Acuerdo de tratamiento de datos personales (art. 28 RGPD)

Traducción de cortesía. En caso de discrepancia, prevalece el texto italiano.

Este Acuerdo regula el tratamiento de los datos personales que Business Gates S.r.l. realiza por cuenta del Cliente en la prestación del Servicio BGates, con arreglo al art. 28, apdo. 3, del Reglamento (UE) 2016/679 (en adelante, «RGPD»).

Es el Anexo de las Condiciones específicas para clientes y administradores (/condizioni-amministratori) y se acepta con ellas: no requiere una casilla propia. No sustituye ni repite la Información sobre la protección de datos personales (/privacy), que es un acto de transparencia frente a los Interesados y no un contrato.

Ámbito. Se refiere al GT PRO 4G, es decir, el Aparato conectado a la red móvil que acciona un Acceso, y al Servicio que lo gestiona. No se refiere al modelo básico que funciona solo con SMS, ni a la vinculación por Bluetooth.

Términos definidos. Las palabras con inicial mayúscula —Cliente, Administrador, Operador de BGates, Usuario, Aparato, Acceso, Servicio, Plataforma, Suscripción, Número habilitado, Invitación, QR permanente, QR de un solo uso, QR de activación, Registro de aperturas, Agenda personal, Agenda interna del Aparato, Cuenta, Área reservada, Proveedores, Interesado, Responsable, Distribuidor, Instalador— tienen el significado establecido en los documentos del Servicio, al que aquí se remite donde es necesario.

1. Las partes

BGates no ha designado un representante con arreglo al art. 27 RGPD porque está establecida en la Unión Europea.

2. Cómo se acepta este Acuerdo, y desde cuándo se aplica

Este Acuerdo se perfecciona cuando el Cliente acepta las Condiciones específicas para clientes y administradores en el Área reservada o en la app BGates. De la aceptación BGates registra: el slug del documento, la versión, la fecha y la hora, la dirección IP, el tipo de navegador, la pantalla y el canal. El registro se conserva como prueba durante la relación y durante los diez años siguientes.

Si un Cliente profesional necesita un ejemplar firmado, BGates se lo facilita a petición escrita dirigida a info@bgates.it, con el mismo contenido que este texto.

3. Qué regula este Acuerdo, y qué no regula

Regula los tratamientos que BGates realiza por cuenta del Cliente: la gestión de los Números habilitados, la entrega de las Invitaciones, la Agenda interna del Aparato para los números que pasan por el Servicio, los QR del Acceso y las solicitudes de acceso que generan, el Registro de aperturas del Acceso del Cliente, la Agenda personal de los usuarios del Cliente, los datos ambientales del Acceso en la parte que se refiere a las personas distintas del Cliente que viven o trabajan en el lugar, y el registro interno del Aparato cuando se descarga para una intervención de asistencia.

No regula:

• los tratamientos en los que BGates es responsable del tratamiento independiente, enumerados de forma cerrada en la sección 4.3 (para ellos se aplican los Términos y la Información sobre protección de datos, no este Acuerdo);
• las relaciones entre el Cliente y los Interesados, a los que el Cliente debe dar su propia información sobre protección de datos: BGates facilita a quien recibe una Invitación, un QR permanente o un QR de un solo uso el Aviso para quien ha sido habilitado para abrir un acceso (/informativa-utilizzatori), pero ese aviso no sustituye al del Cliente cuando el Cliente trata los mismos datos también fuera del Servicio;
• el suministro del Aparato y la Suscripción, regulados por las Condiciones de venta.

Los Interesados no son parte de este Acuerdo y no adquieren derechos contractuales en virtud de él; quedan a salvo los derechos que el RGPD les reconoce directamente.

4. Los papeles

4.1 El Cliente es Responsable

El Cliente decide quién puede abrir su Acceso, desde cuándo, en qué días y en qué franjas, hasta cuándo, y cuándo revocar. Decide si generar un QR, si aprobar una solicitud de acceso, si consultar y exportar el Registro de aperturas y con qué finalidad. Son decisiones suyas: determinan la finalidad del tratamiento y, por tanto, lo convierten en Responsable con arreglo al art. 4, punto 7, RGPD.

La base jurídica de estos tratamientos es el interés legítimo del Cliente (art. 6, apdo. 1, letra f, RGPD) en la seguridad y la gestión de los accesos a su Acceso. No es el consentimiento: el consentimiento es del Interesado (art. 4, punto 11) y nadie puede prestarlo por cuenta de otro. El Cliente realiza y conserva la ponderación entre su propio interés y los derechos de los Interesados; BGates pone a disposición, a petición dirigida a info@bgates.it (asunto «privacy»), un modelo de ponderación utilizable.

