Contrato de encargo del tratamiento

Estado del documento

PLANTILLA — PENDIENTE DE REVISIÓN LEGAL. Este contrato de encargo del tratamiento es un borrador que debe ser revisado por un asesor jurídico antes de su uso. Los textos entre corchetes son datos pendientes de completar.

1. Objeto, duración y naturaleza

El cliente (responsable) encarga a [Razón social del prestador] (encargado) el tratamiento de los datos personales necesarios para prestar el servicio Porte al Día: generación, emisión, custodia, distribución y puesta a disposición de la inspección del documento de control administrativo electrónico, y funciones asociadas (envíos, partes, vehículos, conductores, entregas, exportación, auditoría e integración por API).

El contrato dura lo mismo que el contrato de servicio. El encargado no tratará los datos para fines propios.

2. Datos y categorías de interesados

Datos identificativos y domicilio de cargadores, transportistas y destinatarios personas físicas y de sus contactos; direcciones de origen y destino; matrículas; nombre, correo y cuenta de usuario de conductores y demás usuarios del cliente; observaciones; registros de entrega, de auditoría y de acceso técnico a los enlaces de inspección.

No se tratan categorías especiales de datos ni datos penales. El cliente se compromete a no introducirlos en los campos de texto libre.

3. Obligaciones del encargado

Tratar los datos solo según las instrucciones documentadas del responsable; garantizar la confidencialidad del personal; aplicar las medidas de seguridad del art. 32 RGPD (resumen en /legal/seguridad); mantener el registro de actividades del art. 30.2 RGPD.

Asistir al responsable en el ejercicio de derechos: las solicitudes recibidas directamente se trasladarán al responsable en un máximo de [PLAZO] días hábiles.

Notificar al responsable cualquier violación de seguridad sin dilación indebida, con un objetivo de [24] horas desde que se tenga constancia, y asistirle en las notificaciones a la autoridad de control y a los interesados.

Facilitar la información necesaria para demostrar el cumplimiento y permitir auditorías con un preaviso de [PLAZO] días, sin acceso a datos de otros clientes.

4. Subencargados

El responsable otorga una autorización general para recurrir a los subencargados de la relación vigente: [proveedor de alojamiento e infraestructura], [proveedor de almacenamiento de objetos S3], [proveedor de correo transaccional] y [proveedor de monitorización]. El encargado avisará de cualquier alta o sustitución con [PLAZO] días de antelación, durante los cuales el responsable podrá oponerse.

Stripe trata solo los datos de facturación del propio cliente, no los datos DeCA; su papel (responsable independiente o encargado del prestador) está pendiente de revisión.

5. Fin del servicio: devolución y supresión

El responsable puede descargar en cualquier momento, y hasta [PLAZO] días después de la terminación, una exportación completa de su archivo: PDF originales de cada versión, relaciones entre versiones, metadatos, plazos de custodia y retenciones legales, con manifiesto y hash SHA-256.

Los documentos DeCA deben conservarse al menos un año desde el fin del servicio de transporte. A elección del responsable, el encargado los conserva bloqueados hasta que venza el plazo de cada uno y después los suprime, o los devuelve mediante la exportación y los suprime. Nunca se suprimen por defecto documentos cuyo plazo mínimo no haya vencido.

Los enlaces de inspección no se desactivan antes de siete días naturales desde el fin del servicio, con independencia de la terminación del contrato.

6. Obligaciones del responsable

Disponer de base jurídica e informar a los interesados; introducir solo datos necesarios y exactos; gestionar usuarios y roles y activar el segundo factor para titulares y administradores; custodiar credenciales y claves de API; distribuir la URL o el QR de inspección solo a quien corresponda; responder de la veracidad de los datos y del procedimiento DeCA.