Acuerdo de Tratamiento de Datos

1. Qué es este documento y cuándo se aplica

Este Acuerdo de Tratamiento de Datos (“DPA”, por sus siglas en inglés) forma parte de nuestros Términos de Servicio y se aplica siempre que usted use MoverTrack para manejar datos personales de otras personas — ante todo, de sus clientes.

Existe porque la normativa de protección de datos exige un contrato escrito entre un responsable y un encargado del tratamiento, y porque usted debe poder ver exactamente qué hacemos con los datos de sus clientes.

2. Quién es quién

Usted es el responsable del tratamiento. Usted decide qué clientes ingresar, qué registrar sobre ellos y quién recibe un enlace de seguimiento. Son sus clientes, no los nuestros.

Nosotros somos su encargado del tratamiento. Almacenamos y transmitimos esos datos para operar el Servicio para usted, y para ningún fin propio. No los vendemos, no le hacemos marketing a sus clientes y no los usamos para entrenar nada. La información que haya sido anonimizada y combinada, de modo que ya no pueda identificar a nadie, deja de ser datos personales, y podemos usarla para operar, medir y mejorar el Servicio.

Por separado, somos responsables del tratamiento por derecho propio respecto de los datos sobre usted — su cuenta, su inicio de sesión, su facturación. Eso está cubierto por nuestra Política de Privacidad, no por este DPA.

3. Qué tratamos por cuenta suya

Objeto y finalidad: prestar el servicio de MoverTrack — programación, órdenes, páginas de seguimiento para clientes, mensajería, administración del equipo y, cuando su plan lo incluya, la conversión de chats de WhatsApp en trabajos sugeridos.

Duración: mientras su cuenta esté activa, más los plazos de conservación indicados en la sección 10.

Categorías de titulares de los datos: sus clientes, las personas que ellos designen como contactos y sus trabajadores.

Categorías de datos personales:

• nombres, números de teléfono y direcciones de correo electrónico de sus clientes;
• las direcciones de cada trabajo y cualquier nota que agregue a un trabajo;
• detalles de las órdenes, precios e historial de trabajos;
• fotografías y archivos que usted o sus trabajadores suban a un trabajo;
• la ubicación del vehículo mientras usted tiene el seguimiento activo, y la ruta y la hora estimada de llegada resultantes;
• los mensajes de WhatsApp enviados o recibidos a través del Servicio — de cada mensaje, quién lo envió, cuándo, de qué tipo era y su estado de entrega (que conservamos para que los mensajes se envíen solo mientras WhatsApp lo permita, dentro de la ventana de servicio de atención al cliente de 24 horas de WhatsApp), así como su contenido (texto, fotografías, notas de voz y archivos) en la medida en que el modo de trabajo que usted elija lo conserve;
• los nombres, números de teléfono y asignaciones de trabajo de sus trabajadores.

Elegir un modo de trabajo en la aplicación es la instrucción que usted nos da sobre qué conservar de sus chats de WhatsApp. Cuando usted elige uno que conserva menos, su plan ya no incluye el que tenía o usted quita su número del Servicio, eliminamos del Servicio lo que el Servicio ya no conserva de los mensajes de sus clientes; los chats en sí permanecen en WhatsApp.

No solicitamos ni queremos datos de categorías especiales — salud, creencias, biometría y similares. Por favor, no los escriba en una nota de trabajo.

4. Actuamos únicamente conforme a sus instrucciones

Tratamos estos datos solo en la medida necesaria para prestar el Servicio, según lo establecido en los Términos, y conforme a cualquier otra instrucción documentada que usted nos dé. Si alguna vez creemos que una instrucción infringe la normativa de protección de datos, se lo diremos en lugar de cumplirla en silencio.

Si la ley nos obliga a tratar o divulgar datos más allá de sus instrucciones, se lo informaremos primero, salvo que tengamos legalmente prohibido hacerlo.

5. Confidencialidad

El acceso se limita a quienes lo necesitan para operar o dar soporte al Servicio, y están sujetos a obligaciones de confidencialidad. MoverTrack es operado por un equipo muy pequeño; el acceso es, en consecuencia, igual de acotado.

6. Seguridad (Annex II — medidas técnicas y organizativas)

Mantenemos medidas adecuadas al riesgo, entre ellas:

• cifrado en tránsito (TLS) para todas las conexiones a nuestros servidores, aplicaciones y bases de datos;
• cifrado en reposo para la base de datos y las copias de seguridad;
• reglas de acceso a nivel de fila en la base de datos, de modo que una cuenta no pueda leer los datos de otra, y, en nuestros propios servidores, una verificación de la cuenta que inició sesión, y de lo que puede ver, en cada solicitud a la que responden;
• autenticación en cada solicitud que llega a datos de clientes, y funciones administrativas restringidas a cuentas de operador nominadas;
• el número de teléfono de un cliente solo llega a las personas que trabajan para usted si usted lo permite, y un chat, solo si usted les da acceso a él;
• alojamiento con proveedores de infraestructura consolidados (véase la sección 7);
• revisión periódica de quiénes y qué sistemas pueden acceder a los datos de producción.

