Acuerdo de tratamiento de datos

1. Ámbito y partes

Este Acuerdo de tratamiento de datos (el «DPA») forma parte de los Términos del servicio entre Pitempo y el Cliente y se aplica a todos los datos personales que Pitempo trata por cuenta del Cliente al prestar el Servicio (los «Datos Personales del Cliente»). El Cliente es el responsable del tratamiento (o, cuando actúa por cuenta de otro responsable, encargado del tratamiento) y Pitempo es el encargado del tratamiento (o subencargado). En caso de conflicto, este DPA prevalece sobre los Términos en lo que respecta a los Datos Personales del Cliente.

2. Definiciones

Por «Normativa de Protección de Datos» se entiende toda la legislación sobre protección de datos personales aplicable al tratamiento, incluidos, cuando proceda, el Reglamento (UE) 2016/679 (RGPD), el RGPD del Reino Unido y la Data Protection Act 2018 del Reino Unido, la Ley Federal suiza de Protección de Datos (LPD), la Ley turca n.º 6698 de Protección de Datos Personales (KVKK), la Ley General de Protección de Datos de Brasil (LGPD) y las leyes de privacidad de los estados de EE. UU., como la California Consumer Privacy Act (CCPA). Los términos «responsable del tratamiento», «encargado del tratamiento», «datos personales», «tratamiento», «interesado» y «violación de la seguridad de los datos personales» tienen el significado que les atribuye la Normativa de Protección de Datos aplicable; según la KVKK, el responsable del tratamiento es el «veri sorumlusu» y el encargado del tratamiento es el «veri işleyen». Los demás términos en mayúsculas tienen el significado que se les da en los Términos.

3. Detalles del tratamiento

El objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados se establecen en el Anexo 1.

4. Instrucciones

Pitempo trata los Datos Personales del Cliente únicamente siguiendo instrucciones documentadas del Cliente, también en lo relativo a las transferencias a terceros países, salvo que esté obligado a ello por ley; en tal caso, Pitempo informa al Cliente de esa exigencia legal antes del tratamiento, salvo que la ley lo prohíba. Los Términos, este DPA y el uso y la configuración del Servicio por parte del Cliente constituyen las instrucciones documentadas del Cliente. Pitempo informa inmediatamente al Cliente si, en su opinión, una instrucción infringe la Normativa de Protección de Datos.

5. Confidencialidad

Pitempo garantiza que las personas autorizadas para tratar los Datos Personales del Cliente se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal adecuada, y que el acceso se limita a lo necesario.

6. Seguridad

Pitempo aplica las medidas técnicas y organizativas descritas en el Anexo 2 para garantizar un nivel de seguridad adecuado al riesgo. Pitempo puede actualizar estas medidas siempre que no se reduzca el nivel general de seguridad.

7. Subencargados del tratamiento

El Cliente otorga a Pitempo una autorización general para recurrir a subencargados del tratamiento. Pitempo pone a disposición del Cliente, previa solicitud en privacy@pitempo.com, la lista actualizada de subencargados, con su función y el lugar del tratamiento. Pitempo informa al Cliente de cualquier incorporación o sustitución prevista de un subencargado con al menos 30 días de antelación, por correo electrónico o en el Servicio. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo; si las partes no logran resolver la objeción, el Cliente puede resolver el Servicio afectado antes de que el cambio surta efecto. Pitempo impone contractualmente a cada subencargado obligaciones de protección de datos que ofrezcan al menos el mismo nivel de protección que este DPA y sigue siendo responsable ante el Cliente del cumplimiento de sus subencargados.

Los servicios que el Cliente contrata directamente y conecta al Servicio, por ejemplo su propia cuenta en un proveedor de SMS, no son subencargados de Pitempo; el Cliente encarga a Pitempo que les transmita los datos necesarios para el servicio correspondiente.

