Acuerdo de Encargo de Tratamiento (DPA)
Artículo 28 del Reglamento (UE) 2016/679 (RGPD) · Última actualización: 27/08/2026
Este Acuerdo regula la relación cuando Gesturas Technology Group, S.L. ("GTG") actúa como encargado del tratamiento respecto de los datos personales que el Cliente introduce en Repara para gestionar su taller: los datos de los clientes de ese taller, los artículos que le entregan y las reparaciones que realiza sobre ellos. Forma parte indivisible de las Condiciones generales de contratación aceptadas al activar la cuenta.
1. Partes
Responsable del tratamiento: el Cliente identificado en el contrato de servicio, en su condición de titular del taller (autónomo, sociedad o entidad asimilada) que utiliza Repara para gestionar sus reparaciones y su cartera de clientes.
Encargado del tratamiento: Gesturas Technology Group, S.L., NIF B02943447, con domicilio en Calle España, 22 — Faro de Calaburras, 29649 Mijas (Málaga). Contacto en materia de protección de datos: rgpd@gesturas.com.
2. Objeto
El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestar el servicio Repara (en adelante, el "Servicio") conforme al contrato suscrito y al presente Acuerdo. El Responsable decide qué datos introduce y con qué finalidad; el Encargado se limita a alojarlos y a tratarlos por cuenta de aquel.
3. Naturaleza, finalidad y duración
- Naturaleza: recogida, almacenamiento, organización, consulta, modificación, copia de seguridad, extracción y supresión de datos en una plataforma en la nube (SaaS).
- Finalidad: gestión del taller del Responsable, y en particular: registro de su cartera de clientes; creación y seguimiento de órdenes de reparación sobre los artículos que sus clientes le entregan; identificación y trazabilidad de esos artículos mientras permanecen bajo su custodia; preparación de los avisos de estado y de recogida; cobro, emisión de tickets y facturas y, en su caso, remisión de los registros de facturación conforme al sistema VeriFactu; gestión de caja y TPV; y elaboración de informes de actividad del propio taller.
- Duración: mientras esté vigente el contrato de servicio, más los plazos previstos en la cláusula 8.
El Encargado no utiliza los datos del Responsable para fines propios, ni los cede, ni los emplea para elaborar perfiles, publicidad o entrenamiento de modelos.
4. Categorías de datos e interesados
El tratamiento alcanza a los datos que el Responsable introduce en el Servicio o que este genera al operarlo:
- Clientes del taller: nombre y apellidos, alias comercial, NIF/CIF, dirección postal, población, provincia, código postal y país, teléfono, correo electrónico y, si el Responsable la cumplimenta, fecha de nacimiento.
- Órdenes de reparación: artículo entregado y su descripción, características e imágenes si el Responsable las adjunta, trabajos solicitados, presupuesto, estado y fechas de entrada, aviso y entrega, observaciones y notas internas.
- Datos económicos: importes, forma de pago, movimientos de caja, tickets y facturas emitidas por el Responsable y, cuando proceda, los registros de facturación del sistema VeriFactu.
- Bitácora de avisos: teléfono de destino, texto y fecha de los mensajes que el Responsable prepara desde el Servicio para comunicarse con sus clientes, así como el registro de las solicitudes de valoración marcadas como enviadas.
- Usuarios de la cuenta del Responsable: nombre y apellidos, nombre de usuario, correo electrónico, rol y credenciales de acceso, junto con el registro de su actividad en el Servicio.
Categorías de interesados: los clientes del taller del Responsable —o las personas de contacto que estos designen— y el personal del Responsable con acceso al Servicio.
El Encargado no prevé el tratamiento de categorías especiales de datos del art. 9 RGPD ni de datos relativos a infracciones y condenas (art. 10 RGPD). El Servicio no dispone de campos destinados a ellos. Si el Responsable los introduce en un campo de texto libre —por ejemplo, en las observaciones de una orden—, lo hace bajo su exclusiva responsabilidad y debe contar con la base legal habilitante.
El Servicio no recoge la ubicación de los interesados ni de los usuarios.
5. Obligaciones del Encargado (art. 28.3 RGPD)
El Encargado se obliga a:
- Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo que se lo exija el Derecho de la Unión o de los Estados miembros, en cuyo caso lo informará previamente al Responsable salvo prohibición legal.
- Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad.
- Adoptar y mantener las medidas técnicas y organizativas apropiadas del art. 32 RGPD, descritas en la cláusula 11.
