Datuen Tratamendurako Akordioa (DPA)

Datuen Tratamendurako Akordio honek (aurrerantzean, «DPA» edo «Akordioa») Perito Camión-en zerbitzuak kontratatzen edo erabiltzen dituen bezeroaren (aurrerantzean, «Arduraduna») eta Perito Camión-en (aurrerantzean, «Eragilea») arteko harremana arautzen du, Arduradunak zerbitzuak hirugarrenen datu pertsonalak tratatzeko erabiltzen dituenean.

DPA hau elektronikoki sinatzen da zerbitzuaren baldintzak onartzean eta haien parte da. Automatikoki aplikatzen da eta onartutzat jotzen da Arduradunak hirugarren baten lehen datu pertsonala tresnan sartzen duenean.

1. Alderdiak eta definizioak

Alde batetik, Tratamenduaren Arduraduna Perito Camión kontratatzen edo erabiltzen duen eta plataformara hirugarrenen datu pertsonalak kargatzen dituen bezero pertsona fisiko edo juridikoa da, datu horien titulartasuna edo tratamendurako interes legitimoa duena.

Bestetik, Tratamenduaren Eragilea Pedro Mulero Sánchez da, peritu judiziala (Aspejure elkarteko kidea), IFZ 43700194X, harremanetarako helbidea privacidad@tarracoapplab.com. «Perito Camión» zerbitzua ematen den marka komertziala da, Tarraco App Lab, S.L.U.-ren jabetzakoa.

(EB) 2016/679 Erregelamenduaren (RGPD) 4. artikuluko eta Datuen Babeserako eta Eskubide Digitalen Bermerako 3/2018 Lege Organikoaren (LOPDGDD) definizioak aplikatzen dira.

2. Tratamenduaren xedea, iraupena eta izaera

Xedea. Eragileak, Arduradunaren kontura, Arduradunak Perito Camión plataformara kargatzen dituen datu pertsonalen tratamendua, kontratatutako zerbitzuak emateko.

Iraupena. Tratamenduaren iraupena zerbitzuen kontratu-harremanaren iraupenarekin bat dator, ondorengo nahitaezko lege-kontserbazioak izan ezik.

Izaera. Tratamendu automatizatua cloud azpiegituran, igarobidean eta atsedenean zifratuta, 6. klausulan deskribatutako neurri tekniko eta antolakuntzazkoen arabera.

Helburua. Dokumentazioaren analisi teknikoa, agindutako dictamena edo txostena egitea eta, hala badagokio, dagokion organoaren aurrean berrestea, besterik ez.

3. Datu- eta interesdun-kategoriak

Tratatutako datu pertsonalen kategoriak eta eragindako interesdunak enkarguaren araberakoak dira. Ohikoenak:

3.1. Lan-dokumentazioa eta takografoa

• Interesdunak: gidariak eta eragindako enpresako gainerako langileak.
• Datu identifikatzaileak: izena, abizenak, NAN/AIZ, gidari-txartelaren zenbakia.
• Lan-datuak: kategoria, hitzarmena, lanaldia, nominak, lan-egutegia, lanaldi-erregistroak eta takografo digitaleko fitxategiak.

3.2. Ezbeharren eta tasazioen dokumentazioa

• Interesdunak: jabeak, gidariak eta inplikatutako hirugarrenak.
• Datuak: ibilgailuaren eta haren titularraren identifikazioa, atestatuak, tailerreko txostenak, argazkiak eta aurreko peritazioak.

3.3. Prozesu-dokumentazioa

• Interesdunak: prozeduraren alderdiak eta lekukoak.
• Datuak: idatzietan, ebazpenetan eta aurkeztutako froga dokumentalean jasotakoak.

Arduradunak konpromisoa hartzen du plataformara datu-kategoria bereziak ez kargatzeko (jatorri arraziala, osasuna, ideologia, sexu-bizitza edo orientazioa, datu genetikoak edo biometrikoak), guztiz beharrezkoa ez bada eta oinarri juridiko egokia ez badu, eta Eragileari aldez aurretik jakinarazteko, dagozkion neurri indartuak aktibatzeko.

4. Eragilearen betebeharrak (Perito Camión)

Eragileak honakoak betetzera behartzen du bere burua:

