Acuerdo de encargo de tratamiento de datos de carácter personal (DPA)
1. Objeto
El presente Acuerdo de Encargo de Tratamiento de Datos de Carácter Personal (en adelante, «DPA», siglas de Data Processing Agreement) regula las condiciones en las que Servicios Tecnológicos Ok Cargo S.L. (NIF B10927515; en adelante, «el Encargado» u «OkCargo») trata datos personales por cuenta del cliente (en adelante, «el Responsable») como parte de una prestación de servicios de carácter mercantil entre ambos.
Este DPA se celebra conforme a lo dispuesto en el Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), y complementa las condiciones de cada uno de los servicios ofertados por Servicios Tecnológicos Ok Cargo S.L. y aceptados por el cliente, pudiendo ser, entre otros:
- Condiciones de la contratación y del servicio a clientes de creación de Documentos Electrónicos de Control Administrativo a través de las aplicaciones de la plataforma OkCargo
- Condiciones generales para la contratación de servicios de transporte de mercancías por los transportistas adscritos a la plataforma de OkCargo
- Condiciones generales para la contratación de servicios de transporte de mercancías por el cargador adscrito a la plataforma de OkCargo
- Acuerdos específicos entre ambas partes que hagan referencia al presente DPA o que, sin hacer referencia explícita a este acuerdo y sin establecer un DPA específico, supongan un encargo efectivo de tratamiento de datos de carácter personal con el cliente como Responsable y Servicios Tecnológicos Ok Cargo S.L. como Encargado.
2. Duración
El tratamiento de datos personales tendrá la misma duración que la relación contractual entre el Responsable y el Encargado. Una vez finalizada la relación, el Encargado procederá a la supresión o devolución de los datos personales conforme a las instrucciones del Responsable, salvo que exista una obligación legal de conservación.
3. Naturaleza y finalidad del tratamiento
El Encargado tratará los datos personales con la única finalidad de prestar los servicios efectivamente contratados por el Responsable.
El Encargado no tratará los datos personales para finalidades distintas a las indicadas en este DPA, salvo cuando así lo exija una obligación legal o por instrucción expresa del Responsable.
No obstante, cuando por la voluntad del Responsable los datos personales tratados en la plataforma se vinculen, destinen o resulten necesarios para la ejecución de otro servicio, contrato u operación concertada con OkCargo con posterioridad a la relación inicial, y ello suponga una finalidad legítima diferenciada que atribuya a OkCargo la condición de Responsable independiente, dicha circunstancia constituirá una comunicación legítima de datos entre responsables independientes. En tales supuestos, OkCargo tratará los datos estrictamente necesarios en calidad de Responsable independiente del tratamiento para la gestión de dicha relación y el cumplimiento de sus obligaciones legales o contractuales, rigiéndose por su propia Política de Privacidad y quedando tales datos exceptuados del régimen de supresión o devolución por cuenta del Responsable mientras subsistan responsabilidades o deberes legales de conservación.
4. Tipología de datos personales tratados
En el marco de la prestación de los servicios, el Encargado podrá tratar los siguientes tipos de datos personales de usuarios de la plataforma tecnológica de OkCargo y de otras personas físicas intervinientes o que figuren en documentos relacionados con un contrato de transporte de mercancías, ya sea suscrito entre ambas partes o por el Responsable y un tercero, y que el Responsable proporcione al Encargado:
- Nombre y apellidos
- Número del documento de identidad (DNI/NIE/pasaporte)
- Datos de contacto (teléfono, email, dirección).
Además, en el caso de usuarios designados por el Responsable con acceso a la plataforma tecnológica, el Encargado podrá tratar datos de conexión y actividad (direcciones IP, registros de acceso, credenciales cifradas) y de geolocalización de los dispositivos utilizados para el acceso a la plataforma tecnológica en el marco de la prestación del servicio al Responsable.
