datos contractuales, de pedidos y de vehículos (p. ej., matrícula, número de bastidor, historial de reparaciones); datos de facturación, pago y bancarios (IBAN, mandatos SEPA, estado de pago); contenido de comunicaciones (mensajes, correos electrónicos, grabaciones y transcripciones de llamadas, en la medida en que estén activadas); datos de los empleados del Cliente (planificación de turnos, horarios de trabajo, ausencias, contratos de trabajo, datos salariales y fiscales, en la medida en que se registren); firmas, fotografías, documentos y archivos que el Cliente cargue; datos de acceso y de registro (cuenta de usuario, dirección IP, momento, actividades).

3.4 Interesados: clientes finales y clientes potenciales del Cliente, empleados y candidatos del Cliente, proveedores y socios comerciales del Cliente y sus personas de contacto, usuarios del software.

3.5 No está previsto el tratamiento de categorías especiales de datos conforme al art. 9 RGPD. Si el Cliente registra tales datos (p. ej., bajas por enfermedad), le corresponde garantizar la existencia de una base jurídica.

4. Instrucciones

4.1 SimpliServ tratará los datos únicamente siguiendo instrucciones documentadas del Cliente, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros. En tal caso, SimpliServ informará al Cliente de esa exigencia legal con carácter previo, salvo que dicho Derecho lo prohíba.

4.2 Las instrucciones resultan del presente contrato, del Contrato Principal y de la configuración que el Cliente realice en el software. El Cliente impartirá las instrucciones individuales en forma de texto (basta el correo electrónico).

4.3 Si SimpliServ considera que una instrucción es ilícita, informará de ello al Cliente sin dilación indebida y podrá suspender su ejecución hasta que se aclare la cuestión.

4.4 SimpliServ no utiliza los datos para fines propios. En particular, los datos no se venden ni se utilizan para entrenar modelos de IA. Se permiten estadísticas de uso anonimizadas, que no puedan referirse a personas, para el funcionamiento y la mejora del software.

5. Lugar del tratamiento

5.1 Los servidores, las bases de datos y las copias de seguridad se encuentran en Alemania. Determinados servicios enumerados en el Anexo 1 pueden tratar datos también fuera de la UE o del EEE; a ellos se aplica la cláusula 5.2.

5.2 Solo se realizarán transferencias a terceros países si se cumplen los requisitos de los arts. 44 y ss. RGPD (decisión de adecuación, en particular el Marco de Privacidad de Datos UE-EE. UU. (DPF), o cláusulas contractuales tipo (SCC)). El Anexo 1 indica los subencargados del tratamiento afectados.

6. Confidencialidad

6.1 Todas las personas de SimpliServ que tienen acceso a los datos se han comprometido por escrito a guardar confidencialidad (secreto de datos conforme al § 6 DSG, Ley austriaca de protección de datos). Esta obligación subsiste tras la finalización de su actividad.

6.2 Solo tienen acceso a los datos del Cliente las personas que lo necesitan para el desempeño de sus funciones, en particular para prestar soporte a petición del Cliente.

7. Medidas técnicas y organizativas

7.1 SimpliServ aplica las medidas conforme al art. 32 RGPD descritas en el Anexo 2.

7.2 SimpliServ podrá adaptar las medidas al estado de la técnica, siempre que no se reduzca el nivel de protección. Las modificaciones sustanciales se documentarán.

8. Subencargados del tratamiento

8.1 El Cliente autoriza a los subencargados del tratamiento indicados en el Anexo 1. Los servicios marcados como opcionales solo se utilizan si el Cliente activa la función correspondiente.

8.2 SimpliServ comunicará en forma de texto (correo electrónico, aviso en el software o actualización de esta página) cualquier subencargado del tratamiento nuevo o sustituido con una antelación mínima de 4 semanas. Dentro de dicho plazo, el Cliente podrá oponerse por un motivo justificado en materia de protección de datos. Si las partes no alcanzan una solución, el Cliente podrá resolver extraordinariamente el Contrato Principal respecto del servicio afectado.

8.3 SimpliServ impondrá contractualmente a cada subencargado del tratamiento las mismas obligaciones de protección de datos que las establecidas en el presente contrato y responderá de su cumplimiento.

8.4 No constituyen subencargo del tratamiento los servicios accesorios sin acceso a datos del Cliente (p. ej., telecomunicaciones), ni los servicios con los que el propio Cliente celebre un contrato y que él mismo conecte. El Cliente es el único responsable de dichos servicios.

