Este contrato regula el tratamiento de datos personales que DeCAred realiza por cuenta de sus clientes. Forma parte de las condiciones de contratación y se acepta al contratar. En él, la empresa cliente es la responsable del tratamiento y el titular de DeCAred, identificado en el aviso legal, es el encargado del tratamiento, conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD).
1. Objeto, naturaleza y finalidad
El encargado trata los datos solo para prestar el servicio contratado: gestionar usuarios y permisos, preparar, emitir, entregar, corregir y conservar los documentos de transporte, registrar los eventos de la mercancía, gestionar firmas electrónicas cuando se usen, llevar el registro de auditoría, hacer copias de seguridad y prestar soporte.
2. Duración
Mientras esté vigente el contrato de servicio y, después, el tiempo necesario para devolver o suprimir los datos conforme al apartado 9.
3. Datos y personas afectadas
No se tratan categorías especiales de datos. El cliente se compromete a no introducirlas.
4. Obligaciones del encargado
- Tratar los datos solo siguiendo las instrucciones documentadas del cliente, que son las que resultan de este contrato y del uso de la plataforma.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
- Aplicar las medidas de seguridad del apartado 5.
- No recurrir a otros encargados sin cumplir el apartado 6.
- Ayudar al cliente a atender las solicitudes de ejercicio de derechos de los interesados. La plataforma permite consultar, corregir mediante versiones y exportar los datos.
- Ayudar al cliente a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto, teniendo en cuenta la información disponible.
- Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso y sin comprometer la seguridad de otros clientes.
- Informar al cliente si considera que una instrucción infringe la normativa de protección de datos.
5. Medidas de seguridad
- Conexiones cifradas mediante HTTPS.
- Contraseñas cifradas y segundo factor de autenticación opcional.
- Acceso por roles y por empresa; cada cliente solo ve sus datos.
- Documentos emitidos protegidos frente a modificaciones, con huella SHA-256 por versión.
- Registro de auditoría de las operaciones relevantes.
- Almacenamiento de documentos en Cloudflare R2 con jurisdicción UE y sin acceso público.
- Copias de seguridad diarias cifradas y supervisión automática de su realización.
- URL de descarga pública con identificador aleatorio de 256 bits y caducidad tras el cierre del porte.
6. Subencargados
El cliente autoriza de forma general la intervención de los proveedores de la lista de subencargados. El encargado impone a cada uno obligaciones de protección de datos equivalentes a las de este contrato. Antes de incorporar o sustituir un subencargado, se avisará al cliente, que podrá oponerse por motivos justificados. El aviso se enviará con al menos 48 horas de antelación.
7. Transferencias internacionales
Los datos se alojan en la Unión Europea siempre que el proveedor lo permite. Cuando algún subencargado pueda acceder a ellos desde fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU., o en cláusulas contractuales tipo.
8. Brechas de seguridad
Si el encargado detecta una violación de la seguridad que afecte a datos del cliente, se lo notificará sin dilación indebida, con la información disponible para que el cliente pueda valorar si debe comunicarla a la autoridad de control y a los afectados. La notificación se hará como máximo en las 24 horas siguientes a tener conocimiento de ella.
9. Fin del encargo
Al terminar el servicio, el cliente podrá descargar sus documentos en un expediente ZIP. Después, el encargado suprimirá los datos, salvo los que deba conservar por obligación legal, que quedarán bloqueados. La supresión se realiza al terminar el año de custodia de los últimos documentos emitidos.
10. Obligaciones del cliente
El cliente, como responsable, debe tener una base legal para los datos que introduce, informar a los interesados (por ejemplo, a sus conductores), no introducir datos innecesarios y dar instrucciones conformes con la normativa.