Anexo de encargo del tratamiento de datos

1. Partes y objeto

Responsable del tratamiento: la empresa usuaria del servicio DeCA que acepta este anexo (en adelante, el «Cliente»).

Encargado del tratamiento: Gestión Global de Recursos de Software España, S.L. (en adelante, «iLEAN»), con NIF B84060995 y domicilio en Calle José María Mulet Ortiz n.º 16, 12006 Castelló de la Plana (Castellón), que presta el servicio DeCA.

Este anexo regula el tratamiento de datos personales que iLEAN realiza por cuenta del Cliente al prestarle el servicio DeCA (emisión, custodia y consulta de documentos de control administrativo del transporte de mercancías por carretera), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones del servicio y prevalece sobre ellas en lo que se refiere a protección de datos.

2. Naturaleza, finalidad y datos tratados

Finalidad: emitir, modificar, anular, custodiar y poner a disposición del Cliente y de la Inspección de Transporte los documentos de control exigidos por la Orden FOM/2861/2012, y las funciones asociadas que el Cliente active (lectura automática de albaranes, envío al conductor, firmas de carga y entrega, maestros de transportistas, vehículos y destinos).

Operaciones: recogida, registro, conservación, consulta, extracción automática de datos de documentos, generación de PDF, comunicación al conductor o destinatario que el Cliente indique y supresión.

Categorías de interesados: transportistas (en especial, empresarios individuales) y sus conductores; cargadores y destinatarios cuando son personas físicas o sus personas de contacto; personas que firman la carga o la entrega; y los usuarios del Cliente que usan el servicio.

Tipos de datos: nombre y apellidos o razón social; NIF, DNI o NIE; matrículas de vehículos; teléfono móvil y correo electrónico; direcciones de carga y entrega; la información que contengan los albaranes y fotos que suba el Cliente; firma manuscrita digitalizada, con la fecha, la hora y, si el firmante lo permite, la posición del móvil al firmar; y datos técnicos de uso (huella cifrada de la dirección IP y navegador).

El servicio no está pensado para categorías especiales de datos (art. 9 RGPD). El Cliente se compromete a no introducirlas, tampoco en los campos de notas.

3. Duración y conservación

Este anexo dura lo mismo que el uso del servicio. Cada DeCA se conserva el plazo de custodia del plan del Cliente (un año en el plan Gratis y cinco años en los planes de pago, contados desde la emisión), que cubre la obligación de conservarlo al menos un año a disposición de la Inspección de Transporte Terrestre.

Cuando termine la relación, el Cliente puede descargar sus documentos (dosier de inspección y listado en Excel). Después, iLEAN suprimirá los datos o se los devolverá si los pide, y solo los conservará bloqueados mientras pueda derivarse alguna responsabilidad de la prestación del servicio o lo exija la ley.

4. Obligaciones de iLEAN como encargado

1. Tratar los datos solo para prestar el servicio y siguiendo las instrucciones documentadas del Cliente, que son este anexo y el uso que el Cliente hace de la aplicación. Si una instrucción le pareciera contraria a la normativa de protección de datos, lo comunicará de inmediato al Cliente.
2. No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados del apartado 6 o por obligación legal.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
4. Aplicar las medidas de seguridad del Anexo I, adecuadas al riesgo según el artículo 32 RGPD.
5. Ayudar al Cliente a atender los derechos de los interesados (acceso, rectificación, supresión, limitación, oposición y portabilidad). Si un interesado se dirige a iLEAN, se lo trasladará al Cliente sin demora y no le contestará directamente salvo que el Cliente se lo pida.
6. Notificar al Cliente, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible para que el Cliente pueda cumplir sus propias obligaciones de notificación.
7. Ayudar al Cliente, cuando proceda, con las evaluaciones de impacto y las consultas previas a la autoridad de control.
8. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este anexo y permitir auditorías razonables, con preaviso y sin afectar a la seguridad del servicio ni a los datos de otros clientes.
9. Llevar el registro de las actividades de tratamiento que realiza por cuenta del Cliente.

5. Obligaciones del Cliente como responsable

1. Tratar los datos con una base legal válida. Los datos que exige el documento de control se tratan para cumplir una obligación legal (art. 6.1.c RGPD) y para ejecutar el contrato de transporte (art. 6.1.b RGPD); no hace falta el consentimiento del transportista.
2. Informar a los interesados del tratamiento (arts. 13 y 14 RGPD). Al final de este anexo tiene un texto de ejemplo para sus pedidos o contratos de transporte.
3. Introducir solo los datos necesarios y mantenerlos exactos.
4. Decidir quién de su organización accede al servicio y dar de baja a quien ya no deba hacerlo.

6. Subencargados

El Cliente autoriza de forma general a iLEAN a recurrir a los subencargados del Anexo II. iLEAN les impone por contrato las mismas obligaciones de protección de datos que asume en este anexo y responde de su cumplimiento. Antes de añadir o sustituir un subencargado, iLEAN lo avisará al Cliente con al menos 15 días de antelación por correo electrónico o en su panel, y el Cliente podrá oponerse; si la oposición impide prestar el servicio, el Cliente podrá darlo por terminado sin penalización.

7. Transferencias internacionales

Algunos subencargados tratan datos fuera del Espacio Económico Europeo, como se indica en el Anexo II. Esas transferencias se amparan en una decisión de adecuación de la Comisión Europea o en las cláusulas contractuales tipo aprobadas por ella, junto con el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está adherido.

8. Aceptación, cambios y ley aplicable

Este anexo se acepta por medios electrónicos, lo que el artículo 28.9 RGPD admite expresamente. iLEAN guarda constancia de la versión aceptada, la fecha y hora y la persona que la aceptó. Si iLEAN cambia este anexo, lo avisará en el panel del Cliente y pedirá una nueva aceptación.

Se rige por la ley española. Contacto para cualquier cuestión de protección de datos: info@ilean.ai.

Anexo I · Medidas de seguridad

• Comunicaciones cifradas (HTTPS) entre los usuarios, la aplicación y los proveedores.
• Acceso sin contraseñas que robar: enlaces de un solo uso que caducan, enviados al correo del usuario, con código adicional cuando se entra desde otro aparato. Sesiones firmadas que caducan por inactividad.
• Separación estricta por empresa: cada cliente solo ve sus documentos. Roles de administrador y operario; el operario, por defecto, solo ve lo que ha emitido.
• Ficheros en almacenamiento no público, servidos solo a través de la aplicación. La dirección del QR de cada DeCA es pública porque la Inspección tiene que poder leerla, pero usa un identificador aleatorio que no se puede adivinar y limita las descargas.
• Cada versión del DeCA queda guardada con su huella (SHA-256): las modificaciones no borran las anteriores.
• Las direcciones IP se guardan como huella cifrada, no en claro.
• Copia de seguridad diaria de la base de datos y registro de las descargas y de los cambios en cada documento.
• Acceso a los sistemas limitado al personal técnico que lo necesita, con compromiso de confidencialidad.

Anexo II · Subencargados