Acuerdo de tratamiento de datos

Respecto de los datos personales que la organización carga o genera en la plataforma, la organización es la responsable del tratamiento (decide qué datos carga y para qué) y OCL actúa como encargado del tratamiento (prestador de servicios de tratamiento de datos, artículo 25 de la Ley 25.326 de Protección de los Datos Personales).

Los datos de las cuentas de usuario (email, nombre, registros de acceso) los trata OCL como responsable, según la Política de Privacidad; no forman parte de este Acuerdo.

OCL trata los datos para prestar el servicio contratado: guardarlos, mostrarlos, procesarlos, hacer copias de seguridad y enviarlos según lo que hagan los usuarios de la organización. Pueden incluir:

• Datos de tripulantes: nombre, nacionalidad, fecha de nacimiento, pasaporte, libreta de embarque, certificados, vencimientos y documentos.
• Liquidaciones y sueldos de tripulantes, cuando la organización usa ese módulo.
• Datos sensibles (artículos 2 y 7 de la Ley 25.326) que puedan figurar en esos documentos, por ejemplo, datos de salud en declaraciones y formularios sanitarios o afiliación sindical que surja de una liquidación.
• Datos de contacto de terceros vinculados a la operación (principales, capitanes, agentes, proveedores, autoridades).
• Datos de los principales y otros terceros que acceden al portal del principal por un link enviado por la organización, y el registro de sus acciones (por ejemplo, aprobar o disputar un ítem de una cuenta de gastos).
• Documentos que la organización sube (certificados, formularios, conocimientos de embarque, etc.) y los datos que se extraen de ellos.

El tratamiento dura mientras la organización use el servicio, más los plazos de la sección 10.

OCL trata los datos únicamente según las instrucciones de la organización, que son las que surgen de los Términos, de este Acuerdo, de las opciones que configure su propietario y del uso que hacen sus usuarios de la plataforma (por ejemplo, subir un documento para analizarlo, enviar un formulario a una autoridad, compartir un link del portal o programar un reporte a un principal). OCL no usa los datos para fines propios, no los vende ni los cede a terceros, salvo a los subencargados de la sección 6, por orden de autoridad competente o en el caso de la sección 14. Si OCL considera que una instrucción infringe la ley, se lo informará a la organización.

Los documentos que se analizan con inteligencia artificial se envían al proveedor elegido por la organización solo para ese análisis, y no se usan para entrenar modelos. Los resultados de la IA son una sugerencia que la organización verifica: la plataforma no toma decisiones automatizadas sobre personas.

OCL puede usar métricas de uso agregadas y anónimas (por ejemplo, cantidad de documentos procesados o de usuarios activos) que no identifican a la organización ni a personas, para operar y mejorar el servicio. Cualquier uso de datos operativos con fines estadísticos se rige exclusivamente por la sección 4.

La organización puede autorizar a OCL a elaborar estadísticas agregadas y anonimizadas a partir de sus datos operativos (la “Autorización de Estadísticas”), por ejemplo: tiempos de espera (aviso de alistamiento, fondeo y atraque) por puerto o terminal y época, costos por ítem de las cuentas de gastos (PDA/FDA), rendimientos de carga y estadía utilizada, demoras por causa (lluvia, inspecciones, prácticos, paros) y su relación con la altura del río.

• Desactivada por defecto. Sin la Autorización de Estadísticas, OCL no usa los datos operativos de la organización para ninguna estadística, propia o de terceros. Aceptar este Acuerdo no implica otorgarla.
• Decide el propietario. Solo el propietario de la organización puede otorgarla o revocarla, desde la configuración de la organización o, mientras ese control no esté disponible, por escrito a hello@oclmaritime.com desde el email de su cuenta. OCL registra quién la otorgó o revocó, cuándo y bajo qué versión de este Acuerdo.
• Sin datos personales. Las estadísticas nunca incluyen datos de tripulantes, capitanes, contactos u otras personas, ni datos sensibles, ni identifican a la organización, sus buques (nombre o IMO), sus principales o sus contrapartes.
• Umbral de anonimato. Ningún agregado se publica, se comparte ni se muestra a otra organización si reúne datos de menos de 3 organizaciones distintas o de menos de 10 escalas. Además, OCL generaliza los datos (por ejemplo, en rangos de fechas y valores) y suprime los grupos que pudieran permitir identificar a una organización por descarte, y no intentará reidentificar a nadie.
• Revocable. La organización puede revocarla en cualquier momento, sin costo y sin afectar el servicio. Desde la revocación, sus datos dejan de incluirse en nuevos agregados. Los agregados ya generados, que por su naturaleza no permiten identificar a la organización, pueden mantenerse.
• Uso. OCL puede usar esas estadísticas para ofrecer comparativas (benchmarks) a sus clientes, mejorar el servicio y publicar informes del mercado, siempre respetando las condiciones anteriores. Los datos originales siguen siendo de la organización.

