Contrato de encargo del tratamiento de datos personales conforme al art. 28 del RGPD

1. Partes y delimitación de funciones

1.1 El Cliente es responsable del tratamiento, en el sentido del art. 4, punto 7, del RGPD, de los datos personales de sus empleados y conductores que introduce en la plataforma WeDriver o que se generan en ella por indicación suya (lista de conductores, pedidos, facturación). En este tratamiento el Encargado actúa como encargado del tratamiento en el sentido del art. 4, punto 8, del RGPD.

1.2 Para sus propios fines, que determina por sí mismo, el Encargado es responsable del tratamiento independiente. Se trata, en particular, del cumplimiento del contrato de alquiler del vehículo celebrado con el arrendador, la seguridad de la plataforma y de los vehículos, el cumplimiento de obligaciones legales (por ejemplo, contables y fiscales) y la protección frente al uso indebido y el fraude. Este contrato no se aplica a dicho tratamiento y el Encargado cumple frente a los interesados sus propias obligaciones de información conforme a los arts. 13 y 14 del RGPD.

1.3 Cada parte declara que cumplirá, en el tratamiento de datos personales, el RGPD, la ley eslovaca de protección de datos y las demás normas vinculantes en materia de protección de datos.

2. Objeto y duración del contrato

2.1 El objeto de este contrato es regular los derechos y obligaciones de las partes en el tratamiento de los datos personales que el Encargado trata por cuenta del Cliente en relación con la prestación de los servicios de la plataforma WeDriver conforme al contrato de uso de la plataforma celebrado entre las partes (en adelante, el «contrato principal»).

2.2 El contrato surge en la fecha de su firma por ambas partes y está vigente mientras dure el contrato principal, así como durante el tiempo en que el Encargado siga conservando datos personales del Cliente conforme al artículo sobre supresión o devolución de los datos.

2.3 Forman parte inseparable del contrato el Anexo 1 (descripción del tratamiento), el Anexo 2 (medidas técnicas y organizativas) y el Anexo 3 (lista de subencargados).

3. Naturaleza y finalidad del tratamiento

3.1 El Encargado trata los datos personales exclusivamente con la finalidad de prestar al Cliente los servicios de la plataforma WeDriver, en particular para llevar la lista de conductores del Cliente, crear y gestionar pedidos y reservas de vehículos, verificar la aptitud del conductor para conducir, facturar y comunicarse con los conductores en relación con las reservas.

3.2 La naturaleza del tratamiento comprende, en particular, la recogida, el registro, la organización, la conservación, la consulta, la utilización, la comunicación por transmisión, la limitación, la supresión y la destrucción de datos personales, por medios automatizados.

3.3 El Encargado no trata datos personales para ninguna otra finalidad distinta de la que se desprende de este contrato y de las instrucciones del Cliente, salvo que el Derecho de la Unión o el Derecho de la República Eslovaca se lo exija; en tal caso, el Encargado informará previamente al Cliente de esa exigencia, salvo que dicho Derecho lo prohíba.

4. Categorías de datos personales y de interesados

4.1 Los interesados son los empleados y conductores del Cliente que este ha incluido en la plataforma WeDriver o para quienes se crea, por indicación suya, una cuenta de usuario o una reserva en la plataforma.

4.2 Categorías de datos personales tratados:

• datos identificativos: nombre y apellidos, fecha de nacimiento,
• datos de contacto: dirección de correo electrónico, número de teléfono,
• datos del permiso de conducir y de su verificación: número y validez del permiso, categorías habilitadas, resultado y fecha de la verificación,
• datos del lugar de recogida y devolución del vehículo,
• datos de reservas y pedidos: vehículo, fecha, duración, precio, estado e historial de reservas,
• datos de facturación vinculados a la persona del conductor o al pedido,
• datos técnicos sobre el uso de la plataforma necesarios para su funcionamiento seguro (por ejemplo, registros de inicio de sesión).

4.4 No se requiere el tratamiento de categorías especiales de datos personales conforme al art. 9 del RGPD y el Cliente no las introduce en la plataforma. Los detalles figuran en el Anexo 1.

5. Instrucciones del responsable

5.1 El Encargado trata los datos personales únicamente siguiendo instrucciones documentadas del Cliente. Son instrucciones el presente contrato, el contrato principal y los ajustes y actuaciones del Cliente en la plataforma WeDriver. El Cliente da instrucciones adicionales por escrito, también por correo electrónico, a la dirección info@wedriver.cz.

5.2 Si, en opinión del Encargado, una instrucción infringiera el RGPD u otra norma de protección de datos, el Encargado informará de ello al Cliente sin dilación indebida y podrá suspender su ejecución hasta que el Cliente la confirme o la modifique.

