Política de Privacidad

Le agradecemos su interés en nuestro sitio web mbrcnc.es (en adelante, el "Sitio Web"). La protección de sus datos personales es un asunto de máxima importancia para nosotros. A continuación, le informamos detalladamente, conforme a los artículos 13 y 14 del Reglamento General de Protección de Datos (UE) 2016/679 ("RGPD"), a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales ("LOPDGDD") y, en lo relativo al uso de cookies y tecnologías similares, a la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico ("LSSI-CE"), sobre el tratamiento de sus datos personales y los derechos que le asisten.

1. Responsable del tratamiento (art. 4.7 RGPD)

El responsable del tratamiento, en el sentido del art. 4.7 RGPD, para los servicios prestados a través de mbrcnc.es es la sociedad española titular del sitio:

MBR CNC Iberica SL
Calle Marina, 16, P. 27
08005 Barcelona, España

Correo electrónico: [email protected]
Teléfono: +49 (0) 6196 9727560
CIF: B88671631
Inscrita en el Registro Mercantil de Barcelona (Tomo / Folio / Hoja — se incorporarán en cuanto dispongamos del extracto registral definitivo)
Representada por: Marcel Brockmann (administrador único)

No existe obligación legal de designar un Delegado de Protección de Datos para la actividad desarrollada (cfr. art. 37 RGPD y art. 34 LOPDGDD). Para cualquier consulta en materia de protección de datos puede escribirnos directamente a la dirección de correo indicada, en español, inglés o alemán.

MBR CNC Iberica SL forma parte de la marca MBR Machinery junto con la entidad alemana MBR Vertriebs- & Verwertungs UG (haftungsbeschränkt) (Eschborn, Alemania), titular de los sitios mbrcnc.com, mbrcnc.de, ankaufcncmaschinen.de y usedcnc.de y operadora de la infraestructura técnica común del grupo. La actividad de tratamiento de datos derivada de mbrcnc.es la decide y realiza MBR CNC Iberica SL como única responsable; la entidad alemana actúa en su caso como encargada o subencargada de tratamiento en el sentido del art. 28 RGPD cuando alojamos servicios técnicos compartidos del grupo (n8n auto-alojado, CRM, sistemas de productividad — ver apartados 3, 4 y 5).

2. Información general sobre el tratamiento de datos

2.1 Alcance del tratamiento

Tratamos los datos personales de los usuarios únicamente en la medida necesaria para ofrecer un sitio web funcional, así como nuestros contenidos y servicios. El tratamiento se realiza, por regla general, previo consentimiento de la persona interesada o sobre la base de otra causa de licitud prevista legalmente.

2.2 Bases jurídicas del tratamiento

Cuando recabamos el consentimiento del interesado, la base jurídica del tratamiento es el art. 6.1.a RGPD. Para los tratamientos necesarios para la ejecución de un contrato o para la aplicación de medidas precontractuales, la base es el art. 6.1.b RGPD. Para el cumplimiento de obligaciones legales, el art. 6.1.c RGPD. Cuando el tratamiento es necesario para la satisfacción de intereses legítimos de nuestra empresa o de un tercero y dichos intereses no se ven superados por los intereses, derechos y libertades del interesado, la base jurídica es el art. 6.1.f RGPD.

2.3 Conservación de los datos y plazos de supresión

Los datos personales se suprimen o bloquean tan pronto como deje de existir la finalidad para la que se recabaron. Podrá producirse una conservación más prolongada cuando así lo prevean disposiciones del Derecho de la Unión o del Derecho nacional aplicables al responsable, en particular para el cumplimiento de obligaciones legales de conservación de carácter mercantil y fiscal (en España, hasta 6 años, art. 30 del Código de Comercio; 4 años con carácter general en materia tributaria, art. 66 de la Ley General Tributaria; en Alemania, hasta 10 años conforme a § 257 HGB y § 147 AO en los casos en los que estos sean aplicables a la documentación relacionada con la sociedad alemana).