Con independencia de la Autorización de Estadísticas, la plataforma puede mostrarle a cada organización sus propios indicadores calculados con sus propios datos, porque eso forma parte del servicio que recibe.

OCL aplica medidas técnicas y organizativas razonables, tomando como referencia las medidas de seguridad recomendadas por la Agencia de Acceso a la Información Pública (Resolución 47/2018), entre ellas:

• Aislamiento de los datos de cada organización en la aplicación y en la base de datos (seguridad a nivel de fila).
• Control de acceso por roles y permiso específico para ver datos sensibles (sueldos, documentos de tripulantes).
• Registro de auditoría de los accesos a datos sensibles y de las exportaciones.
• Cifrado de las comunicaciones (HTTPS) y almacenamiento privado de los documentos de tripulantes.
• Links del portal del principal con vencimiento y posibilidad de revocarlos.
• Copias de seguridad periódicas de la base de datos realizadas por OCL, cifradas y conservadas por un plazo limitado. Las copias reducen el riesgo de pérdida, pero no garantizan la recuperación total de todos los datos; la organización conserva los originales de sus documentos.
• Plazos de retención y borrado automático de datos que ya no son necesarios, según la Política de Privacidad.
• Un procedimiento de respuesta a incidentes y un registro interno de incidentes.

OCL puede actualizar estas medidas siempre que no reduzca el nivel de protección.

La organización autoriza a OCL a usar los proveedores (subencargados) que figuran en la Política de Privacidad, entre ellos Supabase (base de datos y archivos, Brasil), Vercel (alojamiento, Estados Unidos), Anthropic y OpenAI (análisis de documentos con IA, Estados Unidos), Resend (emails, Estados Unidos) y GitHub (ejecución de copias de seguridad cifradas, Estados Unidos). OCL exige a cada subencargado obligaciones de protección equivalentes a las de este Acuerdo y responde frente a la organización por su cumplimiento.

Esto implica transferencias internacionales a países que no figuran en la lista de países con protección adecuada de la Disposición 60-E/2016 de la Dirección Nacional de Protección de Datos Personales. OCL las realiza con garantías contractuales que procura sean equivalentes a las cláusulas modelo aprobadas por esa Disposición (por ejemplo, mediante los acuerdos de tratamiento de datos de cada proveedor). La organización, como responsable, obtiene el consentimiento de los titulares cuando sea necesario.

OCL avisará con al menos 15 días de anticipación, por email al propietario de la organización o en la plataforma, antes de incorporar un nuevo subencargado que reciba datos personales de la organización (por ejemplo, un proveedor de mensajería como WhatsApp). Si la organización se opone por motivos razonables vinculados a la protección de datos, OCL procurará ofrecer una alternativa (por ejemplo, no usar esa función); si no es posible, la organización puede dar de baja el servicio sin penalidad, con reintegro proporcional de lo pagado por adelantado y no utilizado.

Si OCL detecta un incidente de seguridad que afecte datos personales de la organización (por ejemplo, un acceso no autorizado, una pérdida de datos o un ataque de ransomware), le avisará al propietario sin demora y dentro de las 72 horas de haberlo detectado. El aviso incluirá, en la medida en que se conozca: qué ocurrió y cuándo, las categorías y cantidad aproximada de datos y titulares afectados, las consecuencias probables, las medidas tomadas o propuestas y un contacto. La información que no esté disponible se completará a medida que se obtenga.

OCL tomará medidas para contener el incidente, conservará la evidencia, colaborará para que la organización cumpla sus obligaciones frente a la Agencia de Acceso a la Información Pública y a los titulares, y le entregará un informe final con las causas y las medidas para evitar que se repita. Avisar un incidente no implica reconocer responsabilidad. OCL no comunicará el incidente a los titulares afectados por la organización sin coordinarlo con ella, salvo que la ley lo exija.

