Contrato de encargo de tratamiento (DPA)

Partes

Responsable: la empresa cliente que usa DeCaRutas. Encargado: [[RAZON_SOCIAL]] (NIF/CIF [[CIF]]), domicilio [[DOMICILIO]]. Este contrato regula el tratamiento de datos por cuenta del responsable conforme al art. 28 del RGPD.

Objeto

El encargado trata datos personales por cuenta del responsable solo para prestar el servicio DeCaRutas: preparar, emitir, conservar y servir los DeCAs, y enviar los avisos asociados.

El encargado trata los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas las de este contrato, salvo que la ley le obligue a otra cosa.

Duración

Mientras el responsable use el servicio y, después, durante el plazo mínimo de conservación de los DeCAs emitidos (1 año legal, 2 años por defecto), hasta que el responsable pida su devolución o supresión.

Tipo de datos y de interesados

Interesados: conductores, transportistas autónomos, personas de contacto de cargadores y contrapartes, y usuarios de la empresa.

Datos: del conductor, nombre completo, documento de identidad, teléfono y email; de las contrapartes, su email de contacto; de los usuarios de la empresa, email y rol; matrículas de vehículos; datos del transporte (origen, destino, mercancía).

Registros técnicos: guardamos la dirección IP y el navegador (user-agent) solo en las descargas públicas y de archivo del DeCA, en la apertura y finalización del servicio por el conductor y en los envíos del cargador. Las acciones de los usuarios con cuenta se registran con su fecha y su autor, sin dirección IP. Las direcciones IP de inicio de sesión las guarda el proveedor de autenticación (Supabase Auth) en sus propios registros.

No se tratan categorías especiales de datos.

Obligaciones del encargado

Garantizar que las personas autorizadas están sujetas a confidencialidad.

Ayudar al responsable a atender los derechos de los interesados (arts. 15 a 22 RGPD) y, en su caso, las evaluaciones de impacto.

Avisar al responsable sin dilación indebida de cualquier violación de seguridad de los datos que conozca.

Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

Asistir al responsable en el cumplimiento de los arts. 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa a la autoridad de control), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga (art. 28.3.f RGPD).

Informar inmediatamente al responsable si considera que una instrucción suya infringe la normativa de protección de datos.

Medidas de seguridad

Cifrado en tránsito (TLS) y copias de seguridad cifradas. [[VERIFICAR_COPIAS_CIFRADAS]]

Aislamiento de los datos de cada empresa a nivel de base de datos.

Control de acceso por rol y registro de auditoría que no se puede modificar.

Enlaces con códigos aleatorios no relacionados con el número del DeCA, y límite de peticiones en el enlace público. [[VERIFICAR_LIMITE_PETICIONES]]

Direcciones IP visibles solo para administradores de la empresa.

Subencargados

El responsable autoriza con carácter general a estos subencargados: Supabase (base de datos, autenticación y almacenamiento; región eu-central-1), Vercel (alojamiento; región fra1 y red global de distribución), [[PROVEEDOR_EMAIL]] (envío de emails) y, si se activa, Sentry (monitorización de errores, región de la Unión Europea, sin datos personales [[VERIFICAR_SENTRY]]).

El encargado informará de cualquier cambio de subencargados con antelación razonable para que el responsable pueda oponerse. Impondrá a cada subencargado obligaciones equivalentes a las de este contrato.

Transferencias internacionales

Los datos se alojan en las regiones indicadas arriba. Transferencias internacionales y garantías aplicables: [[TRANSFERENCIAS]]

Devolución y supresión

Al terminar la relación, y una vez cumplido el plazo legal de conservación de los DeCAs emitidos, el encargado devolverá al responsable los datos que este pida y suprimirá o anonimizará el resto cuando el responsable se lo pida, salvo que la ley exija conservarlos. No existe un borrado automático.

Mientras dure el plazo mínimo de conservación (1 año legal, 2 años por defecto, ampliable a petición del responsable), los DeCAs emitidos no se pueden borrar.

Contacto y vigencia

Para ejercer derechos o notificar incidentes: [[EMAIL_PRIVACIDAD]]. Vigencia desde [[FECHA_VIGENCIA]]. Registro: [[REGISTRO_MERCANTIL]].