Contrato de Encargo de Tratamiento (DPA)
Condiciones reguladoras del acceso y tratamiento de datos por cuenta de terceros conforme al Artículo 28 del RGPD y el Artículo 33 de la LOPDGDD.
Última actualización: 11 de octubre de 2026 | Versión 2.0
Nota Informativa Legal: El presente documento constituye el Contrato de Encargo de Tratamiento exigido por el Art. 28.3 del Reglamento (UE) 2016/679 (RGPD). Regula las relaciones entre el Taller o Profesional (Responsable del Tratamiento) y JJLAB Servicios Técnicos SL (Encargado del Tratamiento)en relación con los datos personales de los clientes particulares del taller gestionados a través del software.
1. Partes Intervinientes
De una parte:
EL RESPONSABLE DEL TRATAMIENTO: La entidad jurídica, sociedad o profesional autónomo titular de la cuenta de taller dada de alta en JJLAB SaaS, cuyos datos identificativos, fiscales y de contacto han sido consignados durante el proceso de registro y en el panel de configuración de empresa.
Y de otra parte:
EL ENCARGADO DEL TRATAMIENTO: JJLAB S.L., con CIF B72738446 y domicilio social en Calle Catalunya Nº 3, bajo izquierda, 12540 Villarreal (Castellón), España, proveedora de la plataforma informática.
2. Objeto y Alcance del Encargo
El presente contrato habilita a JJLAB para tratar, por cuenta del Responsable, los datos de carácter personal estrictamente necesarios para la prestación del servicio de software de gestión de taller (JJLAB SaaS), soporte técnico, verificación de licencias, y sincronización comercial.
Tipología de datos afectados: Nombres, apellidos, números de teléfono, direcciones postales, correos electrónicos, datos de dispositivos en depósito (IMEI, número de serie, marca, modelo, avería descrita, códigos de desbloqueo suministrados temporalmente por el cliente) y datos de facturación de servicios técnicos.
Categoría de interesados: Clientes finales, usuarios de dispositivos y proveedores del Responsable del Tratamiento.
3. Obligaciones del Encargado del Tratamiento (JJLAB)
Con arreglo al Art. 28.3 del RGPD, el Encargado del Tratamiento se compromete a:
- Instrucciones documentadas: Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, inclusive respecto a las transferencias de datos, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros.
- Deber de Secreto y Confidencialidad: Garantizar que las personas autorizadas para tratar datos personales (técnicos de soporte y desarrollo) hayan suscrito un compromiso formal de confidencialidad o estén sujetas a una obligación estatutaria de confidencialidad.
- Medidas Técnicas y Organizativas (Art. 32 RGPD): Implementar medidas de seguridad orientadas a garantizar un nivel de seguridad adecuado al riesgo, incluyendo:
- Aislamiento de bases de datos y control de accesos segregado por empresa (`companyId`).
- Arquitectura Local-First que minimiza la centralización de datos y reduce la superficie de exposición a incidentes masivos en red.
- Cifrado estricto de comunicaciones mediante protocolos TLS 1.3.
- Almacenamiento de contraseñas mediante hashing de alta entropía (bcrypt con salt dinámico).
- Subcontratación (Subencargados): El Responsable autoriza de manera general al Encargado a recurrir a subencargados estrictamente necesarios para la infraestructura del servicio central (servicios de computación en VPS radicado en la Unión Europea y servicios de túnel y cortafuegos Cloudflare). El Encargado impondrá a los subencargados las mismas obligaciones de protección de datos aquí estipuladas.
- Asistencia en el Ejercicio de Derechos: Asistir al Responsable mediante las herramientas de software integradas en el sistema (tales como la funcionalidad de exportación de datos y rectificación de clientes) para que este pueda responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación y portabilidad).
- Notificación de Brechas de Seguridad (Art. 33.2 RGPD): Notificar al Responsable del Tratamiento sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales. Dicha notificación incluirá toda la información disponible para asistir al Responsable en el cumplimiento de sus propias obligaciones de notificación ante la autoridad de control (AEPD) y, en su caso, ante los interesados afectados en el plazo que le corresponda legalmente.
- Supresión o Devolución de Datos: A elección del Responsable, suprimir o devolver todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimir las copias existentes a menos que se exija la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros aplicable.
4. Obligaciones del Responsable del Tratamiento (Taller)
Corresponde al Taller o Empresa contratante:
- Contar con una base legitimadora válida (consentimiento expreso o ejecución de relación contractual de reparación) para solicitar y almacenar los datos personales de sus clientes en el software.
- Informar a sus clientes en el momento de la entrega del dispositivo acerca de sus políticas de privacidad y plazos de recogida del material reparado.
- Establecer contraseñas robustas y restringir el acceso a los terminales físicos de su taller para evitar visualizaciones no autorizadas de las pantallas de gestión.
- Custodiar diligentemente los ficheros locales de base de datos (`prisma/dev.db`) generados en la instalación local.
5. Procedimiento de Firma y Aceptación Electrónica
La formalización electrónica del presente contrato de encargo de tratamiento se efectúa válidamente a través de la plataforma:
1. Aceptación en el Registro: Al completar el alta inicial del taller y marcar la casilla de aceptación de Términos y Privacidad.
2. Panel de Empresa: En Ajustes → Privacidad y RGPD, los administradores del taller pueden consultar en cualquier momento la fecha exacta, versión suscrita y estado de firma del DPA corporativo.
El sistema registra la fecha y hora de aceptación (timestamp UTC), la versión del documento y los datos del usuario administrador actuante en nombre de la empresa.