Política de Privacidad

1. Introducción

La presente Política de Privacidad explica cómo Графикс Технолъджи Интернешънъл ЕООД (UIC 202905717), Sofia, Bulgaria ("nosotros" o "la Empresa") recopila, utiliza y protege los datos personales cuando usted utiliza la aplicación web Garage Manager ("Servicio").

Tratamos los datos personales de conformidad con el Reglamento (UE) 2016/679 (RGPD), la Ley búlgara de Protección de Datos Personales (Закон за защита на личните данни, ЗЗЛД) y la Ley búlgara de Comunicaciones Electrónicas (Закон за електронните съобщения) que transpone la Directiva sobre la privacidad electrónica (ePrivacy).

La presente información se facilita en virtud de los Arts. 13 (datos recabados directamente del interesado) y 14 (datos obtenidos de otras fuentes) del RGPD.

2. Responsable del Tratamiento

Графикс Технолъджи Интернешънъл ЕООД
Sofia, Mladost 1-22, Bulgaria
UIC: 202905717
Correo electrónico: office@garagemanager.eu

No hemos designado un Delegado de Protección de Datos (DPD) específico, ya que no entramos en las categorías obligatorias del Art. 37 del RGPD. Las consultas relativas a la privacidad se atienden directamente en la dirección de contacto indicada anteriormente.

3. Qué Datos Personales Recopilamos

3.1 Datos de Cuenta y Perfil

• Nombre, dirección de correo electrónico y contraseña (almacenada como hash bcrypt, nunca en texto plano)
• Nombre comercial, dirección del taller y número de teléfono
• Dirección de facturación, número de IVA y datos de registro de la empresa (cuando se proporcionan para facturación)

3.2 Datos Introducidos en el Servicio

Usted actúa como responsable del tratamiento de los datos personales de terceros (sus clientes, empleados, etc.) introducidos en el Servicio. Nosotros actuamos como encargado del tratamiento en su nombre. Usted es responsable de garantizar la existencia de una base jurídica lícita para dicho tratamiento.

• Registros de clientes: nombres, datos de contacto, información de vehículos
• Órdenes de trabajo, descripciones de reparaciones e historial de servicio
• Facturas y registros de transacciones financieras
• Cuentas de miembros del equipo creadas dentro de su espacio de trabajo

3.3 Datos de Uso y Técnicos

• Dirección IP, tipo de navegador e información del dispositivo
• Páginas visitadas, funciones utilizadas y duración de la sesión
• Registros de errores e información de diagnóstico

3.4 Datos de Pago

Los datos de las tarjetas de pago son procesados directamente por nuestros proveedores de servicios de pago (Stripe, PayPal, Skrill, ePay.bg). Solo almacenamos una referencia de pago, los últimos cuatro dígitos de la tarjeta y el tipo de tarjeta. Los números completos de tarjeta nunca se transmiten ni se almacenan en nuestros sistemas.

4. Finalidades y Base Jurídica del Tratamiento

Tratamos los datos personales únicamente cuando disponemos de una base jurídica conforme al Art. 6 del RGPD:

• Ejecución del contrato (Art. 6(1)(b)) — creación y gestión de su cuenta; prestación del Servicio; procesamiento de pagos; envío de correos electrónicos transaccionales (recibos, restablecimiento de contraseña, notificaciones de suscripción).
• Obligación legal (Art. 6(1)(c)) — conservación de registros financieros y facturas conforme a la Ley búlgara de Contabilidad (Закон за счетоводството) y la Ley del IVA (ЗДДС); atención de solicitudes legítimas de las autoridades públicas.
• Interés legítimo (Art. 6(1)(f)) — monitorización de seguridad y prevención del fraude; registro de errores y fiabilidad del servicio; análisis del producto y mejora de funcionalidades. Nuestros intereses legítimos no prevalecen sobre sus derechos fundamentales; usted puede oponerse a este tratamiento (véase la sección 10).
• Consentimiento (Art. 6(1)(a)) — cookies analíticas y comunicaciones de marketing opcionales. Puede retirar su consentimiento en cualquier momento sin afectar a la licitud del tratamiento anterior.