5.3 El Cliente responde de contar con una base jurídica válida para el tratamiento de los datos personales de sus empleados y conductores, de haber informado a los interesados conforme a los arts. 13 y 14 del RGPD y de que sus instrucciones se ajustan a la normativa.

6. Confidencialidad

6.1 El Encargado garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad de naturaleza estatutaria, incluso tras la terminación de su relación laboral o de otro tipo con el Encargado.

6.2 Solo acceden a los datos personales las personas del Encargado que lo necesitan para cumplir este contrato, en la medida necesaria para su actividad y siguiendo las instrucciones del Encargado.

7. Seguridad del tratamiento

7.1 El Encargado adoptará y mantendrá durante toda la vigencia del contrato medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo conforme al art. 32 del RGPD, teniendo en cuenta el estado de la técnica, los costes, la naturaleza, el alcance, el contexto y los fines del tratamiento y los riesgos para los derechos y libertades de las personas físicas.

7.2 El alcance mínimo de las medidas figura en el Anexo 2. El Encargado podrá adaptar las medidas de forma continua siempre que ello no reduzca el nivel de seguridad.

7.3 El Cliente responde de la seguridad de las credenciales de acceso de sus usuarios en la plataforma, de la correcta configuración de los permisos de sus empleados y de no introducir en la plataforma más datos de los necesarios.

8. Subencargados del tratamiento

8.1 El Cliente concede al Encargado una autorización general por escrito para recurrir a otros encargados (subencargados) en el sentido del art. 28, apartado 2, del RGPD. Las categorías de subencargados son las siguientes:

• alojamiento (hosting) y base de datos,
• envío de correo electrónico,
• pasarela de pago,
• notificaciones por SMS y push,
• verificación de identidad y de la habilitación para conducir.

8.3 El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que las pactadas en este contrato, en particular garantías de medidas técnicas y organizativas apropiadas. Si el subencargado incumple sus obligaciones, el Encargado seguirá siendo plenamente responsable ante el Cliente de su cumplimiento.

8.4 El Encargado informará previamente al Cliente de cualquier cambio previsto (adición o sustitución de un subencargado), por regla general con al menos 30 días de antelación a su efectividad, por correo electrónico a la dirección ……………………… o a través de la plataforma. En ese plazo, el Cliente podrá oponerse por escrito al cambio por motivos objetivos relacionados con la protección de datos personales. Si las partes no acuerdan otra solución, el Cliente podrá resolver el contrato principal en la parte afectada por el cambio.

8.5 El Encargado facilitará a petición la lista actualizada de subencargados en la dirección gdpr@wedriver.cz. El resumen de categorías figura en el Anexo 3.

9. Transferencias a terceros países

9.1 El Encargado transferirá datos personales a un país situado fuera del Espacio Económico Europeo o a una organización internacional únicamente siguiendo instrucciones del Cliente o cuando sea necesario para recurrir a un subencargado conforme al artículo anterior, y siempre cumpliendo las condiciones del capítulo V del RGPD.

9.2 La transferencia solo se efectuará si existe una decisión de adecuación de la Comisión Europea o si se han ofrecido garantías adecuadas, en particular las cláusulas contractuales tipo aprobadas por la Comisión Europea, completadas, en su caso, con medidas adicionales.

9.3 El Cliente da por la presente instrucciones para las transferencias realizadas en estas condiciones. A petición del Cliente, el Encargado facilitará información sobre las garantías utilizadas.

10. Asistencia en el ejercicio de derechos de los interesados

10.1 Teniendo en cuenta la naturaleza del tratamiento, el Encargado asistirá al Cliente mediante medidas técnicas y organizativas apropiadas para que pueda cumplir su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados establecidos en el capítulo III del RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición).

10.2 Si un interesado dirige una solicitud directamente al Encargado y de su contenido resulta que se refiere al tratamiento por cuenta del Cliente, el Encargado la trasladará al Cliente sin dilación indebida y no responderá sobre el fondo sin instrucciones del Cliente, salvo que la ley se lo exija.

10.3 Las solicitudes relativas a tratamientos en los que el Encargado es responsable independiente serán atendidas por el Encargado en nombre propio.

11. Asistencia en caso de incidentes de seguridad

11.1 El Encargado notificará al Cliente toda violación de la seguridad de los datos personales que afecte a datos tratados por su cuenta sin dilación indebida tras haber tenido conocimiento de ella y, a más tardar, en 48 horas, a la dirección de correo electrónico ……………………….

11.2 La notificación contendrá, en la medida en que la información esté disponible: la descripción de la naturaleza de la violación, incluidas las categorías y el número aproximado de interesados y de registros afectados, un punto de contacto, la descripción de las posibles consecuencias y la descripción de las medidas adoptadas o propuestas para poner remedio y mitigar sus efectos. La información podrá facilitarse de forma gradual.

