Contrato de encargado del tratamiento

Cuando una empresa usa Decafly para generar documentos de control, introduce datos de otras personas y empresas: cargadores, transportistas, conductores, matrículas. Esa empresa decide para qué se usan esos datos, así que es la responsable del tratamiento. Alex Lucas Torrubia, que presta Decafly, los trata únicamente por su cuenta y es la encargada del tratamiento. El artículo 28 del Reglamento (UE) 2016/679 (RGPD) exige que esa relación conste en un contrato; este texto lo es. Se acepta al registrarse y forma parte de las Condiciones del servicio.

Las partes son:

• Responsable: la empresa que ha creado la cuenta en Decafly, con los datos de nombre y NIF que figuran en su registro.
• Encargado: Alex Lucas Torrubia, NIF 41003566V, Carrer del Progrés 27, buzón 28, 08850 Gavà (Barcelona) (Lucas y Leo Digital).

El encargado trata los datos personales necesarios para prestar el servicio de generación, almacenamiento, consulta, descarga, verificación y compartición de documentos de control de transporte (DeCA), con sus funciones asociadas (listas de contactos, lugares y mercancías guardados, importación desde Excel, equipo, API y avisos automáticos). El contrato dura mientras la cuenta esté activa.

• Tipos de datos: nombre o razón social y NIF/CIF de cargadores y transportistas; matrícula del vehículo; direcciones de origen y destino; descripción de la mercancía; datos de contacto que la empresa guarde; nombre y email de los usuarios de la cuenta.
• Categorías de afectados: empresas y autónomos cargadores y transportistas, conductores, usuarios de la empresa cliente.
• Operaciones: recogida, registro, organización, estructuración, conservación, consulta, comunicación por transmisión (a quien la empresa comparta el documento) y supresión.
• No se tratan datos de categorías especiales (art. 9 RGPD). La empresa responsable se compromete a no introducirlos.

El encargado se compromete a:

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son las que resultan del uso normal de la aplicación y de estas condiciones, y no usarlos para ningún otro fin propio.
• Informar al responsable si considera que una instrucción infringe la normativa de protección de datos.
• Garantizar que las personas autorizadas para tratar los datos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad técnicas y organizativas descritas en la Política de privacidad, adecuadas al riesgo.
• Ayudar al responsable, teniendo en cuenta la naturaleza del tratamiento, a atender las solicitudes de ejercicio de derechos de los afectados y a cumplir sus obligaciones de seguridad, notificación de brechas y evaluación de impacto cuando proceda.
• Notificar al responsable sin dilación indebida, y en cualquier caso en cuanto tenga conocimiento de ella, cualquier violación de la seguridad de los datos que le afecte, con la información de que disponga.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables, previa petición escrita y con tiempo suficiente, sin comprometer la seguridad de otros clientes.

• Tener una base legal para tratar los datos que introduce y para encargar su tratamiento, e informar a los afectados cuando proceda.
• Introducir solo los datos necesarios y exactos, y no incluir datos de categorías especiales ni de menores.
• Gestionar las altas y bajas de los usuarios de su equipo, los permisos y las claves de la API, y mantener sus credenciales en secreto.
• Atender las solicitudes de derechos de los afectados que le lleguen.

El responsable autoriza con carácter general la contratación de los siguientes subencargados, con los que el encargado tiene o aceptará contratos que les imponen obligaciones equivalentes a las de este texto:

• Supabase: base de datos, autenticación y almacenamiento de los PDF.
• Vercel: alojamiento y ejecución de la aplicación.
• Stripe: solo para cobro y facturación; no recibe los datos de los documentos.

Si el encargado quisiera incorporar o sustituir a un subencargado, lo avisará al responsable con al menos treinta días de antelación, para que pueda oponerse. Si la oposición está justificada y no hay alternativa razonable, el responsable podrá dar de baja la cuenta sin penalización. El encargado responde ante el responsable del cumplimiento de sus subencargados.

Los subencargados pueden tratar datos fuera del Espacio Económico Europeo. El encargado se asegura de que esas transferencias se amparen en una decisión de adecuación o en cláusulas contractuales tipo, conforme al capítulo V del RGPD.

Al terminar la prestación, el responsable puede descargar los datos de sus documentos (por ejemplo, con la copia de seguridad del año o la exportación) antes de pedir la baja. Tras la baja, el encargado suprimirá o devolverá los datos, y eliminará las copias existentes, salvo que una ley obligue a conservarlos, en cuyo caso los mantendrá bloqueados y sin tratarlos para otra finalidad.

Para cualquier cuestión sobre este contrato o para comunicar un incidente, escribe a lucasyleodigital@gmail.com.