Acuerdo de encargo del tratamiento de datos

Versión 2026-10-08

El presente acuerdo de encargo del tratamiento de datos (el «Acuerdo») se celebra entre el Cliente indicado en el anexo I, como responsable del tratamiento, y Sebastian Drożdż, que opera bajo el nombre comercial Special Services, como encargado del tratamiento («nosotros»), que presta el servicio TransferCRM. Forma parte de los Términos de servicio de TransferCRM.

1. Las cláusulas

1.1 Las partes acuerdan las cláusulas contractuales tipo que figuran en el anexo de la Decisión de Ejecución (UE) 2021/915 de la Comisión, reproducidas a continuación sin modificación (las «Cláusulas»). Los anexos I a IV que figuran a continuación las completan.

1.2 Cuando las Cláusulas ofrecen una elección, las partes han elegido: en la cláusula 1, letra a), el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 (opción 1); la cláusula 5 (cláusula de incorporación) es de aplicación; en la cláusula 7.7, letra a), la autorización general por escrito (opción 2), con notificación de los cambios con al menos 30 días de antelación.

1.3 En caso de contradicción entre los Términos de servicio o cualquier otro acuerdo entre las partes y las Cláusulas, prevalecerán las Cláusulas (cláusula 4).

2. Cambios de subencargados

2.1 Informamos al Cliente de toda adición o sustitución prevista de un subencargado al menos 30 días antes de que surta efecto, por correo electrónico al propietario y a los administradores de la cuenta y mediante un aviso en la cuenta. No recurrimos al nuevo subencargado antes de esa fecha.

2.2 El Cliente puede oponerse al cambio, en la cuenta o por correo electrónico a privacy@transfercrm.com. Si la oposición se basa en motivos razonables relacionados con la protección de datos y las partes no la resuelven antes de que el cambio surta efecto, el Cliente puede resolver el contrato celebrado conforme a los Términos de servicio sin penalización, con efecto a más tardar en esa fecha. Las cuotas pagadas por adelantado correspondientes al período posterior a la resolución se reembolsan de forma proporcional.

3. Devolución y supresión de los datos (cláusula 10, letra d))

3.1 El Cliente puede exportar sus datos en cualquier momento mediante las exportaciones disponibles en la cuenta. Previa solicitud dirigida a privacy@transfercrm.com, facilitamos una exportación completa de los datos del Cliente en un plazo de 30 días.

3.2 Cuando el Cliente elimina su cuenta, sus datos personales se suprimen del servicio 30 días después de la solicitud. Sus copias permanecen en nuestras copias de seguridad hasta que estas se sobrescriben, a más tardar 12 meses después de la supresión (anexo III); hasta entonces, las Cláusulas siguen aplicándose a ellas. Las copias de seguridad se conservan únicamente para restablecer el servicio tras una avería y no se utilizan para ningún otro fin. Si alguna vez se restaura una copia de seguridad, las supresiones realizadas desde que se hizo se ejecutan de nuevo antes de que se utilice el servicio restaurado. Confirmamos la supresión por correo electrónico al propietario que hizo la solicitud, indicando la fecha de la supresión y la fecha en que caducan las copias de seguridad.

4. Incorporación de otras entidades (cláusula 5)

Otra entidad jurídica puede incorporarse a las Cláusulas conforme a la cláusula 5 mediante una solicitud escrita y fechada dirigida a privacy@transfercrm.com y aceptada por escrito por ambas partes. La entidad que se incorpora facilita sus datos para el anexo I. Registramos la incorporación y la confirmamos por correo electrónico.

5. Duración

El presente Acuerdo se aplica mientras exista la cuenta del Cliente y, posteriormente, hasta la supresión de los datos personales del Cliente conforme a la cláusula 10, letra d), y al apartado 3.

6. Legislación aplicable y tribunales

El presente Acuerdo se rige por la legislación de la República de Polonia y de la Unión Europea. Cualquier controversia será resuelta por el tribunal competente de Cracovia, Polonia, como en los Términos de servicio. Ello no afecta a los derechos de los interesados ni a las facultades de las autoridades de control.

7. Celebración en formato electrónico

El presente Acuerdo se celebra en formato electrónico (artículo 28, apartado 9, del Reglamento (UE) 2016/679) cuando el propietario de la cuenta del Cliente lo acepta en la cuenta. Conservamos un registro de la versión y el idioma aceptados, de la persona que lo aceptó y del momento. En la cuenta puede descargarse un PDF del texto aceptado con una confirmación de la celebración. La versión lingüística aceptada es la vinculante.

