Contrato de encargado del tratamiento

Última actualización: 25 de agosto de 2026

Este contrato regula el tratamiento de datos personales que Moventra realiza por cuenta de sus clientes al prestarles el servicio, y cumple lo exigido por el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y por la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de los Términos de uso y se acepta junto con ellos al crear una cuenta. Si no estás de acuerdo con él, no debes usar la plataforma.

1.Partes

2.Qué regula este contrato (y qué no)

En Moventra conviven dos relaciones distintas, y este contrato solo regula la primera:

• Datos que el cliente introduce sobre otras personas —principalmente sus conductores—: nombre, teléfono, correo, porcentajes de reparto, turnos, servicios, liquidaciones y nóminas, además de las imágenes de tickets que se suben a la plataforma. Aquí el cliente es el responsable y Moventra la encargada. Es el objeto de este contrato.
• Datos del propio cliente como usuario y suscriptor: su cuenta, sus datos fiscales, sus facturas y sus pagos. Aquí Moventra actúa como responsable y el tratamiento se describe en la política de privacidad, no en este documento.

Cuando un conductor se da de alta por su cuenta y usa Moventra como usuario propio (registrando sus turnos, ingresos y gastos), Moventra trata esos datos como responsable respecto de la cuenta del conductor, y como encargada respecto de la información que queda a disposición del titular de la flota al que esté vinculado.

3.Objeto, naturaleza, finalidad y duración

• Objeto: la prestación del servicio Moventra, que implica tratar por cuenta del responsable los datos personales que este introduce o hace introducir en la plataforma.
• Naturaleza y operaciones: recogida, registro, estructuración, conservación, consulta, modificación, extracción automática de información de imágenes mediante reconocimiento de texto, cálculo, generación de informes, exportación, comunicación a los subencargados del Anexo III, limitación y supresión.
• Finalidad: exclusivamente prestar las funciones de gestión de flota contratadas —licencias, taxis, conductores, turnos, gastos, liquidaciones e informes—, garantizar la seguridad del servicio y prestar soporte. Ninguna otra.
• Duración: este contrato entra en vigor cuando el cliente acepta los Términos de uso y permanece vigente mientras exista una cuenta activa. Termina cuando la relación finaliza, y sus obligaciones de confidencialidad, devolución y supresión sobreviven a esa terminación en los términos del apartado 15.

El detalle de datos e interesados figura en el Anexo I.

4.Instrucciones documentadas

• Moventra trata los datos personales únicamente siguiendo instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales.
• Tienen la consideración de instrucciones documentadas: este contrato, los Términos de uso, la política de privacidad, la configuración que el responsable establece en su panel y el uso ordinario que hace de las funciones de la plataforma. Cualquier instrucción adicional o distinta deberá enviarse por escrito a contacto.moventra@gmail.com.
• Moventra no utiliza los datos para fines propios, no los cede a terceros distintos de los subencargados autorizados, no los vende y no los emplea para entrenar modelos de inteligencia artificial, ni propios ni de terceros.
• Moventra podrá generar estadísticas agregadas y anonimizadas sobre el uso de la plataforma (por ejemplo, número de liquidaciones cerradas al mes) siempre que el resultado no permita identificar a ninguna persona ni a ningún cliente. Si esa anonimización no fuera efectiva, el tratamiento se considerará amparado por este contrato y limitado a la finalidad de mejorar el servicio.
• Si Moventra considera que una instrucción del responsable infringe el RGPD o la normativa española de protección de datos, se lo comunicará de inmediato y podrá suspender su ejecución hasta que el responsable la confirme o la modifique (art. 28.3, párrafo segundo, RGPD).
• Si una norma de la Unión o de un Estado miembro obliga a Moventra a tratar los datos de otro modo, se lo informará al responsable antes del tratamiento, salvo que esa misma norma lo prohíba por razones de interés público.

5.Obligaciones del responsable

El cliente, en su condición de responsable, se compromete a:

• Disponer de una base jurídica válida (art. 6 RGPD) para introducir en Moventra los datos de sus conductores y de cualquier otra persona, e informarles conforme a los artículos 13 y 14 del RGPD de que sus datos se tratan en esta plataforma y de quiénes son los proveedores implicados.
• No introducir datos innecesarios ni, en particular, categorías especiales de datos (salud, afiliación sindical, ideología, datos biométricos) ni datos de infracciones o condenas penales. La plataforma no está diseñada ni evaluada para tratarlos.
• Revisar las imágenes de tickets antes de subirlas y evitar las que contengan datos personales de pasajeros u otros terceros que no sean necesarios para justificar el gasto.
• Gestionar correctamente los accesos: crear, revisar y revocar a tiempo los usuarios y los conductores vinculados a su cuenta, y custodiar sus credenciales.
• Mantener su propio registro de actividades de tratamiento y realizar, cuando proceda, la evaluación de impacto (art. 35 RGPD).
• Atender, como responsable que es, las solicitudes de derechos que le dirijan sus conductores y demás interesados.

