Contrato de encargado del tratamiento
Versión 2026-09-25
Anexo a los Términos y condiciones de Mi Turno. Cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la LOPDGDD. Se acepta al contratar el servicio y forma parte del contrato.
1. Partes
- Responsable del tratamiento («el Cliente»): la empresa o el autónomo que contrata Mi Turno, con los datos que figuran en su cuenta.
- Encargado del tratamiento («Mi Turno»): [DATO PENDIENTE: nombre o razón social], NIF [DATO PENDIENTE: NIF], con domicilio en [DATO PENDIENTE: domicilio] y correo nodisla@nodisla.org.
2. Objeto
Mi Turno trata, por cuenta del Cliente, los datos personales que el Cliente y sus conductores introducen en el servicio, con la única finalidad de prestarle el servicio contratado: guardar y sincronizar turnos, carreras y servicios privados; mostrarle el panel de control (quién está en turno, ingresos, vencimientos); generar exportaciones CSV/XLSX y ZIP; y dar soporte técnico.
Las operaciones de tratamiento son: recogida a través de la app y el panel, registro, conservación, consulta, organización, copia de seguridad, exportación a petición del Cliente, y supresión.
3. Duración
Lo que dure el contrato del servicio, más el plazo de 30 días tras su fin para que el Cliente exporte sus datos (punto 11).
4. Datos e interesados
| Interesados | Datos |
|---|---|
| Conductores del Cliente | Nombre, usuario, teléfono (opcional), contraseña (cifrada), vehículo asignado, fechas de alta y baja, dispositivo de inicio de sesión; turnos (inicio y fin); carreras (fecha, hora, importe, método de pago); servicios privados que registren. |
| Gestores del Cliente (usuarios del panel) | Nombre, usuario, contraseña (cifrada), rol. |
| Clientes de servicios privados del Cliente | Nombre de la persona o empresa, kilómetros, importe y fecha del servicio. |
| Titulares de los vehículos (si son personas físicas) | Matrícula, marca, modelo, año, color, bastidor, kilómetros, vencimientos de documentos y mantenimientos. |
No se tratan categorías especiales de datos (artículo 9 del RGPD) ni ubicación GPS. El Cliente se compromete a no introducir ese tipo de datos en los campos de texto libre.
5. Obligaciones del Cliente (responsable)
- Tener base legal para tratar los datos y para controlar la actividad de sus conductores, e informarles de ese tratamiento (artículos 13 y 14 del RGPD, 87 a 91 de la LOPDGDD y 20.3 del Estatuto de los Trabajadores). La app muestra al conductor un aviso de que su empresa ve sus turnos e ingresos, pero ese aviso no sustituye la información que debe darle el Cliente.
- Introducir solo los datos necesarios y mantenerlos exactos.
- Atender los derechos de sus interesados, con la ayuda de Mi Turno. El panel le permite exportar los datos y anonimizar a un conductor.
- Dar a Mi Turno sus instrucciones. El uso del servicio conforme a su configuración y funciones cuenta como instrucción documentada.
6. Obligaciones de Mi Turno (encargado)
- Tratar los datos solo siguiendo las instrucciones documentadas del Cliente y solo para prestar el servicio. Si una instrucción le parece contraria a la ley, avisará al Cliente de inmediato.
- No usar los datos para fines propios, no venderlos y no comunicarlos a terceros, salvo obligación legal (en cuyo caso avisará antes al Cliente si la ley lo permite).
- Garantizar que las personas autorizadas a tratar los datos tienen deber de confidencialidad, también después de terminar el contrato.
- Aplicar las medidas de seguridad del punto 8.
- Ayudar al Cliente a responder las peticiones de derechos de sus interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad). Si un interesado se dirige a Mi Turno, se lo trasladará al Cliente sin demora.
- Ayudar al Cliente, en lo que dependa de Mi Turno, con la seguridad, la notificación de brechas, las evaluaciones de impacto y las consultas a la autoridad de control (artículos 32 a 36 del RGPD).
