Contrato de Encargo de Tratamiento de Datos (DPA)

Versión 1.1 — Vigente desde 19 de agosto de 2026

Este contrato cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la LOPDGDD. Se entiende aceptado por el RESPONSABLE al registrarse en Synxro y aceptar los Términos y Condiciones.

1. Partes

• RESPONSABLE DEL TRATAMIENTO: el taller, autónomo o sociedad mercantil que contrata el servicio Synxro (en adelante, «el Cliente»). Sus datos identificativos son los aportados al darse de alta y conservados en la sección «Configuración → Empresa» de la aplicación.
• ENCARGADO DEL TRATAMIENTO: Synxro (en adelante, «Synxro»), con datos identificativos publicados en el Aviso Legal. Email RGPD: privacidad@synxro.com.

2. Objeto

Synxro tratará por cuenta del Cliente los datos personales necesarios para prestar el servicio de gestión integral de taller mecánico contratado, en los términos del artículo 28 del RGPD.

3. Naturaleza, finalidad y duración

4. Tipo de datos personales tratados

• Identificativos: nombre, apellidos, DNI/NIE, CIF.
• Contacto: dirección postal, teléfono, email.
• Vehículo: matrícula, marca, modelo, bastidor (VIN), kilometraje.
• Económicos: presupuestos, facturas, formas de pago (sin datos bancarios).
• Históricos: reparaciones anteriores, comunicaciones, firmas digitales de presupuestos.
• Datos de trabajadores del taller (si el Cliente los introduce): nombre, rol, horarios.
• Imágenes capturadas por el Cliente al usar las funciones de escaneo (bastidor, albarán de proveedor, pieza). Pueden contener incidentalmente datos identificativos si el encuadre incluye documentación del vehículo o del proveedor.
• Texto dictado por voz por el personal del Cliente, cuyo contenido determina el propio usuario.

No se tratan categorías especiales del art. 9 RGPD (salud, religión, ideología, biometría con fines de identificación, etc.).

5. Categorías de interesados

• Clientes finales del taller (personas físicas y representantes de personas jurídicas).
• Trabajadores del taller dados de alta en la plataforma.
• Proveedores del taller cuyos albaranes se digitalizan.

6. Obligaciones de Synxro como Encargado

1. Tratar los datos siguiendo exclusivamente las instrucciones documentadas del Cliente, incluidas las que constan en estos Términos y en la configuración de la cuenta.
2. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
3. Adoptar todas las medidas técnicas y organizativas exigidas por el art. 32 RGPD: cifrado en tránsito (TLS 1.3) y reposo, control de acceso por roles (RLS PostgreSQL), copias de seguridad automáticas diarias, registros de auditoría inmutables, y revisiones periódicas de seguridad.
4. Asistir al Cliente en la atención de los derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición).
5. Asistir al Cliente en el cumplimiento de las obligaciones de los arts. 32 a 36 RGPD (seguridad, brechas, evaluaciones de impacto, consultas previas).
6. Notificar al Cliente cualquier brecha de seguridad sin dilación indebida y, en todo caso, en menos de 48 horas desde su conocimiento, aportando la información del art. 33.3 RGPD.
7. Poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del art. 28 y permitir auditorías razonables previo aviso de 30 días.
8. Devolver o suprimir los datos al finalizar el contrato según lo previsto en la cláusula 9.
9. No tratar los datos para fines distintos de los contratados ni cederlos a terceros salvo subencargados autorizados (cláusula 7).

7. Subencargados autorizados

El Cliente autoriza expresamente a Synxro a recurrir a los siguientes subencargados. Salvo la excepción indicada en la nota al pie, todos ellos están vinculados por un contrato de tratamiento de datos con garantías equivalentes a las de este contrato:

Nota sobre la transcripción de voz: el dictado utiliza la Web Speech API del navegador del propio usuario. Synxro solicita el modo de transcripción en el dispositivo cuando está disponible (Chrome 139+), en cuyo caso el audio no sale del equipo y no hay transferencia alguna. Cuando el navegador no lo soporta, es el navegador —no Synxro— quien remite la grabación a su fabricante. Se documenta aquí por transparencia, al formar parte del flujo funcional del servicio. El dictado es siempre de uso voluntario: se activa pulsando el botón del micrófono, y la interfaz indica en cada momento si la transcripción se está realizando en el dispositivo o en los servidores del navegador.

