Contrato de encargado del tratamiento

1. Las partes

• Responsable del tratamiento: el negocio que crea la cuenta, con los datos identificativos que consten en ella. Es el empleador de las personas cuyos datos se tratan.
• Encargado del tratamiento: Lucas Monteagudo, NIF 55271697Y, titular de Tornia, con domicilio en C/ Ramón y Cajal, 20, pta. 4, 46900 Torrent (Valencia) y contacto en contacto@tornia.es.

2. Objeto, naturaleza y finalidad

El encargado trata los datos personales de la plantilla del responsable con el único fin de prestarle el servicio contratado: planificar cuadrantes, registrar la jornada, gestionar ausencias, vacaciones, tareas y solicitudes, y generar los documentos e informes derivados. Las operaciones incluyen la recogida, el registro, la conservación, la consulta, la modificación, la extracción y la supresión de esos datos.

3. Duración

Este contrato está vigente mientras lo esté la cuenta del responsable y, después, durante el tiempo necesario para devolver o suprimir los datos conforme a la cláusula 10.

4. Datos y personas afectadas

No se tratan categorías especiales de datos del art. 9 del RGPD. La aplicación registra la existencia y las fechas de una baja médica, pero no su causa ni ningún dato de salud, y así debe seguir usándola el responsable: no debe introducir diagnósticos ni información médica en los campos de texto libre.

5. Obligaciones del encargado

El encargado se compromete a:

• Tratar los datos únicamente siguiendo instrucciones del responsable, incluidas las relativas a transferencias internacionales. El uso de la aplicación por parte del responsable constituye instrucción documentada; cualquier otra se cursará por escrito al correo de contacto.
• No usar los datos para fines propios, no cederlos a terceros salvo obligación legal y no emplearlos para entrenar sistemas de inteligencia artificial. La única excepción es la anonimización prevista en la cláusula 6, que no altera ninguna de estas tres prohibiciones sobre los datos personales.
• Garantizar que quien accede a los datos está sujeto a deber de confidencialidad, que subsiste tras el fin de la relación.
• Aplicar las medidas de seguridad del art. 32 del RGPD: cifrado en tránsito y en reposo, contraseñas y PIN guardados con funciones de resumen, aislamiento de los datos de cada negocio en la propia base de datos y control de accesos por papel.
• En cuanto a las copias de seguridad: el plan contratado hoy con el proveedor de base de datos no incluye copias automáticas, así que cada negocio debe descargarse periódicamente sus datos desde la propia aplicación (recomendamos guardar el registro de jornada de cada mes). El responsable puede descargar en cualquier momento el registro mensual de jornada en hoja de cálculo y los cuadrantes en PDF.
• Asistir al responsable para atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad de las personas trabajadoras. Si una de ellas se dirige directamente al encargado, este se lo comunicará al responsable sin demora y sin resolver por su cuenta.
• Ayudar al responsable a cumplir los arts. 32 a 36 del RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas), teniendo en cuenta la información disponible.
• Notificar cualquier violación de seguridad de la que tenga conocimiento sin dilación indebida y como máximo en 24 horas, con la información necesaria para que el responsable pueda cumplir su propia obligación de notificar a la Agencia Española de Protección de Datos en 72 horas.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, previamente acordadas y sin comprometer la seguridad ni la confidencialidad de otros clientes.
• Informar al responsable, de forma inmediata y por escrito, si considera que una instrucción infringe la normativa de protección de datos.

6. Datos agregados y anónimos

El responsable autoriza expresamente al encargado a anonimizar de forma irreversible los datos tratados y a agregarlos con los de otros negocios, con dos fines: elaborar estadísticas y comparativas de referencia del sector, y mejorar el servicio. Una vez anonimizados, esos datos dejan de ser datos personales (considerando 26 del RGPD) y su tratamiento queda fuera del ámbito de este contrato.

Esta autorización se somete a las siguientes garantías:

• La anonimización es irreversible: no se conserva ninguna clave, tabla ni identificador que permita volver al dato original.
• Ninguna comparativa se muestra si agrega menos de 5 negocios distintos. Con menos, una media identificaría a quienes la componen y el dato dejaría de ser anónimo.
• No se identifica ni se hace identificable a ningún negocio, local ni persona trabajadora, ni siquiera de forma indirecta.
• No se ceden a terceros datos identificables, ni se comercializan los datos del responsable.
• Sigue prohibido emplear los datos del responsable para entrenar sistemas de inteligencia artificial, estén anonimizados o no.

El responsable puede oponerse en cualquier momento escribiendo al correo de contacto: su negocio quedará excluido de estos cálculos, sin que ello afecte a la prestación del servicio ni a su precio.

7. Obligaciones del responsable

• Informar a su plantilla del tratamiento y disponer de base jurídica para él.
• Introducir únicamente los datos necesarios y mantenerlos exactos.
• Gestionar quién tiene acceso a la cuenta y retirarlo cuando proceda.
• Atender las solicitudes de derechos de sus trabajadores, con la asistencia del encargado.

8. Subencargados

El responsable autoriza al encargado a servirse de los siguientes subencargados, necesarios para prestar el servicio, con los que existe contrato en los términos del art. 28.4 del RGPD:

Cualquier alta o sustitución de subencargado se comunicará con al menos 30 días de antelación dentro de la aplicación. Durante ese plazo el responsable puede oponerse; si lo hace y no es posible una alternativa, podrá resolver el contrato sin penalización.

9. Transferencias internacionales

Los datos se alojan en la Unión Europea. Dos servicios se prestan desde fuera del Espacio Económico Europeo, ambos amparados en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), y ambos limitados a lo imprescindible:

• El envío de avisos por correo recibe la dirección de correo y el texto del mensaje.
• La lectura de cuadrantes con inteligencia artificial recibe únicamente el archivo o la instrucción que el usuario del responsable envía en cada ocasión, y solo en ese momento: no hay envío continuado ni acceso a la base de datos. El subencargado no conserva ese contenido una vez atendida la petición ni lo utiliza para entrenar modelos.

No se envían registros de jornada ni datos salariales por ninguno de los dos canales.

10. Al terminar

Finalizado el contrato, el encargado pone a disposición del responsable una copia de los datos —una hoja de cálculo (.xlsx) con todos ellos y el registro de jornada en PDF, un archivo por año— y, pasados 30 días desde la baja, los suprime, incluidas las copias existentes, salvo que deba conservarlos por obligación legal. Si en ese momento existieran copias de seguridad, se sobrescriben en el ciclo normal de retención del proveedor de base de datos.

11. Aceptación

Este contrato se acepta expresamente al crear el negocio en la aplicación. La fecha y la versión aceptadas quedan registradas, y el encargado las acredita por escrito cuando el responsable lo pida, o ante una inspección o la gestoría del responsable.