8. Transferencias internacionales

Pitempo solo transfiere los Datos Personales del Cliente a un tercer país de conformidad con la Normativa de Protección de Datos.

En la medida en que el tratamiento implique una transferencia sujeta al capítulo V del RGPD, se aplican las cláusulas contractuales tipo adoptadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión (las «CCT»), que se incorporan por referencia a este DPA del siguiente modo: se aplica el Módulo Dos cuando el Cliente es responsable del tratamiento y el Módulo Tres cuando es encargado; se aplica la cláusula 7 (cláusula de incorporación); en la cláusula 9.a) se aplica la opción 2 (autorización general por escrito, con un preaviso de 30 días); no se aplica la redacción opcional de la cláusula 11; conforme a la cláusula 17, las CCT se rigen por el Derecho de Irlanda y, conforme a la cláusula 18, los litigios se resuelven ante los órganos jurisdiccionales de Irlanda; la autoridad de control competente se determina con arreglo a la cláusula 13; los anexos I y II de las CCT se completan con la información de los anexos 1 y 2 de este DPA, siendo el Cliente el exportador de datos y Pitempo el importador de datos.

Para las transferencias sujetas al RGPD del Reino Unido, se aplica además el International Data Transfer Addendum a las cláusulas contractuales tipo de la Comisión Europea emitido por el Information Commissioner del Reino Unido. Para las transferencias sujetas a la LPD, las CCT se aplican con las adaptaciones exigidas por el Derecho suizo, y la autoridad de control competente es el Comisionado Federal de Protección de Datos y Transparencia de Suiza. Cuando otra Normativa de Protección de Datos, por ejemplo la KVKK o la LGPD, exija un instrumento de transferencia específico, las partes lo formalizarán antes de que se produzca la transferencia.

9. Asistencia

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, Pitempo asiste al Cliente, mediante medidas técnicas y organizativas apropiadas, en la respuesta a las solicitudes de los interesados y en el cumplimiento de las obligaciones del Cliente relativas a la seguridad, las violaciones de la seguridad de los datos personales, las evaluaciones de impacto relativas a la protección de datos y la consulta previa a las autoridades de control. Si un interesado se dirige directamente a Pitempo con una solicitud relativa a los Datos Personales del Cliente, Pitempo la remite al Cliente sin dilación indebida y no la responde por sí mismo, salvo que el Cliente se lo indique.

10. Violaciones de la seguridad de los datos personales

Pitempo notifica al Cliente sin dilación indebida y, cuando sea posible, en un plazo de 48 horas desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos Personales del Cliente. En la medida en que se disponga de la información, la notificación describe la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Pitempo adopta medidas razonables para contener la violación y mitigar sus efectos. Corresponde al Cliente notificarla a las autoridades de control y a los interesados cuando sea necesario, por ejemplo en un plazo de 72 horas según el RGPD y según las decisiones del Consejo de Protección de Datos Personales de Turquía.

11. Devolución y supresión

Al finalizar la prestación del Servicio, Pitempo permite al Cliente exportar los Datos Personales del Cliente según lo descrito en la cláusula 14 de los Términos y, a continuación, los suprime en un plazo de 30 días desde el final del plazo de recuperación, salvo que la ley exija su conservación. Las copias contenidas en las copias de seguridad se sobrescriben en el ciclo normal de copias y no se restauran salvo para recuperarse de un desastre. Pitempo confirma la supresión previa solicitud.

12. Información y auditorías

Pitempo pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de este DPA y del artículo 28 del RGPD, y permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de un auditor independiente designado por este. Las auditorías deben anunciarse con al menos 30 días de antelación, realizarse en horario laboral normal sin perturbar las operaciones, estar sujetas a confidencialidad y realizarse como máximo una vez al año, salvo que una violación de la seguridad de los datos personales o un requerimiento de una autoridad de control justifique una auditoría adicional. Pitempo puede responder primero a una solicitud de auditoría con información y documentación escritas. Cada parte asume sus propios costes.

