Antes de empezar: dos papeles distintos
Sourevo trata datos personales en dos papeles, y conviene separarlos porque los derechos se ejercen ante quien corresponde:
- Como responsables tratamos los datos de quien visita la web, de las personas usuarias de las cuentas de cliente y de los proveedores que crean su propia cuenta en el portal. De eso trata esta política.
- Como encargados tratamos los datos que cada organización cliente (importador, operador o transitario) carga o usa en su espacio: sus proveedores, parcelas y evidencias, los datos del operador para TRACES NT y el contenido de las declaraciones que presenta. Ahí la responsable es esa organización y nosotros solo seguimos sus instrucciones, según el encargo de tratamiento.
Cuando un proveedor decide compartir una parcela con un cliente, ese cliente pasa a usarla para su propia diligencia debida y, para ese uso, es responsable él.
Si eres un proveedor o productor y un cliente de Sourevo ha cargado tus datos, quien debe atenderte es ese cliente. Si no sabes cuál es, escríbenos y te ayudamos a dirigirte a él.
1. Responsable del tratamiento
- Responsable: Juan Cantón Rodríguez, profesional autónomo, que opera bajo la marca «Francodesystems».
- NIF: 45492167F
- Domicilio: Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España
- Correo: juan.canton@sourevo.com
No hemos designado Delegado de Protección de Datos porque la actividad no está entre los supuestos del artículo 37 del RGPD y del artículo 34 de la LOPDGDD. Para cualquier cuestión de privacidad, usa el correo indicado.
2. Qué datos tratamos como responsables
- Personas usuarias de las cuentas de cliente: nombre, correo electrónico, contraseña (guardada solo como hash con argon2id, nunca en claro), organización a la que pertenecen (razón social y NIF o número de IVA) y su rol en ella.
- Proveedores con cuenta propia en el portal: nombre, correo, contraseña (solo hash), idioma preferido, verificación del correo, identificación fiscal declarada (tipo, número y país), el resultado de su validación y el nivel de confianza resultante.
- Datos que el proveedor declara en su portal: datos del proveedor (nombre, país, correo, teléfono), sus parcelas (nombre, país, superficie y geolocalización como punto o polígono), las evidencias que adjunta y con qué clientes decide compartir cada parcela. La geolocalización de la parcela de un pequeño productor puede ser un dato personal.
- Seguridad y trazabilidad: registro de auditoría de las acciones (qué se hizo, sobre qué, cuándo y por qué tipo de usuario), códigos de un solo uso para verificar el correo o restablecer la contraseña (solo guardamos su hash), la dirección IP que se usa en memoria, unos minutos, para limitar intentos de acceso (no se guarda en la base de datos) y los registros técnicos del servidor.
- Soporte y contacto: lo que nos cuentes por correo o WhatsApp.
No pedimos categorías especiales de datos (art. 9 RGPD). No usamos analítica, publicidad ni rastreadores de terceros.
De dónde salen los datos. Casi todos nos los das tú. Hay tres excepciones: si el administrador de tu organización te invita, él nos da tu nombre y tu correo; si un cliente te invita como proveedor, nos da tu nombre y tu correo para enviarte la invitación (en eso actuamos como encargados suyos), y el resultado de validar tu identificación fiscal procede del registro público consultado (VIES o CNPJ).
