Acuerdo de Encargo de Tratamiento (RGPD)

Este contrato de Encargo de Tratamiento de Datos (DPA) complementa las Condiciones Generales de Contratación y se celebra en cumplimiento de lo establecido en el Artículo 28 del Reglamento General de Protección de Datos (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

El presente acuerdo regula la relación entre la autoescuela contratante del servicio SaaS (en adelante, el Responsable del Tratamiento) y el titular de la plataforma MetaVial (en adelante, el Encargado del Tratamiento), relativa a las operaciones de tratamiento de datos personales de alumnos e instructores almacenados en la plataforma.

1. Objeto del Encargo

El Responsable del Tratamiento pone a disposición del Encargado los datos de carácter personal estrictamente necesarios para habilitar la funcionalidad de la plataforma SaaS MetaVial (tales como nombres, teléfonos, históricos de clases prácticas e inicios de sesión). El Encargado tratará estos datos únicamente con el fin de alojar la base de datos (vía Supabase), procesar suscripciones (vía Stripe) y proveer soporte técnico operativo.

2. Obligaciones del Encargado del Tratamiento

De acuerdo con la normativa vigente, el Encargado del Tratamiento se compromete a:

1. Instrucciones de Tratamiento: Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable del Tratamiento, incluidas las relativas a las transferencias de datos personales.
2. Confidencialidad: Garantizar que las personas autorizadas para tratar los datos personales (desarrolladores o agentes de soporte de MetaVial) se han comprometido a respetar la confidencialidad de la información.
3. Medidas de Seguridad: Implementar las medidas de seguridad técnicas y organizativas necesarias para garantizar un nivel de seguridad adecuado al riesgo de pérdida, acceso no autorizado o alteración de los datos. En particular, MetaVial implementa cifrado de comunicaciones HTTPS y aislamiento lógico de bases de datos multi-tenant respaldadas por Supabase.
4. Subencargados autorizados: El Responsable autoriza de forma general la contratación de los siguientes proveedores como subencargados necesarios para el SaaS:
   • Supabase, Inc. (Alojamiento y bases de datos lógicas aisladas).
   • Stripe, Inc. (Procesamiento de pagos y tokenización de datos de tarjetas).
5. Asistencia al Responsable: Prestar asistencia al Responsable, siempre que sea posible, para que este pueda responder a las solicitudes de ejercicio de los derechos ARCO+ (Acceso, Rectificación, Supresión, Oposición, Limitación y Portabilidad) por parte de sus alumnos o profesores.
6. Notificación de Brechas de Seguridad: Notificar al Responsable del Tratamiento cualquier violación de la seguridad de los datos personales de la que tenga constancia, a la mayor brevedad posible y, en cualquier caso, en un plazo máximo de 72 horas desde que fuera detectada.
7. Destino de los Datos: A la terminación de la relación contractual, el Encargado del Tratamiento eliminará de forma segura todos los datos personales del tenant del Cliente transcurridos 30 días naturales (plazo de cortesía para exportación), salvo que la legislación exija la conservación de determinados registros fiscales o contables.

3. Obligaciones del Responsable del Tratamiento

Le corresponde al Responsable del Tratamiento (la autoescuela contratante):

• Disponer de una base jurídica válida (por ejemplo, el consentimiento expreso del alumno o la ejecución de la matrícula de conducir) para registrar los datos de alumnos e instructores en la plataforma MetaVial.
• Facilitar el deber de información a sus alumnos e instructores sobre el tratamiento de sus datos personales y la existencia del software SaaS.
• Configurar correctamente las políticas internas del centro en el portal de administración (por ejemplo, recargos económicos por cancelación tardía antes de 24 horas).

4. Duración y Ley Aplicable

El presente acuerdo de encargo de tratamiento estará en vigor mientras se mantenga activa la suscripción al software SaaS MetaVial y finalizará en el momento del cese y borrado de la cuenta del Cliente. Se rige por la legislación española y el Reglamento General de Protección de Datos de la Unión Europea.