Acuerdo de Tratamiento de Datos

1. Qué es este documento y cuándo se aplica

El presente Acuerdo de Tratamiento de Datos («ATD») forma parte de nuestras Condiciones del Servicio y se aplica siempre que usted utilice MoverTrack para tratar datos personales de otras personas, ante todo de sus clientes.

Existe porque la normativa de protección de datos exige un contrato escrito entre un responsable del tratamiento y un encargado del tratamiento, y porque usted debe poder ver exactamente qué hacemos con los datos de sus clientes.

2. Quién es quién

Usted es el responsable del tratamiento. Usted decide qué clientes introduce, qué registra sobre ellos y quién recibe un enlace de seguimiento. Son sus clientes, no los nuestros.

Nosotros somos su encargado del tratamiento. Almacenamos y transmitimos esos datos para prestarle el Servicio y para ninguna finalidad propia. No los vendemos, no dirigimos publicidad a sus clientes y no los utilizamos para entrenar nada. La información que haya sido anonimizada y combinada, de modo que ya no pueda identificar a nadie, deja de ser datos personales, y podemos utilizarla para prestar, medir y mejorar el Servicio.

Con carácter independiente, somos responsables del tratamiento por derecho propio respecto de los datos relativos a usted: su cuenta, su acceso, su facturación. Ello se rige por nuestra Política de Privacidad, no por el presente ATD.

3. Qué tratamos por cuenta de usted

Objeto y finalidad: la prestación del servicio MoverTrack — planificación, pedidos, páginas de seguimiento para clientes, mensajería, gestión del equipo y, cuando su plan lo incluya, la conversión de chats de WhatsApp en trabajos sugeridos.

Duración: mientras su cuenta esté activa, más los plazos de conservación indicados en la cláusula 10.

Categorías de interesados: sus clientes, las personas que estos designen como contacto y sus trabajadores.

Categorías de datos personales:

• nombres, números de teléfono y direcciones de correo electrónico de sus clientes;
• las direcciones de cada trabajo y cualquier nota que añada a un trabajo;
• detalles del pedido, precios e historial de trabajos;
• fotografías y archivos que usted o sus trabajadores suban a un trabajo;
• la ubicación del vehículo mientras tenga el seguimiento activo, así como la ruta resultante y la hora estimada de llegada;
• los mensajes de WhatsApp enviados o recibidos a través del Servicio — de cada mensaje, quién lo envió, cuándo, de qué tipo era y su estado de entrega (que conservamos para que los mensajes se envíen solo mientras WhatsApp lo permita, dentro de la ventana de servicio de atención al cliente de 24 horas de WhatsApp), así como su contenido (texto, fotografías, notas de voz y archivos) en la medida en que lo conserve el modo de trabajo que usted elija;
• los nombres, números de teléfono y asignaciones de trabajo de sus trabajadores.

Elegir un modo de trabajo en la aplicación es la instrucción que usted nos da sobre qué conservar de sus chats de WhatsApp. Cuando usted elige uno que conserva menos, su plan ya no incluye el que tenía o usted quita su número del Servicio, eliminamos del Servicio lo que el Servicio ya no conserva de los mensajes de sus clientes; los chats en sí permanecen en WhatsApp.

No solicitamos ni queremos datos de categorías especiales —salud, creencias, datos biométricos y similares—. Le rogamos que no los incluya en la nota de un trabajo.

4. Actuamos únicamente conforme a sus instrucciones

Tratamos estos datos solo en la medida necesaria para prestar el Servicio, según lo establecido en las Condiciones, y conforme a cualquier otra instrucción documentada que usted nos dé. Si en algún momento consideramos que una instrucción infringe la normativa de protección de datos, se lo comunicaremos en lugar de cumplirla en silencio.

Si la ley nos obliga a tratar o comunicar datos más allá de sus instrucciones, se lo comunicaremos previamente, salvo que tengamos legalmente prohibido hacerlo.

5. Confidencialidad

El acceso se limita a quienes lo necesitan para operar el Servicio o darle soporte, y están sujetos a obligaciones de confidencialidad. MoverTrack está operado por un equipo muy reducido; el acceso es, en consecuencia, igual de restringido.

6. Seguridad (Annex II — medidas técnicas y organizativas)

Mantenemos medidas adecuadas al riesgo, entre ellas:

• cifrado en tránsito (TLS) en todas las conexiones con nuestros servidores, aplicaciones y bases de datos;
• cifrado en reposo de la base de datos y de las copias de seguridad;
• reglas de acceso a nivel de fila en la base de datos, de modo que una cuenta no pueda leer los datos de otra, y, en nuestros propios servidores, una comprobación de la cuenta que ha iniciado sesión, y de lo que puede ver, en cada solicitud a la que responden;
• autenticación en toda solicitud que acceda a datos de clientes, y funciones administrativas restringidas a cuentas de operador nominativas;
• el número de teléfono de un cliente solo llega a las personas que trabajan para usted si usted lo permite, y un chat, solo si usted les da acceso a él;
• alojamiento con proveedores de infraestructura consolidados (véase la cláusula 7);
• revisión periódica de quién y qué puede acceder a los datos de producción.

