Acuerdo de tratamiento de datos

entre

el negocio que utiliza el software para negocios, con los datos de su aviso legal en la plataforma —como responsable del tratamiento, en lo sucesivo, «el Cliente»—

y

SavePaperwork, titular Andreas Gerum, Höfatsstraße 16, 86163 Augsburg, Alemania —como encargado del tratamiento, en lo sucesivo, «el Proveedor»—. El punto de contacto para instrucciones y protección de datos es la dirección de correo electrónico indicada en el aviso legal.

Preámbulo

(1) El Proveedor pone a disposición del Cliente una plataforma de software como servicio para la gestión de su negocio, con las funciones indicadas en el § 1, apartado 3, según el producto y la tarifa contratados. Al hacerlo, trata datos personales por cuenta del Cliente y siguiendo sus instrucciones. El Cliente es el responsable de ese tratamiento en el sentido del art. 4.7 del RGPD.

(2) Este acuerdo forma parte del contrato de uso de la plataforma (contrato principal, CGC). En caso de contradicción, prevalece en materia de protección de datos, también sobre las reglas de las CGC relativas a la supresión tras la finalización del contrato.

(3) No están comprendidos en este acuerdo los siguientes tratamientos; respecto de ellos, el propio Proveedor es responsable del tratamiento, y su política de privacidad los describe:

1. los datos contractuales, de facturación y de pago del Cliente y de sus usuarios frente al Proveedor (suscripción, servicios adicionales, saldo de SMS);
2. la cuenta de cliente común a toda la plataforma (§ 2, apartado 4);
3. la medición de audiencia y el análisis de uso en las páginas de la plataforma, también en el sitio web, la página de reservas y el portal de clientes del Cliente y en su área de gestión (Anexo 3, puntos 2 y 3);
4. las solicitudes de contacto, comentarios y soporte dirigidas al Proveedor.

El Proveedor enumera estos tratamientos en el Anexo 3 para que el Cliente pueda informar correctamente a sus clientes y empleados.

§ 1 Objeto, naturaleza, finalidad y duración del tratamiento

(1) Objeto: la puesta a disposición y la explotación de la plataforma y el tratamiento de datos personales vinculado a ellas para la gestión de citas, clientes, vehículos, órdenes de trabajo, personal y facturación del Cliente.

(2) Naturaleza: recogida, registro, organización, estructuración, conservación, adaptación, extracción, consulta, utilización, comunicación por transmisión (a los usuarios autorizados del Cliente, al propio interesado y a las entidades indicadas en los Anexos 2 y 3), cotejo, interconexión, limitación, anonimización y supresión, en cada caso de forma automatizada en el marco de la plataforma.

(3) Finalidad: exclusivamente la prestación de los servicios acordados, en la medida en que el Cliente los utilice:

Con los datos de este acuerdo no se realiza ningún tratamiento para fines propios del Proveedor —en particular, publicidad, elaboración de perfiles, comunicación a terceros para sus propios fines ni entrenamiento de modelos de IA—. El apartado 3 del Preámbulo no se ve afectado.

(4) Duración: la vigencia del contrato principal. Este acuerdo no finaliza antes de que se hayan cumplido las obligaciones del § 9.

§ 2 Interesados y categorías de datos

(1) Interesados

• los clientes del Cliente: personas que reservan, solicitan o acuden a una cita, figuran en el fichero de clientes, traen un vehículo, aprueban un presupuesto o reciben una factura;
• titulares y conductores de vehículos, en la medida en que no sean ellos mismos clientes;
• los empleados del Cliente (como recurso de la agenda, como persona que ejecuta o revisa un trabajo, como titular de un acceso de empleado);
• candidatos;
• autores de reseñas (reseñas de Google del negocio que se muestran en su sitio web);
• terceros a los que el Cliente registra en texto libre (p. ej., acompañantes).

(2) Categorías de datos — todos los productos

(3) Categorías de datos — solo Werkstattsystem

El registro de tiempo, el control de calidad y las partidas de trabajo son datos de empleados relacionados con el rendimiento. Si el Cliente los evalúa y cómo lo hace es responsabilidad suya; el Proveedor no los evalúa.

