Acuerdo de Tratamiento de Datos (DPA) de Transport Manager

Marca: UBrise · Servicio: Transport Manager · Prestador (proveedor de servicios / encargado): Reinaldo Victor Artidiello Gonzalez
Cliente (responsable): la empresa que acepta las Condiciones del Servicio
Versión: 7 de noviembre de 2026 · Entrada en vigor: 11/03/2026

1. Objeto y orden

Este Acuerdo forma parte de las Condiciones del Servicio (las «Condiciones») y regula cómo el Prestador trata los datos personales incluidos en los Datos del Cliente por cuenta del Cliente. Lo no previsto aquí se rige por las Condiciones; si hay contradicción sobre protección de datos, prevalece este Acuerdo. Los términos con mayúscula tienen el significado de las Condiciones.

2. Papeles de las partes

Respecto de los Datos del Cliente, el Cliente es el responsable («business» / «controller») y decide los fines y los medios del tratamiento; el Prestador es su proveedor de servicios («service provider» / «processor»). El Cliente es responsable de que el tratamiento que ordena sea lícito, de dar los avisos y obtener los consentimientos necesarios (incluidos los de sus choferes) y de la exactitud de los datos.

3. Fines específicos del tratamiento

El Prestador trata los Datos del Cliente solo para estos fines de negocio: (a) alojar, guardar, mostrar, organizar, calcular, exportar y borrar la información del Cliente en el Servicio según las funciones del Plan; (b) recibir y mostrar la ubicación, los documentos y los mensajes de los choferes del Cliente, también a las personas a las que el Cliente envía el enlace de seguimiento de una carga, con los límites que describe la Política de Privacidad; (c) leer documentos, calcular rutas y millas y enviar avisos cuando un usuario del Cliente lo pide; (d) dar soporte técnico; (e) proteger la seguridad del Servicio y prevenir fraudes; y (f) cumplir la ley.

4. Lo que el Prestador no hará

El Prestador no: (a) venderá ni «compartirá» (para publicidad comportamental) los Datos del Cliente; (b) los conservará, usará o revelará para fines distintos de los del apartado 3 ni fuera de su relación directa con el Cliente; (c) los combinará con datos de otras fuentes, salvo lo que permita la ley para prestar el Servicio; ni (d) los usará para entrenar modelos de inteligencia artificial.

5. Instrucciones

Las instrucciones del Cliente son estas Condiciones, la configuración del Servicio y lo que hacen sus usuarios con él. Otras instrucciones deben enviarse por escrito a support@ubrise.com y, si suponen trabajo o costos adicionales, el Prestador puede cobrarlos o rechazarlas. El Prestador avisará al Cliente si considera que una instrucción infringe la ley, o si ya no puede cumplir sus obligaciones de protección de datos; en ese caso el Cliente podrá tomar medidas razonables para detener y corregir el uso no autorizado, incluida la terminación.

6. Confidencialidad del personal

El Prestador solo da acceso a los Datos del Cliente a las personas que lo necesitan para prestar el Servicio, sujetas a obligaciones de confidencialidad.

7. Seguridad

El Prestador mantiene las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo. Puede cambiarlas siempre que no reduzcan de forma sustancial la protección. El Cliente es responsable de la seguridad de sus cuentas, de sus usuarios y de los teléfonos de sus choferes.

8. Subencargados

El Cliente da su autorización general para que el Prestador use los subencargados de las categorías del Anexo III. El Prestador les impone por contrato obligaciones de protección de datos sustancialmente equivalentes y responde de ellos conforme a las Condiciones. El Prestador avisará de nuevos subencargados por support@ubrise.com con treinta (30) días de antelación (salvo urgencia de seguridad o continuidad). Si el Cliente se opone por motivos razonables de protección de datos y no se encuentra una solución, su único remedio es cancelar el Servicio antes de que el cambio se aplique, con el reembolso proporcional de lo pagado y no usado.

