Anexo de encargo de tratamiento

Artículo 28 del Reglamento (UE) 2016/679 · Última actualización: 19 de agosto de 2026

Este anexo regula el tratamiento que CampaStock hace de los datos personales que el desguace introduce en la aplicación (sus clientes, sus proveedores, su propio personal). Forma parte de las condiciones de contratación y puede firmarse por separado con cada desguace.

El reparto de papeles es este: el desguace es el responsable del tratamiento, porque es quien decide qué datos mete y para qué. CampaStock es el encargado: los trata por cuenta del desguace y solo para prestarle el servicio.

1. Partes

2. Objeto, naturaleza y finalidad

El encargado trata los datos personales únicamente para prestar el servicio CampaStock: guardar y mostrar el inventario, gestionar pedidos, reservas y ventas, enviar los avisos de la aplicación, generar copias de seguridad, dar soporte y —solo si el responsable lo activa— analizar fotografías de vehículos y piezas.

3. Duración

Mientras esté vigente el contrato de suscripción, más el periodo de conservación posterior de 30 días previsto en las condiciones, tras el cual se aplica el punto 10.

4. Tipos de datos y categorías de interesados

5. Obligaciones del encargado

1. Tratar los datos solo siguiendo instrucciones documentadas del responsable, incluidas las transferencias internacionales del punto 8. Si el encargado entiende que una instrucción infringe la normativa, lo comunicará de inmediato.
2. Confidencialidad: quien accede a los datos por parte del encargado está sujeto a deber de secreto, que se mantiene después de terminar la relación.
3. No usar los datos para fines propios: no se venden, no se ceden, no se usan para publicidad ni para entrenar modelos.
4. Seguridad (artículo 32), con las medidas del punto 6.
5. Ayudar al responsable a atender los derechos de los interesados. Si un interesado se dirige a CampaStock, se le remitirá al desguace y se avisará al desguace.
6. Asistir al responsable en las evaluaciones de impacto y consultas previas que necesite, con la información que obre en poder del encargado.
7. Notificar las brechas de seguridad sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes a tener constancia, con la información necesaria para que el responsable pueda notificar a la autoridad en las 72 horas.
8. Registro de actividades de tratamiento por cuenta del responsable (artículo 30.2).
9. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías o inspecciones, por el responsable o por un auditor que designe, avisando con antelación razonable y sin comprometer la seguridad de otros clientes.

6. Medidas de seguridad

• Cifrado en tránsito (HTTPS/TLS) en toda la aplicación y en el acceso a la base de datos.
• Contraseñas guardadas con función de derivación de clave; no se guardan en claro ni se pueden recuperar.
• Aislamiento por cuenta: cada consulta va acotada al identificador del desguace, de forma que una cuenta no puede leer datos de otra.
• Control de acceso por roles (administración, taller, solo lectura) aplicado en el servidor, no ocultando botones.
• Verificación del correo electrónico y control de intentos de acceso.
• Registro de auditoría de las acciones relevantes: quién, qué y cuándo.
• Copias de seguridad diarias por desguace, incluidas las fotografías, con retención de 30 días y de los domingos durante 6 meses, y procedimiento de restauración probado.
• Las copias y exportaciones nunca incluyen contraseñas, claves ni tokens.
• Borrado seguro de datos y de imágenes al terminar los plazos de conservación.

7. Subencargados

El responsable autoriza de forma general a los subencargados siguientes, necesarios para prestar el servicio. Cualquier alta o cambio se comunicará con antelación razonable, y el responsable podrá oponerse por motivos justificados; si la oposición impide prestar el servicio, podrá resolver el contrato sin penalización.

Con cada subencargado se suscriben las mismas obligaciones de protección de datos que constan en este anexo.

8. Transferencias internacionales

Con carácter general los datos se tratan y se almacenan en la Unión Europea. La única transferencia fuera del EEE en el funcionamiento ordinario es el envío de la fotografía al proveedor de análisis por imagen en Estados Unidos, y solo cuando el responsable usa esa función. Esa transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea (artículo 46.2.c del RGPD). A ese proveedor no se le envían los datos de los clientes del desguace, ni precios, ni ventas.

Si el responsable conecta WhatsApp, los mensajes se tratan además según las condiciones de Meta, con las garantías que esta aplique.

9. Comunicación de incidencias

El canal para todo lo relativo a este anexo —brechas, ejercicio de derechos, auditorías, instrucciones— es info@campastock.com. El responsable debe mantener actualizado en Ajustes su correo de contacto.

10. Devolución o supresión al terminar

Terminado el contrato, y transcurrido el periodo de conservación de 30 días, el encargado suprimirá los datos personales tratados por cuenta del responsable, incluidas las copias de seguridad y las imágenes del almacén de respaldo, salvo que deba conservar algo por obligación legal, en cuyo caso lo bloqueará. La supresión es automática y queda registrada: qué cuenta, qué volumen y en qué fecha.

Antes de esa supresión, el responsable puede llevarse todo por sí mismo desde Ajustes › Copias de seguridad: fichas en JSON y CSV e imágenes en ZIP. Si lo prefiere, puede pedir la entrega y se le facilitará en ese mismo formato.

11. Obligaciones del responsable

• Asegurarse de que dispone de base jurídica para tratar los datos que introduce, y de informar a sus clientes de que los guarda en una herramienta de gestión.
• Dar y mantener las instrucciones al encargado, y no introducir categorías especiales de datos.
• Gestionar quién de su equipo tiene acceso y con qué rol, y retirar el acceso a quien deja la empresa.
• Atender él mismo los derechos de sus clientes; el encargado le asistirá.

12. Firma

Este anexo se entiende aceptado con la contratación del servicio. Si el desguace necesita ejemplar firmado, se emite a petición en info@campastock.com.