Contrato de encargo del tratamiento de datos personales (Workshop Lite)

Versión 1.1 · 18 de octubre de 2026

Contrato conforme al artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD), anexo inseparable de los Términos y condiciones de Workshop Lite.

REUNIDOS

De una parte, el responsable del tratamiento (en adelante, el Taller o el Responsable): la persona física o jurídica titular de la cuenta de Workshop Lite, identificada por los datos que facilitó al darse de alta (nombre del taller, correo electrónico y ciudad) y por los que conste en cada momento en su cuenta.

De otra parte, el encargado del tratamiento (en adelante, RIDE-ON o el Encargado): RIDE-ON S.L., NIF B04975595, con domicilio en Carrer Serra del Ferrer, n.º 1, 03530 La Nucía (Alicante), inscrita en el Registro Mercantil de Alicante, hoja A-173909, correo info@rideonriders.com.

Ambas partes se reconocen capacidad para obligarse. Este contrato se celebra por vía electrónica: el Taller lo acepta al darse de alta en Workshop Lite, junto con los Términos y condiciones de los que forma parte, y RIDE-ON registra la fecha y la versión aceptadas. Las partes

EXPONEN

I. Que el Taller utiliza Workshop Lite, plataforma de RIDE-ON para la gestión de talleres de bicicletas, y por medio de ella trata datos personales de sus clientes y de otros interesados.

II. Que, para ello, RIDE-ON tratará esos datos por cuenta del Taller y según sus instrucciones, por lo que ocupa la posición de encargado del tratamiento (art. 4.8 RGPD).

III. Que ambas partes desean regular esa relación conforme al artículo 28.3 del RGPD.

Y acuerdan las siguientes

CLÁUSULAS

1. Objeto del encargo

1.1. Este contrato habilita a RIDE-ON, como encargado, para tratar por cuenta del Taller, responsable, los datos personales necesarios para prestar el servicio descrito en los Términos y condiciones de Workshop Lite.

1.2. Los tratamientos concretos, los tipos de datos y las categorías de interesados figuran en el Anexo I.

1.3. Ámbito. Este contrato regula únicamente los datos personales de clientes del Taller y otros terceros cuyos datos el Taller trata con Workshop Lite. Los datos del propio Taller y de sus mecánicos como usuarios de la plataforma son tratados por RIDE-ON como responsable, conforme a su Política de privacidad (Parte A), y no son objeto de este encargo.

2. Duración

El contrato entra en vigor cuando el Taller acepta los Términos al darse de alta y dura mientras mantenga su cuenta en Workshop Lite. Terminará con la baja o la cancelación de la cuenta, sin perjuicio de las obligaciones de devolución y supresión de la cláusula 11 y de las que deban sobrevivir.

3. Naturaleza y finalidad del tratamiento

3.1. Naturaleza: recogida, registro, organización, estructuración, conservación, consulta, adaptación (incluida la transcripción y estructuración con IA), comunicación por transmisión (a los destinatarios designados por el Taller), limitación y supresión de datos.

3.2. Finalidad: prestar al Taller las funcionalidades de Workshop Lite (gestión de clientes, bicicletas, citas, partes de trabajo, recordatorios, catálogo y, si está activo, alquiler), así como su mantenimiento, seguridad y soporte.

3.3. El Encargado no tratará los datos para fines propios. Solo podrá generar datos agregados y anónimos de uso técnico del servicio, que no contienen datos personales.

4. Tipos de datos y categorías de interesados

Se describen en el Anexo I. El Taller no introducirá en Workshop Lite categorías especiales de datos (art. 9 RGPD) ni datos de condenas e infracciones (art. 10), salvo acuerdo previo y por escrito con el Encargado.

