Contrato de encargo de tratamiento de datos personales

En Santiago, a la fecha de aceptación electrónica, entre el taller («el Responsable»): la persona natural o jurídica indicada al contratar o activar su cuenta en MotoOps o AutoOps, con los datos de nombre o razón social, RUT y domicilio que consten en su ficha; y Garage360 («el Encargado»): Inversiones y Desarrollos Tecnológicos Garage360 SpA, RUT 78.531.895-1, domicilio en San Sebastián 2750, of. 902, Las Condes, Santiago, representada por su administrador. Se acuerda lo siguiente, conforme a la Ley N° 19.628 y la Ley N° 21.719.

1. Objeto

El Responsable encarga al Encargado tratar, por su cuenta y según sus instrucciones, los datos personales que el Responsable registra o recibe a través de MotoOps o AutoOps (clientes finales, sus motos o vehículos, órdenes de trabajo, reservas, ventas y pedidos de la tienda, recordatorios y mensajes del formulario de contacto). El Encargado presta el servicio descrito en los términos de uso vigentes; este contrato regula solo cómo se tratan esos datos.

2. Descripción del tratamiento

• Finalidad: que el Responsable gestione su taller (agenda, órdenes, ventas, tienda, recordatorios y atención de clientes). El Encargado no usa estos datos para fines propios.
• Titulares: clientes finales del Responsable, contactos que escriben desde su sitio, y su propio personal.
• Tipos de datos: nombre, correo, teléfono, RUT cuando el Responsable lo ingresa, dirección, patente y datos del vehículo, historial de servicios, fotos de las órdenes, montos y medio de pago. No se espera tratar datos sensibles; el Responsable se compromete a no ingresarlos.
• Duración: mientras dure el servicio, más el plazo de la sección 9.

3. Obligaciones del Encargado

1. Tratar los datos solo según las instrucciones documentadas del Responsable, que son este contrato y el uso normal de la plataforma. Si una instrucción infringiera la ley, lo informará.
2. Confidencialidad: quienes accedan a los datos por parte del Encargado están obligados a reserva, durante y después del servicio.
3. Seguridad: aplicar las medidas descritas en el Anexo B, y mantenerlas proporcionales al riesgo.
4. Subencargados: el Responsable autoriza a los del Anexo A. El Encargado informará con 30 días de anticipación cualquier cambio o incorporación, para que el Responsable pueda objetar; si hay objeción fundada y no hay alternativa, el Responsable podrá terminar el servicio. El Encargado exigirá a cada subencargado obligaciones equivalentes a las de este contrato.
5. Transferencias al extranjero: los subencargados del Anexo A pueden tratar datos fuera de Chile bajo las cláusulas contractuales de cada uno. El Encargado no hará otras transferencias sin aviso.
6. Asistencia en derechos de los titulares: si un titular ejerce sus derechos ante el Encargado, este se lo derivará al Responsable dentro de 2 días hábiles. El Encargado ofrece herramientas para exportar, corregir y eliminar los datos de una persona dentro de la plataforma, y apoyará al Responsable cuando lo pida.
7. Brechas de seguridad: el Encargado avisará al Responsable sin dilación y, como compromiso interno, dentro de 24 horas desde que confirme una vulneración que afecte los datos de su taller, con lo que sepa (qué ocurrió, qué datos, a cuántas personas, medidas tomadas) y actualizaciones. El Responsable decide si avisa a la autoridad y a los titulares; el Encargado colabora..
8. Evaluaciones y auditorías: a petición razonable y con aviso, el Encargado entregará información sobre sus medidas y su registro de actividades, y permitirá revisiones remotas razonables, sin acceso a datos de otros talleres.
9. Registro de actividades: el Encargado mantiene el registro de las actividades que realiza por cuenta del Responsable.

4. Obligaciones del Responsable

1. Contar con una base legal para los datos que ingresa y informar a sus clientes (el sitio y la plataforma incluyen un aviso de privacidad y una casilla de consentimiento; el Responsable debe mantenerlos al día y completar sus propios datos de contacto).
2. Ingresar solo los datos necesarios, exactos y actualizados, y no ingresar datos sensibles.
3. Atender las solicitudes de los titulares dentro de los plazos legales, con apoyo del Encargado.
4. Mantener seguras las cuentas de su personal (claves, accesos) y dar de baja a quien deje el taller.
5. Si usa su propio correo o servidor de correo (SMTP), responde por esa configuración y por el tratamiento que su proveedor haga.

5. Retención y borrado automático

• Los clientes finales sin actividad por 36 meses se anonimizan o eliminan automáticamente, y los mensajes del formulario de contacto a los 12 meses; los enlaces públicos de seguimiento vencen a los 90 días de la entrega. El Responsable puede eliminar o exportar datos de una persona antes, desde la plataforma.
• Los respaldos cifrados que contienen datos se eliminan a los 30 días.

6. Responsabilidad

Cada parte responde por el cumplimiento de sus obligaciones según la ley y este contrato.

7. Duración y terminación

Rige mientras el Responsable use el servicio. Al terminar, ocurre lo dispuesto en la sección 9.

8. Ley aplicable y jurisdicción

Ley chilena. Tribunales ordinarios de Santiago, comuna de Las Condes, sin perjuicio de los derechos que la ley reconoce a los titulares y a los consumidores.

9. Devolución y eliminación al terminar

Al terminar el servicio, el Responsable puede exportar sus datos durante 30 días. Vencido el plazo, el Encargado los elimina de los sistemas productivos y, por vencimiento, de los respaldos dentro de otros 30 días, salvo que la ley obligue a conservar algo, lo que informará.

Anexo A · Subencargados autorizados

No son subencargados de estos datos: SerpApi y Photoroom (solo reciben imágenes y nombres de productos), GitHub, healthchecks.io y Telegram (sin datos de clientes).

Anexo B · Medidas de seguridad

Segundo factor obligatorio para el equipo de Garage360; separación de datos entre talleres con seguridad a nivel de fila y pruebas por rol; cifrado en tránsito y respaldos cifrados; secretos en bóveda y variables de entorno; cabeceras de seguridad y protección contra abuso; registro de auditoría de acciones sensibles; monitoreo con alertas de disponibilidad, recursos y respaldos; respaldo diario con prueba de restauración periódica; análisis de dependencias y de secretos en el código; plan de respuesta a incidentes. Más detalle en la página de seguridad.