2.4 Transferencias internacionales (fuera del EEE)

En la medida en que se transfieran datos a destinatarios fuera del Espacio Económico Europeo, dichas transferencias se realizan exclusivamente sobre la base de:

• una decisión de adecuación de la Comisión Europea, en particular el EU-U.S. Data Privacy Framework (DPF, Decisión de Ejecución (UE) 2023/1795 de 10 de julio de 2023) en el caso de destinatarios estadounidenses certificados;
• las Cláusulas Contractuales Tipo (CCT) de la UE conforme a la Decisión de Ejecución (UE) 2021/914;
• medidas técnicas y organizativas complementarias cuando resulten necesarias;
• consentimiento expreso del interesado (art. 49.1.a RGPD) en los supuestos en los que nos basemos en este.

Informamos de que el DPF es objeto de impugnación judicial y que en el pasado mecanismos similares (Safe Harbor, Privacy Shield) fueron invalidados por el TJUE. En el apartado 13 encontrará una relación de los destinatarios concretos y la base jurídica de cada transferencia.

3. Prestación del sitio web y archivos de registro del servidor

3.1 Alojamiento en Cloudflare Pages

El Sitio Web se ofrece de forma estática a través de Cloudflare Pages, un servicio de Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, EE. UU. Cloudflare opera una red de distribución de contenidos (CDN) globalmente distribuida; las solicitudes procedentes de Europa se atienden preferentemente desde nodos europeos, si bien una transmisión a EE. UU. no puede descartarse técnicamente en todos los casos.

Con Cloudflare hemos suscrito un contrato de encargo de tratamiento conforme al art. 28 RGPD. Cloudflare, Inc. está certificada conforme al EU-U.S. Data Privacy Framework; con carácter adicional resultan de aplicación las Cláusulas Contractuales Tipo de la UE.

Base jurídica: art. 6.1.f RGPD (interés legítimo en una prestación eficiente, segura y estable del sitio web).

3.2 Archivos de registro del servidor

En cada acceso a una página se recopilan, por exigencia técnica, los siguientes datos de acceso en los archivos de registro del servidor:

• dirección IP (abreviada en el momento del almacenamiento),
• fecha y hora del acceso,
• URL solicitada,
• código de estado HTTP,
• volumen de datos transferidos,
• cadena del User-Agent (identificación del navegador / sistema operativo),
• URL de referencia (Referrer).

Estos datos se emplean exclusivamente para la seguridad operativa, la defensa frente a ataques y con fines puramente estadísticos. No se efectúa elaboración de perfiles ni combinación con otras fuentes de datos.

Los registros se suprimen, a más tardar, a los 30 días o se anonimizan antes. En caso de incidencia de seguridad documentada podrá conservarse el registro hasta su completo esclarecimiento.

Base jurídica: art. 6.1.f RGPD (interés legítimo en la seguridad, disponibilidad e integridad del Sitio Web).

4. Contacto

4.1 Formulario de contacto

Si utiliza el formulario de contacto disponible en el Sitio Web, trataremos los datos que nos facilite para dar respuesta a su solicitud. Categorías de datos tratadas:

• nombre,
• dirección de correo electrónico,
• número de teléfono,
• empresa,
• texto del mensaje,
• datos de la máquina / instalación (fabricante, modelo, año de fabricación, estado, fotografías),
• dirección postal,
• fecha y hora del envío,
• dirección IP abreviada para protección anti-spam.

El formulario se procesa a través de una instancia auto-alojada de la plataforma de automatización de flujos de trabajo n8n (software de código abierto). Dicha instancia se ejecuta en servidores bajo nuestro control exclusivo; no se produce ninguna transmisión del contenido del formulario a terceros, con la sola excepción de los destinatarios indicados en el apartado 5 (sistemas CRM), a los que el contenido se reenvía para su posterior tramitación.

Base jurídica:

• art. 6.1.b RGPD, en la medida en que su solicitud se dirija a la celebración o preparación de un contrato;
• art. 6.1.f RGPD en los demás casos (interés legítimo en una atención eficiente de consultas generales).