5. Obligaciones del Encargado

RIDE-ON se obliga a:

a) Instrucciones. Tratar los datos únicamente siguiendo las instrucciones documentadas del Taller, que son estas cláusulas, los Términos, y el uso que el Taller haga de las funciones del Panel. Si considera que una instrucción infringe el RGPD u otra norma de protección de datos, se lo comunicará de inmediato (art. 28.3.h).

b) Finalidad. No aplicar los datos a un fin distinto ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal (en cuyo caso informará previamente al Taller, salvo que la ley lo prohíba).

c) Confidencialidad. Garantizar que las personas autorizadas para tratar los datos se han comprometido por escrito a respetar la confidencialidad o están sujetas a una obligación legal de hacerlo, y recibir la formación necesaria.

d) Seguridad. Aplicar las medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD) descritas en el Anexo II, y revisarlas periódicamente.

e) Subencargados. Cumplir la cláusula 6.

f) Transferencias internacionales. Cumplir la cláusula 7.

g) Registro. Llevar por escrito un registro de las actividades de tratamiento efectuadas por cuenta del Taller (art. 30.2 RGPD).

h) Derechos de los interesados. Asistir al Taller conforme a la cláusula 8.

i) Brechas de seguridad. Notificar según la cláusula 9.

j) Evaluaciones de impacto. Asistir al Taller en las evaluaciones de impacto y consultas previas que procedan (art. 35 y 36 RGPD), facilitando la información de que disponga.

k) Devolución o supresión. Devolver o suprimir los datos al terminar el servicio (cláusula 11).

l) Auditorías. Poner a disposición del Taller la información necesaria para demostrar el cumplimiento y permitir auditorías (cláusula 12).

m) Delegado de protección de datos. RIDE-ON no ha designado delegado de protección de datos; las cuestiones de privacidad se dirigen a info@rideonriders.com. Si lo designara, comunicará al Taller sus datos de contacto.

6. Subencargados

6.1. Autorización general. El Taller autoriza con carácter general a RIDE-ON a recurrir a los subencargados que figuran en el Anexo III para prestar el servicio.

6.2. Cambios. RIDE-ON informará al Taller de cualquier adición o sustitución de subencargados con, al menos, 30 días de antelación, por el Panel o por correo, para que pueda oponerse por motivos razonables relacionados con la protección de datos. Si se opone y no hay alternativa razonable, cualquiera de las partes podrá resolver el servicio sin penalización, y se aplicará la cláusula 11.

6.3. Obligaciones del subencargado. RIDE-ON impondrá a cada subencargado, mediante contrato u otro acto jurídico, las mismas obligaciones de protección de datos que este contrato, en particular garantías suficientes de medidas técnicas y organizativas. Si el subencargado incumple, RIDE-ON seguirá siendo plenamente responsable ante el Taller.

6.4. Inteligencia artificial. El subencargado que presta el modelo de IA es Google Cloud (Vertex AI), que trata los datos en su multirregión de la Unión Europea conforme a las condiciones de Google Cloud y a su contrato de encargo (Cloud Data Processing Addendum). El proveedor no utiliza los datos del Taller para entrenar ni ajustar sus modelos. Cualquier conservación temporal que Google realice para prestar el servicio o para detectar usos prohibidos se rige por esas condiciones. El audio de las notas de voz no se guarda: se transcribe en memoria y solo se conserva el texto.

6.5. Telegram. El bot de los mecánicos funciona sobre Telegram, un canal de mensajería que elige el Taller. Telegram es responsable de su propio servicio y no es subencargado de RIDE-ON; su uso se rige por las condiciones de Telegram que aceptan el Taller y sus mecánicos.

7. Transferencias internacionales

7.1. Los datos objeto de este encargo se almacenan en la Unión Europea: la base de datos (Cloud Firestore) está en la multirregión UE eur3 y la aplicación se ejecuta en europe-west4 (Países Bajos). Su almacenamiento no supone, por tanto, una transferencia internacional.

7.2. El servicio de IA (Vertex AI) se presta desde la multirregión de la Unión Europea (eu).

7.3. Si un subencargado (Google) accediera a los datos desde fuera del Espacio Económico Europeo, RIDE-ON solo lo permitirá con las garantías adecuadas del artículo 46 RGPD, como las cláusulas contractuales tipo de la Comisión Europea que incorpora el Cloud Data Processing Addendum de Google, completadas con medidas suplementarias cuando proceda, o con una decisión de adecuación (art. 45 RGPD). El Taller autoriza esas transferencias.

8. Ejercicio de derechos de los interesados

8.1. Si un interesado se dirige al Encargado para ejercer sus derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad, no ser objeto de decisiones individuales automatizadas), RIDE-ON lo trasladará al Taller en un plazo máximo de 5 días hábiles, sin responder él salvo instrucción del Taller.

