Términos y Condiciones

Empresa: Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Países Bajos

Registro Mercantil (KvK): 92122167

Sitio Web: www.carsu.com

Empresa del grupo: Carsu Italia S.r.l., Via Fabro 8, 10122 Torino, Italia; REA TO-1365449; P.IVA / C.F. 13468500015; PEC carsu.italia@pec.it (filial participada al 100 % por Carsu B.V.)

Última actualización: 8 de septiembre de 2026

Entrada en vigor: 8 de septiembre de 2026

1. Introducción

Estas Condiciones Generales («Términos») regulan su acceso y uso de la plataforma de software como servicio («SaaS») operada por Carsu B.V. («Carsu», «la Empresa», «nosotros», «nuestro» o «nos»), disponible en https://www.carsu.com y a través de nuestras aplicaciones móviles («Plataforma»).

Al registrarse para obtener una cuenta o al utilizar nuestra Plataforma, usted acepta quedar vinculado por estos Términos, por nuestra Política de Privacidad (disponible en https://www.carsu.com/privacy), por nuestra Política de Cookies (disponible en https://www.carsu.com/cookie-policy) y por cualquier formulario de pedido o acuerdo de suscripción aplicable. Si no los acepta, no utilice nuestros servicios.

Entidad contratante. Su parte contratante en virtud de estos Términos es Carsu B.V., salvo que su formulario de pedido, confirmación de suscripción o factura designe como entidad contratante a Carsu Italia S.r.l. (Via Fabro 8, 10122 Torino, Italia; REA TO-1365449; P.IVA 13468500015), filial participada al 100 % por Carsu B.V. En ese caso, «Carsu», «nosotros», «nuestro» y «nos» significan Carsu Italia S.r.l. a efectos de su Suscripción, de la facturación, del Contrato de Tratamiento de Datos del Anexo A y de cualquier reclamación derivada de estos Términos. Carsu B.V. y Carsu Italia S.r.l. pueden cumplir cada una obligaciones derivadas de estos Términos por cuenta de la otra (incluidos desarrollo, alojamiento, soporte y gestión de clientes); su parte contratante sigue siendo responsable ante usted del cumplimiento. Estos Términos se aplican asimismo a cualquier otra filial, sociedad vinculada o empresa del grupo Carsu B.V. que preste servicios bajo la marca Carsu.

2. Definiciones

3. Servicios Prestados

Carsu proporciona una plataforma SaaS completa diseñada para el mercado de posventa del automóvil, que incluye:

• Gestión del Taller: Gestión de relaciones con clientes (CRM), programación, facturación y seguimiento del historial de servicios, incluidas fotografías de los vehículos y de los trabajos realizados.
• Aplicación Móvil: Una aplicación complementaria para iOS y Android destinada al personal del taller, tal como se describe en la Sección 5.5.
• Servicios de Comunicación: Mensajería integrada mediante WhatsApp Business, SMS y Viber, que permite a los Usuarios comunicarse con sus Clientes Finales.
• Reserva Online: Un widget de reservas integrable mediante el cual los Clientes Finales pueden solicitar citas desde el propio sitio web del Usuario.
• Información de Vehículos y Piezas: Acceso a datos de vehículos, catálogos de piezas e información sobre procedimientos de reparación.
• Inventario y Registros de Depósito: Stock de piezas y registros de Bienes en Depósito que el Usuario mantiene por cuenta de sus Clientes Finales (hotel de neumáticos), tal como se describe en la Sección 5.6.
• Facturación e Información Fiscal: Generación de facturas y, cuando esté habilitado para el país del Usuario, transmisión de los datos de factura a la autoridad tributaria competente, tal como se describe en la Sección 7.6.
• Procesamiento de Pagos: Procesamiento de pagos integrado a través de Stripe.
• Integraciones de Terceros: Sincronización opcional de los datos de citas con servicios de calendario externos (como Google Calendar) a su elección, tal como se describe en la Sección 5.4.
• Atención al Cliente: Servicios de soporte que incluyen funciones asistidas por IA, como la traducción automática de mensajes.

4. Registro de Cuenta y Seguridad

4.1 Registro

Para acceder a la Plataforma debe registrarse y crear una Cuenta. Usted se compromete a facilitar información veraz, actual y completa durante el registro y a mantenerla actualizada.

4.2 Seguridad de la Cuenta

Usted es responsable de mantener la confidencialidad de sus credenciales de acceso y de todas las actividades que se produzcan en su Cuenta. Debe notificárnoslo de inmediato en hello@carsu.com si tiene conocimiento de cualquier uso no autorizado de su Cuenta.

4.3 Requisitos para Ser Titular de una Cuenta

La Plataforma está destinada a un uso empresarial (B2B). Al registrarse, usted declara que está autorizado para actuar en nombre de la entidad empresarial que registra y que tiene capacidad legal para celebrar estos Términos.

4.4 Miembros y Roles

Un Usuario puede añadir Miembros a su Cuenta y asignarles roles. El Usuario es responsable de los actos y omisiones de sus Miembros, de mantener actualizados sus accesos (incluida la eliminación de los Miembros que abandonen la empresa) y de garantizar que cada Miembro conozca estos Términos y la Política de Privacidad. El acceso a los datos y a las funciones se rige por el rol asignado; Carsu aplica los roles del lado del servidor.

4.5 Supresión de la Cuenta de un Miembro

Un Miembro puede eliminar su propio acceso desde la Plataforma (web o Aplicación Móvil). Con la supresión, el acceso se desactiva de inmediato, se cierra la sesión del Miembro en todos los dispositivos y este deja de aparecer en la Cuenta; si el Miembro vuelve a iniciar sesión en un plazo de 12 meses, el acceso se restablece y, transcurrido dicho plazo, se elimina de forma permanente, tal como se describe en los §8 y §11 de la Política de Privacidad. La supresión del acceso de un Miembro no elimina los datos empresariales del Usuario, los datos de los Clientes Finales, las facturas, los registros de pago ni las entradas de auditoría, que permanecen asociados a la Cuenta. Los Miembros que ostenten el rol de propietario o administrador deben transferir previamente dicho rol a otro Miembro, ya que una Cuenta debe contar en todo momento con alguien capaz de gestionar la facturación, los Miembros y la Suscripción. La supresión de un acceso no constituye una cancelación de la Suscripción (véase la Sección 13.2).

5. Uso de la Plataforma y Servicios de Comunicación

5.1 Integración de Mensajería

Nuestra Plataforma se integra con WhatsApp Business, pasarelas SMS y Viber. Los Usuarios deben cumplir los términos y políticas de terceros aplicables a cada canal de comunicación utilizado. Carsu no es responsable de los cambios en las políticas o en la disponibilidad de las plataformas de terceros.

5.2 Tarifas de Mensajería

Las tarifas de envío de mensajes son variables y dependen del destino, del tipo de mensaje y de su nivel de Suscripción. Las tarifas vigentes están disponibles en la sección Configuración del panel de su Cuenta. Carsu se reserva el derecho de ajustar las tarifas de mensajería con un preaviso de 14 días a través del panel de su Cuenta o por correo electrónico.