- Respetar las condiciones de subcontratación de los apartados 2 y 4 del art. 28 RGPD, en los términos de la cláusula 6.
- Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que este pueda atender las solicitudes de ejercicio de los derechos de los arts. 15 a 22 RGPD.
- Asistir al Responsable en el cumplimiento de las obligaciones de los arts. 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
- A elección del Responsable, devolver o suprimir los datos personales una vez finalizada la prestación del Servicio, en los términos de la cláusula 9.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento del art. 28 RGPD y permitir y contribuir a las auditorías previstas en la cláusula 12.
- Informar inmediatamente al Responsable si, en su opinión, una instrucción infringe el RGPD u otras disposiciones de protección de datos.
6. Subencargados (art. 28.2 y 28.4 RGPD)
El Responsable autoriza con carácter general que el Encargado recurra a los siguientes subencargados, todos ellos vinculados por obligaciones de protección de datos equivalentes a las de este Acuerdo:
- 1&1 IONOS SE (Alemania, centros de datos en la Unión Europea) — servidores, almacenamiento y conectividad donde reside la plataforma.
- Backblaze Inc. (Estados Unidos; almacenamiento en su región europea) — custodia de las copias de seguridad.
- Brevo SAS (Francia) — envío de los correos que la plataforma dirige al Responsable y a los usuarios de su cuenta, cuyo contenido puede incluir datos de las órdenes de reparación.
- Google LLC / Google Ireland Ltd. — correo corporativo y herramientas internas de GTG, a través de las cuales pueden tramitarse las comunicaciones de soporte con el Responsable.
El detalle de cada uno —servicio prestado, datos tratados y garantías de transferencia— se publica y se mantiene actualizado en gtg-repara.com/encargados.
El Encargado notificará la incorporación o sustitución de subencargados con un preaviso mínimo de quince (15) días al correo electrónico registrado del Responsable. Este podrá oponerse por motivos razonables dentro de ese plazo; si la objeción no puede resolverse, el Responsable podrá resolver el contrato sin penalización, con derecho al reembolso de la parte proporcional no consumida de la cuota en curso.
Quedan fuera de este Acuerdo, por no ser subencargados del Responsable, los proveedores que intervienen en la relación en la que GTG es responsable del tratamiento y no encargado —señaladamente la pasarela de pago de las cuotas de suscripción y la gestoría contable de GTG—, que tratan datos del Responsable como cliente de GTG, no datos de los clientes de su taller.
Cuando el Responsable utilice el Servicio para preparar un mensaje de WhatsApp dirigido a un cliente suyo, el envío se realiza desde la propia cuenta de WhatsApp del Responsable y bajo su control: en ese canal GTG no interviene como encargado, y en la plataforma únicamente queda la bitácora descrita en la cláusula 4.
7. Transferencias internacionales
Los datos se alojan en la Unión Europea, y también las copias de seguridad, que se depositan en la región europea del proveedor de almacenamiento. No se realizan, por tanto, transferencias de los datos del Responsable fuera del Espacio Económico Europeo para su alojamiento.
Cuando por la sede del subencargado pueda producirse un acceso desde fuera del Espacio Económico Europeo —señaladamente en los servicios prestados por sociedades estadounidenses—, GTG garantiza que concurren garantías adecuadas conforme al Capítulo V del RGPD: decisión de adecuación, Cláusulas Contractuales Tipo (Decisión de Ejecución (UE) 2021/914) o adhesión al EU-U.S. Data Privacy Framework. El detalle por proveedor figura en gtg-repara.com/encargados.
8. Plazos de conservación
El Encargado conserva los datos mientras el Responsable mantenga vigente su contrato. Es el Responsable quien decide cuánto tiempo conserva la información de sus propios clientes dentro del Servicio y quien debe determinar los plazos que le resulten aplicables, en particular:
- Las facturas y la documentación mercantil que el Responsable emite desde el Servicio están sujetas a sus propias obligaciones de conservación (art. 30 del Código de Comercio y art. 165 de la Ley 37/1992, del IVA), que le corresponden a él como empresario aunque encomiende la custodia a un tercero.
- El resto de la información del taller —cartera de clientes, órdenes de reparación e informes— no tiene un plazo legal propio de conservación: el Responsable debe suprimir la que ya no necesite para la finalidad que la justificó.
