Contrato de encargado del tratamiento

1. Partes

El presente contrato de encargado del tratamiento (en adelante, «el Contrato») se celebra entre:

• El Responsable del tratamiento: la compraventa de vehículos que contrata el servicio Ventacar, identificada en la propuesta comercial aceptada y en los datos de facturación de su cuenta (en adelante, «el Responsable»).
• El Encargado del tratamiento: [PENDIENTE: confirmar la denominación social completa], con NIF [PENDIENTE: confirmar el NIF/CIF] y domicilio en [PENDIENTE: confirmar el domicilio social completo] (en adelante, «Ventacar» o «el Encargado»).

Este Contrato forma parte inseparable de los términos y condiciones de contratación y se entiende aceptado con la contratación del servicio. Prevalece sobre aquellos en todo lo relativo al tratamiento de datos personales por cuenta del Responsable.

2. Objeto

El objeto del Contrato es habilitar a Ventacar para tratar, por cuenta del Responsable, los datos personales necesarios para prestar el servicio contratado: la plataforma de gestión comercial y los agentes de inteligencia artificial que atienden por WhatsApp a los clientes y potenciales clientes del Responsable.

Ventacar tiene la condición de encargado del tratamiento en el sentido del artículo 4.8 del RGPD. El Responsable mantiene el control sobre los fines y los medios esenciales del tratamiento y es quien debe cumplir el deber de información frente a sus clientes y atender el ejercicio de sus derechos.

Ventacar no tratará los datos para fines propios, no los cederá a terceros ajenos a la prestación del servicio y no los utilizará para entrenar modelos de inteligencia artificial propios ni de terceros.

3. Duración

El Contrato entra en vigor con el alta del servicio y permanece vigente mientras dure la relación contractual entre las partes.

A su terminación, el Encargado procederá conforme a la cláusula 11 (destino de los datos). Las obligaciones de confidencialidad subsisten sin límite temporal respecto de los datos personales a los que se haya accedido.

4. Naturaleza y finalidad del tratamiento

Las operaciones de tratamiento que se realizan por cuenta del Responsable son:

• Recogida y registro de los datos de contacto e interés de las personas que escriben a la compraventa por WhatsApp o que llegan como lead desde un portal de anuncios o desde el propio Responsable.
• Conservación y organización de esos datos en el CRM: contactos, conversaciones, leads, citas y operaciones.
• Comunicación automatizada con esas personas a través de WhatsApp mediante los agentes de inteligencia artificial, incluida la generación de las respuestas mediante un modelo de lenguaje.
• Estructuración y consulta de la información para su uso por el equipo del Responsable, incluida la clasificación del grado de interés de cada contacto como ayuda organizativa interna.
• Elaboración de documentación comercial (presupuestos, propuestas de financiación, facturas) a partir de los datos que el Responsable introduce.
• Supresión de los datos cuando el Responsable lo solicite o al terminar el Contrato.

La finalidad es única: prestar el servicio contratado por el Responsable para la gestión comercial de su compraventa. Cualquier tratamiento con una finalidad distinta requiere instrucción previa y documentada del Responsable.

5. Tipos de datos y categorías de interesados

Categorías de interesados:

• Clientes y potenciales clientes del Responsable que contactan con la compraventa por cualquiera de los canales conectados.
• Personas usuarias de la plataforma pertenecientes a la organización del Responsable (comerciales, administración, dirección).

Tipos de datos personales:

Datos identificativos y de contacto: nombre, apellidos, número de teléfono, nombre del perfil de WhatsApp, dirección de correo electrónico y, cuando el Responsable los introduce para formalizar una operación, DNI/NIE y dirección postal.

Contenido de las comunicaciones: mensajes intercambiados con el agente y con el equipo del Responsable, incluidos los archivos que la persona envíe voluntariamente.

Datos comerciales: vehículo de interés, presupuesto, forma de pago prevista, vehículo propio a efectos de tasación o permuta, citas concertadas y estado de la operación.

Datos de la operación: cuando el Responsable emite documentación, los datos necesarios para la factura o el contrato de compraventa.

No está previsto el tratamiento de categorías especiales de datos del artículo 9 del RGPD ni de datos de menores de edad. El Responsable se obliga a no introducirlos en la plataforma y a no configurar el agente para solicitarlos.