5.3 Consentimiento y Cumplimiento

Carsu proporciona herramientas e información para ayudar a los Usuarios a obtener y gestionar el consentimiento para las comunicaciones con Clientes Finales, en cumplimiento de la Directiva ePrivacy y de la normativa nacional aplicable. No obstante, como Responsable del Tratamiento de los datos de los Clientes Finales, el Usuario es en última instancia responsable de garantizar que:

• Se obtiene un consentimiento válido antes de enviar mensajes de marketing;
• Los mensajes cumplen la normativa aplicable sobre spam y comunicaciones electrónicas;
• Las solicitudes de exclusión de los Clientes Finales se atienden con prontitud.

Registros de Consentimiento y Atestaciones. La Plataforma le permite registrar el consentimiento de los Clientes Finales, individualmente o, para los Clientes Finales importados a la Plataforma, de forma masiva. Cada registro de consentimiento que usted introduce (incluida cualquier atestación masiva) constituye su declaración y garantía de que el consentimiento en cuestión se obtuvo válidamente para los fines registrados y de que puede acreditarlo si se le solicita. Carsu se basa en estos registros para operar las funciones de mensajería y campañas de la Plataforma y no los verifica de forma independiente.

Precedencia de la Exclusión y Supresión. Las solicitudes de exclusión de los Clientes Finales se aplican a nivel de Plataforma. Un Cliente Final que se ha excluido se añade a una lista de supresión que no puede ser anulada por ninguna confirmación de consentimiento, individual o masiva; el consentimiento de marketing para ese Cliente Final solo puede restablecerse mediante la propia acción del Cliente Final. Los Clientes Finales sin un consentimiento de marketing registrado quedan excluidos por defecto de las campañas de marketing.

Suspensión de Campañas. Carsu puede suspender o restringir las funciones de campañas y mensajería de marketing de una Cuenta cuando surjan indicadores de abuso (incluidas tasas inusualmente altas de exclusión, bloqueo o reclamación) o cuando sea razonablemente necesario para proteger la integridad de las integraciones de canales de mensajería de Carsu, en espera de investigación.

5.4 Integraciones de Terceros

La Plataforma ofrece Integraciones de Terceros opcionales, incluida la sincronización con Google Calendar.

• Autorización. El uso de cualquier Integración de Terceros es a su sola elección y requiere que usted autorice la conexión a través del flujo de autenticación del tercero (por ejemplo, Google OAuth). Usted autoriza a Carsu a acceder, transmitir y tratar datos del servicio conectado estrictamente para los fines descritos en nuestra Política de Privacidad.
• Ámbito. La integración con Google Calendar utiliza el ámbito calendar.events.readonly. Carsu importa los eventos del calendario únicamente para su visualización en la página de calendario de Carsu; Carsu no escribe, modifica ni elimina eventos en su Google Calendar.
• Limited Use. El uso por parte de Carsu de los datos recibidos de las API de Google se ajusta a la Google API Services User Data Policy, incluidos sus requisitos de Limited Use. No utilizamos los datos de las API de Google para publicidad, no los vendemos y no los utilizamos para entrenar modelos de IA o de aprendizaje automático. Véase el §5a de la Política de Privacidad para la declaración completa.
• Revocación. Puede revocar la autorización en cualquier momento desde la configuración de su Cuenta Carsu o directamente a través de los controles de cuenta del proveedor tercero (para Google: myaccount.google.com/permissions). Carsu cesará el acceso de inmediato y eliminará los datos almacenados en caché conforme al programa de conservación de la Política de Privacidad.
• Términos de Terceros. Su uso de cualquier Integración de Terceros está sujeto asimismo a los términos y políticas del proveedor tercero. Carsu no es responsable de los cambios, la suspensión o la terminación de las API de terceros, ni de los costes o limitaciones impuestos por el proveedor tercero.
• Sin Responsabilidad por Fallos de Terceros. Las interrupciones, errores, latencia o indisponibilidad de datos causados por el proveedor tercero quedan excluidos de las obligaciones de nivel de servicio de Carsu conforme a la Sección 8.

5.5 Aplicación Móvil

• Licencia y distribución. La Aplicación Móvil se le licencia, no se le vende, conforme a la Sección 10.1, y se distribuye a través de las App Stores. Su descarga y uso de la Aplicación Móvil están sujetos asimismo a los términos de la App Store correspondiente. Cuando los términos del operador de la App Store así lo exijan (incluidos los términos mínimos del Licensed Application End User Licence Agreement de Apple), dichos términos se aplicarán de forma adicional a estos Términos, y el operador de la App Store será tercero beneficiario de esta Sección 5.5 con derecho a exigir su cumplimiento frente a usted. El operador de la App Store no tiene obligación alguna de prestar mantenimiento o soporte de la Aplicación Móvil y no es responsable de ninguna reclamación relativa a la misma.
• Permisos del dispositivo. La Aplicación Móvil solicita acceso a la cámara, a la galería de fotos y a las notificaciones únicamente cuando usted utiliza por primera vez una función que lo requiere. Puede denegar o retirar posteriormente cada permiso en los ajustes de su dispositivo; en tal caso, la función correspondiente dejará de estar disponible. La Aplicación Móvil no accede a su ubicación, contactos, calendario ni micrófono. Lo que recopila la Aplicación Móvil se describe en el §5b de la Política de Privacidad.
• Fotografías y otros contenidos. Las fotografías y demás contenidos captados o subidos a través de la Plataforma son datos suyos conforme a la Sección 10.2. Usted es responsable de lo que fotografía, de contar con los permisos necesarios para hacerlo (incluido cuando aparezca una persona) y de informar a sus Clientes Finales, en su propia política de privacidad, de que pueden tomarse y almacenarse fotografías de su vehículo y de los trabajos realizados.
• Dispositivos compartidos. Cuando un dispositivo se comparta entre varios Miembros, cada Miembro debe cerrar la sesión al terminar. El cierre de sesión borra los datos en caché y detiene las notificaciones de ese Miembro en dicho dispositivo.
• Actualizaciones y compatibilidad. Carsu puede publicar actualizaciones y exigirle que instale una actualización para seguir utilizando la Aplicación Móvil. Carsu da soporte a la versión actual y a la versión principal inmediatamente anterior de iOS y Android; las versiones más antiguas pueden dejar de funcionar sin previo aviso.
• Dependencias de las App Stores y de las notificaciones push. La disponibilidad de la Aplicación Móvil depende de las App Stores, y la entrega de notificaciones push depende de los servicios de notificación de Apple y Google. La retirada, el retraso o el rechazo de la Aplicación Móvil por parte del operador de una App Store, así como las interrupciones de los servicios de notificación, quedan excluidos de las obligaciones de nivel de servicio de Carsu conforme a la Sección 8.
• Cumplimiento en materia de exportación. Usted declara que no se encuentra en un país sujeto a embargo por la UE o los Estados Unidos, que no utilizará la Aplicación Móvil desde dicho país, y que no figura en ninguna lista de partes restringidas de la UE o de los Estados Unidos.

