Acuerdo de encargado del tratamiento

1. Partes y aceptación

El encargado es Carlos José Almuiña Jiménez, NIF 35122600J, Rúa Aviación Española 59, 27550 Taboada, Lugo, España, bajo la marca NORBILANDIA. Contacto: contact@norbilandia.com. El responsable es la empresa o autónomo identificado en el contrato de servicio DECA. Su representante debe tener facultades para encargar el tratamiento.

Este modelo se incorpora al contrato mediante aceptación expresa documentada. La identificación del cliente, representante, versión, fecha, instrucciones y anexos aceptados debe constar en el expediente contractual. Su lectura o la mera visita a la web no constituyen aceptación. No se afirma que un cliente concreto haya aceptado este acuerdo por publicar el modelo.

2. Objeto, duración y operaciones

El encargo comprende prestar el servicio DECA: recoger y organizar los datos aportados, generar y almacenar documentos, gestionar revisiones, consultar, permitir la descarga y entrega, recuperar el servicio, devolver datos y ejecutar supresiones autorizadas. Incluye el acceso técnico estrictamente necesario para soporte y seguridad, sin permitir usar los datos para fines propios ajenos al encargo.

La duración coincide con el servicio y el periodo de archivo contratado. La condición comercial contempla 12 meses gratuitos de consulta, descarga y exportación desde la baja o suspensión efectiva. Durante ese periodo continúa el encargo de conservación y devolución, sin habilitar nueva emisión. Cualquier conservación posterior por obligación legal debe identificarse y limitarse a esa finalidad.

3. Personas y categorías de datos

Las personas afectadas pueden ser el titular autónomo, representantes, usuarios, conductores, clientes, cargadores, transportistas colaboradores y personas de contacto en los lugares del transporte. El cliente limita los datos a los necesarios para su servicio y facilita la información de protección de datos que corresponda.

Las categorías comprenden identificación y contacto profesional, funciones y permisos de usuario, identificación de vehículos, datos de envíos, lugares, mercancías, incidencias y observaciones, documentos, revisiones, adjuntos y, cuando se aporten legítimamente, firmas. No se autoriza el tratamiento de categorías especiales o antecedentes penales. Una necesidad distinta exige revisar previamente este encargo y sus medidas.

4. Instrucciones y finalidad

NORBILANDIA tratará los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales. Informará inmediatamente si considera que una instrucción infringe la normativa. Cuando una ley obligue a otro tratamiento, informará al responsable antes de realizarlo, salvo prohibición legal por motivos de interés público.

No venderá datos, los empleará para publicidad ni los utilizará para entrenar modelos de IA. Tampoco incorporará por iniciativa propia los documentos a asistentes externos. El cliente debe autorizar expresamente cualquier integración y conocer sus destinatarios, permisos y tratamiento. La API y el servicio MCP publicados son de lectura: no emiten, modifican ni cancelan documentos. La publicación del servicio no acredita una conexión real ni la compatibilidad comprobada de un asistente concreto.

5. Confidencialidad y personal autorizado

El acceso se limitará a personas autorizadas por su función, sujetas a confidencialidad contractual o legal y con formación apropiada. Las obligaciones de confidencialidad subsisten tras finalizar el servicio. Se mantendrán permisos mínimos y se retirarán los accesos que dejen de ser necesarios.

6. Medidas de seguridad

Se aplicarán medidas proporcionadas al riesgo: HTTPS, control de permisos y sesiones, segundo factor, protección de credenciales, separación de datos por empresa, registro de actuaciones relevantes, comprobación de integridad de documentos y protección de los accesos de administración. La documentación técnica distingue lo desplegado de lo pendiente y se mantiene a disposición del responsable en un alcance que no comprometa otras cuentas.

La configuración incluye servidor principal y reserva, réplica de base de datos, comunicaciones cifradas y copias para recuperación. Desde el 29 de octubre de 2026 hay relevo automático entre el servidor principal y la réplica, decidido por un árbitro independiente en OVHcloud; la réplica no sustituye las copias, que se guardan cifradas. No se garantiza un tiempo de recuperación, pérdida cero o disponibilidad absoluta sin una prueba y condición contractual que lo respalden.

El anexo técnico de cada contrato identifica ubicación y retención de copias, registros técnicos, frecuencia de recuperación probada y procedimientos de supresión. No se da por verificada una medida, certificación o plazo por incluirlo en este modelo. Las medidas se revisan atendiendo al estado de la técnica, los riesgos y los cambios del servicio.

7. Subencargados y alojamiento

Los proveedores de infraestructura son Arsys Internet S.L.U., para el principal alojado en España; Contabo GmbH, para la reserva en la región contratada Hub Europe, Unión Europea; y OVHcloud (OVH Hispano SL), desde el 29 de octubre de 2026, para el árbitro del relevo automático y las copias de seguridad cifradas, con servidor en Alemania. El acuerdo generado para el VPS de reserva identifica a Contabo France SAS como operador del centro de Lauterbourg, Francia. Antes de formalizar el encargo se incorporan los servicios cubiertos, localización aplicable a datos y copias, condiciones de soporte y los contratos vigentes de tratamiento con esos proveedores; generar una vista previa no acredita la aceptación del contrato.

