Acuerdo de Tratamiento de Datos

1. Partes

Este Acuerdo de Tratamiento de Datos ("DPA") se celebra entre el Cliente ("Responsable del Tratamiento") e YARDtwin Ltd, registrada en Irlanda ("Encargado del Tratamiento"), denominados conjuntamente las "Partes". Este DPA forma parte de, y está sujeto a, los Términos de servicio.

2. Ámbito y finalidad

El Encargado trata datos personales por cuenta del Responsable únicamente con el fin de prestar la plataforma de gestión de patio YARDtwin: programación de muelles, operaciones de entrada, visualización digital del patio mediante gemelo digital, gestión de transportistas y conductores, un registro de auditoría diseñado para entornos GMP, análisis e integraciones. El tratamiento se realiza durante la vigencia de la suscripción del Responsable y cualquier período de retención exigido por la Sección 11.

3. Categorías de interesados

• Empleados y administradores del Responsable (usuarios nominales de la plataforma)
• Conductores y personal logístico registrados en los accesos del Responsable
• Representantes de transportistas y contactos de despacho
• Personal de seguridad de accesos y operadores de almacén

4. Tipos de datos personales

• Datos de identidad: nombres, direcciones de correo electrónico, números de teléfono, cargo/puesto de trabajo, nombre y dirección de la empresa
• Datos de autenticación: contraseñas cifradas con bcrypt (12 rondas), tokens de acceso y actualización JWT, marcas de tiempo de sesión, direcciones IP, identificadores SSO (Google, Microsoft)
• Datos operativos: citas, asignaciones de muelles, movimientos de remolques, registros de inspección, documentos, asignaciones de tareas, matrículas de vehículos
• Datos del conductor: números de permiso e imágenes del permiso. El personal de acceso puede tomar una foto del rostro del conductor como evidencia de entrada. Cuando una instalación activa la comparación facial por IA, nuestro proveedor de IA (Anthropic) compara esa foto uno a uno con la foto del permiso o la foto almacenada del conductor para ayudar al personal a confirmar la identidad del conductor. El resultado es una recomendación: el personal de acceso decide, y puede admitir a un conductor que la comparación no haya confirmado proporcionando un motivo. Cada comparación queda registrada en nuestros servidores con su resultado. Cuando la comparación facial está desactivada (opción predeterminada), no se envía ninguna foto del rostro al proveedor de IA y el personal compara al conductor con la foto del permiso de forma visual; las imágenes del permiso siguen siendo leídas por IA cuando la lectura por IA está activada. YARDtwin no almacena plantillas faciales ni realiza identificación de uno a varios.
• Datos de auditoría: acciones de usuario, marcas de tiempo, direcciones IP, cadenas de agente de usuario, diferencias entre valores anteriores/nuevos, registros marcados como GMP

5. Obligaciones del Encargado del Tratamiento

• Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable (la interfaz de usuario de la plataforma y el API constituyen instrucciones documentadas)
• Garantizar que las personas autorizadas a tratar los datos estén sujetas a acuerdos de confidencialidad
• Implementar medidas de seguridad técnicas y organizativas adecuadas (Art. 32) — véase la Sección 7 a continuación
• Recurrir únicamente a los subencargados enumerados en la Sección 6, para lo cual el Responsable otorga autorización general por escrito; notificar con al menos 30 días de antelación cualquier nuevo subencargado, al que el Responsable podrá oponerse (Sección 6)
• Asistir al Responsable en las solicitudes de los interesados (Art. 15–22) a través de los endpoints DSAR descritos en la Sección 9
• Notificar al Responsable sin dilación indebida y, en todo caso, en un plazo de 48 horas desde que tenga conocimiento de una violación de datos personales; enviar una notificación inicial en un plazo de 24 horas ante cualquier incidente de seguridad confirmado que afecte a los datos del Responsable (Sección 8)
• Eliminar o devolver todos los datos personales al término de los servicios (Sección 11)
• Poner a disposición toda la información necesaria para demostrar el cumplimiento y respaldar las auditorías (Sección 12)

6. Subencargados del Tratamiento

El Encargado del Tratamiento trabaja actualmente con los siguientes subencargados, cada uno de ellos sujeto a un Acuerdo de Tratamiento de Datos y, cuando proceda, a las Cláusulas Contractuales Tipo 2021:

El Responsable otorga autorización general por escrito para los subencargados enumerados anteriormente. El Encargado notificará con al menos 30 días de antelación cualquier nuevo subencargado; el Responsable podrá oponerse por motivos razonables y, si la objeción no puede resolverse, dar por terminado el servicio afectado sin penalización.

Servicios exclusivos del sitio web (sin datos operativos de clientes)

Estos se ejecutan únicamente en el sitio web público. No reciben datos operativos de clientes y no son subencargados de los mismos; los que establecen cookies se cargan solo con consentimiento.

