RGPD en un taller mecánico: panorama 2026
El RGPD en un taller mecánico regula cómo se recogen, conservan y comunican los datos personales del cliente y de su vehículo, las imágenes de la videovigilancia, los registros de los empleados y los flujos con marcas, concesionarios, aseguradoras y la DGT. Aplican el Reglamento (UE) 2016/679, la LOPDGDD (LO 3/2018), la LSSI-CE (Ley 34/2002) y, en lo sectorial, la Ley 17/1985 de Industria y la normativa autonómica de actividad de talleres (RD 1457/1986 sobre normativa básica de talleres y sus desarrollos).
Un taller medio en España gestiona simultáneamente la ficha del cliente (nombre, DNI o NIF, dirección, teléfono, correo), los datos del vehículo (matrícula, número de bastidor o VIN, kilometraje, historial de averías), los presupuestos enviados por email o WhatsApp, las cámaras de la nave y del parking, la nómina y el fichaje del personal, los flujos con la marca o el concesionario (BMW, Mercedes, Stellantis, Volkswagen), la cesión a la aseguradora del cliente en siniestros y la comunicación con la ITV. La superficie de exposición es alta: cualquiera de esos frentes puede generar denuncia ante la Agencia Española de Protección de Datos.
El servicio "rgpd taller mecánico" de Cardeseo cierra todos estos frentes con pack documental completo, publicación de textos legales en la web del taller y soporte continuo ante inspecciones AEPD, desde 349 € al año para talleres con hasta 5 empleados. Una resolución sancionadora AEPD para pymes del sector se mueve, de forma orientativa, entre 5.000 € y 100.000 €, muy por encima del coste del servicio en un único expediente.
La adecuación es obligatoria desde el primer empleado y desde la primera ficha de cliente — y no hay taller homologado por industria que escape de tratar datos personales. Cumplir bien protege al taller frente a denuncias de ex-empleados, clientes descontentos, requerimientos de la ITSS y oficios de la AEPD tras quejas vecinales por las cámaras del parking.
Datos del cliente y datos del vehículo
La ficha del cliente del taller contiene nombre, DNI o NIF, dirección, teléfono, correo electrónico y forma de pago. Todos estos son datos personales del Art. 4.1 RGPD y exigen base jurídica para su tratamiento, que en este caso es el Art. 6.1.b RGPD (ejecución del contrato de reparación) y el Art. 6.1.c (cumplimiento de obligaciones legales del taller: facturación, libro registro de partes de trabajo).
Los datos del vehículo (matrícula, bastidor o VIN, kilometraje, historial de intervenciones) son datos personales por asociación. La matrícula por sí sola, en abstracto, no identifica a una persona, pero combinada con la ficha del taller (cliente que la trae, dirección de facturación, historial) sí permite identificar al titular. La AEPD y la sentencia TJUE Breyer C-582/14 de 19/10/2016 confirman este criterio de identificación indirecta razonable: si el responsable puede identificar al interesado por medios razonables, el dato es personal.
Por eso publicar en redes sociales fotos del taller con matrículas legibles, exhibir vehículos en reparación con ficha visible o subir vídeos de prensa donde se vean los coches de clientes con matrícula sin pixelar es tratamiento de datos personales sin base jurídica, y la AEPD lo ha sancionado en varios expedientes de talleres y concesionarios.
El plazo de conservación de la ficha del cliente debe ser proporcional. Después de la reparación, los datos contables (factura, partes de trabajo) deben conservarse 4 años por obligación de la LGT (Ley General Tributaria) y 6 años por el Art. 30 del Código de Comercio. Pasado ese plazo, los datos deben suprimirse o bloquearse salvo motivo legítimo documentado.
El número de bastidor (VIN) es además dato técnico exigido por la Ley 17/1985 de Industria y por el RD 1457/1986: el taller debe identificar el vehículo en el parte de trabajo. Esta obligación legal cubre el tratamiento como Art. 6.1.c RGPD, pero exige limitar la finalidad a lo estrictamente necesario.
