Contrato de Encargado del Tratamiento

1. Partes

2. Objeto

CamperTech, en su condición de encargado del tratamiento, tratará datos personales por cuenta del taller cliente (responsable) exclusivamente para prestar el servicio de gestión de talleres de camperización descrito en el contrato de servicios, y en ningún caso para fines propios o distintos de los allí establecidos.

3. Naturaleza y finalidad del tratamiento

4. Obligaciones del encargado (CamperTech)

• Tratar los datos únicamente siguiendo las instrucciones documentadas del responsable. Si considera que una instrucción infringe el RGPD, lo comunicará inmediatamente.
• Garantizar que las personas autorizadas para tratar los datos estén sujetas a la obligación de confidencialidad.
• Aplicar las medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos (cifrado en tránsito, control de acceso, copias de seguridad).
• Respetar las condiciones para recurrir a otro encargado del tratamiento (subencargado) e informar previamente al responsable de cualquier cambio previsto que le afecte, otorgándole la posibilidad de oponerse.
• Asistir al responsable en el cumplimiento de sus obligaciones ante los ejercicios de derechos de los interesados.
• Asistir al responsable en el cumplimiento de las obligaciones de seguridad (art. 32-36 RGPD), notificación de brechas y evaluaciones de impacto.
• Suprimir o devolver todos los datos al responsable a la finalización del contrato, según instrucción de este, y suprimir las copias existentes salvo que exista obligación legal de conservación.
• Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del presente contrato.

5. Subencargados del tratamiento

El responsable autoriza a CamperTech a recurrir a los siguientes subencargados, necesarios para la prestación del servicio:

• Supabase Inc. — base de datos y autenticación (región Irlanda, UE)
• Hetzner Online GmbH — servidor de aplicación (Núremberg, Alemania)
• Stripe Inc. — pasarela de pago (EE. UU., con cláusulas contractuales tipo)
• Resend — envío de los correos electrónicos que la Plataforma remite en nombre del taller, como presupuestos y recordatorios (EE. UU., con cláusulas contractuales tipo)

Además, CamperTech utiliza Google Analytics (Google Ireland Limited) para obtener estadísticas de uso de la Plataforma, solo si el usuario lo consiente en el banner de cookies. En ese tratamiento CamperTech actúa por cuenta propia y no como subencargado: Google Analytics no recibe los datos que el responsable introduce en la Plataforma (clientes, vehículos, presupuestos) y no se carga en las páginas públicas del presupuesto ni del portal del cliente.

CamperTech informará al responsable con antelación suficiente de cualquier cambio previsto en la lista de subencargados, otorgándole un plazo razonable para oponerse.

6. Transferencias internacionales

Los datos se almacenan principalmente en servidores ubicados en la UE/EEE (Supabase Irlanda, Hetzner Alemania). El uso de Stripe implica una transferencia a EE. UU., cubierta por cláusulas contractuales tipo aprobadas por la Comisión Europea conforme al art. 46 RGPD. El envío de correos electrónicos mediante Resend implica igualmente una transferencia a EE. UU., cubierta por las mismas garantías.

7. Duración

El presente contrato estará vigente mientras esté en vigor el contrato de prestación de servicios entre el taller y CamperTech. A la finalización, CamperTech suprimirá o devolverá los datos conforme a lo establecido en la cláusula 4.

8. Responsabilidades

El responsable garantiza que dispone de base legitimadora para el tratamiento de los datos de sus clientes finales y que ha cumplido con sus propias obligaciones de información y transparencia. CamperTech no asume responsabilidad alguna por tratamientos realizados fuera del ámbito del servicio contratado, ni por datos introducidos por el responsable sin la base legal adecuada. Nada de lo anterior limita la responsabilidad de cada parte frente a los interesados prevista en el artículo 82 del RGPD, ni la responsabilidad por dolo o culpa grave.

9. Legislación aplicable

Este contrato se rige por el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Para cualquier controversia, las partes se someten a los juzgados y tribunales de Girona, sin perjuicio de las reclamaciones ante la Agencia Española de Protección de Datos (www.aepd.es).