9. Asistencia al Cliente

9.1 SimpliServ asistirá al Cliente, mediante medidas apropiadas, en la atención de las solicitudes de los interesados (arts. 12 a 22 RGPD). A tal efecto, el software ofrece funciones para visualizar, exportar, rectificar y suprimir datos. Si un interesado se dirige directamente a SimpliServ, SimpliServ remitirá la solicitud al Cliente sin dilación indebida.

9.2 SimpliServ asistirá al Cliente en relación con la seguridad del tratamiento, la notificación de violaciones de la seguridad de los datos personales, las evaluaciones de impacto relativas a la protección de datos y las consultas previas (arts. 32 a 36 RGPD).

9.3 SimpliServ podrá facturar según el esfuerzo empleado la asistencia que exceda de las funciones del software y de la información habitual, salvo que se deba a un incumplimiento de SimpliServ.

10. Violaciones de la seguridad de los datos

10.1 SimpliServ notificará al Cliente cualquier violación de la seguridad de los datos personales sin dilación indebida y, a más tardar, 24 horas después de haber tenido conocimiento de ella. La notificación contendrá, en la medida en que se conozca, la información prevista en el art. 33, apartado 3, RGPD.

10.2 SimpliServ adoptará de inmediato medidas para contener la violación y mitigar sus consecuencias.

11. Acreditación y auditorías

11.1 SimpliServ pondrá a disposición del Cliente, previa solicitud, la información necesaria para demostrar el cumplimiento del presente contrato. Por regla general, bastan para ello los anexos, la información por escrito y los certificados de los centros de datos.

11.2 El Cliente, o un auditor designado por él y sujeto a obligación de confidencialidad, podrá realizar inspecciones in situ: con un preaviso mínimo de 14 días, en horario laboral, sin perturbar la actividad y, por regla general, no más de una vez al año. Cada parte asumirá sus propios costes.

12. Supresión y devolución

12.1 Durante la vigencia del contrato, el Cliente puede exportar sus datos por sí mismo en cualquier momento (p. ej., CSV, justificantes en PDF).

12.2 Tras la finalización del Contrato Principal, SimpliServ suprimirá los datos del Cliente en un plazo de 90 días, salvo que el Cliente solicite previamente su entrega o una ley obligue a conservarlos. Los datos contenidos en copias de seguridad se sobrescribirán al expirar el plazo de conservación de estas, a más tardar transcurridos otros 90 días. Los datos de caja se archivan de forma inalterable durante el plazo legal de conservación y solo se suprimen después.

12.3 El Cliente cumplirá sus propias obligaciones de conservación (p. ej., de facturas y datos de caja) mediante la exportación oportuna de los datos. A petición del Cliente, SimpliServ confirmará la supresión en forma de texto.

13. Responsabilidad y disposiciones finales

13.1 La responsabilidad se rige por el art. 82 RGPD. En lo demás, se aplican las normas de responsabilidad del Contrato Principal.

13.2 En caso de contradicción, el presente contrato prevalecerá sobre el Contrato Principal en materia de protección de datos.

13.3 Las modificaciones requieren forma de texto. Si alguna disposición fuera inválida, las restantes conservarán su validez.

13.4 El presente contrato se rige por el Derecho austriaco, con exclusión de sus normas de conflicto. El fuero competente es Graz, en la medida en que la ley lo permita.

13.5 Contacto de SimpliServ en materia de protección de datos: Luca Malli, administrador, datenschutz@simpliserv.com. Actualmente, SimpliServ GmbH no está obligada a designar un delegado de protección de datos.

Anexo 1: Subencargados del tratamiento

El Cliente autoriza a los siguientes proveedores de servicios. «Siempre» significa que el servicio se utiliza para todos los clientes. «Opcional» significa que el servicio solo se utiliza si el Cliente activa la función correspondiente.

No son subencargados del tratamiento

Los servicios que el Cliente contrata y conecta por sí mismo no son subencargados del tratamiento de SimpliServ. Entre ellos se encuentran Stripe, Mollie y SumUp (pagos), Lexware, ZIR, VeloConnect, JTL-Wawi, WooCommerce, Shopify y Wix (interfaces), DHL y Österreichische Post (envíos), JobRad y las comprobaciones de leasing, la consulta de cuentas bancarias y Microsoft 365 (buzón de correo del Cliente). Para estos servicios, el Cliente celebra su propio contrato con el proveedor.

Alojamiento propio

La generación de PDF, la búsqueda, las notificaciones en tiempo real, la edición de documentos, las citas por videollamada y el alojamiento de correo electrónico se ejecutan en los servidores propios de SimpliServ en Hetzner, en Alemania.

Anexo 2: Medidas técnicas y organizativas (art. 32 RGPD)