Contrato de encargo do tratamento

Este contrato regula o tratamento de datos persoais que ABARCANDO, S.L. (NIF B88017173, C/ Casuarina 18, 7AD, 28044 Madrid; «o encargado») fai por conta de cada empresa cliente de AccessTime («o responsable») ao prestarlle o servizo. Acéptao a persoa que dá de alta a empresa, en nome desta, marcando a caixa do rexistro, e queda por escrito en formato electrónico para os efectos do art. 28.9 do Regulamento (UE) 2016/679 (RGPD). AccessTime conserva a constancia da versión aceptada (documento, versión, pegada SHA-256, data, IP e navegador de quen a aceptou). Forma parte dos termos do servizo.

1. Obxecto, duración, natureza e finalidade

• Obxecto: a prestación do servizo AccessTime (rexistro de xornada, ausencias e vacacións, horarios e cadros, teletraballo, aprobacións, informes e exportacións).
• Duración: a do contrato de servizo, máis o período de conservación e bloqueo do apartado 10.
• Natureza do tratamento: recollida a través da plataforma, rexistro, estruturación, conservación, consulta, exportación, comunicación ao propio responsable (e a quen este dea acceso), bloqueo e supresión.
• Finalidade: que o responsable cumpra as súas obrigas de rexistro de xornada e xestione o tempo de traballo e as ausencias do seu persoal.

2. Tipos de datos e categorías de interesados

• Interesados: persoas traballadoras e colaboradoras do responsable, e as persoas ás que este dea acceso á plataforma.
• Datos identificativos e de contacto: nome, correo electrónico, NIF/NIE (se o responsable o rexistra), idioma.
• Datos laborais: rol, departamento, centro de traballo, posto, data de alta, horario, quendas, saldos de vacacións, e os peches mensuais de horas (arts. 35.5 e 12.4.c ET) co seu acuse de recibo (data, IP, navegador, canle e comentario).
• Rexistro de xornada: fichaxes con data e hora do servidor, método, centro, teletraballo, IP e axente de usuario do dispositivo, hora do dispositivo en fichaxes sen conexión, e as súas revisións (valor anterior e novo, autor, rol, motivo, conformidade).
• Xeolocalización: só se o responsable a activa, no instante da fichaxe.
• Verificación local no móbil: se a aplicación móbil o envía, con cada fichaxe, o método co que o propio teléfono comprobou a persoa (a súa biometría, un PIN ou o código de desbloqueo, ou ningún) e se a comprobación saíu ben. Faina o sistema operativo do teléfono: o encargado só recibe ese resultado e non trata datos biométricos.
• Ausencias e xustificantes, que poden revelar datos de saúde (categoría especial, art. 9 RGPD). É un tratamento previsible do servizo, que o responsable ampara no art. 9.2.b RGPD e no art. 9 LOPDGDD. O responsable debe evitar que se introduzan outras categorías especiais en campos de texto libre.
• Trazabilidade: rexistro de auditoría dos cambios e rexistro de accesos, tamén os da representación legal (co seu ámbito) e os da Inspección coa súa ligazón temporal.

3. Instrucións do responsable

O encargado trata os datos só seguindo instrucións documentadas do responsable, tamén no relativo a transferencias internacionais. Son instrucións documentadas este contrato, os termos do servizo e a configuración que o responsable fai na plataforma (roles, xeolocalización, fluxos de aprobación, exportacións). Ao aceptar este contrato o responsable dá, ademais, estas instrucións:

1. Conservar o rexistro de xornada, as súas revisións, as xornadas, incidencias, propostas de corrección e ausencias 5 anos (4 de mínimo legal, art. 34.9 ET, e un de marxe para reclamacións e inspeccións que comezan ao final do prazo); as fichaxes, as súas revisións e as propostas, por anos naturais completos (entre 5 e 6 anos); os peches mensuais, 5 anos desde o mes que resumen (ou desde que se xerou a versión, se foi máis tarde); o rexistro de auditoría, 5 anos (do que se segue conservando despois dese prazo —un horario vixente, o rol dunha persoa, unha ausencia que remata máis tarde—, gárdase con ese dato quen o fixo, só polo seu identificador, con que rol, por que canle e cando, e suprímese con el); o de accesos, 2 anos; as coordenadas de xeolocalización, 30 días; e as ligazóns da Inspección, mentres exista a empresa. Cumprido o prazo, suprimilos co procedemento de purga, que o encargado lanza a man tras revisar o informe mensual do que se purgaría e que deixa constancia de que se suprimiu e cando. O responsable pode pedir un prazo maior: unha retención por litixio ou inspección, durante a cal non se purga nada da súa empresa, tampouco as coordenadas nin as súas conversas de soporte.
2. Non sobrescribir nin borrar fichaxes: cada corrección ou anulación engádese como unha revisión, con autor, rol, data e motivo.
3. Rexistrar de cada cambio quen o fixo, con que rol, cando e desde onde, e por que nas accións que piden un motivo (entre elas, as correccións e anulacións de fichaxes), e conservar ese rexistro de forma que calquera alteración se poida detectar.
4. Manter, tras a baixa dunha persoa traballadora, o seu acceso de consulta ao seu propio rexistro, ás súas revisións e aos seus peches durante 5 anos desde a súa data de baixa, salvo que o responsable llo retire (nunca antes de que rematen os seus prazos para responder ás propostas de corrección pendentes e para confirmar a recepción do seu peche final) ou salvo ao rematar este contrato (apartado 10); e, cando xa non quede nada seu dentro de prazo, anonimizar os seus datos identificativos se o responsable o decide desde a ficha ou, rematado este contrato, co procedemento de purga.

