Acuerdo de tratamiento de datos

Partes

El responsable es el taller titular de una cuenta de Junto. El encargado es la empresa con la que el taller contrata: Servio LLC (ID 405892057, Tiflis, Georgia) para un taller en Georgia, KaiQR LLC (Dover, Delaware, EE. UU.) para un taller en otro país. KaiQR LLC encarga el tratamiento a Servio LLC, operador de Junto; el taller lo autoriza.

Cuando el taller está en la UE y nosotros fuera, este acuerdo incorpora por referencia las cláusulas contractuales tipo de la Comisión Europea (módulo dos, de responsable a encargado); en caso de conflicto prevalecen las cláusulas.

Objeto

Operar Junto para el taller: guardar y mostrar sus clientes, coches, reservas, órdenes de trabajo, fotos, facturas, pagos y reseñas; enviar los SMS y notificaciones que el taller provoca; generar sus documentos, exportaciones e informes.

Duración

Mientras el taller tenga una cuenta de Junto, y después la conservación descrita en la política de privacidad: 90 días de solo lectura tras un impago y eliminación 12 meses después de la cancelación, o antes a petición escrita del taller.

Naturaleza y finalidad

Almacenamiento, visualización, búsqueda, modificación, envío de mensajes, copias de seguridad y eliminación de los datos, solo para prestar Junto al taller y a sus clientes. No usamos los datos de los clientes del taller para fines propios, salvo el historial anonimizado por VIN que el taller aceptó en las condiciones.

Interesados y categorías de datos

• Interesados: los clientes del taller (particulares y el personal de sus clientes corporativos), el personal del taller y los familiares con los que un propietario comparte un coche.
• Categorías: nombres, teléfonos, correos electrónicos, vehículos (matrícula, VIN, marca, modelo, kilometraje), reservas y visitas, trabajos realizados y precios, fotos de vehículos y daños, firmas en la recepción, facturas y pagos, reseñas, horas y pagas del personal.
• Usar Junto no requiere categorías especiales de datos; el taller no debe guardar ninguna en campos de texto libre ni en fotos.

Instrucciones

Tratamos los datos solo según las instrucciones documentadas del taller: estas condiciones, los ajustes que el taller elige en Junto y lo que su personal hace en el programa. Avisamos al taller si una instrucción nos parece contraria a la ley.

Nuestro propio personal accede a los datos del taller solo para operar el servicio, atender una solicitud de soporte del taller o cuando la ley lo exige; ese acceso queda registrado.

Confidencialidad

Todas las personas a las que permitimos tratar los datos están sujetas a confidencialidad, por contrato o por ley, y formadas para ello.

Seguridad (art. 32 del RGPD)

• Todas las conexiones van cifradas (TLS); las contraseñas se guardan solo como hashes; las aplicaciones guardan sus sesiones en el almacenamiento seguro del teléfono.
• Los datos de cada taller están separados por taller en la base de datos y en el almacenamiento de archivos, y se muestran solo a quienes tienen un rol en ese taller; las fotos se sirven con comprobación de acceso.
• Copias de seguridad diarias cifradas en una ubicación separada, conservadas 30 días; las restauraciones se prueban.
• El acceso administrativo y las acciones de administración quedan registrados; los intentos de acceso están limitados.
• Revisamos estas medidas cuando el servicio cambia y al menos una vez al año.

Subencargados

El taller autoriza a los siguientes subencargados. Avisamos a los talleres de un cambio previsto por correo o en el programa al menos 30 días antes de que surta efecto, y un taller que se oponga por motivos razonables puede terminar su suscripción antes del cambio.

• Hetzner Online GmbH (Alemania): servidores, base de datos y copias de seguridad.
• Una pasarela de SMS en Georgia: mensajes a números georgianos (los números de los clientes del taller y el texto).
• Resend, Inc. (EE. UU.): correos enviados por Junto (direcciones y contenido del correo).
• Stripe, Inc. (EE. UU.): la suscripción de un taller fuera de Georgia (los datos del taller y de su propietario, nunca los de sus clientes).
• Apple Inc. y Google LLC (EE. UU.), a través de Expo: entrega de notificaciones a las aplicaciones (tokens de dispositivo y texto de la notificación).

Solicitudes de los interesados

Una solicitud que un cliente nos envía sobre los registros del taller se remite al taller en 5 días laborables; ayudamos al taller a responderla con las herramientas del programa (búsqueda, exportación, corrección, eliminación). Las solicitudes sobre cuentas de Junto las respondemos nosotros.

Violaciones de la seguridad de los datos

Informamos al taller de una violación de la seguridad que afecte a sus datos sin dilación indebida y a más tardar 48 horas después de tener conocimiento de ella, con lo que sabemos, lo que estamos haciendo y a quién dirigirse, y mantenemos informado al taller.

Devolución y eliminación

El taller puede descargar todos sus datos en cualquier momento desde la página de suscripción, también en modo de solo lectura. Tras la cancelación de la suscripción los datos se conservan para su descarga y se eliminan 12 meses después, o antes a petición escrita del propietario del taller, salvo lo que la ley fiscal nos obliga a conservar.

Lo que deja una eliminación está en la política de privacidad: cuentas de personal que también trabajan en otro lugar, cuentas propias de los propietarios de coches, nuestro registro de administración sin la referencia al taller y nuestras facturas al taller.

Auditorías

A petición, damos al taller la información que necesita para demostrar que este acuerdo se cumple, y una vez al año, o tras una violación de seguridad, permitimos una auditoría por parte del taller o de un auditor sujeto a confidencialidad, en una fecha acordada de antemano y a cargo del taller.

Transferencias

Los datos se almacenan en Alemania. Servio LLC accede a ellos desde Georgia para operar el servicio; para un taller de la UE ese acceso está amparado por las cláusulas contractuales tipo incorporadas a este acuerdo y por las medidas anteriores. Nuestros subencargados de EE. UU. operan bajo el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo.

Obligaciones propias del taller

• El taller tiene una base legal para los datos que guarda en Junto y para los SMS que envía, y respeta la negativa de un cliente.
• El taller informa a sus clientes de que sus registros se guardan en Junto y de cómo ejercer sus derechos, y responde a sus solicitudes como responsable.
• El taller cumple las normas de su propio país, por ejemplo el RGPD en España, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares en México, la Ley 1581 de 2012 en Colombia y la Ley de Protección de Datos Personales en Georgia.

Quién gestiona Junto

Junto (junto.ge y sus aplicaciones) es propiedad de Servio LLC, Tiflis, que lo opera y es también el vendedor para los talleres de Georgia. Para los talleres fuera de Georgia, el vendedor y la parte contratante es KaiQR LLC, Delaware, que licencia Junto de Servio LLC; los pagos en el extranjero los cobra Stripe como comerciante registrado (merchant of record).