11.3 El Encargado prestará al Cliente la colaboración necesaria para el cumplimiento de sus obligaciones conforme a los arts. 33 y 34 del RGPD, en particular en la notificación a la autoridad de control y en la comunicación a los interesados. La decisión de notificar a la autoridad de control y a los interesados corresponde al Cliente como responsable.

12. Evaluación de impacto y consulta previa

12.1 Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, el Encargado asistirá al Cliente en el cumplimiento de las obligaciones establecidas en los arts. 32 a 36 del RGPD, en particular en la evaluación de impacto relativa a la protección de datos y en la consulta previa a la autoridad de control.

12.2 El Encargado prestará la colaboración prevista en este artículo previa solicitud motivada del Cliente, en particular facilitando una descripción de las operaciones de tratamiento y de las medidas de seguridad adoptadas.

13. Supresión o devolución de los datos al finalizar

13.1 Una vez finalizada la prestación de los servicios de la plataforma WeDriver conforme al contrato principal, el Encargado, según decida el Cliente, suprimirá los datos personales tratados por su cuenta o se los devolverá en un formato estructurado de uso común y legible por máquina, y suprimirá a continuación las copias existentes. El Cliente comunicará su decisión por escrito, a más tardar el día de finalización del contrato principal; si no lo hace, los datos se suprimirán.

13.2 La supresión se efectuará, por regla general, en un plazo de 30 días desde la finalización del contrato principal; las copias en las copias de seguridad se suprimirán en su ciclo ordinario. A petición del Cliente, el Encargado confirmará la supresión por escrito.

13.3 La obligación de suprimir los datos no se aplica a los datos que el Encargado deba conservar con arreglo al Derecho de la Unión o al Derecho de la República Eslovaca, ni a los que trate como responsable independiente para los fines previstos en el segundo párrafo del primer artículo de este contrato.

14. Auditoría y control

14.1 El Encargado pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 del RGPD y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de otro auditor autorizado por él.

14.2 El Cliente comunicará la auditoría por escrito con al menos 30 días de antelación, la realizará en horario laboral habitual, sin perturbar indebidamente la actividad del Encargado y como máximo una vez por año natural, salvo que se trate de una auditoría posterior a un incidente de seguridad o ordenada por una autoridad de control. El auditor autorizado deberá estar sujeto a un deber de confidencialidad.

14.3 El Encargado podrá sustituir la auditoría por la presentación de informes o certificados actuales de auditores independientes, si bastan para demostrar el cumplimiento de las obligaciones. En la auditoría no se podrá revelar información confidencial de otros clientes del Encargado ni secretos empresariales más allá de lo necesario. Cada parte soporta sus propios costes de la auditoría.

15. Responsabilidad

15.1 Cada una de las partes responde del cumplimiento de sus obligaciones conforme al RGPD y a este contrato. El Encargado solo responderá de los daños causados por el tratamiento si no ha cumplido las obligaciones del RGPD dirigidas específicamente a los encargados o si ha actuado al margen o en contra de las instrucciones lícitas del Cliente (art. 82 del RGPD).

15.2 Si un interesado sufre un daño causado por un tratamiento en el que han participado ambas partes y una de ellas lo indemniza por encima de su parte de responsabilidad, tendrá derecho a reclamar a la otra la parte correspondiente conforme al art. 82, apartado 5, del RGPD.

15.3 La responsabilidad del Encargado por daños y las eventuales penalizaciones contractuales se rigen por el contrato principal, en la medida en que lo permitan las normas imperativas. La responsabilidad por daños causados con dolo o negligencia grave no puede excluirse ni limitarse.

16. Duración y terminación

16.1 Este contrato se celebra por la duración del contrato principal y se extingue con su finalización, si bien las obligaciones que por su naturaleza deban subsistir tras la terminación (en particular, la confidencialidad, la supresión o devolución de los datos y la responsabilidad) seguirán vigentes.

16.2 El Cliente podrá resolver o denunciar el contrato con efecto inmediato si el Encargado incumple de forma grave o reiterada las obligaciones derivadas de este contrato o del RGPD y no lo subsana ni siquiera en un plazo razonable fijado por el Cliente en un requerimiento escrito.

16.3 La extinción del contrato principal por cualquier causa conlleva la extinción de este contrato conforme al artículo anterior. Si, tras la finalización del contrato principal, el Encargado sigue conservando datos personales, les serán aplicables las disposiciones de este contrato hasta su supresión.

17. Derecho aplicable y disposiciones finales

17.1 Este contrato se rige por el Derecho de la República Eslovaca y por el RGPD. Los litigios derivados de este contrato serán resueltos por los tribunales ordinarios competentes de la República Eslovaca, salvo que las partes hayan pactado otra cosa en el contrato principal.

