DeCA Portal
Público objetivoCómo funcionaPreciosNormativaControl en carreteraContacto
EnglishRegistrarse

Contrato de Encargo del Tratamiento de Datos Personales

conforme al artículo 28 del RGPD

Go4Future Consulting e.U. – DeCA Portal

Versión: 1 de octubre de 2026

Preámbulo

El presente contrato de encargo del tratamiento (en adelante, «CET») se celebra entre el Cliente, según los datos de empresa facilitados en el registro (en adelante, «Responsable») y Go4Future Consulting e.U., Dr. Rudolf Klafsky-Straße 18, 2500 Baden, Austria, número de registro mercantil FN 684502x (Landesgericht Wiener Neustadt), NIF-IVA ATU83497057 (en adelante, «Encargado» o «G4F»).

El Responsable utiliza la plataforma DeCA Portal sobre la base de las Condiciones Generales de Contratación y de las Condiciones de Uso (en adelante, conjuntamente, «Contrato Principal»). En dicho marco, G4F trata datos personales por cuenta del Responsable. El presente CET regula los derechos y obligaciones de las partes conforme al artículo 28 del RGPD y constituye parte integrante del Contrato Principal.

El CET se celebra en forma electrónica en el marco del registro, cumpliendo así el requisito de forma del artículo 28.9 del RGPD. G4F registra el momento de la aceptación, la cuenta de usuario que la otorga y la versión del texto aceptado, y pone a disposición del Responsable de forma permanente, en su cuenta de cliente, tanto la versión vigente como todas las versiones anteriores.

1. Objeto, naturaleza y finalidad del tratamiento

1.1 El objeto del encargo del tratamiento es la prestación de los servicios descritos en el Contrato Principal, en la medida en que ello implique el tratamiento de datos personales respecto de los cuales el Responsable ostenta dicha condición.

1.2 La naturaleza, la finalidad y el alcance del tratamiento, las categorías de interesados y los tipos de datos personales se determinan en el Anexo 1.

1.3 El tratamiento se realiza exclusivamente en Estados miembros de la Unión Europea o en Estados parte del Acuerdo sobre el Espacio Económico Europeo, salvo lo dispuesto en el punto 8.

1.4 No constituyen objeto del presente CET los tratamientos que G4F realiza bajo su propia responsabilidad, en particular la gestión de la relación contractual, la facturación, la seguridad de los sistemas y la utilización de datos anonimizados y agregados. Sobre estos informa la Política de Privacidad de G4F.

2. Duración

2.1 El presente CET comienza con el perfeccionamiento del Contrato Principal y finaliza con la extinción de este.

2.2 Las disposiciones del presente CET seguirán aplicándose más allá de la extinción del Contrato Principal mientras G4F conserve datos personales del Responsable, en particular durante los plazos posteriores regulados en el punto 12.

3. Facultad de instrucción del Responsable

3.1 G4F trata los datos personales exclusivamente siguiendo instrucciones documentadas del Responsable. Ello se aplica también a la transferencia de datos personales a un tercer país, salvo que G4F esté obligada a ello por el Derecho de la Unión o de los Estados miembros al que esté sujeta; en tal caso, G4F informará al Responsable de dicho requisito legal antes del tratamiento, salvo que el Derecho aplicable lo prohíba por razones importantes de interés público.

3.2 El Contrato Principal, incluidas las Condiciones de Uso, así como las configuraciones y entradas que el Responsable realice a través de las funciones de la Plataforma, tienen la consideración de instrucciones documentadas.

3.3 Se consideran instrucción expresa del Responsable, en particular:

3.4 El Responsable reconoce que la accesibilidad pública conforme al punto 3.3, letra a, constituye una exigencia de la normativa aplicable y que, en consecuencia, los datos resultan accesibles para cualquier persona que disponga de la dirección o del código QR correspondiente. G4F aplica las medidas de reducción del riesgo descritas en el Anexo 3.

3.5 Las instrucciones que excedan del Contrato Principal deberán formularse por escrito y dirigirse a datos@decaportal.es. Si requieren un esfuerzo adicional considerable, G4F podrá exigir una remuneración razonable; las partes acordarán previamente su viabilidad y el esfuerzo asociado.

3.6 Si G4F considera que una instrucción infringe la normativa en materia de protección de datos, informará de ello al Responsable sin demora. G4F está facultada para suspender la ejecución de dicha instrucción hasta su confirmación o modificación por el Responsable.

