Acuerdo de Tratamiento de Datos (DPA)

• Responsable / Controlador: el Taller (Cliente), que determina los fines y medios del tratamiento de los datos de sus Clientes Finales. • Encargado / Operador: Mi Taller (Hello Galaxy, Inc., C-Corporation de Delaware, EE.UU.), que trata esos datos únicamente por cuenta y según las instrucciones documentadas del Taller, para prestar el Servicio. Terminología equivalente por jurisdicción: Responsable/Encargado (países hispanohablantes; Panamá también «Custodio»); Controlador/Operador y Encarregado=DPO (Brasil).

• Categorías de titulares: Clientes Finales del Taller (dueños/usuarios de vehículos) y sus contactos. • Categorías de datos: nombre, teléfono, correo, dirección; datos del vehículo (marca, modelo, año, placa, VIN); historial de servicios, órdenes, presupuestos y facturación. • Naturaleza y fin: alojamiento, procesamiento y visualización de esos datos para operar la gestión del taller (órdenes, facturación, agenda, mensajería). • Duración: mientras dure la suscripción, más las ventanas de exportación/eliminación de la §7. Mi Taller no tratará esos datos para fines propios distintos de prestar el Servicio, salvo su anonimización irreversible para estadística/mejora.

• Garantizar que cuenta con base legal, consentimiento y avisos frente a sus Clientes Finales para cargar y tratar sus datos, incluida la mensajería (WhatsApp) y la transferencia internacional derivada del uso del Servicio (§6). • Cargar sólo datos que tiene derecho a tratar; no cargar categorías especiales sin base lícita. • Cumplir, como Responsable, sus deberes de notificación a la autoridad y a los titulares.

• Tratar los datos sólo según las instrucciones del Taller y la ley aplicable. • Confidencialidad: el personal con acceso está obligado a confidencialidad y opera bajo el principio de necesidad de conocer. • Medidas de seguridad: cifrado en tránsito TLS, cifrado en reposo AES-256 en AWS, control de acceso por roles, respaldos y registro de actividad, razonables y apropiadas al riesgo. • Asistir al Taller en responder solicitudes de titulares (acceso, rectificación, cancelación, oposición, portabilidad — habeas data/ARCO), mediante herramientas de autogestión. • Poner a disposición del Taller la información/documentación razonable para acreditar el cumplimiento; en lugar de auditorías presenciales, Mi Taller podrá aportar reportes/resúmenes, con frecuencia y costo razonables.

El Taller autoriza a Mi Taller a usar sub-encargados. Actuales: • AWS — hosting/infraestructura — EE.UU. (us-east-1). • Stripe — pagos — EE.UU./global. • Meta / WhatsApp — mensajería — EE.UU./global. • Resend — correos transaccionales — EE.UU./global. Mi Taller podrá agregar o reemplazar sub-encargados avisando previamente. El Taller podrá objetar por motivos legítimos y, si no hay solución razonable, terminar la suscripción. Mi Taller traslada a cada sub-encargado obligaciones de protección equivalentes.

Dado que los sub-encargados pueden tratar datos fuera del país del Taller (incluido EE.UU., no reconocido como adecuado por los países de LATAM), la transferencia se ampara en: (a) la autorización/consentimiento que el Taller (Responsable) obtiene de sus titulares; y (b) cláusulas contractuales con garantías equivalentes (modelo de la Red Iberoamericana / cláusulas estándar de la ANPD en Brasil / BCR). En Perú, el Taller deberá considerar el registro de la transferencia cuando corresponda.

A la terminación, el Taller dispondrá de una ventana de 30 días para exportar los datos. Transcurrida, Mi Taller eliminará o anonimizará los datos, salvo obligación legal de retención. La eliminación no será instantánea ni impedirá que el Taller conserve/exporte previamente los registros que la ley le exija conservar (a menudo 5–10 años en materia fiscal/comercial).

Ante una brecha de datos personales, Mi Taller notificará al Taller sin dilación indebida tras tener conocimiento, con la información disponible, para que el Taller cumpla sus deberes frente a la autoridad y los titulares dentro de los plazos legales (p. ej. Brasil 3 días hábiles a la ANPD; Perú 48 h; Panamá 72 h; Ecuador 5 días autoridad / 3 días titular).

Este DPA rige mientras Mi Taller trate datos por cuenta del Taller. En caso de conflicto con los Términos respecto del tratamiento de datos de Clientes Finales, prevalece este DPA. En lo demás, rigen los Términos.

Se entiende aceptado con la aceptación de los Términos y el uso del Servicio. Para clientes que requieran un DPA firmado, se dispondrá de una versión ejecutable con firma electrónica.