Cláusulas contractuales tipo

SECCIÓN I

Cláusula 1 — Finalidad y ámbito de aplicación

a) La finalidad de las presentes cláusulas contractuales tipo (en lo sucesivo, «pliego de cláusulas») es garantizar que se cumpla el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

b) Los responsables y encargados del tratamiento enumerados en el anexo I han dado su consentimiento a vincularse por el presente pliego de cláusulas a fin de garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 y/o del artículo 29, apartados 3 y 4, del Reglamento (UE) 2018/1725.

c) El presente pliego de cláusulas se aplica al tratamiento de datos personales especificado en el anexo II.

d) Los anexos I a IV forman parte del pliego.

e) El presente pliego de cláusulas se entiende sin perjuicio de las obligaciones a las que esté sujeto el responsable en virtud del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

f) El presente pliego de cláusulas no garantiza por sí mismo el cumplimiento de las obligaciones relativas a las transferencias internacionales contempladas en el capítulo V del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

Cláusula 2 — Invariabilidad del pliego de cláusulas

a) Las partes se comprometen a no modificar el pliego de cláusulas, excepto para añadir o actualizar información en los anexos.

b) Esto no es óbice para que las partes incluyan en un contrato más amplio las cláusulas contractuales tipo que contiene el presente pliego, ni para que añadan otras cláusulas o garantías adicionales siempre que no contradigan, directa o indirectamente, el pliego de cláusulas ni perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 3 — Interpretación

a) Cuando en el presente pliego de cláusulas se utilizan términos definidos en el Reglamento (UE) 2016/679 o en el Reglamento (UE) 2018/1725, se entiende que tienen el mismo significado que en el Reglamento correspondiente.

b) El presente pliego de cláusulas deberá leerse e interpretarse con arreglo a las disposiciones del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) No se podrán realizar interpretaciones del presente pliego de cláusulas que entren en conflicto con los derechos y obligaciones establecidos en el Reglamento (UE) 2016/679 y el Reglamento (UE) 2018/1725 y/o que perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 4 — Jerarquía

En caso de contradicción entre el presente pliego de cláusulas y las disposiciones de acuerdos conexos entre las partes que estuvieren en vigor en el momento en que se pactare o comenzare a aplicarse el presente pliego de cláusulas, prevalecerá el presente pliego de cláusulas.

Cláusula 5 (opcional) — Cláusula de incorporación

a) Cualquier entidad que no sea parte en el presente pliego de cláusulas podrá, previo consentimiento de todas las partes, adherirse al presente pliego de cláusulas en cualquier momento, ya sea como responsable o como encargado, cumplimentando los anexos y firmando el anexo I.

b) Una vez se hayan cumplimentado y firmado los anexos a que se refiere la letra a), la entidad que se adhiera será tratada como parte en el presente pliego de cláusulas y tendrá los derechos y obligaciones de un responsable o encargado, según la categoría en la que se haya inscrito en el anexo I.

c) La entidad que se adhiera no adquirirá derechos y obligaciones del presente pliego de cláusulas derivados del período anterior a la adhesión.

SECCIÓN II — OBLIGACIONES DE LAS PARTES

Cláusula 6 — Descripción del tratamiento o tratamientos

En el anexo II se especifican los pormenores de las operaciones de tratamiento y, en particular, las categorías de datos personales y los fines para los que se tratan los datos personales por cuenta del responsable.

Cláusula 7 — Obligaciones de las partes

7.1. Instrucciones

a) El encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado. En tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. El responsable también podrá dar instrucciones ulteriores en cualquier momento del período de tratamiento de los datos personales. Dichas instrucciones deberán estar siempre documentadas.

b) El encargado informará inmediatamente al responsable si las instrucciones dadas por el responsable infringen, a juicio del encargado, el Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 o las disposiciones aplicables del Derecho de la Unión o de los Estados miembros en materia de protección de datos.

7.2. Limitación de la finalidad

El encargado tratará los datos personales únicamente para los fines específicos del tratamiento indicados en el anexo II, salvo cuando siga instrucciones adicionales del responsable.

7.3. Duración del tratamiento de datos personales

El tratamiento por parte del encargado solo se realizará durante el período especificado en el anexo II.