- Poner a disposición del Cliente la información necesaria para demostrar que cumple este contrato y permitir auditorías razonables, con aviso previo de al menos 30 días, sin perjudicar al servicio ni a otros clientes, y a costa del Cliente.
- Llevar el registro de actividades de tratamiento como encargado cuando sea obligatorio.
7. Subencargados
Mi Turno no usa ningún subencargado para tratar los datos de conductores, vehículos ni clientes de servicios privados. El servicio funciona en un servidor propio del titular en Canarias (España), sin proveedores de nube, y el correo se envía con servidor propio. No hay transferencias internacionales de estos datos.
Stripe Payments Europe Ltd. (Irlanda) interviene solo en el cobro de la suscripción al propio Cliente, con sus datos de facturación, y no recibe datos de conductores ni de su actividad.
Con este contrato el Cliente da una autorización general para que Mi Turno pueda incorporar en el futuro algún subencargado. Mi Turno le avisará por correo con al menos 30 días de antelación, indicando quién es y qué hará; el Cliente podrá oponerse y, si no se llega a un acuerdo, cancelar el servicio sin penalización. Todo subencargado quedará obligado por escrito a las mismas obligaciones que este contrato.
El envío por WhatsApp del resumen de cierre de mes lo decide y lo hace el propio conductor desde su teléfono; no es un tratamiento de Mi Turno ni WhatsApp es subencargado.
8. Medidas de seguridad
- Todas las conexiones cifradas con HTTPS.
- Contraseñas guardadas con Argon2 (no se pueden leer).
- Doble factor de autenticación (2FA) en la cuenta de administración de Mi Turno.
- Separación de los datos de cada cliente: ningún cliente puede ver datos de otro.
- Copias de seguridad cifradas.
- Sesiones con caducidad y protección contra intentos repetidos de acceso.
Mi Turno revisará estas medidas periódicamente y las mejorará cuando sea necesario, sin rebajar el nivel de protección.
9. Acceso de soporte
El personal de Mi Turno solo entra en la cuenta del Cliente («modo soporte») para resolver una incidencia a petición del Cliente o por necesidad técnica (por ejemplo, un fallo que impide el servicio). Cada acceso queda registrado en un registro de auditoría con quién, cuándo y qué acción, que se conserva 2 años. El Cliente puede pedir por correo la relación de accesos a su cuenta.
10. Brechas de seguridad
Si Mi Turno detecta una brecha que afecte a datos del Cliente, se lo notificará por correo sin dilación y en un máximo de 48 horas desde que tenga conocimiento, con la información disponible: qué ha pasado, qué datos e interesados pueden estar afectados, las consecuencias probables y las medidas tomadas o propuestas. Corresponde al Cliente, como responsable, notificarlo a la AEPD y, si procede, a los interesados; Mi Turno le ayudará.
11. Fin del contrato: devolución y borrado
Al terminar el contrato, el Cliente dispone de 30 días para exportar sus datos desde el panel (CSV/XLSX o ZIP con todos los datos) y, si dio de baja la empresa desde el panel, para deshacer la baja. Pasado ese plazo, Mi Turno borra los datos del Cliente de sus sistemas. Las copias de seguridad se sobrescriben en su ciclo normal de rotación, y mientras tanto no se usan. Mi Turno solo conservará, bloqueados, los datos que una ley le obligue a guardar.
12. Responsabilidad
Si Mi Turno usa los datos para otros fines o incumple este contrato, será considerado responsable del tratamiento en lo que se refiera a ese incumplimiento, y responderá conforme al artículo 82 del RGPD. En lo demás, se aplica lo dicho en los Términos y condiciones.
13. Ley aplicable
Este contrato se rige por el RGPD, la LOPDGDD y el resto de la ley española. Si algo de este anexo contradice los Términos en materia de protección de datos, prevalece este anexo.