5.6 Bienes en Depósito (Hotel de Neumáticos)

La Plataforma le permite registrar los Bienes en Depósito que mantiene por cuenta de sus Clientes Finales, incluidos su recepción, ubicación, retirada y eliminación. En relación con los Bienes en Depósito:

• Su custodia, su contrato. La relación de depósito existe únicamente entre usted y el Cliente Final. Carsu no asume la custodia ni el aseguramiento de los Bienes en Depósito, ni acepta responsabilidad alguna sobre ellos. Usted es responsable de las condiciones de depósito que acuerde con el Cliente Final, incluidas las tarifas, la duración y el destino de los objetos no retirados.
• Eliminación de objetos no retirados. Cuando usted registre que unos Bienes en Depósito no han sido retirados, la Plataforma le ayuda a documentar sus intentos de contacto y sus condiciones de depósito antes de cualquier eliminación o cambio de titularidad. Carsu no decide si usted puede eliminar, vender o disponer de los Bienes en Depósito ni cuándo puede hacerlo; esa decisión, y su conformidad con la normativa aplicable (incluidas las obligaciones en materia de protección de los consumidores, residuos y RENTRI cuando resulten aplicables), le corresponde a usted.
• Etiquetas e identificación. Las etiquetas generadas por la Plataforma identifican los Bienes en Depósito únicamente mediante una referencia de depósito y no constituyen prueba de titularidad.
• Solicitudes de supresión. Cuando un Cliente Final solicite la supresión mientras usted mantenga aún sus Bienes en Depósito, podrá conservar el registro mínimo que vincula los objetos con dicho Cliente Final hasta que le sean devueltos o se disponga lícitamente de ellos; Carsu le asistirá en la anonimización del resto (Anexo A, §A9).

6. Créditos Prepagados y Uso

6.1 Modelo de Crédito Prepagado

Carsu opera sobre la base de créditos prepagados para los servicios de comunicación. Los Créditos deben adquirirse por anticipado para utilizar las funciones de mensajería.

6.2 Cuentas sin Suscripción

Carsu ya no ofrece un nivel de Suscripción gratuito. Una Cuenta sin Suscripción (una Cuenta sin Suscripción de pago activa, incluida aquella cuya Suscripción haya finalizado) puede seguir utilizando la Plataforma únicamente sobre la base de créditos prepagados, con sujeción a los límites de uso publicados en la Configuración de su Cuenta y sin acceso a las funciones de los niveles de pago. Los mensajes enviados desde una Cuenta sin Suscripción se facturan a la tarifa de mensajería del nivel Básico. Los Créditos adquiridos que mantenga una Cuenta sin Suscripción son válidos durante doce (12) meses desde la fecha de compra o, cuando los Créditos se hayan adquirido durante una Suscripción de pago, desde la fecha en que dicha Suscripción finalizó. Los Créditos no utilizados expiran automáticamente transcurrido ese plazo, sin derecho a reembolso.

6.3 Validez de los Créditos: Niveles de Pago

Para los Usuarios del Nivel Básico o de cualquier otra Suscripción de pago, los Créditos adquiridos no expiran mientras la Suscripción permanezca activa y al corriente. Si una Suscripción de pago finaliza (por cualquier motivo), la Cuenta pasa a ser una Cuenta sin Suscripción y los Créditos restantes quedan sujetos a la Sección 6.2.

6.4 Créditos de Prueba

Carsu puede facilitar a los nuevos Usuarios Créditos de prueba gratuitos con fines de evaluación. Los Créditos de Prueba:

• Expiran automáticamente tres (3) meses después de su emisión;
• Pueden ser revocados en cualquier momento si sospechamos un uso indebido o una infracción de nuestra Política de Uso Aceptable (Sección 11);
• No tienen valor en efectivo y no son transferibles.

7. Tarifas, Pago y Facturación

7.1 Precios

Los precios vigentes de los Créditos y de los niveles de Suscripción están disponibles en nuestro Sitio Web y en la Configuración de su Cuenta. Todas las tarifas se indican sin incluir los impuestos aplicables, salvo que se señale lo contrario.

7.2 Procesamiento de Pagos

Los pagos se procesan a través de Stripe. Al realizar una compra, usted acepta los términos de servicio de Stripe. Carsu no almacena los datos de su tarjeta de crédito.

7.3 Facturación e IVA

Las facturas se emiten en el momento de la compra de Créditos o del pago de la Suscripción.

• Clientes neerlandeses (B2B) facturados por Carsu B.V.: Se aplica el IVA neerlandés del 21 %.
• Clientes italianos (B2B) facturados por Carsu Italia S.r.l.: Se aplica la IVA italiana del 22 %. Las facturas se emiten como facturas electrónicas (fattura elettronica) a través del Sistema di Interscambio; debe facilitar su Partita IVA y su Codice Destinatario o su dirección PEC.
• Otros clientes de la UE (B2B): Se aplica el mecanismo de inversión del sujeto pasivo del IVA. Las facturas incluyen la mención «IVA invertido». Debe facilitar un número de IVA válido de la UE.
• Clientes del Reino Unido (B2B): Tipo cero de IVA cuando se facilite un número de IVA británico válido.
• Clientes de fuera de la UE y del Reino Unido: No se repercute IVA; las obligaciones fiscales locales corresponden al cliente.

7.4 Cambios de Precios

Carsu puede ajustar los precios de Suscripción o las tarifas de los Créditos con un preaviso escrito de al menos 30 días por correo electrónico. El uso continuado después de la fecha de entrada en vigor constituye aceptación. Si no acepta un cambio de precio, puede resolver su Suscripción antes de que el nuevo precio entre en vigor.

7.5 Política de Reembolso

Todas las compras de Créditos y las tarifas de Suscripción no son reembolsables, salvo que Carsu haya incumplido materialmente sus obligaciones de servicio conforme a estos Términos o que la normativa aplicable exija otra cosa.

7.6 Facturas que Usted Emite e Información Fiscal

La Plataforma le permite emitir facturas, recibos y documentos relacionados a sus Clientes Finales y, cuando su país exija la facturación electrónica o la remisión de información fiscal y Carsu lo haya habilitado para ese país, transmite los datos exigidos a la autoridad tributaria competente (por ejemplo, Verifactu en España, el Sistema di Interscambio en Italia, myDATA y la Lista Digital de Clientes en Grecia, o KSeF en Polonia), directamente o a través de un intermediario certificado.

• Usted es el emisor. Toda factura o documento fiscal generado en la Plataforma es emitido por usted, en su nombre y bajo sus identificadores fiscales. Usted es responsable de la exactitud e integridad de los datos que introduce (incluidos sus propios datos registrales, los tipos impositivos y los identificadores de sus clientes), de la corrección fiscal de lo que factura y del cumplimiento de sus propias obligaciones de presentación, conservación e información. Carsu proporciona las herramientas y no presta asesoramiento fiscal.
• Transmisión. Cuando Carsu transmite datos a una autoridad tributaria por cuenta de usted, lo hace como su Encargado del Tratamiento y siguiendo su instrucción, que usted imparte al habilitar la función y emitir el documento. Carsu le mostrará en la Plataforma las respuestas de validación, los rechazos y los errores, y no alterará el contenido de un documento emitido por usted. Si una transmisión falla por una causa imputable a la autoridad, al intermediario o a los datos que usted facilitó, usted sigue siendo responsable de completar la presentación dentro del plazo legal; Carsu le facilitará la información de que disponga para ayudarle a hacerlo.
• Verificación del número de IVA. Para las facturas transfronterizas entre empresas, Carsu comprueba el número de IVA del cliente en el servicio VIES de la UE y almacena la respuesta como evidencia de auditoría. Un resultado de VIES acredita la situación registral en la fecha de la consulta y no constituye una garantía de la situación fiscal de su cliente.
• Disponibilidad. Los sistemas de las autoridades tributarias y de los intermediarios son dependencias de terceros conforme a la Sección 8.4.

