Acuerdo de tratamiento de datos

1. Introducción

El presente Acuerdo de tratamiento de datos (el "Acuerdo") forma parte del contrato principal de suscripción celebrado entre Labb Holding Ltd, sociedad privada de responsabilidad limitada por acciones constituida en Chipre, con domicilio social en Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus, inscrita con el número HE 424230 (que opera la plataforma PersoHR, el "Encargado"), y el cliente (el "Responsable"). Regula el tratamiento de datos personales que el Encargado lleva a cabo por cuenta del Responsable en relación con la plataforma PersoHR y está concebido para cumplir el Reglamento (UE) 2016/679 (el "RGPD"). En caso de conflicto entre una disposición de este Acuerdo y el contrato principal, este Acuerdo prevalece en las cuestiones relativas al tratamiento de datos personales. Los términos en mayúscula utilizados pero no definidos en este Acuerdo tienen el significado que se les atribuye en el contrato principal o, cuando proceda, en el RGPD.

2. Objeto, duración, naturaleza y finalidad

El Encargado trata datos personales con el único fin de prestar el servicio de gestión de RR. HH. PersoHR. El tratamiento abarca la gestión de expedientes de empleados, vacaciones y ausencias, incorporación, desvinculación, registro de jornada, preparación de nóminas, evaluaciones del desempeño, selección de personal, almacenamiento de documentos, comunicación interna y otros flujos de trabajo de RR. HH. configurados por el Responsable. El tratamiento incluye la recogida, el registro, la organización, la conservación, la consulta, la utilización, la comunicación autorizada, la exportación y la supresión para estos servicios. Este Acuerdo sigue protegiendo los datos personales del cliente mientras se conserven, también durante un procedimiento acordado de devolución o supresión con arreglo a la sección 13. El tratamiento para los fines propios de PersoHR, descrito en la Política de privacidad, es independiente de este encargo de tratamiento. El Responsable reconoce que el alcance y la profundidad exactos del tratamiento dependen de los módulos y de la configuración que el Responsable decida activar.

3. Categorías de datos personales

Las categorías de datos personales tratados dependen de la configuración de la plataforma que realice el Responsable y pueden incluir: datos maestros del personal (nombre, datos de contacto, dirección postal, fecha de nacimiento, fotografía, datos de contactos de emergencia); datos maestros laborales (puesto, departamento, tipo de empleo, fechas de inicio y fin, horario de trabajo, responsable directo, situación de discapacidad); contenido de documentos (contratos de trabajo, certificaciones, documentos de identidad y otros archivos subidos por el Responsable); datos de desempeño y desarrollo (objetivos, evaluaciones, comentarios, registros de formación); datos de vacaciones y ausencias (solicitudes, saldos, festivos); datos de registro de jornada (fichajes de entrada y salida, hojas de horas, horas extraordinarias); datos de preparación de nóminas (registros salariales, IBAN cuando se facilite, identificadores fiscales y de seguridad social cuando se faciliten, nacionalidad, sexo, estado civil, número de hijos, lugar de nacimiento, entidad y tipo de seguro médico, confesión a efectos del impuesto eclesiástico); datos de selección (candidaturas, currículos, notas de entrevistas, referencias); datos de comunicación y chat; datos de autenticación y seguridad (marcas de tiempo de inicio de sesión, direcciones IP, información del agente de usuario del navegador o dispositivo y registros de sesiones de dispositivos, estado de la autenticación de dos factores); y cualquier otro dato personal que el Responsable decida subir o generar en la plataforma. El tratamiento también puede incluir contenido de firma electrónica y pruebas de la firma. La confesión a efectos del impuesto eclesiástico puede revelar la religión. La situación de discapacidad, las bajas por enfermedad y los registros de certificados médicos pueden revelar datos de salud aunque no se suban documentos médicos. Cuando se traten categorías especiales de datos, el Responsable debe establecer una base del artículo 6 y una condición aplicable del artículo 9 e instruir al Encargado sobre las garantías necesarias. Los datos relativos a condenas penales requieren las condiciones del artículo 10 y no deben facilitarse sin un régimen de tratamiento acordado, lícito y admitido por el servicio. El Encargado sigue siendo responsable de sus propias obligaciones aplicables en materia de protección de datos y seguridad.

