Contrato de Encargado del Tratamiento de Datos (DPA)
Última actualización: Mayo 2026
Conforme al Artículo 28 del Reglamento (UE) 2016/679 (RGPD)
1. Partes
Responsable del tratamiento (en adelante, el "Responsable"): El taller mecánico que contrata los servicios de FIXA.
Encargado del tratamiento (en adelante, el "Encargado"): FIXA, producto de Ibáñez Clima, con domicilio en España.
2. Objeto del contrato
El presente contrato regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable a través de la plataforma FIXA de gestión de taller mecánico.
3. Finalidad del tratamiento
El Encargado tratará los datos personales únicamente para las siguientes finalidades:
- Gestión de clientes del taller (alta, consulta, modificación)
- Gestión de vehículos y su historial de reparaciones
- Creación y gestión de órdenes de trabajo
- Elaboración y envío de presupuestos
- Gestión de citas y avisos de mantenimiento
- Almacenamiento de fotografías de vehículos
- Generación de informes y estadísticas para el taller
4. Categorías de datos tratados
| Categoría | Datos | Interesados |
|---|---|---|
| Datos identificativos | Nombre, NIF, dirección, teléfono, email | Clientes del taller |
| Datos de vehículos | Matrícula, marca, modelo, VIN, kilometraje | Clientes del taller |
| Datos de reparaciones | Diagnósticos, presupuestos, órdenes de trabajo | Clientes del taller |
| Imágenes | Fotografías de vehículos (entrada, proceso, salida) | Clientes del taller |
| Datos del taller | Nombre, CIF, dirección, teléfono, email | Personal del taller |
5. Obligaciones del Encargado
El Encargado se compromete a:
- Tratar los datos únicamente según las instrucciones documentadas del Responsable, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros.
- Garantizar la confidencialidad de las personas autorizadas para tratar los datos personales.
- Implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (Art. 32 RGPD).
- No subcontratar sin autorización previa por escrito del Responsable, salvo los subencargados listados en la sección 8.
- Asistir al Responsable en el cumplimiento de su obligación de atender los derechos de los interesados (acceso, rectificación, supresión, portabilidad, limitación, oposición).
- Notificar las violaciones de seguridad sin dilación indebida y, a más tardar, en 48 horas desde su conocimiento.
- Suprimir o devolver los datos personales al finalizar la prestación del servicio, salvo que exista obligación legal de conservación.
- Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del Art. 28 RGPD.
6. Medidas de seguridad
El Encargado implementa las siguientes medidas:
- Cifrado en tránsito: Todas las comunicaciones utilizan TLS 1.2+ (HTTPS)
- Cifrado en reposo: Base de datos cifrada con AES-256
- Control de acceso: Autenticación multifactor vía Clerk, aislamiento por taller (multi-tenant)
- Copias de seguridad: Backups automáticos diarios con retención de 7 días
- Monitorización: Logs de acceso y auditorías de seguridad
- Aislamiento de datos: Cada taller solo puede acceder a sus propios datos (tenant isolation)
- Principio de mínimo privilegio: Sistema de roles (admin, mecánico, recepción)
7. Derechos de los interesados
FIXA proporciona herramientas al Responsable para facilitar el ejercicio de los derechos RGPD:
- Derecho de acceso (Art. 15): Generación automática de informes con todos los datos del cliente
- Derecho de rectificación (Art. 16): Edición de datos del cliente desde el panel
- Derecho de supresión (Art. 17): Anonimización de datos personales preservando la integridad fiscal
- Derecho a la portabilidad (Art. 20): Exportación de datos en formato JSON estructurado
8. Subencargados del tratamiento
El Responsable autoriza al Encargado a subcontratar los siguientes servicios:
| Subencargado | Servicio | Ubicación | Garantías |
|---|---|---|---|
| Neon Inc. | Base de datos PostgreSQL | EE.UU. | Cláusulas contractuales tipo (SCCs) |
| Vercel Inc. | Hosting, Blob Storage | EE.UU. / UE | Cláusulas contractuales tipo (SCCs) |
| Clerk Inc. | Autenticación de usuarios | EE.UU. | Cláusulas contractuales tipo (SCCs) |
9. Transferencias internacionales
Algunos subencargados tienen servidores fuera del Espacio Económico Europeo (EEE). Estas transferencias se realizan al amparo de:
- Cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión 2021/914)
- Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework), cuando aplique
10. Periodo de conservación
- Datos de clientes activos: Mientras dure la relación comercial con el taller
- Datos tras baja del taller: 30 días para recuperación, después supresión
- Datos con obligación fiscal: 4 años tras la última factura (Ley General Tributaria)
- Copias de seguridad: 7 días
11. Obligaciones del Responsable
El Responsable se compromete a:
- Haber obtenido el consentimiento o disponer de base jurídica para el tratamiento de los datos que introduce en FIXA.
- Informar a sus clientes sobre el tratamiento de datos conforme a los Arts. 13 y 14 RGPD.
- Atender los derechos de los interesados utilizando las herramientas proporcionadas por FIXA.
- No introducir datos de categorías especiales (Art. 9 RGPD) en la plataforma.
12. Duración y resolución
Este contrato tiene la misma duración que la suscripción del Responsable a FIXA. A la finalización:
- El Encargado pondrá a disposición del Responsable una exportación completa de sus datos.
- Transcurridos 30 días, los datos serán eliminados de forma segura, salvo obligación legal de conservación.
13. Legislación aplicable
Este contrato se rige por la legislación española y, en particular, por:
- Reglamento (UE) 2016/679 (RGPD)
- Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD)
Al aceptar este contrato durante el registro en FIXA, el Responsable confirma haber leido, entendido y aceptado las condiciones aqui establecidas.
FIXA - Gestión de Taller | Producto de Ibáñez Clima
Contacto DPO: sergi@ibclima.com