Videovigilancia: nave, bahías y parking
La videovigilancia en un taller mecánico es una de las áreas más denunciadas ante la AEPD. La Guía AEPD de Videovigilancia (versión 2024) establece el marco: cartel informativo homologado visible desde antes de entrar en la zona vigilada, conservación máxima de 30 días salvo causa justificada (Art. 22.3 LOPDGDD), prohibición de grabar audio salvo excepción tasada del Art. 89.2 LOPDGDD, y prohibición absoluta de grabar vestuarios, baños y zonas de descanso del personal.
La nave taller puede vigilarse con cámaras siempre que: el cartel homologado AEPD esté visible en la entrada, las cámaras enfoquen únicamente la zona estrictamente necesaria para la seguridad de los bienes y las personas, no se grabe sonido (salvo activación puntual por alarma justificada) y se respete proporcionalidad. La instalación debe documentarse en el Registro de Actividades de Tratamiento del Art. 30 RGPD.
Las cámaras en bahías de trabajo (los puestos donde se eleva el vehículo) plantean un problema añadido: pueden grabar el interior del coche del cliente, lo que afecta a su derecho a la intimidad (Art. 18.1 CE). El interior del vehículo puede contener documentación personal, efectos personales o incluso datos biométricos del propio cliente. Si el taller pone cámara en bahía debe valorarse la proporcionalidad caso por caso, evitar enfocar el habitáculo del vehículo y, si la cámara es por seguridad del operario, restringir el ángulo al puesto de trabajo.
El parking de clientes (interior del recinto del taller) puede vigilarse con cartel homologado AEPD y respeto al perímetro: las cámaras no pueden enfocar la vía pública más allá de lo estrictamente imprescindible para asegurar el acceso, y debe evitarse el barrido de aceras o viviendas colindantes. La AEPD ha sancionado a talleres por cámaras del parking que grababan a vecinos del edificio de enfrente.
Los empleados del taller deben ser informados previamente del sistema de videovigilancia conforme al Art. 89.1 LOPDGDD, con información expresa de la finalidad (seguridad, control de actividad laboral si procede) y los derechos del trabajador. Si la cámara se usa con finalidad de control laboral, la información debe ser explícita y firmada por el empleado al incorporarse, conforme a la STC 39/2016 y al criterio de la Sala IV del Tribunal Supremo.
El uso de cámaras encubiertas (sin información previa) solo es lícito en supuestos excepcionales y proporcionados, típicamente investigación de un hecho ilícito concreto ya sospechado, y siempre temporal. La regla general es la información previa expresa.
Marcas y concesionarios como corresponsables o encargados
Muchos talleres operan en red con marcas (Servicios Oficiales, talleres autorizados Renault, Citroën, BMW, Mercedes) o con concesionarios. El régimen jurídico del flujo de datos entre el taller y la marca o el concesionario depende del reparto real de decisiones sobre la finalidad y los medios del tratamiento.
Cuando el taller es Servicio Oficial de una marca y la marca define las finalidades del tratamiento (recordatorios de mantenimiento, campañas de seguridad, fidelización a la marca), estamos ante corresponsabilidad del Art. 26 RGPD. Marca y taller deben firmar acuerdo de corresponsabilidad que defina quién atiende los derechos del interesado, quién informa al cliente y quién es el punto de contacto principal. Las directrices EDPB 7/2020 sobre corresponsabilidad detallan los criterios.
Cuando el taller solo actúa por encargo de la marca o del concesionario (la marca le manda un cliente para una campaña de revisión gratuita, por ejemplo, y el taller solo ejecuta), el taller es encargado del tratamiento del Art. 28 RGPD. Debe firmarse contrato de encargo con las cláusulas mínimas del Art. 28.3 RGPD: objeto, duración, naturaleza y finalidad, tipo de datos, categorías de interesados, obligaciones del encargado, medidas de seguridad, subencargados, devolución o destrucción al final.