7. Medidas de Seguridad (Art. 32)

• Cifrado en tránsito: TLS 1.2+ en todos los endpoints; certificados gestionados por Microsoft Azure (DigiCert)
• Cifrado en reposo: Cifrado transparente de datos en Azure Postgres Flexible Server; cifrado en Azure Blob Storage
• Imágenes de permisos de conducir y firmas: Las imágenes de permisos de conducir y las firmas se cifran en reposo con AES-256 mediante Azure Storage y Azure Database for PostgreSQL (claves administradas por Microsoft), y el acceso a ellas está limitado por rol y organización
• Hash de contraseñas: bcrypt, 12 rondas
• Autenticación: Tokens de acceso JWT (caducidad de 1 hora) y tokens de actualización (caducidad de 7 días, rotados en cada uso, nunca válidos más allá de 30 días desde el inicio de sesión). Inicio de sesión único (SAML 2.0, Google, Microsoft); MFA con contraseña de un solo uso basada en tiempo, obligatoria para los administradores de la plataforma y disponible para todos los usuarios
• Aislamiento de inquilinos: aplicado en el lado del servidor mediante scoping por inquilino, y verificado automáticamente antes de cada lanzamiento: la comprobación de lanzamiento realiza un barrido entre inquilinos llamando al API como una organización con IDs de registros de otra organización, y el lanzamiento queda bloqueado si se puede leer o modificar algún dato de esa organización
• Control de acceso basado en roles: permisos basados en roles en rutas autenticadas, con scoping por inquilino aplicado en el lado del servidor
• Firewall de aplicaciones web: Azure Front Door WAF en modo Prevención con reglas personalizadas de limitación de velocidad en los endpoints de autenticación, registro, restablecimiento de contraseña y solicitudes de los interesados, además de protección DDoS L7 a nivel de plataforma. No se ha asociado ningún conjunto de reglas OWASP administrado: ello requiere el nivel Front Door Premium.
• Limitación de velocidad: límites por ruta, más estrictos en los endpoints de autenticación; seguimiento de intentos en memoria y persistido
• Registro de auditoría: con evidencia de manipulación (toda alteración es detectable) y de solo adición (aplicado en la base de datos), entradas relevantes para GMP marcadas por separado y conservadas durante al menos 7 años mientras el acuerdo de servicio esté vigente (al final del contrato se exportan al Responsable del tratamiento, salvo que el Responsable del tratamiento rechace la exportación por escrito o no sea posible contactar con él tras intentos razonables, y a continuación se eliminan — Sección 11), otras entradas durante 365 días, seudonimizadas (no eliminadas) ante solicitudes de supresión según el Art. 17 bajo el Art. 17(3)(b)
• Monitorización continua: Azure Application Insights; una prueba de disponibilidad del sitio web cada 10 minutos; una alerta de desviación de esquema (ventana de 15 minutos); una alerta cuando se producen más de 10 errores de servidor (HTTP 5xx) en 5 minutos; y un proceso de supervisión de brechas que comprueba el registro de auditoría cada 5 minutos en busca de picos de intentos de inicio de sesión fallidos (10 o más para una misma cuenta en una hora), intentos de inicio de sesión en una misma cuenta desde 5 o más direcciones IP en 24 horas, e inicios de sesión exitosos desde una dirección IP no vista para ese usuario en los últimos 30 días
• Cadena de suministro de software: Cada pull request debe superar npm audit (vulnerabilidades de dependencias), Semgrep (análisis estático) y gitleaks (análisis de secretos) antes de poder fusionarse, con un análisis de imagen de contenedor Trivy como verificación informativa; estas comprobaciones también se ejecutan en cada push a master y de forma nocturna, junto con un análisis de línea base OWASP ZAP informativo (pruebas dinámicas) del sitio en producción. Secretos: Azure Key Vault accedido mediante identidad administrada de App Service; ningún secreto en código, archivos de entorno ni imágenes de contenedor.

8. Notificación de Brechas de Datos Personales

El Encargado notificará al Responsable sin dilación indebida y, en todo caso, en un plazo de 48 horas desde que tenga conocimiento de una violación de datos personales que afecte a los datos del Responsable, y enviará una notificación inicial en un plazo de 24 horas ante cualquier incidente de seguridad confirmado que afecte a los datos del Responsable. La notificación incluirá la naturaleza de la violación, las categorías y el número aproximado de interesados afectados, las consecuencias previsibles, las medidas adoptadas o propuestas y la referencia del registro de violaciones. Las anomalías detectadas se enrutan al Grupo de Acción de Azure Monitor yardtwin-breach-actions; los incidentes confirmados se registran en la tabla del registro de brechas con una cuenta atrás de 72 horas para el DPC.