4.2 BGates es Encargado

Para los tratamientos de la sección 3, BGates trata los datos únicamente siguiendo instrucciones documentadas del Cliente (art. 28, apdo. 3, letra a, RGPD), dentro de los límites y en la forma previstos en este Acuerdo.

4.3 Los tratamientos en los que BGates es responsable del tratamiento independiente, aunque afecten a datos del Cliente

La lista es cerrada: fuera de ella, respecto de los datos de la sección 3, BGates es Encargado.

1. Seguridad del Servicio, prevención del fraude, detección y lucha contra los abusos.
2. Registros técnicos de la infraestructura (servidor web, bróker de mensajería, servicio de autenticación de los Aparatos, procesos de la aplicación) y su conservación.
3. Diagnóstico de la red, incluida la posición del Aparato obtenida de la celda telefónica.
4. Asistencia prestada por los Operadores de BGates, incluida la correspondencia en el canal de WhatsApp de la empresa.
5. Cumplimiento de obligaciones legales, contables y fiscales.
6. Prueba técnica de la entrega de las Invitaciones (resultado devuelto por la pasarela SMS, identificador del mensaje devuelto por el proveedor de mensajería).
7. Mejora del Servicio con datos seudonimizados.
8. Registro de acciones administrativas de los Operadores de BGates.

Para estos tratamientos BGates determina los fines y los medios y responde de ellos directamente, como prevé el art. 28, apdo. 10, RGPD. La dirección IP de quien rellena el formulario público vinculado a un QR permanente entra en el punto 1: sirve a BGates para defender un formulario abierto al público; el Cliente no la ve y no dispone de ella.

4.4 Por qué no hay corresponsabilidad

Las determinaciones de las dos partes son separadas y sucesivas, no conjuntas: BGates decide los fines y los medios de la Plataforma, el Cliente decide, dentro de la Plataforma, quién entra por su Acceso y cuándo. Falta el requisito de la complementariedad necesaria que exigen las Directrices 07/2020 del CEPD sobre los conceptos de responsable del tratamiento y encargado del tratamiento. El art. 26 RGPD no se aplica y las partes no celebran un acuerdo de corresponsabilidad.

4.5 Distribuidores e Instaladores

Cuando un Distribuidor o un Instalador introduce Números habilitados, genera QR o crea Cuentas por cuenta de un Cliente, actúa por cuenta de ese Cliente y bajo su responsabilidad: el Cliente responde de su actuación como de la propia. Cuando trata los datos de sus propios clientes comerciales con fines propios, es responsable del tratamiento independiente y este Acuerdo no le afecta.

4.6 El Cliente persona física y el uso doméstico

Si el Cliente es una persona física que usa el Aparato en el ejercicio de actividades exclusivamente personales o domésticas, el RGPD puede no aplicarse a su tratamiento (art. 2, apdo. 2, letra c, RGPD). BGates no puede comprobarlo por adelantado y aplica este Acuerdo en todo caso: su aplicación no impone al Cliente doméstico obligaciones de las que la exención le liberaría, mientras que su ausencia dejaría desprotegidos a los Interesados.

Cuando la exención se aplica, el Cliente no es Responsable con arreglo al Reglamento y BGates trata esos datos como Responsable, sobre la base de su propio interés legítimo (art. 6, apdo. 1, letra f) en prestar el Servicio solicitado por el Cliente y en garantizar su seguridad, con la ponderación documentada en la evaluación de impacto interna. En ese caso BGates da directamente a los Interesados la información del art. 14 y decide por sí misma sobre sus solicitudes, incluidas la oposición y la supresión, sin remitirlas al Cliente. La misma regla está escrita, con las mismas palabras, en la Información sobre protección de datos (/privacy) y en el Aviso para quien ha sido habilitado para abrir un acceso (/informativa-utilizzatori): nunca debe dirigirse a un Interesado a un Responsable que no lo es.

5. Duración

Este Acuerdo se aplica durante toda la relación entre las partes —desde la aceptación hasta la extinción de la última Suscripción o, si es posterior, hasta el cierre de la Cuenta del Cliente— y, en todo caso, mientras BGates trate aunque sea un solo dato personal por cuenta del Cliente.

Subsisten tras la extinción, hasta su agotamiento: las obligaciones de la sección 22 (devolución y supresión), la obligación de confidencialidad de la sección 12, la obligación de conservación prevista por la ley y la responsabilidad por los hechos anteriores.