Lo más habitual en la realidad es un régimen mixto: la marca define la campaña y proporciona los datos del cliente, el taller los trata para la reparación, y al final del proceso surgen datos nuevos (historial, kilometraje actualizado) que vuelven a la marca para su CRM. Hay que documentar bien el flujo y firmar tanto acuerdo de corresponsabilidad como, si procede, contrato de encargo para las partes en las que el taller solo actúa por instrucciones.
Cardeseo audita los contratos con marca y concesionario y prepara las cláusulas correctas según el reparto real de decisiones, evitando el riesgo de que el taller asuma indebidamente responsabilidades de la marca o, al revés, que la marca pretenda imponer al taller obligaciones de encargado cuando hay corresponsabilidad real.
Aseguradoras (siniestros) como encargadas
En siniestros, el cliente trae el vehículo al taller y este se comunica con la compañía aseguradora del cliente para peritaje, autorización de reparación y facturación. La aseguradora pide al taller datos del cliente, datos del vehículo, parte de daños, presupuesto detallado y fotos. Este flujo es tratamiento de datos personales y exige base jurídica documentada.
La base jurídica habitual es Art. 6.1.b RGPD (ejecución del contrato): el cliente, al pedir al taller que tramite el siniestro con su aseguradora, autoriza implícitamente la comunicación de los datos imprescindibles. Para mayor seguridad, conviene recoger consentimiento expreso del cliente en la hoja de entrada del vehículo, con cláusula informativa específica sobre la cesión a la aseguradora identificada por nombre y NIF.
En el flujo concreto, la aseguradora suele actuar como responsable de su propio tratamiento (tiene su propia base jurídica para tramitar el siniestro de su asegurado) y el taller como responsable del suyo (reparar el vehículo). No suele haber relación de encargo entre ambos, sino dos responsables independientes que se comunican datos para fines compatibles, lo que exige cláusula informativa al cliente y registro del flujo en el RAT.
Si la aseguradora externaliza al taller funciones específicas (gestión documental del siniestro, almacenamiento prolongado de fotos para reaseguro), ahí sí surge encargado del tratamiento del Art. 28 RGPD y debe firmarse contrato con las cláusulas del Art. 28.3 RGPD. Lo prudente es documentar caso por caso.
Cuando el peritaje lo realiza un perito externo enviado por la aseguradora, ese perito accede a los datos del cliente y del vehículo. Conviene tener cláusula informativa al cliente que mencione expresamente esta cesión y documentar al perito como destinatario en el RAT.
ITV y comunicación a la DGT
Cuando el taller acompaña al cliente a la ITV o tramita la comunicación de reformas a la Dirección General de Tráfico, ese flujo de datos al organismo oficial es tratamiento con base jurídica de Art. 6.1.c RGPD (obligación legal del responsable). La ITV y la DGT son entidades a las que la ley exige comunicar determinados datos del vehículo y del titular.
La obligación legal está regulada en el RD 920/2017 sobre inspección técnica de vehículos y en el Reglamento General de Vehículos (RD 2822/1998). El taller actúa como intermediario administrativo y debe limitar el tratamiento a lo estrictamente necesario para cumplir la obligación, sin reutilizar los datos para finalidades distintas.
La cláusula informativa al cliente debe mencionar expresamente la comunicación a ITV y a la DGT cuando proceda (por ejemplo, en reformas de importancia), con identificación del organismo destinatario, la base jurídica de la cesión y los derechos del interesado.
Software de gestión taller (TAG, Gesgaraje, audatex, GT Motive)
La mayoría de los talleres utilizan software de gestión: TAG, Gesgaraje, GT Motive, Audatex, KSD, o ERPs verticales. Estos proveedores almacenan en sus servidores los datos del cliente, los partes de trabajo, las facturas y, a veces, fotos del vehículo. La relación jurídica es la de encargado del tratamiento del Art. 28 RGPD: el taller es responsable, el software es encargado.
El taller debe firmar contrato de encargo del Art. 28.3 RGPD con cada proveedor, identificar al subencargado principal (proveedor de hosting tipo AWS, Azure, OVH), documentar las medidas técnicas y organizativas, y asegurar que los datos están alojados en territorio UE o, si están fuera, que existe mecanismo válido de transferencia internacional del Art. 46 RGPD (Cláusulas Contractuales Tipo de la Decisión UE 2021/914) o decisión de adecuación del Art. 45 RGPD.