Cloudflare presta el servicio DNS autoritativo del dominio desde el 5 de octubre de 2026. Desde el 29 de octubre de 2026 Cloudflare es también la entrada de las visitas: cifra y reenvía visitas, sesiones y descargas al servidor disponible mediante su proxy HTTPS, Cloudflare Tunnel y un Worker de relevo, sin almacenar en caché las respuestas con documentos, con las garantías del Marco de Privacidad de Datos UE-EE. UU. y las cláusulas contractuales tipo de su acuerdo de tratamiento. Antes de incorporar documentos, sesiones u otros datos del cliente a nuevos servicios de Cloudflare se documentarán su alcance, autorización, contrato y garantías aplicables; la ubicación europea de un objeto no acredita la residencia de todas las operaciones del proveedor.

El cliente autoriza por escrito los subencargados identificados en su anexo. Una autorización general, si se acuerda, exige aviso previo de cualquier incorporación o sustitución y oportunidad efectiva de objeción antes del cambio. NORBILANDIA impondrá al subencargado las obligaciones de protección equivalentes exigidas por el RGPD y seguirá respondiendo ante el cliente por su cumplimiento.

No se autoriza mediante este texto genérico un nuevo proveedor de pagos, analítica, IA, almacenamiento o correo. Cada servicio añadido debe evaluarse e incorporarse al anexo cuando trate datos por cuenta del cliente. La sede de un proveedor o la geolocalización de una IP no acreditan la ubicación concreta de todas sus operaciones.

8. Transferencias internacionales

El alojamiento contratado de los tres servidores (España, Francia y Alemania) está en la UE. Cualquier almacenamiento, acceso remoto u otro tratamiento desde fuera del Espacio Económico Europeo debe identificarse y someterse a las instrucciones y garantías del capítulo V del RGPD, incluidas las evaluaciones y medidas complementarias aplicables. No se deduce ausencia de transferencias de la sola ubicación del servidor.

9. Descarga de inspección y entrega

El responsable instruye la puesta a disposición de las copias exigidas para inspección mediante URL HTTPS específica con QR y descarga directa, conforme a la resolución DECA aplicable. Los PDF contienen los datos del transporte: quien disponga de su enlace podrá descargarlos. Esta función no abre la gestión privada de la empresa ni autoriza compartir documentos distintos.

El cliente decide los destinatarios de las copias y evita datos personales innecesarios. El servicio debe mantener diferenciadas las revisiones vigentes, sustituidas y canceladas, conservar la trazabilidad exigible y facilitar al conductor la copia actualizada. Los destinatarios y aplicaciones elegidos por el cliente fuera del servicio requieren su propia evaluación de privacidad.

10. Derechos de las personas

NORBILANDIA asistirá al responsable mediante las medidas técnicas y organizativas necesarias para atender los derechos de los interesados. Una solicitud recibida directamente sobre datos del encargo se trasladará sin dilación indebida al responsable, sin resolverla por su cuenta salvo instrucción o deber legal. La verificación de identidad y representación será proporcionada.

11. Brechas y asistencia

NORBILANDIA notificará al responsable las violaciones de seguridad de los datos del encargo sin dilación indebida desde que tenga conocimiento, aportando, conforme se conozcan, naturaleza, personas y registros afectados, consecuencias probables, medidas adoptadas y contacto para seguimiento. No esperará a completar la investigación para informar y documentará las ampliaciones.

Asistirá al responsable, según la información disponible y la naturaleza del tratamiento, en las obligaciones de seguridad, notificaciones, evaluación de impacto y consulta previa previstas en los artículos 32 a 36 del RGPD. La notificación a la autoridad o a los interesados corresponde al responsable salvo encargo documentado o obligación legal propia.

12. Devolución, conservación y supresión

Al terminar el encargo, el cliente elegirá la devolución o supresión de los datos y copias, salvo obligación legal de conservación. El año gratuito de archivo facilita la salida y no impide solicitarla antes. La descarga individual y la exportación completa en ZIP incluyen sus revisiones y datos de integridad. La exportación aplica sus límites y comprobaciones: si no puede completarse, informa del fallo y no entrega silenciosamente un archivo parcial.

Una petición de supresión se revisará para no destruir documentos sujetos a conservación sin instrucciones y fundamento válidos. Los datos sujetos a una obligación legal se separarán o restringirán y no se reutilizarán para prestar servicio ordinario. La facturación y responsabilidades propias de NORBILANDIA tienen su fundamento y conservación independientes.

La ejecución debe abarcar principal, reserva, archivos, índices y cachés pertinentes. Las copias no accesibles para uso ordinario se eliminan en su ciclo documentado; si se restauran, se reaplican las supresiones válidas antes de reanudar el servicio. Se entrega constancia del alcance y excepciones de la devolución o supresión, sin simular que ya se ejecutó por registrar una solicitud.

13. Información, auditoría y cambios

NORBILANDIA pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento de este encargo y permitirá y contribuirá a auditorías e inspecciones efectuadas por el responsable o un auditor autorizado. Se coordinará su alcance y acceso para proteger confidencialidad, seguridad y datos de otros clientes, sin excluir las facultades legales de la autoridad.

Cada versión aceptada y sus anexos se conservan como evidencia contractual. Un cambio material de finalidad, categorías, destinatarios, ubicación o medidas se revisa y comunica antes de aplicarlo, obteniendo las autorizaciones necesarias. El modelo no sustituye la comprobación de la configuración real, de los contratos con proveedores o de la aceptación de cada cliente.