Adicionalmente, y en la ejecución de algunos acuerdos de prestación de servicios, pueden almacenarse datos de identificación y/o de geolocalización de vehículos y relacionarse con datos de personas físicas vinculadas a su uso como usuarios, clientes o proveedores del Responsable (por ejemplo: conductor de un determinado vehículo en un servicio de transporte de mercancías).
El Encargado no tratará categorías especiales de datos personales. En caso de que el Responsable introduzca datos de categorías especiales contraviniendo esta prohibición, el Encargado queda facultado para suprimir o bloquear de inmediato dicha información sin previo aviso, debiendo el Responsable mantener indemne al Encargado de cualquier sanción, daño o reclamación derivada de dicho incumplimiento, facultando asimismo al Encargado a la resolución del contrato principal.
5. Categorías de interesados
Los datos personales tratados corresponden a las siguientes categorías de interesados:
- Usuarios designados por el Responsable: personas físicas que utilizan la plataforma tecnológica de OkCargo como parte de su relación laboral, profesional o mercantil con el Responsable y éste les facilita un acceso a la plataforma tecnológica (por ejemplo: conductores, administrativos o responsables de tráfico de la empresa Responsable con acceso a la plataforma tecnológica).
- Clientes y proveedores del Responsable: personas físicas que actúan como clientes o como proveedores del Responsable o que están vinculadas por una relación laboral o mercantil a una persona física o jurídica que actúa como cliente o proveedor del Responsable y cuyos datos han sido facilitados a la plataforma tecnológica directamente por el Responsable o por terceros por encargo y bajo la supervisión de éste (por ejemplo: personas de contacto de una empresa cargadora cuando el Responsable es el transportista, o conductores de un transportista subcontratado cuando el Responsable es el cargador).
- Destinatarios: personas físicas que reciben las mercancías transportadas en el marco de un contrato de transporte en el que interviene el Responsable y cuyos datos han sido facilitados a través de la plataforma tecnológica.
- Remitentes: personas físicas que expiden o envían las mercancías transportadas en el marco de un contrato de transporte en el que interviene el Responsable y cuyos datos han sido facilitados a través de la plataforma tecnológica.
6. Obligaciones del Encargado
El Encargado se compromete a:
- Tratar los datos personales únicamente conforme a las instrucciones documentadas del Responsable, incluyendo las transferencias de datos a terceros países u organizaciones internacionales, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros.
- Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.
- Implementar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo cifrado de datos, capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas, y capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente.
- Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas y teniendo en cuenta la naturaleza del tratamiento, en el cumplimiento de su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados (artículos 15 a 22 del RGPD), trasladándole sin dilación indebida cualquier solicitud recibida directamente.
- Notificar al Responsable sin dilación indebida, y en cualquier caso en un plazo máximo de 48 horas, cualquier violación de la seguridad de los datos personales de la que tenga conocimiento.
- Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD y permitir y contribuir a la realización de auditorías en los términos estipulados en la cláusula 7 del presente DPA.
- Asistir al Responsable en el cumplimiento de sus obligaciones relativas a la seguridad del tratamiento, la notificación de violaciones de seguridad a la autoridad y a los interesados, la realización de evaluaciones de impacto relativas a la protección de datos y la realización de consultas previas a la autoridad de control, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del Encargado.
- A elección del Responsable, suprimir o devolver todos los datos personales una vez finalice la prestación de los servicios, y suprimir las copias existentes salvo que el Derecho de la Unión o de los Estados miembros exija la conservación de los datos.
7. Derechos del Responsable
El Responsable tiene derecho a:
- Realizar auditorías e inspecciones para verificar el cumplimiento de las obligaciones del Encargado conforme al presente DPA y al RGPD. El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones previa firma de los acuerdos de confidencialidad con todas las partes intervinientes, preaviso mínimo de 15 días y asunción de costes por parte del Responsable.
