Acuerdo de Tratamiento de Datos

Este Acuerdo de Tratamiento de Datos (“DPA”) forma parte de los Términos del Servicio entre el cliente y Diego Ahumada, que opera como Dexffo (eenmanszaak, Ámsterdam, Países Bajos; KvK — registro en trámite).

• Responsable del tratamiento (verwerkingsverantwoordelijke): el cliente (el operador), que determina los fines y medios del tratamiento de los datos del productor y de la cadena de suministro cargados en la plataforma.
• Encargado del tratamiento (verwerker): Dexffo, que trata dichos datos únicamente siguiendo las instrucciones documentadas del cliente.

Dexffo trata datos personales exclusivamente para prestar el servicio de cumplimiento EUDR: recopilación, validación, almacenamiento, estructuración, transmisión al Sistema de Información de la UE, retención y supresión de los datos de la Due Diligence Statement (DDS) en virtud del Reglamento (UE) 2023/1115. Dexffo no utiliza los datos personales del cliente ni de los productores para ninguna otra finalidad, incluidos el marketing, la elaboración de perfiles, el entrenamiento o la calibración de modelos, o la venta a terceros.

El tratamiento se mantiene durante la vigencia del contrato de servicio y, después, el tiempo necesario para conservar el expediente al menos 5 años desde la última de estas fechas: la presentación de la DDS o la introducción en el mercado o exportación de los productos, para que el cliente pueda cumplir sus obligaciones de conservación de los arts. 4(3), 9(1) y 12(5) del EUDR. Véase la cláusula 9.

• Identidad del productor / propietario (nombre) por parcela de producción
• Geolocalización de la parcela (coordenadas WGS84, ≥6 decimales; puntos o polígonos)
• Datos de producción (commodity, especie, cantidades, fechas)
• Documentos de legalidad (títulos de propiedad, permisos, licencias, certificaciones)
• Datos del operador/declarante (nombre legal, EORI, dirección)

Interesados: productores, representantes autorizados y empleados del cliente.

Dexffo, como encargado del tratamiento, se compromete a:

• Tratar los datos personales únicamente siguiendo las instrucciones documentadas del responsable;
• Garantizar que las personas autorizadas a tratar los datos estén sujetas a un deber de confidencialidad;
• Implementar las medidas técnicas y organizativas de la cláusula 6;
• Asistir al responsable con las solicitudes de los interesados y las EIPD (arts. 35–36);
• Notificar al responsable sin dilación indebida cualquier violación de datos personales;
• Suprimir o anonimizar los datos tras el período de retención (cláusula 9).

• Cifrado en tránsito (TLS 1.3) y en reposo (AES-256);
• Control de acceso basado en roles y autenticación de dos factores para el acceso de administración;
• Registro de auditoría inmutable de las operaciones de datos;
• Seudonimización cuando sea compatible con la finalidad del EUDR;
• Copias de seguridad cifradas y una política de parcheo documentada;
• Acceso de privilegio mínimo restringido al responsable de los datos (Diego Ahumada).

El responsable autoriza a los siguientes subencargados. Dexffo dará un preaviso de 30 días de cualquier cambio previsto, durante el cual el responsable podrá oponerse:

Los datos personales se tratan por defecto dentro del EEE. Cuando se produzca una transferencia fuera del EEE (p. ej., a un subencargado con sede en EE. UU.), se rige por las Cláusulas Contractuales Tipo (SCCs) de la Comisión Europea (Decisión 2021/914) y por una evaluación de impacto de la transferencia.

Siguiendo las instrucciones del cliente, los datos personales se conservan al menos 5 años desde la última de estas fechas: la presentación de la DDS o la introducción en el mercado o exportación de los productos, para que el cliente, como responsable, pueda cumplir sus obligaciones de conservación de los arts. 4(3), 9(1) y 12(5) del EUDR (para el cliente, una obligación legal en el sentido del art. 6(1)(c) del RGPD). Esto concilia el principio de limitación del plazo de conservación del RGPD (art. 5(1)(e)) con esas obligaciones. Tras ese período, los datos se anonimizan o se suprimen de forma segura (NIST SP 800-88), y se puede solicitar un certificado de supresión.

El responsable puede verificar el cumplimiento de Dexffo mediante revisión documental, un cuestionario de seguridad o — como máximo una vez al año — una auditoría in situ con un preaviso razonable. Una certificación reconocida (p. ej., ISO 27001, prevista para el cuarto trimestre de 2026) podrá aceptarse en lugar de una auditoría in situ.

Dexffo notificará al responsable en un plazo de 72 horas desde que tenga conocimiento de una violación de datos personales, con la información exigida por el art. 33(2) del RGPD. El responsable sigue siendo el encargado de notificar a la autoridad de control y a los interesados cuando proceda.

Contacto del DPO: dpo@dexffo.com. La autoridad de control competente es la neerlandesa Autoriteit Persoonsgegevens.

Este DPA se rige por la ley neerlandesa (Burgerlijk Wetboek). Los litigios quedan sometidos a la jurisdicción exclusiva del Rechtbank Amsterdam (Handelskamer). Cuando se apliquen las SCCs, estas prevalecen en caso de conflicto.

Consulte también nuestros Términos del Servicio y nuestra Política de Privacidad.