7.4. Seguridad del tratamiento

a) El encargado aplicará, como mínimo, las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales. Una de estas medidas podrá consistir en la protección contra violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos («violación de la seguridad de los datos personales»). A la hora de determinar un nivel adecuado de seguridad, las partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos que entraña el tratamiento para los interesados.

b) El encargado solo concederá acceso a los datos personales tratados a los miembros de su personal en la medida en que sea estrictamente necesario para la ejecución, la gestión y el seguimiento del contrato. El encargado garantizará que las personas autorizadas para tratar los datos personales recibidos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.

7.5. Datos sensibles

Si el tratamiento afecta a datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física, o datos relativos a condenas e infracciones penales («datos sensibles»), el encargado aplicará restricciones específicas y/o garantías adicionales.

7.6. Documentación y cumplimiento

a) Las partes deberán poder demostrar el cumplimiento del presente pliego de cláusulas.

b) El encargado resolverá con presteza y de forma adecuada las consultas del responsable relacionadas con el tratamiento con arreglo al presente pliego de cláusulas.

c) El encargado pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones contempladas en el presente pliego de cláusulas y que deriven directamente del Reglamento (UE) 2016/679 y del Reglamento (UE) 2018/1725. A instancia del responsable, el encargado permitirá y contribuirá a la realización de auditorías de las actividades de tratamiento cubiertas por el presente pliego de cláusulas, a intervalos razonables o si existen indicios de incumplimiento. Al decidir si se realiza un examen o una auditoría, el responsable podrá tener en cuenta las certificaciones pertinentes que obren en poder del encargado.

d) El responsable podrá optar por realizar la auditoría por sí mismo o autorizar a un auditor independiente. Las auditorías también podrán consistir en inspecciones de los locales o instalaciones físicas del encargado y, cuando proceda, realizarse con un preaviso razonable.

e) Las partes pondrán a disposición de las autoridades de control competentes, a instancia de estas, la información a que se refiere la presente cláusula y, en particular, los resultados de las auditorías.

7.7. Recurso a subencargados

a) El encargado cuenta con una autorización general del responsable para contratar a subencargados que figuren en una lista acordada. El encargado informará al responsable específicamente y por escrito de las adiciones o sustituciones de subencargados previstas en dicha lista con al menos 30 días de antelación, de modo que el responsable tenga tiempo suficiente para formular objeción a tales cambios antes de que se contrate al subencargado o subencargados de que se trate. El encargado del tratamiento proporcionará al responsable la información necesaria para que pueda ejercer su derecho a formular objeción.

b) Cuando el encargado contrate a un subencargado para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable), lo hará por medio de un contrato que imponga al subencargado, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al encargado en virtud del presente pliego de cláusulas. El encargado se asegurará de que el subencargado cumpla las obligaciones a las que esté sujeto en virtud del presente pliego de cláusulas y del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) El encargado proporcionará al responsable, a instancia de este, una copia del contrato con el subencargado y de cualquier modificación posterior del mismo. En la medida en que sea necesario para proteger secretos comerciales u otro tipo de información confidencial, como datos personales, el encargado podrá expurgar el texto del contrato antes de compartir la copia.

d) El encargado seguirá siendo plenamente responsable ante el responsable del cumplimiento de las obligaciones que imponga al subencargado su contrato con el encargado. El encargado notificará al responsable los incumplimientos por parte del subencargado de las obligaciones que le atribuya dicho contrato.

e) El encargado pactará con el subencargado una cláusula de tercero beneficiario en virtud de la cual, en caso de que el encargado desaparezca de facto, cese de existir jurídicamente o sea insolvente, el responsable tendrá derecho a rescindir el contrato del subencargado y ordenar a este que suprima o devuelva los datos personales.

7.8. Transferencias internacionales

a) Las transferencias de datos a un tercer país o a una organización internacional por parte del encargado solo podrán realizarse siguiendo instrucciones documentadas del responsable o en virtud de una exigencia expresa del Derecho de la Unión o del Estado miembro al que esté sujeto el encargado; se llevarán a cabo de conformidad con el capítulo V del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725.

b) El responsable se aviene a que, cuando el encargado recurra a un subencargado de conformidad con la cláusula 7.7 para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable) y dichas actividades conlleven una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679, el encargado y el subencargado puedan garantizar el cumplimiento del capítulo V del Reglamento (UE) 2016/679 utilizando cláusulas contractuales tipo adoptadas por la Comisión, con arreglo al artículo 46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan las condiciones para la utilización de dichas cláusulas contractuales tipo.