Synxro informará al Cliente con 30 días de antelación de cualquier cambio o adición de subencargados. El Cliente podrá oponerse motivadamente; en ese caso, las partes negociarán una solución y, si no la hubiera, el Cliente podrá rescindir el contrato sin penalización.

8. Transferencias internacionales

Las transferencias a EEUU se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) y, cuando los proveedores están certificados, en el EU-US Data Privacy Framework (Decisión de adecuación 2023/1795).

9. Devolución y supresión

Conforme al artículo 28.3.g del RGPD, al finalizar la prestación del servicio Synxro suprimirá o devolverá los datos personales, a elección del Cliente. La elección se realiza en el propio proceso de baja (Ajustes → Mis derechos RGPD) y queda registrada en el histórico de auditoría.

9.1 Reparto de responsabilidades sobre la conservación fiscal

La obligación de conservar las facturas durante 6 años (art. 66 de la Ley General Tributaria) recae sobre el Cliente, en su condición de obligado tributario, no sobre Synxro. Lo mismo ocurre con los registros de facturación del Real Decreto 1007/2023 (VeriFactu): la conservación corresponde al obligado tributario, mientras que a Synxro, como productor del sistema informático de facturación, le corresponde garantizar que el sistema permite conservarlos y exportarlos íntegros.

En consecuencia, Synxro no conserva los datos del Cliente por cuenta propia más allá de lo aquí previsto: es el Cliente quien debe descargar y custodiar sus facturas antes de causar baja.

9.2 Procedimiento

1. El Cliente puede exportar en cualquier momento la totalidad de sus datos en formatos estándar (JSON estructurado o CSV), sin coste y sin necesidad de solicitarlo. Synxro registra la fecha de cada exportación.
2. Al solicitar la baja, el Cliente debe indicar expresamente si ya ha descargado su copia o si renuncia a ella. Synxro conserva constancia de esa elección.
3. La solicitud abre un periodo de gracia de 30 días durante el cual la baja es reversible escribiendo a privacidad@synxro.com.
4. Transcurrido ese plazo, los datos se suprimen. Synxro no los conserva de forma indefinida ni «por si acaso»: hacerlo vulneraría el principio de limitación del plazo de conservación del artículo 5.1.e del RGPD.
5. Única excepción: requerimiento de una autoridad competente, procedimiento judicial en curso, o solicitud escrita del propio Cliente. En esos casos la conservación se limita a lo estrictamente necesario y por el tiempo imprescindible, y se comunica al Cliente.

Las facturas que Synxro emite al Cliente por la suscripción al servicio son cosa distinta: ahí Synxro actúa como responsable y obligado tributario propio, y las conserva 6 años conforme al art. 66 LGT.

10. Responsabilidad

Cada parte responderá de los daños causados por incumplimiento del RGPD conforme al art. 82. Synxro responderá por daños derivados del incumplimiento de obligaciones específicas de los Encargados o por actuar al margen de las instrucciones del Cliente.

11. Ley aplicable y jurisdicción

Este contrato se rige por la legislación española y de la Unión Europea. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales del domicilio del Cliente cuando este sea consumidor; en caso contrario, a los Juzgados y Tribunales correspondientes al domicilio social de Synxro, con renuncia expresa a cualquier otro fuero.

— — —
Aceptación: este DPA se entiende firmado electrónicamente por el Cliente al registrarse en Synxro y aceptar los Términos y Condiciones, conforme a la Ley 59/2003 de Firma Electrónica. Quedan registrados en el sistema la fecha, hora y dirección IP de aceptación.