6. Naturaleza y finalidad del tratamiento

Esos mismos datos ambientales, en cuanto se refieren al Cliente persona física, los trata BGates como Responsable para ejecutar el contrato (art. 6, apdo. 1, letra b, RGPD): ese aspecto se describe en la Información sobre protección de datos y no en este Acuerdo. Aquí solo interesa el aspecto que afecta a las demás personas que viven o trabajan en el lugar.

BGates no usa los datos de la sección 3 con fines propios distintos de los de la sección 4.3, no los cede a terceros, no los usa para marketing y no los usa para entrenar sistemas de inteligencia artificial.

7. Tipos de datos personales

El tratamiento no requiere categorías especiales de datos con arreglo al art. 9 RGPD ni datos relativos a condenas e infracciones penales con arreglo al art. 10.

8. Categorías de Interesados

• Los Usuarios: las personas cuyo número ha sido habilitado para abrir un Acceso del Cliente, con o sin Cuenta. Son, según el contexto del Cliente, colaboradores, empleados, familiares, convivientes, vecinos de la comunidad, inquilinos, huéspedes, proveedores, repartidores, personal de mantenimiento.
• Los invitados: quien escanea un QR permanente o recibe un QR de un solo uso y solicita ser habilitado.
• Cualquiera que llame al Acceso, aunque no esté habilitado y aunque se haya equivocado de número. El Aparato no contesta a la llamada —cuelga enseguida, y la llamada no tiene coste para quien la hace—, pero el número se capta antes de colgar.
• Las personas que figuran en la Agenda personal de los usuarios del Cliente, que pueden no tener ninguna relación ni con el Cliente ni con BGates.
• Las personas físicas que actúan por el Cliente: Administradores del Acceso, personas de referencia, Distribuidores e Instaladores encargados.

9. Datos que no deben entrar en el Servicio

El Servicio no está diseñado para tratar categorías especiales de datos. El Cliente se compromete a no introducir en los campos libres —etiqueta del Número habilitado, notas de la Agenda personal, descripción del Aparato, notas de los datos identificativos— datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, datos genéticos o biométricos, datos relativos a la salud, a la vida sexual o a la orientación sexual, ni datos relativos a condenas e infracciones penales. Si BGates detecta su presencia, lo comunica al Cliente y puede eliminarlos, informándole de ello.

10. Instrucciones documentadas

10.1 Qué son las instrucciones

Las instrucciones documentadas del Cliente con arreglo al art. 28, apdo. 3, letra a, RGPD son, por este orden:

1. el uso de la Plataforma conforme a los documentos del Servicio: los Términos, las Condiciones específicas para clientes y administradores, las Normas de uso permitido, las Normas de seguridad de la cuenta, los números, los QR y los teléfonos, la Política de conservación, este Acuerdo y la documentación técnica del Aparato. Cada operación que el Cliente o quien actúa por él realiza en el Área reservada, en la app BGates o en el Aparato es una instrucción suya, y el Servicio la registra;
2. los ajustes que el Cliente configura: números, días, franjas, fechas de caducidad, QR, notificaciones, permisos de los usuarios vinculados a su Acceso;
3. las solicitudes por escrito enviadas a info@bgates.it o abiertas a través de la asistencia, cuando el Cliente pide una operación que la Plataforma no permite realizar por sí sola (por ejemplo, una extracción, una rectificación masiva o una supresión anticipada).

BGates no trata los datos de la sección 3 con fines distintos, ni siquiera para las transferencias a terceros países, salvo que esté obligada a ello por el Derecho de la Unión o del Estado miembro: en tal caso informa previamente al Cliente, salvo que ese Derecho lo prohíba por razones importantes de interés público.

Las solicitudes que implican una actividad no incluida en el precio de la Suscripción se presupuestan antes de su ejecución; las necesarias para cumplir una obligación legal o para atender un derecho de un Interesado nunca se supeditan a un pago.

10.2 Si una instrucción es contraria a la ley

Si, en opinión de BGates, una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos, BGates informa inmediatamente al Cliente (art. 28, apdo. 3, párrafo final) y suspende la ejecución solo de la parte controvertida hasta que el Cliente la confirme por escrito o la modifique. Si el Cliente confirma una instrucción que BGates considera manifiestamente ilícita, BGates puede negarse a ejecutarla y, en los casos graves, suspender el Servicio conforme a los Términos.

10.3 Lo que las instrucciones no desplazan

Las instrucciones del Cliente no transfieren al Cliente la responsabilidad de BGates por el diseño y la seguridad de la Plataforma (arts. 25 y 32 RGPD). En particular, BGates responde de que el Servicio permita habilitar el número de una persona sin ninguna comprobación de que lo posee, y de los ajustes predefinidos del Servicio; el Cliente responde de la elección de la persona, de la información a esa persona y de la revocación. La declaración con la que el Administrador confirma haber informado a la persona desplaza una obligación del Cliente, no suprime una obligación de BGates.

