v1.2 · 08.08.2026
Fecha: 27.09.2026 Versión: 1.0 Ámbito de aplicación: Art. 28 RGPD, Art. 32 RGPD, Art. 82 RGPD
Este contrato de encargo del tratamiento (AVV) regula los derechos y obligaciones entre el responsable del tratamiento (en adelante, «Cliente») y el encargado del tratamiento (en adelante, «flowgeist») en relación con el tratamiento de datos personales en el marco del uso de la plataforma SaaS flowgeist DMS (European Dealer Management System).
(1) El objeto de este contrato es el tratamiento de datos personales por parte de flowgeist en el marco de la prestación de la plataforma flowgeist DMS para el Cliente.
(2) La duración de este contrato corresponde a la vigencia del contrato de uso subyacente.
(1) Naturaleza de los datos: Según el alcance de servicios contratado, pueden tratarse las siguientes categorías de datos personales:
| Categoría de datos | Descripción | Ejemplos |
|---|---|---|
| Datos maestros | Datos de identificación y contacto | Nombre, apellido, correo electrónico, empresa, dirección, número de teléfono |
| Datos de clientes del Cliente | Clientes finales del concesionario | Nombre, datos de contacto, asignación de vehículo, historial de compra/servicio |
| Datos de vehículos y de negocio | Datos de transacciones y vehículos | VIN, ofertas, contratos, órdenes de servicio |
| Datos de personal | Empleados del Cliente | Nombre, rol, horarios de trabajo, datos de comisiones |
| Datos de acceso | Autenticación | Hash de contraseña (scrypt), secreto TOTP, token de sesión, roles |
| Documentos | Archivos archivados (Mayan EDMS) | Contratos, pruebas documentales |
| Datos de auditoría | Registro de accesos | Horas de inicio de sesión, acciones, direcciones IP, identificadores de usuario |
(2) Personas afectadas:
(3) Finalidades del tratamiento: Gestión de concesionario (ventas, servicio, inventario de vehículos, FI Deal Desking), contabilidad y cumplimiento, funciones basadas en IA (modelos residentes en la UE), reporting, notificaciones, seguridad y registro de auditoría.
(1) El encargado del tratamiento trata datos personales exclusivamente siguiendo las instrucciones documentadas del responsable del tratamiento (Art. 28 apdo. 3 let. a RGPD).
(2) Confidencialidad: Todas las personas autorizadas para el tratamiento de datos están obligadas a mantener la confidencialidad.
(3) Subencargados del tratamiento: El encargado del tratamiento emplea los siguientes subencargados del tratamiento:
| Subencargado del tratamiento | Ubicación | Finalidad | Vinculación a terceros países |
|---|---|---|---|
| Hetzner Online GmbH | Alemania (Falkenstein) | Alojamiento de la plataforma (Docker en un solo servidor, vdps-prod-01) | Sin vinculación a terceros países |
Los demás componentes de la plataforma (PostgreSQL, Keycloak, MinIO, OpenSearch, ClickHouse, Kafka, Valkey, Temporal, Novu, Mayan EDMS, ERPNext, Kimai, APISIX, Infisical, SigNoz) son componentes open source embebidos en la propia infraestructura de Hetzner de flowgeist y no constituyen subencargados del tratamiento.
Las conexiones a sistemas de terceros configuradas por el cliente a través del Integration Hub (p. ej., conectores OEM, STAR, DAT/Schwacke, DATEV, PEPPOL, bancos, redes de carga) no son subencargados del tratamiento del encargado; solo se activan tras la configuración por parte del responsable.
(4) Tratamiento de IA: Las funciones de IA se ejecutan exclusivamente en modelos residentes en la UE (regiones EU de Azure OpenAI o modelos auto-alojados en infraestructura propia de flowgeist). No se produce ninguna transmisión de datos personales a servicios públicos de IA fuera de la UE.
(5) El encargado del tratamiento apoya al responsable en el ejercicio de los derechos de los interesados (Art. 28 apdo. 3 let. e RGPD) así como en el cumplimiento de las obligaciones conforme a los arts. 32–36 RGPD, en la medida técnicamente posible.
(6) El encargado del tratamiento informa al responsable sin demora indebida sobre violaciones de la seguridad de los datos personales (Art. 33 apdo. 2 RGPD).
(1) El responsable del tratamiento sigue siendo el responsable de la licitud del tratamiento de datos, en particular del cumplimiento de las obligaciones de información frente a los interesados y de la configuración de las conexiones opcionales a sistemas de terceros.
(2) El responsable del tratamiento revisa y aprueba los subencargados del tratamiento enumerados en el § 3 apdo. 3.
El responsable del tratamiento puede verificar el cumplimiento de las medidas técnicas y organizativas así como de las obligaciones contractuales (Art. 28 apdo. 3 let. h RGPD). A petición, el encargado facilita pruebas adecuadas y permite auditorías previo aviso razonable durante el horario comercial habitual.
(1) El tratamiento primario de datos personales (alojamiento, base de datos, copias de seguridad) se realiza exclusivamente en Alemania (Hetzner Online GmbH, Falkenstein). No se produce ninguna transferencia de estos datos a terceros países.
(2) El tratamiento de IA se realiza exclusivamente en modelos residentes en la UE; en este sentido no se produce transferencia a terceros países.
(3) En el caso de integraciones configuradas por el cliente, la vía de transmisión depende de la configuración del cliente correspondiente. El encargado informa al responsable antes de la activación de integraciones que produjeran una transferencia a terceros países.
(1) El encargado del tratamiento responde ilimitadamente por daños causados por un incumplimiento intencional o gravemente negligente de sus obligaciones por parte del encargado, sus representantes legales o auxiliares de cumplimiento.
(2) En caso de negligencia leve, el encargado del tratamiento solo responde por el incumplimiento de obligaciones cardinales, es decir, aquellas obligaciones cuyo cumplimiento hace posible en primer lugar la ejecución adecuada del contrato y en cuyo cumplimiento el responsable puede confiar regularmente. En este caso, la responsabilidad se limita al daño típico del contrato y previsible.
(3) En caso de pérdida de datos, el encargado solo responde por el esfuerzo necesario para restaurar los datos, siempre que el responsable haya cumplido adecuadamente sus obligaciones de copia de seguridad de datos.
(1) Las modificaciones y adiciones a este contrato requieren forma escrita.
(2) En caso de contradicciones entre este contrato y el contrato de uso, prevalecen las disposiciones de este contrato en la medida en que se refieran a obligaciones de protección de datos.
(3) Se aplica el derecho alemán. El fuero judicial es, en la medida permitida, la sede del encargado del tratamiento.
Para cuestiones sobre el encargo del tratamiento, diríjase a: datenschutz@flowgeist.de
Las medidas técnicas y organizativas se describen en el documento separado «TOMs – flowgeist DMS», que forma parte de este contrato.
| Versión | Fecha | Cambios principales |
|---|---|---|
| 1.0 | 27.09.2026 | Versión inicial como AVV específico del producto para flowgeist DMS (verificado en código contra flowgeist-dms / EuroDMS) |
Lugar, fecha: ___________________________
Encargado del tratamiento (flowgeist):
Firma
Nombre (en imprenta)
Responsable del tratamiento (Cliente):
Firma
Nombre (en imprenta)
© 2026 flowgeist – Ralf Carsjens · Todos los derechos reservados