Contrato de encargo del tratamiento

conforme al Art. 28 DSGVO (RGPD) · Versión: 7 de octubre de 2026

DSGVO = Datenschutz-Grundverordnung, es decir, el Reglamento General de Protección de Datos de la UE (RGPD). Las referencias legales se mantienen en su forma original alemana (Abs. = apartado; Nr. = número; ff. = y siguientes).

Entre el cliente que utiliza HelpYa (responsable del tratamiento, en adelante, «cliente») y FFM&M RE GmbH, Sybelstraße 31, 10629 Berlin, Alemania (encargado del tratamiento, en adelante, «HelpYa»). El presente contrato forma parte integrante del contrato de uso conforme a las condiciones generales y es válido sin necesidad de firma por separado.

1. Objeto y duración

HelpYa trata datos personales por encargo del cliente con el fin de informar a sus visitantes sobre el estado de su pedido, su mesa, su cita o su encargo (avisador digital) y, en la medida en que el cliente utilice «Pedir y pagar», de recibir los pedidos de los visitantes desde su sitio y transmitirlos al cliente. Además, HelpYa trata datos en la medida en que el cliente le conceda acceso en el marco de un acceso para soporte (n.º 3, apartado 4). El contrato tiene la misma duración que el contrato de uso.

2. Tipo de datos e interesados

Interesados: visitantes o clientes del cliente que obtienen un número o para los que el cliente crea un número; en el caso de talleres, además, titulares o usuarios de vehículos; en el caso de «Emergencia y seguridad», además, las personas registradas por el cliente como destinatarias de alarmas (por ejemplo, el titular o una empresa de seguridad).

Datos:

• número de recogida, identificador aleatorio, estado y momentos (creado, listo, recogido, confirmación de entrega),
• identificador aleatorio del dispositivo (cookie), idioma, dirección push del navegador,
• en caso de uso de un pase de Wallet: identificador del pase en Google o Apple,
• en talleres: matrícula, mes de la próxima inspección técnica obligatoria, prueba del consentimiento (momento, texto) y registro de envío de los recordatorios,
• en «Pedir y pagar»: partidas y opciones pedidas, lugar (por ejemplo, mesa), peticiones especiales o notas (texto libre), forma de pago, estado del pago, propina y el identificador de pago de Stripe (sin datos de tarjetas ni de cuentas),
• en «Emergencia y seguridad»: momento y tipo de una alarma, lugar o texto indicados voluntariamente por el visitante, identificador aleatorio del dispositivo (protección contra abusos), acuse de recibo, anotación de falsa alarma o de fin de alarma y registro de entrega; nombre, función y número de móvil de los destinatarios de alarmas y, en su caso, la dirección del webhook de alarma,
• durante un acceso para soporte: datos técnicos de los dispositivos del cliente (tipo de dispositivo, navegador, pantalla, permiso de notificaciones, conexión, mensajes de error técnicos) y un registro de las páginas consultadas y de las modificaciones realizadas por el soporte.

No se recogen nombres, números de teléfono ni direcciones de correo electrónico de los visitantes. Las categorías especiales de datos personales (Art. 9 DSGVO) no son objeto del tratamiento; el cliente no introduce tales datos como número ni como texto libre.

3. Instrucciones

(1) HelpYa trata los datos únicamente siguiendo instrucciones documentadas del cliente. Las instrucciones resultan del presente contrato, de las condiciones generales y del uso que el cliente haga de las funciones del servicio; el cliente imparte otras instrucciones en forma de texto (Textform).

(2) Si HelpYa considera que una instrucción es ilícita, lo advertirá sin demora al cliente y podrá suspender su ejecución hasta que se aclare.

(3) Queda a salvo el tratamiento basado en una obligación legal; HelpYa lo comunicará previamente al cliente, salvo que la ley lo prohíba.

(4) Acceso para soporte: si el cliente concede acceso a HelpYa en el área de clientes mediante un código, ello constituye una instrucción de consultar los datos del cliente durante el tiempo del acceso (como máximo 60 minutos) con fines de asistencia y, únicamente en el modo «ver y modificar», de modificarlos previo acuerdo con el cliente. Ni siquiera en ese caso puede el soporte modificar los datos de acceso, los accesos del equipo, la tarifa, los datos de pago y bancarios ni la cuenta de pago del cliente en Stripe. El cliente puede poner fin al acceso en cualquier momento; cada página consultada y cada modificación quedan registradas.

4. Confidencialidad

HelpYa solo recurre a personas que se hayan comprometido a respetar la confidencialidad o que estén sujetas a una obligación legal de secreto.

5. Medidas técnicas y organizativas

HelpYa adopta las medidas descritas en el anexo 1 conforme al Art. 32 DSGVO. Podrán desarrollarse siempre que no se reduzca el nivel de protección.

6. Subencargados del tratamiento

(1) El cliente autoriza el recurso a los subencargados del tratamiento indicados en el anexo 2.

(2) HelpYa informará al cliente en forma de texto, con al menos cuatro semanas de antelación, de los cambios previstos. El cliente podrá oponerse por un motivo importante relacionado con la protección de datos; si no se alcanza un acuerdo, podrá resolver el contrato de uso con efecto en la fecha del cambio.

(3) HelpYa obligará contractualmente a los subencargados a un nivel de protección equivalente al del presente contrato.

7. Asistencia al cliente

(1) HelpYa asiste al cliente con medidas apropiadas en el cumplimiento de los derechos de los interesados (Art. 12–22 DSGVO). Los visitantes pueden darse de baja por sí mismos de las notificaciones y retirar sus consentimientos, así como suprimir por sí mismos los datos del vehículo. Si un visitante se dirige directamente a HelpYa, esta transmitirá la solicitud al cliente.