Requisito legal o contractual

Proporcionar su nombre y dirección de correo electrónico es un requisito contractual para el registro de cuenta. Sin ellos, no podemos prestar el Servicio. Proporcionar datos de facturación solo es necesario al suscribirse a un plan de pago y constituye tanto un requisito contractual como, a efectos de facturación, una obligación legal. Todos los demás datos se proporcionan de forma voluntaria.

5. Conservación de Datos

• Datos de cuenta: Conservados durante la vigencia de su cuenta. Tras la eliminación de la cuenta, los datos personales se eliminan o anonimizan en un plazo de 90 días, salvo las excepciones indicadas a continuación.
• Registros financieros y facturas: Conservados durante 10 años a partir del final del ejercicio fiscal en que se produjo la transacción, según lo exigido por el Art. 12(1) de la Ley búlgara de Contabilidad y la Ley del IVA (ЗДДС). Esta obligación se aplica incluso tras la eliminación de la cuenta.
• Registros de uso y técnicos: Conservados durante un máximo de 12 meses con fines de seguridad y diagnóstico.
• Datos analíticos anonimizados: Pueden conservarse indefinidamente.

6. Encargados del Tratamiento Externos

Compartimos datos con subencargados del tratamiento de confianza únicamente en la medida necesaria para prestar el Servicio. Todos los encargados están vinculados por acuerdos de tratamiento de datos conformes con el Art. 28 del RGPD:

• Stripe, Inc. — procesamiento de pagos y tokenización de tarjetas (EE. UU.; se ampara en las Cláusulas Contractuales Tipo de la UE)
• PayPal (Europe) S.à r.l. et Cie, S.C.A. — procesamiento alternativo de pagos (Luxemburgo, EEE)
• Skrill Limited — procesamiento alternativo de pagos (Reino Unido; se ampara en la decisión de adecuación o en las CCT)
• ePay.bg (Fibank) — procesamiento de pagos (Bulgaria, EEE)
• Google LLC — reCAPTCHA para la prevención de bots y Google Analytics (EE. UU.; se ampara en las CCT de la UE y, en su caso, en el Marco de Privacidad de Datos UE-EE. UU.)
• Proveedor de infraestructura en la nube — servicios de alojamiento y base de datos; servidores ubicados en la UE/EEE

No vendemos sus datos personales. No compartimos datos con terceros para sus propios fines de marketing.

7. Transferencias Internacionales de Datos

Cuando los datos personales se transfieran fuera del Espacio Económico Europeo (por ejemplo, a encargados del tratamiento con sede en EE. UU.), nos amparamos en una o varias de las siguientes garantías según corresponda: Cláusulas Contractuales Tipo (CCT) de la UE adoptadas por la Comisión Europea; el Marco de Privacidad de Datos UE-EE. UU. (cuando el destinatario esté certificado); u otro mecanismo de transferencia lícito conforme al Capítulo V del RGPD. Puede solicitar una copia de las garantías pertinentes poniéndose en contacto con nosotros.

8. Cookies y Tecnologías Similares

Utilizamos cookies conforme a la Ley búlgara de Comunicaciones Electrónicas (Art. 248a), que transpone la Directiva ePrivacy y exige el consentimiento previo, informado y libremente otorgado para las cookies no esenciales:

• Cookies estrictamente necesarias — gestión de sesiones, protección CSRF y autenticación. Son necesarias para el funcionamiento del Servicio y no requieren consentimiento.
• Cookies analíticas — para comprender cómo interactúan los usuarios con el Servicio (por ejemplo, Google Analytics). Solo se instalan después de que usted preste su consentimiento explícito a través del banner de cookies.
• Cookies funcionales de terceros — reCAPTCHA (Google) y scripts de proveedores de pago. Solo se cargan cuando usted interactúa con la funcionalidad correspondiente.

Puede retirar su consentimiento de cookies en cualquier momento ajustando la configuración en el banner de cookies o configurando su navegador para bloquearlas. La retirada del consentimiento no afecta a las cookies esenciales necesarias para el funcionamiento del Servicio.

