Encargo de tratamiento (DPA)

1. Partes, roles e incorporación por referencia

Este contrato de encargo de tratamiento (en adelante, el «DPA») se celebra entre el cliente profesional que contrata o usa la plataforma AeroCopi (el «Cliente», que actúa como responsable del tratamiento) y Bruce Moisés Pérez, titular de AeroCopi (el «Prestador», que actúa como encargado del tratamiento), conforme al artículo 28 del Reglamento (UE) 2016/679 («RGPD»).

El DPA forma parte integrante de los términos y condiciones del Servicio, a los que se incorpora por referencia: la aceptación de los Términos implica la aceptación de este DPA, sin necesidad de firma separada. En caso de conflicto entre ambos documentos en materia de protección de datos, prevalece el DPA.

Es importante distinguir los dos roles que AeroCopi desempeña, porque no se aplican las mismas reglas a todos los datos:

• AeroCopi como responsable: respecto de los datos de la cuenta del Cliente y de sus usuarios (registro, identificación, facturación, seguridad, comunicaciones del servicio). Ese tratamiento se rige por la política de privacidad.
• AeroCopi como encargado: respecto de los datos personales que el Cliente introduce en la plataforma en el ejercicio de su actividad (datos de sus propios clientes, pilotos, empleados y colaboradores). Ese tratamiento se rige por este DPA: el Cliente decide qué datos introduce y para qué; AeroCopi solo los aloja y procesa siguiendo sus instrucciones.

2. Objeto y duración

El objeto del DPA es regular el tratamiento de datos personales que el Prestador realiza por cuenta del Cliente como parte necesaria de la prestación del Servicio en modalidad SaaS. El encargo dura mientras esté vigente la suscripción o, en su caso, el acceso del Cliente al Servicio (incluidos la prueba gratuita, el modo demo y el periodo posterior en el que la organización queda «sin plan», en modo solo lectura, para consultar y exportar sus datos). Al finalizar la relación se aplica lo previsto en la cláusula 9 (supresión o devolución).

3. Naturaleza y finalidad del tratamiento

El tratamiento consiste en alojar, almacenar, estructurar, consultar, mostrar, copiar (backups) y suprimir los datos que el Cliente introduce en la plataforma, con la única finalidad de prestarle las funciones del Servicio: gestión de flota y pilotos, logbook, evaluaciones SORA, generación de documentación (expediente de autorización AESA, Manual de Operaciones, informes), planificación operacional, facturación a sus propios clientes y demás módulos descritos en los Términos. El Prestador no utiliza estos datos para fines propios, no los cede a terceros para los fines de estos y no elabora perfiles con ellos.

4. Tipos de datos y categorías de interesados

Los datos objeto del encargo son los que el Cliente decide introducir. Con carácter general:

• Categorías de interesados: clientes y contactos comerciales del Cliente, pilotos y personal de su organización, empleados y colaboradores externos (freelance).
• Tipos de datos: datos identificativos y de contacto (nombre, email, teléfono, dirección), datos profesionales (licencias y certificados de piloto, formaciones, aptitudes), datos operativos (vuelos, horas, incidencias) y datos económicos vinculados a presupuestos, facturas y pagos que el Cliente gestiona en la plataforma.

El Servicio no está concebido para tratar categorías especiales de datos (art. 9 RGPD). Si el Cliente introduce datos de esa naturaleza (por ejemplo, certificados médicos de pilotos), lo hace bajo su responsabilidad como responsable del tratamiento, debiendo contar con la base jurídica adecuada.

5. Obligaciones del encargado

Conforme al artículo 28.3 del RGPD, el Prestador se obliga a:

• Tratar los datos solo bajo instrucciones documentadas del Cliente, que se entienden dadas mediante la contratación del Servicio, la configuración de la cuenta y el uso de las funciones de la plataforma. Si el Prestador considera que una instrucción infringe el RGPD u otra norma de protección de datos, informará al Cliente.
• Confidencialidad: garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad o están sujetas a una obligación legal equivalente.
• Medidas de seguridad (art. 32 RGPD): aplicar medidas técnicas y organizativas apropiadas, entre ellas cifrado en tránsito (HTTPS/TLS), control de acceso con aislamiento multi-tenant (cada organización solo accede a sus propios datos), autenticación con contraseña cifrada, registros de actividad y copias de seguridad periódicas con retención limitada, alojadas en la Unión Europea.
• No subcontratar sin autorización: conforme a la cláusula 6.
• Asistir al Cliente en la respuesta a las solicitudes de derechos de los interesados y, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en el cumplimiento de sus obligaciones de los artículos 32 a 36 del RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas).
• Suprimir o devolver los datos al finalizar la prestación, conforme a la cláusula 9.
• Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA y permitir auditorías razonables, conforme a la cláusula 10.

