Acuerdo de encargo de tratamiento de datos

1. Detalles del tratamiento

• Objeto y duración: prestar Carreh for Business durante la vigencia del contrato y hasta su eliminación conforme a la sección 10.
• Naturaleza y finalidad: alojar, organizar, leer (incluso con IA), mostrar, exportar y eliminar registros de viajes y gastos, según el Cliente configure e indique.
• Interesados: los empleados, colaboradores y otros usuarios del Cliente, y las personas nombradas en sus registros de viajes y gastos.
• Datos personales: datos de identidad y contacto, rol y departamento, solicitudes de viaje, itinerarios, reservas y documentos de viaje, recibos, gastos, reembolsos, aprobaciones y comentarios, registros de inicio de sesión.
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. Instrucciones

Carreh trata los datos personales únicamente siguiendo las instrucciones documentadas del Cliente, que son los Términos, este DPA y el uso y la configuración del Servicio por parte del Cliente, salvo que la legislación de la UE o de un Estado miembro exija lo contrario; en ese caso, Carreh informa primero al Cliente, a menos que la ley lo prohíba. Carreh avisa al Cliente si considera que una instrucción es ilícita.

3. Confidencialidad

Todos en Carreh autorizados a tratar los datos personales están sujetos a confidencialidad.

4. Seguridad

Carreh implementa las medidas técnicas y organizativas del Anexo 1 y las mantiene apropiadas al riesgo. Carreh puede actualizarlas siempre que el nivel general de protección no disminuya.

5. Subencargados

El Cliente autoriza a Carreh a usar los subencargados que se indican aquí. Carreh avisa a los propietarios del espacio de trabajo con al menos 30 días de antelación por correo electrónico antes de añadir un nuevo subencargado. El Cliente puede oponerse por motivos razonables de protección de datos; si no se llega a una solución, el Cliente puede poner fin al Servicio afectado y recibir un reembolso de las tarifas prepagadas por el periodo restante. Carreh impone a cada subencargado obligaciones de protección de datos equivalentes a este DPA y sigue siendo responsable de ellos.

6. Transferencias internacionales

Cuando los datos personales se transfieren fuera del Espacio Económico Europeo a un país sin una decisión de adecuación, Carreh se basa en las Cláusulas Contractuales Tipo de la Comisión Europea, con medidas adicionales cuando es necesario.

7. Asistencia

Teniendo en cuenta la naturaleza del tratamiento, Carreh ayuda al Cliente a responder a las solicitudes de los interesados (el Servicio permite a los Owners y Admins encontrar, exportar, corregir y eliminar registros), y con la seguridad, las notificaciones de brechas, las evaluaciones de impacto y las consultas con las autoridades de control.

8. Brechas de datos personales

Carreh notifica al Cliente sin dilación indebida, y a más tardar 48 horas después de tener conocimiento de una brecha de datos personales que afecte a los datos personales del Cliente, con la información disponible en ese momento, y luego la actualiza a medida que avanza la investigación.

9. Devolución y eliminación

El Cliente puede exportar sus datos en cualquier momento. Cuando finaliza el contrato, el Cliente tiene 30 días para exportarlos; después Carreh elimina los datos personales en un plazo de 90 días, salvo cuando la legislación de la UE o de un Estado miembro exija conservarlos. Las copias de seguridad se sobrescriben según su calendario habitual.

10. Auditorías

Carreh pone a disposición la información necesaria para demostrar el cumplimiento de este DPA. El Cliente puede auditar una vez al año, con 30 días de aviso por escrito, en horario laboral, bajo confidencialidad y a su propio coste, o basarse en las certificaciones independientes vigentes de los subencargados de Carreh cuando cubran el tratamiento.

11. Responsabilidad y prelación

Las limitaciones de responsabilidad de los Términos se aplican a este DPA, en la medida en que la ley lo permita. Para el tratamiento de datos personales, este DPA prevalece sobre los Términos.

12. Anexo 1: medidas técnicas y organizativas

• Separación: Carreh for Business tiene sus propias cuentas, base de datos, almacenamiento y claves, separadas de las apps de consumo de Carreh. Los datos de cada empresa se mantienen separados, y cada solicitud se comprueba contra la pertenencia y el rol del usuario en la empresa.
• Control de acceso: códigos de inicio de sesión de un solo uso enviados por correo electrónico; las sesiones se almacenan solo como hashes; el personal de Carreh necesita un código por correo electrónico y una passkey; el personal autorizado abre el contenido del espacio de trabajo solo para prestar asistencia, mantener la seguridad del Servicio, prevenir el fraude y cumplir obligaciones legales, y cada apertura queda registrada en el registro de acciones del espacio de trabajo.
• Supervisión: los inicios de sesión y las acciones se registran con red y dispositivo; las comprobaciones automáticas señalan inicios de sesión inusuales, recibos duplicados o alterados y abusos, y bloquean redes abusivas.
• Cifrado: TLS en tránsito; cifrado en reposo por el proveedor de alojamiento; secretos de autenticación cifrados con AES-256-GCM; códigos y tokens con hash SHA-256 y una clave secreta.
• Registro: un registro de acciones de solo anexado e inalterable de inicios de sesión y acciones administrativas.
• Resiliencia: base de datos gestionada con recuperación a un punto en el tiempo y copias de seguridad; procedimientos de restauración probados antes del lanzamiento.
• Desarrollo: revisión de código, pruebas automatizadas, incluidas pruebas de que una empresa no puede acceder a los datos de otra; secretos fuera del código fuente.
• Minimización: sin rastreadores publicitarios; los proveedores de IA no entrenan con datos del Cliente.