Acuerdo de Tratamiento de Datos (DPA)

Este Acuerdo forma parte integrante de los Términos de Servicio y se considera celebrado en el momento en que el Cliente acepta los Términos, sin necesidad de firma autónoma. Cumple lo dispuesto en el artículo 28, apartado 3, del RGPD.

1. Partes y calificación

• Responsable del tratamiento: el Cliente, la entidad titular de la cuenta en RackLoop.
• Encargado del tratamiento: Pedro Miguel de Oliveira Tempero, Empresario en Nombre Individual, NIF 217443990, con domicilio en Rua Poços de Caldas, n.º 3, R/C Dto., 2500-325 Caldas da Rainha, Portugal, en adelante “RackLoop”.

El Cliente determina los fines y los medios del tratamiento de los datos personales que introduce en la plataforma. RackLoop trata esos datos exclusivamente por cuenta y siguiendo instrucciones del Cliente.

2. Objeto, naturaleza, finalidad y duración

Objeto: prestación del servicio RackLoop de gestión de soportes de transporte retornables.

Naturaleza de las operaciones: recogida, registro, organización, conservación, consulta, utilización, transmisión por correo electrónico, exportación y supresión.

Finalidad: permitir al Cliente gestionar su parque de caballetes, registrar movimientos, informar a sus clientes finales, emitir informes y facturar la inmovilización.

Duración: el tratamiento se mantiene mientras dure el contrato de suscripción, más los plazos de conservación previstos en la cláusula 10.

3. Categorías de interesados y de datos

Categorías de interesados:

• empleados del Cliente con acceso a la plataforma (administradores, personal de oficina, conductores);
• personas de contacto en los clientes finales del Cliente;
• usuarios del portal del cliente final.

Categorías de datos personales:

Categorías especiales de datos: no se tratan. El Cliente se obliga a no introducir en la plataforma datos de las categorías previstas en el artículo 9 del RGPD ni datos relativos a condenas penales.

4. Obligaciones de RackLoop

RackLoop se obliga a:

a) tratar los datos personales únicamente siguiendo instrucciones documentadas del Cliente, incluidas las derivadas del uso normal de la plataforma, salvo que esté obligado por el Derecho de la Unión o de un Estado miembro, en cuyo caso informará al Cliente antes del tratamiento, salvo que ello esté legalmente prohibido;

b) informar inmediatamente al Cliente si considera que una instrucción infringe el RGPD u otra disposición en materia de protección de datos;

c) garantizar que las personas autorizadas para tratar los datos están sujetas a una obligación de confidencialidad;

d) aplicar las medidas técnicas y organizativas descritas en el Anexo II;

e) respetar las condiciones de contratación de subencargados previstas en la cláusula 5;

f) asistir al Cliente, en la medida de lo posible y mediante medidas técnicas adecuadas, en el cumplimiento del deber de responder a las solicitudes de ejercicio de derechos de los interesados (artículos 12 a 22 del RGPD);

g) asistir al Cliente en el cumplimiento de las obligaciones previstas en los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información disponible;

h) suprimir o devolver los datos al finalizar la prestación, conforme a la cláusula 10;

i) poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 y permitir auditorías, conforme a la cláusula 9.

5. Subencargados del tratamiento

5.1. El Cliente concede a RackLoop autorización general previa para recurrir a subencargados, que figuran publicados en https://rackloop.app/es/legal/subencargados.

5.2. RackLoop informará al Cliente, por correo electrónico y mediante actualización de esa página, de cualquier cambio previsto — incorporación o sustitución — con una antelación mínima de 30 días.

5.3. El Cliente podrá oponerse de forma motivada dentro de ese plazo. De no ser posible una solución alternativa, el Cliente podrá resolver el contrato sin penalización, con reembolso proporcional del período abonado y no utilizado.

5.4. RackLoop suscribe con cada subencargado obligaciones de protección de datos no menos exigentes que las contenidas en este Acuerdo y responde ante el Cliente del cumplimiento por parte de aquellos.

6. Transferencias internacionales

6.1. El almacenamiento principal de los datos se realiza en la Unión Europea (Fráncfort, Alemania).

6.2. Siempre que un subencargado implique tratamiento fuera del Espacio Económico Europeo, la transferencia se basa en una decisión de adecuación de la Comisión Europea o en Cláusulas Contractuales Tipo, según se indica, para cada subencargado, en la lista referida en la cláusula 5.1.