El responsable garantiza que las instrucciones que da a Moventra son lícitas y responde frente a Moventra de los daños que se deriven del incumplimiento de las obligaciones de este apartado.

6.Obligaciones de la encargada

Moventra, como encargada, se compromete a:

• Tratar los datos solo para prestar el servicio y conforme al apartado 4.
• Llevar un registro de las categorías de tratamientos efectuados por cuenta de cada responsable (art. 30.2 RGPD) y ponerlo a su disposición cuando lo solicite.
• Aplicar y mantener las medidas de seguridad del Anexo II.
• Garantizar la confidencialidad de todas las personas con acceso a los datos (apartado 7).
• Asistir al responsable en los términos de los apartados 11, 12 y 13.
• Recurrir únicamente a los subencargados autorizados conforme al apartado 9.
• Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento del artículo 28 y permitir auditorías conforme al apartado 14.
• Devolver o suprimir los datos al finalizar el contrato conforme al apartado 15.
• No comunicar los datos a autoridades de terceros países sin base jurídica en el Derecho de la Unión; si recibe un requerimiento de ese tipo, informará al responsable antes de responder, salvo prohibición legal, y agotará las vías razonables para impugnarlo.

7.Confidencialidad del personal

• Moventra garantiza que las personas autorizadas para tratar los datos —hoy, la propia titular y, en su caso, colaboradores o subcontratistas técnicos— se han comprometido expresamente y por escrito a respetar la confidencialidad, o están sujetas a una obligación legal de confidencialidad de naturaleza estatutaria.
• Esta obligación es indefinida y se mantiene después de que termine la relación con Moventra o el contrato con el responsable.
• El acceso a los datos se concede solo a quien lo necesita para prestar el servicio o el soporte, y únicamente en la medida imprescindible.
• Moventra formará a las personas autorizadas en sus obligaciones de protección de datos y mantendrá una relación actualizada de quién tiene acceso.

8.Medidas de seguridad (art. 32 RGPD)

Moventra aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes, y la naturaleza, alcance, contexto y fines del tratamiento. Las medidas concretas y comprometidas se detallan en el Anexo II.

Moventra podrá actualizar esas medidas para adaptarlas a la evolución técnica, siempre que el nivel de seguridad resultante no sea inferior al descrito. Las modificaciones sustanciales se comunicarán conforme al apartado 17.

9.Subencargados

• El responsable otorga a Moventra una autorización general por escrito (art. 28.2 RGPD) para recurrir a los subencargados relacionados en el Anexo III, que es la lista completa de proveedores con acceso a datos personales tratados por cuenta del responsable.
• Moventra impone a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que asume en este contrato, y responde plenamente ante el responsable del incumplimiento de las obligaciones de sus subencargados.
• Cambios: si Moventra pretende incorporar un nuevo subencargado o sustituir a uno existente, lo comunicará al responsable por correo electrónico y mediante la actualización de este documento con una antelación mínima de 30 días naturales, indicando el proveedor, el servicio, la ubicación del tratamiento y la garantía de transferencia aplicable.
• Derecho de oposición: el responsable podrá oponerse de forma motivada y por escrito dentro de los 15 días naturales siguientes a esa comunicación. Moventra estudiará la objeción y buscará una alternativa razonable. Si no se alcanza una solución, el responsable podrá resolver el contrato y dar de baja su cuenta sin penalización, con reembolso de la parte proporcional del periodo ya abonado y no consumido, y con derecho a exportar previamente su información.
• Si el responsable no se opone dentro de ese plazo, se entenderá que autoriza el cambio.

10.Transferencias internacionales

La base de datos de la plataforma y el servidor que la atiende están alojados en la Unión Europea (región de Fráncfort, Alemania). Es decir, la información de gestión de la flota se almacena en el Espacio Económico Europeo.

Algunos subencargados son sociedades estadounidenses o pueden tratar datos fuera del EEE (soporte técnico, redes de distribución de contenido o procesamiento de imágenes). Esas transferencias se amparan en las garantías del capítulo V del RGPD: Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, decisión de adecuación cuando exista, o adhesión al EU–US Data Privacy Framework. La garantía aplicable a cada proveedor se indica en el Anexo III.

Moventra pondrá a disposición del responsable, cuando lo solicite, copia o enlace de las garantías suscritas con cada subencargado.