8.2. El Encargado asistirá al Taller con medidas técnicas y organizativas apropiadas (búsqueda, exportación, rectificación y supresión por el Panel; solicitudes manuales por correo cuando una función no exista) para que pueda atender esas solicitudes dentro de los plazos legales (un mes, prorrogable).

9. Violaciones de la seguridad

9.1. RIDE-ON notificará al Taller, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales que trate por su cuenta.

9.2. La notificación incluirá, al menos: la naturaleza de la violación y, si es posible, las categorías y el número aproximado de interesados y registros afectados; los datos de contacto para obtener más información; las posibles consecuencias; y las medidas adoptadas o propuestas. Si no se conoce todo, se facilitará por fases.

9.3. Corresponde al Taller decidir la notificación a la Agencia Española de Protección de Datos (en 72 horas) y, en su caso, a los interesados. RIDE-ON colaborará en ello.

10. Obligaciones del Responsable

El Taller se obliga a:

a) entregar al Encargado los datos de forma lícita y con base jurídica, y garantizar que dispone de legitimación para encomendar su tratamiento;

b) informar a los interesados conforme a los arts. 13 y 14 RGPD (RIDE-ON facilita una primera capa de información en las páginas públicas) y atender sus derechos;

c) no introducir categorías especiales de datos;

d) mantener la confidencialidad de sus credenciales y de los accesos de su personal y gestionar las altas y bajas de sus mecánicos;

e) realizar, cuando proceda, la evaluación de impacto y las consultas previas;

f) supervisar el cumplimiento de este contrato por el Encargado;

g) decidir los plazos de conservación de los datos y suprimirlos por el Panel cuando proceda, y

h) garantizar que las personas que usan el bot y las funciones de IA en su nombre (sus mecánicos) son mayores de 18 años, y que los clientes no utilizan directamente esas funciones.

11. Devolución o supresión de los datos al terminar

11.1. Al terminar la prestación, el Taller dispone de 30 días para exportar sus datos o solicitar al Encargado su devolución en un formato electrónico estructurado y de uso común.

11.2. Transcurrido ese plazo, el Encargado suprimirá los datos de sus sistemas (incluidos los de subencargados bajo su control) en un plazo máximo de 30 días; las copias de seguridad se sobrescribirán en un plazo máximo de 90 días.

11.3. Podrá conservar los datos, debidamente bloqueados, mientras sea necesario para atender responsabilidades derivadas del tratamiento, o si una norma de la Unión o de los Estados miembros exige su conservación.

12. Auditorías

12.1. RIDE-ON pondrá a disposición del Taller la información necesaria para demostrar el cumplimiento de sus obligaciones, y permitirá y contribuirá a las auditorías, incluidas inspecciones, realizadas por el Taller o por un auditor autorizado por él (art. 28.3.h).

12.2. Salvo requerimiento de una autoridad o incidente grave, el Taller podrá auditar una vez al año, con un preaviso razonable y por escrito, durante la jornada laboral, sin acceder a datos de otros talleres y con los gastos a su cargo. Podrá satisfacerse inicialmente con documentación (informes de seguridad propios y de Google) antes de una inspección.

13. Responsabilidad

Cada parte responde conforme al RGPD y a la LOPDGDD. Entre las partes se aplicará el régimen de responsabilidad de los Términos y condiciones, sin que ello limite los derechos de los interesados (art. 82 RGPD) ni la responsabilidad del Encargado que haya incumplido las obligaciones que el RGPD le impone específicamente o haya actuado al margen o contra las instrucciones del Responsable.

14. Legislación aplicable y jurisdicción

Este contrato se rige por la legislación española y se somete a los juzgados y tribunales de Madrid, con renuncia a cualquier otro fuero.

ANEXO I — Descripción del tratamiento

ANEXO II — Medidas de seguridad

Descripción de las medidas técnicas y organizativas aplicadas (art. 32 RGPD), según el estado actual del producto.

1. Aislamiento entre talleres (multi-inquilino).

• Todos los datos cuelgan de talleres/{tallerId}/… en la base de datos: ninguna colección es compartida entre talleres. Casi ninguna función de acceso acepta un identificador sin el tallerId correspondiente.
• Las reglas de seguridad de la base de datos deniegan todo acceso directo desde los navegadores; solo el servidor accede a los datos, con las credenciales de su cuenta de servicio.
• Solo existen dos búsquedas globales deliberadas (por token público de parte y por identificador de Telegram del mecánico).

