Acuerdo de Encargo de Tratamiento

1. Partes y posición jurídica

De una parte, el Cliente titular de la cuenta de Plataforma DeCA, cuyos datos constan en la cuenta y en la contratación, actuando como «Responsable del tratamiento».

De otra, PRETIUM SOLUCIONES DIGITALES, S.L., NIF B93962892, con domicilio en C/ Almirante Cadarso, n.º 14, puerta 12, 46005 Valencia, España, actuando como «Encargado del tratamiento» o «Pretium».

Ambas partes acuerdan regular mediante este documento el tratamiento de datos personales realizado por Pretium por cuenta del Responsable conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

2. Objeto

El objeto del encargo es permitir que Pretium trate los datos personales que el Responsable y sus usuarios autorizados introduzcan en Plataforma DeCA para prestar las funcionalidades contratadas, incluidas la creación, emisión, modificación, anulación, almacenamiento, consulta, descarga, envío y gestión de DeCA, Maestros, plantillas y demás funciones asociadas.

3. Duración

El encargo permanecerá vigente mientras Pretium trate datos personales por cuenta del Responsable en el marco de la cuenta de Plataforma DeCA. Comprenderá la vigencia de la suscripción y el tiempo posterior en que el Responsable conserve su cuenta y sus documentos accesibles, que no está limitado a un plazo fijo.

La conservación específica de los DeCA se realizará durante al menos un año desde la fecha de realización del servicio indicada en el documento. Finalizados los plazos aplicables, Pretium suprimirá o anonimizará los datos que ya no deban conservarse, sin perjuicio del bloqueo exigible por obligaciones legales o reclamaciones.

4. Naturaleza, finalidad y operaciones de tratamiento

La naturaleza del tratamiento es automatizada y digital. Las operaciones podrán comprender: recogida desde los formularios del Responsable, registro, estructuración, organización, conservación, consulta, visualización, modificación, generación de PDF, creación de QR y URL única, comunicación o puesta a disposición mediante los mecanismos funcionales solicitados, envío por correo, copia de seguridad, recuperación, soporte, limitación y supresión.

La finalidad exclusiva es prestar Plataforma DeCA conforme a las instrucciones del Responsable, asegurar su funcionamiento, continuidad, soporte y seguridad y cumplir las obligaciones legales aplicables al Encargado.

5. Categorías de interesados

• conductores y personal de las empresas de transporte;
• autónomos y empresarios individuales;
• representantes, contactos y personal de cargadores, transportistas, remitentes, destinatarios, contratistas y otras empresas vinculadas a las operaciones documentadas;
• usuarios autorizados del Responsable, cuando sus datos formen parte de la trazabilidad documental;
• otras personas físicas cuyos datos el Responsable incorpore lícitamente a un documento o Maestro dentro de la finalidad del servicio.

6. Tipos de datos personales

• nombre y apellidos;
• NIF, DNI u otros identificadores, cuando proceda;
• datos profesionales y de relación con una empresa;
• correo electrónico y teléfono cuando el Responsable decida incorporarlos;
• direcciones y datos vinculados a lugares de origen o destino cuando identifiquen a una persona física;
• matrículas y otros datos operativos que puedan relacionarse indirectamente con una persona;
• datos de usuario, rol y trazabilidad de modificaciones;
• observaciones o información documental introducida por el Responsable.

Plataforma DeCA no está diseñada para tratar categorías especiales de datos del artículo 9 RGPD ni datos relativos a condenas e infracciones penales. El Responsable se obliga a no introducirlos salvo que una funcionalidad futura lo contemple expresamente y exista una base jurídica suficiente.

7. Instrucciones documentadas

Pretium tratará los datos únicamente conforme a las instrucciones documentadas del Responsable. Se consideran instrucciones documentadas:

• estas cláusulas y los Términos y Condiciones;
• las acciones ejecutadas por el Responsable y sus usuarios mediante las funcionalidades de la Plataforma;
• las solicitudes de soporte o administración legítimamente realizadas por el Responsable;
• las instrucciones adicionales acordadas por escrito entre las partes.

Si Pretium considera que una instrucción infringe el RGPD u otra normativa aplicable, informará al Responsable y podrá suspender su ejecución hasta que se aclare o modifique, salvo que una norma prohíba comunicarlo.