Se a xuízo do encargado unha instrución infrinxe o RGPD, a LOPDGDD ou outra norma de protección de datos, comunicarallo inmediatamente ao responsable.

4. Confidencialidade

O encargado garante que as persoas autorizadas para tratar os datos (o seu persoal técnico e de soporte) se comprometeron a respectar a confidencialidade ou están suxeitas a unha obriga legal de confidencialidade, tamén despois de rematar a súa relación. O persoal de soporte só accede aos datos dunha empresa cando é necesario para prestar o servizo ou cando o responsable o pide; cada entrada queda rexistrada co seu motivo ou tíquet, e cada entrada, saída e cambio, co seu rol (a saída, ao saír, ao pasar a outra empresa ou ao pechar a sesión; se a sesión remata doutro xeito, por exemplo porque caduca, consta a súa última petición dentro da empresa).

5. Medidas de seguridade (art. 32 RGPD)

O encargado aplica, como mínimo, as medidas do anexo I, e revísaas periodicamente. Pode substituílas por outras que dean un nivel de seguridade igual ou superior.

6. Subencargados

O responsable dá unha autorización xeral para recorrer aos subencargados do anexo II. O encargado informará o responsable de calquera incorporación ou substitución con polo menos 30 días de antelación, por correo electrónico á administración da empresa e nesta páxina, e o responsable poderá opoñerse por motivos xustificados; se non hai acordo, poderá resolver o contrato sen penalización. O encargado impón a cada subencargado, por contrato, as mesmas obrigas de protección de datos deste contrato, en particular garantías suficientes de aplicar as medidas do art. 32 RGPD, e responde fronte ao responsable do seu cumprimento (art. 28.4 RGPD).

7. Transferencias internacionais

Os datos do servizo alóxanse na Unión Europea. Só o subencargado de notificacións push (Google) pode tratar datos nos EUA, ao abeiro da decisión de adecuación do Marco de Privacidade de Datos UE-EUA (art. 45 RGPD). Calquera outra transferencia requirirá unha garantía adecuada do capítulo V do RGPD e instrución do responsable.

8. Asistencia ao responsable

O encargado axuda o responsable, tendo en conta a natureza do tratamento:

• Dereitos dos interesados: a plataforma permite ao responsable consultar, exportar e rectificar (coa súa revisión) os datos de cada persoa, e a cada persoa traballadora ver e descargar o seu propio rexistro. Se un interesado se dirixe ao encargado, este trasladará a solicitude ao responsable nun prazo máximo de 5 días hábiles e non a contestará pola súa conta.
• Seguridade, violacións de seguridade, avaliacións de impacto e consultas previas (arts. 32 a 36 RGPD): o encargado facilita a información de que dispoña, incluída a necesaria para que o responsable faga unha avaliación de impacto cando o seu tratamento o requira.

9. Violacións de seguridade

O encargado notificará ao responsable, sen dilación indebida e nun prazo máximo de 48 horas desde que teña coñecemento, calquera violación da seguridade que afecte aos seus datos, por correo electrónico á administración da empresa, coa información dispoñible: natureza do incidente, categorías e número aproximado de interesados e de rexistros afectados, consecuencias probables, medidas adoptadas ou propostas e un punto de contacto. Se non pode dar toda a información á vez, facilitaraa por fases. O responsable é quen decide e, se é o caso, notifica á AEPD (72 horas) e aos interesados. Para delimitar o alcance, o encargado dispón do rexistro de accesos e de auditoría da plataforma.

10. Destino dos datos ao rematar

Ao rematar o servizo, o encargado devolve os datos ao responsable: este dispón de polo menos 30 días para exportalos todos (exportación completa da empresa, co rexistro de xornada por evento e as súas revisións, informes, ausencias e xustificantes e o rexistro de auditoría, e exportación para a Inspección de calquera período).

Despois, o encargado conserva os datos bloqueados (arts. 32 e 33.4 LOPDGDD), accesibles só para poñelos a disposición de xuíces e tribunais, da Inspección de Traballo ou das autoridades de protección de datos, ata que se cumpra o prazo de conservación de cada dato (apartado 3), e entón suprímeos co procedemento de purga, que deixa constancia de que se suprimiu e cando; das copias de seguridade desaparecen ao rotaren (como moito en 12 meses). Os datos identificativos de cada persoa traballadora anonimízanse en canto non queda nada seu dentro de prazo, e os do responsable e de quen aínda quede, aos 6 anos do fin do contrato (art. 30 do Código de Comercio). Durante o bloqueo só a administración do responsable entra na plataforma, e unicamente para poñelos a disposición desas autoridades: coa exportación completa, a exportación para a Inspección ou unha ligazón para a Inspección, indicando cada vez o requirimento que atende, e queda rexistrado quen o fixo, cando e para que. Ninguén máis do responsable accede, tampouco quen está de baixa con acceso de consulta: o responsable atende os seus dereitos cos datos devoltos. Non hai supresión anticipada: o encargado consérvaos bloqueados mentres poidan derivarse responsabilidades da súa relación co responsable (art. 33.4 LOPDGDD). Conservar o rexistro de xornada 4 anos é unha obriga do responsable como empregador (art. 34.9 ET), que a garante cos datos devoltos (art. 33.3 LOPDGDD). O encargado certificará a supresión se o responsable o pide.