6. Obligaciones del Responsable

El Responsable se obliga a:

1. Disponer de una base jurídica válida para el tratamiento de los datos que introduce o que llegan a la plataforma, y haber cumplido el deber de información del artículo 13 del RGPD frente a sus clientes, incluida la mención a que utiliza un asistente virtual para atenderles.
2. Facilitar al Encargado instrucciones lícitas y comunicarle cualquier cambio que afecte al tratamiento.
3. Atender el ejercicio de derechos de sus clientes y las reclamaciones que estos le dirijan, en su condición de responsable.
4. Supervisar la actividad del agente de inteligencia artificial y corregir la información inexacta que detecte, conforme a los términos y condiciones del servicio.
5. No utilizar el servicio para enviar comunicaciones comerciales a personas que no lo hayan consentido o que no hayan contactado previamente con la compraventa.
6. Comunicar sin demora al Encargado cualquier incidencia de seguridad de la que tenga conocimiento y que afecte a la plataforma.

7. Obligaciones del Encargado

Conforme al artículo 28.3 del RGPD, Ventacar se obliga a:

1. Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales. Se consideran instrucciones documentadas el propio Contrato, los términos y condiciones, y la configuración que el Responsable establece en su panel. Si el Encargado entiende que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato al Responsable.
2. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y que reciben la formación necesaria. El acceso se limita al personal que lo precise para prestar el servicio o dar soporte.
3. Adoptar las medidas de seguridad del artículo 32 del RGPD, descritas en la cláusula 9.
4. Respetar el régimen de subencargados de la cláusula 8.
5. Asistir al Responsable en la atención de los derechos de los interesados y en el cumplimiento de sus obligaciones, conforme a la cláusula 10.
6. Notificar las violaciones de seguridad conforme a la cláusula 12.
7. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a auditorías, conforme a la cláusula 13.
8. Suprimir o devolver los datos al finalizar la prestación, conforme a la cláusula 11.
9. No comunicar los datos a terceros salvo que el Responsable lo autorice o exista obligación legal. Si una autoridad requiere el acceso a los datos, el Encargado informará al Responsable con carácter previo, salvo que la ley se lo prohíba.
10. Llevar el registro de actividades de tratamiento realizadas por cuenta del Responsable, conforme al artículo 30.2 del RGPD.

8. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los subencargados relacionados a continuación, necesarios para prestar el servicio (autorización general del artículo 28.2 del RGPD).

Con todos ellos el Encargado ha suscrito, o suscribirá antes de darles acceso, un contrato que les impone las mismas obligaciones de protección de datos que las establecidas en este Contrato. El Encargado responde plenamente ante el Responsable del cumplimiento por parte del subencargado.

Cambios: el Encargado informará al Responsable de cualquier incorporación o sustitución de subencargados con una antelación mínima de treinta (30) días naturales. Durante ese plazo el Responsable podrá oponerse por motivos razonables y fundados relativos a la protección de datos. Si la oposición impide prestar el servicio y las partes no alcanzan una solución, cualquiera de ellas podrá resolver el contrato de servicio sin penalización.

Transferencias internacionales: cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se amparará en una decisión de adecuación de la Comisión Europea, en Cláusulas Contractuales Tipo o en otra de las garantías del capítulo V del RGPD. El Encargado facilitará al Responsable, a su solicitud, copia o justificación de la garantía aplicada.

9. Medidas de seguridad

Atendiendo al estado de la técnica, los costes de aplicación y la naturaleza, el alcance y los riesgos del tratamiento, el Encargado aplica, entre otras, las siguientes medidas técnicas y organizativas:

• Cifrado en tránsito de todas las comunicaciones (TLS) y cifrado en reposo de la base de datos y del almacenamiento de archivos según lo que proporcione el proveedor de infraestructura.
• Aislamiento entre clientes: cada compraventa constituye una organización lógica separada y el acceso a los datos se controla en la propia base de datos mediante políticas por organización, no solo en la capa de aplicación.
• Control de acceso nominativo por persona usuaria y por rol, con autenticación reforzada en las cuentas de administración.
• Registro de auditoría de las operaciones sensibles, que permite reconstruir quién hizo qué y cuándo.
• Copias de seguridad periódicas y verificación de la capacidad de restauración.
• Minimización: no se almacena el cuerpo íntegro de los correos entrantes de portales, solo los datos extraídos y validados; y los datos de tarjeta los trata directamente la pasarela de pago, sin pasar por los sistemas del Encargado.
• Revisión periódica de permisos y de dependencias, y aplicación de actualizaciones de seguridad.
• Procedimiento interno de gestión de incidentes con evaluación de riesgo y notificación.

El Encargado podrá modificar estas medidas siempre que el nivel de seguridad resultante no sea inferior al descrito.

