Contrato de encargado de tratamiento
En una frase: usted decide qué datos guarda de sus clientes y para qué; nosotros solo ponemos el programa y tratamos esos datos siguiendo sus instrucciones, sin usarlos para nada nuestro.
Estas condiciones forman parte del contrato de servicio. Si necesita una copia firmada para su archivo, escriba a info@car-rent.es y se la enviamos.
1. Quién es quién
Responsable: la empresa de alquiler que contrata el servicio. Decide qué datos personales trata, con qué finalidad y durante cuánto tiempo.
Encargado: KraakVC OÜ, NIF EE102662812, con domicilio en Sepapaja tn 6, Lasnamäe linnaosa, 15551 Tallinn, Harjumaa (Estonia), titular de car-rent.es.
2. Objeto, duración y finalidad
El encargado trata datos personales por cuenta del responsable con el único fin de prestarle el servicio de gestión de alquiler de vehículos: contratos, reservas, facturación, flota, caja, comunicaciones con clientes y las obligaciones legales asociadas.
El tratamiento dura lo que dure el contrato de servicio, más el plazo de devolución o supresión previsto en la cláusula 10.
3. Datos y personas afectadas
| Categorías de personas | Datos que pueden tratarse |
|---|---|
| Clientes y arrendatarios | Identificativos (nombre, documento de identidad o pasaporte, domicilio, teléfonos, email), datos de facturación e imágenes del contrato firmado |
| Conductores | Los anteriores más los del permiso de conducir: número, fecha y lugar de expedición, autoridad y caducidad |
| Empleados del responsable | Identificativos, datos de contacto, credenciales de acceso y registro de su actividad en el programa |
| Personas que aparezcan en las imágenes | Fotografías del estado del vehículo en entrega y devolución |
No se tratan categorías especiales de datos de forma deliberada. Si el responsable introdujera datos de salud, biométricos u otros especialmente protegidos, lo hace bajo su exclusiva responsabilidad y debe comunicarlo previamente.
4. Obligaciones del encargado
- Tratar los datos solo siguiendo instrucciones documentadas del responsable, incluidas las transferencias internacionales. Si una ley nos obliga a otra cosa, se lo comunicaremos antes, salvo que esa misma ley lo prohíba.
- No usar los datos para fines propios, ni cederlos, ni venderlos, ni emplearlos para entrenar sistemas de inteligencia artificial.
- Garantizar que quien accede a los datos está sujeto a deber de confidencialidad.
- Aplicar las medidas de seguridad de la cláusula 6.
- Asistir al responsable para que pueda cumplir con las solicitudes de las personas y con sus obligaciones de seguridad, notificación y evaluación de impacto.
- Poner a su disposición la información necesaria para demostrar el cumplimiento de esta cláusula.
5. Subencargados
El responsable autoriza de forma general que nos apoyemos en subencargados para prestar el servicio. La lista está publicada y actualizada en car-rent.es/subencargados.
Antes de incorporar uno nuevo lo publicaremos allí con al menos 30 días de antelación y avisaremos por email. Durante ese plazo el responsable puede oponerse por motivos razonables; si no podemos ofrecer una alternativa, podrá rescindir el contrato sin penalización y con devolución de la parte no consumida.
A cada subencargado se le imponen obligaciones equivalentes a las de este documento, y respondemos ante el responsable de su actuación.
6. Medidas de seguridad
- Aislamiento entre empresas: cada cliente tiene sus datos separados; ninguna consulta del programa puede devolver información de otro.
- Cifrado en tránsito mediante HTTPS obligatorio en todo el servicio.
- Contraseñas guardadas con funciones de cifrado irreversible; nunca en claro.
- Control de acceso por usuario, oficina y permisos por módulo.
- Registro de actividad: queda constancia de qué usuario hizo cada cambio, cuándo y desde dónde.
- Certificados y claves almacenados cifrados y fuera del árbol web.
- Caducidad de datos: el programa aplica automáticamente los plazos de conservación que fije el responsable y deja constancia de cada limpieza.
- Copias de seguridad gestionadas por el proveedor de alojamiento dentro de la Unión Europea.
7. Transferencias internacionales
Los datos se alojan en la Unión Europea. Algunas funciones opcionales —inteligencia artificial, lectura automática del documento de identidad, WhatsApp, SMS y determinadas pasarelas de pago— implican proveedores fuera del Espacio Económico Europeo, amparados en las cláusulas contractuales tipo de la Comisión Europea.
Esas funciones vienen desactivadas: si el responsable no las activa, sus datos no salen del EEE por esa vía. En la lista de subencargados se indica cuáles son.
8. Derechos de las personas
Si una persona nos escribe directamente ejerciendo sus derechos, no responderemos por nuestra cuenta: le indicaremos que se dirija al responsable y se lo trasladaremos sin demora indebida.
El programa incorpora las herramientas para que el responsable pueda atender esas solicitudes: consultar, rectificar, exportar y suprimir los datos de una persona.
9. Violaciones de seguridad
Si detectamos una violación de seguridad que afecte a datos del responsable, se lo notificaremos sin demora indebida y, a más tardar, en 48 horas desde que tengamos conocimiento, con la información disponible: qué ha pasado, a qué datos y personas afecta, consecuencias previsibles y medidas adoptadas.
La notificación a la autoridad de control y, en su caso, a los afectados, corresponde al responsable; le asistiremos en lo que necesite.
10. Al terminar el contrato
Cuando termine la prestación, el responsable dispone de 30 días para exportar sus datos con las herramientas del programa o solicitar que se los entreguemos en formato estructurado.
Transcurrido ese plazo, suprimiremos los datos y las copias existentes, salvo los que debamos conservar por obligación legal, que quedarán bloqueados hasta que prescriba.
11. Auditoría
El responsable puede solicitar la información necesaria para verificar el cumplimiento de estas obligaciones. Las auditorías se acuerdan con antelación razonable, no más de una al año salvo incidente, en horario que no perturbe el servicio y sujetas a confidencialidad.
12. Ley aplicable
Se aplican el RGPD y la normativa española de protección de datos. Para lo demás rige lo previsto en el aviso legal.
¿Necesita la copia firmada? Escriba a info@car-rent.es indicando la razón social y el CIF de su empresa, y se la enviamos para firmar.