3. Para qué y con qué base legal
| Finalidad | Datos | Base legal |
|---|---|---|
| Crear y mantener tu cuenta, identificarte y prestar el servicio contratado o solicitado | Cuenta de cliente o de proveedor, organización | Ejecución del contrato (art. 6.1.b RGPD). Si usas la cuenta como empleado de una empresa cliente, el interés legítimo en mantener la relación con ella (art. 6.1.f RGPD y art. 19 LOPDGDD) |
| Poner a disposición de los clientes que elijas las parcelas que declaras como proveedor | Datos del proveedor, parcelas, evidencias | Ejecución del contrato con el proveedor (art. 6.1.b RGPD) |
| Validar la identificación fiscal del proveedor en registros públicos y calcular su nivel de confianza | Identificación fiscal y resultado de la validación | Interés legítimo en la fiabilidad de la información de la cadena de suministro, que el propio proveedor busca al declararla (art. 6.1.f RGPD) |
| Enviar correos del servicio: verificación, invitaciones, restablecimiento de contraseña, avisos de la cuenta | Nombre, correo, idioma | Ejecución del contrato (art. 6.1.b RGPD) |
| Seguridad, prevención de abusos y registro de auditoría | Registros de auditoría y técnicos, IP en memoria | Interés legítimo en proteger el servicio y poder acreditar quién hizo cada cambio (art. 6.1.f RGPD) |
| Cumplir obligaciones legales: fiscales y contables cuando haya facturación, y atender requerimientos de autoridades | Datos de facturación y los que se requieran | Obligación legal (art. 6.1.c RGPD) |
| Atender consultas y soporte | Lo que nos cuentes | Ejecución del contrato o medidas precontractuales (art. 6.1.b RGPD) y, para consultas generales, interés legítimo (art. 6.1.f RGPD) |
Puedes oponerte a los tratamientos basados en interés legítimo (ver el punto 8). Hoy no enviamos boletines ni comunicaciones comerciales. El nivel de confianza del proveedor es un indicador basado en comprobaciones objetivas; no es una decisión automatizada con efectos jurídicos sobre ti (art. 22 RGPD): la decisión de trabajar o no con un proveedor la toma cada cliente.
Los datos marcados como obligatorios en los formularios son necesarios para prestar el servicio; sin ellos no podemos crear la cuenta o realizar la operación.
Preparar, presentar, modificar o retirar declaraciones en TRACES NT no aparece en esta tabla porque lo hacemos como encargados, por instrucción de la organización cliente: la finalidad y la base legal las decide ella.
4. A quién se comunican los datos
- Comisión Europea (TRACES NT): cuando una organización cliente, o su representante autorizado, ordena presentar una DDS, los datos de la declaración (operador, productos, cantidades, geolocalización de las parcelas y referencias) se envían al sistema de información del EUDR que gestiona la Comisión Europea. Lo hacemos como encargados de ese cliente. Desde allí los datos son accesibles a las autoridades competentes de los Estados miembros y a las aduanas. La Comisión los trata conforme a su propia normativa de protección de datos (Reglamento (UE) 2018/1725).
- Registros fiscales públicos: para validar la identificación fiscal de un proveedor consultamos el servicio VIES de la Comisión Europea (números de IVA de la UE) o el registro público de CNPJ de Brasil. Solo enviamos el número y el país.
- Clientes de Sourevo: las parcelas y datos que un proveedor decide compartir con un cliente concreto, y solo con él. Ese cliente los usa como responsable para su propia diligencia debida.
- Proveedores de servicios (encargados): los indicados en el punto 5, con contrato de encargo del artículo 28 RGPD.
- Autoridades y tribunales, cuando una ley nos obligue.
No vendemos ni cedemos datos con fines comerciales.
5. Proveedores que nos ayudan a prestar el servicio
- Hetzner Online GmbH (Alemania): alojamiento del servidor, que está en su centro de datos de Finlandia (Unión Europea), con la base de datos y los ficheros. La plataforma de despliegue (Coolify) la gestionamos nosotros en ese servidor; no es un tercero.
- Resend, Inc. (Estados Unidos): envío de los correos del servicio. Recibe la dirección de destino, el nombre y el contenido del correo, y los guarda en Estados Unidos.
- Google Cloud EMEA Limited (Irlanda), con Google Workspace: el buzón de correo de juan.canton@sourevo.com. Recibe lo que nos escribes por correo.
- Cloudflare, Inc. (Estados Unidos): solo resolución DNS del dominio sourevo.com. El tráfico de la web no pasa por Cloudflare (sin proxy), así que no recibe el contenido de tus visitas ni de tus datos.
Si nos escribes por WhatsApp, ese servicio lo presta WhatsApp Ireland Limited con sus propias condiciones y su propia política de privacidad. No lo uses para enviarnos datos de terceros; para eso, usa el correo.
