Para qué sirve esta página
Cuando una empresa evalúa un TMS, su área legal suele preguntar lo mismo: ¿quién responde por los datos de nuestros conductores y destinatarios cuando están dentro de vuestro sistema?
Esta página contesta esa pregunta antes de que haya que hacerla, y enumera los puntos que el acuerdo de tratamiento debe cubrir.
1. Quién es quién
La Ley N.º 29733 y su Reglamento distinguen a quien decide para qué se usan unos datos de quien los procesa siguiendo instrucciones ajenas.
| Rol | Quién lo ocupa | Qué decide |
|---|---|---|
| Titular del banco de datos (responsable) | La empresa cliente | Qué datos carga, de quién, para qué, cuánto tiempo y quién accede |
| Encargado del tratamiento | Orqia | Nada sobre la finalidad. Solo procesa para prestar el servicio contratado. |
| Subencargados | Proveedores de Orqia | Nada. Actúan bajo las instrucciones que reciben de Orqia. |
Consecuencia práctica: si un conductor pide que se eliminen sus datos, quien decide si procede es la empresa cliente, no Orqia. Nosotros ejecutamos y asistimos.
2. Objeto y duración
Objeto: el tratamiento de datos personales necesario para prestar el servicio de gestión de transporte contratado.
Naturaleza de las operaciones: recolección a través de la plataforma y de las integraciones que el cliente configure, registro, organización, estructuración, conservación, consulta, uso, comunicación a los destinatarios autorizados por el cliente, y supresión o anonimización al término.
Duración: la del contrato de servicio, más el plazo de salida de datos que en él se pacte.
3. Datos y titulares
Categorías que la plataforma puede tratar por cuenta del cliente:
| Categoría de titular | Datos |
|---|---|
| Conductores | Identificación, contacto, documento, licencia y vigencia, estado operativo, viajes, posición durante el viaje |
| Personal de transportistas | Nombre, cargo, contacto |
| Destinatarios y contactos de entrega | Nombre, dirección, teléfono de coordinación |
| Quien recibe la mercancía | Nombre de quien firma, firma, fotografías de evidencia |
| Usuarios del cliente | Identificación, rol, registro de acciones |
Sin datos sensibles por diseño
La plataforma no está diseñada para tratar datos sensibles —salud, biometría, origen étnico, convicciones— y no incorpora tratamiento biométrico. El cliente se obliga a no cargar datos sensibles en campos de texto libre, donde el sistema no puede aplicarles protección reforzada.
4. Instrucciones del cliente
Orqia trata los datos únicamente conforme a las instrucciones documentadas del cliente, que son:
- Las funcionalidades que el cliente activa y configura en la plataforma.
- Las integraciones que habilita.
- Los accesos de seguimiento que genera y comparte.
- Las instrucciones adicionales que curse por escrito.
Orqia no usa esos datos para finalidades propias, no los cede a terceros con fines comerciales, no los cruza con datos de otros clientes y no los usa para entrenar modelos destinados a finalidades distintas de la prestación del servicio al propio cliente. Ver Uso Responsable de IA.
Si una instrucción del cliente resultara contraria a la normativa aplicable, Orqia lo informará y podrá abstenerse de ejecutarla.
5. Confidencialidad y seguridad
El personal de Orqia con acceso a datos del cliente está sujeto a deber de confidencialidad, que subsiste tras el fin de su relación. El acceso se otorga por mínimo privilegio y solo cuando resulta necesario para operar o dar soporte.
Las medidas técnicas y organizativas implementadas, y las que están pendientes, se describen sin adornos en Seguridad y Datos.
6. Subencargados
Orqia puede apoyarse en proveedores que traten datos por su cuenta. El listado vigente está publicado en Subprocesadores.
Compromisos sobre subencargados:
- Imponerles obligaciones de protección no inferiores a las asumidas frente al cliente.
- Responder frente al cliente por su actuación.
- Informar con antelación razonable antes de incorporar uno nuevo, para que el cliente pueda objetar.
7. Asistencia con derechos de los titulares
Si un titular se dirige directamente a Orqia para ejercer sus derechos sobre datos que pertenecen al banco de datos de un cliente, Orqia no decide sobre la solicitud: la traslada al cliente sin demora y le asiste para atenderla dentro de plazo.
La plataforma ofrece las funciones necesarias para ello: consultar los datos de una persona, rectificarlos, exportarlos y suprimirlos o anonimizarlos cuando el cliente lo determine.
8. Incidentes de seguridad
Ante un incidente que afecte a datos tratados por cuenta del cliente, Orqia se obliga a notificarlo sin demora injustificada tras tener conocimiento, con la información disponible sobre su naturaleza, las categorías y el volumen aproximado afectados, las consecuencias probables y las medidas adoptadas o propuestas.
La notificación a la Autoridad y a los titulares, cuando proceda, corresponde al cliente en su calidad de titular del banco de datos. Orqia le proporcionará la información necesaria para cumplir con el plazo de 48 horas que establece el Reglamento vigente.
9. Devolución y eliminación
Al término del servicio, el cliente puede exportar sus datos desde la plataforma durante el plazo de salida pactado. Transcurrido ese plazo, Orqia procede a su eliminación o anonimización, salvo obligación legal de conservación.
La eliminación en copias de respaldo se produce conforme al ciclo de rotación vigente; mientras tanto, esas copias permanecen sujetas a las mismas medidas de seguridad.
10. Auditoría
Orqia pondrá a disposición del cliente la información razonablemente necesaria para acreditar el cumplimiento de sus obligaciones como encargado, y colaborará con las auditorías o inspecciones que el cliente realice, directamente o mediante un auditor designado.
Las auditorías se coordinan con antelación razonable, con alcance acotado al objeto del tratamiento y sin comprometer la seguridad ni la confidencialidad de otros clientes.
11. Cómo formalizarlo
Para suscribir el acuerdo de tratamiento, escribe a orqia.pe@gmail.com.
Estado del documento contractual
La plantilla del acuerdo está preparada en el repositorio del proyecto e incluye todas las cláusulas que esta página describe. Requiere revisión por asesoría legal especializada en protección de datos peruana antes de ofrecerse a un cliente, y la identificación registral del proveedor, que todavía está pendiente.