8. Niveles de Servicio

8.1 Disponibilidad de la Plataforma

Carsu empleará esfuerzos comercialmente razonables para mantener una disponibilidad de la Plataforma de al menos el 99,5 % por mes natural, medida excluyendo las ventanas de mantenimiento programado.

8.2 Mantenimiento Programado

Avisaremos con al menos 48 horas de antelación de cualquier mantenimiento planificado que pueda afectar a la disponibilidad, salvo en casos de parches de seguridad urgentes, en los que puede ser necesario un preaviso más corto.

8.3 Remedios

Si la disponibilidad de la Plataforma cae por debajo del 99,5 % en cualquier mes natural (excluidos el mantenimiento programado y los supuestos de Fuerza Mayor), los Usuarios afectados con Suscripciones de pago pueden solicitar un crédito de servicio prorrateado por el período afectado. Los créditos de servicio se aplican a facturas futuras y no constituyen un reembolso en efectivo. Las reclamaciones deben presentarse en un plazo de 30 días desde el mes afectado.

8.4 Dependencias de Terceros

Nuestros servicios de comunicación, las Integraciones de Terceros, la Aplicación Móvil y la información fiscal dependen de plataformas de terceros (WhatsApp, Viber, pasarelas SMS, proveedores de entrega de correo electrónico, API de Google, las App Stores, los servicios de notificación de Apple y Google, los sistemas de las autoridades tributarias e intermediarios certificados de facturación electrónica, entre otros). Carsu no es responsable de las interrupciones o limitaciones impuestas por estos proveedores terceros. El tiempo de inactividad de terceros queda excluido de los cálculos del SLA.

9. Protección de Datos

9.1 Política de Privacidad y Política de Cookies

Carsu trata los datos personales de conformidad con nuestra Política de Privacidad, disponible en https://www.carsu.com/es/politica-privacidad. Las cookies y tecnologías similares de nuestro sitio web se describen en nuestra Política de Cookies, disponible en https://www.carsu.com/es/politica-de-cookies. Al utilizar la Plataforma, usted reconoce haber leído y comprendido ambas.

9.2 Contrato de Tratamiento de Datos

Cuando Carsu trata datos personales por cuenta de usted (es decir, datos de Clientes Finales), Carsu actúa como Encargado del Tratamiento y usted actúa como Responsable del Tratamiento. El Contrato de Tratamiento de Datos («DPA») establecido en el Anexo A de estos Términos, o suscrito por separado, rige esta relación de tratamiento de conformidad con el artículo 28 del RGPD.

9.3 Sus Obligaciones como Responsable del Tratamiento

Como Responsable del Tratamiento de los datos de Clientes Finales tratados a través de nuestra Plataforma, usted es responsable de:

• Garantizar que dispone de una base jurídica válida para el tratamiento de los datos de Clientes Finales;
• Obtener los consentimientos exigidos para las comunicaciones electrónicas (cumplimiento de la Directiva ePrivacy);
• Atender las solicitudes de ejercicio de derechos de sus Clientes Finales (Carsu le asistirá si lo solicita);
• Notificar a Carsu sin dilación cualquier solicitud de ejercicio de derechos que requiera la asistencia de Carsu;
• Mantener su propia política de privacidad que cubra su uso de nuestra Plataforma para tratar datos de Clientes Finales, incluidos el widget de reservas en su sitio web, las fotografías de vehículos y de los trabajos realizados, los registros de Bienes en Depósito y cualquier transmisión de datos de factura a las autoridades tributarias.

9.4 Portabilidad de Datos y Derechos de Cambio de Proveedor

De conformidad con el artículo 20 del RGPD y con la Ley de Datos de la UE (Reglamento (UE) 2023/2854), usted tiene derecho a la portabilidad de los datos y al cambio de proveedor:

• Exportación de Autoservicio: Puede exportar sus datos en cualquier momento desde la Configuración de su Cuenta en formato CSV o JSON.
• Solicitud de Exportación Manual: También puede solicitar una exportación completa de datos escribiendo a legal@carsu.com. Las solicitudes de exportación se atenderán en un plazo de 30 días.
• Exportación Posterior a la Resolución: Puede solicitar la exportación de datos dentro de los 12 meses siguientes a la resolución de su Suscripción.
• Supresión de Datos: Los datos se eliminarán de forma permanente en un plazo de 60 días tras la ventana de exportación de 12 meses posterior a la resolución, salvo que la ley exija una conservación más prolongada.
• Asistencia en el Cambio de Proveedor: Conforme a la Ley de Datos de la UE, si desea cambiar a un proveedor de servicios alternativo, Carsu prestará asistencia técnica razonable durante un período de 30 días desde que usted inicie el proceso de cambio. Los cargos por el cambio, en su caso, no excederán del coste directamente soportado por Carsu al prestar dicha asistencia.

Carsu no impondrá barreras contractuales, técnicas o comerciales que dificulten el cambio de proveedor o la portabilidad de los datos más allá de lo estrictamente necesario por motivos de seguridad e integridad de los datos.

9.5 Datos Procedentes de Integraciones de Terceros

Cuando usted autoriza a Carsu a acceder a datos de un servicio de terceros (por ejemplo, Google Calendar), Carsu actúa como Responsable del Tratamiento de dichos datos sobre las bases jurídicas del consentimiento (art. 6.1.a RGPD) y del contrato (art. 6.1.b RGPD), y los trata estrictamente conforme a la Política de Privacidad y a los términos de la API del proveedor tercero. Usted conserva la titularidad de todos esos datos. El Contrato de Tratamiento de Datos del Anexo A no se aplica a los datos obtenidos de Integraciones de Terceros que usted autorice para su propio uso, ya que dichos datos no constituyen datos de Clientes Finales tratados por Carsu por cuenta de usted.

10. Propiedad Intelectual

10.1 Propiedad Intelectual de Carsu

Todos los contenidos, software, tecnología, diseños, marcas y materiales de nuestra Plataforma son propiedad de Carsu B.V. o de sus licenciantes y están protegidos por la normativa de propiedad intelectual e industrial. Se le concede una licencia limitada, no exclusiva, intransferible y revocable para utilizar la Plataforma conforme a su finalidad durante su Suscripción.

10.2 Sus Datos y Analítica Agregada

Usted conserva todos los derechos sobre los datos que sube a la Plataforma, incluidas las fotografías y demás contenidos captados a través de la Aplicación Móvil o subidos desde la web. Al subir datos, usted concede a Carsu una licencia limitada para alojar, almacenar, redimensionar, recodificar, transmitir y mostrar dichos datos con la única finalidad de prestar los Servicios, incluida su puesta a disposición de los Miembros de su Cuenta y, cuando usted decida enviarlos, de sus Clientes Finales.

Carsu puede utilizar y compartir datos anonimizados y agregados (que no permiten identificarle a usted, a sus Clientes Finales ni operaciones individuales) con fines de mejora del servicio, analítica sectorial, información de mercado, investigación e innovación. Dichos datos se agregan a un nivel que garantiza que ningún taller, cliente final ni operación individual pueda ser identificado.

Dado que los datos se anonimizan de forma irreversible antes de cualquier uso o comunicación externa, quedan fuera del ámbito del RGPD (Considerando 26). Los destinatarios de la información agregada quedan vinculados por condiciones escritas que prohíben la reidentificación. Para más detalles, véase la Sección 7.4 de nuestra Política de Privacidad.

Los datos obtenidos de las API de Google quedan excluidos de este uso de analítica agregada, en línea con los compromisos de Limited Use descritos en la Política de Privacidad (§5a).