4. Categorías de interesados

Las categorías de interesados, respecto del Responsable y de cualquier filial que el Responsable decida administrar a través de la plataforma, incluyen normalmente: empleados actuales, contratistas, autónomos y demás personal, incluidos los trabajadores menores de 18 años cuando estén empleados legalmente; antiguos empleados, contratistas y personal; solicitantes y candidatos de procesos de selección en curso o pasados; y personas a cargo o contactos de emergencia comunicados por cualquiera de los anteriores. El Responsable es responsable de la licitud de incluir a cualquier interesado concreto en el ámbito del tratamiento.

5. Instrucciones y derecho a negarse

El Encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, también en lo relativo a las transferencias internacionales, salvo que esté obligado a actuar de otro modo en virtud del Derecho de la Unión o de los Estados miembros (en cuyo caso el Encargado informará al Responsable antes del tratamiento, salvo que dicho Derecho prohíba tal información por razones importantes de interés público). El Responsable designa a las personas autorizadas en exclusiva para dar instrucciones de tratamiento a través de la plataforma; a falta de tal designación, solo podrán dar instrucciones las personas físicas facultadas para representar legalmente al Responsable. Si el Encargado considera razonablemente que una instrucción infringe el RGPD u otra normativa aplicable en materia de protección de datos, informará inmediatamente al Responsable y podrá suspender la ejecución de dicha instrucción hasta que las partes hayan resuelto la cuestión.

6. Confidencialidad

El Encargado se asegura de que toda persona física autorizada para tratar datos personales en su nombre esté sujeta a una obligación de confidencialidad, ya sea contractual o legal. Además, cada parte se compromete a mantener la confidencialidad de toda información no pública que reciba de la otra parte en relación con este Acuerdo, incluido el contenido de las auditorías, la documentación de seguridad y los informes de incidentes, y a utilizar dicha información únicamente para la ejecución del contrato principal y de este Acuerdo. Queda excluida la información que sea de dominio público, que se haya desarrollado de forma independiente sin utilizar la información confidencial de la parte que la revela, que se haya recibido lícitamente de un tercero sin obligación de confidencialidad o cuya divulgación exija un procedimiento judicial vinculante. Las obligaciones generales de confidencialidad subsisten durante cinco años tras la terminación. Las obligaciones que protegen los datos personales se mantienen mientras dichos datos se conserven, también cuando se aplique un deber legal más prolongado.

7. Seguridad del tratamiento (artículo 32)

El Encargado aplica y mantiene medidas técnicas y organizativas apropiadas al riesgo, teniendo en cuenta los factores del artículo 32 del RGPD. Las salvaguardas de la aplicación incluyen controles de acceso basados en roles y limitados al inquilino, tokens de autenticación de duración limitada, autenticación de dos factores obligatoria para los roles de Propietario y Administrador de RR. HH., cifrado de determinados campos sensibles y registros de auditoría de las acciones admitidas. El anexo de seguridad en /legal/security describe estas salvaguardas. Las obligaciones del Encargado de proporcionar una protección, una disponibilidad y una recuperación adecuadas no se limitan a las funciones aquí enumeradas. Las actualizaciones de las medidas no deben reducir de forma significativa el nivel general de seguridad.