4. Obligaciones de G4F

G4F se obliga a:

4.1 tratar los datos personales exclusivamente en el marco del presente CET y de las instrucciones del Responsable;

4.2 garantizar que las personas autorizadas para tratar los datos se hayan comprometido a la confidencialidad o estén sujetas a una obligación legal de confidencialidad apropiada, así como formar a dichas personas en el manejo de datos personales;

4.3 adoptar y mantener las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD; las medidas adoptadas se describen en el Anexo 3. G4F podrá desarrollarlas, siempre que no se reduzca el nivel de protección acordado;

4.4 asistir al Responsable, mediante medidas técnicas y organizativas apropiadas, en el cumplimiento de su obligación de responder a las solicitudes de los interesados (punto 9);

4.5 asistir al Responsable en el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga G4F;

4.6 informar al Responsable sin demora cuando una autoridad de control u otra autoridad realice actuaciones de investigación ante G4F que puedan afectar a los datos del Responsable;

4.7 documentar las actividades de tratamiento realizadas por cuenta del Responsable conforme al artículo 30.2 del RGPD.

5. Obligaciones del Responsable

5.1 El Responsable responde de la licitud del tratamiento, de la existencia de una base jurídica y de la salvaguarda de los derechos de los interesados.

5.2 El Responsable informa a los interesados conforme a los artículos 13 y 14 del RGPD. Ello resulta especialmente aplicable a los conductores y a las personas de contacto de cargadores, destinatarios y demás intervinientes, cuyos datos no se obtienen de ellos mismos.

5.3 El Responsable introduce en la Plataforma únicamente aquellos datos personales que resulten necesarios para la finalidad correspondiente. No está prevista y debe omitirse la introducción de categorías especiales de datos personales en el sentido del artículo 9 del RGPD.

5.4 El Responsable gestiona bajo su propia responsabilidad las autorizaciones de acceso de sus usuarios y las revoca sin demora tan pronto como dejen de concurrir sus presupuestos.

5.5 El Responsable informará a G4F sin demora si, al comprobar los resultados del tratamiento, detecta errores o irregularidades.

6. Subencargados del tratamiento

6.1 El Responsable otorga a G4F la autorización general por escrito para recurrir a otros encargados del tratamiento conforme al artículo 28.2 del RGPD.

6.2 Los subencargados del tratamiento existentes en el momento de la celebración del contrato figuran en el Anexo 2. El Responsable autoriza su intervención con la celebración del presente CET.

6.3 G4F informará al Responsable con una antelación mínima de 30 días respecto de la incorporación de un nuevo subencargado o de la sustitución de uno existente, por escrito o mediante comunicación en la cuenta de cliente.

6.4 El Responsable podrá oponerse a la modificación por escrito, dentro de los 30 días siguientes a la recepción de la comunicación, por un motivo relevante relacionado con la protección de datos. La oposición deberá motivarse.

6.5 En caso de oposición motivada, las partes buscarán de común acuerdo una solución. Si no se alcanza en el plazo de 30 días y G4F no puede prestar el servicio afectado sin el subencargado en condiciones razonables, cualquiera de las partes estará facultada para resolver el Contrato Principal con efectos en la fecha de entrada en vigor de la modificación. Las cuotas ya abonadas correspondientes al período no consumido se reembolsarán proporcionalmente.

6.6 G4F impone contractualmente a cada subencargado obligaciones de protección de datos sustancialmente equivalentes a las del presente CET y responde frente al Responsable de su cumplimiento conforme al punto 13.

6.7 No tienen la consideración de subencargo del tratamiento las prestaciones accesorias que G4F obtiene de terceros y que no están dirigidas al tratamiento de datos personales del Responsable, tales como los servicios de telecomunicaciones, el mantenimiento, la limpieza o la destrucción de soportes de datos. También en esos supuestos G4F adopta medidas apropiadas para preservar la seguridad de los datos.

7. Lugares de tratamiento

7.1 La infraestructura de aplicación y de base de datos se explota en centros de datos situados dentro de la Unión Europea.

7.2 G4F comunicará al Responsable cualquier traslado del tratamiento a otro país conforme al procedimiento previsto en el punto 6.3.

8. Transferencias a terceros países

8.1 El tratamiento de datos personales fuera del Espacio Económico Europeo solo se realizará cuando se cumplan los requisitos de los artículos 44 y siguientes del RGPD, en particular sobre la base de una decisión de adecuación o de las Cláusulas Contractuales Tipo de la Comisión Europea, complementadas con las medidas de protección adicionales que resulten necesarias.