11. Política de Uso Aceptable

Usted se compromete a no utilizar la Plataforma para:

• Enviar mensajes de marketing no solicitados (spam) o mensajes sin consentimiento válido del destinatario;
• Transmitir contenido ilícito, difamatorio, amenazante, acosador o discriminatorio;
• Distribuir malware, virus u otro código dañino;
• Intentar obtener acceso no autorizado a la Plataforma, a otras cuentas o a sistemas conectados;
• Realizar ingeniería inversa, descompilar o desensamblar cualquier parte de la Plataforma;
• Utilizar la Plataforma para cualquier finalidad que infrinja la normativa aplicable, incluida la normativa de protección de datos y contra el spam;
• Suplantar a cualquier persona o entidad, o falsear su vinculación con ellas;
• Eludir los límites de uso, la limitación de velocidad u otras restricciones técnicas.

Carsu se reserva el derecho de suspender o resolver el acceso de los Usuarios que infrinjan esta Política de Uso Aceptable, de conformidad con la Sección 13.

12. Indemnización

Usted se compromete a indemnizar y mantener indemne a Carsu, a sus consejeros, directivos, empleados y agentes frente a cualesquiera reclamaciones, daños, pérdidas, responsabilidades y gastos (incluidos honorarios legales razonables) derivados de:

• Su incumplimiento de estos Términos o de la Política de Uso Aceptable;
• Su uso de la Plataforma en infracción de la normativa aplicable;
• Los mensajes enviados a través de la Plataforma por cuenta de usted, incluidas las reclamaciones de Clientes Finales o de terceros relativas al consentimiento, al contenido o al cumplimiento normativo;
• Cualquier registro de consentimiento o atestación que introduzca en la Plataforma (individualmente o de forma masiva) que resulte falso, inexacto o no acreditable;
• Las facturas y documentos fiscales que emita a través de la Plataforma, incluidas las reclamaciones de autoridades tributarias o de sus clientes relativas a su contenido, a su plazo o a sus datos registrales;
• Las fotografías o contenidos que capte o suba, y cualquier controversia con un Cliente Final relativa a los Bienes en Depósito;
• Cualquier reclamación por la que los datos facilitados por usted infrinjan derechos de propiedad intelectual o de privacidad de terceros.

13. Duración, Suspensión y Resolución

13.1 Duración

Su Suscripción comienza en la Fecha de Entrada en Vigor y continúa durante el plazo acordado (mensual o anual, según corresponda), renovándose automáticamente salvo cancelación antes del final del período en curso.

13.2 Cancelación por Su Parte

Puede cancelar su Suscripción en cualquier momento desde la configuración de su Cuenta. La cancelación surte efecto al final del período de facturación en curso. No se conceden reembolsos prorrateados por las fracciones no utilizadas de un período de facturación.

13.2a Cambio a un Proveedor Alternativo (Ley de Datos de la UE)

De conformidad con la Ley de Datos de la UE, usted puede resolver su Suscripción con la finalidad de cambiar a un proveedor de servicios alternativo mediante preaviso escrito de al menos 2 meses a legal@carsu.com. Durante el período de preaviso y durante los 30 días siguientes a la resolución, Carsu prestará asistencia técnica razonable para facilitar la transición, incluida la exportación de datos en formatos estándar (CSV, JSON) y la documentación de las estructuras de datos. Los cargos por el cambio, en su caso, se limitarán a los costes directamente soportados y comunicados con antelación.

13.3 Suspensión por Carsu

Carsu puede suspender su acceso a la Plataforma de forma inmediata si:

• Consideramos razonablemente que está infringiendo la Política de Uso Aceptable;
• Su Cuenta está implicada en una sospecha de actividad fraudulenta;
• Resulta necesario para cumplir una obligación legal o una resolución judicial;
• Su pago lleva más de 14 días de retraso.

Le notificaremos toda suspensión y su motivo tan pronto como sea posible. La suspensión no resuelve estos Términos; restableceremos el acceso una vez resuelta la incidencia.

13.4 Resolución por Causa Justificada por Carsu

Carsu puede resolver su Cuenta y estos Términos si:

• Un incumplimiento material permanece sin subsanar durante 30 días tras el requerimiento escrito;
• Usted incurre en infracciones reiteradas de la Política de Uso Aceptable;
• Usted deviene insolvente o entra en un procedimiento concursal.

13.5 Efectos Posteriores a la Resolución

Tras la resolución:

• Todos los Créditos de prueba no utilizados se pierden de forma inmediata;
• Los Créditos adquiridos quedan sujetos a las reglas de expiración de la Sección 6;
• Los accesos de Miembros suprimidos conforme a la Sección 4.5 siguen la ventana de reactivación de 12 meses de dicha Sección con independencia de la Cuenta;
• Puede solicitar la exportación de datos dentro de los 12 meses siguientes a la resolución (véase la Sección 9.4);
• Transcurrido el período de 12 meses posterior a la resolución, todos sus datos se eliminarán de forma permanente, salvo cuando la ley exija su conservación;
• Los datos obtenidos de Integraciones de Terceros (incluido Google Calendar) se eliminan en un plazo de 30 días desde la resolución o desde la desconexión anticipada, conforme al programa de conservación de la Política de Privacidad.

14. Limitación de Responsabilidad

14.1 Exclusión de Daños Indirectos

En la máxima medida permitida por la normativa aplicable, ninguna de las partes será responsable de daños indirectos, incidentales, especiales, consecuenciales o punitivos, incluidos, entre otros, el lucro cesante y la pérdida de datos, de negocio o de fondo de comercio, con independencia de la causa de la acción o del fundamento de la responsabilidad.

14.2 Límite de Responsabilidad

La responsabilidad total y agregada de Carsu derivada de estos Términos o relacionada con ellos no excederá del importe total de las tarifas abonadas por usted a Carsu en los doce (12) meses inmediatamente anteriores al hecho que dé lugar a la reclamación.

14.3 Excepciones

Nada en estos Términos excluye ni limita la responsabilidad por:

• Muerte o lesiones personales causadas por negligencia;
• Dolo o declaraciones fraudulentas;
• Cualquier responsabilidad que no pueda excluirse ni limitarse conforme a la normativa aplicable, incluidas las obligaciones derivadas del RGPD.

15. Fuerza Mayor

Ninguna de las partes será responsable del incumplimiento o retraso en el cumplimiento de sus obligaciones conforme a estos Términos cuando dicho incumplimiento o retraso resulte de acontecimientos ajenos a su control razonable, incluidos, entre otros: catástrofes naturales, pandemias, actos de gobierno, guerra, terrorismo, cortes de suministro eléctrico, interrupciones de internet, fallos de plataformas de terceros (WhatsApp, Viber, pasarelas SMS, Stripe, API de Google, las App Stores, los servicios de notificación de Apple y Google, los sistemas de las autoridades tributarias y los intermediarios de facturación electrónica) y ciberataques.

La parte afectada debe notificarlo sin dilación a la otra parte y emplear esfuerzos razonables para mitigar el impacto. Si un supuesto de Fuerza Mayor se prolonga más de 60 días, cualquiera de las partes podrá resolver los Servicios afectados mediante notificación escrita.

16. Garantías y Exoneraciones

16.1 Garantías de Carsu

Carsu garantiza que:

• La Plataforma funcionará sustancialmente conforme a su documentación;
• Los Servicios se prestarán con la diligencia y el cuidado razonables;
• Carsu cumplirá la normativa de protección de datos aplicable en su condición de Responsable o de Encargado del Tratamiento.

