Encargo de tratamiento

Este anexo forma parte de las Condiciones de uso cuando el cliente introduce en DeCA Uno datos personales respecto de los cuales actúa como responsable del tratamiento.

1. Partes y roles

Responsable: la empresa o profesional titular de la cuenta que determina los fines y medios esenciales del tratamiento de los datos que incorpora a DeCA Uno. Encargado: Rafael Prieto, respecto del tratamiento necesario para prestar el servicio por cuenta del cliente.

2. Objeto y duración

El objeto es alojar, organizar, consultar, transformar en documentos DeCA, versionar, compartir y conservar los datos que el cliente introduce en la plataforma. El encargo durará mientras se mantenga la relación de servicio y durante los periodos de conservación legal o técnica que resulten aplicables.

3. Naturaleza y finalidad

Las operaciones pueden incluir recogida por cuenta del cliente, registro, estructuración, almacenamiento, consulta, generación de PDF, comunicación a destinatarios autorizados mediante enlaces o QR, conservación, copia de seguridad y supresión cuando proceda. La finalidad es exclusivamente prestar y proteger el servicio DeCA Uno conforme a las instrucciones documentadas del cliente.

4. Tipos de datos y personas afectadas

Pueden tratarse datos identificativos, profesionales y de contacto de representantes, clientes, cargadores, transportistas, conductores u otros intervinientes en operaciones de transporte, así como información asociada a vehículos y servicios. El servicio no está diseñado para almacenar categorías especiales de datos del artículo 9 RGPD.

5. Obligaciones del encargado

• Tratar los datos únicamente siguiendo instrucciones documentadas del responsable, salvo obligación legal.
• Garantizar compromisos de confidencialidad de las personas autorizadas.
• Aplicar medidas de seguridad apropiadas al riesgo.
• Ayudar razonablemente al responsable a atender derechos de los interesados y obligaciones de seguridad cuando la naturaleza del servicio lo permita.
• Informar al responsable, sin dilación indebida, de incidentes de seguridad que afecten a datos tratados por su cuenta cuando exista obligación de notificación.
• Poner a disposición información razonablemente necesaria para demostrar el cumplimiento de este encargo.

6. Subencargados

El cliente autoriza con carácter general la utilización de proveedores necesarios para alojamiento, correo, seguridad, copias de respaldo, infraestructura, almacenamiento documental y soporte. DeCA Uno exigirá a los subencargados obligaciones de protección de datos equivalentes en lo sustancial a las de este anexo. Subencargado de almacenamiento documental actualmente utilizado: Cloudflare, mediante el servicio Cloudflare R2 Object Storage, para almacenar y recuperar de forma privada los ficheros DeCA y sus versiones. El servicio se configura con un bucket de jurisdicción Unión Europea (EU). Cloudflare dispone de un acuerdo de tratamiento de datos aplicable cuando actúa como encargado o subencargado y puede recurrir a sus propios subencargados conforme a dicho acuerdo. Los cambios relevantes de subencargados se comunicarán cuando sea exigible, permitiendo al cliente formular objeciones razonadas.

7. Localización y transferencias internacionales

Los objetos DeCA almacenados en R2 se alojan en un bucket configurado con jurisdicción EU. Conforme a la documentación del proveedor, esa restricción garantiza que los objetos se almacenen y procesen dentro de la Unión Europea. Si Cloudflare u otro subencargado realiza tratamientos accesorios que impliquen una transferencia internacional de datos sujeta al capítulo V del RGPD, deberán utilizarse mecanismos válidos, como una decisión de adecuación o cláusulas contractuales tipo, según corresponda.

8. Seguridad

Entre las medidas aplicadas se incluyen controles de autenticación y autorización, separación lógica entre empresas, comunicaciones cifradas, validación de solicitudes, protección de documentos mediante identificadores no triviales, trazabilidad de eventos, verificación de integridad SHA-256 y almacenamiento privado de objetos. Los objetos R2 se mantienen fuera de exposición pública directa y DeCA Uno conserva el control de la URL de acceso documental. Cloudflare indica que los objetos R2 se cifran en reposo automáticamente mediante AES-256 y que las comunicaciones con el servicio se protegen mediante TLS. Las medidas se revisarán atendiendo al estado de la técnica, costes, naturaleza del tratamiento y riesgos.

9. Conservación y destino de los datos al finalizar

Cuando termine el servicio, los datos se suprimirán o devolverán según corresponda y sea técnicamente posible, salvo aquellos que deban mantenerse bloqueados o conservados por una obligación legal. Para los objetos DeCA almacenados en R2, DeCA Uno configura actualmente una retención técnica mínima de 400 días bajo el prefijo documental protegido, de modo que no puedan eliminarse ni sobrescribirse antes de ese plazo. Esta retención aporta margen sobre el mínimo sectorial de un año y no supone borrado automático al finalizar los 400 días. Los documentos sujetos a una obligación de conservación no se eliminarán anticipadamente cuando ello pueda impedir su cumplimiento.

10. Instrucciones ilícitas

Si DeCA Uno considera que una instrucción del responsable infringe el RGPD u otra normativa de protección de datos, informará al cliente cuando legalmente pueda hacerlo.

11. Contacto

Las cuestiones relacionadas con este encargo pueden dirigirse a rafamotril85@gmail.com.