• Datu pertsonalak Arduradunaren jarraibide dokumentatuen arabera soilik tratatzea, nazioarteko transferentziei buruzkoak barne (kontratuan eta DPA honetan dokumentatutzat jotzen direnak), Batasuneko edo estatu kideetako legeriak bestelakorik behartzen duenean izan ezik; kasu horretan, Arduradunari jakinaraziko dio tratamendua egin aurretik, legez debekatuta ez badago.
• Datuetara sarbidea duen langileriak konfidentzialtasuna errespetatzeko konpromisoa hartu duela bermatzea, kontratu-konpromisoaren eta aldizkako prestakuntzaren bidez. Konfidentzialtasun-betebeharrak harremana amaitu ondoren ere irauten du.
• RGPDren 32. artikuluak eskatzen dituen neurri tekniko eta antolakuntzazkoak hartzea, 6. klausulan zehazten den moduan.
• Tratamendua hirugarrenei ez azpikontratatzea Arduradunaren aldez aurreko baimenik gabe, orokorra edo partikularra. DPA honen sinadurak 5. klausulan zerrendatutako azpi-eragileentzako baimen orokorra osatzen du, Arduradunak azpi-eragile berrien sarrerari uko egiteko eskubidearekin.
• Arduradunari laguntzea neurri tekniko eta antolakuntzazko egokien bidez interesdunen eskubideei erantzuteko (sarbidea, zuzenketa, ezabaketa, mugaketa, aurka egitea, eramangarritasuna). Interesdunak Eragileari eskaera bat zuzentzen dionean, gehienez 5 egun naturaleko epean Arduradunari helaraziko zaio.
• Arduradunari laguntzea RGPDren 32.etik 36.era arteko artikuluetako betebeharrak betetzen (segurtasuna, urratzeak, eraginaren ebaluazioak eta aldez aurreko kontsulta).
• Arduradunari jakinaraztea bidegabeko atzerapenik gabe eta, edonola ere, gehienez 48 orduko epean, datuen segurtasunaren edozein urratzeren berri izan duenetik. Jakinarazpenak urratzearen izaeraren deskribapena, kaltetutako datuak eta interesdun-kategoriak, ondorio probableak eta hartutako edo proposatutako neurriak jasoko ditu.
• Arduradunaren eskura jartzea, haren eskaera arrazoizkoan eta gutxienez 4 asteko aurreabisuarekin, RGPDren 28. artikuluaren betetzea frogatzeko beharrezkoa den informazio guztia, bai eta urtean behin auditoretzak baimentzea ere, lanorduetan eta zerbitzua eten gabe. Neurri teknikoen auditoretzetarako, auditore independente baten txostena aurkeztu ahal izango da (ISO 27001, SOC 2 edo baliokidea) indarrean badago.
• Itzultzea edo ezabatzea, Arduradunak aukeratzen duenaren arabera, datu pertsonal guztiak zerbitzua amaitu ondoren, aplikatzekoa den legeriak zorrozki eskatzen dituen kopiak izan ezik (zerga-arloa, ekintzen preskripzioa). Itzulketa erabilera arrunteko formatu egituratuan egingo da (CSV, JSON) eta ezabaketa idatziz dokumentatuko da. Kontratua amaitzen denetik gehienezko epea 90 egun natural da.

5. Baimendutako azpi-eragileak

Arduradunak Eragileari baimen orokorra ematen dio ondorengo azpi-eragileak erabiltzeko, guztiak RGPDrekin bateragarria den kontratuz lotuta:

Tratamendua lokalean egiten da, peritoaren ekipoan: espedientearen dokumentazioa ez da hirugarrenen hodeiko zerbitzuetara igotzen. Horregatik, oro har ez da azpi-eragilerik erabiltzen espedientearen datuen tratamendurako. Webgunearen azpiegitura (Netlify, Estatu Batuak, kontratu-klausula tipoekin) harremanetarako formularioarentzat soilik erabiltzen da eta ez du parte hartzen dokumentazio perizialaren tratamenduan. Enkargu zehatz batek hirugarren baten esku-hartzea eskatuko balu (laborategia, tailerra edo espezialista), Arduradunaren aldez aurreko baimen idatzia eskatuko litzateke.

Eragileak Arduradunari gutxienez 30 egun naturaleko aurrerapenaz jakinaraziko dio azpi-eragile baten edozein gehitze edo ordezkatze. Arduradunak arrazoituta aurka egin ahal izango du epe horretan eta, uko egitea arrazoizkoa bada, Eragileak alternatiba bat eskaini beharko du edo Arduradunak kontratua zigorrik gabe suntsiarazi ahal izango du.

6. Neurri tekniko eta antolakuntzazkoak (RGPD 32. art.)

6.1. Zifratzea

• TLS 1.2/1.3 derrigorrezkoa komunikazio guztietan. HSTS aktibatuta.
• AES-256 atsedenean biltegiratze-bucketerako eta PostgreSQL datu-baserako.
• Pasahitzak bcrypt edo baliokidearekin hash eginda.

6.2. Sarbide-kontrola

• Row-Level Security datu-basean: erabiltzaile bakoitzak bere datuetara soilik du sarbidea.
• API gako birakariak eta errebokagarriak. Saio-tokenak iraungitze-epearekin.
• Eragilearen sarbide administratiboa nahitaezko faktore anitzeko autentifikazioaren bidez.
• Pribilegio minimoaren printzipioa sarbide administratibo guztietarako.

