Acuerdo de Tratamiento de Datos (Plan Empresa)

1. Objeto

En el marco del plan Empresa, usted lleva en WheelTrust los historiales de mantenimiento de los vehículos de su flota. Los datos que usted introduce en ellos, o que sus Miembros introducen por cuenta de usted, son datos suyos: usted determina sus fines y medios, y nosotros los tratamos por su cuenta, siguiendo sus instrucciones, en las condiciones del presente acuerdo. Llamamos a estos datos los datos de flota.

2. Lo que este acuerdo no cubre

Seguimos siendo responsables del tratamiento, en nombre propio, para los siguientes tratamientos, descritos en nuestra política de privacidad: la creación y gestión de las cuentas de sus Miembros, su autenticación y la seguridad del servicio; la identificación y facturación de su Organización (razón social, número SIRET, número de IVA intracomunitario, dirección de email de facturación, datos de pago en poder de nuestro proveedor de pago); el registro de seguridad; la medición de audiencia de nuestro sitio. Estos tratamientos quedan fuera del alcance del presente acuerdo.

3. Duración

El presente acuerdo se aplica durante toda la duración de su suscripción al plan Empresa y hasta la restitución o la supresión de sus datos de flota en las condiciones del artículo 10.

4. Descripción del tratamiento

5. Sus instrucciones

Sus instrucciones están constituidas por los Términos de Uso y las Condiciones de Venta, por el presente acuerdo y por el uso que usted haga de las funciones del servicio (creación de historiales, invitación de Miembros, asignación de Roles, subida de documentos, exportaciones, eliminación). Cualquier instrucción adicional debe enviársenos por escrito a contact@wheeltrust.io. Si una instrucción nos parece contraria al RGPD o a cualquier otra disposición del derecho de la Unión o del derecho francés, se lo comunicaremos sin demora (artículo 28.3, último párrafo).

6. Nuestras obligaciones

De conformidad con el artículo 28.3 del RGPD, nos comprometemos a:

• tratar sus datos de flota únicamente siguiendo sus instrucciones documentadas, incluso en lo relativo a las transferencias a un tercer país, salvo obligación legal que nos sea impuesta, en cuyo caso se lo comunicaremos antes del tratamiento, a menos que la ley lo prohíba;
• velar por que las personas autorizadas a tratar sus datos de flota se comprometan a respetar su confidencialidad: el acceso de nuestro personal se limita a las personas habilitadas y a lo necesario para el soporte y la explotación del servicio, y cada acceso de administración queda registrado;
• adoptar las medidas de seguridad del artículo 8;
• respetar las condiciones del artículo 7 para la contratación de otro subencargado del tratamiento;
• ayudarle, mediante medidas técnicas y organizativas adecuadas, a responder a las solicitudes de ejercicio de los derechos de los interesados (artículo 9);
• ayudarle a garantizar el cumplimiento de las obligaciones de seguridad, de notificación de violaciones de datos y de evaluación de impacto (artículos 32 a 36 del RGPD), teniendo en cuenta la naturaleza del tratamiento y la información de la que disponemos;
• al finalizar la prestación, suprimir o restituirle sus datos de flota, según su elección, en las condiciones del artículo 10;
• poner a su disposición la información necesaria para demostrar el cumplimiento del presente acuerdo y permitir la realización de auditorías en las condiciones del artículo 11.

7. Subencargados del tratamiento

Usted nos autoriza, con carácter general, a recurrir a los siguientes subencargados del tratamiento para el tratamiento de sus datos de flota:

Le informaremos por email, a la dirección de facturación de su Organización y a los Responsables de flota(s), de cualquier proyecto de incorporación o sustitución de un subencargado del tratamiento, al menos 30 días antes de su entrada en vigor. Usted puede oponerse por escrito, por un motivo legítimo, dentro de ese plazo; a falta de acuerdo sobre una solución, puede resolver su suscripción sin gastos, con reembolso a prorrata del periodo no consumido. Imponemos contractualmente a cada subencargado del tratamiento las mismas obligaciones de protección de datos que las del presente acuerdo, y seguimos siendo plenamente responsables frente a usted del cumplimiento de sus obligaciones (artículo 28.4). Nuestro proveedor de pago no tiene acceso a sus datos de flota y no es un subencargado del tratamiento a efectos del presente acuerdo.

8. Seguridad

Aplicamos las medidas técnicas y organizativas descritas en el apartado «Seguridad» de nuestra política de privacidad, y en particular: alojamiento en Francia; cifrado de las comunicaciones entre sus Miembros y nuestros servidores; control de accesos por Rol, dentro de su Organización, según la matriz descrita en el artículo 2 bis.1 de las Condiciones de Venta; autenticación de las cuentas, con una verificación en dos pasos ofrecida a cada Miembro; registro de las acciones de administración; copias de seguridad diarias cifradas, conservadas en un soporte independiente; separación estricta entre los historiales de su Organización, los historiales personales de sus Miembros y los historiales de otros clientes. Revisamos estas medidas periódicamente y las adaptamos a la evolución de los riesgos (artículo 32).

