Aviso de Privacidad

1. ¿Quién es responsable del tratamiento de sus datos?

Su empresa (la Empresa cliente) es la Responsable del Tratamiento: decide los fines y los medios del tratamiento de los datos de sus conductores, vehículos y personal. OperFlot (el operador del servicio) es el Encargado del Tratamiento y procesa esos datos por cuenta y según las instrucciones documentadas de la Empresa. Titular: la persona física a la que se refieren los datos (por ejemplo, un conductor registrado por su Empresa).

OperFlot no vende datos personales ni los utiliza para fines propios distintos de la prestación del servicio.

Si tiene preguntas sobre este aviso o sobre sus datos, escriba a privacidad@operflot.com. Si sus datos los ingresó una empresa (por ejemplo, usted es conductor), diríjase primero a esa empresa; nosotros la asistiremos.

2. ¿Qué datos personales recopilamos y cómo?

2.1 Datos que usted o su empresa nos proporcionan directamente

2.2 Datos que recopilamos automáticamente

2.3 Datos que genera el uso del sistema

2.4 Inicio de sesión con Google

Cuando utilizas Google para iniciar sesión en OperFlot, recibimos de tu cuenta de Google tu nombre completo, tu dirección de correo electrónico y, de forma opcional, tu foto de perfil.

Utilizamos esa información exclusivamente para crear y autenticar tu cuenta, identificarte dentro de la plataforma y comunicarnos contigo sobre tu cuenta o el servicio. El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google por parte de OperFlot se ajustan a la Política de Datos de Usuario de los Servicios API de Google, incluidos sus requisitos de Uso Limitado. No compartimos ni vendemos esa información a terceros ni la utilizamos para publicidad.

2.5 Cookies y analítica

OperFlot usa cookies propias necesarias y analítica propia necesaria para operar y mejorar el servicio. Las cookies analíticas de terceros solo se activan con tu consentimiento, que puedes revocar en cualquier momento en Ajustes → Privacidad. Nunca usamos cookies publicitarias ni de perfilado.

3. ¿Para qué utilizamos sus datos y con qué base legal?

Las bases anteriores corresponden a las categorías universalmente reconocidas (ejecución de contrato, consentimiento, interés legítimo, obligación legal) y, cuando resulte aplicable al tratamiento concreto, a las del artículo 6.1 del Reglamento General de Protección de Datos de la Unión Europea (GDPR).

Como Encargado, OperFlot no determina fines ni medios propios: trata los datos de la Empresa solo para prestar el servicio y según sus instrucciones documentadas (DPA, Anexo A de los Términos de Uso).

4. ¿Con quién compartimos sus datos?

Para operar el servicio nos apoyamos en proveedores de servicios que actúan por nuestra cuenta, sujetos a obligaciones de confidencialidad y protección de datos. No vendemos tus datos personales.

Algunos de estos proveedores pueden tratar datos en servidores ubicados fuera de tu país, principalmente en Estados Unidos. Estas transferencias internacionales se amparan en una base contractual: Cláusulas Contractuales Tipo (SCC) y contratos de tratamiento de datos (DPA) con cada proveedor, que incluyen obligaciones de confidencialidad, seguridad y uso limitado a la prestación del servicio contratado.

Estos proveedores ofrecen contratos de tratamiento de datos (DPA) que les exigen proteger su información bajo estándares equivalentes a los aquí descritos. Los DPAs públicos de los proveedores principales fueron verificados y archivados con fecha el 2026-09-29 (registro con URL en el DPA); para los proveedores sin DPA público, la obligación contractual reside en nuestro DPA. Las certificaciones ISO/SOC no se declaran.

El registro de destinatarios y subprocesadores está disponible bajo solicitud en privacidad@operflot.com, y cualquier cambio se notifica con 30 días de anticipación.

5. Transferencias internacionales de datos

Sus datos residen en servidores ubicados principalmente en Estados Unidos y, en su caso, en las jurisdicciones donde operan nuestros proveedores. Una transferencia fuera del país de origen de sus datos no implica una menor protección: la base es contractual y estándar.