(4) La cuenta de cliente. Una cuenta de cliente (correo electrónico, hash de la contraseña, nombre y apellidos, teléfono, idioma, foto de perfil, identificadores de confirmación y de restablecimiento, momento del consentimiento para mostrar en «Mis citas» las citas en consultas) es común a toda la plataforma: el mismo inicio de sesión sirve en todos los negocios, y cada portal de clientes muestra solo los datos del negocio correspondiente. El Proveedor es el responsable del tratamiento de la propia cuenta de cliente (Preámbulo, apartado 3, n.º 2). La ficha de cliente y las citas, los vehículos, las órdenes de trabajo y las facturas del Cliente son tratamiento por encargo conforme a este acuerdo. La vinculación entre la cuenta y la ficha de cliente se crea con la primera reserva y solo con una dirección de correo electrónico confirmada.

(5) Categorías especiales (art. 9 del RGPD) y datos del art. 10 del RGPD

a) Nivel sanitario. Ningún campo de la plataforma está destinado a datos de salud de los clientes. Sin embargo, en el caso de un Cliente de un sector del Anexo 4 (consultas de profesiones sanitarias), el mero hecho de que una persona haya concertado una cita ya es un dato de salud (art. 9.1 del RGPD), al igual que el servicio elegido y la persona que la atiende. Para la concertación de citas, el Cliente se basa por regla general en el art. 6.1.b en relación con el art. 9.2.h del RGPD; los recordatorios y las solicitudes de valoración no están cubiertos por esa base (§ 5, n.º 6). Para los Clientes del Anexo 4 se aplica lo siguiente, modificable en los ajustes de reserva:

1. Los recordatorios y las solicitudes de valoración están desactivados hasta que el Cliente los active tras haber obtenido el consentimiento de sus pacientes. Quien no haya dado su consentimiento o lo retire queda marcado en la ficha de cliente con «Sin recordatorios ni solicitudes de valoración» y no recibe ninguno.
2. Los recordatorios por correo electrónico y por SMS no mencionan el servicio.
3. Las citas finalizadas se suprimen al vencer el plazo, no se anonimizan (§ 9, apartado 4).
4. En el sitio web, la página de reservas, el portal de clientes y el área de gestión del Cliente no se ejecuta ninguna grabación de sesiones (Anexo 3, punto 3); se mantiene la medición de audiencia sin cookies (Anexo 3, punto 2).
5. En la cuenta de cliente común a toda la plataforma, las citas del Cliente solo aparecen si la persona ha dado allí su consentimiento expreso. El consentimiento se guarda con el momento en que se dio y puede retirarse allí.
6. El formulario de reserva indica al Cliente como responsable del tratamiento y al Proveedor como quien gestiona las citas por su cuenta.

b) Textos libres. En las notas de ficha, de cita, de solicitud, de vehículo y de defectos pueden acabar datos como alergias, tolerancia cutánea, embarazo o medicamentos, y en las notas del taller, por ejemplo, datos sobre cómo ocurrió un accidente o sobre un proceso penal. Si se registran tales datos lo decide el Cliente; para ello necesita una base jurídica propia (en el caso del art. 9 del RGPD, por regla general, el consentimiento explícito). La plataforma no ofrece ninguna protección especial por campo: quien puede ver una ficha de cliente o una cita ve también su texto libre.

c) Enfermedad de los empleados. El tipo de ausencia «Enfermedad» y el origen «Baja por enfermedad» dejan constancia del hecho de una enfermedad. La base jurídica y las reglas de acceso son responsabilidad del Cliente. Un diagnóstico no es un campo y no debe escribirse en el texto libre.

d) Menores. La plataforma no pregunta la edad. Si el Cliente acepta reservas de menores es decisión suya.

§ 3 Instrucciones

(1) El Proveedor trata los datos únicamente siguiendo instrucciones documentadas del Cliente, también en lo que respecta a las transferencias a terceros países (§ 7). La instrucción básica la constituyen el contrato principal, la descripción del servicio y este acuerdo.