Tras la baja del Responsable rigen los plazos de la cláusula 9 de las Condiciones generales de contratación: cesa el acceso al Servicio y el Responsable dispone de noventa (90) días naturales para solicitar una copia de sus datos, transcurridos los cuales, y una vez cumplidos los plazos legales aplicables, se suprimen o anonimizan de forma irreversible.
9. Devolución y supresión al fin de la prestación
A elección del Responsable, al finalizar el contrato el Encargado (a) le devolverá los datos en formato estructurado y de uso común (CSV, PDF o XML según el contenido) o (b) procederá a su supresión segura. Lo que no se devuelva se suprime: no existe la opción de que el Encargado conserve los datos sin entregarlos.
La entrega se realiza sin coste y no se condiciona al pago de cantidades pendientes. Para solicitarla basta escribir a soporte@gtg-repara.com indicando qué se necesita. La supresión alcanza también a las copias de seguridad, que se sobrescriben conforme al ciclo de retención indicado en la cláusula 11.
10. Asistencia en el ejercicio de derechos
Corresponde al Responsable atender las solicitudes de los clientes de su taller y de su personal: es él quien mantiene la relación con ellos y quien debe informarles del tratamiento. El Servicio le permite consultar, rectificar, exportar y suprimir esos datos por sí mismo.
Si un interesado se dirige al Encargado para ejercer sus derechos, este no atenderá la solicitud por su cuenta: la trasladará al Responsable sin dilación indebida y le prestará la asistencia técnica necesaria para que pueda resolverla dentro del plazo legal.
11. Medidas de seguridad (art. 32 RGPD)
- Cifrado de las comunicaciones en tránsito mediante TLS 1.2 o superior.
- Separación estricta de los datos de cada taller: cada cuenta accede únicamente a la información de los talleres que tiene asignados.
- Control de acceso por roles y contraseñas almacenadas mediante funciones de derivación con sal, nunca en claro.
- Registro de eventos y trazabilidad de las operaciones relevantes sobre órdenes, cobros y facturación.
- Custodia restringida de los certificados digitales que el Responsable aporte para la facturación, accesibles únicamente a la aplicación.
- Copias de seguridad diarias depositadas en un proveedor externo independiente del de alojamiento, en un contenedor privado con cifrado en reposo y retención de treinta (30) días.
- Actualización periódica de la plataforma y de sus dependencias, y monitorización automática de la disponibilidad del servicio con alertas.
- Procedimiento documentado de respuesta ante incidentes de seguridad.
Las medidas pueden evolucionar para incorporar mejoras técnicas, sin que su nivel de protección pueda reducirse respecto del aquí descrito.
12. Auditorías
El Responsable podrá verificar el cumplimiento de este Acuerdo con un preaviso mínimo de treinta (30) días, en horario laboral, sin entorpecer la actividad del Encargado y sujeto a deber de confidencialidad. El Encargado podrá satisfacer esta obligación aportando informes de auditoría externa o certificaciones equivalentes. Los costes corren por cuenta del Responsable, salvo que la auditoría constate incumplimientos relevantes, en cuyo caso los asume el Encargado.
13. Violaciones de la seguridad de los datos
En caso de violación de la seguridad que afecte a datos personales tratados por cuenta del Responsable, el Encargado se lo notificará sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes a tener conocimiento de ella, describiendo la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. La notificación a la Agencia Española de Protección de Datos (art. 33 RGPD) y, en su caso, a los interesados (art. 34 RGPD) corresponde al Responsable.
14. Confidencialidad
El Encargado garantiza que el personal autorizado para tratar los datos está sujeto a un deber expreso de confidencialidad, que se mantiene indefinidamente tras la finalización de la relación.
15. Responsabilidad
Cada parte responde frente a la otra de los daños derivados de su propio incumplimiento de este Acuerdo y del RGPD, conforme al art. 82 del Reglamento. La responsabilidad del Encargado se rige además por la cláusula 13 de las Condiciones generales de contratación.
16. Vigencia y modificación
Este Acuerdo entra en vigor con la aceptación de las Condiciones generales de contratación y permanece vigente mientras GTG trate datos personales por cuenta del Responsable. Sus modificaciones se comunicarán con al menos treinta (30) días de antelación; si el Responsable no las acepta, podrá resolver el contrato sin penalización antes de su entrada en vigor.
17. Ley aplicable y jurisdicción
Conforme a la cláusula 18 de las Condiciones generales de contratación.
Para cualquier consulta sobre este Acuerdo: rgpd@gesturas.com · ← Volver a Repara