2. Autenticación y sesión.

• Autenticación de los talleres con Firebase Authentication; la contraseña no es accesible para RIDE-ON.
• Sesión del Panel en cookie sesion_taller HttpOnly, SameSite=Lax (protege frente a CSRF) y Secure en producción, de 14 días de duración, verificada en el servidor y revocable al cerrar sesión.
• Cuando RIDE-ON exige un código de alta, se compara en tiempo constante, y el alta queda cerrada si no hay código configurado.
• Los mecánicos acceden mediante un código de registro por taller, regenerable, y pueden desactivarse.
• Los enlaces públicos de partes llevan un token aleatorio de 128 bits (16 bytes) y los contratos de alquiler un identificador UUID aleatorio; un identificador de forma imposible se rechaza antes de consultar la base de datos.

3. Protección frente a abusos y ataques.

• Límites de peticiones (rate limiting) por dirección IP: acceso y registro (20 por 15 min), API general (1.500 por 5 min), páginas públicas (120 por minuto), enlaces de parte y contrato (30 por minuto), consultas fallidas (20 por 15 min), reservas (20 por 15 min por IP y 20 por hora por taller) y registro de alquiler (150 por 15 min).
• Política de seguridad de contenidos (CSP) y cabeceras de seguridad (Helmet), con frame-ancestors restringido y sin object-src.
• La sesión se comprueba antes de leer un cuerpo de petición grande; las peticiones ordinarias están limitadas a 1 MB.
• Escapado de los valores externos en las páginas generadas y en los mensajes del bot (HTML).
• Presupuesto diario de IA por taller, que limita el abuso del servicio de IA.

4. Cifrado.

• En tránsito: TLS entre el navegador, el servidor y los proveedores.
• En reposo: cifrado por defecto de Google Cloud / Firestore.

5. Gestión de credenciales y secretos.

• Los secretos (token del bot, código de alta) están en Secret Manager y se inyectan por referencia; no existe un archivo .env en el despliegue ni claves JSON. La IA (Vertex AI) no usa clave: se accede con la cuenta de servicio de la aplicación.
• El servicio se ejecuta con una cuenta de servicio específica (taller-parte-runtime) con los roles mínimos necesarios (ejecución del servicio, datos, autenticación y acceso por secreto, no a nivel de proyecto).
• El despliegue es manual, desde una copia local limpia; las reglas e índices se aplican a mano, sin automatismos.
• El entorno de pruebas (staging) nunca lleva el token del bot de producción.

6. Minimización, ubicación y retención.

• El audio de las notas de voz no se conserva; solo la transcripción.
• No se envían a la IA el teléfono ni el correo del cliente.
• Lecturas acotadas: cada pantalla lee solo lo que muestra, con consultas paginadas.
• Las fotografías están desactivadas.
• Los datos se almacenan en la Unión Europea (Cloud Firestore, multirregión eur3) y la IA se procesa en la multirregión UE de Vertex AI.

7. Disponibilidad y resiliencia.

• Servicio de una sola instancia, siempre activa, con comprobación de estado (/health) y reinicio gestionado por la plataforma.
• Reintentos y modelos de respaldo en el servicio de IA.
• Estado importante (parte activo del mecánico, reservas) almacenado en la base de datos, no en memoria.

8. Trazabilidad.

• Registros estructurados (JSON) con identificador de petición, sin volcar contraseñas, conservados 30 días en Google Cloud Logging; el registro de abusos anota la IP.
• Se anotan el último acceso del taller y el uso diario de la IA.

9. Organizativas.

• Acceso del personal de RIDE-ON a los datos solo para soporte y mantenimiento, con compromiso de confidencialidad.
• El panel de administración (backoffice) está limitado a las cuentas a las que RIDE-ON asigna expresamente el rol de administrador de la plataforma, que se comprueba en cada petición.
• Procedimiento de notificación de brechas (cláusula 9).
• Revisión periódica de estas medidas y de los subencargados.

ANEXO III — Subencargados autorizados

Telegram no figura en esta lista: es el canal de mensajería que elige el Taller y responsable de su propio servicio (cláusula 6.5).

Si se activasen las fotografías, se añadiría Firebase Storage (Google), comunicándolo conforme a la cláusula 6.2.