Encargo del tratamiento

Última actualización: 28 de octubre de 2026

Este contrato regula cómo trata Coorvia los datos personales que cada empresa sube a la aplicación, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones de uso y se acepta con ellas al dar de alta una empresa o aceptar una invitación. Si tu empresa necesita una copia firmada, escríbenos a hola@coorvia.app.

1. Partes

• Responsable del tratamiento: la empresa que usa Coorvia y sube los datos (en adelante, «la empresa»).
• Encargado del tratamiento: Omar Perez Ciurana, profesional autónomo con NIF 47920651J, que opera con el nombre comercial Coorvia, con domicilio en Carrer Montserrat Roig 2B, 2-3, 08470 Sant Celoni (Barcelona) («Coorvia»).

2. Objeto, naturaleza y finalidad

Coorvia trata los datos solo para prestar el servicio de coordinación de actividades empresariales y prevención de riesgos laborales: guardarlos, mostrarlos a quien la empresa autoriza, compartirlos con las empresas con las que coordina en cada contratación, comprobar documentos, calcular quién puede trabajar y enviar los avisos del servicio.

3. Datos y personas afectadas

• Personas afectadas: trabajadores de la empresa y, en su caso, de sus subcontratas; personas de contacto; personas usuarias de la empresa.
• Datos: identificativos y profesionales (nombre, apellidos, DNI/NIE, código interno, puesto), datos de equipos y vehículos (por ejemplo, matrícula), documentación de prevención (formación, información de riesgos, certificados de aptitud, entregas de EPI…), comunicaciones de coordinación y registro de actividad.
• Datos de salud: no son necesarios. Para la aptitud médica basta el certificado de «apto»; la empresa no debe subir informes médicos ni diagnósticos.
• Certificados oficiales que Coorvia comprueba automáticamente: no se guarda el archivo, solo los datos necesarios para comprobarlos.

3 bis. Duración

Este encargo dura lo mismo que el uso del servicio por parte de la empresa y termina con su baja, con lo previsto en el apartado 9 sobre el destino de los datos.

4. Instrucciones de la empresa

Coorvia trata los datos solo siguiendo las instrucciones documentadas de la empresa, que son las que da al usar la aplicación (dar de alta trabajadores, subir y presentar documentos, asignar personal a una contratación, compartir con otra empresa…). Si una instrucción infringiera la normativa de protección de datos, Coorvia lo comunicará a la empresa. Coorvia no usará los datos para fines propios.

5. Obligaciones de la empresa

• Tener una base legal para tratar los datos y compartirlos con las empresas con las que coordina (en particular, el Real Decreto 171/2004 y la Ley 31/1995 de prevención de riesgos laborales).
• Informar a las personas afectadas de este tratamiento.
• Subir solo los datos necesarios y mantenerlos exactos y al día.
• Decidir quién de su equipo accede y con qué rol.

6. Obligaciones de Coorvia

• Confidencialidad: las personas autorizadas a tratar los datos están obligadas a guardar secreto, también después de terminar su relación con Coorvia.
• Seguridad: aplica las medidas del apartado 7.
• Subencargados: solo los del apartado 8, en las condiciones que se indican.
• Derechos de las personas: ayuda a la empresa a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si una persona se dirige a Coorvia, se lo trasladará a la empresa sin demora.
• Violaciones de seguridad: las notificará a la empresa sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia, con la información disponible para que la empresa pueda cumplir sus obligaciones.
• Colaboración: ayudará a la empresa, cuando corresponda, con las evaluaciones de impacto y las consultas a la autoridad de control.
• Registro: mantiene el registro de actividades de tratamiento como encargado.

7. Medidas de seguridad

• Comunicaciones cifradas (HTTPS) y datos y archivos cifrados en reposo, alojados en centros de datos de Microsoft Azure en la Unión Europea.
• Acceso con cuentas de Microsoft Entra; cada persona usuaria solo ve los datos de sus empresas y según su rol, y entre empresas solo se ve lo compartido en cada contratación.
• Registro de actividad de los cambios (quién, qué y cuándo).
• Comprobación del contenido real de los archivos que se suben.
• Copias de seguridad automáticas de la base de datos (con recuperación de los últimos días) y conservación temporal de los archivos borrados para poder recuperarlos ante un error.
• Actualizaciones de seguridad y revisión periódica de las medidas.

8. Subencargados

La empresa autoriza a Coorvia a recurrir a estos subencargados, que asumen las mismas obligaciones de protección de datos:

• Microsoft Ireland Operations Ltd.: alojamiento de la aplicación, la base de datos y los archivos (Azure, Unión Europea), inicio de sesión (Microsoft Entra External ID) y envío de correos (Azure Communication Services).

Coorvia avisará con antelación de cualquier incorporación o sustitución de subencargados para que la empresa pueda oponerse; si se opone y no hay alternativa razonable, podrá darse de baja. Las transferencias fuera del Espacio Económico Europeo que pudiera hacer Microsoft para soporte o seguridad se amparan en el Marco de Privacidad de Datos UE-EE. UU. y en las cláusulas contractuales tipo de la Comisión Europea.