Cláusula 8 — Ayuda al responsable del tratamiento

a) El encargado notificará con presteza al responsable las solicitudes que reciba del interesado. No responderá a dicha solicitud por sí mismo, a menos que el responsable le haya autorizado a hacerlo.

b) El encargado ayudará al responsable a cumplir sus obligaciones al responder a las solicitudes de ejercicio de derechos de los interesados teniendo en cuenta la naturaleza del tratamiento. En el cumplimiento de las obligaciones que le atribuyen las letras a) y b), el encargado cumplirá las instrucciones del responsable.

c) Además de la obligación del encargado de ayudar al responsable en virtud de la cláusula 8, letra b), el encargado también ayudará al responsable a garantizar el cumplimiento de las obligaciones siguientes teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado:

1) la obligación de realizar una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales («evaluación de impacto») cuando sea probable que un tipo de tratamiento suponga un alto riesgo para los derechos y libertades de las personas físicas;
2) la obligación de consultar a las autoridades de control competentes antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo;
3) la obligación de garantizar que los datos personales sean exactos y estén actualizados, informando sin demora al responsable si el encargado descubre que los datos personales que está tratando son inexactos o han quedado obsoletos;
4) las obligaciones contempladas en el artículo 32 del Reglamento (UE) 2016/679.

d) Las partes establecerán en el anexo III medidas técnicas y organizativas apropiadas que obliguen al encargado a ayudar al responsable a aplicar la presente cláusula, así como el objeto y el alcance de la ayuda requerida.

Cláusula 9 — Notificación de violaciones de la seguridad de los datos personales

En caso de violación de la seguridad de los datos personales, el encargado colaborará con el responsable y le ayudará a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679 o los artículos 34 y 35 del Reglamento (UE) 2018/1725, en su caso, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado.

9.1. Violación de la seguridad de datos personales tratados por el responsable

En caso de violación de la seguridad de los datos personales en relación con los datos tratados por el responsable, el encargado ayudará al responsable en lo siguiente.

a) Notificar la violación de la seguridad de los datos personales a las autoridades de control competentees sin dilación indebida una vez tenga constancia de ella, si procede (a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas).

b) Recabar la información siguiente, que, de conformidad con el artículo 33, apartado 3, del Reglamento (UE) 2016/679, deberá figurar en la notificación del responsable, que debe incluir como mínimo:

1) la naturaleza de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
2) las consecuencias probables de la violación de la seguridad de los datos personales;
3) las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.

c) Cumplir, con arreglo al artículo 34 del Reglamento (UE) 2016/679, la obligación de comunicar sin dilación indebida al interesado la violación de la seguridad de los datos personales cuando sea probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas.

9.2. Violación de la seguridad de datos personales tratados por el encargado

En caso de violación de la seguridad de datos personales tratados por el encargado, este lo notificará al responsable sin dilación indebida una vez que el encargado tenga constancia de ella. Dicha notificación deberá incluir como mínimo:

a) una descripción de la naturaleza de la violación de la seguridad (inclusive, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos afectados);

b) los datos de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los datos personales;

c) sus consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad, incluyendo las medidas adoptadas para mitigar los posibles efectos negativos.

Las partes establecerán en el anexo III los demás elementos que deberá aportar el encargado cuando ayude al responsable a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679.

SECCIÓN III — DISPOSICIONES FINALES

Cláusula 10 — Incumplimiento de las cláusulas y resolución del contrato

a) Sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725, en caso de que el encargado del tratamiento incumpla las obligaciones que le atribuye el presente pliego de cláusulas, el responsable podrá ordenar al encargado que suspenda el tratamiento de datos personales hasta que este vuelva a dar cumplimiento al presente pliego de cláusulas, o resolver el contrato. El encargado informará con presteza al responsable en caso de que no pueda dar cumplimiento al presente pliego de cláusulas por cualquier motivo.

b) El responsable estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando:

1) el tratamiento de datos personales por parte del encargado haya sido suspendido por el responsable con arreglo a la letra a) y no se vuelva a dar cumplimiento al presente pliego de cláusulas en un plazo razonable y, en cualquier caso, en un plazo de un mes a contar desde la suspensión;
2) el encargado incumpla de manera sustancial o persistente el presente pliego de cláusulas o las obligaciones que le atribuye el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725;
3) el encargado incumpla una resolución vinculante de un órgano jurisdiccional competente o de las autoridades de control competentes en relación con las obligaciones que les atribuye el presente pliego de cláusulas, el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725.