(2) Se consideran instrucciones individuales documentadas los ajustes que el Cliente configura en la plataforma, en particular: plazos de conservación de citas y candidaturas (§ 9, apartados 4 y 5), recordatorios y solicitudes de valoración, recordatorios por SMS por nivel, uso del asistente de IA (§ 7, apartado 2) y de la consulta de matrículas (§ 7, apartado 4), configuración de un buzón del negocio, visualización de las reseñas de Google, publicación de ofertas de empleo, recordatorio de cita de seguimiento por servicio, zona de servicio y tiempo de desplazamiento para las citas a domicilio.

(3) El Cliente imparte otras instrucciones en forma de texto al punto de contacto del Proveedor. Están facultados para impartir instrucciones el titular de la cuenta y las personas que el negocio designe para ello; en la plataforma, también los accesos con el rol «Responsable», en la medida en que puedan modificar ajustes.

(4) Si el Proveedor considera que una instrucción es contraria a Derecho, informa de ello al Cliente sin dilación indebida (art. 28.3, párrafo segundo, del RGPD) y puede suspender su ejecución hasta que sea confirmada o modificada.

§ 4 Obligaciones del Proveedor

El Proveedor

1. trata los datos únicamente conforme al § 3;
2. obliga a la confidencialidad a todas las personas que tienen acceso a los datos, salvo que estén sujetas a una obligación legal de secreto;
3. adopta las medidas técnicas y organizativas del art. 32 del RGPD recogidas en el Anexo 1 y las mantiene actualizadas; quedan excluidos los empeoramientos sustanciales;
4. cumple las condiciones del § 6 para recurrir a subencargados del tratamiento;
5. asiste al Cliente en las solicitudes de los interesados (arts. 12 a 22 del RGPD). La plataforma permite al Cliente consultar, rectificar y suprimir fichas de cliente, citas, vehículos y candidaturas. Previa petición, el Proveedor elabora en un plazo de 14 días una exportación completa y legible por máquina por persona en forma de archivo CSV. Si un interesado se dirige al Proveedor, este remite la solicitud al Cliente sin dilación indebida; si la solicitud se refiere a la cuenta de cliente (§ 2, apartado 4), el Proveedor la responde él mismo;
6. asiste al Cliente en el cumplimiento de las obligaciones de los arts. 32 a 36 del RGPD;
7. notifica al Cliente las violaciones de la seguridad de los datos personales sin dilación indebida tras tener conocimiento de ellas, a más tardar en un plazo de 48 horas, con la información del art. 33.3 del RGPD en la medida en que esté disponible, y la completa de forma continua;
8. designa como persona de contacto en materia de protección de datos a Andreas Gerum, localizable a través del punto de contacto, y, cuando lo exija la ley, un delegado de protección de datos;
9. pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de estas obligaciones (§ 8);
10. informa al Cliente sin dilación indebida de las inspecciones y medidas de una autoridad de control, en la medida en que afecten a este acuerdo, y de los requerimientos de información de autoridades relativos a los datos del Cliente, en la medida en que esté legalmente permitido.

§ 4a Secreto profesional (§ 203 StGB, Código Penal alemán)

(1) Ámbito de aplicación. El presente § 4a se aplica si el Cliente o una persona que trabaje para él pertenece a las personas indicadas en el § 203, apartados 1 o 2, del StGB —en particular, médicos, dentistas, veterinarios y miembros de una profesión sanitaria que exija una formación regulada por el Estado para su ejercicio o para el uso del título profesional (p. ej., fisioterapia, terapia ocupacional, logopedia, podología)—.

(2) Persona que colabora. El Proveedor colabora en la actividad profesional del Cliente en el sentido del § 203, apartado 3, segunda frase, del StGB. Se compromete a guardar secreto sobre todos los secretos ajenos de los que tenga conocimiento en el ejercicio o con ocasión de su actividad para el Cliente, también después de la finalización de este acuerdo. Es consciente de que, conforme al § 203, apartado 4, primera frase, del StGB, comete un delito si revela sin autorización uno de esos secretos.