8.2 Los subencargados afectados y la garantía aplicada en cada caso se identifican en el Anexo 2.

8.3 G4F facilitará al Responsable, a solicitud de este, información sobre las garantías aplicadas.

9. Derechos de los interesados

9.1 Si un interesado se dirige directamente a G4F para ejercer derechos relativos a datos que G4F trata por cuenta del Responsable, G4F trasladará la solicitud sin demora al Responsable y no la responderá por sí misma.

9.2 G4F asistirá al Responsable en la atención de las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición, en la medida en que ello no sea posible sin la colaboración de G4F o solo lo sea con un esfuerzo desproporcionado. La Plataforma pone a disposición del Responsable, a tal efecto, funciones de búsqueda, descarga, supresión y nueva subida.

9.3 Por las prestaciones de asistencia que excedan de las funciones puestas a disposición por la Plataforma, G4F podrá exigir una remuneración razonable.

10. Violaciones de la seguridad de los datos personales

10.1 G4F informará al Responsable sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a su conocimiento, de toda violación de la seguridad de los datos personales que afecte a los datos del Responsable.

10.2 La comunicación incluirá, en la medida en que se conozcan, una descripción de la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información no disponible se facilitará de manera gradual.

10.3 G4F asistirá al Responsable en el cumplimiento de sus obligaciones de notificación y comunicación conforme a los artículos 33 y 34 del RGPD.

10.4 Las notificaciones a la autoridad de control y las comunicaciones a los interesados serán realizadas exclusivamente por el Responsable, salvo que las partes acuerden otra cosa en el caso concreto.

11. Acreditaciones y auditorías

11.1 G4F acreditará, a solicitud, el cumplimiento de las obligaciones derivadas del presente CET, preferentemente mediante certificados vigentes, certificaciones, informes de auditores independientes o mediante un cuestionario de autoevaluación cumplimentado.

11.2 Si dichas acreditaciones no resultan suficientes en un caso concreto, el Responsable podrá realizar una auditoría o encomendarla a un auditor designado por él, sujeto a obligación de confidencialidad, que no podrá ser competidor de G4F.

11.3 Las auditorías se realizarán previo anuncio con una antelación mínima de 30 días, en horario comercial habitual, sin perturbar el desarrollo de la actividad y como máximo una vez por año natural. En caso de sospecha fundada de un incumplimiento grave o tras una violación de la seguridad sujeta a notificación, no se aplicarán las limitaciones de frecuencia y de plazo.

11.4 El Responsable soportará los costes de la auditoría por él promovida. Por el esfuerzo asumido por G4F podrá exigirse una remuneración razonable, salvo que la auditoría ponga de manifiesto un incumplimiento por parte de G4F.

12. Supresión y devolución tras la extinción

12.1 Tras la extinción del Contrato Principal, G4F pondrá a disposición del Responsable los datos tratados por su cuenta, para su consulta y descarga, durante un plazo de 12 meses desde la subida del documento correspondiente. Este plazo se basa en la instrucción expresa prevista en el punto 3.3, letra c, y tiene por finalidad permitir al Responsable el cumplimiento de sus obligaciones legales de conservación.

12.2 El Responsable podrá instruir en cualquier momento la supresión anticipada de datos concretos o de la totalidad del conjunto de datos. G4F ejecutará la supresión en el plazo de 30 días y la confirmará por escrito.

12.3 Transcurrido el plazo previsto en el punto 12.1, G4F suprimirá los datos tratados por cuenta del Responsable. La supresión se anunciará con una antelación mínima de 30 días y se confirmará por escrito a solicitud.

12.4 Las copias de seguridad se suprimirán conforme a los ciclos de copia habituales de G4F y, como máximo, 90 días después de la supresión en el sistema productivo. Hasta ese momento permanecerán protegidas por las medidas del presente CET y no serán restauradas, salvo para la recuperación tras un fallo del sistema.

12.5 Solo se conservarán datos más allá de los plazos anteriores en la medida en que G4F esté obligada a ello por el Derecho de la Unión o de un Estado miembro. En tal caso, el tratamiento quedará limitado a la finalidad de conservación.

13. Responsabilidad

13.1 A la responsabilidad en la relación entre las partes se aplican las disposiciones de las Condiciones Generales de Contratación.

