Acuerdo de Tratamiento de Datos Personales

Este acuerdo integra los Términos y Condiciones de Uso y regula el tratamiento de datos personales que ORUSIA S.A. (el "Encargado") realiza por cuenta de cada empresa Cliente o Proveedor que utiliza GEAR (el "Responsable"), en los términos del artículo 25 de la Ley 25.326.

El Responsable determina la finalidad y el contenido del tratamiento. El Encargado trata los datos únicamente para prestar el servicio contratado.

• Objeto: gestión y control de la documentación exigida a proveedores, a su personal y a sus vehículos.
• Duración: mientras esté vigente la contratación del servicio, más el plazo de conservación posterior previsto en este acuerdo.
• Naturaleza: recolección, almacenamiento, organización, consulta, conservación, comunicación al Cliente que exige la documentación y supresión.
• Categorías de titulares: usuarios de la plataforma, personal de los proveedores y personas vinculadas a los vehículos declarados.
• Categorías de datos: identificación y contacto, datos laborales, documentación acreditante de requisitos, y estados y fechas de vencimiento.
• Datos sensibles: excluidos. El Responsable se obliga a no cargar informes médicos ni certificados de antecedentes penales o contravencionales.

El Encargado trata los datos solo según las instrucciones del Responsable, que se instrumentan a través de la configuración y del uso de la plataforma, y no los aplica ni utiliza con un fin distinto ni los cede a terceros, salvo obligación legal. Si una instrucción resultara contraria a la normativa vigente, el Encargado lo informará.

• Guardar confidencialidad sobre los datos, aun después de finalizada la relación (artículo 10 de la Ley 25.326).
• Obligar a la confidencialidad a todo su personal y limitar el acceso a quienes lo necesiten para sus tareas.
• Aplicar las medidas de seguridad del artículo 9 de la Ley 25.326, siguiendo las recomendaciones de la Resolución AAIP 47/2018.
• No conservar los datos una vez finalizada la prestación, salvo lo previsto en la cláusula de devolución y supresión.
• Llevar registro de las operaciones sensibles realizadas sobre los datos.

El Responsable autoriza al Encargado a recurrir a subencargados para prestar el servicio, obligándolos por contrato a las mismas condiciones. A la fecha de esta versión son:

• Amazon Web Services (AWS) — alojamiento e infraestructura, región América del Sur (São Paulo), Brasil.
• Proveedor de envío de correo electrónico — notificaciones del servicio.
• Pasarela de pagos habilitada — procesamiento de los pagos con tarjeta.

Toda incorporación o sustitución de un subencargado se informa con antelación razonable. El Responsable puede oponerse por motivos fundados; en ese caso podrá dar de baja el servicio sin penalidad.

El servicio se aloja en América del Sur (São Paulo), Brasil. La transferencia se ampara en cláusulas contractuales modelo conformes a la Disposición DNPDP 60-E/2016 y a la Resolución AAIP 198/2023, suscriptas con el proveedor de infraestructura.

El Encargado asiste al Responsable, en la medida de lo razonable y con la información disponible, para:

• Atender solicitudes de acceso, rectificación, actualización o supresión de los titulares. Si una solicitud llega directamente al Encargado, la deriva al Responsable sin responderla por su cuenta.
• Acreditar el cumplimiento de las medidas de seguridad.
• Responder requerimientos de la Agencia de Acceso a la Información Pública o de autoridades judiciales.

Ante un incidente de seguridad que afecte datos personales del Responsable, el Encargado lo notificará sin demora indebida y, a más tardar, dentro de las 72 horas de haber tomado conocimiento, informando la naturaleza del incidente, las categorías y el volumen aproximado de datos afectados, las consecuencias probables y las medidas adoptadas para contenerlo y mitigarlo.

El Encargado pondrá a disposición del Responsable la información necesaria para acreditar el cumplimiento de este acuerdo. El Responsable puede solicitar una auditoría por año, con aviso previo de 30 días, en horario laboral, sin afectar la continuidad del servicio y sujeta a confidencialidad; su costo queda a cargo del Responsable, salvo que se detecten incumplimientos relevantes.

Finalizada la prestación, el Responsable dispone de 90 días corridos para exportar los datos. Vencido ese plazo, el Encargado los elimina de forma definitiva, incluidas las copias, salvo aquellos que deba conservar por obligación legal, que permanecen bloqueados hasta su eliminación.

• Contar con base legal para tratar los datos que carga y para comunicarlos a través de la plataforma.
• Informar a los titulares —en particular a su personal— sobre el tratamiento, conforme al artículo 6 de la Ley 25.326.
• Cargar únicamente datos exactos, pertinentes y no excesivos respecto de la finalidad del control documental.
• Administrar los permisos de sus usuarios y revocarlos cuando corresponda.
• Abstenerse de cargar datos sensibles.

Este acuerdo rige mientras el Encargado trate datos por cuenta del Responsable, se rige por las leyes de la República Argentina y se somete a los Tribunales Ordinarios de la Ciudad Autónoma de Buenos Aires.