(3) Conocimiento solo en la medida necesaria. El Proveedor solo toma conocimiento de secretos ajenos en la medida en que sea necesario para cumplir este acuerdo, por ejemplo para una corrección de errores solicitada por el Cliente.

(4) Personal propio. Antes de que comience su actividad, el Proveedor obliga en forma de texto a guardar secreto a toda persona que obtenga acceso a los datos en su organización y le informa de la responsabilidad penal conforme al § 203, apartado 4, del StGB.

(5) Subencargados del tratamiento. Cuando el Proveedor recurra a subencargados del tratamiento (§ 6, Anexo 2), se asegura de que estén obligados a guardar secreto y de que, a su vez, obliguen a su personal y a otros subcontratistas (§ 203, apartado 4, segunda frase, n.º 2, del StGB). Conforme a sus contratos, el prestador de alojamiento (Anexo 2, puntos 1 y 2) y el prestador de SMS (punto 3) solo emplean a personas obligadas a la confidencialidad. En el almacenamiento de objetos (punto 4) no se guardan datos de pacientes. El asistente de IA (puntos 5 a 7) no está disponible para los Clientes del apartado 1.

(6) Notificación. Si el Proveedor tiene motivos para suponer que se ha revelado un secreto sin autorización, informa de ello al Cliente sin dilación indebida; el § 4, n.º 7, se aplica por analogía.

§ 5 Obligaciones del Cliente

El Cliente

1. es responsable de la licitud del tratamiento, en particular de contar con una base jurídica para los recordatorios por correo electrónico y por SMS, los recordatorios de fechas de servicio y de inspección, las solicitudes de valoración, los recordatorios de cita de seguimiento y el registro de textos libres conforme al § 2, apartado 5;
2. informa a sus clientes, empleados y candidatos conforme a los arts. 13 y 14 del RGPD, también sobre los destinatarios de los Anexos 2 y 3 y, si utiliza la consulta de matrículas, sobre el hecho de que las características del vehículo proceden de un registro público;
3. fija en la plataforma los plazos de conservación (§ 9, apartados 4 y 5) que correspondan a su política de supresión; mientras no fije un plazo para las citas, estas permanecen almacenadas, salvo en el caso de los Clientes del Anexo 4 (§ 9, apartado 4);
4. asigna los accesos de empleados y los roles según el principio de necesidad de conocer y los retira cuando las personas dejan de prestar servicios;
5. notifica al Proveedor sin dilación indebida los errores o irregularidades que detecte al revisar los resultados;
6. obtiene —solo en el caso del Anexo 4— el consentimiento de sus pacientes para los recordatorios por correo electrónico o por SMS y para las solicitudes de valoración, y puede acreditarlo. La plataforma no lo solicita en la reserva online; solo envía recordatorios y solicitudes de valoración cuando el Cliente los activa en los ajustes de reserva. En su área de gestión dispone de una plantilla para el consentimiento en recepción («Configuración», sección «Datos para tu aviso legal»). El Cliente marca en la ficha de cliente a quien no haya dado su consentimiento o lo retire;
7. traslada —solo en el caso del Anexo 4— a su historia clínica los contenidos que deban documentarse. La agenda, la ficha de cliente y los textos libres de la plataforma no son historia clínica;
8. indica —solo en el caso del Anexo 4— al Proveedor como destinatario en su información sobre protección de datos y ofrece, además de la reserva online, otra vía para conseguir una cita, por ejemplo por teléfono. En su área de gestión dispone de una plantilla para este texto («Configuración», sección «Datos para tu aviso legal»).

§ 6 Subencargados del tratamiento (art. 28.2 y 28.4 del RGPD)

(1) Autorización general. El Cliente autoriza a los subencargados del tratamiento indicados en el Anexo 2 y otorga una autorización general por escrito para otros. El Proveedor informa de toda incorporación o sustitución prevista con al menos 30 días de antelación en forma de texto, por correo electrónico a la dirección de la cuenta y mediante un aviso en la plataforma.