13. Leyes de privacidad de los estados de EE. UU.

En la medida en que se apliquen las leyes de privacidad de los estados de EE. UU., Pitempo actúa como «service provider» o «processor». Pitempo no vende ni comparte los Datos Personales del Cliente; no los conserva, utiliza ni revela para ningún fin distinto de la prestación del Servicio al Cliente, incluido cualquier fin comercial distinto de la prestación del Servicio, ni fuera de la relación comercial directa con el Cliente; y no los combina con datos personales recibidos de otras fuentes, salvo en la medida permitida por la ley. Pitempo cumple las obligaciones que le imponen estas leyes, ofrece el nivel de protección de la privacidad que exigen y notifica al Cliente si determina que ya no puede cumplir sus obligaciones. El Cliente puede adoptar medidas razonables y apropiadas para detener y remediar el uso no autorizado de los Datos Personales del Cliente. Pitempo certifica que comprende estas restricciones y que las cumplirá.

14. Obligaciones del Cliente

El Cliente es responsable de la licitud del tratamiento, lo que incluye contar con una base jurídica, informar a los interesados (por ejemplo, a los clientes cuyos vehículos atiende) y obtener los consentimientos necesarios. El Cliente no debe almacenar en el Servicio categorías especiales de datos personales ni datos relativos a condenas penales.

15. Responsabilidad y duración

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones establecidas en los Términos, salvo en la medida en que la Normativa de Protección de Datos o las CCT no permitan tal limitación. Este DPA permanece en vigor mientras Pitempo trate Datos Personales del Cliente.

Anexo 1: Detalles del tratamiento

Anexo 2: Medidas técnicas y organizativas

• Cifrado en tránsito: todas las conexiones al Servicio utilizan HTTPS/TLS; los correos electrónicos se envían a nuestro proveedor de correo a través de una conexión cifrada (STARTTLS).
• Control de acceso: inicio de sesión con contraseña y, opcionalmente, con claves de acceso (passkeys); las contraseñas se almacenan solo como hash con sal; los códigos de verificación de un solo uso caducan a los 5 minutos; los límites de frecuencia protegen frente a ataques de fuerza bruta; las sesiones caducan.
• Separación de Clientes: los datos de cada Cliente están aislados a nivel de base de datos mediante políticas de seguridad a nivel de fila, de modo que un Cliente no puede acceder a los datos de otro.
• Autorización: permisos basados en roles dentro de cada Cuenta; los precios, costes y beneficios solo son visibles para los roles autorizados, y los campos que un rol no puede ver ni siquiera se envían a su navegador.
• Responsabilidad proactiva: registros de auditoría de los cambios (quién, qué, cuándo) e historial de inicios de sesión con direcciones IP enmascaradas.
• Acceso administrativo: acceso a los servidores solo con claves SSH, con el inicio de sesión por contraseña y como root desactivado; herramientas de administración protegidas por un control de acceso adicional; principio de mínimo privilegio.
• Credenciales de servicios conectados: las credenciales que el Cliente introduce para servicios conectados, por ejemplo cuentas de proveedores de SMS, se almacenan cifradas.
• Disponibilidad: copias de seguridad diarias de la base de datos conservadas durante 7 días y un procedimiento de restauración documentado.
• Minimización y conservación de datos: anonimización automática de los registros de mensajes a los 12 meses; supresión automática de las notificaciones antiguas, del historial de inicios de sesión a los 180 días y de los datos temporales de importación a los 30 días.
• Desarrollo seguro: pruebas automatizadas, incluidas pruebas de aislamiento entre Clientes y de derechos de acceso, y auditorías de vulnerabilidades de las dependencias antes de cada versión; actualizaciones de seguridad sin demora.
• Gestión de incidentes: un procedimiento para detectar, evaluar, contener y notificar las violaciones de la seguridad de los datos personales.