9. Fin del servicio y destino de los datos

Cuando la empresa se da de baja, deja de poder usarse y nadie de ella puede entrar. Como la normativa de prevención obliga a poder acreditar la coordinación (y en una inspección pueden pedirse los documentos y las revisiones), los datos se conservan bloqueados, sin acceso salvo para atender requerimientos de la propia empresa, de las personas afectadas o de las autoridades, durante el plazo de prescripción de las responsabilidades (con carácter general, cinco años). Pasado ese plazo se suprimen. Si la empresa prefiere que se le devuelvan antes de la baja, puede descargar sus documentos o pedírnoslo.

10. Auditoría

Coorvia pondrá a disposición de la empresa la información necesaria para demostrar que cumple este contrato y permitirá las auditorías razonables que la empresa, o un auditor que designe, quiera hacer, avisando con antelación y sin afectar a la seguridad ni a los datos de otras empresas.

11. Cambios

Si este contrato cambia, se actualizará la fecha de arriba y, si el cambio es importante, se avisará a las empresas con antelación.

Data processing agreement

Last updated: 28 October 2026

This agreement governs how Coorvia processes the personal data each company uploads to the application, under Article 28 of Regulation (EU) 2016/679 (GDPR) and Spanish Organic Law 3/2018. It is part of the terms of use and is accepted with them when a company registers or accepts an invitation. If your company needs a signed copy, write to hola@coorvia.app.

1. Parties

• Controller: the company that uses Coorvia and uploads the data ("the company").
• Processor: Omar Perez Ciurana, self-employed, tax ID 47920651J, trading as Coorvia, with address at Carrer Montserrat Roig 2B, 2-3, 08470 Sant Celoni (Barcelona), Spain ("Coorvia").

2. Subject matter, nature and purpose

Coorvia processes the data only to provide the business activity coordination and occupational health and safety service: storing it, showing it to whoever the company authorises, sharing it with the companies it coordinates with in each contract, checking documents, working out who is cleared to work and sending the service notifications.

3. Data and data subjects

• Data subjects: the company's workers and, where applicable, those of its subcontractors; contact persons; the company's users.
• Data: identification and professional data (name, surname, ID number, internal code, job title), equipment and vehicle data (for example, licence plate), health and safety documentation (training, risk information, fitness certificates, PPE deliveries…), coordination messages and activity log.
• Health data: not needed. For medical fitness the "fit" certificate is enough; the company must not upload medical reports or diagnoses.
• Official certificates Coorvia checks automatically: the file is not stored, only the data needed to check them.

3a. Duration

This agreement lasts as long as the company uses the service and ends when it closes its account, subject to section 9 on what happens to the data.

4. The company's instructions

Coorvia processes the data only on the company's documented instructions, which are those it gives when using the application (adding workers, uploading and submitting documents, assigning staff to a contract, sharing with another company…). If an instruction infringed data protection law, Coorvia will inform the company. Coorvia will not use the data for its own purposes.

5. The company's obligations

• To have a legal basis to process the data and share it with the companies it coordinates with (in particular, Royal Decree 171/2004 and Law 31/1995 on occupational risk prevention).
• To inform the data subjects about this processing.
• To upload only the data that is needed and keep it accurate and up to date.
• To decide who on its team has access and with which role.

6. Coorvia's obligations

• Confidentiality: people authorised to process the data are bound by confidentiality, also after their relationship with Coorvia ends.
• Security: it applies the measures in section 7.
• Sub-processors: only those in section 8, under the conditions stated there.
• Data subject rights: it helps the company handle access, rectification, erasure, objection, restriction and portability requests. If a person contacts Coorvia, it will forward the request to the company without delay.
• Security breaches: it will notify the company without undue delay and in any case within 48 hours of becoming aware, with the information available so the company can meet its obligations.
• Cooperation: where relevant, it will help the company with impact assessments and prior consultations with the supervisory authority.
• Records: it keeps a record of processing activities as processor.

7. Security measures

• Encrypted communications (HTTPS) and data and files encrypted at rest, hosted in Microsoft Azure data centres in the European Union.
• Access with Microsoft Entra accounts; each user only sees the data of their companies according to their role, and between companies only what is shared in each contract is visible.
• Activity log of changes (who, what and when).
• Checking the actual content of uploaded files.
• Automatic database backups (with recovery of recent days) and temporary retention of deleted files so they can be recovered after a mistake.
• Security updates and periodic review of the measures.

8. Sub-processors

The company authorises Coorvia to use these sub-processors, which take on the same data protection obligations:

• Microsoft Ireland Operations Ltd.: hosting of the application, database and files (Azure, European Union), sign-in (Microsoft Entra External ID) and email delivery (Azure Communication Services).

Coorvia will give advance notice of any added or replaced sub-processor so the company can object; if it objects and there is no reasonable alternative, it may close its account. Any transfers outside the European Economic Area that Microsoft may make for support or security are covered by the EU-US Data Privacy Framework and the European Commission's standard contractual clauses.

9. End of service and return or deletion of data

When the company closes its account, it can no longer be used and nobody from it can sign in. Because health and safety law requires coordination to be provable (documents and reviews may be requested in an inspection), the data is kept blocked, with no access except to meet requests from the company itself, the data subjects or the authorities, for the limitation period of the related liabilities (generally five years). After that it is deleted. If the company prefers to have its data returned before closing, it can download its documents or ask us.

10. Audits

Coorvia will make available to the company the information needed to show compliance with this agreement and will allow reasonable audits by the company or an auditor it appoints, with advance notice and without affecting security or other companies' data.

11. Changes

If this agreement changes, the date above will be updated and, for significant changes, companies will be notified in advance.