c) El encargado estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando, tras haber informado al responsable de que sus instrucciones infringen los requisitos jurídicos exigidos por la cláusula 7.1, letra b), el responsable insiste en que se sigan dichas instrucciones.

d) Tras la resolución del contrato, el encargado suprimirá, a petición del responsable, todos los datos personales tratados por cuenta del responsable y acreditará al responsable que lo ha hecho, o devolverá todos los datos personales al responsable y suprimirá las copias existentes, a menos que el Derecho de la Unión o de los Estados miembros exija el almacenamiento de los datos personales. Hasta que se destruyan o devuelvan los datos, el encargado seguirá garantizando el cumplimiento con el presente pliego de cláusulas.

Anexo I — Lista de partes

Responsable del tratamiento

Nombre: ______________
Dirección: ______________
N.º de IVA: ______________

Persona de contacto: ______________, propietario de la cuenta, ______________
Correo electrónico de facturación: ______________
Función: responsable del tratamiento
Firma y fecha de incorporación: mediante aceptación electrónica en la cuenta; la persona y la fecha constan en la confirmación de la celebración.

Encargado del tratamiento

Nombre: Sebastian Drożdż, que opera bajo el nombre comercial Special Services
Dirección: Skrzynka 7a, 32-410 Dobczyce, PL
NIP (número de identificación fiscal polaco): 6793148834
Contacto: privacy@transfercrm.com (no se ha designado delegado de protección de datos)
Función: encargado del tratamiento
Firma y fecha de incorporación: mediante la aceptación electrónica del Cliente en la cuenta, en la misma fecha.

Anexo II — Descripción del tratamiento

Categorías de interesados cuyos datos personales se tratan

Los pasajeros del Cliente y las personas que reservan trayectos para ellos.
Las personas de contacto de los clientes del Cliente (empresas, agencias, hoteles).
Los conductores y el personal del Cliente que utilizan el servicio.
Las personas de contacto de los socios del Cliente (otras empresas de transporte).

Categorías de datos personales tratados

Datos de identificación y contacto: nombre, número de teléfono, dirección de correo electrónico, empresa.
Datos de reserva y de itinerario: direcciones y horas de recogida y destino, números de vuelo, número de pasajeros y equipaje, observaciones.
La ubicación de un conductor durante el servicio, enviada por la aplicación del conductor.
Estado de pago e importes de trayectos y facturas. Sin números de tarjeta: las tarjetas permanecen en el proveedor de pagos del Cliente.
Mensajes enviados a través del servicio: correo electrónico, SMS, WhatsApp y chat.
Firmas realizadas en los presupuestos.
Datos de las cuentas de usuario: nombre, dirección de correo electrónico, función, registros de inicio de sesión.

Datos sensibles tratados

El servicio no está concebido para categorías especiales de datos ni para datos relativos a condenas e infracciones penales. Puede contener las necesidades de accesibilidad que un pasajero indique para un trayecto (por ejemplo, una silla de ruedas) y los documentos sobre sus conductores que el Cliente decida subir, que pueden incluir un certificado médico o psicológico o un certificado de antecedentes penales. El Cliente decide si los registra. Además de las medidas del anexo III, se les aplican las siguientes restricciones (cláusula 7.5):

Los documentos subidos se almacenan fuera de la parte pública del servidor y no tienen ningún enlace público. Un archivo archivado en la ficha del conductor solo puede abrirlo un usuario que haya iniciado sesión en la cuenta del Cliente con la función de propietario, administrador u operador; solo un propietario o un administrador puede eliminarlo. Los usuarios con la función de contable o visualizador pueden ver que existe un documento de un conductor y cuándo caduca, pero no el archivo.
Los conductores, los socios, los pasajeros, los portales de clientes y de agentes y las claves API no tienen acceso a estos documentos.
Un archivo adjunto a un trayecto puede abrirlo cualquier usuario que pueda abrir ese trayecto. Por ello, los documentos de este tipo deben archivarse en la ficha del conductor y no en un trayecto.
Las necesidades de accesibilidad solo se muestran junto con el trayecto al que se refieren: a los usuarios de la cuenta del Cliente y al conductor o socio al que el Cliente asigne ese trayecto. Un conductor solo ve los trayectos que se le asignan.
Al eliminar un documento se elimina su archivo; todos los documentos se suprimen con la cuenta (apartado 3).