Estas son las medidas técnicas y organizativas a las que se refiere el Annex II de las Cláusulas Contractuales Tipo incorporadas por la cláusula 11. Podemos modificarlas, pero no de forma que reduzca sustancialmente el nivel general de seguridad.

Ningún sistema es perfectamente seguro, y no afirmamos lo contrario.

7. Subencargados del tratamiento

Recurrimos a los siguientes subencargados del tratamiento. Cada uno de ellos está sujeto a condiciones escritas de protección de datos, según exige la ley, y nosotros seguimos respondiendo ante usted de lo que hagan:

• Supabase — base de datos, autenticación y almacenamiento de archivos (UE, región de Fráncfort)
• Vultr — servidores de aplicaciones para el seguimiento y la mensajería (UE, Fráncfort)
• Vercel — alojamiento de nuestros sitios web y de las páginas de seguimiento para clientes
• Google — mapas, geocodificación, cálculo de rutas y de distancias; lectura del texto de un chat o de un mensaje para rellenar los datos de un trabajo cuando usted lo solicita; nuestro correo electrónico
• Meta Platforms — mensajería de WhatsApp Business
• Stripe — procesamiento de pagos (sus datos de facturación; no los de sus clientes)
• Resend — correo electrónico transaccional y de facturación
• Telnyx — telefonía e identificación de llamadas, cuando utilice esas funciones
• Apple y Google — envío de notificaciones push a sus dispositivos y a los de las personas que trabajan para usted
• Expo — reenvío de notificaciones push a Apple y Google; una notificación puede contener el nombre o el número de un cliente y el texto de su mensaje

Esta lista constituye el Annex III de las Cláusulas Contractuales Tipo incorporadas por la cláusula 11. Usted autoriza con carácter general a estos subencargados del tratamiento y nos autoriza a designar otros en las mismas condiciones.

Le avisaremos con al menos 30 días de antelación antes de añadir o sustituir un subencargado del tratamiento. Usted podrá oponerse dentro de ese plazo por motivos razonables y documentados de protección de datos. Si lo hace, intentaremos ofrecerle una alternativa que evite la objeción; si no podemos hacerlo en condiciones comercialmente razonables, cualquiera de las partes podrá resolver la parte afectada del Servicio, y su único resarcimiento será el reembolso de las cantidades ya abonadas por el resto no utilizado del periodo. La oposición no suspende la designación mientras la discutimos.

8. Ayuda con los derechos de sus clientes

Si uno de sus clientes le pide una copia de sus datos, le solicita que los rectifique o que los suprima, corresponde a usted responder a esa solicitud, pero le ayudaremos.

La mayor parte puede hacerla usted mismo dentro del Servicio. Cuando no le sea posible, escriba a info@movertrack.com y le asistiremos en un plazo que le permita cumplir el suyo. Si un cliente se dirige directamente a nosotros, no responderemos en su nombre; se lo trasladaremos a usted.

9. Si algo sale mal

Si tenemos conocimiento de una violación de la seguridad que afecte a los datos personales que tratamos por cuenta de usted, se lo comunicaremos sin dilación indebida, con la información de que dispongamos: qué ha ocurrido, a quién y a qué afecta hasta donde podamos determinar, qué estamos haciendo al respecto y qué le sugerimos hacer.

También le prestaremos una asistencia razonable en cualquier evaluación o notificación a la autoridad de control que usted deba realizar, así como en una evaluación de impacto relativa a la protección de datos, si la necesita.

10. Supresión y devolución

Puede exportar sus datos en cualquier momento mientras su cuenta esté activa. Eliminar usted mismo la cuenta en la aplicación es su decisión de suprimirla: todo se borra en el acto, así que exporte antes lo que necesite. Si la cuenta finaliza de cualquier otro modo, aún puede exportar durante 30 días después de que finalice.

Al término del Servicio, usted elige si le devolvemos sus datos o los suprimimos. Comuníquenoslo dentro de esos 30 días. Si no nos dice nada, los suprimimos.

Transcurrido ese plazo, suprimimos o anonimizamos los datos personales que conservamos por cuenta de usted, salvo cuando la ley nos obligue a conservar algo —por ejemplo, los registros de transacciones conservados a efectos fiscales—. Las copias de seguridad se renuevan en su propio ciclo y se eliminan en un plazo de 90 días.