GT Motive y Audatex están integrados con compañías de seguros y peritos. Hay que documentar bien el flujo: cuando el taller introduce datos en GT Motive y la aseguradora los descarga, ambas partes son responsables independientes y GT Motive es encargado de ambos, lo que debe quedar reflejado en los contratos.
Cardeseo audita el contrato con el software de gestión taller y, si falta el acuerdo Art. 28, lo prepara y lo eleva al proveedor para firma. Si el contrato es manifiestamente desfavorable para el taller, se renegocia. Si el proveedor se niega a firmar o tiene un contrato precario, se documenta el riesgo y se propone migración.
Marketing por WhatsApp (revisión, ITV)
Los recordatorios de mantenimiento (revisión a los 20.000 km, cambio de aceite, cambio de filtros), los avisos de ITV próxima a vencer y las campañas comerciales (descuento de neumáticos, oferta de revisión preinvierno) por WhatsApp, SMS o email son comunicaciones comerciales por medios electrónicos y caen bajo el Art. 21 LSSI-CE: prohibición general de envío sin consentimiento previo y expreso del destinatario.
La excepción canónica del Art. 21.2 LSSI-CE permite envío sin consentimiento previo cuando se cumplen las tres condiciones acumulativas: existe relación contractual previa (el cliente ya reparó el vehículo en el taller), la comunicación se refiere a productos o servicios propios y análogos a los originalmente contratados, y se ofrece medio sencillo, gratuito y visible para oponerse o darse de baja en cada envío. Un recordatorio de ITV o una campaña de revisión periódica entra dentro del concepto de servicio análogo en el sector de automoción, pero hay matices que conviene documentar caso por caso.
Sin esas tres condiciones acumulativas, hace falta consentimiento expreso previo (opt-in). El teléfono que el cliente facilita al dejar el coche para reparar NO es consentimiento de marketing: la finalidad fue la reparación, no la promoción comercial. La AEPD ha sancionado a talleres por envío masivo de WhatsApp a clientes antiguos sin consentimiento documentado.
El flujo correcto es el doble opt-in: el cliente marca activamente una casilla (no pre-marcada — TJUE Planet49 C-673/17 de 1/10/2019 prohíbe las casillas pre-marcadas) en la ficha de cliente o en el formulario web pidiendo recibir recordatorios y campañas. Después se le envía mensaje de confirmación al que debe responder o hacer clic. Cardeseo facilita el flujo y las cláusulas correctas.
La sanción por envío de comunicaciones comerciales no consentidas se mueve en el rango leve a grave de la LSSI-CE (Art. 38), con cuantías de 30 € a 30.000 € en infracciones leves y hasta 150.000 € en graves. La AEPD ha sancionado a talleres y concesionarios por bases de datos antiguas reutilizadas sin consentimiento.
Telemetría conectada en vehículos modernos
Los vehículos modernos (BMW ConnectedDrive, Mercedes me, Volvo On Call, Tesla, Stellantis Connect) llevan telemetría conectada que envía al fabricante datos de kilometraje, geolocalización, hábitos de conducción, alertas de mantenimiento y estado del vehículo. Cuando el taller accede a esos datos para diagnóstico (vía dongle OBD-II, vía sistema oficial de la marca, o vía conexión directa al ECU), está tratando datos personales del titular del vehículo.
El fabricante es responsable del tratamiento principal de la telemetría conectada — recoge los datos en su CRM con cláusula informativa y base jurídica propia, normalmente consentimiento del cliente al activar el servicio. Las directrices EDPB 1/2020 sobre vehículos conectados detallan el marco de responsabilidad y los principios aplicables.