Plazo de conservación: Conservaremos su solicitud durante el tiempo necesario para su tramitación y mientras subsista un interés legítimo en su conservación (en particular, para la posible reanudación de la relación comercial, dada la naturaleza plurianual de los ciclos de venta en el sector del mecanizado CNC). Si la solicitud da lugar a una relación comercial, se aplicarán los plazos legales de conservación mercantiles y fiscales (con carácter general, 6 años en España conforme al art. 30 del Código de Comercio; 4 años conforme al art. 66 LGT). Realizamos revisiones periódicas y suprimimos las solicitudes en las que no se haya producido comunicación ni indicio razonable de relación comercial durante un periodo prolongado. Puede solicitar en cualquier momento la supresión o limitación del tratamiento conforme al apartado 14.

4.2 Correo electrónico, teléfono y WhatsApp

Si nos contacta por correo electrónico, teléfono o WhatsApp, trataremos los datos transmitidos (en particular, nombre, número de teléfono, dirección de correo electrónico y contenido de la comunicación) con la única finalidad de gestionar su solicitud.

En caso de contacto a través de WhatsApp, sus datos son tratados por Meta Platforms Ireland Limited, Merrion Road, Dublín 4, Irlanda, así como por Meta Platforms, Inc. (EE. UU.) conforme a su política de privacidad. No tenemos influencia sobre dicho tratamiento; el uso de WhatsApp es siempre por iniciativa propia del usuario. Para una comunicación más respetuosa con la privacidad, recomendamos el correo electrónico o el teléfono.

Base jurídica: art. 6.1.b RGPD en correspondencia contractual; en los demás casos, art. 6.1.f RGPD (interés legítimo en una comunicación eficiente con interesados y socios comerciales).

5. Tratamiento posterior en sistemas CRM y de productividad

Las solicitudes y los contactos comerciales se gestionan internamente en los siguientes sistemas:

5.1 Google Workspace

Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda (encargado de tratamiento; contrato de encargo del art. 28 RGPD suscrito). Se utiliza para correo electrónico (Gmail), calendario y almacenamiento de documentos (Drive). La transmisión de datos a Google LLC (EE. UU.) se realiza sobre la base del EU-U.S. Data Privacy Framework y, adicionalmente, las Cláusulas Contractuales Tipo de la UE.

5.2 Pipedrive

Pipedrive OÜ, Mustamäe tee 3a, 10615 Tallin, Estonia (encargado de tratamiento; contrato de encargo del art. 28 RGPD suscrito). Pipedrive es una plataforma CRM utilizada para la gestión estructurada de contactos comerciales, solicitudes y operaciones en curso. El tratamiento se realiza con carácter principal dentro de la UE; en ciertos supuestos Pipedrive puede recurrir a subencargados en terceros países, en cuyo caso se apoya en las Cláusulas Contractuales Tipo.

5.3 Airtable

Formagrid, Inc. (que opera bajo el nombre comercial Airtable), 799 Market Street, San Francisco, CA 94103, EE. UU. (encargado de tratamiento; contrato de encargo del art. 28 RGPD suscrito). Airtable está certificada conforme al EU-U.S. Data Privacy Framework; adicionalmente resultan aplicables las Cláusulas Contractuales Tipo. Se utiliza para la organización y seguimiento estructurado de información sobre máquinas y clientes.

Base jurídica para el tratamiento en los anteriores sistemas: art. 6.1.b RGPD (preparación / ejecución de contrato) y art. 6.1.f RGPD (interés legítimo en una gestión eficiente y trazable de la comunicación comercial).

6. Cookies y gestión del consentimiento

6.1 Concepto

Las cookies son pequeños archivos de texto que el navegador almacena en su dispositivo. Algunas son técnicamente necesarias para el funcionamiento del Sitio Web; otras sirven a fines de confort, análisis o marketing y se instalan únicamente con su consentimiento.

6.2 Klaro Consent Manager (técnicamente necesario)

Para la obtención, gestión y documentación de su consentimiento conforme al art. 22.2 LSSI-CE y a los arts. 6 y 7 RGPD, utilizamos el gestor de consentimiento de código abierto Klaro (desarrollado originalmente por KIProtect GmbH, Berlín). Klaro se sirve directamente desde nuestra propia infraestructura a través de Cloudflare Pages; no se produce ninguna transmisión a KIProtect ni a otros terceros.

Klaro almacena una cookie de primera parte técnicamente necesaria denominada klaro-consent, con una vigencia de 180 días, en la que se registra su decisión de consentimiento.