17.2 En caso de contradicción entre este contrato y el contrato principal, en materia de protección de datos personales prevalecerán las disposiciones de este contrato. El contrato y sus anexos no podrán interpretarse en perjuicio de los derechos y libertades de los interesados.

17.3 Las modificaciones y adiciones a este contrato, incluidos los anexos, solo serán válidas por escrito; la forma escrita se cumple también mediante firma electrónica o intercambio de correos electrónicos cuando se trate de la actualización del Anexo 3 conforme al artículo sobre subencargados.

17.4 Si alguna disposición de este contrato resultara nula o inejecutable, las demás disposiciones seguirán siendo válidas. Las partes sustituirán la disposición nula por una válida que se aproxime lo más posible a su finalidad.

17.5 El contrato se redacta en dos ejemplares o en formato electrónico, y cada parte recibe un ejemplar. Contacto del Encargado en materia de protección de datos personales: gdpr@wedriver.cz.

18. Anexo 1 – Descripción del tratamiento

18.1 Finalidad del tratamiento:

• gestión de la lista de conductores del Cliente en la plataforma WeDriver,
• creación, gestión e historial de pedidos y reservas de vehículos para los conductores del Cliente,
• verificación de la validez de la habilitación para conducir del conductor,
• facturación y liquidación de los servicios al Cliente,
• comunicación con los conductores en relación con las reservas (confirmaciones, cambios, avisos).

18.3 Categorías de datos:

• nombre y apellidos, fecha de nacimiento, correo electrónico, teléfono,
• número y validez del permiso de conducir, categorías habilitadas, resultado y fecha de la verificación,
• lugar de recogida y devolución del vehículo,
• datos de reservas, pedidos y facturación,
• datos técnicos sobre el uso de la plataforma (registros de inicio de sesión).

18.5 Categorías de interesados:

• empleados del Cliente,
• conductores del Cliente (también externos) que el Cliente haya incluido en la plataforma.

18.7 Plazos de conservación:

• datos de conductores y reservas durante la vigencia del contrato principal; tras su finalización, según la decisión del Cliente sobre supresión o devolución,
• datos de la verificación del permiso de conducir como máximo durante el tiempo necesario para la verificación y su acreditación, y en todo caso no más allá de la duración de la relación contractual con el Cliente,
• registros de inicio de sesión y registro de auditoría durante el tiempo necesario para garantizar la seguridad, por regla general no más de 12 meses,
• copias en las copias de seguridad durante el ciclo ordinario de copias, por regla general no más de 35 días.

18.9 Los datos que el Encargado deba conservar por ley (por ejemplo, documentos contables) se conservan durante el plazo fijado por la norma, como obligación independiente del Encargado.

19. Anexo 2 – Medidas técnicas y organizativas

19.1 El Encargado garantiza como mínimo las siguientes medidas:

• cifrado de la transmisión de datos (TLS) y cifrado de los datos sensibles almacenados, en particular los datos del permiso de conducir,
• gestión de accesos y permisos por roles según el principio de mínimo privilegio, revisión periódica de permisos y retirada inmediata del acceso cuando deje de ser necesario,
• verificación en dos factores del personal del Encargado con acceso a la administración y a los datos personales,
• registro de auditoría de los accesos y modificaciones de datos personales y su protección frente a alteraciones no autorizadas,
• copias de seguridad periódicas y comprobación de la restauración de los datos,
• separación de los entornos de producción, pruebas y desarrollo; en los entornos de prueba no se utilizan datos personales reales,
• plazos de conservación y borrado seguro de los datos al vencer el plazo o por instrucción del Cliente,
• formación e instrucción periódicas de las personas autorizadas a tratar datos personales en materia de protección de datos y seguridad,
• plan de respuesta a incidentes de seguridad, que incluye identificación, contención, erradicación, recuperación, notificación al Cliente y evaluación,
• actualización continua del software, protección frente a código malicioso y supervisión de vulnerabilidades,
• protección física de locales y equipos; en el alojamiento, garantizada por el proveedor de hosting.

20. Anexo 3 – Lista de subencargados

20.1 El Encargado recurre a subencargados en las siguientes categorías:

• alojamiento (hosting) y base de datos – explotación de la infraestructura y almacenamiento de datos,
• correo electrónico – envío de correos transaccionales y confirmaciones,
• pasarela de pago – tramitación de pagos y autorización de tarjetas de pago,
• notificaciones por SMS y push – entrega de avisos y códigos de verificación,
• verificación de identidad – verificación de la identidad y de la habilitación para conducir.

20.3 WeDriver facilitará a petición, en la dirección gdpr@wedriver.cz, la lista actualizada de los subencargados concretos, con indicación del país de tratamiento.