Acuerdo de Tratamiento de Datos

Partes y ámbito de aplicación

Este Acuerdo de Tratamiento de Datos ("ATD") forma parte de las Condiciones de Servicio de Locar disponibles en /legal/terms (las "Condiciones") y queda incorporado a ellas. Se aplica siempre que Locar trate datos personales por cuenta de un cliente (una empresa de alquiler de vehículos) en relación con el servicio Locar.

Razón social

Locar.ai

NIF

000000

Domicilio social

123, Street

Registro Mercantil

Locar.ai Corporation

Contacto

support@locar.ai

A los efectos del Reglamento (UE) 2016/679 (el "RGPD"), el cliente es el responsable del tratamiento de los datos personales que envía al servicio Locar, o que recoge a través de él, sobre sus propios clientes, conductores y demás personas. Locar es el encargado del tratamiento y trata esos datos personales únicamente siguiendo las instrucciones documentadas del cliente, tal como se describe en este ATD y sus anexos.

Objeto y duración

El objeto de este ATD es el tratamiento de datos personales por parte de Locar por cuenta del cliente en el marco de la prestación del servicio Locar: una plataforma de gestión de alquiler de vehículos que abarca reservas, contratos, entregas de vehículos, pagos y la comunicación relacionada con los clientes.

Este ATD entra en vigor en la fecha en que el cliente acepta las Condiciones y permanece vigente mientras Locar trate datos personales por cuenta del cliente, incluido el periodo necesario para completar la eliminación o devolución de esos datos conforme a "Eliminación y devolución de los datos" más adelante.

Naturaleza y finalidad del tratamiento

Locar trata datos personales por cuenta del cliente únicamente para prestar, respaldar y proteger el servicio Locar, y en particular para:

• gestionar reservas, contratos de alquiler, entregas y devoluciones de vehículos;
• procesar pagos y depósitos cobrados a través del proveedor de pago del cliente;
• registrar inspecciones y daños de los vehículos, incluidas fotografías;
• enviar y recibir mensajes de WhatsApp con los propios clientes del cliente, incluida la transcripción de notas de voz y la traducción de mensajes, cuando el cliente active esas funciones;
• leer documentos de identidad, permisos de conducir, documentos de matriculación de vehículos y notificaciones de multas con asistencia de IA, cuando el cliente active esa función, siempre sujeto a la confirmación de una persona antes de guardar cualquier lectura;
• generar el parte de viajeros que la legislación española exige presentar a las empresas de alquiler (SES.HOSPEDAJES);
• mantener el registro de auditoría, los registros de seguridad y las copias de seguridad necesarios para operar el servicio de forma fiable y segura.

Categorías de interesados y de datos personales

Los datos personales tratados conforme a este ATD se refieren a las siguientes categorías de interesados:

• los propios clientes del cliente que alquilan vehículos;
• conductores adicionales designados en un alquiler;
• el personal del cliente que utiliza el servicio Locar, en la medida en que sus actuaciones queden registradas frente a un alquiler o un vehículo.

Los datos personales tratados pueden incluir las siguientes categorías:

• nombre, datos de contacto, fecha de nacimiento y nacionalidad;
• datos e imágenes del documento de identidad y del permiso de conducir;
• domicilio;
• firmas;
• datos de la reserva y del contrato de alquiler;
• registros de pagos y depósitos, excluidos los números de tarjeta, que solo conserva el proveedor de pago del cliente;
• multas y peajes vinculados a un alquiler;
• fotografías de inspección y daños del vehículo;
• mensajes de WhatsApp, incluidas las notas de voz y sus transcripciones;
• la ubicación de la entrega registrada por la tableta utilizada en el momento de la entrega del vehículo.

Las partes no pretenden que este tratamiento incluya categorías especiales de datos personales en el sentido del artículo 9 del RGPD. Los datos del documento de identidad y del permiso de conducir se tratan porque habitualmente son necesarios para formalizar el alquiler de un vehículo, no para revelar una categoría especial; el cliente sigue siendo responsable de no enviar datos de categoría especial a través del servicio.

