Acuerdo de encargo del tratamiento

El responsable del tratamiento es el cliente que crea la cuenta de Altantio y decide qué datos de personas, vehículos y equipos introduce.

El encargado es la persona identificada en el Aviso legal, que presta Altantio. En este acuerdo se llama el encargado.

Este acuerdo es el anexo de las Condiciones generales de la misma versión. Aceptar las condiciones es aceptar este anexo. Dura lo que dure la cuenta.

El encargado trata datos personales por cuenta del cliente solo para prestar el servicio: guardarlos, mostrarlos, importarlos y exportarlos en CSV, conservar el historial, archivarlos, preparar avisos y, cuando el envío esté activo y el cliente lo haya encendido, enviar el aviso al correo de la cuenta. También los pone a disposición de un asistente externo si el cliente lo autoriza, como dice el apartado 7.

El encargado no decide la finalidad. No usa esos datos para su propia cuenta, para publicidad ni para entrenar modelos. Los datos de la cuenta del cliente, distintos de los que el cliente sube sobre terceros, se rigen por la Política de privacidad, donde el prestador es responsable.

Según lo que el cliente escriba, el tratamiento puede incluir:

• Nombre de una persona, de un vehículo o de un equipo, y la categoría.
• Notas libres y un responsable escrito como nombre, no como correo.
• Fechas, estado de revisión, enlace y referencia externa.
• Historial de renovaciones e avisos configurados.

Los interesados son las personas que el cliente identifica, por ejemplo empleados o colaboradores. Un vehículo o un equipo solo es dato personal si puede relacionarse con una persona.

Queda prohibido introducir datos de categoría especial del artículo 9 del RGPD y datos penales del artículo 10, también en las notas. El servicio no está preparado para tratarlos y el encargado no los quiere. Si el cliente los introduce en contra de esta instrucción, debe suprimirlos. Esa introducción no convierte al encargado en responsable ni autoriza un tratamiento de esas categorías.

Las instrucciones documentadas del cliente son:

• estas condiciones y este acuerdo;
• lo que haga en el producto: alta, edición, importación, exportación, archivo, avisos y borrado;
• la autorización o la denegación en la pantalla de consentimiento OAuth;
• la prohibición del apartado 3.

Si una instrucción parece ilícita, el encargado se lo indicará al cliente. El cliente declara que tiene base jurídica para los datos que sube y que informa a los interesados cuando le corresponde.

• Tratar los datos solo según las instrucciones, también en una transferencia internacional.
• Asegurarse de que las personas autorizadas se comprometen a la confidencialidad.
• Aplicar las medidas del apartado 6.
• No nombrar otro encargado al margen de la lista del apartado 7 sin seguir ese apartado.
• Ayudar al cliente a atender derechos, con la información de la que el servicio disponga.
• Ayudar con la seguridad, la notificación de brechas y las evaluaciones si el tratamiento que el cliente ha pedido lo exige y el servicio tiene la información.
• Al terminar, suprimir o devolver según el apartado 10.
• Poner a disposición la información del apartado 11.

Con lo que el servicio hace hoy:

• Acceso con cuenta de correo y contraseña. La contraseña la gestiona el proveedor de autenticación.
• Cada empresa solo lee sus filas. Las operaciones comprueban la sesión y la pertenencia.
• El sitio publicado se sirve por HTTPS. La dirección prevista es altantio.com.
• La clave de administración de la base no va en el navegador.
• El proveedor de la base cifra los discos en reposo según su propia documentación.
• No hay cookies de analítica ni de publicidad.
• El cliente puede exportar y borrar. El borrado elimina la empresa en la base de producción.
• Las herramientas del asistente externo solo leen y exigen el consentimiento del apartado 7.

No se afirma una certificación concreta ni una auditoría externa propia. Las medidas del proveedor de infraestructura son las que ese proveedor publica.

El cliente autoriza a estos subencargados. Hacen falta para alojar, publicar y, cuando corresponda, enviar el correo. Una lista nueva se publicará con otra versión de este acuerdo. Si la versión cambia, el servicio pedirá aceptarla. Quien no acepte puede exportar y borrar la cuenta.