8. Subencargados

El Responsable autoriza al Encargado a recurrir a los subencargados enumerados en /legal/sub-processors. El Encargado informará al Responsable por escrito (incluido el correo electrónico) al menos 30 días antes de añadir o sustituir un subencargado. El Responsable podrá oponerse por motivos razonables de protección de datos en el plazo de 14 días desde dicha notificación; a falta de oposición en plazo, el cambio se considera aprobado. Si las partes no pueden resolver una oposición justificada en un plazo adicional de 30 días, cualquiera de ellas podrá resolver el contrato principal mediante notificación por escrito sin ninguna otra responsabilidad, en cuyo caso el Responsable tendrá derecho al reembolso prorrateado de las tarifas pagadas por adelantado que correspondan al periodo restante no utilizado de la suscripción. El Encargado celebra con cada subencargado acuerdos por escrito que imponen obligaciones de protección de datos equivalentes a las de este Acuerdo y sigue siendo responsable de los actos y omisiones de sus subencargados.

9. Asistencia en relación con los derechos de los interesados

El Encargado asiste al Responsable, teniendo en cuenta la naturaleza del tratamiento y en la medida de lo posible, en la atención de las solicitudes previstas en el capítulo III del RGPD. La aplicación ofrece herramientas de exportación, rectificación y supresión de datos con restricciones de rol y de ámbito. Estas herramientas asisten al Responsable, pero no determinan si debe atenderse una solicitud concreta. La portabilidad del artículo 20 se limita a los datos facilitados por la persona interesada y tratados por medios automatizados sobre la base del consentimiento o de un contrato; otros registros pueden estar comprendidos en el derecho de acceso del artículo 15. El Encargado presta asistencia adicional razonable cuando las herramientas resulten insuficientes. Las solicitudes relativas al tratamiento de RR. HH. del Responsable que el Encargado reciba directamente de una persona se remiten al Responsable sin dilación indebida.

Cuando una persona solicita al Encargado que elimine su cuenta personal de PersoHR, el Encargado cierra la cuenta de inmediato. Pone fin al acceso de la persona, suprime los datos de la cuenta que conserva como responsable del tratamiento (datos de acceso, configuración de la autenticación de dos factores, sesiones, preferencias de la cuenta y las solicitudes de soporte que la persona realizó en la aplicación, con sus capturas de pantalla) y suprime las conversaciones de la persona con el asistente de IA, que la aplicación no muestra a nadie más. Las copias de esas solicitudes de soporte entregadas en el buzón de soporte del Encargado, así como el resto de la correspondencia con el Encargado, se conservan según lo descrito en la Política de privacidad. No suprime ni modifica ningún otro registro que el Responsable tenga sobre la persona. Anota la solicitud en la membresía de la persona en cada uno de los espacios de trabajo del Responsable y notifica a los propietarios y administradores de RR. HH. del Responsable en la aplicación y por correo electrónico sin dilación indebida. El Responsable decide si suprime los registros, mediante la herramienta de supresión de la aplicación, o si los conserva, y responde a la persona. El Encargado confirma la solicitud a la persona por correo electrónico y le informa por correo electrónico una vez que el Responsable haya registrado su decisión en la aplicación, o una vez que los registros se hayan suprimido porque el espacio de trabajo se está eliminando.

Los datos de identidad de la cuenta de la persona que utilizan los registros del Responsable (nombre, dirección de correo electrónico, fecha de nacimiento y número de teléfono) se conservan por cuenta del Responsable y de cualquier otro cliente cuyos registros los utilicen, hasta que se haya suprimido cada membresía de la persona en un espacio de trabajo o se haya eliminado su espacio de trabajo, y después se anonimizan. Una membresía suprimida puede dejar registros que el Responsable debe conservar por ley, como un registro de jornada llevado a nombre de la persona, que siguen su propio plazo de conservación. Los datos de identidad solo cambian por instrucción de un Responsable: el Responsable puede añadir en la aplicación una fecha de nacimiento que falte, y cualquier otra rectificación la realiza el soporte del Encargado. El Encargado los utiliza para escribir a la persona únicamente para la confirmación y la notificación de la decisión descritas anteriormente, para los avisos que el Responsable está obligado por ley a dar y para el archivo final descrito más adelante. Una cuenta cerrada no puede reabrirse, y su dirección de correo electrónico no puede utilizarse para una cuenta nueva ni invitarse a un espacio de trabajo hasta que se haya suprimido cada membresía de la persona en un espacio de trabajo o se haya eliminado su espacio de trabajo.