Tratamiento según instrucciones

Locar trata los datos personales únicamente siguiendo las instrucciones documentadas del cliente, incluso en lo relativo a las transferencias de datos personales a un tercer país, salvo que esté obligado a ello por el Derecho de la Unión Europea o de un Estado miembro al que Locar esté sujeto. En ese caso, Locar informará al cliente de ese requisito legal antes de proceder al tratamiento, salvo que el Derecho aplicable lo prohíba por razones importantes de interés público.

• este ATD y las Condiciones, junto con el uso que el cliente haga de las funciones configurables del servicio Locar (como activar la lectura de documentos con IA o el asistente de WhatsApp), constituyen las instrucciones del cliente;
• el cliente puede dar instrucciones escritas adicionales razonablemente relacionadas con el tratamiento descrito en este ATD;
• Locar informará al cliente si, en su opinión, una instrucción infringe el RGPD u otra disposición de protección de datos de la UE o de un Estado miembro.

Confidencialidad

Locar garantiza que toda persona que autorice a tratar datos personales conforme a este ATD, incluidos su propio personal y sus contratistas, está sujeta a un deber de confidencialidad vinculante, de naturaleza contractual o legal, y trata los datos personales únicamente según las instrucciones recibidas.

Seguridad del tratamiento

Locar aplica medidas técnicas y organizativas apropiadas al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, para garantizar un nivel de seguridad adecuado al riesgo, incluidas las medidas resumidas en el Anexo 2 (Medidas de seguridad). Esas medidas abordan, entre otras cosas, el aislamiento entre clientes, el cifrado en tránsito, el control de acceso y la integridad de los registros de auditoría y de las pruebas conservadas.

Subencargados del tratamiento

El cliente otorga a Locar una autorización general para contratar subencargados del tratamiento que presten el servicio Locar. Los subencargados actualmente contratados figuran en el Anexo 3 (Subencargados del tratamiento), con el tratamiento que realiza cada uno y su ubicación.

Locar informará al cliente de cualquier incorporación o sustitución prevista de un subencargado, dando al cliente la oportunidad de oponerse por motivos razonables de protección de datos dentro de un plazo razonable. Si el cliente se opone y las partes no logran resolver la objeción, Locar, como único remedio, se abstendrá de contratar a ese subencargado para los datos del cliente o permitirá que el cliente resuelva la parte afectada del servicio.

Locar impone obligaciones de protección de datos sustancialmente equivalentes a las de este ATD a todo subencargado que contrate, mediante contrato u otro instrumento jurídicamente vinculante, y sigue siendo plenamente responsable ante el cliente del cumplimiento de esas obligaciones por parte del subencargado.

OpenFreeMap, un servicio público gratuito de mapas, no es un subencargado conforme a este ATD: el propio navegador de la tableta Locar obtiene las teselas de mapa directamente de dicho servicio al mostrar la ubicación de una entrega de vehículo, y Locar no tiene contrato alguno con él. El Anexo 3 enumera únicamente los subencargados que Locar contrata.

Transferencias internacionales

Cuando un subencargado incluido en el Anexo 3 trate datos personales fuera del Espacio Económico Europeo, Locar se asegura de que la transferencia esté cubierta por una garantía adecuada reconocida conforme al capítulo V del RGPD, en particular las cláusulas contractuales tipo de la Comisión Europea, o la certificación del destinatario conforme al Marco de Privacidad de Datos UE-EE. UU. (DPF), cuando proceda.

Locar, a solicitud del cliente, pondrá a su disposición la garantía en la que se basa una transferencia concreta descrita en el Anexo 3.

Asistencia al cliente

Teniendo en cuenta la naturaleza del tratamiento, Locar asiste al cliente, mediante medidas técnicas y organizativas apropiadas, en el cumplimiento de su obligación de responder a las solicitudes de los interesados que ejerzan sus derechos conforme al RGPD. El servicio Locar incluye herramientas integradas que permiten al cliente exportar los datos personales de un interesado en una sola acción y eliminar directamente los archivos personales de un interesado, salvo los conservados como prueba.