Base jurídica: art. 22.2 LSSI-CE (almacenamiento estrictamente necesario para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario — en este caso, la gestión del consentimiento), en relación con el art. 6.1.c RGPD (cumplimiento de la obligación legal de documentar el consentimiento, art. 7.1 RGPD).

Puede revocar o modificar su consentimiento en cualquier momento a través del enlace "Configuración de cookies" en el pie de página.

7. Analítica web: Google Tag Manager y Google Analytics 4

7.1 Google Tag Manager (con consentimiento)

Utilizamos Google Tag Manager (ID de contenedor GTM-5XMCC447), un servicio de Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda (para usuarios de la UE) o de Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, EE. UU.

El Tag Manager solo se carga tras su consentimiento activo a través del banner Klaro. Hasta ese momento no se produce ninguna transmisión a Google. El propio Tag Manager no instala cookies ni recopila datos personales adicionales; únicamente sirve para la entrega técnica de las etiquetas de analítica que configuramos.

7.2 Consent Mode v2 (Default Denied)

Implementamos el Google Consent Mode v2 en modo "Default Denied". Hasta que usted otorgue su consentimiento, comunicamos a Google la denegación de todas las finalidades de almacenamiento analíticas y publicitarias (analytics_storage = denied, ad_storage = denied, ad_user_data = denied, ad_personalization = denied). Solo tras el consentimiento la señal pasa a granted.

7.3 Google Analytics 4

Con su consentimiento, se activa Google Analytics 4 (Google Ireland Limited / Google LLC) para la evaluación estadística del uso del Sitio Web. GA4 instala, entre otras, las siguientes cookies:

• _ga (vigencia: 2 años),
• _ga_<container> (vigencia: 2 años),
• _gid (vigencia: 24 horas),
• _gat (vigencia: 1 minuto).

La dirección IP se recibe en un centro de datos dentro de la UE, se utiliza exclusivamente para inferir el país / región y se abrevia antes de cualquier tratamiento posterior. No se conserva la dirección IP completa. El plazo máximo de conservación de los datos de evento en nuestra propiedad GA4 está configurado en 14 meses. No se vinculan los datos con cuentas de Google; las Google Signals están desactivadas.

Base jurídica: art. 6.1.a RGPD y art. 22.2 LSSI-CE (consentimiento).
Transferencia internacional: EU-U.S. Data Privacy Framework (Google LLC certificada) y, adicionalmente, Cláusulas Contractuales Tipo.
Contrato de encargo: suscrito conforme al art. 28 RGPD con Google.
Revocación: en cualquier momento mediante el botón "Configuración de cookies" en el pie de página. La licitud del tratamiento realizado hasta la revocación no se verá afectada.

8. Contenidos de terceros integrados (Two-Click)

Los contenidos externos se cargan únicamente tras su interacción / consentimiento expreso (solución "Two-Click" / consent-gated). Antes del clic correspondiente no se establece ninguna conexión con los siguientes proveedores.

8.1 Google Calendar (reserva de citas)

Si concierta una cita a través de la interfaz de reserva embebida de Google Calendar, Google Ireland Limited / Google LLC tratará sus datos (en particular, dirección de correo electrónico, nombre, fecha y hora seleccionadas y, en su caso, mensaje). Base jurídica: art. 6.1.b RGPD (medidas precontractuales). Transferencia internacional: DPF + CCT.

8.2 Vídeos de YouTube

Los vídeos integrados se cargan a través de YouTube (Google Ireland Limited / Google LLC) solo tras hacer clic en el marcador de posición. Al cargarse, YouTube recibe su dirección IP y puede instalar cookies. Base jurídica: art. 6.1.a RGPD y art. 22.2 LSSI-CE (consentimiento mediante clic). Transferencia internacional: DPF + CCT.

8.3 Google Maps

Los contenidos cartográficos se cargan a través de Google Maps (Google Ireland Limited / Google LLC) solo tras hacer clic en el marcador de posición del mapa. Al cargarse, Google recibe su dirección IP y otros datos del navegador. Base jurídica: art. 6.1.a RGPD y art. 22.2 LSSI-CE. Transferencia internacional: DPF + CCT.