6. Subencargados

El Cliente otorga al Prestador una autorización general para recurrir a subencargados en la prestación del Servicio. Los subencargados actuales son:

• Hetzner Online GmbH — alojamiento de la infraestructura y de las copias de seguridad. Servidores en Alemania (Unión Europea).
• Google Ireland Limited — envío del correo transaccional del Servicio (avisos, invitaciones, notificaciones).

Nota sobre la pasarela de pago. Stripe Payments Europe, Ltd. (Irlanda) procesa los pagos de la suscripción y la verificación de la tarjeta en la prueba gratuita, pero no es subencargado a efectos de este DPA: trata únicamente los datos de facturación y pago del propio Cliente —de los que AeroCopi es responsable, según se describe en la política de privacidad— y no accede a los datos personales que el Cliente introduce en la plataforma sobre sus pilotos, clientes o empleados. Se cita aquí por transparencia. Stripe, Inc. está certificada en el Marco de Privacidad de Datos UE-EE. UU. y el grupo aplica cláusulas contractuales tipo para sus transferencias internas.

El Prestador impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este DPA, y responde ante el Cliente del cumplimiento de aquellos. Cualquier cambio de subencargados (alta o sustitución) se comunicará al Cliente con antelación razonable por medios electrónicos, dándole la posibilidad de oponerse por motivos justificados; si la oposición no puede resolverse, el Cliente podrá cancelar la suscripción antes de que el cambio surta efecto.

7. Notificación de violaciones de seguridad

El Prestador notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad que afecte a datos personales tratados por su cuenta, facilitando la información disponible sobre la naturaleza de la brecha, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. La notificación a la autoridad de control y, en su caso, a los interesados corresponde al Cliente como responsable; el Prestador le prestará la asistencia razonable que necesite.

8. Derechos de los interesados

Si un interesado (por ejemplo, un cliente o un piloto del Cliente) ejerce sus derechos de acceso, rectificación, supresión, oposición, limitación o portabilidad directamente ante el Prestador, este lo comunicará al Cliente sin dilación indebida para que lo gestione, ya que la relación con el interesado es del Cliente. La propia plataforma permite al Cliente atender la mayoría de estas solicitudes por sí mismo (consultar, corregir, exportar y eliminar los registros que gestiona).

9. Supresión o devolución al finalizar

A la finalización de la suscripción la organización del Cliente pasa a modo solo lectura y el Cliente puede exportar sus datos desde la propia aplicación (sección de Ajustes → exportación de datos) en cualquier momento. El Prestador suprimirá los datos personales tratados por cuenta del Cliente cuando este lo solicite y, en todo caso, cuando la organización lleve 12 meses sin plan y sin actividad, previo aviso por correo electrónico con al menos 30 días de antelación; las organizaciones en modo demo no convertidas se suprimen automáticamente a los 7 días. La supresión alcanza a las copias de seguridad conforme a su ciclo de rotación, salvo que una norma exija la conservación de algún dato. A petición expresa del Cliente antes de la supresión, el Prestador facilitará una copia de los datos en un formato estructurado y de uso común.

10. Auditorías

El Prestador pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones de este DPA. El Cliente podrá realizar, como máximo una vez al año y con un preaviso razonable, auditorías o inspecciones razonables —por sí o por un auditor independiente no competidor del Prestador— limitadas al tratamiento objeto del encargo, en horario laborable y sin acceso a datos de otros clientes. Cada parte asume sus propios costes.

11. Contacto

Para cualquier cuestión relacionada con este DPA o con el tratamiento de datos por cuenta del Cliente, puedes escribir a privacidad@aerocopi.com. Este DPA se rige por la misma ley y jurisdicción que los términos y condiciones.