Contrato de encargo del tratamiento
Última actualización: Agosto 2026
Anexo de las Condiciones Generales, del que forma parte integrante. Cumple lo exigido por el art. 28 del Reglamento (UE) 2016/679.
1. Partes y objeto
Este Contrato regula el tratamiento de datos personales que Porteo Tech S.L. (NIF B71561278, Calle Cortes de Navarra, 5, planta 0 — 31002 Pamplona, Navarra), en adelante el Encargado, realiza por cuenta del Cliente identificado en las Condiciones Generales, en adelante el Responsable, como consecuencia de la prestación del servicio Porteo.
Se perfecciona con la aceptación de las Condiciones Generales.
2. Alcance: qué trata Porteo por cuenta del Responsable, y qué no
- Objeto: generación, firma, entrega, verificación y custodia de documentos de transporte.
- Duración: mientras esté vigente el contrato de servicio, más los plazos de conservación del apartado 11.
- Naturaleza y finalidad: prestación del servicio contratado. Ningún tratamiento con finalidad propia del Encargado.
- Categorías de interesados: conductores; destinatarios y sus representantes; personas de contacto de empresas colaboradoras; usuarios de la cuenta del Responsable.
- Tipos de datos: identificación y contacto (nombre, apellidos, NIF/DNI, teléfono, correo, dirección); datos del transporte (matrícula, origen, destino, mercancía); imagen de la firma manuscrita; dirección IP y marca temporal de la firma; ubicación GPS del conductor cuando la autoriza; y el contenido de las conversaciones de incidencias por WhatsApp con sus conductores, incluidas fotos y la transcripción de notas de voz.
Queda fuera de este Contrato, porque el Encargado actúa como responsable y no por cuenta del Responsable: (i) los datos biométricos del trazo de la firma, cuyo tratamiento se rige por la Política de Privacidad de Porteo y se ampara en el consentimiento explícito de quien firma (art. 9.2.a RGPD); (ii) los datos de la cuenta y de facturación del propio Responsable; y (iii) los datos de quienes rellenan los formularios públicos de porteo.app.
3. Instrucciones
El Encargado tratará los datos únicamente siguiendo instrucciones documentadas del Responsable. Constituyen tales instrucciones este Contrato, las Condiciones Generales y las operaciones que el Responsable ejecuta a través de la propia plataforma.
Si el Encargado quedara obligado a tratar los datos por el Derecho de la Unión o de un Estado miembro, lo informará al Responsable antes del tratamiento, salvo que ese Derecho lo prohíba por razones de interés público. Y le informará de inmediato si considera que una instrucción infringe la normativa de protección de datos.
4. Confidencialidad
El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido expresamente a respetar la confidencialidad, o están sujetas a una obligación legal de confidencialidad. El compromiso subsiste tras el fin de la relación.
5. Seguridad
El Encargado aplica las medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD). De forma verificable, hoy incluyen: cifrado TLS en tránsito, cifrado en reposo en la base de datos, aislamiento de los datos de cada cuenta mediante políticas de acceso a nivel de fila, autenticación con confirmación del correo, acceso al mínimo privilegio necesario, y registro, por cada firma, del token empleado, la fecha y hora, la dirección IP, la posición firmada y la huella criptográfica del documento en ese momento.
El Encargado revisará periódicamente su eficacia y podrá sustituirlas por otras equivalentes o superiores, sin que ello suponga una minoración del nivel de protección.
6. Subencargados
El Responsable autoriza de forma general al Encargado a recurrir a los subencargados que figuran a continuación, todos vinculados por un contrato que les impone las mismas obligaciones que este:
- Supabase — base de datos y almacenamiento. Unión Europea.
- Vercel — alojamiento y medición de audiencia sin cookies. UE / EE. UU.
- Stripe — pagos y suscripciones. UE / EE. UU.
- Resend — envío de correo operativo. UE / EE. UU.
- Meta Platforms — envío de enlaces y avisos por WhatsApp. UE / EE. UU.
- LabsMobile — envío de enlaces por SMS, si la cuenta activa ese canal. España.
- Edatalia — servicio de firma electrónica avanzada. España.
- Anthropic — modelo de lenguaje del asistente de incidencias por WhatsApp. EE. UU.
- Groq — transcripción automática de notas de voz de ese canal. EE. UU.
- TomTom y CartoCiudad (IGN) — normalización y autocompletado de direcciones postales.
- OpenStreetMap (Nominatim), OSRM y CARTO — localización, rutas y mapas.
El Encargado informará al Responsable con al menos 30 días de antelación de cualquier alta o sustitución de subencargado. Durante ese plazo el Responsable puede oponerse por motivos razonables relacionados con la protección de datos; si la objeción no puede resolverse, podrá resolver el contrato de servicio sin penalización y con devolución de la parte no consumida.
7. Transferencias internacionales
Algunos subencargados —señaladamente Vercel, Stripe, Resend, Meta, Anthropic y Groq— pueden tratar datos fuera del Espacio Económico Europeo. Esas transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o en una decisión de adecuación vigente. El Encargado facilitará copia de esas garantías a solicitud del Responsable.
8. Asistencia al Responsable
El Encargado, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone:
- Derechos de los interesados. Asistirá al Responsable para atender las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición. Si un interesado dirige su solicitud directamente al Encargado, este la remitirá al Responsable sin dilación y no la resolverá por su cuenta.
- Seguridad, evaluaciones de impacto y consulta previa. Prestará la asistencia razonable que exigen los arts. 32 a 36 RGPD.
9. Violaciones de la seguridad
El Encargado notificará al Responsable, sin dilación indebida y en todo caso dentro de las 48 horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos, con la información de que disponga: naturaleza del incidente, categorías y número aproximado de interesados y de registros afectados, consecuencias probables y medidas adoptadas.
La notificación a la autoridad de control y, en su caso, a los interesados, corresponde al Responsable.
10. Registro de actividades y demostración del cumplimiento
El Encargado mantiene el registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable (art. 30.2 RGPD) y pondrá a su disposición la información necesaria para demostrar el cumplimiento de este Contrato.
El Responsable podrá realizar una auditoría al año —o las adicionales que exija una autoridad de control o un incidente de seguridad—, con preaviso de 30 días, en horario laboral, sin interrumpir el servicio y sujeta a confidencialidad. El Encargado podrá satisfacerla aportando informes de auditoría o certificaciones vigentes que cubran el alcance solicitado.
11. Devolución o supresión al finalizar
Terminada la prestación, el Encargado, a elección del Responsable, le devolverá los datos en formato estructurado y de uso común, o los suprimirá, junto con las copias existentes.
Excepción, y es importante: se conservarán, debidamente bloqueados, los datos cuya custodia venga impuesta por una norma — señaladamente los documentos de transporte emitidos, durante los plazos indicados en la Política de Privacidad. Un documento firmado no puede alterarse sin invalidar las firmas que contiene, de modo que la supresión selectiva de datos dentro de él no es técnicamente posible.
El Responsable dispone de 90 días desde la terminación para descargar y exportar sus datos desde la plataforma.
12. Duración
Este Contrato entra en vigor con la aceptación de las Condiciones Generales y permanece vigente mientras el Encargado trate datos por cuenta del Responsable. Las obligaciones de confidencialidad y las del apartado 11 subsisten a su terminación.
13. Responsabilidad y ley aplicable
Cada parte responde de las infracciones que le sean imputables conforme al art. 82 RGPD. La limitación de responsabilidad pactada en las Condiciones Generales se aplica también a este Contrato, salvo en lo que la ley no permita limitar.
Se rige por la legislación española y de la Unión Europea. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Pamplona.