11. Obligaciones del Cliente como Responsable

El Cliente:

1. informa a las personas cuyo número habilita, con la información del art. 14 RGPD, antes del primer uso del Acceso o, a más tardar, en ese momento. BGates entrega con la Invitación un enlace al Aviso para quien ha sido habilitado para abrir un acceso: es una ayuda, no un cumplimiento del Cliente;
2. comprueba que tiene título para habilitar ese número, y no habilita números ajenos sin que la persona lo sepa;
3. revoca el Número habilitado el mismo día en que la persona ya no debe entrar. El operador puede reasignar un número de móvil a otra persona: si sigue habilitado, abre ella;
4. decide dónde colocar el QR permanente y a quién entregar los QR de un solo uso, y los revoca cuando ya no sirven;
5. no usa el Registro de aperturas con fines de control a distancia de la actividad de los trabajadores. Si el Acceso da paso a un lugar de trabajo, el Cliente cumple por su cuenta el art. 4 de la legge 20 maggio 1970, n. 300 (Statuto dei lavoratori, Estatuto de los Trabajadores italiano), incluidas la información a los trabajadores y, cuando se exija, el procedimiento de acuerdo o de autorización;
6. mantiene a sus propios usuarios —Administradores, personas de referencia, Distribuidores e Instaladores que actúan por él— obligados a la confidencialidad e instruidos sobre el uso;
7. mantiene actualizados los datos de contacto para las comunicaciones previstas en este Acuerdo, incluida la relativa a las violaciones;
8. realiza su propia valoración del interés legítimo y, cuando proceda, la evaluación de impacto relativa a la protección de datos de su propia instalación.

El Cliente garantiza a BGates que los datos que le facilita o le hace tratar se han recogido lícitamente y que las instrucciones que imparte son conformes a la ley.

12. Confidencialidad y personas autorizadas

BGates garantiza que las personas autorizadas para tratar los datos por cuenta del Cliente:

• están designadas por escrito como personas autorizadas con arreglo al art. 2-quaterdecies del Codice in materia di protezione dei dati personali (Código italiano de protección de datos personales, d.lgs. 196/2003), con la lista detallada de las operaciones permitidas. Así está diseñado, pero a 22 de septiembre de 2026 todavía no está en funcionamiento: en la fecha de esta versión los Operadores de BGates actúan sin designación individual por escrito y las cartas de designación están en preparación.
• se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal o contractual (art. 28, apdo. 3, letra b, RGPD), y el compromiso subsiste después del fin de la relación laboral o de colaboración;
• actúan únicamente siguiendo instrucciones del Responsable (art. 29 RGPD);
• acceden a los datos del Cliente solo cuando es necesario para prestar el Servicio o para atender una solicitud de asistencia, y no por curiosidad ni con fines propios.

Qué queda escrito. Los accesos de los Operadores de BGates a las informaciones más sensibles —lectura de las Agendas personales, lectura de la Agenda interna del Aparato, exportación del Registro de aperturas, descarga de los registros del Aparato, impresión de los QR, lectura de la correspondencia de asistencia, modificación de los roles, eliminación de usuarios, exportación de los datos— se registran en un registro de acciones administrativas que se conserva 24 meses. A petición escrita, el Cliente recibe el extracto de las líneas que se refieren a sus datos, en un plazo de 30 días.

13. Medidas de seguridad

BGates adopta las medidas técnicas y organizativas previstas en el art. 32 RGPD, descritas en el Anexo B. El Anexo B distingue, sin suavizar nada, lo que está en funcionamiento hoy, lo que se está introduciendo y lo que hoy no existe: está escrito para que lo lea quien debe evaluar un riesgo, no para tranquilizar.

Ninguna parte de este Acuerdo afirma que los datos estén seguros de forma absoluta: ninguna medida lo garantiza. BGates se compromete a no reducir el nivel global de las medidas durante toda la vigencia del Acuerdo y a actualizar el Anexo B cuando cambie.

14. Subencargados del tratamiento

Autorización general. El Cliente autoriza a BGates, con arreglo al art. 28, apdo. 2, RGPD, a recurrir a los subencargados del tratamiento enumerados en el documento Proveedores (/fornitori), que forma parte integrante de este Acuerdo por remisión. La lista indica, para cada uno, el nombre completo de la entidad que contrata, el servicio prestado, las categorías de datos tratados, el país y la base de la transferencia fuera del Espacio Económico Europeo (EEE). El Anexo C recoge los subencargados que, en la fecha de esta versión, tratan datos del Cliente.