Cuando el Responsable haya solicitado la eliminación de su espacio de trabajo, una solicitud que esté abierta cuando el espacio de trabajo comience a cerrarse, o que llegue mientras se está cerrando, se ejecuta una vez completado el archivo final del espacio de trabajo (en el proceso nocturno posterior a su finalización, o posterior a la solicitud si el archivo ya estaba completo), o cuando se elimine el espacio de trabajo si esto ocurre antes, de modo que los registros de la persona formen parte de cualquier archivo final que reciba el Responsable. La copia del archivo final que conserva el Encargado se elimina con el espacio de trabajo. Cuando la persona sea el contacto que el Responsable designó para ese archivo, el archivo se envía a otro propietario del espacio de trabajo que todavía pueda iniciar sesión, y a la dirección de la persona solo cuando no haya ninguno. Cuando la persona sea el único propietario de un espacio de trabajo que no se está eliminando, la solicitud no puede completarse hasta que el espacio de trabajo tenga otro propietario activo o un administrador de RR. HH. activo, o hasta que el espacio de trabajo se esté eliminando; cuando exista un administrador de RR. HH. activo, el Encargado convierte en propietario al de mayor antigüedad para que el Responsable conserve un propietario.

10. Notificación de violaciones de la seguridad de los datos personales

El Encargado notifica al Responsable sin dilación indebida y, en cualquier caso, en un plazo de 72 horas desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Responsable, de acuerdo con el artículo 33, apartado 2, del RGPD. La información disponible incluye la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables, los datos de contacto y las medidas adoptadas o propuestas. La información puede facilitarse por fases sin más dilación indebida. El Encargado asiste al Responsable en sus obligaciones de evaluación y notificación previstas en los artículos 33 y 34. El plazo cualificado de 72 horas del que dispone el Responsable para notificar a la autoridad de control no constituye un periodo de espera para el Encargado.

11. EIPD y consulta previa

El Encargado asiste al Responsable, previa solicitud razonable, en las evaluaciones de impacto relativas a la protección de datos con arreglo al artículo 35 y en las consultas previas a las autoridades de control con arreglo al artículo 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del Encargado.

12. Auditorías e inspecciones

El Encargado pone a disposición toda la información necesaria para demostrar el cumplimiento de lo dispuesto en el artículo 28 del RGPD y permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor designado por este. Las partes acuerdan disposiciones razonables sobre preaviso, calendario, confidencialidad y protección de la información de otros clientes. Los informes independientes y la documentación de seguridad pueden ayudar a acreditar dicho cumplimiento, pero no sustituyen los derechos de auditoría que la ley reconoce al Responsable. La programación, la frecuencia y los requisitos relativos al auditor no deben impedir una auditoría exigida por la ley, por una autoridad de control, por una violación de la seguridad de los datos personales o por la existencia de motivos razonables para sospechar un incumplimiento. Cada parte asume normalmente sus propios costes, salvo que se acuerde otra cosa o lo exija la ley.

13. Devolución o supresión de los datos personales

Una vez finalizada la prestación de los servicios de tratamiento, el Encargado devuelve o suprime los datos personales, a elección del Responsable, y suprime las copias existentes salvo que el Derecho de la Unión o de los Estados miembros exija su conservación, de acuerdo con el artículo 28, apartado 3, letra g), del RGPD. El Responsable debe descargar las exportaciones que necesite antes de que finalice el acceso de pago y ponerse en contacto con el soporte para organizar cualquier otra devolución o supresión. Poner fin a la renovación de la suscripción no presenta por sí mismo una solicitud de eliminación de la cuenta. El procedimiento de eliminación de la cuenta dentro de la aplicación programa la eliminación tras un periodo de cancelación de 30 días; una solicitud anterior o distinta exigida por la ley debe dirigirse directamente al Encargado. Las partes deben acordar y llevar a cabo el procedimiento de devolución o supresión sin conservar los datos más tiempo del necesario. Las copias de seguridad siguen protegidas por este Acuerdo hasta que se eliminen según el calendario de copias de seguridad aplicable; cualquier restauración debe respetar las instrucciones de supresión previas. Los registros de facturación tratados en virtud de las obligaciones legales propias del Encargado se gestionan por separado con arreglo a la Política de privacidad.