Naturaleza del tratamiento

Alojamiento y almacenamiento; organización y visualización en la cuenta; transmisión (correos electrónicos, SMS, notificaciones push, enlaces para pasajeros y socios); asignación de trayectos a conductores y socios; cálculo de precios y documentos; supresión.

Fines para los que se tratan los datos personales por cuenta del responsable del tratamiento

Prestar al Cliente el servicio TransferCRM conforme a los Términos de servicio: reservas, asignación de servicios, flota, clientes, facturación y comunicación con pasajeros, conductores y socios.

Duración del tratamiento

Mientras exista la cuenta del Cliente y hasta la supresión de sus datos personales: del servicio, 30 días después de una solicitud de eliminación de la cuenta, y de las copias de seguridad, cuando estas se sobrescriban, a más tardar 12 meses después de esa supresión (apartado 3.2). Durante ese período, los datos de ubicación de los conductores se conservan 60 días y los registros de comunicación 365 días; el anexo III indica los demás plazos de conservación. Todos los demás datos se conservan hasta que el Cliente los elimine o se suprima la cuenta; los datos que el Cliente elimina permanecen en las copias de seguridad hasta que estas se sobrescriben, a más tardar 12 meses después.

Tratamiento por subencargados

El objeto y la naturaleza del tratamiento se indican para cada subencargado en el anexo IV. La duración es la misma que la indicada anteriormente.

Anexo III — Medidas técnicas y organizativas, en especial medidas técnicas y organizativas para garantizar la seguridad de los datos

Alojamiento y ubicación

El servicio y su base de datos funcionan en servidores alojados por Hostinger en Fráncfort del Meno, Alemania (UE).
Nuestro propio servidor de correo (Exim) y nuestro propio servidor de tiempo real (soketi) funcionan en el mismo servidor, por lo que los correos electrónicos que enviamos y las actualizaciones en directo no pasan por ningún proveedor externo. Se exceptúan los servicios que el Cliente conecta por su cuenta (anexo IV).

Cifrado

Todas las conexiones con el servicio se cifran en tránsito (TLS).
La configuración de la empresa y las credenciales almacenadas (por ejemplo, las claves de los servicios conectados) se cifran en reposo.
Las contraseñas de los usuarios solo se almacenan como valores hash.

Separación de clientes

Cada registro lleva el identificador de la empresa a la que pertenece, y este aislamiento a nivel de fila se aplica en el código.

Control de acceso

Seis funciones: propietario, administrador, operador, contable, conductor, visualizador.
La autenticación de dos factores está disponible para cada usuario. Una empresa puede exigirla a su personal de oficina (propietarios, administradores, operadores, contables, visualizadores); los conductores no están incluidos en esa regla.
Los inicios de sesión pueden revocarse. El cambio de un segundo factor cierra los inicios de sesión anteriores.

Disponibilidad y recuperación

Una copia de la base de datos cada 15 minutos, conservada en el servidor hasta 48 horas.
Cada noche, una copia de la base de datos, de los archivos almacenados y de los buzones de correo, conservada en el servidor durante 14 días; una copia por semana se conserva 8 semanas y una por mes, 12 meses.
Las copias del servidor solo puede leerlas la cuenta de administrador del operador del servicio.
Cada hora, las copias se transfieren mediante una conexión cifrada a un disco cifrado que el operador del servicio conserva en Polonia, donde ninguna se conserva más de 12 meses.
Cada semana, la copia nocturna más reciente se restaura en una base de datos separada, se compara con la del servicio en funcionamiento y se elimina.
Si se restaura una copia de seguridad, las supresiones de cuentas realizadas desde que se hizo se ejecutan de nuevo antes de que se utilice el servicio restaurado.

Registro de eventos

Los registros de acceso se conservan 14 días.

Minimización de datos y conservación limitada

Los números de tarjeta nunca llegan a nosotros: las tarjetas permanecen en el proveedor de pagos del Cliente.
Ninguna copia de seguridad se conserva más de 12 meses.
Los datos de ubicación de los conductores se suprimen a los 60 días y los registros de comunicación a los 365 días.
Las tareas en segundo plano fallidas se suprimen a los 30 días y los archivos de exportación temporales a las 24 horas.
Una cuenta eliminada se suprime 30 días después de la solicitud, y la supresión se confirma (apartado 3).