7. Violaciones de la seguridad de los datos personales

7.1. RackLoop notifica al Cliente sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Cliente.

7.2. La notificación incluye, en la medida en que se conozca: la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas.

7.3. Corresponde al Cliente, como responsable, valorar y efectuar la notificación a la autoridad de control y, en su caso, a los interesados.

8. Derechos de los interesados

8.1. Si un interesado dirige a RackLoop una solicitud de ejercicio de derechos relativa a datos de un Cliente, RackLoop no responderá sobre el fondo y remitirá la solicitud al Cliente sin dilación.

8.2. La plataforma pone a disposición del Cliente funcionalidades de consulta, rectificación, exportación (Excel) y supresión de registros, que le permiten atender de forma autónoma la generalidad de las solicitudes.

8.3. Cuando la solicitud exija una intervención técnica no cubierta por esas funcionalidades, RackLoop prestará asistencia razonable, pudiendo repercutir el coste del tiempo empleado en solicitudes manifiestamente excesivas o repetitivas, previo presupuesto.

9. Auditorías

9.1. RackLoop pone a disposición del Cliente, a petición de este, la documentación relativa a las medidas de seguridad y a la conformidad de los subencargados.

9.2. El Cliente podrá realizar auditorías, por sí o mediante auditor independiente sujeto a confidencialidad, con un preaviso de 30 días, como máximo una por año natural, salvo a raíz de una violación de datos. Las auditorías se desarrollan en horario laboral, sin perturbación desproporcionada de la actividad, y no pueden comprometer datos de otros Clientes.

10. Supresión y devolución al finalizar el contrato

10.1. Extinguido el contrato, el Cliente dispone de 60 días para exportar sus datos a través de las funcionalidades de la plataforma.

10.2. Transcurrido ese plazo, RackLoop suprime los datos de los sistemas de producción. Las copias de seguridad cifradas son objeto de rotación, quedando los datos definitivamente suprimidos en un plazo máximo de 30 días adicionales.

10.3. Se exceptúa la información cuya conservación sea legalmente obligatoria, en particular los documentos de facturación, conservada durante el plazo legal y aislada de uso operativo.

11. Responsabilidad

Cada parte responde de los daños causados por el tratamiento en el que haya incumplido las obligaciones que el RGPD le dirige directamente o las instrucciones lícitas de la otra parte. Las limitaciones de responsabilidad previstas en los Términos de Servicio se aplican a este Acuerdo, en la medida en que la ley lo permita.

12. Prevalencia

En caso de contradicción entre este Acuerdo y los Términos de Servicio, prevalece este Acuerdo en las materias de protección de datos.

---

Anexo I — Descripción del tratamiento

Anexo II — Medidas técnicas y organizativas de seguridad

Control de acceso

• Autenticación por cuenta individual; contraseñas almacenadas de forma cifrada por el proveedor de autenticación.
• Perfiles de permisos diferenciados (administrador, oficina, conductor, cliente de portal) con principio de mínimo privilegio.
• Aislamiento lógico entre Clientes mediante seguridad a nivel de fila en la base de datos (row level security); la identificación de la empresa se determina siempre en el servidor y nunca se acepta desde el cliente.
• Las sesiones inválidas o las cuentas desactivadas terminan el acceso de inmediato.

Seguridad en la transmisión y el almacenamiento

• Comunicaciones exclusivamente por HTTPS/TLS.
• Datos en reposo cifrados a nivel del proveedor de infraestructura.
• Claves de la interfaz de programación (API) almacenadas únicamente en forma de resumen criptográfico (hash), entregadas mediante enlace de visualización única.

Resiliencia y recuperación

• Copias de seguridad diarias cifradas, con procedimiento de recuperación documentado.
• Infraestructura en proveedor con redundancia y monitorización.

Organización

• Acceso administrativo limitado al titular de la actividad.
• Registro de operaciones sensibles (auditoría) en las áreas de administración.
• Política de actualización de dependencias y revisión de vulnerabilidades.
• Obligación de confidencialidad de cualquier empleado o prestador con acceso.

Anexo III — Subencargados del tratamiento

La lista actualizada se encuentra en https://rackloop.app/es/legal/subencargados y forma parte integrante de este Acuerdo.