Contrato de encargo del tratamiento (España)

1. Objeto, duración, naturaleza y finalidad

• Objeto: el tratamiento de los datos personales que el Responsable introduce en Flota Inteligente, o que se generan al usarla, para prestarle el Servicio descrito en los Términos.
• Duración: la del contrato del Servicio, más el plazo de devolución y supresión de la cláusula 9.
• Naturaleza: recogida, registro, organización, almacenamiento, consulta, modificación, comunicación a los usuarios que el Responsable autorice, y supresión, por medios automatizados en la nube.
• Finalidad: la gestión de la flota del Responsable — documentación y mantenimiento de vehículos, gestión de conductores, inspecciones previas, programación y seguimiento de servicios, avisos de caducidad y, si el Responsable los activa, el agente de IA por WhatsApp, el asistente de IA del panel y el seguimiento GPS.

2. Tipos de datos y categorías de interesados

• Conductores y miembros del equipo del Responsable: nombre, correo electrónico, teléfono, número de documento (DNI/NIE), número y caducidad del permiso de conducir, foto, archivos de su documentación, actividad en la plataforma y, mientras tienen un servicio en curso, la ubicación de su móvil.
• Clientes del Responsable: nombre, teléfono, correo electrónico, direcciones de recogida y destino, y los mensajes de WhatsApp que envían para pedir un servicio.
• Titulares o afiliados de vehículos: nombre y datos de contacto, cuando el Responsable los registra.
• Ubicación del vehículo con un dispositivo GPS instalado, que puede revelar la de quien lo conduce.

El Servicio no está pensado para categorías especiales de datos (art. 9 RGPD). El Responsable se compromete a no introducirlas salvo que una norma lo exija y haya valorado esa necesidad.

3. Obligaciones del Responsable

• Disponer de una base jurídica para el tratamiento y haber informado a los interesados (arts. 6, 13 y 14 RGPD), incluido el uso del GPS y de la ubicación durante los servicios.
• Introducir solo los datos necesarios y velar por su exactitud.
• Dar sus instrucciones a través de la configuración del Servicio o por escrito a contacto@flotainteligente.com.

4. Obligaciones del Encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable — estas Condiciones y el uso que haga del Servicio —, incluidas las transferencias internacionales, salvo que lo exija una norma, en cuyo caso se lo comunicará antes, si la ley lo permite. Si considera que una instrucción infringe la normativa, se lo dirá de inmediato.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados de la cláusula 6.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
• Aplicar las medidas de seguridad de la cláusula 5 (art. 32 RGPD).
• Ayudar al Responsable, teniendo en cuenta la naturaleza del tratamiento, a responder las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad): si un interesado se dirige al Encargado, este trasladará la solicitud al Responsable sin dilación indebida y no la atenderá por su cuenta.
• Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas (arts. 32 a 36 RGPD), con la información de que disponga.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías, incluidas inspecciones, realizadas por el Responsable o por un auditor autorizado por él, con un preaviso razonable, en horario laborable y sin acceso a datos de otros clientes. El Encargado podrá atenderlas en primer lugar con documentación y certificaciones de sus proveedores.

5. Medidas de seguridad

• Cifrado de las comunicaciones en tránsito (TLS) y de los datos en reposo en la infraestructura de los proveedores.
• Contraseñas guardadas solo como hash bcrypt; secretos e integraciones de terceros cifrados en la base de datos.
• Control de acceso por roles dentro de cada empresa y aislamiento de los datos entre clientes en la capa de aplicación.
• Acceso restringido a la base de datos y al almacenamiento de archivos, solo desde el servidor de la aplicación.
• Limitación de peticiones frente a abusos, monitorización de errores con los datos enmascarados y registros técnicos con conservación limitada.
• Copias de seguridad gestionadas por el proveedor de la base de datos.

6. Subencargados

El Responsable da una autorización general para que el Encargado recurra a los siguientes subencargados, a los que impone por contrato obligaciones de protección de datos equivalentes a las de este contrato:

También el proveedor de los dispositivos GPS, si el Responsable los instala. El Encargado informará al Responsable por correo electrónico de cualquier incorporación o sustitución de subencargados con al menos 30 días de antelación; el Responsable podrá oponerse de forma motivada en ese plazo y, si no se llega a una solución, cancelar el Servicio sin penalización. El Encargado sigue siendo responsable frente al Responsable del cumplimiento de sus subencargados.

7. Transferencias internacionales

El Encargado tiene su sede en Colombia y la mayoría de sus subencargados tratan los datos en Estados Unidos. Las transferencias fuera del Espacio Económico Europeo se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914) incorporadas en los acuerdos de tratamiento de datos de cada subencargado y, cuando el subencargado está adherido, en el Marco de Privacidad de Datos UE-EE. UU. El Encargado facilitará al Responsable una copia de estas garantías si la solicita.

8. Violaciones de la seguridad de los datos

El Encargado notificará al Responsable, sin dilación indebida y en cualquier caso en un máximo de 48 horas desde que tenga conocimiento, las violaciones de la seguridad de los datos personales que afecten a sus datos, por correo electrónico a la dirección de notificaciones de su cuenta, con la información disponible: naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, posibles consecuencias y medidas adoptadas o propuestas. Corresponde al Responsable notificar a la Agencia Española de Protección de Datos y, en su caso, a los interesados.

9. Fin del contrato: devolución y supresión

Al terminar el Servicio, el Responsable puede exportar sus datos durante los 30 días siguientes. Pasado ese plazo, o antes si el Responsable lo pide por escrito a contacto@flotainteligente.com, el Encargado suprimirá los datos personales y sus copias, salvo que una norma de la Unión o de un Estado miembro obligue a conservarlos; en ese caso los conservará bloqueados solo durante el plazo legal. Las copias de seguridad se eliminan conforme a su ciclo de rotación.

10. Contacto

Para cualquier cuestión sobre este contrato o el tratamiento de los datos: contacto@flotainteligente.com.