(2) Oposición. Dentro de ese plazo, el Cliente puede oponerse por un motivo importante relativo a la protección de datos. Si no se encuentra una solución, puede resolver de forma extraordinaria el contrato principal en lo que respecta al servicio afectado, con efectos a la fecha del cambio; las cantidades pagadas por anticipado por el periodo posterior se reembolsan de forma proporcional.

(3) Traslado contractual. El Proveedor impone contractualmente a cada subencargado del tratamiento, en lo esencial, las mismas obligaciones de protección de datos que este acuerdo, en particular garantías suficientes de medidas técnicas y organizativas apropiadas. Responde ante el Cliente de su cumplimiento.

(4) No son subencargados del tratamiento los servicios que el Proveedor utiliza como prestaciones accesorias (p. ej., telecomunicaciones, correo postal) ni las entidades indicadas en el Anexo 3, que reciben datos como responsables del tratamiento por cuenta propia o como fuente pública de datos.

§ 7 Lugar del tratamiento, terceros países, destinatarios especiales

(1) Tratamiento principal. La aplicación, la base de datos, los archivos y el correo electrónico funcionan en un prestador de alojamiento en Alemania (Anexo 2, puntos 1 y 2, centro de datos en Fráncfort del Meno), que realiza copias de seguridad diarias de los datos y de los correos electrónicos. Los adjuntos de las candidaturas y las imágenes del sitio web, de la galería y de las reseñas se guardan en un prestador de almacenamiento de objetos en Fráncfort del Meno cuyo grupo tiene su sede en Estados Unidos (Anexo 2, punto 4). El Cliente elige el servicio de videollamada de una cita online; el Proveedor no le transmite nada y solo muestra el enlace del Cliente en los correos electrónicos y en el portal de clientes.

(2) Transferencias a terceros países. Solo se realiza una transferencia a un país fuera de la UE y del EEE en el caso del asistente de IA, sobre la base de los arts. 44 y ss. del RGPD:

• En el área de gestión de Salon Wizard hay disponible un asistente de IA; su alcance depende de la tarifa. Siempre que sea posible, el asistente responde a una entrada a partir de reglas fijas, sin intervención de terceros. Solo una entrada a la que no responde ninguna regla fija se transmite para su clasificación al prestador de modelos del Anexo 2, punto 5. Si este no responde, su uso alcanza un límite de coste o de solicitudes o no se ha configurado acceso para él, el asistente responde a la entrada a partir de reglas fijas; no se consulta a ningún otro prestador. El prestador realiza el tratamiento en Estados Unidos.
• Se transmiten la entrada en forma enmascarada, el idioma de la interfaz, la fecha, el área abierta y, según una lista mostrada previamente, identificadores sin nombres. No se transmiten los datos consultados (fichero de clientes, citas, ausencias, ingresos), los datos de contacto de la base de datos ni las entradas y respuestas anteriores.
• Enmascarada significa: antes de la transmisión, el Proveedor sustituye en la entrada por marcadores de posición las direcciones de correo electrónico, los números de teléfono y los nombres que el Cliente gestiona en la plataforma (empleados, accesos de empleados, clientes y sus cuentas de cliente confirmadas, nombres de citas y de solicitudes de cita de los últimos 90 días y de citas futuras, candidatos). Si esto falla, la entrada no se transmite a ningún prestador. El enmascaramiento no es una anonimización: los nombres que el Cliente no gestiona, los apodos, los nombres flexionados o mal escritos, los nombres que también son palabras de uso cotidiano, las partes muy cortas de nombres, los números de teléfono escritos con puntos o con menos de ocho dígitos y cualquier otro dato que una persona escriba en su entrada se transmiten sin cambios. El Cliente indica a sus personas autorizadas que no introduzcan en el asistente datos de salud ni otras categorías especiales de datos personales.
• La base de la transferencia son las cláusulas contractuales tipo de la Comisión Europea (art. 46.2.c del RGPD) y, cuando un prestador esté certificado conforme al Marco de Privacidad de Datos UE-EE. UU., la decisión de adecuación correspondiente (art. 45 del RGPD), en cada caso según el Anexo 2.
• El propio Proveedor almacena, en relación con el asistente, contadores, costes y momentos por negocio y por usuario, pero ni entradas ni respuestas.