9. Fuentes tipográficas (alojadas localmente)

Utilizamos fuentes web para garantizar una representación uniforme del Sitio Web. Dichas fuentes se ofrecen exclusivamente desde nuestros propios servidores / desde el origen Cloudflare Pages. No se establece conexión con servidores de Google ni con otros CDN externos de fuentes; en particular, no se transmiten datos a Google Fonts (fonts.googleapis.com / fonts.gstatic.com).

10. Newsletter

10.1 Suscripción mediante doble confirmación (Double Opt-In)

Si se suscribe en nuestro Sitio Web a nuestro newsletter, trataremos su dirección de correo electrónico y los datos adicionales facilitados voluntariamente (p. ej., nombre, empresa) para el envío del newsletter. La suscripción se realiza mediante el procedimiento de doble confirmación (Double Opt-In): tras introducir su correo electrónico, le enviaremos un mensaje de confirmación con un enlace de activación. Solo tras la confirmación se incluirá su dirección en la lista de distribución.

Registramos la fecha y hora de la suscripción, la fecha y hora de la confirmación y la dirección IP utilizada en el momento de la suscripción, a efectos de prueba del consentimiento conforme al art. 7.1 RGPD.

10.2 Proveedor de envío Brevo

El envío del newsletter se realiza a través de Brevo (Sendinblue SAS), 106 Boulevard Haussmann, 75008 París, Francia. Brevo trata los datos exclusivamente dentro de la UE. Con Brevo hemos suscrito un contrato de encargo conforme al art. 28 RGPD. Brevo recopila, en el marco del envío, datos estadísticos (p. ej., tasas de apertura y de clic) con fines de medición del éxito y análisis de entregabilidad.

10.3 Baja

Podrá darse de baja del newsletter en cualquier momento mediante el enlace de baja incluido en cada mensaje o mediante una comunicación informal dirigida a [email protected]. Con la baja, su dirección de correo y datos asociados se eliminarán sin dilación de la lista de distribución; por motivos de acreditación podremos mantener los datos de consentimiento y baja en una lista de bloqueo (Robinson list).

Base jurídica: art. 6.1.a RGPD en relación con el art. 21 de la LSSI-CE (consentimiento previo expreso para comunicaciones comerciales por vía electrónica). El tratamiento de los datos de prueba del consentimiento se basa, adicionalmente, en el art. 6.1.c RGPD en relación con el art. 7.1 RGPD.

11. Candidaturas (procesos de selección)

Si nos remite una candidatura a un puesto de trabajo (vacante o candidatura espontánea), por favor envíela por correo electrónico a [email protected]. Trataremos los datos personales contenidos (en particular, currículum, titulaciones, carta de presentación, datos de contacto) exclusivamente para la tramitación del proceso de selección.

Base jurídica: art. 6.1.b RGPD (medidas precontractuales), en su caso art. 6.1.a RGPD para datos voluntarios adicionales, y la normativa laboral aplicable.

Plazo de conservación: En caso de no ser seleccionado, sus datos se conservarán durante un máximo de un año desde la finalización del proceso, con la finalidad de poder atender eventuales reclamaciones y conforme a la jurisprudencia consolidada (cfr. STS de 10 de febrero de 2009 y siguientes; Guía de la AEPD sobre tratamiento de datos en procesos de selección). Una conservación más prolongada (p. ej., para la inclusión en una bolsa de candidaturas) solo se realizará con su consentimiento expreso, o, en caso de contratación, en el marco de la relación laboral.

12. Carácter de la información facilitada / consecuencias de no facilitarla

La facilitación de sus datos personales no es legalmente ni contractualmente obligatoria. Usted no tiene obligación de facilitarnos datos. No obstante, la no facilitación de los datos necesarios para responder a su solicitud o para la ejecución de un contrato podrá impedirnos atender su petición o celebrar un contrato.