• Supabase (Supabase Pte. Ltd., Singapur, con apoyo de Supabase, Inc., Estados Unidos), a través de Lovable Cloud

  Base de datos y autenticación. Guarda la cuenta, la empresa y los vencimientos que usted introduce.

  Puede haber una transferencia fuera del Espacio Económico Europeo, en particular a Singapur y a Estados Unidos. El acuerdo de encargo de Supabase incorpora las cláusulas contractuales tipo de la Decisión de Ejecución 2021/914 de la Comisión Europea. La región concreta del proyecto no se indica en esta página.

• Lovable (Lovable Labs Sweden AB, Regeringsgatan 25, 111 53 Estocolmo, Suecia). Su acuerdo de encargo identifica también a Lovable Labs Incorporated, 1 Lincoln St, Boston, MA 02111, Estados Unidos

  Plataforma Lovable Cloud y correo transaccional del dominio notify.altantio.com. El remitente previsto de los mensajes es noreply@notify.altantio.com. En la vista previa del editor, un error de la interfaz puede enviarse a Lovable junto con la ruta de la pantalla.

  Lovable puede tratar datos en Estados Unidos. Su acuerdo de encargo incorpora cláusulas contractuales tipo para las transferencias fuera del Espacio Económico Europeo. Los subencargados de Lovable se consultan en https://lovable.dev/subprocessors.

• Cloudflare, Inc., Estados Unidos

  Publicación de la aplicación. El empaquetado del proyecto usa Cloudflare como destino. Trata el tráfico, incluida la dirección IP y otros datos técnicos de la conexión.

  Cloudflare ofrece el Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo. Hay que comprobar que la certificación sigue activa cuando el sitio se publique.

Además, si el cliente autoriza un cliente OAuth en la pantalla de consentimiento, ordena al encargado que comunique a ese programa los vencimientos que devuelven las herramientas de solo lectura (listar y resumir). El proveedor de inteligencia artificial lo elige el cliente. No es un subencargado designado por el encargado. El cliente responde de esa instrucción, de informar a quien corresponda y de las condiciones de ese proveedor. Si deniega el consentimiento, no hay comunicación.

Los avisos de vencimiento, cuando se activen, se enviarán solo al correo de la cuenta, por el correo de notify.altantio.com. Hoy ese envío no está activo. El nombre escrito como responsable no recibe el mensaje.

Si un interesado escribe al encargado, este le indicará que se dirija al cliente, salvo que la ley obligue a otra cosa, y avisará al cliente si puede identificar la cuenta. El cliente atiende la solicitud. El encargado ayudará con la exportación CSV y con el borrado de las filas que el cliente elimine.

El encargado notificará al cliente, al correo de la cuenta, sin dilación indebida desde que tenga conocimiento de una brecha de los datos que trata por su cuenta. Incluirá lo que sepa entonces: naturaleza, categorías, volumen aproximado, consecuencias probables y medidas adoptadas o propuestas, y completará el aviso si después sabe más.

El plazo de 72 horas del artículo 33 del RGPD frente a la autoridad es del cliente, como responsable. El encargado procurará avisar con tiempo para que ese plazo pueda cumplirse cuando la brecha sea notificable. El contacto de respaldo, cuando el correo de la cuenta no baste, es contacto@altantio.com.

Antes de terminar, el cliente puede exportar desde Cuenta los CSV de elementos, registros, versiones y avisos. Esa exportación es la devolución. Al borrar la cuenta, el encargado suprime la empresa y sus datos de la base de producción y cancela los avisos pendientes. Después no puede devolverlos. Las copias del proveedor de infraestructura caducan según el ciclo de ese proveedor y no se restauran para otro uso.

El encargado pondrá a disposición del cliente la información razonable para demostrar el cumplimiento de este acuerdo, como máximo una vez al año y con treinta días de preaviso, salvo que una autoridad lo exija o haya habido una brecha. La revisión no da acceso a datos de otros clientes ni a las instalaciones de los subencargados. El cliente puede usar la documentación pública de esos proveedores.

Lo que este acuerdo no diga se rige por las condiciones generales, incluida la ley aplicable. Los datos identificativos del encargado están solo en el Aviso legal.