- Dar instrucciones documentadas al Encargado sobre el tratamiento de datos personales. El Encargado informará inmediatamente al Responsable si, en su opinión, una instrucción infringe el RGPD u otras disposiciones de protección de datos.
- Solicitar la supresión o devolución de todos los datos personales al finalizar la relación contractual, salvo que exista una obligación legal de conservación.
8. Subencargados del tratamiento
El Responsable autoriza al Encargado a recurrir a los siguientes subencargados del tratamiento para la prestación de los servicios:
- Google Cloud Spain, S.L. / Google Ireland Ltd.: Servicios: infraestructura cloud (computación, almacenamiento y bases de datos), envío y enrutamiento de notificaciones push a dispositivos móviles/web. Regiones: europe-southwest1, en la UE. Garantía: DPA de Google LLC. Google LLC cumple con el RGPD y dispone de las certificaciones ISO 27001 y SOC 2, además de Cláusulas Contractuales Tipo (SCC) y EU-US Data Privacy Framework como garantía de contingencia.
- Meta Platforms Ireland Ltd. (WhatsApp Business Platform): Servicio: Envío y recepción de comunicaciones y notificaciones transaccionales vía WhatsApp. Cláusulas Contractuales Tipo (SCC) y adhesión al EU-US Data Privacy Framework. Cifrado en tránsito y en reposo.
- Twilio Ireland Ltd. / Twilio Inc.: Servicio: Pasarela de comunicaciones (SMS, llamadas o fallback de mensajería). Cláusulas Contractuales Tipo (SCC) y Normas Corporativas Vinculantes (BCR) de Twilio aprobadas en la UE.
El Encargado notificará al Responsable la incorporación o sustitución de subencargados con una antelación mínima de 15 días, pudiendo el Responsable oponerse a dichos cambios por motivos justificados. En caso de que el Responsable ejerza fundadamente su derecho de oposición y no resulte técnicamente viable mantener la prestación sin el nuevo subencargado, cualquiera de las partes podrá resolver el servicio sin penalización.
Los subencargados estarán sujetos a las mismas obligaciones de protección de datos establecidas en el presente DPA. El Encargado, previa solicitud, pondrá a disposición del Responsable los acuerdos de encargo suscritos con dichos subencargados o el acceso a sus términos públicos vigentes.
9. Registro de operaciones (operations log)
El Encargado mantiene un registro de operaciones automatizado (historial de log) que registra de forma inmutable cada operación realizada en el ámbito de la ejecución del servicio o servicios contratados. Este registro constituye un tratamiento de datos personales necesario para el cumplimiento de obligaciones legales conforme a la legislación vigente. Respecto a los datos técnicos de conexión, IP y marcas de tiempo consignados en dicho log, OkCargo actuará como Responsable del tratamiento independiente al amparo de sus deberes legales de seguridad (art. 32 RGPD) y su interés legítimo en la defensa de sus activos e infraestructura (art. 6.1.f RGPD), quedando este registro desvinculado de la obligación de supresión a la finalización de los servicios en la medida estrictamente requerida por los plazos de prescripción de responsabilidades legales.
10. Régimen de responsabilidad e indemnidad
El Responsable mantendrá indemne al Encargado frente a cualesquiera reclamaciones, procedimientos, sanciones administrativas, daños y perjuicios derivados del tratamiento de datos no previstos en la tipología del presente DPA o facilitados contraviniendo las obligaciones e instrucciones estipuladas por escrito en el presente DPA, en los contratos suscritos entre ambas partes o a través de los canales de comunicación formalmente acordados en los mismos.
11. Ley aplicable y jurisdicción
La interpretación y ejecución del presente DPA se rige por la legislación española y por el fuero previsto en el contrato principal de prestación de servicios entre las partes o, en su defecto, por los Juzgados y Tribunales del domicilio social de OkCargo
Última actualización: 14 de septiembre de 2026
Fecha de entrada en vigor: 14 de septiembre de 2026