El taller, cuando accede a los datos del vehículo conectado para diagnóstico, actúa como tercero al que el cliente autoriza acceso puntual. La base jurídica es Art. 6.1.b RGPD (ejecución del contrato de reparación) con consentimiento implícito del cliente al traer el coche y autorizar acceso al sistema de diagnóstico. Conviene reflejar este flujo en la cláusula informativa de entrada del vehículo.
Si el taller almacena en sus propios sistemas los datos de telemetría descargados (no solo accede puntualmente sino que copia el log a su software de gestión), se convierte en responsable de ese tratamiento secundario y debe documentarlo en el RAT con su propia base jurídica, plazo de conservación y finalidad. Esta práctica es común en talleres especializados en diagnóstico avanzado.
El servicio de Cardeseo audita el flujo de telemetría caso por caso y prepara la cláusula informativa adaptada al tipo de vehículo conectado que el taller suele reparar, con mención expresa del fabricante destinatario y de la base jurídica de cada operación.
Empleados del taller y registro de jornada
El tratamiento de datos de los empleados del taller (mecánicos, recepción, jefe de taller, aprendices) tiene como base jurídica el Art. 6.1.b RGPD (ejecución del contrato laboral). NO se requiere consentimiento del trabajador para tratar sus datos en lo estrictamente necesario para la relación laboral — el consentimiento incluso podría considerarse viciado por la posición de desigualdad (EDPB Opinion 2/2017).
El registro de jornada laboral es obligatorio conforme al Art. 34.9 ET (introducido por el RD-Ley 8/2019). Debe registrarse el inicio y fin de cada jornada, conservarse 4 años conforme al Art. 21.5 LISOS (RDLeg 5/2000), y permitir consulta del trabajador, del comité de empresa si lo hay y de la Inspección de Trabajo y Seguridad Social.
Las sanciones por infracción de la obligación de registrar jornada se tipifican como graves en el Art. 7.5 LISOS, con cuantías del Art. 40.1.b LISOS (de 751 € a 7.500 € en cuantía mínima, hasta 225.018 € en cuantías muy graves). El criterio canónico de la ITSS (Criterio Técnico 101/2019) es que la sanción se impone por infracción detectada en la empresa, no automáticamente por trabajador ni por centro de trabajo. La prescripción de las infracciones graves laborales es de 3 años (Art. 4.1 LISOS), distinta del plazo de 4 años de conservación del registro mismo (Art. 21.5 LISOS).
El uso de huella dactilar o reconocimiento facial para fichaje es tratamiento de datos biométricos del Art. 9 RGPD. Las directrices AEPD 2023 lo han endurecido: solo es lícito cuando hay base jurídica clara y se ofrece alternativa proporcional (tarjeta, código). En un taller, lo recomendable es fichaje por código, tarjeta o app — la huella puede dar lugar a denuncia por falta de proporcionalidad. Fichados, la app de Cardeseo (https://www.fichados.es), ofrece fichaje compatible con RGPD sin biometría.
Las cámaras del taller, cuando se usan con finalidad de control laboral (verificación de horarios, productividad, conducta), exigen información expresa y previa al trabajador conforme al Art. 89.1 LOPDGDD. La STC 39/2016 y la doctrina consolidada de la Sala IV del Tribunal Supremo exigen información clara, expresa, previa y específica sobre el uso laboral de las imágenes.
Sanciones AEPD orientativas para talleres
El régimen sancionador del RGPD distingue dos tramos: el Art. 83.4 (infracciones leves y graves) con multas de hasta 10 millones € o el 2% del volumen de negocio anual mundial, y el Art. 83.5 (infracciones muy graves) con multas de hasta 20 millones € o el 4%. Para pymes del sector automoción, el rango orientativo real de las resoluciones AEPD en los últimos años se mueve entre 5.000 € y 100.000 €.
Los factores agravantes habituales en talleres son: intencionalidad o negligencia (incumplimiento sistemático tras advertencia previa), magnitud del daño (número de clientes afectados por filtración, falta de seguridad en software de gestión), categorías de datos especialmente protegidas afectadas (datos de salud si el cliente declaró discapacidad para adaptación del vehículo) y reincidencia. La AEPD aplica criterios de proporcionalidad y suele tener en cuenta la actitud cooperadora del responsable y las medidas adoptadas tras detectar la infracción.
