Acuerdo de tratamiento de datos

Este Acuerdo de tratamiento de datos (“DPA”) se celebra entre el Cliente que usa la plataforma See-Curity (el responsable del tratamiento) y See-Curity, gestionada por Justyna Biernat, London NW7 2PE, Reino Unido (el encargado del tratamiento). Cumple los requisitos del artículo 28 del Reglamento General de Protección de Datos de la UE y del RGPD del Reino Unido, y forma parte de nuestros Términos de servicio. Un administrador de empresa lo acepta en nombre del Cliente al iniciar sesión.

1. En qué consiste el tratamiento

Objeto y finalidad	Prestación del servicio de localización GPS: mapa en vivo, historial, informes, geocercas, alertas por WhatsApp y correo, comandos a distancia y el asistente de ayuda.
Duración	Mientras el Cliente use el servicio, y hasta que los datos se eliminen conforme a la sección 9.
Tipos de datos personales	Ubicación del vehículo (GPS o red móvil), velocidad, dirección, contacto, tensión de batería, alarmas, trayectos y visitas a lugares, geocercas, comandos; datos del vehículo (nombre, matrícula, números del localizador y de la SIM); nombres, direcciones de correo y números de teléfono de los usuarios y de los destinatarios de alertas; cualquier nombre o nota que introduzca el Cliente.
Personas afectadas	Conductores y pasajeros de los vehículos del Cliente; el personal y los usuarios del Cliente; las personas que reciben alertas.

2. Las instrucciones del Cliente

Tratamos los datos solo siguiendo instrucciones documentadas del Cliente. Los ajustes y las acciones del Cliente en la plataforma, y estos Términos, son esas instrucciones. Si consideramos que una instrucción infringe la normativa de protección de datos, lo diremos. Si la ley nos obliga a tratar los datos de otra forma, informaremos antes al Cliente salvo que la ley lo prohíba.

3. Las responsabilidades del Cliente

El Cliente decide qué vehículos se localizan y por qué, y es responsable de contar con una base jurídica para la localización, de informar a los conductores y demás personas afectadas (nuestro Aviso para conductores puede ayudar), y de realizar cualquier evaluación de impacto en la protección de datos y consulta al personal que exija su legislación.

4. Confidencialidad

Todas las personas que pueden acceder a los datos del Cliente por nuestra parte están obligadas a mantenerlos confidenciales. Nuestro personal de soporte puede ver todos los datos del Cliente en la plataforma para prestar soporte y corregir fallos, y no los usa para nada más.

5. Seguridad

Adoptamos medidas técnicas y organizativas adecuadas para proteger los datos, enumeradas en el Anexo A, y las revisamos a medida que la plataforma evoluciona.

6. Subencargados

El Cliente autoriza a los subencargados enumerados en el Anexo B. Imponemos a cada uno de ellos obligaciones de protección de datos equivalentes a las de este DPA, y seguimos siendo responsables de ellos. Anunciaremos cualquier nuevo subencargado en esta página, y a los administradores de empresa al iniciar sesión, antes de que empiece. El Cliente puede oponerse por motivos razonables de protección de datos; si no podemos resolver la oposición, el Cliente puede poner fin al servicio.

7. Transferencias internacionales

Cuando un subencargado está fuera del Reino Unido o del Espacio Económico Europeo, la transferencia está protegida por una decisión de adecuación o por cláusulas contractuales tipo aprobadas por las autoridades del Reino Unido y de la UE.

8. Ayuda que prestamos al Cliente

• Solicitudes de los interesados: si un conductor u otra persona se pone en contacto directamente con nosotros, trasladamos la solicitud al Cliente sin demora y no la respondemos nosotros salvo que el Cliente nos lo pida. Ayudamos al Cliente a responder, por ejemplo exportando los datos de que se trate.
• Violaciones de datos: informamos al Cliente sin dilación indebida, y en todo caso en un plazo de 48 horas, tras tener conocimiento de una violación que afecte a sus datos, con la información que el Cliente necesita para informar a las autoridades y a las personas afectadas.
• Evaluaciones de impacto: facilitamos la información sobre nuestro tratamiento que el Cliente razonablemente necesite.

9. Eliminación de los datos

El historial de localización se elimina automáticamente a los 12 meses. Cuando termina el servicio, eliminamos los datos restantes del Cliente en un plazo de 30 días, salvo que la ley nos obligue a conservarlos. El Cliente puede exportar sus informes antes.

10. Auditorías

Facilitamos la información necesaria para demostrar que cumplimos este DPA. El Cliente puede realizar una auditoría, o encargarla, con un preaviso razonable, en horario laboral, a su cargo y como máximo una vez al año, salvo que se haya producido una violación.

11. Responsabilidad y orden de prelación

La responsabilidad derivada de este DPA se rige por los Términos de servicio. Si este DPA y los Términos entran en conflicto en materia de protección de datos, prevalece este DPA.

Anexo A – Medidas de seguridad

• Todas las conexiones a la plataforma están cifradas (HTTPS/TLS).
• Las contraseñas se guardan solo como hashes unidireccionales con sal. Las cuentas se bloquean temporalmente tras varias contraseñas incorrectas.
• Separación estricta entre clientes: cada empresa ve solo sus propios vehículos, lo que se impone en un único punto central del software. Dentro de una empresa, el acceso depende del rol del usuario y de los vehículos que tenga asignados.
• Cierre automático de la sesión del mapa en vivo tras un periodo de inactividad.
• El acceso al servidor y a la base de datos está limitado a las personas que gestionan la plataforma.
• El historial de localización se elimina automáticamente a los 12 meses (minimización de datos).
• Los cambios de software se prueban antes de publicarse, y cada publicación puede revertirse.

Anexo B – Subencargados

Subencargado	Servicio	Ubicación
Dedicloud (dedicloud.co.uk)	Alojamiento del servidor y base de datos	Reino Unido
OpenAI	El asistente de ayuda: las preguntas, y los datos de vehículos necesarios para responderlas	EE. UU.
Meta (WhatsApp)	Entrega de las alertas de WhatsApp	UE / EE. UU.
Google (Google Maps)	Imágenes de mapa cargadas por el navegador del usuario	EE. UU.
Esri (ArcGIS)	Imágenes de mapa cargadas por el navegador del usuario	EE. UU.

Las alertas por correo se envían desde nuestro propio servidor y las entregan los proveedores de correo de los destinatarios. Los datos del localizador viajan por la red móvil de la tarjeta SIM instalada en él.