Incorporaciones y sustituciones. BGates comunica al Cliente su intención de incorporar o sustituir un subencargado con un preaviso de al menos 15 días, por email a la dirección de la Cuenta y mediante la actualización del documento Proveedores. Es el mismo plazo de la sección 10 del documento Proveedores (/fornitori) y del § 22 de las Condiciones específicas para clientes y administradores.

Oposición. Dentro del plazo de preaviso el Cliente puede oponerse, por escrito y por motivos relacionados con la protección de datos. En tal caso las partes buscan de buena fe una solución alternativa en un plazo de 30 días; si no la encuentran, el Cliente puede desistir de la parte del Servicio afectada, o de la Suscripción, sin penalización, con reembolso de la cuota pagada y no disfrutada. Hasta el vencimiento del preaviso y, en caso de oposición, hasta la solución del desacuerdo, BGates no confía a ese subencargado los datos del Cliente. Si el recurso a ese subencargado es indispensable para prestar el Servicio, BGates lo declara en la comunicación de preaviso: en tal caso el Cliente, en un plazo de treinta días, elige entre aceptar al subencargado y desistir de la Suscripción sin penalización, con reembolso de la cuota pagada y no disfrutada, y hasta que elija el Servicio continúa sin que sus datos se confíen al nuevo subencargado.

Sustitución urgente. Si un subencargado deja de prestar el servicio o deja de ser fiable, BGates puede sustituirlo con un preaviso más breve, informando al Cliente en un plazo de 5 días desde la sustitución e indicando el motivo; el derecho de oposición se mantiene, con los mismos efectos.

Condiciones. BGates impone por contrato a cada subencargado las mismas obligaciones de protección de datos previstas en este Acuerdo (art. 28, apdo. 4, RGPD). BGates responde frente al Cliente del incumplimiento de sus subencargados como del suyo propio.

15. Asistencia en materia de derechos de los Interesados

BGates asiste al Cliente, con medidas técnicas y organizativas apropiadas, para que pueda responder a las solicitudes de los Interesados (art. 28, apdo. 3, letra e, RGPD).

Si la solicitud llega a BGates. BGates no responde sobre el fondo por cuenta del Cliente. La asume en un plazo de 24 horas, la remite al Cliente en un plazo de 5 días hábiles con todo lo que necesita para responder, dice al Interesado a quién se la ha remitido y queda a disposición del Cliente para la extracción de los datos. Si el Interesado lo pide, BGates puede suspender inmediatamente la habilitación del número a la espera de la decisión del Cliente: es una medida cautelar técnica, no una decisión sobre el fondo de la solicitud.

Si la solicitud llega al Cliente. BGates facilita, en un plazo de 10 días hábiles desde la solicitud escrita, los datos y las informaciones que el Cliente no puede obtener por sí mismo del Área reservada.

Qué puede hacer el Cliente por sí mismo. Desde el Área reservada el Cliente consulta y exporta los Números habilitados y el Registro de aperturas de su Acceso, revoca un número, revoca un QR, corrige la etiqueta asociada a un número, suprime una línea de la Agenda personal.

Derecho de oposición. Dado que la base del tratamiento es el interés legítimo del Cliente, el Interesado puede oponerse con arreglo al art. 21 RGPD. La decisión corresponde al Cliente, que debe adoptarla por escrito y motivarla; si no existen motivos legítimos imperiosos que prevalezcan, el número debe eliminarse. BGates ejecuta la decisión y conserva constancia de ella.

16. Asistencia en materia de seguridad, violaciones y evaluaciones de impacto

BGates asiste al Cliente en el cumplimiento de las obligaciones de los arts. 32 a 36 RGPD (art. 28, apdo. 3, letra f), teniendo en cuenta la naturaleza del tratamiento y la información de que dispone. En concreto: facilita la descripción de las medidas de seguridad (Anexo B), la información sobre los flujos de datos y sobre los subencargados, los datos necesarios para una evaluación de impacto, y la asistencia prevista en las secciones 17 y 18.

BGates pone además a disposición del Cliente, a petición, el extracto de su registro de las categorías de actividades de tratamiento efectuadas por su cuenta (art. 30, apdo. 2, RGPD).

17. Violaciones de la seguridad de los datos personales

Quién notifica. Si la violación afecta a datos tratados por cuenta del Cliente, el Responsable es el Cliente: la notificación al Garante y la eventual comunicación a los Interesados le corresponden a él. BGates no notifica en su lugar y no sustituye su valoración.