El prestador de SMS se utiliza a través de su plataforma de la UE; no se realiza ninguna transferencia a un tercer país.

(3) No se realizan otras transferencias a terceros países. Las futuras solo se realizarán conforme al § 6, apartado 1, y a los arts. 44 y ss. del RGPD.

(4) Consulta de matrículas (solo Werkstattsystem, solo matrículas neerlandesas). Si el Cliente utiliza la consulta en el formulario del vehículo o la comprobación nocturna de las fechas de inspección, el Proveedor transmite únicamente la matrícula al registro abierto de vehículos de la autoridad neerlandesa de matriculación de vehículos y añade las características del vehículo al historial del vehículo. No existe contrato con el registro; es fuente de datos y destinatario en el sentido del Anexo 3.

(5) Pago con tarjeta a través de la cuenta de Stripe del Cliente (solo negocios establecidos en Alemania). Si el Cliente conecta su propia cuenta de Stripe y una persona autorizada inicia un pago con tarjeta, el Proveedor transmite, siguiendo esa instrucción, al proveedor de servicios de pago del Cliente el importe, la moneda, la descripción del servicio con el número de reserva y los identificadores internos y, en un pago por partidas, además la descripción, la cantidad y el precio unitario de cada partida, pero no el nombre, la dirección de correo electrónico ni el número de teléfono del cliente. La descripción de una partida propia es texto libre del Cliente; este no introduce en ella datos de clientes. El cliente facilita la tarjeta directamente al proveedor de servicios de pago. El Proveedor recibe a cambio el resultado del pago y los datos de la tarjeta indicados en el § 2, apartado 2. El proveedor de servicios de pago es parte contratante del Cliente y no un subencargado del tratamiento del Proveedor; el dinero va directamente a la cuenta del Cliente (Anexo 3, punto 10). Por cada pago con tarjeta abonado, el Proveedor emite un recibo; si el cliente ha reservado con una cuenta de cliente con dirección de correo electrónico confirmada, el Proveedor le envía allí el recibo, salvo que el cliente haya desactivado esa opción.

(6) Los destinatarios sin tratamiento por encargo (entre otros, análisis web, mapas, geocodificación, fuentes tipográficas en correos electrónicos) figuran en el Anexo 3.

§ 8 Acreditación y auditorías

(1) El Proveedor acredita el cumplimiento de este acuerdo, en primer lugar, mediante la descripción actualizada de las medidas técnicas y organizativas (Anexo 1), las pruebas aportadas por los subencargados del tratamiento y, cuando existan, certificados (art. 28.3.h del RGPD).

(2) Si esto no es suficiente, el Cliente puede realizar auditorías, también in situ, por sí mismo o a través de un auditor sujeto a confidencialidad, previo aviso con 14 días de antelación, durante el horario comercial y sin perturbar de forma desproporcionada la actividad. Los centros de datos de los subencargados del tratamiento se auditan a través de las pruebas que estos aportan.

(3) Cada parte asume sus propios costes. Por cada auditoría adicional en el mismo año natural, el Proveedor puede facturar el trabajo acreditado que le suponga.

§ 9 Conservación, supresión y devolución

(1) Tras la finalización del contrato, el Proveedor suprime o devuelve, a elección del Cliente, todos los datos de este acuerdo y suprime las copias existentes, salvo que exista una obligación legal de conservarlas (art. 28.3.g del RGPD). Previa petición, facilita una exportación en un plazo de 30 días desde la finalización del contrato y suprime los datos en un plazo adicional de 30 días; las copias de seguridad siguen la rotación del prestador de alojamiento. Previa petición, confirma la supresión en forma de texto.

(2) Supresión inmediata por el Cliente. Si el Cliente elimina el producto en su cuenta, los archivos subidos se suprimen de forma inmediata y definitiva y, con el producto, sus ajustes y los datos del negocio. Previa petición, el Proveedor elabora una exportación en forma de archivo CSV en un plazo de 14 días; entre otros, las facturas y los informes pueden descargarse individualmente.