La advertencia previa AEPD, regulada por el Art. 58.2.b RGPD en conexión con el Art. 83.2 RGPD y el Art. 76 LOPDGDD, permite que en infracciones de menor gravedad y con voluntad de cumplimiento la autoridad emita advertencia sin sanción económica. Esto es habitual en primeros expedientes a pymes que demuestran haber iniciado proceso de adecuación documental, lo que refuerza el interés del taller en disponer de pack documental previo a cualquier inspección.
La prescripción de las infracciones AEPD es de 2 años para las graves y 3 años para las muy graves (Art. 78 LOPDGDD). El plazo se cuenta desde el día en que la infracción se hubiera cometido.
El criterio jurisprudencial consolidado de la Audiencia Nacional y el Tribunal Supremo valora positivamente que el responsable haya implantado un sistema documental RGPD previo a la inspección, lo que suele traducirse en reducciones de cuantía o en archivo del expediente cuando la infracción es subsanable. La voluntad de cumplimiento documentada (pack documental con fecha de implantación previa al expediente) es el argumento más eficaz frente a la AEPD.
Cómo adecua Cardeseo un taller mecánico
El servicio anual de adecuación RGPD para talleres mecánicos de Cardeseo cuesta desde 349 € al año para talleres con hasta 5 empleados. El servicio incluye los siguientes hitos.
Hito 1: análisis previo del taller mediante cuestionario y, si procede, llamada de cualificación con el responsable. Identificamos tratamientos de datos activos, software de gestión utilizado, marcas y concesionarios con los que se opera, aseguradoras habituales, modelo de marketing, sistema de cámaras y modelo de fichaje. Auditoría documental de la web del taller.
Hito 2: entrega del pack documental completo en formato PDF firmado: Registro de Actividades de Tratamiento adaptado al taller, política de privacidad para la web, política de cookies, cláusulas informativas para hoja de entrada de vehículo, formulario web, recordatorios y empleados, contrato de encargo modelo para software de gestión y proveedores, política de videovigilancia con texto del cartel homologado AEPD, política de retención y procedimientos de derechos del titular.
Hito 3: publicación de los textos legales en la web del taller (cuando hay web propia). El equipo técnico de Cardeseo se encarga de la implementación o coordina con el equipo del cliente. Si el taller usa CMS estándar (WordPress, Shopify) la publicación es directa.
Hito 4: soporte continuo durante 12 meses con SLA de respuesta en 24 horas para inspecciones AEPD, denuncias o consultas. Email dedicado: departamentojuridico@cardeseo.com. Atención telefónica al +34 604 56 05 48.
Hito 5: revisión anual del expediente y actualización del pack ante cambios normativos (nuevas Guías AEPD, modificaciones de la LOPDGDD, sentencias relevantes del TJUE o del Tribunal Supremo). El pack se mantiene siempre actualizado sin coste adicional durante la vigencia del servicio.
Si el taller necesita fichaje horario digital compatible con RGPD, Cardeseo recomienda Fichados (https://www.fichados.es), su propia app de fichaje sin biometría, compatible con el Art. 34.9 ET y las directrices AEPD 2023. El precio del pack se mantiene en 349 € al año para el tier estándar pyme, con tarifas específicas para grupos con varias sociedades vinculadas (cadenas de talleres con varias SL) o para Servicios Oficiales de marca con flujos más complejos.
Preguntas frecuentes
¿La matrícula del vehículo es un dato personal?
Por sí sola no identifica directamente a una persona, pero combinada con la ficha del taller (cliente que la trae, dirección, historial) sí permite identificar al titular según el criterio TJUE Breyer C-582/14 y la doctrina AEPD. Por eso publicar fotos del taller con matrículas legibles en redes sociales es tratamiento de datos personales sin base jurídica y la AEPD lo ha sancionado en varios expedientes de talleres. Cardeseo te facilita la política correcta para tratar matrículas en presupuestos, web y redes sociales.