6.3. Erresilientzia eta erabilgarritasuna

• Segurtasun-kopia automatikoak, 7 eta 30 egun bitarteko atxikipenarekin planaren arabera.
• Cloud hornitzailearen erabilgarritasun-SLA duen azpiegitura.
• Oinarrizko jarraitutasun-plana, berreskuratze-denbora helburuarekin (RTO) <24h eta berreskuratze-puntu helburuarekin (RPO) <24h.

6.4. Langileen konfidentzialtasuna

• Sistemetara sarbidea duen edonork sinatutako betiko konfidentzialtasun-konpromisoa.
• Aldizkako prestakuntza datuen babesean eta segurtasunean.
• Sarbideen errebokazioa lan-harremana amaitzen den unean.

6.5. Egiaztapena eta auditoretza

• Logen eta mendekotasunen aldizkako berrikuspena (lockfileak, ahultasun-alertak).
• Sartze-probak pieza kritiko berri bat gehitzen denean.
• Gorabehera eta urratzeen barne-erregistroa, analisiarekin eta neurri zuzentzaileekin.

7. Nazioarteko transferentziak

Ez da dokumentazio perizialaren nazioarteko transferentziarik egiten: tratamendua osorik Espainian egiten da, lokalean. Noizbait EEEtik kanpoko hornitzaile batera jo behar izanez gero, RGPDren V. kapituluko bermeak aplikatuko lirateke eta Arduradunari aldez aurretik jakinaraziko litzaioke.

8. Segurtasun-urratzea — prozedura zehatza

Arduradunaren datu pertsonalei eragiten dien urratze baten aurrean:

1. Eragileak gorabeheraren barne-konstantzia utziko du, detekzioaren denbora-markarekin.
2. Gehienez 48 orduko epean Arduradunari jakinaraziko dio posta elektronikoz izendatutako kontaktura, gorabeheraren deskribapen osoarekin.
3. Eragileak berehala hartuko ditu neurri zuzentzaile arrazoizkoak eta Arduraduna haren bilakaeraz informatuta mantenduko du.
4. Arduradunak erabakiko du AEPDri (RGPD 33. art.) eta interesdunei (RGPD 34. art.) jakinarazi behar zaien. Eragileak laguntza teknikoa eta dokumentala emango du jakinarazpen horretarako.
5. Ebazpenaren ondoren, bi alderdiek ikasitako lezioak eta hartutako neurri gehigarriak dokumentatuko dituzte.

9. Auditoretza

Arduradunak DPA honen betetzea auditatu ahal izango du urtean behin, gutxienez 4 asteko aurreabisu idatziarekin, lanorduetan eta zerbitzua eten gabe. Eragina minimizatzeko, Eragileak Arduradunari kanpo-auditoretza txosten eguneratua eskaini ahal izango dio (ISO 27001, SOC 2 edo baliokidea) indarrean badago. Auditoretzaren kostuak Arduradunaren kontura dira, auditoretzak Eragilearen ez-betetze materialak aurkitzen dituenean izan ezik; kasu horretan Eragileak hartuko ditu bere gain.

10. Erantzukizuna eta araubide ekonomikoa

Alderdi bakoitzak bere betebeharren ez-betetzetik eratorritako kalteez erantzuten du, RGPDren 82. artikuluaren eta aplikatzekoa den gainerako araudiaren arabera. Erantzukizunaren mugatze- eta kalte-ordainen araubidea zerbitzuaren baldintza orokorretan xedatutakoaren arabera arautzen da. Eragileak zerbitzuaren bolumenari egokitutako erantzukizun zibil profesionaleko asegurua mantenduko du.

11. Iraupena eta suntsiarazpena

DPA hau indarrean egongo da Arduradunak Perito Camión-ekin hirugarrenen datu pertsonalak tratatzeko duen kontratu-harremanak irauten duen bitartean. Kontratu nagusiaren amaierak DPAren amaiera dakar, beren izaeragatik irauten duten betebeharrak eragotzi gabe (langileen betiko konfidentzialtasuna, datuen lege-kontserbazioa).

12. Aldaketak

Eragileak DPA hau aldatu ahal izango du araudi-aldaketa batek edo segurtasun-neurrien hobekuntza substantzial batek eskatzen duenean. Aldaketak orri honetan argitaratuko dira berrikuspen-datarekin eta Arduradunari arrazoizko aurrerapenaz jakinaraziko zaizkio. Arduradunak arrazoituta aurka egin ahal izango du; uko egitea akordioz ebazten ez bada, kontratua zigorrik gabe suntsiarazi ahal izango du.

13. Legeria aplikagarria eta jurisdikzioa

DPA hau Espainiako legeriaren arabera arautzen da (RGPD, LOPDGDD eta aplikatzekoa den gainerako araudia). Alderdiek, beste edozein fururi berariaz uko eginez, aplikatzekoak diren prozesu-arauen arabera eskudun diren Espainiako Epaitegi eta Auzitegien jurisdikzioaren mende jartzen dute beren burua.

Azken eguneratzea: 2026ko uztaila.