Qué hace BGates. Informa al Cliente sin dilación indebida y, en todo caso, en un plazo de 24 horas desde que tiene conocimiento de la violación (art. 33, apdo. 2, RGPD). El plazo es de 24 horas porque al Cliente le deben quedar al menos 48 de las 72 horas que el art. 33, apdo. 1, le concede para decidir y notificar.

Momento del conocimiento. Es el momento en que BGates tiene un grado razonable de certeza de que un incidente de seguridad ha afectado a datos personales. La fecha y la hora se anotan en el registro interno de violaciones antes de cualquier otra actividad.

Contenido de la comunicación al Cliente, en la medida en que se conozca en ese momento, con ampliaciones posteriores sin esperar a tener el cuadro completo:

Asistencia. A petición del Cliente, BGates le asiste en la notificación al Garante y en la comunicación a los Interesados, y le facilita los elementos de que dispone. Cuando el único dato de contacto disponible de un Interesado es el número de teléfono, BGates lo usa por cuenta del Cliente, con un mensaje breve y no promocional.

Registro de violaciones. BGates documenta cada violación que le afecta, también las no notificadas, como exige el art. 33, apdo. 5, RGPD.

Un segundo reloj, que no es el del RGPD. Si el incidente se refiere a una vulnerabilidad del Aparato o del Servicio, BGates está sujeta también a las obligaciones de notificación del Reglamento (UE) 2024/2847 relativo a los requisitos de ciberseguridad de los productos con elementos digitales: alerta temprana en 24 horas, notificación en 72 horas, informe final, e información a los usuarios. Son plazos y destinatarios distintos de los del art. 33 RGPD y corren en paralelo. El procedimiento se describe en el documento Gestión de violaciones e incidentes (/incidenti).

18. Evaluación de impacto y consulta previa

BGates ha realizado, para los tratamientos de la Plataforma, su propia evaluación de impacto relativa a la protección de datos y la mantiene actualizada.

El Cliente valora de forma autónoma si su uso del Servicio requiere una evaluación de impacto con arreglo al art. 35 RGPD. Es el caso, en particular, cuando el Acceso da paso a un lugar de trabajo o cuando el Registro de aperturas se refiere a un número elevado de personas. BGates facilita, a petición escrita y sin coste adicional, la información sobre el funcionamiento del Servicio, sobre los flujos de datos, sobre los subencargados y sobre las medidas de seguridad necesaria para completarla, en un plazo de 20 días hábiles.

Si el Cliente debe consultar previamente al Garante con arreglo al art. 36 RGPD, BGates le facilita la información útil en el mismo plazo.

19. Auditorías e inspecciones

BGates pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD y permite y contribuye a la realización de auditorías, incluidas inspecciones (art. 28, apdo. 3, letra h).

Auditoría documental. Una vez al año el Cliente puede solicitar: la descripción actualizada de las medidas de seguridad, la lista de los subencargados, el extracto del registro de las actividades de tratamiento efectuadas por su cuenta, el extracto del registro de acciones administrativas que se refieren a sus datos, y la respuesta a un cuestionario de auditoría. BGates responde en un plazo de 30 días desde la solicitud.

Inspección in situ. El Cliente puede realizar una inspección en las instalaciones de BGates, directamente o a través de un auditor independiente que no sea competidor de BGates y esté obligado a la confidencialidad, con las siguientes condiciones:

1. preaviso por escrito de al menos 30 días, con la indicación del alcance y de los nombres de las personas;
2. una vez al año, salvo que la inspección la exija la autoridad de control o se produzca a raíz de una violación de datos que haya afectado al Cliente: en esos casos no se aplica el límite de frecuencia y el preaviso se reduce a 5 días hábiles;
3. en horario laboral, sin interrumpir la prestación del Servicio;
4. sin acceso a los datos de otros clientes, a los secretos industriales ni a las credenciales, y sin copiar material que contenga datos de terceros;
5. a cargo del Cliente, incluidos los gastos del eventual auditor. Corren a cargo de BGates sus actividades ordinarias de respuesta; si la inspección constata un incumplimiento grave de BGates, los gastos razonables corren a cargo de BGates.

El informe de inspección es confidencial entre las partes, salvo la obligación de entregarlo a la autoridad de control que lo solicite.

Ninguna cláusula de esta sección excluye o limita los poderes del Garante ni de las demás autoridades de control.

20. Lugar del tratamiento y transferencias fuera del Espacio Económico Europeo

Los datos de la sección 3 se conservan en servidores situados en Núremberg, Alemania, en netcup GmbH.