9. Incidentes de seguridad

Si el Prestador determina que un incidente ha causado acceso o adquisición no autorizados de datos personales del Cliente (o tiene motivos para creerlo), lo notificará al Cliente sin demora indebida y como máximo en diez (10) días, o antes si la ley aplicable lo exige, con la información razonablemente disponible, y le ayudará a cumplir sus propias obligaciones de aviso. Salvo que la ley obligue al Prestador, el Cliente decide y realiza los avisos a las personas afectadas y a las autoridades. La notificación de un incidente no supone que el Prestador reconozca culpa o responsabilidad.

10. Solicitudes de personas y ayuda al Cliente

Si el Prestador recibe una solicitud de una persona sobre los Datos del Cliente, se la pasará al Cliente y no responderá por sí mismo salvo que la ley lo exija. Teniendo en cuenta lo que hace el Servicio, el Prestador ayudará al Cliente de forma razonable con las solicitudes de las personas, las evaluaciones de riesgo y las consultas a autoridades; la ayuda que vaya más allá de las funciones del Servicio puede cobrarse a tarifas razonables.

11. Verificaciones y auditorías

Para demostrar su cumplimiento, el Prestador responderá una vez al año a un cuestionario de seguridad razonable y facilitará la información necesaria. Si la ley exige más, el Cliente podrá realizar una auditoría con un preaviso de treinta (30) días, en horario laboral, sin afectar al Servicio ni a los datos de otros clientes, bajo confidencialidad y a su costa.

12. Fin del servicio: devolución y borrado

Tras la baja, el Owner del Cliente puede pedir la exportación de sus datos durante treinta (30) días. Después, el Prestador borra los Datos del Cliente de sus sistemas activos. Las copias de seguridad cifradas se borran con su rotación (hasta doce (12) meses) y, mientras existan, solo se usan para recuperar el sistema. El Prestador puede conservar lo que la ley le exija, protegido y solo para ese fin.

13. Responsabilidad

La responsabilidad de cada parte derivada de este Acuerdo está sujeta a las exclusiones y límites de las secciones 18 a 21 de las Condiciones, en la medida permitida por la ley. El Cliente indemnizará al Prestador por las reclamaciones de terceros y sanciones derivadas de un tratamiento ordenado por el Cliente que no sea lícito o de la falta de avisos o consentimientos que correspondían al Cliente.

14. Duración y ley aplicable

Este Acuerdo dura mientras el Prestador trate Datos del Cliente. Se rige por la misma ley y el mismo mecanismo de resolución de controversias que las Condiciones. Existe en español y en inglés; si hay diferencias, prevalece la versión en inglés.

Anexo I · Detalles del tratamiento

Anexo II · Medidas de seguridad

• Conexiones cifradas (HTTPS/TLS) y cabeceras de seguridad en la web.
• Una base de datos y una carpeta de documentos separadas por empresa; comprobaciones para que un usuario no acceda a datos de otra empresa.
• Contraseñas guardadas con PBKDF2 y sal; tokens de sesión, enlaces y códigos guardados solo como resumen; sesiones del teléfono que caducan por falta de uso.
• Verificación en dos pasos para administradores, con códigos de recuperación; límites de intentos y bloqueos temporales; recuperación de contraseña por enlace de un solo uso que caduca y que no revela si una cuenta existe.
• Roles y permisos dentro de cada empresa; registro de actividad de los cambios importantes.
• Claves de servicios externos guardadas cifradas con una clave maestra separada.
• Copias de seguridad automáticas; copias externas cifradas (AES-GCM) con rotación.
• Actualizaciones del sistema y de las dependencias; servicio que se ejecuta con un usuario sin privilegios y cortafuegos que solo abre la web y la administración.

Anexo III · Categorías de subencargados

La lista con los nombres de cada proveedor se facilita a petición en privacy@ubrise.com.