Contrato de encargo del tratamiento

Kudeatu · Versión 1.1

Partes

Responsable del tratamiento: el negocio que te da de alta en la app.

Encargado del tratamiento: Kudeatu.

1. Objeto

El encargado trata, por cuenta del responsable, los datos necesarios para prestar el servicio de la app: de la plantilla (identificación y contacto, jornada y fichajes con ubicación si se activa, turnos, vacaciones, ausencias y justificantes, nóminas y documentos, coste de personal y mensajes internos) y de la actividad del negocio (proveedores, pedidos, stock, caja y gastos).

2. Duración

Mientras el responsable use el servicio. Al terminar, el encargado pondrá los datos a disposición del responsable para su descarga y los suprimirá en un máximo de 90 días, salvo obligación legal de conservarlos.

3. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son las de este contrato y el uso de la app.
• Garantizar la confidencialidad de las personas autorizadas a tratarlos.
• Aplicar medidas de seguridad adecuadas (art. 32 RGPD): cifrado en tránsito, control de acceso por usuario y negocio, registro inalterable de fichajes, registro de actividad y copias de seguridad.
• Ayudar al responsable a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad y evaluación de impacto.
• Notificar al responsable, sin dilación y en menos de 48 horas, cualquier violación de seguridad de los datos, con la información necesaria para que pueda avisar a la autoridad en 72 horas.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

4. Subencargados

El responsable autoriza de forma general al encargado a recurrir a los siguientes subencargados, que quedan sujetos a las mismas obligaciones de protección de datos:

• Supabase Inc. — Alojamiento, base de datos, archivos e inicio de sesión. Dónde: Unión Europea (región elegida en la UE). Qué datos: Todos los datos de la app.
• Anthropic PBC — Lectura automática (IA) de facturas de proveedores y tickets de gastos. Dónde: EE. UU. (cláusulas contractuales tipo de la Comisión Europea); no usa los datos para entrenar. Qué datos: La imagen o el PDF de la factura o ticket (no datos de empleados).
• Resend Inc. — Envío de los emails de la cuenta (registro, invitaciones, contraseña). Dónde: Unión Europea (servidores en Irlanda); empresa de EE. UU. con cláusulas contractuales tipo. Qué datos: Email y nombre de la persona a la que se escribe.
• Esri / MapTiler — Mapa de calles al configurar la dirección de un centro. Dónde: EE. UU. / Suiza. Qué datos: La zona del mapa que se ve y la dirección IP.
• Photon (Komoot) — Sugerencias de dirección al escribirla. Dónde: Alemania. Qué datos: El texto de la dirección que se escribe.
• Open-Meteo — El tiempo de cada día en los informes. Dónde: Suiza / UE. Qué datos: Las coordenadas del centro (no datos de personas).

El encargado avisará al responsable de cualquier alta o cambio de subencargado con antelación, y el responsable podrá oponerse dándose de baja del servicio.

5. Transferencias internacionales

Los datos se alojan en la Unión Europea. Las únicas transferencias fuera del Espacio Económico Europeo son las indicadas en la lista de subencargados, amparadas en cláusulas contractuales tipo de la Comisión Europea o en el Marco de Privacidad de Datos UE-EE. UU.

6. Obligaciones del responsable

Informar a su plantilla (la app incluye el texto «Información para la plantilla»), tener base legal para cada tratamiento, introducir solo los datos necesarios y supervisar el tratamiento.