Este Acuerdo de Procesamiento de Datos (APD) complementa nuestros Términos de Servicio para clientes establecidos en la Unión Europea o que procesen datos personales de sujetos de datos de la UE. Se aplica cuando el uso de nuestra API implica el procesamiento de datos personales en nombre del cliente dentro del significado del Art. 28 GDPR. Una copia firmada está disponible a solicitud; contacte info@vehicleimagery.com.
El cliente es el controlador, Vehicle Imagery es el procesador. El tema es la resolución de identificadores de vehículos enviados por el cliente, como números de identificación de vehículos (VIN) o números de matrícula, en especificaciones y imágenes de vehículos. Las matrículas, y dependiendo del contexto los VIN, pueden constituir datos personales; este APD existe para esos casos exactos.
El procesamiento en nombre del cliente se limita a recibir identificadores de vehículos a través de solicitudes API, resolverlos contra datos de vehículos, devolver la especificación y la imagen correspondiente, y el registro técnico necesario para operar, asegurar y facturar el servicio. Además, procesamos datos de solicitud desidentificados con nuestros propios fines como controlador independiente: mejorar la calidad de resolución, cerrar brechas de cobertura del catálogo y mantener bajas las tasas de error. Este conjunto de datos de calidad contiene identificadores de vehículos, resultados de resolución y códigos de error, y está permanentemente desconectado de direcciones IP, identidad del cliente y cualquier contexto del cliente final. No utilizamos los datos enviados por el cliente para construir perfiles de personas físicas.
El procesamiento dura toda la duración de la relación con el cliente. Se conservan los registros completos de las solicitudes, que contienen identificadores de vehículos junto con direcciones IP y contexto del cliente, durante 6 meses para operaciones, seguridad y facturación, y luego se eliminan. Antes de la eliminación, los identificadores de vehículos y sus resultados de resolución se transfieren al conjunto de datos de calidad desidentificado descrito en la sección 2, sin direcciones IP ni vinculación con el cliente; los números de matrícula no se transfieren una vez resueltos a un vehículo. Se conservan registros de facturación agregados sin datos personales hasta por diez años para cumplir con los deberes estatutarios comerciales y fiscales de retención. Al finalizar, los datos personales procesados en nombre del cliente se eliminan en un plazo de 30 días, sujeto a esos deberes estatutarios. Las imágenes almacenadas en caché por el cliente en su propia infraestructura están fuera de nuestro control y son responsabilidad del cliente.
El cliente concede autorización general para los subprocesadores listados a continuación. Informamos a los clientes con antelación sobre los cambios previstos, y el cliente puede oponerse por motivos razonables de protección de datos.
Subencargados actuales: Cloudflare, Inc. (USA), que proporciona alojamiento global, entrega de contenido y infraestructura de borde para la API. Las herramientas utilizadas solo para nuestro sitio web de marketing y la producción de contenido no procesan datos de la API del cliente y no son subencargados según este APD.
Nuestro API funciona en la red global de Cloudflare, lo que significa que el procesamiento de solicitudes puede ocurrir fuera del EEE. Las transferencias a Cloudflare, Inc. están protegidas por las Cláusulas Contractuales Tipo de la UE incorporadas en los términos de procesamiento de datos de Cloudflare, junto con la participación de Cloudflare en el Marco de Privacidad de Datos UE-EE.UU.
Un resumen de nuestras medidas técnicas y organizativas está disponible a petición: cifrado en tránsito para todo el tráfico de la API, control de acceso basado en claves de API, separación de entornos de clientes, registro de acceso y administración de privilegios mínimos.
Soportamos auditorías principalmente a través de documentación y cuestionarios completados. Con un aviso razonable, y no más de una vez al año salvo causa concreta, el cliente puede verificar el cumplimiento a través de un auditor independiente obligado a la confidencialidad, durante el horario de oficina y sin acceso a los datos de otros clientes.
La responsabilidad sigue los Términos de Servicio. Si alguna disposición de este APA fuera inválida, el resto permanece inalterado. La ley que rige los Términos de Servicio se aplica. Donde exista un APA individual firmado entre las partes, prevalece sobre esta versión publicada.