• Cláusulas Contractuales Tipo (SCC) y contratos de tratamiento de datos (DPA) con cada proveedor, con obligaciones de confidencialidad, seguridad y uso limitado al servicio contratado.
• Cifrado en tránsito (TLS 1.3) y cifrado en reposo (AES-256).
• Los proveedores declaran certificaciones SOC 2 Type II en su documentación pública; esa declaración es del proveedor y no ha sido verificada de forma independiente por OperFlot.
• El registro de destinatarios y cualquier cambio se comunican bajo solicitud y con 30 días de anticipación.

Cuando la legislación aplicable exija autorización, información adicional o medidas complementarias para una transferencia concreta, OperFlot las implementará a solicitud razonable de la Empresa Responsable.

6. ¿Cuánto tiempo conservamos sus datos?

Después del período de conservación, los datos se eliminan irreversiblemente. Los audit logs se conservan sin borrado automático por ser evidencia legal. Los registros de evidencia de alineación ISO se conservan 3 años desde cada evento como parte del expediente de auditoría de la Empresa (trazabilidad, sin finalidad nueva); no participan de la limpieza automática de datos y, vencido el plazo, se eliminan con un procedimiento dedicado.

La Empresa Responsable puede solicitar la baja de su cuenta en cualquier momento: los datos operativos se eliminan mediante el procedimiento de baja de empresa, y los registros que deban conservarse por obligación legal se mantienen aislados y sin uso operativo.

7. Sus derechos (ARCO + Portabilidad)

Usted tiene derecho a:

Estos derechos se reconocen como equivalentes y universales: los atendemos con independencia de la jurisdicción en la que se encuentre, en la medida en que OperFlot sea Encargado de los datos correspondientes. Plazos de respuesta: Acceso, Cancelación, Oposición y Portabilidad en un máximo de 10 días hábiles; Rectificación en un máximo de 5 días hábiles. Cuando la legislación aplicable fije un plazo distinto, se aplica el que resulte del caso, sin que este aviso limite el tiempo que la ley otorgue al titular.

Canal: privacidad@operflot.com o desde su panel de configuración en Ajustes → Privacidad. Si sus datos los gestionó una empresa (usted es conductor u otro titular registrado por un cliente), esa empresa es quien responde directamente ante usted; OperFlot le asiste en el plazo indicado.

8. Seguridad de sus datos

Hemos implementado las siguientes medidas para proteger sus datos:

• Cifrado TLS 1.3 en todas las comunicaciones.
• Cifrado AES-256 en reposo.
• Acceso por roles (cada usuario ve solo lo de su empresa).
• Autenticación de dos factores (MFA/TOTP): disponible en la configuración de seguridad; no está habilitada por defecto ni exigida a todos los usuarios.
• Límite de intentos de acceso: implementado en el login de operadores; el límite a nivel de plataforma está en proceso de despliegue.
• Registro de auditoría de cambios: instrumentado; pendiente de verificación operativa continua.
• Respaldo: snapshot lógico diario dentro de la base de datos (job programado) y backups gestionados del proveedor declarados, no verificados desde el repositorio.
• Headers de seguridad web (CSP, HSTS).

El detalle completo de las medidas técnicas y organizativas obra en el Inventario de Datos (ficha técnica), disponible bajo solicitud. Su descripción refleja el estado real de cada control: no constituye certificación ni declaración de auditoría superada (D-01).

9. Notificación de brechas de seguridad

9.1. En caso de una violación de seguridad que afecte datos personales, OperFlot notificará a la Empresa/Responsable dentro de las 24 horas siguientes a su confirmación mediante privacidad@operflot.com.

9.2. Notificará a la autoridad de protección de datos competente dentro del plazo que fije la legislación aplicable (72 horas cuando esa sea la regla del caso), y documentará la brecha, las medidas de contención y las medidas correctivas.