9. Derechos de los Interesados

El Encargado proporciona al Responsable los siguientes endpoints para atender los derechos de los interesados dentro del plazo de 30 días del Art. 12(3):

• POST /api/v1/dsar/export/by-email — exportación legible por máquina que cubre el Art. 15 (acceso) y el Art. 20 (portabilidad)
• POST /api/v1/dsar/erase/by-email — supresión ante una solicitud verificada: se anonimizan las cuentas de usuario propias de la persona en las cuentas de cliente seleccionadas y se eliminan sus sesiones, tokens, notificaciones, invitaciones pendientes, registros de boletín y de alta y su propio avatar; los registros operativos que conserva el Responsable del tratamiento (reservas, registros de puerta y de visitas, lista de conductores, contactos) se enumeran para que el Responsable del tratamiento actúe sobre ellos; el registro de auditoría conserva una referencia anonimizada al autor por la integridad GMP (art. 17.3.b)
• Portal de solicitudes de autoservicio en /data-request

10. Transferencias Internacionales

Los datos operativos se almacenan dentro del Espacio Económico Europeo (Microsoft Azure, Suecia Central y Noruega Este). Las Cláusulas Contractuales Tipo (2021) se aplican a cada transferencia a un subencargado fuera del EEE; cuando un destinatario está certificado en el Marco de Privacidad de Datos UE-EE. UU., también se recurre a dicha certificación. Las evaluaciones de impacto de las transferencias están en curso (objetivo noviembre de 2026).

11. Duración, Resolución y Devolución de Datos

Este DPA permanece en vigor durante la duración del acuerdo de servicio. Tras la resolución:

• El Responsable podrá exportar todos sus datos en un plazo de 30 días mediante las funciones de exportación del producto o por solicitud
• Transcurridos 30 días, el Encargado eliminará todos los datos personales operativos del Responsable
• Durante la vigencia del acuerdo de servicio, los registros de auditoría se conservan en estado seudonimizado: las entradas relevantes para GMP durante al menos 7 años tras el evento, a fin de cumplir los requisitos de retención de registros GMP (21 CFR Part 11 / EU GMP Annex 11; excepción por obligación legal del Art. 17(3)(b)), y las demás entradas de auditoría durante 365 días. Al finalizar el contrato, antes de que se eliminen los datos del Responsable del tratamiento, se le proporcionará al Responsable del tratamiento una exportación completa de su registro de auditoría, junto con un recibo de verificación, para que lo conserve durante su propio período de retención de registros, salvo que decline la exportación por escrito o no se pueda contactar con él tras intentos razonables; el Encargado del tratamiento eliminará entonces el registro de auditoría junto con el resto de los datos del Responsable del tratamiento. Al margen de las copias de seguridad descritas a continuación, que expiran según su propio calendario, y del propio registro del Encargado del tratamiento sobre la entrega (el recibo, los hashes y recuentos de la exportación, y quién la realizó y recibió), el registro de auditoría solo se conservará por más tiempo si el Responsable del tratamiento instruye al Encargado del tratamiento por escrito, en virtud de un acuerdo separado.
• Los datos operativos se eliminan en un plazo de 30 días tras la finalización del contrato. Las copias de seguridad de la base de datos en un momento determinado caducan en 7 días. Las copias de seguridad mensuales archivadas y cifradas se conservan hasta 7 años exclusivamente para la recuperación ante desastres; no se restauran salvo para recuperar el servicio, los datos que contienen están fuera de uso y caducan junto con la copia de seguridad.
• Se realiza una copia de seguridad completa de la base de datos cada noche y se conserva durante 35 días en almacenamiento cifrado independiente en el EEE (Sweden Central, con replicación geográfica en Sweden South); los datos eliminados del servicio en producción permanecen en dichas copias de seguridad, fuera de uso, hasta su caducidad.

12. Derechos de Auditoría

El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento del Art. 28 del RGPD. Los clientes pueden solicitar: el registro actual de subencargados, el último informe de pruebas de regresión de aislamiento de inquilinos, el resumen de la prueba de penetración externa una vez realizada (véase la Política RGPD 11.1) y las respuestas a un cuestionario de seguridad de proveedores. Se pueden concertar auditorías presenciales o remotas razonables con al menos 30 días de antelación, realizadas por el Responsable o por un tercero independiente vinculado por confidencialidad. El Encargado no dispone hoy de certificación ISO 27001 ni SOC 2; una vez obtenida la certificación ISO 27001 (prevista para el T1 de 2027), el Encargado ofrecerá el certificado como evidencia sustitutiva.

13. Responsabilidad y Legislación Aplicable

La responsabilidad derivada de este DPA está sujeta a las limitaciones establecidas en los términos de YARDtwin Términos de servicio. Este DPA se rige por las leyes de Irlanda y el Reglamento General de Protección de Datos de la UE (RGPD). Cualquier disputa estará sujeta a la jurisdicción exclusiva de los tribunales de Irlanda.

14. Contacto

Para consultas sobre este DPA, para solicitar una copia de revisión (se emite una edición con contrafirma una vez completado el registro mercantil), o para ejercer cualquiera de los derechos establecidos anteriormente, contacte con admin@yardtwin.com o el contacto de protección de datos en dpo@yardtwin.com. Este es un buzón de rol supervisado por el responsable de protección de datos de YARDtwin Ltd. YARDtwin no ha designado un Delegado de Protección de Datos estatutario conforme al Artículo 37 del RGPD, lo cual no es obligatorio para su tratamiento (Política RGPD 11.2); la dirección de contacto se publica en lugar del nombre de una persona física.