16.2 Seguridad y Divulgación de Vulnerabilidades

Carsu mantiene una política de divulgación responsable de vulnerabilidades conforme al Reglamento de Ciberresiliencia y a las mejores prácticas del sector. Los investigadores de seguridad y los Usuarios pueden comunicar vulnerabilidades a través de nuestro archivo security.txt en https://www.carsu.com/.well-known/security.txt o escribiendo a security@carsu.com. Carsu se compromete a acusar recibo de los informes en un plazo de 5 días hábiles y a facilitar un calendario de resolución en un plazo de 30 días.

16.3 Exoneración de Responsabilidad

Salvo lo expresamente indicado en estos Términos, la Plataforma se proporciona «tal cual» y «según disponibilidad». Carsu no ofrece garantías adicionales, expresas o implícitas, incluidas las garantías de comerciabilidad, idoneidad para un fin determinado o no infracción. Carsu no garantiza que la Plataforma vaya a funcionar de forma ininterrumpida ni libre de errores, ni que todos los defectos vayan a corregirse.

17. Ley Aplicable y Resolución de Controversias

17.1 Ley Aplicable

Estos Términos se rigen e interpretan de conformidad con la legislación de los Países Bajos, con exclusión de sus normas de conflicto de leyes.

17.2 Resolución de Controversias

Las partes intentarán en primer lugar resolver cualquier controversia mediante negociación de buena fe durante un período de 30 días. De no resolverse, las controversias se someterán a la jurisdicción exclusiva de los tribunales competentes de Ámsterdam, Países Bajos.

17.3 Reclamaciones ante Autoridades

Nada en estos Términos le impide ejercer sus derechos conforme al RGPD ni presentar reclamaciones ante la autoridad de control competente (véase nuestra Política de Privacidad para más detalles).

18. Disposiciones Generales

18.1 Acuerdo Íntegro

Estos Términos, junto con la Política de Privacidad, la Política de Cookies y cualquier formulario de pedido o DPA aplicable, constituyen el acuerdo íntegro entre usted y Carsu en relación con el uso de la Plataforma, y sustituyen a todos los acuerdos, declaraciones y entendimientos previos.

18.2 Divisibilidad

Si alguna disposición de estos Términos fuera declarada inválida o inexigible, las restantes disposiciones continuarán en pleno vigor y efecto. La disposición inválida se modificará en la medida mínima necesaria para hacerla válida y exigible.

18.3 Cesión

Usted no puede ceder ni transmitir estos Términos sin el consentimiento previo y por escrito de Carsu. Carsu puede ceder estos Términos en el marco de una fusión, adquisición, reorganización o venta de la práctica totalidad de sus activos, siempre que el cesionario acepte quedar vinculado por ellos.

18.4 Renuncia

La falta de ejercicio o el retraso en el ejercicio de cualquier derecho conforme a estos Términos por cualquiera de las partes no constituirá una renuncia a dicho derecho.

18.5 Notificaciones

Las notificaciones a Carsu deben enviarse a legal@carsu.com o por correo postal a nuestro domicilio social. Las notificaciones dirigidas a usted se enviarán a la dirección de correo electrónico asociada a su Cuenta. Las notificaciones se entienden recibidas en el momento de su entrega (correo electrónico) o transcurridos 5 días hábiles desde su envío (correo postal).

18.6 Modificaciones

Carsu puede modificar estos Términos con un preaviso escrito de al menos 30 días por correo electrónico o mediante notificación en la Plataforma. Los cambios sustanciales se destacarán. El uso continuado después de la fecha de entrada en vigor constituye aceptación. Si no acepta una modificación, puede resolver su Suscripción antes de que dicha modificación entre en vigor.

19. Contacto

Consultas legales: legal@carsu.com

Consultas generales: hello@carsu.com

Delegado de Protección de Datos: privacy@carsu.com

Cuestiones de seguridad: security@carsu.com

Dirección postal: Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Países Bajos

Al utilizar nuestra Plataforma, usted reconoce que ha leído y comprendido estas Condiciones Generales y que acepta quedar vinculado por ellas.

ANEXO A

CONTRATO DE TRATAMIENTO DE DATOS

El presente Contrato de Tratamiento de Datos («DPA») forma parte integrante de las Condiciones Generales de Carsu («Acuerdo») entre la entidad Carsu que sea la parte contratante del Usuario conforme a la Sección 1 del Acuerdo, esto es Carsu B.V. o Carsu Italia S.r.l. («Encargado del Tratamiento»), y el Usuario («Responsable del Tratamiento»), y rige el tratamiento de datos personales por parte del Encargado del Tratamiento por cuenta del Responsable del Tratamiento en relación con los Servicios.

El presente DPA se celebra de conformidad con el artículo 28 del Reglamento General de Protección de Datos (UE) 2016/679 («RGPD») y, cuando resulte aplicable, del Reglamento General de Protección de Datos del Reino Unido («UK GDPR»).

A1. Definiciones

Los términos no definidos en el presente DPA tienen el significado que se les atribuye en el Acuerdo y en el RGPD. En este DPA:

• «Datos Personales del Responsable» significa los datos personales que el Encargado del Tratamiento trata por cuenta del Responsable del Tratamiento en relación con los Servicios.
• «Normativa de Protección de Datos» significa el RGPD, el UK GDPR, la Directiva ePrivacy 2002/58/CE, el Codice Privacy italiano (D.Lgs. 196/2003, en su versión modificada), la UAVG neerlandesa y cualquier otra legislación de protección de datos aplicable.
• «Subencargado» significa cualquier tercero contratado por el Encargado del Tratamiento para tratar Datos Personales del Responsable por cuenta del Responsable del Tratamiento.

A2. Alcance y Finalidad del Tratamiento

A2.1 Objeto

El Encargado del Tratamiento trata los Datos Personales del Responsable únicamente con la finalidad de prestar los Servicios previstos en el Acuerdo, incluidos la gestión del taller, las comunicaciones con clientes (WhatsApp, SMS, Viber, correo electrónico), la reserva online, el almacenamiento de fotografías y otros contenidos, los registros de Bienes en Depósito, la facturación y la transmisión de datos de factura a las autoridades tributarias cuando esté habilitada (Sección 7.6), el procesamiento de pagos y la atención al cliente.

Instrucción de transmitir datos fiscales. Al habilitar la remisión de información fiscal para su país y emitir un documento, el Responsable del Tratamiento instruye al Encargado del Tratamiento para que transmita los datos exigidos por el régimen nacional aplicable a la autoridad tributaria competente, directamente o a través de un intermediario de facturación electrónica certificado establecido en la UE (lista disponible previa solicitud en privacy@carsu.com).

Exclusión: datos de Integraciones de Terceros. Los datos a los que el Responsable del Tratamiento autoriza a Carsu a acceder desde un servicio de terceros para uso del propio Responsable (por ejemplo, eventos de Google Calendar del personal del Responsable) no constituyen Datos Personales del Responsable en el sentido del presente DPA. Dichos datos son tratados por Carsu como Responsable del Tratamiento conforme al Acuerdo (Sección 9.5) y a la Política de Privacidad.

A2.2 Duración

El tratamiento continúa durante la vigencia del Acuerdo y durante el período adicional que sea necesario para cumplir las obligaciones posteriores a la resolución (exportación y supresión de datos) establecidas en el Acuerdo.

