Contrato de encargado del tratamiento

CONTRATO DE ENCARGADO DEL TRATAMIENTO Artículo 28 del Reglamento (UE) 2016/679 (RGPD)

Versión 1.1

1. PARTES

RESPONSABLE DEL TRATAMIENTO: la empresa que contrata el servicio, cuyos datos figuran en el alta y que decide sobre los datos de su personal.

ENCARGADO DEL TRATAMIENTO: SP Racing Experience SL, con CIF B75588228 y domicilio en Lugar As Neves, 33, 15613 A Capela (A Coruña), España, titular del servicio injob (injob.es).

2. OBJETO, DURACIÓN, NATURALEZA Y FINALIDAD

El Encargado trata datos personales por cuenta del Responsable con la única finalidad de prestar el servicio de registro de jornada y gestión de ausencias que el Responsable tiene contratado, en cumplimiento de la obligación del artículo 34.9 del Estatuto de los Trabajadores.

El contrato dura mientras esté vigente el servicio. Al terminar se aplica lo previsto en la cláusula 8.

3. TIPO DE DATOS Y CATEGORÍAS DE INTERESADOS

Interesados: el personal del Responsable y las personas que este dé de alta.

Datos tratados:   a) Identificativos: nombre, apellidos, número de empleado, DNI o NIE.   b) De contacto: correo electrónico y teléfono.   c) De la relación laboral: jornada, fichajes, horario, vacaciones, ausencias      y sus justificantes.   d) Firma manuscrita, cuando la persona firma una solicitud.

CATEGORÍAS ESPECIALES (art. 9 RGPD): los justificantes de ausencia pueden contener datos de salud. Se tratan con las garantías reforzadas de la cláusula 5 y con la única finalidad de acreditar la ausencia ante el Responsable.

4. OBLIGACIONES DEL ENCARGADO (art. 28.3)

El Encargado se obliga a:

a) Tratar los datos únicamente siguiendo instrucciones documentadas del      Responsable, incluidas las transferencias internacionales. Si una norma le      obligara a tratarlos de otro modo, lo informará antes salvo que esa misma      norma lo prohíba.

b) Garantizar que quien accede a los datos se ha comprometido a respetar la      confidencialidad, con un deber que subsiste tras el fin de la relación.

c) Aplicar las medidas de seguridad del artículo 32, que se detallan en la      cláusula 5.

d) No recurrir a otro encargado sin autorización. El Responsable autoriza      expresamente los subencargados listados en la cláusula 6, y será informado      con antelación de cualquier cambio para poder oponerse.

e) Asistir al Responsable para atender las solicitudes de ejercicio de      derechos (acceso, rectificación, supresión, limitación, portabilidad y      oposición). El servicio permite al Responsable exportar y consultar los      datos por sí mismo en cualquier momento.

f) Asistir al Responsable en el cumplimiento de los artículos 32 a 36:      seguridad, notificación de brechas, comunicación a los interesados,      evaluaciones de impacto y consulta previa.

g) Notificar al Responsable **sin dilación indebida y en un plazo máximo de 24      horas** cualquier violación de la seguridad de la que tenga conocimiento,      con la información necesaria para que este pueda cumplir el artículo 33.

h) A elección del Responsable, suprimir o devolver todos los datos al terminar      el servicio, según la cláusula 8.

i) Poner a disposición del Responsable la información necesaria para      demostrar el cumplimiento de estas obligaciones y permitir auditorías,      incluidas inspecciones, con un preaviso razonable.

j) Informar de inmediato al Responsable si, en su opinión, una instrucción      infringe el RGPD o cualquier otra norma de protección de datos.

5. MEDIDAS DE SEGURIDAD (art. 32)

a) CIFRADO EN REPOSO: nombres, apellidos, correo, teléfono, DNI, comentarios      de ausencias y las claves del punto de fichaje se guardan cifrados con      AES-256-GCM. Quien obtuviera una copia de la base de datos no podría      leerlos sin las claves, que se custodian aparte.

b) CIFRADO EN TRÁNSITO: todo el acceso va por HTTPS con certificado válido.

c) CONTROL DE ACCESO: cada empresa solo ve sus datos; toda consulta se acota      por empresa. Las contraseñas se guardan con bcrypt, y cambiarlas o dar de      baja a alguien cierra al instante todas sus sesiones abiertas.

d) CATEGORÍAS ESPECIALES: los justificantes se guardan fuera del directorio      público, los sirve un punto de acceso autenticado que comprueba quién lo      pide, y **cada descarga queda registrada**.

e) TRAZABILIDAD: los accesos del Encargado a los datos de una empresa quedan      registrados en un registro de auditoría consultable por el Responsable.

f) INTEGRIDAD DEL REGISTRO DE JORNADA: los fichajes son inmutables. Corregir      una hora no modifica el original: crea un registro nuevo con su motivo y su      autor. Esto es lo que hace que el registro sirva como prueba.

g) COPIAS DE SEGURIDAD periódicas y cifradas.

6. SUBENCARGADOS AUTORIZADOS

· Hostinger International Ltd. — Servidor donde se aloja la aplicación y la base de datos. Ubicación: Unión Europea.

No se realizan transferencias internacionales fuera del Espacio Económico Europeo. Si en el futuro fueran necesarias, se informará al Responsable con antelación y se aplicarán las garantías del capítulo V del RGPD.

7. OBLIGACIONES DEL RESPONSABLE

El Responsable se obliga a:

a) Informar a su personal, antes de darlo de alta, de que sus datos se tratan      en este servicio y con qué finalidad.   b) Disponer de base legítima para el tratamiento. En el registro de jornada lo      es el cumplimiento de una obligación legal (art. 6.1.c RGPD y art. 34.9 ET).   c) Mantener actualizados los datos que introduce y dar de baja a quien deje de      formar parte de su plantilla.   d) Velar por el cumplimiento del RGPD y supervisar el tratamiento.

8. FIN DEL TRATAMIENTO

Al terminar el servicio, el Responsable podrá **exportar todos sus datos** en formato reutilizable. Transcurridos 30 días desde la baja, el Encargado suprimirá los datos.

⚠️ EXCEPCIÓN LEGAL: los registros de jornada deben conservarse **cuatro años** (art. 34.9 ET y RD-ley 8/2019). El Encargado los mantendrá bloqueados durante ese plazo, sin tratarlos para ninguna otra finalidad y a disposición exclusiva del Responsable y de la Inspección de Trabajo. Es una obligación legal del Responsable, no una decisión del Encargado.

9. RESPONSABILIDAD

Cada parte responde de los incumplimientos que le sean imputables, conforme al artículo 82 del RGPD.

10. LEY APLICABLE

Se rige por el RGPD, la Ley Orgánica 3/2018 y demás normativa española aplicable. Para cualquier controversia, las partes se someten a los juzgados y tribunales del domicilio del Responsable.