11.Asistencia con los derechos de los interesados

• Moventra asiste al responsable, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que pueda atender las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición, así como el derecho a no ser objeto de decisiones automatizadas.
• La plataforma permite al responsable consultar, modificar, exportar (PDF y Excel) y eliminar por sí mismo los datos de sus conductores desde su panel, de modo que en la mayoría de los casos podrá resolver la solicitud sin intervención de Moventra.
• Si un interesado dirige una solicitud directamente a Moventra, esta no la responderá por su cuenta: la trasladará al responsable en un plazo máximo de 3 días hábiles desde su recepción, indicándole los datos necesarios para identificarla.
• Cuando el responsable necesite ayuda técnica para atender una solicitud, Moventra le prestará el apoyo razonable en un plazo máximo de 7 días hábiles desde que lo pida, o antes si el plazo legal aplicable así lo exige.
• Esta asistencia es gratuita salvo que las solicitudes sean manifiestamente excesivas o repetitivas, en cuyo caso podrá repercutirse un coste razonable comunicado por adelantado.

12.Asistencia con las obligaciones de los artículos 32 a 36

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, Moventra asiste al responsable en el cumplimiento de:

• Seguridad del tratamiento (art. 32): facilitando la descripción de las medidas del Anexo II y la información que el responsable necesite para su propio análisis de riesgos.
• Notificación de violaciones de seguridad a la autoridad de control y a los interesados (arts. 33 y 34): conforme al apartado 13.
• Evaluación de impacto relativa a la protección de datos (art. 35), aportando la información técnica sobre el tratamiento que el responsable requiera.
• Consulta previa a la autoridad de control (art. 36), cuando proceda.

13.Violaciones de la seguridad de los datos

• La notificación se enviará a la dirección de correo electrónico de la cuenta del responsable e incluirá, en la medida en que se conozca: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos, y un punto de contacto para obtener más información.
• Si no es posible facilitar toda esa información a la vez, Moventra enviará una primera notificación dentro del plazo, aunque sea parcial, y la completará de forma gradual sin más demora.
• Moventra documentará toda violación de seguridad, incluidos los hechos, sus efectos y las medidas correctoras, y pondrá esa documentación a disposición del responsable.
• Moventra colaborará con el responsable en la comunicación a los interesados (art. 34 RGPD), pero corresponde al responsable decidir si notifica a la autoridad de control y a los interesados, y hacerlo.
• Moventra exige a sus subencargados que le notifiquen sin dilación indebida cualquier violación de seguridad que les afecte, para poder cumplir el plazo anterior.

14.Auditorías e inspecciones

• Moventra pone a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD, y permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del responsable o de un auditor por él autorizado.
• Primer nivel: el responsable podrá solicitar por escrito información y documentación (descripción de medidas, cuestionario de seguridad, certificaciones e informes de los subencargados). Moventra responderá en un plazo máximo de 30 días naturales. En la mayoría de los casos esto bastará para acreditar el cumplimiento.
• Auditoría in situ o remota: si esa documentación resulta insuficiente, el responsable podrá auditar, una vez al año como máximo —o más veces si media una violación de seguridad acreditada o un requerimiento de la autoridad de control—, avisando con al menos 30 días naturales de antelación, en horario laboral y sin interrumpir la prestación del servicio.
• El auditor deberá ser independiente, no competidor de Moventra, y firmar un acuerdo de confidencialidad. La auditoría no podrá alcanzar en ningún caso datos de otros clientes ni información confidencial de terceros.
• Los costes de la auditoría corren a cargo del responsable, salvo que se detecten incumplimientos relevantes imputables a Moventra, en cuyo caso los asumirá Moventra junto con la subsanación.
• Respecto de los subencargados, Moventra facilitará al responsable las certificaciones e informes de auditoría que aquellos publiquen, sin que quepa exigir auditorías directas sobre sus instalaciones.
• Moventra colaborará con la Agencia Española de Protección de Datos y con cualquier otra autoridad de control competente en el ejercicio de sus funciones.

15.Devolución o supresión de los datos al finalizar

Cuando termine la prestación del servicio, y a elección del responsable, Moventra devolverá o suprimirá los datos personales tratados por su cuenta, conforme al siguiente calendario:

• Excepción legal: Moventra conservará los datos que deba mantener por imposición del Derecho de la Unión o del Estado español, únicamente durante el plazo exigido y con acceso bloqueado. Esta excepción alcanza sobre todo a la información fiscal y contable de la relación de suscripción con el cliente, en la que Moventra actúa como responsable, y no a los datos de los conductores.
• Moventra certificará por escrito la supresión si el responsable se lo solicita.
• Moventra no bloqueará ni retendrá el acceso a la información del responsable como medio de presión, incluso si existiera una deuda pendiente.

16.Responsabilidad

Cada parte responde de sus propios incumplimientos conforme al artículo 82 del RGPD y a la normativa española. Moventra responde de los daños causados por un tratamiento que infrinja las obligaciones dirigidas específicamente a los encargados o que contravenga las instrucciones lícitas del responsable. El responsable mantiene indemne a Moventra frente a las reclamaciones derivadas de la falta de base jurídica o de información a los interesados que le corresponde a él.

