Encargo de tratamiento

1. Partes

• Responsable del tratamiento: la organización cliente dada de alta en Sourevo (importador, operador, comerciante o transitario / representante autorizado). Decide qué datos carga y para qué.
• Encargado del tratamiento: Juan Cantón Rodríguez (NIF 45492167F), Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España, que opera bajo la marca «Francodesystems».

Este encargo cubre los datos que tu organización introduce, importa o recibe en la herramienta para su diligencia debida, incluidos los datos del operador para TRACES NT y el contenido de las declaraciones. Los datos de las cuentas de usuario y los que los proveedores gestionan en su propio portal los tratamos como responsables, según la política de privacidad. Cuando un proveedor comparte una parcela contigo, el uso que tú haces de ella en tu diligencia debida queda dentro de este encargo.

Si tu organización trata a su vez esos datos por cuenta de otra empresa (por ejemplo, un transitario o representante autorizado que trabaja para un operador), este encargo funciona como subencargo: garantizas que ese responsable te permite recurrir a nosotros y le trasladarás la información de este documento que necesite.

2. Objeto, datos y duración

• Categorías de interesados: proveedores y productores que sean personas físicas (incluidos pequeños productores), personas de contacto de proveedores y de operadores, y personas que aparezcan en las evidencias que cargas.
• Categorías de datos: nombre, correo, teléfono, país, identificación fiscal, geolocalización y superficie de las parcelas (punto o polígono), documentos de evidencia, datos del operador y de su persona de contacto, y el contenido de las declaraciones (DDS). Las credenciales de servicio web de TRACES NT no se usan para nada distinto de las operaciones que ordenas y se guardan cifradas.
• Naturaleza del tratamiento: alojamiento, registro, organización, consulta, validación, transmisión a TRACES NT por instrucción tuya, consulta de identificaciones fiscales en registros públicos, conservación y supresión.
• Finalidad: prestarte el servicio descrito en las condiciones, para que prepares, presentes y documentes tu diligencia debida conforme al Reglamento (UE) 2023/1115.
• Duración: mientras dure tu cuenta, más el periodo de conservación del punto 8.

No se tratan categorías especiales del artículo 9 del RGPD. Si cargas datos que no hacen falta para la diligencia debida, la decisión y la responsabilidad son tuyas.

3. Instrucciones

Tratamos los datos solo según tus instrucciones documentadas, que son estas condiciones y las acciones que realizas en la aplicación o mediante la integración: por ejemplo, ordenar la presentación de una DDS en TRACES NT es una instrucción de transmitir esos datos a la Comisión Europea. Si una instrucción nos parece contraria al RGPD u otra norma, te lo diremos de inmediato.

Solo trataríamos los datos de otra forma si nos obliga el Derecho de la Unión o de España. En ese caso te informaremos antes, salvo que esa misma norma lo prohíba.

No usamos los datos para fines propios: ni para perfilar, ni para entrenar modelos, ni para venderlos, ni para ofrecerlos a otros clientes.

4. A qué nos obligamos

• Guardar secreto y exigirlo a cualquiera que acceda a los datos, también después de terminar el encargo.
• Aplicar las medidas de seguridad del artículo 32 del RGPD (ver el punto 6).
• Ayudarte a atender los derechos de los interesados. Si nos llega una solicitud de un interesado tuyo, te la trasladamos sin responder por nuestra cuenta.
• Avisarte de una violación de seguridad de los datos sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes a que la conozcamos, con lo que sepamos en ese momento (qué ha pasado, qué datos e interesados pueden estar afectados, consecuencias probables y medidas tomadas), y completar la información después, para que puedas notificar a la autoridad en tus 72 horas (art. 33 RGPD).
• Ayudarte, en lo que dependa de nosotros, en evaluaciones de impacto y consultas previas.
• Llevar el registro de actividades de tratamiento como encargados (art. 30.2 RGPD).
• Poner a tu disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso y sin comprometer la seguridad ni los datos de otros clientes.
• No transferir datos fuera del Espacio Económico Europeo salvo a los subencargados del punto 5 y con las garantías allí indicadas.

5. Subencargados

Nos autorizas de forma general a recurrir a estos subencargados, con los que tenemos contrato que impone obligaciones equivalentes a las de este encargo:

No son subencargados, sino destinatarios por instrucción tuya: la Comisión Europea (TRACES NT), que recibe las declaraciones que presentas y las trata como responsable, y los registros fiscales públicos (VIES de la Comisión Europea, registro de CNPJ de Brasil) que consultamos para validar identificaciones fiscales.

Si añadimos o sustituimos un subencargado, te avisamos con al menos 30 días de antelación. Puedes oponerte por motivos razonables; si no encontramos una alternativa, puedes resolver el contrato sin penalización.

Respondemos ante ti de que nuestros subencargados cumplan sus obligaciones de protección de datos (art. 28.4 RGPD).

6. Medidas de seguridad

• Cifrado en tránsito (HTTPS) y credenciales de TRACES NT cifradas en reposo con AES-256-GCM.
• Contraseñas con hash argon2id y sesiones firmadas en cookies HttpOnly y Secure.
• Aislamiento por organización en cada consulta y visibilidad de cada parcela controlada por el proveedor.
• Registro de auditoría e historial de declaraciones de solo adición.
• Limitación de intentos de acceso y acceso de personal limitado al mínimo necesario.
• Copias de seguridad de la base de datos, guardadas dentro de la Unión Europea.

Revisamos estas medidas cuando cambia el servicio o el riesgo. Si alguna cambia, mantendremos al menos el mismo nivel de protección.

7. Lo que corresponde a tu organización

• Tener base legal para los datos que cargas y informar a los interesados (art. 14 RGPD), en particular a los productores cuya geolocalización vas a incluir en una DDS que se presenta a la Comisión Europea.
• Velar por la exactitud de los datos y revisar cada declaración antes de presentarla.
• Gestionar quién de tu organización tiene acceso y con qué rol.
• Incluirnos como encargado en tu registro de actividades de tratamiento.

8. Al terminar el encargo

Al finalizar la relación tienes al menos 30 días para pedirnos la devolución de los datos en un formato estructurado (GeoJSON, CSV o JSON, y los ficheros de evidencia). Después los suprimimos, con dos excepciones:

• El archivo de declaraciones presentadas y su documentación. Salvo que nos indiques otra cosa, al aceptar este encargo nos das la instrucción de conservarlo bloqueado hasta cumplir 5 años desde cada presentación, para que puedas entregarlo si una autoridad te lo pide durante el plazo de conservación que el EUDR te impone a ti (arts. 4.3 y 12.5). Puedes indicarnos por escrito que lo suprimamos antes, una vez tengas tu copia.
• Lo que el Derecho de la Unión o de España nos obligue a conservar, también bloqueado.

Durante el bloqueo los datos no se usan para nada, salvo atender tu petición o un requerimiento de una autoridad o un juzgado.

9. Responsabilidad y contacto

Cada parte responde de sus obligaciones según el artículo 82 del RGPD, con las limitaciones de las condiciones de uso y contratación en lo que la ley permita.

Para cualquier cuestión sobre este encargo, una auditoría o la firma de un contrato específico si tu departamento legal lo prefiere: juan.canton@sourevo.com.