Contrato de encargado del tratamiento

1. Objeto

El encargado trata los datos personales que la empresa cliente da de alta en QRONO, y los que su plantilla genera al fichar, con el único fin de prestarle el servicio de registro de jornada: el fichaje en el Portal del Empleado, el panel de la empresa, las correcciones, los avisos y las descargas del registro.

2. Duración

Mientras dure la suscripción y, después, los 90 días que la empresa tiene para descargar su registro (cláusula 10).

3. Datos y personas afectadas

Personas afectadas: la plantilla de la empresa cliente, y las personas de la empresa que usan el panel.

Datos tratados:

• Identificación y contacto: nombre, apellidos, DNI o NIE, correo, puesto y fecha de alta.
• Acceso al Portal del Empleado: usuario, huella de la contraseña y fechas de acceso.
• Registro de jornada: entradas, salidas, origen del fichaje y correcciones con su motivo, autor y hora original.
• Ubicación al fichar, solo si la empresa cliente ha marcado una zona de fichaje.

No se tratan categorías especiales de datos.

4. Instrucciones

El encargado trata los datos solo siguiendo las instrucciones documentadas de la empresa cliente, que son estos términos y lo que ella hace en su panel (dar de alta o de baja, corregir, descargar, borrar). Si una instrucción le parece contraria a la normativa de protección de datos, se lo dirá de inmediato.

5. Confidencialidad

Las personas que el encargado autoriza a tratar los datos se comprometen por escrito a guardar confidencialidad, también después de terminar su relación con él.

6. Seguridad

El encargado aplica medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Conexiones cifradas (HTTPS) en el panel, en el Portal del Empleado y entre ambos.
• Acceso al panel con enlaces de un solo uso que caducan, sin contraseñas; acceso al Portal con contraseña guardada como huella, con bloqueo tras varios intentos fallidos.
• Cada empresa solo ve a su plantilla y su registro; las claves de API y los enlaces para la Inspección son de una empresa y se pueden retirar en el acto.
• Cada corrección guarda la hora original, quién la hizo y por qué, y quitar un fichaje lo anula sin borrarlo.
• Copias de seguridad diarias y una copia fuera del servidor.

7. Subencargados

La empresa cliente autoriza al encargado a recurrir a estos subencargados, que tratan los datos con contrato y con las mismas obligaciones:

• OVHcloud (OVH SAS): el servidor donde funcionan QRONO y el Portal del Empleado, con sus bases de datos y copias, en un centro de datos de Francia.
• Stripe: el cobro de la suscripción. Trata los datos de pago de la empresa cliente, no los de su plantilla.
• Resend: el envío de los correos del servicio (accesos, invitaciones, avisos y facturas), desde servidores en la Unión Europea (Irlanda).
• Google (Google Drive): guarda la copia de seguridad diaria fuera del servidor. Se cifra en el servidor antes de enviarla, así que Google no puede leer su contenido.

Si el encargado quiere añadir o cambiar alguno, avisará a la empresa cliente por correo con al menos 30 días de antelación, para que pueda oponerse y, si no está de acuerdo, cancelar sin coste.

8. Derechos de las personas

El encargado ayuda a la empresa cliente a atender los derechos de su plantilla: desde el panel puede consultar, corregir, descargar y dar de baja; y cada persona puede ver su propio registro en el Portal del Empleado. Si una persona de la plantilla se dirige al encargado, este se lo trasladará a la empresa cliente sin demora.

9. Brechas de seguridad

Si el encargado detecta una brecha de seguridad que afecte a los datos de la empresa cliente, se lo comunicará sin dilación indebida, con la información que tenga para que pueda cumplir sus propias obligaciones.

10. Al terminar el servicio

Durante el servicio, la empresa cliente puede descargar su registro en cualquier momento. Al terminar la suscripción, tiene 90 días para hacerlo; después, el encargado borra sus datos y los de su plantilla del panel y del Portal del Empleado. Las copias de seguridad que los contengan se borran al caducar, a los 30 días como mucho.

La obligación de conservar el registro de jornada el tiempo que exige la ley es de la empresa cliente, como empleadora: por eso debe descargarlo antes de que termine el plazo.

11. Demostrar el cumplimiento

El encargado pondrá a disposición de la empresa cliente la información necesaria para demostrar que cumple este contrato y permitirá las auditorías razonables que pida, con un preaviso de 30 días y sin acceso a los datos de otras empresas.

12. Contacto

Para cualquier cuestión sobre este contrato: alicia@acubero.com.