La limitación de responsabilidad del apartado 11 de los Términos de uso se aplica a este contrato en lo que la ley permita, sin que pueda limitar ni excluir la responsabilidad frente a los interesados ni frente a las autoridades de control, ni la derivada de dolo o negligencia grave.

17.Vigencia, modificaciones y ley aplicable

• Este contrato se acepta junto con los Términos de uso al crear una cuenta, y sustituye a cualquier acuerdo previo sobre la misma materia. Si un cliente exige un contrato firmado en documento aparte, puede solicitarlo escribiendo a contacto.moventra@gmail.com.
• Moventra podrá modificarlo para adaptarlo a cambios normativos, criterios de las autoridades de control o cambios del servicio. Las modificaciones sustanciales —incluidas las de subencargados— se comunicarán por correo electrónico con una antelación mínima de 30 días naturales. Si el responsable no está de acuerdo, podrá dar de baja su cuenta sin penalización antes de que entren en vigor.
• En caso de contradicción, este contrato prevalece sobre los Términos de uso en todo lo relativo al tratamiento de datos por cuenta del responsable.
• Se rige por la legislación española y por el RGPD. Para las controversias son competentes los juzgados y tribunales de Madrid (España), sin perjuicio de la competencia de la Agencia Española de Protección de Datos.
• No se ha designado delegado de protección de datos, al no concurrir los supuestos del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD. El punto de contacto en materia de protección de datos es contacto.moventra@gmail.com.

18.Contacto

Para cualquier cuestión relativa a este contrato, al ejercicio de derechos o a un incidente de seguridad, escribe a contacto.moventra@gmail.com.

I.Anexo I — Descripción del tratamiento

II.Anexo II — Medidas técnicas y organizativas

Moventra aplica, como mínimo, las siguientes medidas:

• Cifrado en tránsito: todas las comunicaciones entre los usuarios, la aplicación, la API y la base de datos viajan cifradas mediante TLS (HTTPS).
• Cifrado en reposo: la base de datos, las copias de seguridad y el almacenamiento de imágenes están cifrados en reposo por los proveedores de infraestructura.
• Contraseñas: se almacenan mediante función de hash con sal (bcrypt). Moventra no puede leer ni recuperar la contraseña de ningún usuario.
• Control de acceso: autenticación mediante tokens firmados (JWT) con caducidad, y autorización por roles. Cada petición se comprueba además contra la propiedad del dato, de modo que un cliente no puede acceder a información de otro.
• Aislamiento entre clientes: los datos de cada cuenta están segregados lógicamente y las consultas se filtran siempre por el titular al que pertenecen.
• Limitación de intentos: límites de peticiones por dirección IP y límites específicos y más estrictos en el registro y el inicio de sesión, para dificultar los ataques de fuerza bruta y el abuso automatizado.
• Validación de entradas: los datos recibidos se validan en el servidor y el acceso a la base de datos se realiza a través de una capa que evita la inyección de consultas.
• Mínimo acceso: solo la titular y, en su caso, colaboradores expresamente autorizados y sujetos a confidencialidad pueden acceder a los sistemas de producción.
• Gestión de secretos: las claves y credenciales de los servicios se guardan como variables de entorno en los paneles de los proveedores, nunca en el código fuente ni en el repositorio.
• Copias de seguridad: la base de datos se respalda de forma automática por el proveedor de alojamiento, con posibilidad de restauración a un momento anterior.
• Registros: se conservan registros técnicos de acceso y de errores que permiten detectar e investigar incidentes.
• Revisión de seguridad del código: antes de cada despliegue se revisan los cambios con herramientas de análisis estático de seguridad, con atención especial a la autenticación, la autorización por propietario, los secretos, la validación de entradas y el flujo de pagos.
• Actualizaciones: las dependencias de software se mantienen actualizadas y se atienden con prioridad las vulnerabilidades conocidas que afecten al servicio.
• Minimización: solo se solicitan y almacenan los datos necesarios para la finalidad del servicio, y no se conservan datos completos de tarjeta de pago en ningún caso.
• Continuidad: la infraestructura es gestionada por proveedores con redundancia y capacidad de restauración; Moventra puede restaurar el servicio a partir de las copias de seguridad.
• Revisión periódica: estas medidas se revisan y evalúan al menos una vez al año y siempre que se produzca un cambio relevante en el servicio o un incidente de seguridad.

III.Anexo III — Subencargados autorizados

Lista completa de proveedores autorizados a la fecha de última actualización de este documento:

Fuera de esta lista, ningún otro tercero accede a los datos personales tratados por cuenta del responsable. Cualquier incorporación o sustitución se comunicará conforme al apartado 9.