Estas son las medidas técnicas y organizativas a las que se refiere el Annex II de las Cláusulas Contractuales Tipo incorporadas por la sección 11. Podemos modificarlas, pero no de una manera que reduzca de forma sustancial el nivel general de seguridad.

Ningún sistema es perfectamente seguro, y no afirmamos lo contrario.

7. Subencargados del tratamiento

Usamos los siguientes subencargados del tratamiento. Cada uno está sujeto a condiciones escritas de protección de datos, según lo exige la ley, y nosotros seguimos siendo responsables ante usted por lo que ellos hagan:

• Supabase — base de datos, autenticación y almacenamiento de archivos (UE, región de Fráncfort)
• Vultr — servidores de aplicación para seguimiento y mensajería (UE, Fráncfort)
• Vercel — alojamiento de nuestros sitios web y de las páginas de seguimiento para clientes
• Google — mapas, geocodificación, cálculo de rutas y de distancias; lectura del texto de un chat o de un mensaje para completar los datos de un trabajo cuando usted lo pide; nuestro correo electrónico
• Meta Platforms — mensajería de WhatsApp Business
• Stripe — procesamiento de pagos (sus datos de facturación; no los de sus clientes)
• Resend — correo electrónico transaccional y de facturación
• Telnyx — telefonía e identificación de llamadas, cuando usted use esas funciones
• Apple y Google — entrega de notificaciones push a sus dispositivos y a los de las personas que trabajan para usted
• Expo — reenvío de notificaciones push a Apple y Google; una notificación puede incluir el nombre o el número de un cliente y el texto de su mensaje

Esta lista constituye el Annex III de las Cláusulas Contractuales Tipo incorporadas por la sección 11. Usted autoriza a estos subencargados de forma general, y nos autoriza a designar otros en las mismas condiciones.

Le avisaremos con al menos 30 días de anticipación antes de agregar o reemplazar un subencargado. Usted puede oponerse dentro de ese plazo por motivos razonables y documentados de protección de datos. Si lo hace, intentaremos ofrecer una alternativa que evite la objeción; si no podemos hacerlo en condiciones comercialmente razonables, cualquiera de las partes puede dar por terminada la parte afectada del Servicio, y su único recurso es el reembolso de los montos ya pagados por el resto no utilizado del período. Oponerse no suspende la designación mientras la discutimos.

8. Cómo lo ayudamos con los derechos de sus clientes

Si uno de sus clientes le pide una copia de sus datos, le pide corregirlos o le pide eliminarlos, esa solicitud le corresponde responderla a usted — pero lo ayudaremos.

La mayor parte puede hacerla usted mismo dentro del Servicio. Cuando no pueda, escriba a info@movertrack.com y lo asistiremos en un plazo que le permita cumplir con el suyo. Si un cliente nos contacta directamente, no responderemos en su nombre; le trasladaremos la solicitud a usted.

9. Si algo sale mal

Si tomamos conocimiento de una vulneración que afecte datos personales que tratamos por cuenta suya, se lo comunicaremos sin dilación indebida, con lo que sepamos: qué ocurrió, a quiénes y a qué afecta hasta donde podamos determinarlo, qué estamos haciendo al respecto y qué le sugerimos hacer.

También le daremos ayuda razonable con cualquier evaluación o notificación a la autoridad de control que usted deba realizar, y con una evaluación de impacto en protección de datos si la necesita.

10. Eliminación y devolución

Puede exportar sus datos en cualquier momento mientras su cuenta esté activa. Eliminar usted mismo la cuenta en la aplicación es su decisión de borrarla: todo se borra de inmediato, así que exporte primero lo que necesite. Si la cuenta termina de cualquier otra forma, aún puede exportar durante 30 días después de que termine.

Al terminar el Servicio, usted elige si le devolvemos sus datos o los eliminamos. Indíquenoslo dentro de esos 30 días. Si no nos dice nada, los eliminamos.

Después de eso eliminamos o anonimizamos los datos personales que conservamos por cuenta suya, salvo cuando la ley nos exija conservar algo — por ejemplo, los registros de transacciones conservados con fines fiscales. Las copias de seguridad se rotan en su propio ciclo y se eliminan dentro de los 90 días.