13. Destinatarios y encargados de tratamiento

Destinatario	Sede	Finalidad	Base jurídica	Transferencia internacional / garantías
Cloudflare, Inc.	EE. UU.	Alojamiento, CDN, protección frente a DDoS	art. 6.1.f	DPF + CCT + Encargo de tratamiento
n8n auto-alojado	UE (infraestructura propia)	Procesamiento del formulario de contacto	art. 6.1.b / f	— (autogestión)
Google Ireland Ltd. / Google LLC	Irlanda / EE. UU.	Google Workspace (Gmail, Drive, Calendar), Tag Manager, Analytics 4, Google Calendar, YouTube, Google Maps	art. 6.1.a / b / f	DPF + CCT + Encargo de tratamiento
Pipedrive OÜ	Estonia (UE)	CRM	art. 6.1.b / f	UE; en su caso CCT para subencargados + Encargo de tratamiento
Formagrid, Inc. (Airtable)	EE. UU.	Almacenamiento estructurado (complemento al CRM)	art. 6.1.b / f	DPF + CCT + Encargo de tratamiento
Sendinblue SAS (Brevo)	Francia (UE)	Envío del newsletter	art. 6.1.a	UE + Encargo de tratamiento
Klaro (auto-alojado, código abierto)	UE (infraestructura propia)	Gestión del consentimiento	art. 22.2 LSSI-CE + art. 6.1.c RGPD	— (autogestión)
Meta Platforms Ireland Ltd. / Inc.	Irlanda / EE. UU.	WhatsApp — exclusivamente por iniciativa del usuario	art. 6.1.b / f	DPF + CCT (responsabilidad propia de Meta)

14. Derechos del interesado

Le asisten en todo momento, respecto a sus datos personales, los siguientes derechos:

• Acceso (art. 15 RGPD)
• Rectificación (art. 16 RGPD)
• Supresión (art. 17 RGPD)
• Limitación del tratamiento (art. 18 RGPD)
• Portabilidad de los datos (art. 20 RGPD)
• Oposición al tratamiento (art. 21 RGPD), en particular respecto a los tratamientos basados en el art. 6.1.f RGPD
• Revocación del consentimiento (art. 7.3 RGPD), con efectos para el futuro

Para ejercer estos derechos basta con una comunicación informal a [email protected] o por correo postal a la dirección indicada en el apartado 1.

Derecho de oposición (art. 21 RGPD)

Usted tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento de sus datos personales basado en el art. 6.1.f RGPD. En tal caso, dejaremos de tratar sus datos, salvo que podamos acreditar motivos legítimos imperiosos para el tratamiento que prevalezcan sobre sus intereses, derechos y libertades, o el tratamiento sea necesario para la formulación, ejercicio o defensa de reclamaciones.

15. Derecho a presentar una reclamación ante una autoridad de control

Sin perjuicio de otros recursos, conforme al art. 77 RGPD usted tiene derecho a presentar una reclamación ante la autoridad de control competente. En España, la autoridad competente es:

Agencia Española de Protección de Datos (AEPD)
C/ Jorge Juan, 6
28001 Madrid
Teléfono: +34 901 100 099 / +34 912 663 517
Web: www.aepd.es

16. Ausencia de decisiones automatizadas

No se adoptan decisiones basadas únicamente en el tratamiento automatizado — incluida la elaboración de perfiles — que produzcan efectos jurídicos respecto del interesado o le afecten significativamente de modo similar (art. 22 RGPD).

17. Seguridad de los datos

Aplicamos medidas técnicas y organizativas adecuadas para proteger sus datos frente a manipulaciones accidentales o intencionadas, pérdidas, destrucción o acceso no autorizado. En particular, toda transmisión de datos entre su navegador y nuestro Sitio Web está cifrada mediante TLS 1.2/1.3 (HTTPS); reconocerá la conexión segura por el símbolo del candado en la barra de direcciones del navegador. Nuestras medidas de seguridad se revisan y adaptan continuamente conforme a la evolución tecnológica.

18. Vigencia y modificación de la presente Política

La presente Política de Privacidad tiene fecha de última actualización de 24 de mayo de 2026. Como consecuencia del desarrollo de nuestro Sitio Web o de cambios legales o regulatorios, podrá ser necesario adaptar esta Política. La versión vigente en cada momento está disponible en /politica-privacidad/.

Responsable del tratamiento: MBR CNC Iberica SL, Barcelona, España.
MBR Vertriebs- & Verwertungs UG (Eschborn, Alemania) actúa como encargada o subencargada de tratamiento, en el sentido del art. 28 RGPD, para los servicios técnicos compartidos del grupo.