Contrato de encargo de tratamiento de datos (DPA)

1. Objeto y duración

El objeto es el tratamiento de datos personales en la prestación de LogCon como software como servicio. La duración corresponde a la vigencia del contrato principal.

2. Naturaleza y finalidad del tratamiento

Gestión del transporte, tramitación de pedidos asistida por IA, planificación, comunicación con clientes, transportistas y conductores, generación de documentos, preparación aduanera y facturación.

3. Categorías de datos e interesados

• Empleados del responsable del tratamiento: nombre, correo electrónico, teléfono, rol, idioma, datos de acceso
• Conductores (propios y de subcontratistas): nombre, teléfono, idioma, cualificaciones, datos de posición durante las rutas
• Personas de contacto de clientes y transportistas: nombre, datos de contacto, contenido de la comunicación
• Datos de pedidos, documentos, aduanas y facturas con referencia personal

4. Obligaciones del encargado del tratamiento

• Tratar los datos únicamente siguiendo instrucciones documentadas del responsable del tratamiento
• Obligación de confidencialidad para todas las personas autorizadas
• Aplicación de las medidas técnicas y organizativas (anexo 1)
• Apoyo en el ejercicio de los derechos de los interesados, las evaluaciones de impacto relativas a la protección de datos y las obligaciones de notificación
• Informar al responsable del tratamiento si, a juicio del encargado, una instrucción infringe la normativa de protección de datos

5. Subencargados del tratamiento

El responsable del tratamiento autoriza a los subencargados enumerados en el anexo 2. El encargado del tratamiento informará al responsable de los cambios previstos con al menos 30 días de antelación; el responsable podrá oponerse por causa justificada en materia de protección de datos.

6. Medidas técnicas y organizativas (anexo 1)

• Control de acceso físico: centro de datos en la UE con certificación ISO 27001, sin acceso físico por parte del personal del encargado
• Control de acceso a los sistemas: contraseñas con hash bcrypt, autenticación de dos factores, bloqueo tras intentos fallidos, JWT con caducidad, claves de API almacenadas únicamente como hash
• Control de acceso a los datos: permisos basados en roles, principio de mínimo privilegio, administración a nivel de plataforma solo con permisos verificados en la base de datos
• Control de separación: identificador de cliente (tenant) en cada tabla, rutas de almacenamiento independientes por cliente
• Cifrado: TLS en tránsito, AES-256-GCM para las credenciales de integración, cifrado de disco en el proveedor de alojamiento
• Control de entrada: registro de auditoría con el estado anterior y posterior de los cambios y las acciones de la IA
• Control de transmisión: webhooks firmados con HMAC, correos salientes únicamente a través de servidores configurados
• Disponibilidad: copias de seguridad cifradas diarias de la base de datos y los documentos, conservando 7 copias diarias, 4 semanales y 12 mensuales, copia cifrada externa (off-site) en un segundo proveedor, procedimiento de restauración documentado, monitorización
• Gestión de la protección de datos: registro de actividades de tratamiento, concepto de eliminación, proceso de respuesta ante incidentes

7. Notificación de violaciones de seguridad de los datos

El encargado del tratamiento notificará las violaciones de seguridad de los datos personales sin dilación indebida, a más tardar dentro de las 24 horas siguientes a tener conocimiento de ellas, con la información prevista en el art. 33, apartado 3, del RGPD.

8. Derechos de auditoría

El responsable del tratamiento podrá verificar el cumplimiento de este contrato mediante la revisión de evidencias e informes y, previo aviso con antelación suficiente, mediante auditorías in situ.

9. Eliminación y devolución

Una vez finalizado el contrato, el encargado del tratamiento pone a disposición una exportación completa de los datos durante 30 días, y a continuación elimina todos los datos del responsable, incluidas las copias, y confirma la eliminación. Las obligaciones legales de conservación no se ven afectadas; las copias de seguridad cifradas se sobrescriben en el ciclo de rotación habitual, a más tardar transcurridos 12 meses.

10. Transferencias a terceros países

Las transferencias a terceros países solo se realizan en las condiciones previstas en el art. 44 y siguientes del RGPD, en particular sobre la base de una decisión de adecuación o de cláusulas contractuales tipo.

11. Transparencia de la IA (anexo 4)

Los agentes de IA generan propuestas o, en función del nivel de autonomía definido por el responsable del tratamiento, ejecutan acciones. Todas las acciones de la IA se registran con el modelo, la hora, el nivel de confianza y el estado anterior y posterior; las acciones automáticas son reversibles. Los datos del cliente no se utilizan para entrenar modelos de IA.

12. Disposiciones finales

En caso de conflicto, este contrato prevalece sobre el contrato principal en materia de protección de datos. Es de aplicación el derecho austriaco; el fuero competente es Wien.

Anexo 2: subencargados del tratamiento

Véase la siguiente tabla.