Contrato de Encargo de Tratamiento (DPA)
Versión 1.0 — Artículo 28 del Reglamento (UE) 2016/679 (RGPD)
Partes
Responsable del Tratamiento (Cliente)
La empresa cliente que contrata los servicios, identificada en el registro inicial con su CIF.
Encargado del Tratamiento (Prestador)
Nivel03 Online SL — NIF B-27790401 — Calle Santa Marta 52 - 7º, 36202 Vigo (Pontevedra) — legal-dpo@jornatrack.com
1. Objeto y ámbito del encargo
El Responsable encarga al Encargado el tratamiento de los datos personales de los trabajadores con la finalidad exclusiva de prestar el servicio de registro horario y gestión de recursos humanos a través de la plataforma Jornatrack.
El tratamiento encargado comprende exclusivamente:
- Almacenamiento y gestión de registros de entrada y salida (fichajes).
- Gestión de vacaciones, permisos, ausencias, bajas médicas e incidencias.
- Generación de certificaciones mensuales de registros horarios.
- Notificaciones y comunicaciones operativas relacionadas con el servicio.
- Exportación y descarga de datos por parte del Responsable.
2. Duración del tratamiento
El presente DPA vincula a las partes desde el registro del Responsable en la Plataforma y mantendrá su vigencia mientras el Encargado preste servicios que impliquen el tratamiento de datos personales. Finalizada la relación contractual, el Encargado procederá a la devolución o destrucción de los datos conforme a lo establecido en la cláusula 10.
3. Naturaleza y categorías de datos
El Encargado tratará las siguientes categorías de datos personales de los trabajadores:
- Datos identificativos: nombre, apellidos, DNI/NIE, email, teléfono.
- Datos de jornada: registros de entrada y salida, pausas, horas trabajadas, horas extra, geolocalización aproximada en el momento del fichaje.
- Datos de ausencias: vacaciones solicitadas y disfrutadas, permisos, bajas médicas (fechas, motivos, documentación adjunta).
- Datos de incidencias: retrasos, salidas anticipadas, horas extra, compensaciones programadas.
- Datos de certificaciones mensuales: resúmenes revisados, conformidades y disputas documentadas.
Quedan expresamente excluidos los datos de categorías especiales (artículo 9 RGPD), salvo que el Responsable introduzca datos de salud (bajas médicas). En tal caso, el Responsable declara que existe una base jurídica aplicable (ejecución de derechos/obligaciones en materia laboral, art. 9.2.b RGPD).
4. Obligaciones del encargado
El Encargado se obliga a:
- Tratar los datos únicamente por cuenta del Responsable, salvo obligación legal imperativa que lo impida.
- Garantizar la confidencialidad de las personas autorizadas para tratar los datos.
- Implementar medidas de seguridad técnicas y organizativas necesarias: cifrado AES-256 y TLS 1.3, autenticación con bcrypt, RBAC, auditoría de acciones, backups diarios.
- Respetar las condiciones para el encargo de tratamientos a otros encargados (subencargados), conforme a la cláusula 6.
- Ayudar al Responsable a cumplir con las solicitudes de ejercicio de derechos de los interesados.
- Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento.
- Notificar al Responsable sin dilación indebida, y en todo caso en el plazo máximo de 72 horas, cualquier violación de seguridad.
5. Instrucciones del responsable
El Responsable instruye expresamente al Encargado para que almacene y gestione los datos de los trabajadores conforme a las funcionalidades de la Plataforma, permita al Responsable acceder, modificar, exportar y eliminar dichos datos, genere certificaciones mensuales con sellado de tiempo, envíe notificaciones operativas, y elimine definitivamente los datos personales transcurridos 30 días naturales desde la finalización de la suscripción, salvo instrucciones en contrario.
El Responsable se compromete a garantizar que el tratamiento se realiza conforme al RGPD, obtener el consentimiento de los trabajadores cuando sea necesario, informar a los trabajadores del uso de la Plataforma, no introducir datos de categorías especiales sin base jurídica, e indemnizar al Encargado de cualquier daño derivado del incumplimiento de estas obligaciones.
6. Subencargados (subcontratistas)
| Subencargado | Servicio | Ubicación datos |
|---|---|---|
| Vercel Inc. | Alojamiento y ejecución (hosting serverless) | Unión Europea (Frankfurt) |
| Supabase Inc. | Base de datos PostgreSQL y almacenamiento | Unión Europea (Frankfurt) |
| Stripe Inc. | Pasarela de pagos y gestión de suscripciones | Estados Unidos (transferencia con SCC) |
| GitHub Inc. | Almacenamiento de certificaciones mensuales (anexos judiciales con hash SHA-256 y sellado OpenTimestamps) en repositorio privado | Estados Unidos (transferencia con SCC) |
El Encargado informará al Responsable con un preaviso de 30 días de cualquier cambio en los subencargados. El Encargado garantiza que los subencargados están vinculados por obligaciones equivalentes a las estipuladas en el presente DPA.
7. Transferencias internacionales
Los datos personales se alojan principalmente en la Unión Europea. Stripe y GitHub, como subencargados para pagos y almacenamiento de certificaciones respectivamente, pueden procesar datos en Estados Unidos con las garantías del capítulo V del RGPD, aplicando las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea. El Encargado no realizará transferencias internacionales adicionales sin autorización previa del Responsable.
8. Confidencialidad
El Encargado y su personal se comprometen a mantener la confidencialidad de los datos personales a los que accedan, incluso después de la finalización del encargo.
9. Auditoría e inspección
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitirá auditorías con preaviso de 15 días, en horario laboral y sin perturbar la operatividad de la Plataforma.
10. Devolución y destrucción de datos
Finalizado el encargo, el Encargado devolverá o destruirá, a elección del Responsable, todos los datos personales. En todo caso, transcurridos 30 días naturales desde la finalización de la suscripción, procederá a la eliminación definitiva e irreversible de todos los datos personales de los trabajadores, salvo que se contrate el Plan Archivo.
El Encargado conservará únicamente los datos necesarios para cumplir con obligaciones legales propias (registros de facturación durante 5 años), siempre limitados a datos fiscales del Responsable (CIF, nombre).
11. Responsabilidad e indemnidad
Cada parte será responsable frente a la otra de los daños causados por el tratamiento cuando haya incumplido las obligaciones del presente DPA o las exigencias del RGPD. Cada parte indemnizará a la otra de reclamaciones, daños, costes y gastos derivados del incumplimiento de sus obligaciones.
12. Legislación aplicable y jurisdicción
El presente DPA se rige por la legislación española. Las partes se someten a los Juzgados y Tribunales de Madrid.
13. Aceptación
El Responsable acepta expresamente el presente DPA al registrarse en la Plataforma, marcando la casilla de aceptación correspondiente. Dicha aceptación constituye firma electrónica conforme al artículo 25 de la Ley 59/2003, de 19 de diciembre, de firma electrónica.