(2) HelpYa asiste al cliente en el cumplimiento de las obligaciones previstas en los Art. 32–36 DSGVO, en particular en la notificación de violaciones de la seguridad de los datos y en eventuales evaluaciones de impacto relativas a la protección de datos.

8. Violaciones de la seguridad de los datos

HelpYa notificará al cliente sin demora cualquier violación de la seguridad de los datos personales tras tener conocimiento de ella, con la información prevista en el Art. 33 Abs. 3 DSGVO, en la medida en que esté disponible.

9. Supresión y devolución

(1) Durante la vigencia del contrato, HelpYa suprime o anonimiza los datos automáticamente: los números de recogida, 24 horas después de la recogida y, en encargos de varios días, como máximo 30 días después de su creación; las peticiones especiales y notas de los pedidos, al cabo de 24 horas; los datos del vehículo sin consentimiento, al concluir el encargo, y con consentimiento, como máximo tres años después del último contacto o inmediatamente a petición del visitante; el registro y los datos de los dispositivos de un acceso para soporte, al cabo de 30 días; el lugar, el texto y el identificador del dispositivo de una alarma, así como los intentos de alarma rechazados, al cabo de 30 días, y los destinatarios de alarmas, cuando el cliente los elimine. Las partidas e importes de los pedidos sin referencia personal se conservan para los registros del cliente.

(2) Tras la finalización del contrato, HelpYa suprimirá todos los datos del cliente que aún existan en un plazo de 30 días, salvo que exista una obligación legal de conservación. A petición del cliente, HelpYa le facilitará previamente una evaluación sin referencia personal.

10. Pruebas y auditorías

HelpYa pondrá a disposición del cliente la información necesaria para demostrar el cumplimiento del presente contrato y permitirá la realización de auditorías por parte del cliente o de un auditor designado por este y sujeto a deber de confidencialidad, con el debido preaviso, durante el horario comercial habitual y sin perturbar la actividad.

11. Lugar del tratamiento

Los datos se almacenan y tratan en Alemania. Solo se realizan transferencias a terceros países en el marco de los servicios indicados en el anexo 2 y únicamente en las condiciones de los Art. 44 ff. DSGVO.

12. Responsabilidad y disposiciones finales

En materia de responsabilidad se aplica el Art. 82 DSGVO; por lo demás, se aplica lo dispuesto en las condiciones generales. En caso de contradicción, el presente contrato prevalece sobre las condiciones generales en cuestiones de protección de datos.

Anexo 1 – Medidas técnicas y organizativas

• Minimización de datos: sin nombres, números de teléfono ni direcciones de correo electrónico de los visitantes; identificadores aleatorios de 128 bits; supresión automática en plazos fijos (n.º 9).
• Cifrado: transmisión exclusivamente mediante TLS (HTTPS con HSTS); notificaciones push cifradas de extremo a extremo conforme al estándar Web Push.
• Control de acceso a los sistemas: servidores accesibles únicamente mediante clave SSH, con el inicio de sesión por contraseña desactivado; protección contra intentos de inicio de sesión fallidos repetidos.
• Control de acceso a los datos: separación estricta de los datos de cada cliente (separación de mandantes); accesos personales con contraseñas con hash (PBKDF2) y funciones (administrador/empleado), enlaces de invitación de un solo uso con caducidad; el cliente puede revocar en cualquier momento los inicios de sesión de dispositivos. El personal de HelpYa solo ve los datos de un cliente con un acceso para soporte limitado en el tiempo concedido por este (código, como máximo 60 minutos, revocable en cualquier momento, lista de bloqueo para datos de acceso y de pago, registro completo).
• Control de introducción de datos: se registran los eventos de estado y de entrega de cada número; no se almacenan registros de acceso con direcciones IP.
• Disponibilidad: funcionamiento en un centro de datos en Alemania (Hetzner, Núremberg); copia de seguridad antes de cada modificación del software.
• Principio de separación: los datos de prueba y los de producción están separados; el desarrollo se realiza únicamente con datos de prueba.

Anexo 2 – Subencargados del tratamiento

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemania – explotación de servidores (centro de datos de Núremberg, Alemania).
• Google LLC / Google Ireland Ltd. – Google Wallet (solo si el visitante guarda el pase) y entrega de notificaciones push en Chrome/Android; EU-US Data Privacy Framework.
• Apple Inc. / Apple Distribution International Ltd. – entrega de notificaciones push en Safari/iOS y Apple Wallet (solo si el visitante guarda el pase); EU-US Data Privacy Framework.
• Mozilla Corporation – entrega de notificaciones push en Firefox; EU-US Data Privacy Framework.
• seven communications GmbH & Co. KG, Kiel, Alemania (seven.io) – envío de SMS en caso de alarma silenciosa del personal a los números de teléfono registrados por el cliente (titular, empresa de seguridad; solo si el cliente utiliza «Emergencia y seguridad» con números).
• Anthropic, PBC, EE. UU. – lectura y traducción de la carta del cliente (solo si el cliente carga una carta, indica un sitio web o guarda contenidos de la carta); solo se transmiten contenidos de la carta, sin datos de visitantes; cláusulas contractuales tipo de la UE, sin uso para entrenamiento.

Los servicios push solo reciben contenidos cifrados y la dirección push generada por el navegador del visitante.

Los pagos en línea de los visitantes los procesa Stripe (Stripe Payments Europe, Ltd., Dublín) a través de una cuenta de Stripe propia del cliente. Para ello, el cliente celebra un contrato propio con Stripe; a este respecto, Stripe no es subencargado del tratamiento de HelpYa. HelpYa transmite a Stripe las partidas e importes del pedido y solo recibe de Stripe el estado del pago y un identificador del pago.

Condiciones generales · Política de privacidad · Contrato de encargo del tratamiento · Aviso legal