Algunos subencargados tratan datos fuera del Espacio Económico Europeo, y se indican como tales en el Anexo C y en el documento Proveedores. Para los certificados en la lista del Data Privacy Framework, la transferencia se basa en la decisión de adecuación (UE) 2023/1795 (art. 45 RGPD); la decisión está vigente, fue confirmada en primera instancia por el Tribunal General de la Unión Europea el 3 de septiembre de 2025 (asunto T-553/23) y el recurso de casación está pendiente. Para los no certificados, la transferencia se basa en las cláusulas contractuales tipo adoptadas por la Comisión (art. 46, apdo. 2, letra c, RGPD), acompañadas de una evaluación de la transferencia. Las cláusulas siguen en vigor también con los proveedores certificados.

El Cliente puede solicitar una copia de las garantías aplicables a una determinada transferencia escribiendo a info@bgates.it.

BGates no transfiere datos del Cliente fuera del Espacio Económico Europeo con fines distintos de la prestación del Servicio y no lo hace por iniciativa propia sin informar al Cliente.

21. Conservación

Durante la relación, BGates conserva los datos tratados por cuenta del Cliente según los plazos de la Política de conservación (/conservazione), que es el documento donde residen esos plazos. Se recogen en el Anexo A para facilitar la lectura: si los dos textos llegaran a divergir, prevalece la Política de conservación.

Los plazos se aplican también mientras la relación está en curso: no son un efecto de la extinción. El Cliente puede pedir plazos más breves para su Acceso; no puede pedir plazos más largos que los declarados.

22. Fin de la relación: devolución y supresión

A la extinción de la relación, a elección del Cliente, BGates devuelve o suprime todos los datos personales tratados por su cuenta (art. 28, apdo. 3, letra g, RGPD).

Qué queda, y por qué. Quedan solamente: los datos que BGates debe conservar por obligación legal —en particular los datos contables y fiscales, durante 10 años con arreglo al art. 2220 del Codice civile (Código Civil italiano)— y los registros de las aceptaciones de los documentos, conservados durante 10 años después del fin de la relación como prueba de lo que se aceptó y cuándo. Estos datos ya no se tratan por cuenta del Cliente: BGates los conserva como Responsable, bloqueados, y los usa solo para la obligación a la que sirven.

Quedan además los datos anónimos y las estadísticas agregadas que no permiten identificar a una persona física.

23. Retirada del servicio del Aparato

En caso de extinción, sustitución o reventa del Aparato, los datos personales que están en el Aparato —la Agenda interna del Aparato y sus registros internos— no se suprimen por sí solos, y el mando de reinicio de la configuración no borra la Agenda interna del Aparato. El Cliente y BGates siguen el procedimiento de retirada del servicio descrito en la documentación del Servicio: restablecimiento del Aparato a los ajustes de fábrica, comprobación de que la Agenda interna está vacía, supresión de los archivos de configuración y de registro eventualmente cargados en el servidor de mantenimiento, supresión de las líneas del Registro de aperturas según la sección 22. De la retirada del servicio queda constancia.

24. Responsabilidad

Cada parte responde del cumplimiento de las obligaciones que el RGPD pone a su cargo. Frente a los Interesados y frente a la autoridad de control se aplican los arts. 82 y 83 RGPD: en particular, el encargado únicamente responde de los daños y perjuicios causados por el tratamiento cuando no ha cumplido las obligaciones dirigidas específicamente a los encargados o ha actuado al margen o en contra de las instrucciones legales del responsable (art. 82, apdo. 2).

Si una parte indemniza íntegramente a un Interesado, puede reclamar a la otra la parte de la indemnización correspondiente a su parte de responsabilidad (art. 82, apdo. 5).

Lo que no se limita. Las limitaciones de responsabilidad previstas en los Términos no se aplican a las obligaciones de este Acuerdo: la protección de los datos personales es materia de orden público y el art. 1229, apartado 2, del Codice civile declara nulo el pacto que limite anticipadamente la responsabilidad. No se limita, en ningún caso, la responsabilidad por dolo o culpa grave (art. 1229, apartado 1).

Ninguna indemnidad sobre los datos personales. Las partes no se conceden recíprocamente garantías de indemnidad por las infracciones de la normativa de protección de datos personales: cada una responde de su propio incumplimiento. Quedan a salvo las garantías que el Cliente presta a BGates sobre la licitud de sus instrucciones (sección 11) y las consecuencias contractuales de su incumplimiento.

25. Relación con los demás documentos, ley aplicable, fuero

En caso de contradicción entre este Acuerdo y los demás documentos del Servicio en materia de protección de datos personales, prevalece este Acuerdo. En cualquier otra materia prevalecen los Términos y las Condiciones aplicables.

