Acuerdo de tratamiento de datos

1. Partes, función y prevalencia

La persona o empresa identificada como titular del espacio de empresa es el responsable. El titular pendiente de configurar, NIF pendiente, es el encargado. Este acuerdo se incorpora a las condiciones aceptadas al crear o utilizar el espacio profesional.

Se aplica únicamente cuando Truckio trata datos personales por instrucciones del responsable. Los datos de cuenta, seguridad, facturación propia y funciones sociales personales se tratan por Truckio como responsable y se rigen por la política de privacidad. En caso de conflicto sobre un tratamiento por cuenta de la empresa, prevalece este acuerdo.

2. Objeto, duración, naturaleza y finalidades

Truckio aloja, organiza, consulta, transmite, protege, exporta y suprime datos necesarios para gestionar miembros y roles, vehículos, viajes y paradas, gastos y justificantes, incidencias, kilometraje, documentos y DeCA. En el DeCA también genera y versiona PDF, crea enlaces de entrega, verifica integridad y mantiene el archivo.

El tratamiento dura mientras el espacio o servicio esté activo y durante la devolución, supresión, bloqueo, copia de seguridad o conservación legal aplicable. Las finalidades se limitan a prestar y asegurar el servicio, atender soporte bajo instrucción, prevenir abuso y cumplir obligaciones legales.

Truckio no utilizará los datos empresariales para publicidad, venta de datos, perfiles comerciales propios o entrenamiento de modelos. El OCR sólo se ejecuta cuando un usuario autorizado lo solicita para extraer datos de una imagen.

3. Interesados y categorías de datos

No están previstas categorías especiales, datos penales ni información personal ajena a la finalidad. El responsable no los introducirá en texto libre, imágenes o adjuntos salvo que documente una instrucción, base jurídica y garantías específicas previamente aceptadas por Truckio. El DeCA no solicita DNI del conductor ni imagen de firma.

4. Geolocalización laboral excluida

Este acuerdo no habilita seguimiento laboral continuo, historial de rutas de trabajadores ni localización en segundo plano. La ubicación social voluntaria de un usuario no constituye una instrucción empresarial y no puede reutilizarse para control laboral.

Una futura modalidad empresarial sólo podrá incorporarse mediante anexo y activación separada después de definir finalidad, base y horarios; informar al personal y representantes cuando proceda; limitar roles y precisión; implantar registro de accesos, parada automática y retención; y aprobar la correspondiente evaluación de impacto. Hasta entonces permanece fuera del servicio de producción.

5. Instrucciones y obligaciones del responsable

• Garantizar licitud, transparencia, exactitud y minimización; informar a los interesados y atender sus derechos.
• Configurar miembros y roles, revisar accesos y no utilizar el servicio para finalidades incompatibles o vigilancia no autorizada.
• Usar las funciones y campos previstos como instrucciones documentadas y comunicar por el canal de soporte cualquier instrucción adicional lícita.
• No incorporar datos especialmente sensibles, secretos de terceros, imágenes innecesarias ni documentos para los que carezca de autorización.
• Descargar las copias necesarias y cumplir sus propios plazos laborales, fiscales, contables y de transporte.

6. Obligaciones de Truckio como encargado

• Tratar los datos sólo conforme a instrucciones documentadas, salvo obligación legal; si la ley lo permite, informar antes de ese tratamiento.
• Garantizar confidencialidad de las personas autorizadas y acceso limitado por necesidad.
• Informar inmediatamente si considera que una instrucción infringe el RGPD u otra norma aplicable y suspenderla cuando sea necesario.
• Ayudar razonablemente con derechos, seguridad, consultas, evaluaciones de impacto y obligaciones de los artículos 32 a 36 RGPD, según la naturaleza del tratamiento y la información disponible.
• Notificar al responsable una violación de seguridad de sus datos sin dilación indebida, aportando progresivamente la información disponible para que pueda valorar su notificación.
• Mantener registros y poner a disposición evidencia razonable del cumplimiento.

7. Medidas de seguridad

• Autenticación, aislamiento por empresa, roles y políticas de acceso a nivel de fila.
• HTTPS, secretos restringidos al servidor, validación de tipo y tamaño y almacenamiento privado cuando la función lo requiere.
• Enlaces de entrega impredecibles y temporales; minimización de datos en notificaciones.
• Para DeCA, PDF nuevo por revisión, conservación del original, hash SHA-256, verificación de integridad y trazabilidad de cambios.
• Copias y recuperación del proveedor, gestión de vulnerabilidades, limitación de privilegios y procedimiento de incidentes.

Las medidas evolucionarán de acuerdo con el riesgo y el estado de la técnica sin reducir materialmente el nivel de protección durante el contrato.

8. Subencargados autorizados

El responsable concede autorización general para estos subencargos. Truckio comunicará con antelación razonable una incorporación o sustitución material para permitir una oposición motivada en protección de datos. Si no existe una alternativa razonable y no puede resolverse la objeción, el responsable podrá dejar de usar la función afectada o terminar el servicio antes del cambio.

Los proveedores de cartografía, rutas o meteorología sólo reciben coordenadas, búsquedas y parámetros técnicos cuando un usuario solicita esas funciones; no reciben por esa vía el archivo empresarial completo.

9. Transferencias internacionales

Cuando un subencargado o su infraestructura implique una transferencia fuera del Espacio Económico Europeo, Truckio utilizará el mecanismo válido que corresponda —decisión de adecuación, cláusulas contractuales tipo u otro admitido— y evaluará medidas adicionales atendiendo al servicio, región y datos. Los anexos de tratamiento y listas de subencargados de los proveedores forman parte de esta diligencia.

10. Derechos, devolución y fin del servicio

Truckio trasladará sin dilación indebida las solicitudes que reciba sobre datos cuyo responsable sea la empresa y no responderá en su nombre salvo autorización. Proporcionará las funciones disponibles y asistencia razonable para localizar, corregir, exportar, limitar o suprimir datos.

Al terminar el servicio, el responsable debe exportar la información que necesite. A su elección, Truckio facilitará una devolución razonable o suprimirá los datos, salvo los que deban permanecer bloqueados por ley o defensa de reclamaciones. Las copias de respaldo se eliminarán conforme a su rotación y no volverán a uso activo.

11. Evidencia y auditoría

Truckio pondrá a disposición la información razonablemente necesaria para demostrar el artículo 28 RGPD y permitirá auditorías proporcionadas. Se priorizarán documentación, evidencias técnicas y revisión remota. Una inspección adicional estará sujeta a confidencialidad, preaviso razonable, horario acordado y protección de datos de otros clientes y de la seguridad, salvo exigencia de una autoridad.

Contacto para instrucciones, incidentes y ejercicio de derechos: soporte@truckio.app.