9. Seguridad de los Datos

Aplicamos medidas técnicas y organizativas adecuadas según lo exigido por el Art. 32 del RGPD, que incluyen: cifrado TLS para todos los datos en tránsito; hash de contraseñas con bcrypt; controles de acceso basados en roles; opción de autenticación multifactor (MFA); y registro de auditoría para operaciones sensibles.

En caso de una violación de datos personales que pueda suponer un riesgo para sus derechos y libertades, notificaremos a la Comisión para la Protección de Datos Personales (КЗЛД) en un plazo de 72 horas desde que tengamos conocimiento de la violación, de conformidad con el Art. 33 del RGPD. Cuando la violación pueda suponer un riesgo elevado para sus derechos y libertades, le informaremos directamente sin dilación indebida (Art. 34 del RGPD).

10. Sus Derechos en Virtud del RGPD

En virtud de los Arts. 15-22 del RGPD, usted tiene los siguientes derechos respecto a sus datos personales:

• Acceso (Art. 15) — obtener una copia de los datos personales que tenemos sobre usted e información sobre cómo se tratan.
• Rectificación (Art. 16) — solicitar la corrección de datos inexactos o incompletos.
• Supresión (Art. 17) — solicitar la eliminación de sus datos cuando ya no sean necesarios, usted retire su consentimiento o el tratamiento sea ilícito. Este derecho está sujeto a nuestras obligaciones legales de conservación (sección 5).
• Portabilidad (Art. 20) — recibir los datos que nos ha proporcionado en un formato estructurado, de uso común y lectura mecánica (aplicable a datos tratados por medios automatizados sobre la base del consentimiento o el contrato).
• Limitación (Art. 18) — solicitar la limitación del tratamiento de sus datos en circunstancias específicas.
• Oposición (Art. 21) — oponerse al tratamiento basado en intereses legítimos o con fines de marketing directo. En caso de oposición, cesaremos el tratamiento salvo que podamos demostrar motivos legítimos imperiosos.
• Retirada del consentimiento (Art. 7(3)) — cuando el tratamiento se base en el consentimiento, puede retirarlo en cualquier momento. La retirada no afecta a la licitud del tratamiento realizado con anterioridad.
• No ser objeto de decisiones automatizadas (Art. 22) — el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (incluida la elaboración de perfiles) que produzca efectos jurídicos significativos o efectos similarmente significativos. No realizamos dicho tratamiento.

Para ejercer cualquiera de estos derechos, envíe una solicitud a privacy@garagemanager.eu. Responderemos en el plazo de un mes desde la recepción de su solicitud (Art. 12(3) del RGPD). Este plazo podrá prorrogarse otros dos meses cuando las solicitudes sean complejas o numerosas, previa notificación al interesado.

Es posible que le solicitemos verificar su identidad antes de tramitar la solicitud.

11. Derecho a Presentar una Reclamación

Tiene derecho a presentar una reclamación ante la autoridad de control búlgara:

• Comisión para la Protección de Datos Personales (Комисия за защита на личните данни — КЗЛД)
• 2 Prof. Tsvetan Lazarov Blvd., 1592 Sofia, Bulgaria
• +359 883 386 201
• kzld@cpdp.bg
• www.cpdp.bg

Si reside en otro Estado miembro de la UE, también puede presentar una reclamación ante la autoridad de control de su país de residencia.

12. Privacidad de los Menores

El Servicio está dirigido exclusivamente a usuarios profesionales. No recopilamos deliberadamente datos personales de personas menores de 16 años. Si tenemos conocimiento de que se han recopilado dichos datos, procederemos a su eliminación sin demora.

13. Modificaciones de la Presente Política

Podemos actualizar la presente Política de Privacidad periódicamente. Le notificaremos los cambios sustanciales por correo electrónico o mediante un aviso en la aplicación antes de su entrada en vigor. La fecha de "Última actualización" en la parte superior de esta página refleja siempre la revisión más reciente. Cuando la ley lo exija, obtendremos un nuevo consentimiento para cualquier nueva finalidad de tratamiento.

14. Contacto

Para cualquier consulta, solicitud o reclamación relativa a la privacidad:

• Empresa: Графикс Технолъджи Интернешънъл ЕООД
• Dirección: Sofia, Mladost 1-22, Bulgaria
• Correo electrónico: privacy@garagemanager.eu