11. Información e auditorías

O encargado pon a disposición do responsable a información necesaria para demostrar o cumprimento deste contrato: esta documentación, a descrición das medidas do anexo I, o rexistro de actividades de tratamento como encargado (art. 30.2 RGPD) e o resultado da verificación da integridade do rexistro. Permite auditorías, incluídas inspeccións, do responsable ou dun auditor que este designe, e contribúe a elas, cun aviso previo razoable (30 días), sen comprometer a seguridade nin a confidencialidade doutros clientes, e como regra xeral unha vez ao ano, salvo que haxa indicios de incumprimento ou o esixa unha autoridade.

12. Obrigas do responsable

O responsable garante que ten base xurídica para os tratamentos que encarga, informa o seu persoal (art. 13 RGPD) do sistema de rexistro e, se activa a xeolocalización, cumpre o art. 90 LOPDGDD; configura os roles e accesos de forma que cada persoa vexa só o necesario; e comunica ao encargado calquera instrución adicional por escrito.

13. Responsabilidade

Cada parte responde dos seus incumprimentos conforme ao art. 82 RGPD. Se o encargado trata os datos para fins propios ou incumprindo as instrucións, será considerado responsable dese tratamento (art. 28.10 RGPD).

Anexo I · Medidas de seguridade

• Acceso: contas persoais; contrasinais con hash bcrypt e de 10 caracteres como mínimo; contas novas activadas cunha ligazón dun só uso que caduca; verificación en dous pasos obrigatoria para a administración, RRHH, a representación legal das persoas traballadoras e o soporte de AccessTime; límites de intentos por conta e IP con bloqueo e aviso ao titular; sesións e accesos da app visibles e revogables polo usuario; accesos da app que caducan aos 90 días.
• Autorización: illamento dos datos por empresa en todas as consultas; permisos por rol (a persoa traballadora ve o seu; o seu responsable, o seu departamento; RRHH e administración, a súa empresa; a representación legal, o rexistro do seu ámbito, sen NIF, datos de contacto nin textos libres); o tipo de ausencia non se mostra aos compañeiros.
• Cifrado: HTTPS con HSTS en todas as comunicacións; cifrado en repouso (AES-256) do NIF, dos motivos de ausencia, dos xustificantes, dos segredos do segundo factor e das copias de seguridade.
• Integridade e trazabilidade: o rexistro de xornada non se sobrescribe (revisións só de inserción); rexistro de auditoría só de inserción con quen, rol, cando, desde onde, antes, despois e motivo; cadeas de pegadas HMAC-SHA256 por empresa; disparadores da base de datos que rexeitan modificar ou borrar eses rexistros fóra da purga legal; selo das cadeas cada hora fóra da base de datos e cada día fóra do servidor; verificación diaria contra o último selo de fóra da base de datos, con aviso de calquera alteración que atope (o selo diario de fóra do servidor permite comprobalo tamén a man); a conta da aplicación non ten privilexios para alterar a estrutura da base de datos.
• Dispoñibilidade: copias de seguridade cifradas (14 diarias e 12 mensuais) con restauración comprobada, gardadas no servidor e, coa mesma rotación, fóra del, nun servidor de Arsys Internet, S.L.U. en España (anexo II), que non ten a clave para descifralas; o rexistro de cambios da base de datos, que permite recuperala ata o momento dun fallo, consérvase como moito 14 días e só sae do servidor cifrado; fichaxes sen conexión que se gardan no dispositivo e se sincronizan sen duplicados.
• Aplicación web: política de seguridade de contidos (CSP), cabeceiras de protección, protección CSRF e antibots nos formularios públicos, revisión periódica de dependencias con avisos de seguridade.
• Organización: persoal con deber de confidencialidade; acceso de soporte rexistrado; procedemento de xestión e notificación de violacións de seguridade; rexistro de actividades de tratamento como encargado.

Anexo II · Subencargados autorizados

O servidor de Arsys trae cada día do servidor principal, por unha conexión cifrada (SSH) e cun acceso que só permite lelos, as copias e o rexistro de cambios xa cifrados; a clave que os descifra gárdaa o encargado fóra dese servidor (anexo I).

Non son subencargados, porque non tratan datos do persoal por conta do responsable: Stripe Payments Europe, Ltd. (cobro da subscrición, responsable independente dos seus datos de pagamento) e Google reCAPTCHA (protección dos formularios públicos, tratamento propio de ABARCANDO descrito na política de privacidade).