Si un titular (por ejemplo, un tripulante o un principal) le pide a OCL acceder, rectificar o suprimir sus datos, OCL le derivará el pedido a la organización dentro de los 2 días hábiles. OCL ayudará a la organización a responder dentro de los plazos legales (10 días corridos para el acceso y 5 días hábiles para la rectificación o supresión), con las herramientas de la plataforma (exportación, edición y borrado) o, si hace falta, con asistencia directa a hello@oclmaritime.com.

• Cargar solo datos que tenga derecho a tratar, con una base legal válida (consentimiento u otra prevista en la Ley 25.326) e informando a los titulares.
• Cargar datos sensibles solo cuando sea necesario y con el consentimiento expreso del titular u otra base legal que lo habilite.
• Dar acceso a la plataforma solo a personas autorizadas, con el rol adecuado, y revocar el acceso de quienes dejen de necesitarlo.
• Enviar los links del portal del principal y los reportes solo a las personas que corresponda, y revocarlos cuando ya no sean necesarios.
• Verificar la información generada o completada automáticamente (incluida la extraída con IA y los cálculos) antes de usarla o presentarla ante autoridades o terceros.
• Inscribir sus propias bases de datos ante la autoridad de control cuando la ley lo exija.

La organización puede exportar sus datos en cualquier momento. Cuando da de baja el servicio, tiene 30 días para exportarlos o pedir una copia a hello@oclmaritime.com, que OCL entregará dentro de los 10 días hábiles en formatos de uso común (por ejemplo, CSV o JSON para los datos y un archivo ZIP con los documentos originales).

Pasado ese plazo, OCL suprime los datos de la organización de la plataforma dentro de los 30 días siguientes, salvo los que deba conservar por obligación legal, y a pedido entrega una constancia de supresión. Los datos que permanezcan en copias de seguridad se eliminan en su ciclo de rotación, que no superará los 90 días; mientras tanto, no se usan para ningún fin y siguen protegidos por este Acuerdo.

A pedido razonable de la organización, y no más de una vez por año salvo que haya ocurrido un incidente, OCL le dará la información necesaria para demostrar el cumplimiento de este Acuerdo (por ejemplo, una descripción de las medidas de seguridad, respuestas a un cuestionario de seguridad y la lista actualizada de subencargados), sin revelar información de otros clientes ni comprometer la seguridad del servicio.

Las personas que trabajan con OCL y pueden acceder a los datos están obligadas a mantener su confidencialidad, también después de terminada su relación con OCL (artículo 10 de la Ley 25.326). OCL accede a los datos de una organización solo cuando es necesario para prestar el servicio, dar soporte o resolver un problema técnico, y ese acceso queda limitado a lo indispensable.

Cada parte responde por el incumplimiento de las obligaciones que este Acuerdo y la Ley 25.326 le asignan. Si OCL usara los datos para una finalidad distinta de la instruida, responderá como responsable del tratamiento (artículo 25 de la Ley 25.326). En lo demás, se aplican las limitaciones de responsabilidad de los Términos y Condiciones, que no rigen en caso de dolo o culpa grave.

Este Acuerdo rige mientras la organización use el servicio y, para los datos que OCL todavía conserve, hasta su supresión. En materia de datos personales, este Acuerdo prevalece sobre los Términos y Condiciones; un contrato particular firmado con la organización prevalece sobre ambos.

La organización presta su conformidad para que OCL ceda este Acuerdo, junto con la plataforma y los datos, a la sociedad que su titular constituya para explotar OCL Maritime, que asumirá todas sus obligaciones. La cesión surtirá efecto desde su notificación, y la organización podrá dar de baja el servicio sin penalidad dentro de los 30 días siguientes.

Si OCL modifica este Acuerdo de forma relevante, avisará con al menos 15 días de anticipación y pedirá al propietario de la organización que acepte la nueva versión. Ningún cambio activa la Autorización de Estadísticas de la sección 4 si la organización no la otorgó. Se rige por las leyes de la República Argentina y se aplica la jurisdicción prevista en los Términos y Condiciones.

Consultas: hello@oclmaritime.com.