13.2 Quedan a salvo la responsabilidad frente a los interesados y lo dispuesto en el artículo 82 del RGPD.

13.3 Si se formulan reclamaciones contra una de las partes por infracción de la normativa en materia de protección de datos, las partes se asistirán mutuamente en su defensa y se mantendrán indemnes en la medida correspondiente a su respectiva cuota de responsabilidad.

14. Confidencialidad

Las partes tratarán de forma confidencial toda la información de la otra parte obtenida en el marco del presente CET. La obligación subsiste durante la vigencia del CET y tres años después.

15. Modificaciones del presente CET

15.1 G4F podrá modificar el presente CET y sus anexos en la medida en que ello resulte necesario para su adaptación a requisitos legales modificados, a decisiones de las autoridades de control o a desarrollos técnicos. Ninguna modificación podrá reducir el nivel de protección acordado.

15.2 Las modificaciones se anunciarán con una antelación mínima de 30 días respecto de su entrada en vigor, por escrito o mediante comunicación en la cuenta de cliente.

15.3 En caso de una modificación que afecte a los intereses del Responsable de forma no meramente irrelevante, este podrá resolver el Contrato Principal sin coste hasta la fecha de entrada en vigor, con efectos en dicha fecha; las cuotas ya abonadas correspondientes al período no consumido se reembolsarán proporcionalmente.

15.4 Las modificaciones del Anexo 2 se rigen, por excepción, por lo dispuesto en el punto 6.

16. Disposiciones finales

16.1 En caso de contradicción entre el presente CET y los demás documentos contractuales, prevalecerá el presente CET en materia de protección de datos.

16.2 La nulidad de disposiciones concretas no afecta a la validez de las restantes. En sustitución de la disposición nula se considerará acordada aquella regulación legalmente admisible que más se aproxime a la finalidad de la disposición sustituida.

16.3 El idioma del contrato, la ley aplicable y la jurisdicción competente se rigen por las Condiciones Generales de Contratación. Quedan a salvo las disposiciones imperativas en materia de protección de datos.

Anexo 1 – Objeto y detalles del tratamiento

Objeto del tratamiento

Puesta a disposición de una solución de software como servicio para la creación, la subida, el almacenamiento, la puesta a disposición, la transmisión y la conservación de documentos electrónicos de control administrativo para el transporte de mercancías por carretera, generados por el Responsable en sus propios sistemas o en la Plataforma.

Naturaleza del tratamiento

Recogida, registro, organización, conservación, adaptación, extracción, consulta, utilización, comunicación por transmisión, puesta a disposición, limitación, supresión y destrucción.

Finalidad del tratamiento

Cumplimiento de las obligaciones de documentación que incumben al Responsable en el transporte de mercancías por carretera, puesta a disposición de los documentos a conductores y a órganos de control, y conservación de los documentos.

Categorías de interesados

Categorías de datos personales

Categorías especiales de datos personales

No previstas.

Anexo 2 – Subencargados del tratamiento

Stripe actúa como responsable independiente para la gestión de los pagos y, por tanto, no es subencargado del tratamiento en el sentido del presente CET.

La versión vigente del presente anexo está disponible en la cuenta de cliente.

Anexo 3 – Medidas técnicas y organizativas

Confidencialidad

Control de acceso físico: tratamiento exclusivamente en centros de datos certificados de los proveedores utilizados, con control de acceso, videovigilancia y gestión de visitantes.

Control de acceso lógico: cuentas de usuario individuales, políticas de contraseñas, autenticación multifactor para los accesos administrativos, bloqueo automático por inactividad.

Control de autorizaciones: modelo de permisos basado en roles conforme al principio de mínimo privilegio, separación de clientes, registro de los accesos administrativos.

Control de separación: separación lógica de los datos por cliente, entornos separados de desarrollo, pruebas y producción, prohibición de utilizar datos productivos con fines de prueba.

Seudonimización y cifrado: cifrado de la transmisión mediante TLS 1.2 o superior, cifrado de los datos almacenados, construcción de las direcciones de descarga de los documentos de control con identificadores aleatorios de elevada entropía sin posibilidad de deducción, exclusión de la indexación por motores de búsqueda, desactivación del acceso público transcurrido el plazo previsto.

Integridad

Control de transmisión: transmisión cifrada, interfaces documentadas, vinculación contractual de los subencargados del tratamiento.

Control de entrada: registro de la subida y de la modificación de los documentos con marca de tiempo y cuenta de usuario que la origina.

Disponibilidad y resiliencia

Procedimiento de verificación periódica

Última actualización: 1 de octubre de 2026

Haga clic aquí para descargar el documento