10. Asistencia al Responsable

El Encargado asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga:

• Derechos de los interesados (arts. 12 a 22 RGPD): mediante las funcionalidades de la plataforma —consulta, exportación, rectificación y borrado de contactos y conversaciones— y, cuando no basten, mediante asistencia directa. Si un interesado dirige una solicitud al Encargado, este se abstendrá de responder al fondo, la trasladará al Responsable sin dilación indebida y le facilitará lo necesario para atenderla.
• Seguridad, evaluaciones de impacto y consultas previas (arts. 32 a 36 RGPD): facilitando la información sobre el tratamiento, las medidas de seguridad y los subencargados que el Responsable necesite.
• Notificación de brechas: conforme a la cláusula 12.

Las solicitudes de asistencia se dirigirán a [PENDIENTE: confirmar el email de privacidad]. La asistencia razonable está incluida en el precio del servicio; si una solicitud exige un esfuerzo desproporcionado y recurrente, el Encargado podrá repercutir el coste, previa comunicación y aceptación del Responsable.

11. Destino de los datos al finalizar

A la terminación de la prestación del servicio, cualquiera que sea su causa, el Responsable elige entre la devolución o la supresión de los datos personales. A falta de instrucción expresa se aplicará el siguiente régimen por defecto:

1. Durante treinta (30) días naturales desde la baja, los datos se conservan bloqueados y el Responsable puede exportarlos desde el panel o solicitar su entrega en formato estructurado y de uso común.
2. Transcurrido ese plazo, el Encargado suprimirá los datos personales de sus sistemas de producción y solicitará su supresión a los subencargados.
3. Las copias de seguridad que aún contengan datos se eliminarán conforme a su ciclo de rotación, sin que durante ese periodo se acceda a ellas para ninguna finalidad distinta de la restauración ante incidentes.
4. Se exceptúan los datos que el Encargado deba conservar por obligación legal, debidamente bloqueados y accesibles solo para atender requerimientos de las autoridades competentes. En particular, la documentación de facturación: 4 años (arts. 66 y 67 de la Ley General Tributaria) y 6 años de conservación de libros y documentación mercantil (art. 30 del Código de Comercio).

El Encargado acreditará la supresión al Responsable si este lo solicita.

12. Violaciones de la seguridad de los datos

El Encargado notificará al Responsable, sin dilación indebida y en todo caso dentro de las cuarenta y ocho (48) horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad que afecte a los datos personales tratados por su cuenta.

La notificación se dirigirá a la dirección de contacto registrada en la cuenta del Responsable e incluirá, en la medida en que se disponga de ella:

• La descripción de la naturaleza de la violación, con indicación de las categorías y el número aproximado de interesados y de registros afectados.
• Los datos de contacto para obtener más información.
• La descripción de las posibles consecuencias.
• Las medidas adoptadas o propuestas para poner remedio a la violación y mitigar sus efectos.

Si no fuera posible facilitar toda la información simultáneamente, se irá completando de manera gradual sin dilación indebida.

La notificación a la autoridad de control y, en su caso, a los interesados corresponde al Responsable, en su condición de tal (arts. 33 y 34 RGPD). El Encargado le prestará toda la colaboración necesaria.

13. Auditoría y demostración del cumplimiento

El Encargado pondrá a disposición del Responsable, a su solicitud razonada, la información necesaria para demostrar el cumplimiento de las obligaciones de este Contrato.

El Responsable podrá realizar una auditoría al año, por sí mismo o a través de un auditor independiente sujeto a confidencialidad, previo preaviso de treinta (30) días naturales, en horario laboral y sin interferir en la actividad del Encargado. Podrán realizarse auditorías adicionales cuando se haya producido una violación de seguridad relevante o lo exija una autoridad de control.

El Encargado podrá satisfacer estas solicitudes aportando certificaciones, informes de auditoría de terceros o cuestionarios de seguridad completados, cuando resulten suficientes para acreditar el cumplimiento. Los costes de una auditoría presencial solicitada por el Responsable serán a su cargo, salvo que se detecten incumplimientos relevantes imputables al Encargado.

14. Responsabilidad, modificaciones y legislación aplicable

Cada parte responde de los daños que cause por el incumplimiento de sus obligaciones bajo el RGPD, en los términos del artículo 82 del RGPD. Los límites de responsabilidad pactados en los términos y condiciones se aplican también a este Contrato, salvo en aquello que la normativa no permita limitar.

El Encargado podrá modificar este Contrato para adaptarlo a cambios normativos o a la evolución del servicio, comunicándolo al Responsable con una antelación mínima de treinta (30) días naturales. Si el Responsable no acepta la modificación, podrá resolver el contrato de servicio sin penalización antes de su entrada en vigor.

Este Contrato se rige por el RGPD, por la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, y por la legislación española.