9. Asistencia: derechos de los interesados, evaluación de impacto

Sus Miembros ejercen ante usted los derechos que les otorga el RGPD sobre los datos de flota (acceso, rectificación, supresión, limitación, oposición). Si recibimos directamente una solicitud de este tipo relativa a sus datos de flota, la remitiremos a sus Responsables de flota(s) sin responder al fondo, salvo instrucción escrita suya, y le prestaremos la asistencia razonable necesaria (extracción, corrección, supresión) en un plazo compatible con el de un mes del artículo 12.3. Le facilitaremos, previa solicitud por escrito, la información de la que dispongamos y que sea necesaria para una evaluación de impacto relativa a la protección de datos o para una consulta previa a la CNIL (autoridad francesa de protección de datos). Los derechos que sus Miembros ejercen sobre su propia cuenta (datos de la cuenta, autenticación) se ejercen ante nosotros, tal como se describe en nuestra política de privacidad.

10. Fin del contrato: restitución y supresión

Al finalizar su suscripción al plan Empresa (resolución, no renovación, cierre de la Organización), usted elige entre la restitución y la supresión de sus datos de flota. Restitución: previa solicitud por escrito formulada antes del fin de la suscripción o en los 90 días siguientes, le entregamos una copia de sus datos de flota en un formato estructurado y de uso habitual (archivos de datos y documentos subidos). Supresión: previa solicitud por escrito, o a falta de solicitud de restitución en el plazo de 90 días, suprimimos sus datos de flota en un plazo de 30 días, así como sus copias, con excepción de los datos cuya conservación nos venga impuesta por la ley y de los registros técnicos, conservados durante el plazo indicado en nuestra política de privacidad y suprimidos posteriormente. Le confirmamos la supresión por escrito previa solicitud.

11. Documentación y auditorías

Ponemos a su disposición la documentación necesaria para demostrar el cumplimiento del presente acuerdo: el presente acuerdo, nuestra política de privacidad, la descripción de nuestras medidas de seguridad y el extracto de nuestro registro de actividades de tratamiento que le concierne. Como máximo una vez al año, puede enviarnos un cuestionario por escrito sobre estos puntos, al que responderemos en un plazo razonable. Si estos elementos no bastan, puede hacer realizar una auditoría, por usted mismo o por un tercero independiente sujeto a confidencialidad, con un preaviso por escrito de 30 días, en horario laboral, sin perturbar el servicio ni acceder a los datos de otros clientes, y a su cargo. Las conclusiones de la auditoría son confidenciales.

12. Violación de datos

Si tenemos conocimiento de una violación de datos personales que afecte a sus datos de flota, se lo comunicaremos lo antes posible y, como máximo, 48 horas después de haber tenido conocimiento de ella, a la dirección de facturación de su Organización y a los Responsables de flota(s), con, en la medida en que dispongamos de ellos, los elementos previstos en el artículo 33.3 del RGPD: naturaleza de la violación, categorías y número aproximado de interesados y de datos afectados, consecuencias probables, medidas adoptadas o propuestas. Completaremos esta información a medida que esté disponible. Es a usted, como responsable del tratamiento, a quien corresponde notificarlo a la CNIL y, en su caso, a los interesados (artículos 33 y 34); nosotros le ayudamos a hacerlo.

13. Sus obligaciones, registros, disposiciones varias

Usted es responsable de la licitud de sus datos de flota, de informar a sus Miembros sobre el tratamiento que usted lleva a cabo (véase nuestra página «Historial de organización: lo que debe a sus empleados»), de la asignación de los Roles y de su retirada cuando un Miembro deja su Organización, y de la seguridad de las cuentas de sus Miembros en lo que dependa de ellos. Usted lleva su propio registro de actividades de tratamiento (artículo 30.1); nosotros llevamos el nuestro, en calidad de encargado del tratamiento, para los tratamientos realizados por cuenta de usted (artículo 30.2). En caso de contradicción entre el presente acuerdo y los Términos de Uso o las Condiciones de Venta en materia de protección de datos, el presente acuerdo prevalece. Podemos modificarlo para adaptarlo a la ley o a una evolución del servicio, con un preaviso de 30 días notificado por email, salvo cuando la ley imponga una entrada en vigor inmediata; una modificación que redujera sus garantías le da la posibilidad de resolver sin gastos. El presente acuerdo se rige por el derecho francés. Nuestro contacto para cualquier pregunta relativa a la protección de datos: contact@wheeltrust.io.