A2.3 Categorías de Interesados

• Clientes Finales (clientes del Responsable del Tratamiento / taller);
• Empleados y personal del Responsable del Tratamiento (cuando sea relevante para el uso de la plataforma).

A2.4 Tipos de Datos Personales

• Datos de contacto (nombres, números de teléfono, direcciones de correo electrónico);
• Datos de vehículos (matrículas, marca, modelo, tipo);
• Registros de servicio y mantenimiento;
• Datos de citas;
• Contenido de las comunicaciones (mensajes enviados a través de la Plataforma);
• Fotografías y otros contenidos de vehículos y de los trabajos realizados, así como de cualquier persona que aparezca incidentalmente en ellos;
• Registros de Bienes en Depósito (objetos custodiados, ubicación de almacenamiento, eventos de recepción y retirada, intentos de contacto);
• Datos de factura y fiscales (nombres, direcciones, identificadores fiscales, números de matrícula) exigidos por el régimen nacional aplicable;
• Identificadores de transacciones de pago (los datos de tarjeta son tratados por Stripe y no son conservados por Carsu).

A2.5 Naturaleza del Tratamiento

Recogida, almacenamiento, recuperación, uso, transmisión (mensajería), organización, estructuración y supresión de Datos Personales del Responsable en la medida necesaria para prestar los Servicios.

A2.6 Datos Anonimizados y Agregados

El Encargado del Tratamiento puede tratar Datos Personales del Responsable para generar información anonimizada y agregada destinada a compartirse con terceros. Dicho tratamiento se produce únicamente después de que los datos hayan sido irreversiblemente anonimizados y agregados a un nivel que garantice que ningún taller, cliente final ni operación individual pueda ser identificado ni deducido a partir del resultado.

Una vez anonimizados de forma irreversible, los datos resultantes quedan fuera del ámbito del RGPD (Considerando 26) y del presente DPA. Este tratamiento se ampara en el interés legítimo del Encargado del Tratamiento (art. 6.1.f RGPD) y no amplía ni modifica las finalidades de prestación del servicio enumeradas en A2.1, sino que representa un uso distinto de los datos subyacentes tras su anonimización. Los destinatarios quedan vinculados por condiciones escritas que prohíben la reidentificación.

A3. Obligaciones del Encargado del Tratamiento

El Encargado del Tratamiento deberá:

• Tratar los Datos Personales del Responsable únicamente siguiendo instrucciones documentadas del Responsable del Tratamiento, incluso en lo relativo a las transferencias de datos personales fuera del EEE o del Reino Unido, salvo que esté obligado a ello por el Derecho de la UE o de un Estado miembro (en cuyo caso, el Encargado del Tratamiento informará al Responsable del Tratamiento de dicha exigencia legal antes del tratamiento, salvo que ello esté prohibido);
• Garantizar que las personas autorizadas para tratar los Datos Personales del Responsable se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad apropiada;
• Aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluidas, según proceda: la seudonimización y el cifrado de los datos personales, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas de tratamiento, la capacidad de restaurar el acceso a los datos personales de forma rápida tras un incidente, y un proceso de verificación y evaluación periódicas de la eficacia de dichas medidas;
• Respetar las condiciones para la contratación de Subencargados establecidas en la Sección A5;
• Teniendo en cuenta la naturaleza del tratamiento, asistir al Responsable del Tratamiento mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para el cumplimiento de su obligación de responder a las solicitudes de ejercicio de derechos de los interesados;
• Asistir al Responsable del Tratamiento en el cumplimiento de las obligaciones de notificación de violaciones de seguridad (artículos 33 y 34 RGPD), de las evaluaciones de impacto relativas a la protección de datos (artículo 35 RGPD) y de la consulta previa a las autoridades de control (artículo 36 RGPD), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el Encargado del Tratamiento;
• A elección del Responsable del Tratamiento, suprimir o devolver todos los Datos Personales del Responsable una vez finalizada la prestación de los Servicios, y suprimir las copias existentes, salvo que el Derecho de la UE o de un Estado miembro exija su conservación;
• Poner a disposición del Responsable del Tratamiento toda la información necesaria para demostrar el cumplimiento del presente DPA y permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable del Tratamiento o de un auditor designado por este.

A4. Obligaciones del Responsable del Tratamiento

El Responsable del Tratamiento deberá:

• Garantizar que dispone de una base jurídica válida conforme a la Normativa de Protección de Datos para el tratamiento de los Datos Personales del Responsable, incluida la obtención de todos los consentimientos necesarios de los Interesados cuando se requieran;
• Facilitar instrucciones documentadas de tratamiento al Encargado del Tratamiento;
• Responder de la exactitud, calidad y licitud de los Datos Personales del Responsable facilitados al Encargado del Tratamiento;
• Cumplir sus obligaciones conforme a la Normativa de Protección de Datos, incluidos el mantenimiento de su propia política de privacidad, la respuesta a las solicitudes de ejercicio de derechos de los interesados (con la asistencia del Encargado del Tratamiento) y la notificación de violaciones de seguridad a las autoridades de control cuando proceda;
• Garantizar que los mensajes enviados a Clientes Finales a través de la Plataforma cumplen la Directiva ePrivacy y la normativa nacional aplicable sobre comunicaciones electrónicas, incluida la obtención de un consentimiento válido para los mensajes de marketing.
• Responder de la exactitud de los registros de consentimiento y atestaciones introducidos en la Plataforma (individualmente o de forma masiva); dichos registros constituyen instrucciones documentadas al Encargado del Tratamiento para tratar a los Interesados correspondientes como habiendo consentido para los fines registrados.

A5. Subencargados

A5.1 Autorización General

El Responsable del Tratamiento concede al Encargado del Tratamiento una autorización general por escrito para contratar Subencargados para el tratamiento de los Datos Personales del Responsable, con sujeción a las condiciones de la presente Sección A5.

A5.2 Subencargados Actuales

La lista actualizada de Subencargados figura en la Sección 7.1 de la Política de Privacidad (disponible en https://www.carsu.com/privacy). A la fecha del presente DPA, los Subencargados aprobados son:

A5.3 Cambios de Subencargados

El Encargado del Tratamiento notificará al Responsable del Tratamiento, por correo electrónico o mediante notificación en la Plataforma, con al menos 30 días de antelación a la contratación de un nuevo Subencargado o a la sustitución de uno existente. Los Responsables del Tratamiento con Suscripciones de pago pueden suscribirse a notificaciones automáticas de cambios de subencargado desde la configuración de su Cuenta.

La notificación incluirá la identidad y ubicación del Subencargado propuesto, la naturaleza del tratamiento y las categorías de datos personales afectadas. El Responsable del Tratamiento puede oponerse al cambio en un plazo de 14 días desde la recepción de la notificación, exponiendo por escrito los motivos basados en la protección de datos. Si el Responsable del Tratamiento se opone y las partes no logran resolver la objeción en un plazo de 30 días mediante negociación de buena fe, el Responsable del Tratamiento podrá resolver los Servicios afectados sin penalización.

A5.4 Obligaciones de los Subencargados

El Encargado del Tratamiento garantizará que cada Subencargado quede vinculado por obligaciones de protección de datos no menos exigentes que las establecidas en el presente DPA, incluida en particular la aportación de garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. El Encargado del Tratamiento seguirá siendo plenamente responsable ante el Responsable del Tratamiento del cumplimiento de las obligaciones de cada Subencargado.