11. Transferencias internacionales y Cláusulas Contractuales Tipo

Nuestra base de datos y nuestros servidores de aplicaciones para los clientes europeos se encuentran en la UE (Fráncfort). Algunos de los subencargados del tratamiento indicados en la cláusula 7 están establecidos en Estados Unidos, y MoverTrack, LLC es a su vez una sociedad estadounidense, por lo que parte de los datos personales se transfiere allí.

Para esas transferencias, las partes suscriben las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea en la Implementing Decision (EU) 2021/914, que se incorporan al presente ATD por referencia y se completan del siguiente modo:

• Se aplica el Module Two (de responsable a encargado del tratamiento). Usted es el exportador de datos; MoverTrack, LLC es el importador de datos.
• Se aplica la Clause 7 (cláusula de adhesión).
• Clause 9 — opción 2, autorización general por escrito, con el preaviso de 30 días establecido en la cláusula 7.
• Clause 11 — el texto opcional sobre resolución independiente de controversias no resulta de aplicación.
• Clause 17 — las Cláusulas se rigen por el Derecho de Irlanda.
• Clause 18 — las controversias se resuelven ante los tribunales de Irlanda.
• Annex I.A (partes) — usted, identificado por su cuenta; MoverTrack, LLC, 1111B S Governors Ave STE 42337, Dover, DE 19904, United States, info@movertrack.com.
• Annex I.B (descripción de la transferencia) — los interesados, las categorías de datos, las finalidades, la frecuencia (continua) y la duración que se establecen en la cláusula 3 del presente ATD.
• Annex I.C (autoridad de control competente) — la autoridad del Estado miembro del EEE en el que usted esté establecido o en el que lo esté su representante.
• Annex II (medidas de seguridad) — la cláusula 6 del presente ATD.
• Annex III (subencargados del tratamiento) — la cláusula 7 del presente ATD.

Para las transferencias de datos personales sujetas a la normativa de protección de datos del Reino Unido, las partes suscriben además el UK International Data Transfer Addendum emitido conforme a la section 119A of the Data Protection Act 2018, tomando lo anterior como las Approved SCCs, con las Tables 1–3 completadas por remisión al Annex I anterior y la Table 4 fijada en neither party. Para las transferencias sujetas al Derecho suizo, las referencias al RGPD se entienden hechas a la Swiss FADP y la autoridad competente es el FDPIC.

Cuando un subencargado del tratamiento esté certificado conforme al EU–US Data Privacy Framework, podremos ampararnos en esa certificación para las transferencias que se le realicen.

Si las Cláusulas y el presente ATD entran en conflicto, prevalecen las Cláusulas.

12. Auditoría e información

Le facilitaremos la información que razonablemente necesite para acreditar que cumplimos las obligaciones aquí asumidas y contribuiremos a las auditorías exigidas por la normativa de protección de datos.

Dado que somos un equipo muy reducido, ello se traduce en respuestas por escrito y documentación, y no en inspecciones presenciales. Cuando una auditoría resulte realmente necesaria, podrá llevarse a cabo una vez en cada periodo de doce meses (con mayor frecuencia solo si lo exige una autoridad de control o tras una violación de la seguridad confirmada que afecte a sus datos), con preaviso por escrito de 30 días, en horario laboral, sin perturbar el Servicio, por parte de alguien que no sea competidor nuestro, con sujeción a confidencialidad y a su costa.

13. Responsabilidad entre las partes

Usted garantiza que dispone de una base jurídica para cada dato personal que introduce en el Servicio, que ha facilitado a sus clientes la información que su normativa exige, que las instrucciones que nos da son lícitas y que no nos enviará datos de categorías especiales.

Usted nos indemnizará frente a las reclamaciones, multas y costes razonables derivados del incumplimiento de esa garantía, de sus instrucciones o de una reclamación de uno de sus clientes referida a sus propios actos u omisiones y no a los nuestros.

La responsabilidad de cada parte en virtud del presente ATD queda sujeta a los límites y exclusiones de la cláusula 18 de las Condiciones del Servicio, y dichos límites se aplican a todas las reclamaciones derivadas del presente ATD de forma agregada con todas las reclamaciones derivadas de las Condiciones. Nada de lo aquí dispuesto limita los derechos que asisten al interesado frente a cualquiera de las partes en virtud de las Cláusulas Contractuales Tipo o de la normativa aplicable.

Si una autoridad de control o un tribunal nos declara responsables solidariamente por algo causado por sus instrucciones o por su incumplimiento, usted nos reembolsará la parte que le sea atribuible.

14. Prevalencia y contacto

Si el presente ATD y las Condiciones del Servicio entran en conflicto en materia de tratamiento de datos personales, prevalece el presente ATD.

MoverTrack, LLC
1111B S Governors Ave STE 42337, Dover, DE 19904, United States
Correo electrónico: info@movertrack.com