(3) La conservación exigida por la normativa mercantil y tributaria corresponde al Cliente. A los libros, registros y justificantes contables se les aplica el § 147 AO (Código Tributario alemán). El Proveedor no es el archivo legal del Cliente; antes de una supresión conforme al apartado 1 o 2, el Cliente pone a salvo él mismo los documentos que está obligado a conservar.

(4) Plazo de conservación de las citas. El Cliente puede fijar un plazo de 90 a 3650 días; sin ajuste, está desactivado. Un proceso diario vacía, en las citas finalizadas que terminaron hace más tiempo que el plazo, los textos libres, los datos de contacto indicados en la reserva y la dirección de las citas a domicilio, y registra el momento. Se conservan la fecha, el servicio, el empleado, el precio, el número de reserva y la vinculación con la ficha de cliente. El mismo proceso vacía, en las solicitudes de cita respondidas, el comentario, el motivo del rechazo y los datos de contacto indicados, en cuanto haya transcurrido el plazo desde la respuesta, y elimina del registro de SMS el número de teléfono correspondiente a esas citas. Una solicitud abierta nunca se modifica. Para los Clientes del Anexo 4 se aplica, sin ajuste propio, un plazo de cinco años; una vez transcurrido, el proceso suprime la cita finalizada junto con la solicitud respondida correspondiente, en lugar de anonimizarla, y antes elimina el número de teléfono del registro de SMS. En la ficha de cliente se conserva la fecha de la última cita a la que se acudió. Las inscripciones en la lista de espera de un curso se eliminan en cuanto ha pasado su inicio.

(5) Plazo de conservación de las candidaturas. 180 días por defecto, ajustable de 30 a 365 días. Las candidaturas con un estado definitivo se suprimen junto con sus archivos adjuntos una vez transcurrido el plazo.

(6) No se aplica ningún plazo automático a las fichas de cliente, los vehículos, las órdenes de trabajo, los presupuestos, el registro de tiempo, el almacenamiento de neumáticos, los registros de SMS ni las ausencias. Permanecen almacenados hasta que el Cliente los suprima o hasta la finalización del contrato.

(7) Las copias de seguridad se suprimen en la rotación ordinaria del prestador de alojamiento (Anexo 1).

§ 10 Responsabilidad, modificaciones, disposiciones finales

(1) La responsabilidad frente a los interesados se rige por el art. 82 del RGPD. Entre las partes se aplican las reglas de responsabilidad del contrato principal, en la medida en que el art. 82 del RGPD no lo impida.

(2) El Proveedor puede modificar este acuerdo cuando lo exijan la legislación, la jurisprudencia, las autoridades de control o una modificación de los servicios. Anuncia las modificaciones del mismo modo que las modificaciones de las CGC (CGC § 11, apartados 1 y 2); a los nuevos subencargados del tratamiento se les aplica el § 6. Las demás modificaciones requieren forma de texto.

(3) Si una disposición es inválida, el resto del acuerdo sigue siendo válido.

(4) Se aplica el Derecho alemán. El fuero competente es Augsburgo, en la medida en que esté permitido. Para un Cliente establecido en el Reino Unido, las referencias al RGPD se entienden hechas al UK GDPR.

(5) La versión alemana es la vinculante. Esta versión en español es una traducción.

Anexo 1 — Medidas técnicas y organizativas (art. 32 del RGPD)

Las medidas del prestador de alojamiento proceden de su contrato de encargo del tratamiento. El propio Proveedor no explota servidores.