11. Transferencias internacionales y las Cláusulas Contractuales Tipo

Nuestra base de datos y nuestros servidores de aplicación para clientes europeos están en la UE (Fráncfort). Algunos de los subencargados de la sección 7 están establecidos en Estados Unidos, y MoverTrack, LLC es ella misma una empresa de Estados Unidos, de modo que parte de los datos personales se transfiere allí.

Para esas transferencias, las partes celebran las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea en la Implementing Decision (EU) 2021/914, que se incorporan a este DPA por referencia y se completan de la siguiente manera:

• Se aplica el Module Two (de responsable a encargado). Usted es el exportador de datos; MoverTrack, LLC es el importador de datos.
• Se aplica la Clause 7 (cláusula de adhesión).
• Clause 9 — opción 2, autorización general por escrito, con el aviso de 30 días establecido en la sección 7.
• Clause 11 — el texto opcional sobre resolución independiente de controversias no se aplica.
• Clause 17 — las Cláusulas se rigen por la ley de Irlanda.
• Clause 18 — las controversias se resuelven ante los tribunales de Irlanda.
• Annex I.A (partes) — usted, según la identificación de su cuenta; MoverTrack, LLC, 1111B S Governors Ave STE 42337, Dover, DE 19904, United States, info@movertrack.com.
• Annex I.B (descripción de la transferencia) — los titulares de los datos, las categorías de datos, las finalidades, la frecuencia (continua) y la duración establecidas en la sección 3 de este DPA.
• Annex I.C (autoridad de control competente) — la autoridad del Estado miembro del EEE en el que usted esté establecido, o en el que esté establecido su representante.
• Annex II (medidas de seguridad) — la sección 6 de este DPA.
• Annex III (subencargados) — la sección 7 de este DPA.

Para las transferencias de datos personales sujetas a la normativa de protección de datos del Reino Unido, las partes celebran además el UK International Data Transfer Addendum emitido conforme a la section 119A of the Data Protection Act 2018, tomando lo anterior como las Approved SCCs, con las Table 1–3 completadas por referencia al Annex I anterior y la Table 4 fijada en ninguna de las partes. Para las transferencias sujetas a la ley suiza, las referencias al RGPD se entienden hechas a la Swiss FADP y la autoridad competente es el FDPIC.

Cuando un subencargado esté certificado bajo el EU–US Data Privacy Framework, podemos apoyarnos en esa certificación para las transferencias hacia él.

Si las Cláusulas y este DPA entran en conflicto, prevalecen las Cláusulas.

12. Auditoría e información

Le entregaremos la información que razonablemente necesite para demostrar que cumplimos con las obligaciones aquí asumidas, y contribuiremos a las auditorías exigidas por la normativa de protección de datos.

Como somos un equipo muy pequeño, eso significa respuestas por escrito y documentación en lugar de una inspección presencial. Cuando una auditoría sea realmente necesaria, podrá realizarse una vez en cualquier período de doce meses (con mayor frecuencia solo si una autoridad de control lo exige o tras una vulneración confirmada que afecte sus datos), con aviso por escrito de 30 días, en horario laboral, sin interrumpir el Servicio, por alguien que no sea competidor nuestro, con sujeción a confidencialidad y a costa suya.

13. Responsabilidad entre las partes

Usted garantiza que cuenta con una base legal para cada dato personal que ingresa en el Servicio, que ha entregado a sus clientes la información que su legislación exige, que sus instrucciones hacia nosotros son lícitas y que no nos enviará datos de categorías especiales.

Usted nos indemnizará frente a reclamaciones, multas y costos razonables que se deriven del incumplimiento de esa garantía, de sus instrucciones, o de una reclamación de uno de sus clientes relacionada con actos u omisiones suyos y no nuestros.

La responsabilidad de cada parte bajo este DPA está sujeta a los límites y exclusiones de la sección 18 de los Términos de Servicio, y esos límites se aplican a todas las reclamaciones bajo este DPA de forma agregada con todas las reclamaciones bajo los Términos. Nada de lo aquí dispuesto limita los derechos que un titular de los datos tenga frente a cualquiera de las partes conforme a las Cláusulas Contractuales Tipo o a la legislación aplicable.

Si una autoridad de control o un tribunal nos declara responsables solidariamente por algo causado por sus instrucciones o por su incumplimiento, usted nos reembolsará la parte que le sea atribuible.

14. Prelación y contacto

Si este DPA y los Términos de Servicio entran en conflicto respecto del tratamiento de datos personales, prevalece este DPA.

MoverTrack, LLC
1111B S Governors Ave STE 42337, Dover, DE 19904, United States
Correo electrónico: info@movertrack.com