8. Obligaciones de Pretium como Encargado

Pretium se obliga a:

• tratar los datos únicamente para la prestación del servicio y siguiendo instrucciones documentadas;
• garantizar que las personas autorizadas para tratar datos estén sujetas a deber de confidencialidad;
• aplicar medidas técnicas y organizativas adecuadas al riesgo;
• respetar las condiciones previstas para recurrir a subencargados;
• asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, para responder a solicitudes de ejercicio de derechos;
• ayudar al Responsable en el cumplimiento de sus obligaciones relativas a seguridad, notificación de brechas, evaluaciones de impacto y consultas previas, en la medida en que corresponda y teniendo en cuenta la información disponible;
• suprimir, anonimizar o devolver los datos al finalizar el encargo conforme a la cláusula 15;
• poner a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de este acuerdo y permitir las verificaciones previstas en la cláusula 14;
• mantener la trazabilidad y controles de acceso que resulten apropiados para la Plataforma.

9. Obligaciones del Responsable

El Responsable declara y se obliga a:

• tratar e introducir datos en Plataforma DeCA sobre una base jurídica válida;
• cumplir el deber de información frente a conductores y demás interesados cuando le corresponda;
• aplicar el principio de minimización y no introducir información personal innecesaria;
• mantener los datos exactos y actualizados;
• no introducir categorías especiales o datos penales fuera de los supuestos permitidos;
• gestionar adecuadamente los usuarios autorizados y revocar accesos cuando dejen de ser necesarios;
• utilizar y compartir las URL y códigos QR de forma diligente;
• comunicar a Pretium las instrucciones y circunstancias necesarias para que el tratamiento sea conforme a derecho;
• atender las obligaciones legales propias derivadas de la actividad de transporte y de la conservación documental.

10. URL pública, QR y puesta a disposición de DeCA

El Responsable instruye a Pretium para que los DeCA emitidos puedan quedar disponibles mediante una URL única y específica incorporada al código QR, con descarga directa del PDF sin autenticación durante el periodo de disponibilidad del documento.

El Responsable reconoce que cualquier persona que disponga de la URL o del QR podrá descargar el documento mientras el enlace permanezca activo. Los tokens se generan de forma larga y no predecible y se aplican medidas para evitar la indexación ordinaria por motores de búsqueda, pero el enlace no constituye autenticación nominativa.

Esta puesta a disposición responde a la funcionalidad propia del DeCA y a las instrucciones del Responsable al emitir el documento. El Responsable deberá evitar incluir datos personales innecesarios y limitar la difusión del enlace a los participantes, conductores, autoridades y demás personas que deban acceder al documento.

11. Subencargados

El Responsable concede a Pretium una autorización general para recurrir a subencargados tecnológicos necesarios para prestar la Plataforma, incluidos servicios de desarrollo, mantenimiento, soporte, administración, alojamiento, copias de seguridad e infraestructura cloud.

Los subencargados autorizados en la fecha de esta versión son:

Pretium impondrá al subencargado obligaciones de protección de datos sustancialmente equivalentes a las previstas en este acuerdo para las operaciones que realice. Pretium seguirá siendo responsable frente al Responsable del cumplimiento de las obligaciones del subencargado en los términos del artículo 28 RGPD.

Cuando se prevea incorporar o sustituir un subencargado que trate datos personales del Responsable, Pretium informará mediante la Plataforma, correo electrónico u otro medio duradero con una antelación razonable. El Responsable podrá formular una objeción motivada por razones de protección de datos dentro de los 15 días siguientes. Las partes intentarán encontrar una solución razonable. Si no fuese posible y el subencargado resultase necesario para el servicio, el Responsable podrá finalizar la contratación de la parte afectada antes de la entrada en vigor del cambio.

12. Transferencias internacionales

Pretium no realizará transferencias internacionales de los datos tratados por cuenta del Responsable fuera del Espacio Económico Europeo salvo instrucción documentada o necesidad para prestar el servicio mediante un proveedor autorizado y aplicando las garantías exigidas por el RGPD.

En la arquitectura descrita en esta versión, el proveedor técnico está establecido en España y la infraestructura utilizada se aloja en Francia.

13. Seguridad y violaciones de datos

Pretium aplicará medidas técnicas y organizativas apropiadas al riesgo. Las medidas vigentes se describen en el Anexo I y podrán evolucionar para mantener un nivel de seguridad adecuado.

Cuando Pretium tenga conocimiento de una violación de seguridad de los datos personales tratados por cuenta del Responsable, la notificará al Responsable sin dilación indebida y facilitará la información disponible necesaria para que este valore sus obligaciones de notificación o comunicación. La información podrá completarse por fases cuando no sea posible facilitarla simultáneamente.