• responder a las solicitudes de los interesados, cuando el cliente no pueda hacerlo por sí mismo mediante las herramientas integradas;
• las evaluaciones de impacto relativas a la protección de datos que se refieran al tratamiento descrito en este ATD, en la medida en que la información esté en poder de Locar y no esté disponible de otro modo para el cliente;
• la consulta previa a una autoridad de control cuando una evaluación de impacto relativa a la protección de datos indique que el tratamiento entrañaría un alto riesgo de no adoptarse medidas para mitigarlo.

Brechas de datos personales

Locar notifica al cliente sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener conocimiento de una brecha de datos personales que afecte a datos personales tratados conforme a este ATD, de modo que el cliente pueda cumplir su propio deber de notificarlo a su autoridad de control en el plazo de 72 horas conforme al artículo 33 del RGPD.

• la naturaleza de la brecha, incluyendo, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos personales afectados;
• las posibles consecuencias de la brecha;
• las medidas adoptadas o propuestas para abordar la brecha y mitigar sus posibles efectos adversos;
• el nombre y los datos de contacto de un punto de contacto para obtener más información.

Locar actualizará la notificación a medida que disponga de más información y cooperará con las propias obligaciones de investigación y notificación del cliente.

Eliminación y devolución de los datos

Antes de que se cierre la cuenta del cliente, este puede exportar los datos personales de un interesado en cualquier momento, de uno en uno, mediante la herramienta de exportación integrada en el servicio Locar. No existe una herramienta para exportar de una sola vez todos los datos del cliente, por lo que este debe utilizarla para conservar lo que necesite, como contratos y facturas, antes de cerrar su cuenta.

Cuando se cierra la cuenta del cliente, Locar elimina todos los datos personales tratados conforme a este ATD, incluidos los registros conservados como prueba, como los PDF de contratos firmados, las firmas y las fotografías de inspección, salvo los datos personales que Locar deba conservar por ley, como sus propias facturas al cliente.

Información y auditorías

Locar pone a disposición del cliente toda la información razonablemente necesaria para demostrar el cumplimiento de este ATD, y permite y contribuye a las auditorías, incluidas las inspecciones, realizadas por el cliente o por un auditor designado por el cliente, con aviso razonable y en horario laboral habitual, a cargo del cliente, sin perjudicar la capacidad de Locar de prestar servicio a sus demás clientes. Cuando la información solicitada ya esté disponible en un informe de auditoría, una certificación o documentación equivalente, Locar podrá facilitar esa documentación en lugar de una auditoría independiente.

Responsabilidad

La responsabilidad de cada parte derivada de este ATD o relacionada con él, incluida la responsabilidad de Locar y la de cualquier subencargado que contrate, está sujeta a las limitaciones y exclusiones de responsabilidad establecidas en las Condiciones.

Anexo 1: Detalles del tratamiento

Anexo 2: Medidas de seguridad

• Cifrado en tránsito (TLS) en todas las conexiones al servicio Locar.
• Aislamiento entre clientes aplicado en tres niveles: claves de base de datos que vinculan cada registro a un único cliente, un control de consultas que rechaza cualquier instrucción de base de datos no vinculada al cliente autenticado, y restricciones de acceso a nivel de sucursal; un registro perteneciente a otro cliente devuelve "no encontrado".
• Permisos basados en roles comprobados en cada solicitud; contraseñas protegidas mediante scrypt; tokens de inicio de sesión almacenados únicamente como hashes; sesiones de un solo uso y rotatorias.
• Un registro de auditoría de solo adición sobre quién hizo qué y cuándo; las lecturas de documentos de identidad se registran por separado; los archivos probatorios (contratos, firmas, fotografías de inspección) se almacenan de forma inmutable.
• Archivos de datos personales almacenados en la Unión Europea; copias de seguridad de la base de datos con restauración a un punto en el tiempo.
• Las lecturas asistidas por IA de documentos son siempre propuestas que una persona debe confirmar antes de que se guarde nada en un registro.

Anexo 3: Subencargados del tratamiento