9.3. Le explicaremos qué sucedió, qué datos fueron afectados y qué medidas hemos tomado. El procedimiento operativo completo obra en la documentación interna de respuesta a incidentes, disponible bajo solicitud.

10. Canal de privacidad y contacto

10.1. Email: privacidad@operflot.com. Tiempo de respuesta: máximo 48 horas para acuses.

10.2. Si la legislación aplicable exige designar un delegado u oficial de protección de datos, la designación y sus datos de contacto se publicarán en esta página mientras el canal anterior opera como punto de contacto de privacidad.

11. Usuarios en la Unión Europea y demás marcos aplicables (GDPR u homólogos)

OperFlot no tiene establecimiento permanente en la Unión Europea. Opera como un servicio global disponible en cualquier país, y esta política se ha redactado siguiendo los estándares de protección de datos aplicables a todos los usuarios.

Cuando el GDPR resulte aplicable a un tratamiento concreto —por ejemplo, si una Empresa cliente con operaciones en la Unión Europea o en el Espacio Económico Europeo nos transmite datos de sus conductores— actuamos como Encargado del Tratamiento conforme al Art. 28 del GDPR y aplicamos salvaguardas equivalentes: contrato de tratamiento de datos (DPA), Cláusulas Contractuales Tipo (Decisión de Ejecución (UE) 2021/914) para transferencias internacionales, medidas técnicas y organizativas (Art. 32 del GDPR) y asistencia a la Empresa para atender los derechos de los titulares y notificar brechas de seguridad.

OperFlot no designa ni mantiene actualmente un representante en la Unión Europea conforme al Art. 27 del GDPR, y no invoca ninguna autoridad de control de la Unión Europea como autoridad principal, porque no se ha confirmado la existencia de un tratamiento que active esas obligaciones. Si en el futuro se verifican (por ejemplo, por la incorporación de una Empresa establecida en la Unión Europea), la designación y sus datos de contacto se publicarán en esta página. Mientras tanto, cualquier consulta de privacidad de esa región puede dirigirse a privacidad@operflot.com.

Las reclamaciones se atienden, según corresponda, ante la autoridad de protección de datos competente del país de residencia del titular. El mismo enfoque se aplica a los demás marcos regionales de protección de datos que puedan resultar aplicables: identificamos el rol de cada parte, limitamos el tratamiento a la finalidad del servicio, documentamos las transferencias y atendemos los derechos de los titulares (§5, §7).

12. Cambios a este aviso

Actualizaremos este aviso cuando cambien nuestras prácticas de datos. Le notificaremos con al menos 15 días de anticipación por email y mediante un aviso en la Plataforma. La versión vigente y su fecha se publican siempre en la cabecera de este documento.

13. Reclamaciones y supervisión

13.1. Si considera que hemos incumplido sus derechos de protección de datos, escríbanos a privacidad@operflot.com: daremos respuesta documentada.

13.2. Si no queda satisfecho, puede acudir a la autoridad de protección de datos competente del país de residencia del titular o a la que resulte aplicable al tratamiento.

13.3. Este aviso no limita ninguna acción, queja o recurso que la legislación aplicable reconozca ante una autoridad o ante los tribunales competentes.

14. Alcance de este aviso (avisos aplicables)

Los avisos completos y su texto canónico figuran en el catálogo centralizado de avisos legales, disponible bajo solicitud:

• D-01 — Certificación: OperFlot es una herramienta de gestión y evidencia; no es un organismo certificador ni emite constancias de cumplimiento. La validación oficial depende de auditorías independientes de organismos acreditados. La responsabilidad última del cumplimiento normativo es del cliente.
• D-02 — No asesoría legal: nada en este aviso constituye asesoría legal, fiscal o regulatoria.
• D-06 — Compliance local: tomamos como referencia los estándares aplicables para definir el producto; ello no constituye asesoría legal ni promesa de cumplimiento normativo.
• L-01… — Límites: existen obligaciones que ningún aviso puede derogar (derechos irrenunciables del consumidor local, obligaciones fiscales, notificación de brechas).