Pretium colaborará en la investigación, contención, mitigación y documentación de la incidencia en la medida que corresponda al servicio prestado.

14. Información, verificaciones y auditorías

Pretium pondrá a disposición del Responsable información razonablemente necesaria para acreditar el cumplimiento de este acuerdo. El Responsable podrá solicitar verificaciones documentales y, cuando exista una causa objetiva y no resulte suficiente la información disponible, una auditoría proporcionada.

Las auditorías presenciales o técnicas deberán comunicarse con al menos 30 días de antelación, salvo incidente grave o requerimiento de autoridad, realizarse durante horario razonable y evitar interferencias innecesarias con el servicio y con la seguridad o confidencialidad de otros clientes.

El Responsable asumirá los costes de auditorías específicas que solicite, salvo que se detecte un incumplimiento material imputable a Pretium, en cuyo caso se estará a la responsabilidad que corresponda.

15. Destino de los datos al finalizar el encargo

Al finalizar la relación, el Responsable conserva el acceso a su cuenta y a su documentación, que puede consultar, descargar y exportar sin coste adicional y sin plazo fijo, conforme a los Términos y Condiciones.

Cuando el Responsable solicite la supresión, o cuando los datos operativos dejen de ser necesarios para la finalidad que los originó, Pretium los suprimirá o anonimizará. Los DeCA se conservarán durante al menos un año desde la fecha de realización del servicio indicada en el documento. Los datos que deban mantenerse por ley o para atender reclamaciones quedarán bloqueados o con acceso restringido durante el plazo correspondiente.

Las copias de seguridad se depurarán conforme al ciclo técnico de rotación y recuperación aplicable, de manera que los datos eliminados de los sistemas activos desaparezcan progresivamente de las copias, salvo conservación necesaria ante una incidencia o obligación legal.

16. Responsabilidad

Cada parte responderá de sus propias obligaciones en materia de protección de datos. El Responsable responderá de la licitud, exactitud y minimización de los datos que introduce y de las instrucciones impartidas. Pretium responderá de los tratamientos que realice incumpliendo las obligaciones específicamente dirigidas a los encargados o actuando al margen de instrucciones lícitas.

17. Prevalencia y cambios

En caso de contradicción entre este Acuerdo y los Términos y Condiciones respecto del tratamiento de datos por cuenta del Responsable, prevalecerá este Acuerdo. Pretium podrá actualizarlo para adaptarlo a cambios normativos o técnicos, informando de las modificaciones materiales y solicitando nueva aceptación cuando resulte necesario.

Anexo I. Medidas técnicas y organizativas

Las siguientes medidas reflejan la arquitectura y controles confirmados en la fecha de esta versión. Pretium podrá sustituirlas por medidas equivalentes o superiores cuando evolucione la tecnología o el riesgo:

• comunicaciones cifradas mediante HTTPS y TLS v1.2 o superior en los accesos al servicio;
• cifrado de la información en reposo en la infraestructura utilizada;
• alojamiento de la Plataforma en infraestructura OVHcloud situada en Francia;
• copias de seguridad con periodicidad horaria;
• control de acceso a la aplicación mediante usuarios y roles;
• gestión de sesión mediante un identificador aleatorio en la cookie técnica deca_session;
• cookie de sesión con atributos HttpOnly, Secure bajo HTTPS y SameSite=Lax;
• regeneración del identificador de sesión al iniciar y cerrar sesión para reducir riesgos de session fixation;
• protección anti-CSRF en la sesión de aplicación;
• ausencia de tokens de autenticación persistentes en localStorage o sessionStorage;
• acceso técnico y de soporte limitado a personal autorizado y a necesidades de prestación, mantenimiento, seguridad o resolución de incidencias;
• prohibición de utilizar libremente documentos reales identificables como datos de prueba;
• registros de actividad y medidas técnicas destinadas a investigar incidencias y proteger la integridad del servicio;
• uso de tokens largos y no predecibles para las URL específicas de los DeCA y medidas destinadas a evitar su indexación ordinaria por motores de búsqueda.

Anexo II. Punto de contacto del Encargado

Protección de datos: central@docarga.com

Soporte técnico: soporte@docarga.com

Domicilio: PRETIUM SOLUCIONES DIGITALES, S.L., C/ Almirante Cadarso, n.º 14, puerta 12, 46005 Valencia, España.