A6. Transferencias Internacionales

El Encargado del Tratamiento no transferirá Datos Personales del Responsable fuera del EEE o del Reino Unido salvo que:

• La transferencia se realice a un país reconocido por la Comisión Europea o por el Secretario de Estado del Reino Unido (según corresponda) como país que ofrece un nivel adecuado de protección de datos; o
• Existan garantías apropiadas, incluidas las Cláusulas Contractuales Tipo (SCC) adoptadas por la Comisión Europea (Decisión 2021/914) o, para las transferencias al Reino Unido, el International Data Transfer Agreement (IDTA) del Reino Unido o el Addendum del Reino Unido a las SCC de la UE, complementadas con medidas técnicas adicionales cuando así lo exija una evaluación de impacto de la transferencia.

Cuando se realicen transferencias a los Estados Unidos, el Encargado del Tratamiento se ampara en las SCC (o en el IDTA del Reino Unido cuando corresponda), complementadas con medidas técnicas que incluyen el cifrado en tránsito (TLS 1.2+) y en reposo (AES-256), controles de acceso y restricciones contractuales sobre las solicitudes de acceso gubernamental. El Encargado del Tratamiento realizará y mantendrá una evaluación de impacto de la transferencia para cada transferencia a un país no cubierto por una decisión de adecuación, y la pondrá a disposición del Responsable del Tratamiento previa solicitud.

A7. Seguridad de los Datos

Sin perjuicio de la Sección A3, el Encargado del Tratamiento implanta y mantiene las siguientes medidas mínimas de seguridad:

• Cifrado de los datos personales en tránsito (TLS 1.2 o superior) y en reposo (AES-256);
• Controles de acceso basados en roles con el principio de mínimo privilegio;
• Autenticación multifactor para todo acceso administrativo y de plataforma;
• Evaluaciones periódicas de vulnerabilidades y pruebas de penetración;
• Registro y supervisión de los accesos a los Datos Personales del Responsable;
• Procedimientos de respuesta a incidentes con vías de escalado definidas;
• Formación del personal en protección de datos y seguridad de la información, impartida al menos anualmente;
• Procedimientos de continuidad de negocio y recuperación ante desastres.

A8. Notificación de Violaciones de Seguridad

El Encargado del Tratamiento notificará al Responsable del Tratamiento sin demora indebida (y, en todo caso, en un plazo de 72 horas, de forma coherente con el artículo 33 del RGPD) desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos Personales del Responsable. Dicha notificación incluirá:

• Una descripción de la naturaleza de la violación, incluyendo, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados;
• El nombre y los datos de contacto del Delegado de Protección de Datos del Encargado del Tratamiento u otro punto de contacto;
• Una descripción de las consecuencias probables de la violación;
• Una descripción de las medidas adoptadas o propuestas para hacer frente a la violación, incluidas las destinadas a mitigar sus posibles efectos adversos.

El Encargado del Tratamiento cooperará con el Responsable del Tratamiento y adoptará medidas comercialmente razonables para asistir en la investigación, mitigación y subsanación de cada violación.

A9. Derechos de los Interesados

El Encargado del Tratamiento notificará sin dilación (y, en todo caso, en un plazo de 5 días hábiles) al Responsable del Tratamiento si recibe una solicitud de un interesado para ejercer cualquiera de sus derechos conforme a la Normativa de Protección de Datos en relación con los Datos Personales del Responsable. El Encargado del Tratamiento no responderá directamente al interesado salvo que esté autorizado por el Responsable del Tratamiento o sea legalmente exigible.

El Encargado del Tratamiento prestará asistencia razonable al Responsable del Tratamiento en el cumplimiento de sus obligaciones de responder a las solicitudes de los interesados, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.

Supresión mientras se mantienen Bienes en Depósito. Cuando un Interesado solicite la supresión y el Responsable del Tratamiento mantenga aún Bienes en Depósito de dicho Interesado, el Encargado del Tratamiento, siguiendo instrucción del Responsable del Tratamiento, anonimizará todos los Datos Personales del Responsable relativos al Interesado, salvo el registro mínimo necesario para vincular los Bienes en Depósito con su titular hasta que los objetos sean devueltos o se disponga lícitamente de ellos, momento a partir del cual dicho registro también se anonimizará.

A10. Derechos de Auditoría

El Encargado del Tratamiento pondrá a disposición del Responsable del Tratamiento, previa solicitud razonable (y no más de una vez por año natural, salvo que lo exija una autoridad de control o una violación de seguridad), toda la información razonablemente necesaria para demostrar el cumplimiento del presente DPA.

El Encargado del Tratamiento permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Responsable del Tratamiento o de un auditor independiente designado por este, con sujeción a:

• Un preaviso escrito de al menos 30 días (salvo que lo exija una autoridad de control);
• Un alcance y una duración razonables;
• Obligaciones de confidencialidad respecto de la información propiedad del Encargado del Tratamiento;
• El cumplimiento por el auditor de las políticas de seguridad aplicables.

Si una auditoría revela una deficiencia material, el Encargado del Tratamiento la subsanará en un plazo razonable acordado con el Responsable del Tratamiento y a su propia costa.

A11. Supresión y Devolución de Datos

Tras la resolución o expiración del Acuerdo, el Encargado del Tratamiento deberá, a elección del Responsable del Tratamiento:

• Devolver todos los Datos Personales del Responsable en un formato estructurado, de uso común y de lectura mecánica (CSV o JSON) en un plazo de 30 días desde la solicitud; o
• Suprimir de forma segura todos los Datos Personales del Responsable en un plazo de 60 días desde el final de la ventana de exportación de datos de 12 meses posterior a la resolución establecida en el Acuerdo.

El Encargado del Tratamiento certificará la supresión por escrito a solicitud del Responsable del Tratamiento. El Encargado del Tratamiento solo podrá conservar Datos Personales del Responsable en la medida exigida por la normativa aplicable, e informará al Responsable del Tratamiento de cualquier obligación de conservación de ese tipo, incluida su base jurídica y la duración de la conservación exigida.

A12. Responsabilidad

La responsabilidad de cada parte en virtud del presente DPA queda sujeta a las limitaciones de responsabilidad establecidas en el Acuerdo (Sección 14). Nada en el presente DPA excluye ni limita la responsabilidad de ninguna de las partes por obligaciones derivadas de la Normativa de Protección de Datos que no puedan limitarse contractualmente.

A13. Ley Aplicable

El presente DPA se rige por la legislación de los Países Bajos, de forma coherente con el Acuerdo. Para las cuestiones relativas a la Normativa de Protección de Datos, será competente la autoridad de control del establecimiento del Responsable del Tratamiento (o, cuando el Responsable del Tratamiento esté establecido fuera del EEE, la Autoriteit Persoonsgegevens neerlandesa para Carsu B.V. y el Garante per la protezione dei dati personali italiano para Carsu Italia S.r.l.).

A14. Prevalencia

En caso de conflicto entre el presente DPA y el Acuerdo, prevalecerán los términos del presente DPA en lo relativo al tratamiento de los Datos Personales del Responsable. En todos los demás aspectos, rige el Acuerdo.

El presente DPA entra en vigor en la fecha en que el Responsable del Tratamiento acepta el Acuerdo y permanece vigente mientras el Encargado del Tratamiento trate Datos Personales del Responsable.