1. Confidencialidad

• Acceso físico a los servidores (prestador de alojamiento, centro de datos en Fráncfort del Meno): sistema electrónico de control de acceso con registro, valla de alta seguridad, centro de control atendido las 24 horas, personal de seguridad, videovigilancia de entradas y salidas, concesión de los derechos de acceso separada organizativamente.
• Acceso a la aplicación: las contraseñas solo se almacenan como hash. Las cuentas de titulares y de operadores pueden iniciar sesión con un segundo factor o con una llave de acceso (passkey). Todos los inicios de sesión están protegidos por un captcha de prueba de trabajo; los formularios públicos de reserva limitan las solicitudes por dirección IP y por dirección de correo electrónico. Las cookies de sesión solo se transmiten cifradas; las cuentas de empleados y de clientes permanecen con la sesión iniciada como máximo siete días. Tras cinco contraseñas incorrectas en un minuto, el inicio de sesión se bloquea brevemente.
• Acceso dentro de la aplicación: todos los datos del negocio pertenecen a un negocio, y cada consulta a la base de datos está vinculada a él. Los operadores y titulares, los empleados y los clientes inician sesión en áreas separadas. Los accesos de empleados tienen los roles empleado, recepción o responsable, limitados en cada caso a las ubicaciones asignadas; solo los responsables ven los motivos de enfermedad de los compañeros. La cuenta de cliente común a toda la plataforma muestra de cada negocio solo sus propios datos; la lista «Mis citas», común a todos los negocios, solo muestra citas en consultas tras el consentimiento de la persona.
• Separación: las pruebas automatizadas se ejecutan en bases de datos propias y vacías. Las entradas en el asistente de IA solo llegan enmascaradas al prestador de modelos (§ 7, apartado 2).
• Personal: toda persona que obtenga acceso a los datos en el Proveedor queda obligada previamente a la confidencialidad y al secreto (§ 4a, apartado 4). El prestador de alojamiento y el prestador de SMS solo emplean a trabajadores obligados a la confidencialidad.

2. Integridad

• Todas las páginas e interfaces, solo a través de TLS; envío de correo electrónico y consulta de buzones, solo cifrados; SMS a través de la interfaz HTTPS del prestador de SMS en su plataforma de la UE.
• Las contraseñas de los buzones de los negocios se almacenan cifradas.
• Los registros de actividad de la aplicación contienen identificadores, no contenidos, y se rotan; los registros de datos llevan el momento de creación y de modificación.

3. Disponibilidad y resiliencia

• En el prestador de alojamiento: copia de seguridad diaria del espacio web, las bases de datos y el correo electrónico; discos en espejo, grupo electrógeno de emergencia y sistema de alimentación ininterrumpida; cortafuegos y protección permanente frente a ataques de denegación de servicio; restauración de bases de datos y archivos.
• En el Proveedor: los errores críticos alertan de inmediato al operador; las versiones publicadas del código pueden revertirse.

4. Supresión y minimización de datos

• Plazos de supresión de citas, solicitudes de cita y candidaturas conforme al § 9, apartados 4 y 5; supresión inmediata al eliminar el producto conforme al § 9, apartado 2.
• Configuración por defecto para los Clientes del Anexo 4 (art. 25 del RGPD) conforme al § 2, apartado 5, letra a.

5. Control del encargo y revisión

• Todos los destinatarios están registrados (Anexos 2 y 3); los nuevos subencargados del tratamiento se anuncian con 30 días de antelación (§ 6).
• Todo cambio en el software pasa, antes de su publicación, por una comprobación automatizada con pruebas, análisis estático y comprobación de dependencias. A todo cambio se le aplican las reglas del proyecto sobre datos de salud, supresión y destinatarios.
• Este anexo se actualiza con cada cambio en el prestador de alojamiento, los destinatarios o las medidas de protección, como mínimo una vez al año.

Anexo 2 — Subencargados del tratamiento

Anexo 3 — Destinatarios que no son subencargados del tratamiento

Para información del Cliente, de modo que pueda cumplir sus obligaciones de información (§ 5, n.º 2).

Anexo 4 — Nivel sanitario

Sectores cuyos Clientes pertenecen al nivel sanitario (§ 2, apartado 5, letra a; § 5, n.os 6 a 8) y sectores a los que, por regla general, se aplica el § 4a. Es determinante el sector elegido en la plataforma; además, el § 4a se aplica siempre que se cumpla su apartado 1.