6. Transferencias internacionales
Los datos del servicio se alojan en la Unión Europea. Hay transferencia fuera del Espacio Económico Europeo en estos casos:
- Resend, Inc. (EE. UU.): amparada en las cláusulas contractuales tipo de la Comisión Europea incluidas en su contrato de tratamiento de datos y, además, en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), en el que Resend está certificada.
- Google (Workspace): el contrato es con una empresa irlandesa, pero Google puede tratar datos en otros países, incluido EE. UU. Esas transferencias se amparan en las cláusulas contractuales tipo de su contrato de tratamiento de datos y en el Marco de Privacidad de Datos UE-EE. UU.
- Cloudflare, Inc. (EE. UU.): limitada a datos técnicos de resolución DNS, amparada en el mismo Marco de Privacidad de Datos y en cláusulas contractuales tipo.
- Registro de CNPJ de Brasil: se consulta un número de identificación de empresa brasileña, con el fin de validar la identidad que el propio proveedor ha declarado.
Puedes pedirnos más información sobre estas garantías en juan.canton@sourevo.com.
7. Cuánto tiempo los guardamos
- Cuenta: mientras esté activa. Tras la baja, los datos se bloquean (art. 32 LOPDGDD) durante los plazos en que puedan exigirse responsabilidades (con carácter general, 5 años para acciones contractuales y hasta 6 años para la documentación contable y fiscal), y después se suprimen.
- Declaraciones (DDS) y datos que carga un cliente: los conservamos como encargados, según las instrucciones del cliente y lo previsto en el encargo de tratamiento. Por defecto, el archivo de declaraciones se guarda bloqueado 5 años desde cada presentación, que es el plazo mínimo que el EUDR impone al operador.
- Registro de auditoría: mientras exista el dato al que se refiere y, como máximo, 5 años.
- Códigos de un solo uso: hasta que caducan o se usan.
- IP para limitar intentos: solo en memoria, durante la ventana de control (minutos).
- Registros técnicos del servidor: el tiempo imprescindible para la seguridad y la resolución de incidencias y, como máximo, 30 días.
- Cuentas de prueba que no contratan: se suprimen en un plazo razonable tras el fin de la prueba, previo aviso.
- Consultas de soporte: mientras dure la consulta y hasta un año después.
8. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y no ser objeto de decisiones basadas únicamente en tratamientos automatizados, escribiendo a juan.canton@sourevo.com. Solo te pediremos acreditar tu identidad si tenemos dudas razonables. Respondemos en el plazo de un mes, ampliable dos meses más en casos complejos (te lo diríamos).
Si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es) o ante la autoridad de control del país donde vivas o trabajes.
Si tus datos los cargó un cliente de Sourevo, dirígete a él; si nos llega a nosotros tu solicitud, se la trasladamos.
9. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo: conexiones cifradas (HTTPS), contraseñas con hash argon2id, credenciales de TRACES NT cifradas con AES-256-GCM, cookies de sesión firmadas, HttpOnly y Secure, aislamiento de los datos de cada organización en cada consulta, visibilidad de parcelas controlada por el proveedor, historial de declaraciones de solo adición, limitación de intentos de acceso y acceso mínimo imprescindible. Nos comprometemos además a mantener copias de seguridad de la base de datos dentro de la Unión Europea.
Ningún sistema es infalible. Si sufrimos una violación de seguridad que afecte a tus datos, la notificaremos a la AEPD en los casos y plazos del artículo 33 del RGPD y te avisaremos si supone un alto riesgo para ti (art. 34 RGPD).
10. Menores
Sourevo es un servicio profesional y no está dirigido a menores de 18 años. No recogemos a sabiendas datos de menores; si detectamos que se ha creado una cuenta de un menor, la suprimiremos.
11. Cambios en esta política
Si cambiamos esta política de forma relevante (por ejemplo, un nuevo proveedor o una nueva finalidad), te avisaremos por correo o en la aplicación antes de que se aplique. La fecha de la última actualización figura arriba.