¿Puedo mandar recordatorios de ITV por WhatsApp a mis clientes?
Solo si tienes consentimiento expreso previo del cliente para esa finalidad, o si se cumplen las tres condiciones acumulativas del Art. 21.2 LSSI-CE: relación contractual previa, servicio análogo al contratado y posibilidad sencilla de oposición en cada envío. El teléfono recogido para confirmar reparación NO es consentimiento de marketing por defecto. Cardeseo te facilita el flujo de doble opt-in y las cláusulas correctas para captarlo legalmente en la ficha de cliente.
¿Las cámaras en las bahías de trabajo son legales?
Sí, con condiciones estrictas: cartel homologado AEPD visible en la entrada, conservación máxima de 30 días salvo causa justificada, sin sonido salvo excepción del Art. 89.2 LOPDGDD, información previa expresa al trabajador conforme al Art. 89.1 LOPDGDD, y enfoque limitado al puesto de trabajo evitando grabar el interior del vehículo del cliente. Si la cámara enfoca el habitáculo del coche puede vulnerar el derecho a la intimidad del cliente. Cardeseo audita la instalación y te facilita el cartel y la política.
¿Cómo gestiono los datos del cliente con la marca o el concesionario?
Depende del reparto real de decisiones. Si la marca define la finalidad (campaña de seguridad, recordatorio de mantenimiento) y el taller la ejecuta, hay corresponsabilidad del Art. 26 RGPD y debe firmarse acuerdo conforme a las directrices EDPB 7/2020. Si el taller solo actúa por instrucciones puntuales, hay encargo del Art. 28 RGPD. Lo habitual es régimen mixto que exige ambos documentos. Cardeseo audita los contratos con marcas y prepara las cláusulas adecuadas según tu operativa real.
¿Necesito contrato con el software de gestión taller (TAG, Gesgaraje)?
Sí, obligatoriamente. El software es encargado del tratamiento del Art. 28 RGPD y debe firmarse contrato con las cláusulas mínimas del Art. 28.3 RGPD: objeto, duración, naturaleza, tipo de datos, obligaciones, medidas de seguridad, subencargados y devolución al final. Hay que verificar que los datos están en territorio UE o que existe Cláusula Contractual Tipo válida si están fuera. Cardeseo audita el contrato y, si falta, lo prepara y lo eleva al proveedor para firma.
¿Qué control horario uso para los empleados del taller?
El registro de jornada del Art. 34.9 ET es obligatorio. Puedes usar hoja manual firmada, hoja Excel, app digital o sistema biométrico, pero la huella dactilar y el reconocimiento facial requieren consentimiento explícito y alternativa proporcional según directrices AEPD 2023, por lo que no es lo recomendable. Cardeseo recomienda fichaje por código, tarjeta o app sin biometría (Fichados, https://www.fichados.es). El registro debe conservarse 4 años conforme al Art. 21.5 LISOS, y la prescripción de las infracciones graves laborales es de 3 años (Art. 4.1 LISOS).
Próximos pasos
Si gestionas un taller mecánico, un Servicio Oficial de marca, un centro de chapa y pintura o cualquier negocio del sector automoción en España, la adecuación RGPD no es opcional. Cardeseo cierra todos los frentes (ficha de cliente, vehículo, videovigilancia, marcas, aseguradoras, ITV, software de gestión, marketing y empleados) desde 349 € al año con pack documental completo, publicación de textos legales en tu web y soporte continuo ante inspecciones AEPD.
Consulta el detalle del servicio en Cumplimiento Legal Cardeseo o calcula tu tarifa en menos de 60 segundos en el onboarding RGPD. Si prefieres explorar primero las plantillas, tienes los modelos disponibles en recursos y plantillas. Para entender el contexto normativo general puedes consultar la guía qué es el RGPD.
Para una consulta sectorial concreta, contacta con el departamento jurídico de Cardeseo en departamentojuridico@cardeseo.com o llama al +34 604 56 05 48. Respondemos en 24 horas con propuesta personalizada para tu taller.