Portabilidad

El Cliente puede exportar sus datos en la cuenta en cualquier momento. Previa solicitud, se facilita una exportación completa en un plazo de 30 días (apartado 3).

Ayuda al responsable del tratamiento

Solicitudes de los interesados: la cuenta ofrece las herramientas para atenderlas, es decir, la exportación, la rectificación y la supresión de pasajeros, clientes y conductores. Una solicitud que nos llegue se remite al Cliente en un plazo de 5 días hábiles; no la respondemos nosotros, salvo que el Cliente nos lo indique.
Evaluación de impacto relativa a la protección de datos y consulta previa: previa solicitud, facilitamos la información de que disponemos en un plazo de 30 días.
Violaciones de la seguridad de los datos personales: notificamos al Cliente sin dilación indebida y, a más tardar, 48 horas después de tener conocimiento de la violación, por correo electrónico al propietario de la cuenta y mediante un aviso en la cuenta, con la información exigida por la cláusula 9.2.
No se ha designado delegado de protección de datos, ya que no es obligatorio. Contacto: privacy@transfercrm.com.

Anexo IV — Lista de subencargados del tratamiento

El Cliente otorga una autorización general por escrito para los subencargados que se enumeran a continuación (cláusula 7.7, letra a), opción 2). Los cambios se notifican conforme al apartado 2. La lista vigente también se publica en transfercrm.com/legal.

Subencargados del tratamiento que contratamos

Nombre	Tratamiento	Ubicación	Garantía de transferencia
Hostinger International Ltd. (61 Lordou Vironos str., 6023 Larnaca, Cyprus, gdpr@hostinger.com)	Alojamiento de los servidores en los que funcionan el servicio y su base de datos.	Frankfurt am Main, DE (EU)	Tratamiento dentro de la UE/EEE
Google LLC — Firebase Cloud Messaging (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, https://firebase.google.com/support/privacy/dpo)	Notificaciones push a la aplicación del conductor: hora, lugar y número de un trayecto, y aviso de un mensaje nuevo.	EE. UU. y otras ubicaciones de Google	Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo

Destinatarios que actúan como responsables independientes

Deciden por sí mismos, conforme a sus propias condiciones, cómo tratan los datos que reciben; no son subencargados nuestros.

Nombre	Tratamiento	Ubicación	Garantía de transferencia
Google Ireland Limited — Google Maps Platform (Gordon House, Barrow Street, Dublin 4, Ireland, legal-notices@google.com)	Direcciones y coordenadas de los trayectos, para mapas, búsqueda de direcciones (Places), geocodificación y rutas. Google las trata como responsable independiente conforme a sus propias condiciones.	IE (EU)	Destinatario en la UE/EEE (sin transferencia por nuestra parte)
European Commission — VIES (Rue de la Loi 200, 1049 Brussels, Belgium)	Validación de números de IVA en los registros nacionales de IVA. En el caso de un empresario individual, el número de IVA puede ser un dato personal. VIES lo gestiona la Comisión por cuenta de las administraciones tributarias de los Estados miembros, que son sus responsables del tratamiento.	BE (EU)	Destinatario en la UE/EEE (sin transferencia por nuestra parte)

Servicios que no reciben datos personales

FlightAware LLC (11 Greenway Plaza, Suite 2900, Houston, TX 77046, USA): Estado del vuelo para trayectos con número de vuelo. Solo recibe el número de vuelo (por ejemplo, LH1234), sin nombre, fecha ni ningún otro dato del trayecto.

Servicios que usted conecta por su cuenta

Se tratan siguiendo sus instrucciones, conforme a su propio contrato con el proveedor: nosotros transmitimos los datos, y el proveedor no es subencargado nuestro.

Su propio servidor de correo (SMTP) o cuenta de Google (Gmail) para el envío de correos electrónicos
Cuentas de Stripe y PayPal para los pagos de sus clientes
Proveedores de SMS (por ejemplo, Twilio, SMSAPI)
WhatsApp Business (Meta)
Contabilidad, facturación y factura electrónica (por ejemplo, Fakturownia, wFirma, QuickBooks, Xero, InvoiceXpress, KSeF, Peppol, SdI)
Calendarios de Google Calendar y Microsoft Outlook
Su centralita telefónica, para los avisos de llamadas
Su propia cuenta de datos de vuelos (FlightAware, AeroDataBox)
Su propia clave de IA (Anthropic)
Webhooks e integraciones de API que usted configura