14. Transferencias internacionales

El Encargado trata los datos personales principalmente dentro de la Unión Europea. Cuando el Encargado o cualquier subencargado necesite transferir datos personales a un país situado fuera del Espacio Económico Europeo, la transferencia se realiza únicamente sobre la base de una decisión de adecuación con arreglo al artículo 45 del RGPD o de garantías adecuadas con arreglo al artículo 46 del RGPD. Por lo general, se trata de las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914/UE), complementadas, cuando sea necesario, con medidas técnicas y organizativas adicionales. La lista actualizada de destinatarios y de los mecanismos de transferencia aplicables se publica en /legal/sub-processors.

15. Insolvencia, embargo y actuaciones de terceros

Si los datos personales del Responsable se ven en peligro por un embargo, un decomiso, un procedimiento de insolvencia o de convenio, o cualquier otra actuación de un tercero que pueda afectar a la capacidad del Encargado para cumplir este Acuerdo, el Encargado informará al Responsable sin dilación indebida e informará por escrito al tercero de que los datos son responsabilidad del Responsable en su condición de responsable del tratamiento en el sentido del RGPD. El Encargado adoptará medidas razonables para proteger la integridad y la disponibilidad de los datos del Responsable mientras se resuelve la actuación del tercero.

16. Responsabilidad

Cada parte responde de los daños causados por su propio incumplimiento de este Acuerdo con arreglo al artículo 82 del RGPD y a la legislación aplicable. Nada de lo dispuesto en este Acuerdo excluye o limita la responsabilidad que no pueda excluirse o limitarse por ley, incluida la responsabilidad por muerte o lesiones personales, fraude, declaraciones fraudulentas o dolo. Nada de lo dispuesto en este Acuerdo restringe los derechos de los interesados ni de las autoridades de control. En todos los demás aspectos, las limitaciones y exclusiones de responsabilidad establecidas en el contrato principal se aplican igualmente a este Acuerdo.

17. Divisibilidad y disposiciones finales

Las modificaciones y adiciones a este Acuerdo deben constar por escrito, incluso en formato electrónico, e identificar expresamente las disposiciones que se modifican. El artículo 28, apartado 9, del RGPD permite que el acuerdo conste en formato electrónico; ello no acredita por sí solo la aceptación de una modificación. Si alguna disposición de este Acuerdo es o llega a ser nula, ilegal o inaplicable, la validez de las restantes disposiciones no se ve afectada; las partes sustituirán la disposición nula por otra válida cuyo efecto económico se aproxime lo más posible al de la disposición nula. Este Acuerdo puede formalizarse y actualizarse electrónicamente y sustituye cualquier acuerdo previo de tratamiento de datos entre las partes sobre el mismo objeto.

18. Legislación aplicable y jurisdicción

Este Acuerdo se rige por la legislación de la República de Chipre, con exclusión de sus normas de conflicto de leyes y de la Convención de las Naciones Unidas sobre los Contratos de Compraventa Internacional de Mercaderías. Los tribunales de Pafos (Chipre) tienen competencia exclusiva sobre cualquier litigio derivado de este Acuerdo o relacionado con él, sin perjuicio de los fueros imperativos en materia de protección de los consumidores o de los interesados con arreglo al RGPD.

19. Contacto

Para cuestiones relacionadas con este Acuerdo, póngase en contacto con Labb Holding Ltd en privacy@persohr.eu o escriba a Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus. El punto de contacto del Responsable en materia de protección de datos es la cuenta de usuario designada como OWNER en la plataforma PersoHR.