Este Acuerdo se rige por la ley italiana. Para los litigios es competente el fuero pactado en los Términos; si el Cliente es Consumidor, sigue siendo competente el tribunal de su residencia o de su domicilio elegido. Quedan a salvo los poderes del Garante per la protezione dei dati personali (autoridad italiana de control de protección de datos) y el derecho de los Interesados a presentar una reclamación con arreglo al art. 77 RGPD.

Si una cláusula resulta nula o ineficaz, las demás siguen siendo válidas y la cláusula se sustituye por la más cercana, lícita, a la intención de las partes.

Anexo A — Tratamientos, datos, Interesados y duración

Anexo B — Medidas técnicas y organizativas (art. 32 RGPD)

Este anexo describe el estado real de las medidas en la fecha de la versión. Se actualiza con cada modificación sustancial.

B.1 Qué está en funcionamiento hoy

B.2 Qué se está introduciendo

B.3 Qué no existe hoy, y conviene saberlo

Esta parte no se omite. Un Cliente que debe evaluar un riesgo tiene derecho a conocerla, y un documento que la callara sería una declaración falsa.

1. La conexión entre el Aparato y el Servicio no está cifrada en los Aparatos instalados: por el canal de mensajería viajan sin cifrar los números de teléfono y los mandos. El canal es accesible desde Internet.
2. El canal de mantenimiento del Aparato no está cifrado: los archivos de configuración y de registro que carga el Aparato —y que contienen toda la Agenda interna del Aparato— transitan sin cifrar.
3. No hay cifrado de los datos en reposo: ni a nivel de columna, ni de volumen, ni de disco. Las copias de seguridad, en cambio, sí están cifradas.
4. No hay verificación en dos pasos, ni siquiera para las cuentas administrativas, y no hay bloqueo de la cuenta después de un número de intentos erróneos: la defensa es el límite de frecuencia por dirección.
5. No hay separación de los datos a nivel de base de datos: la separación entre clientes la aplica el Servicio, no el motor de la base de datos.
6. No hay copia de seguridad externa: la pérdida de la máquina supondría también la pérdida de las copias.
7. La habilitación de un número no comprueba que ese número pertenezca a la persona habilitada. Es un límite de diseño conocido, del que BGates responde (sección 10.3), y cuya corrección está planificada.
8. La contraseña del Aparato es de cuatro cifras, y en el producto existe un valor predefinido: cambiarla en la entrega es una obligación del Cliente, indicada en las Normas de seguridad de la cuenta, los números, los QR y los teléfonos.

Anexo C — Subencargados del tratamiento que tratan datos del Cliente

En la fecha de esta versión. La lista completa y actualizada, con la fecha de la última comprobación, está en el documento Proveedores (/fornitori), que prevalece sobre este anexo.

Dos precisiones que evitan un equívoco. El proveedor de pagos y el operador de las SIM tratan datos con finalidades de las que BGates es Responsable (facturación, conectividad): no son subencargados en el sentido de este Acuerdo y figuran en la Información sobre protección de datos. Los servicios que transforman el identificador de celda en una posición aproximada se refieren al diagnóstico de la red del Aparato, del que BGates también es Responsable.

Modificaciones de este Acuerdo

BGates puede modificar este Acuerdo para adaptarlo a un cambio normativo, a una resolución de la autoridad de control, a un cambio del Servicio o a la incorporación de un subencargado. La modificación se comunica al Cliente en la dirección de email de la Cuenta con un preaviso de al menos 30 días, indicando qué cambia; solo para los subencargados se aplica el preaviso más breve de la sección 14, que es de 15 días, con el derecho de oposición previsto en ella.

Si la modificación reduce las garantías del Cliente o de los Interesados, el Cliente puede desistir de la Suscripción sin penalización en un plazo de 30 días desde la comunicación, con reembolso de la cuota pagada y no disfrutada. Las modificaciones que se limitan a incorporar una obligación legal o a añadir una garantía entran en vigor en la fecha indicada, sin derecho de desistimiento.

Las versiones anteriores siguen disponibles a petición.

Versión 2026.09.22-1 — en vigor desde el 22 de septiembre de 2026. Cuando cambiemos algo sustancial —una finalidad nueva, un proveedor nuevo, un plazo de conservación más largo— publicaremos aquí la nueva versión, con su fecha, y si tienes una Cuenta te lo comunicaremos por email. Este documento no se acepta: se lee, y no te pedimos que marques ninguna casilla. Las correcciones de forma no cambian la versión. Las versiones anteriores siguen disponibles a petición en info@bgates.it.