Contrato de encargo del tratamiento

1. Partes

RESPONSABLE DEL TRATAMIENTO: la empresa cliente identificada en el encabezado de este documento (en adelante, «el Responsable»), que es la empleadora de las personas trabajadoras cuya jornada se registra.

ENCARGADO DEL TRATAMIENTO: Surgimob, S.L., con NIF B05383997 y domicilio en Calle Príncipe de Vergara, 2, 1.º Izq., 28001 Madrid (España), titular del servicio FichaTrabajo (en adelante, «el Encargado»).

2. Objeto

Este contrato regula el acceso del Encargado a los datos personales de los que es responsable el Responsable, con el único fin de prestar el servicio de registro de jornada laboral FichaTrabajo. Se suscribe en cumplimiento del artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y del artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

El acceso del Encargado a los datos no tiene la consideración de comunicación de datos, sino de acceso por cuenta de tercero conforme al artículo 28 del RGPD.

3. Descripción del tratamiento

4. Obligaciones del Encargado

El Encargado se obliga a:

1. Instrucciones documentadas. Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales. Se consideran instrucciones documentadas las contenidas en este contrato y las que el Responsable ejecuta al usar la aplicación. Si el Encargado considera que una instrucción infringe la normativa, lo comunicará de inmediato.
2. No usar los datos para fines propios. No aplicará ni utilizará los datos con fin distinto al de prestar el servicio. En particular, no los venderá, ni los cederá, ni los empleará con fines publicitarios, ni para entrenar sistemas automatizados, ni los combinará con datos de otras empresas cliente.
3. Confidencialidad. Mantener el deber de secreto, que subsistirá tras finalizar la relación, y garantizar que las personas autorizadas para tratar los datos se han comprometido expresamente y por escrito a respetar la confidencialidad.
4. Seguridad. Aplicar las medidas técnicas y organizativas apropiadas del artículo 32 del RGPD, descritas en el Anexo I.
5. Aislamiento. Garantizar que cada empresa cliente accede exclusivamente a sus propios datos, sin que ninguna pueda ver los de otra.
6. Subencargados. No recurrir a otro encargado sin autorización previa. Se autorizan de forma general los subencargados listados en el Anexo II. Cualquier alta o cambio se comunicará con antelación razonable, pudiendo el Responsable oponerse y, en tal caso, resolver el contrato sin penalización. Los subencargados quedarán sujetos a las mismas obligaciones mediante contrato.
7. Derechos de los interesados. Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas, para que pueda responder a las solicitudes de ejercicio de derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición. Si un interesado se dirige al Encargado, este lo comunicará al Responsable con prontitud. La aplicación permite además a cada persona trabajadora consultar y descargar su propio registro.
8. Asistencia al Responsable. Ayudar al Responsable en el cumplimiento de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información disponible.
9. Violaciones de seguridad. Notificar al Responsable, sin dilación indebida y en un plazo máximo de 24 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información necesaria para que el Responsable pueda cumplir el artículo 33 del RGPD: naturaleza del incidente, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas.
10. Devolución o supresión. A la finalización de la prestación, y a elección del Responsable, devolverle los datos en formato reutilizable (CSV) o suprimirlos, junto con las copias existentes. Podrá conservarlos bloqueados durante los plazos en que puedan derivarse responsabilidades legales, y en todo caso mientras subsista la obligación de conservación del artículo 34.9 del Estatuto de los Trabajadores.
11. Acreditación y auditoría. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a auditorías e inspecciones, realizadas por el Responsable o por un auditor autorizado por él, previo aviso razonable.
12. Registro de actividades. Llevar el registro de categorías de actividades de tratamiento efectuadas por cuenta del Responsable, conforme al artículo 30.2 del RGPD.

5. Obligaciones del Responsable

Corresponde al Responsable:

1. Informar previamente a su plantilla de la existencia y funcionamiento del sistema de registro de jornada, así como del tratamiento de sus datos.
2. Realizar la consulta o negociación con la representación legal de las personas trabajadoras cuando la normativa laboral lo exija, y documentar la decisión adoptada.
3. Cumplir el principio de minimización: introducir en la aplicación únicamente los datos necesarios, sin añadir información innecesaria en los campos libres, como el nombre o el motivo de una corrección.
4. Gestionar de forma diligente las credenciales de administración y los PIN asignados, y revocarlos cuando proceda.
5. Utilizar los datos de jornada exclusivamente para las finalidades legalmente admisibles, sin emplearlos para un control excesivo o desproporcionado.
6. Atender las solicitudes de ejercicio de derechos de sus personas trabajadoras, en su condición de responsable.
7. Realizar, cuando proceda, la evaluación de impacto relativa a la protección de datos.
8. Velar por el cumplimiento previo y durante todo el tratamiento de la normativa de protección de datos.

6. Ubicación de los datos y transferencias internacionales

Los datos se almacenan íntegramente en servidores situados en Ámsterdam (Países Bajos), dentro del Espacio Económico Europeo. No se replican ni se alojan fuera del EEE.

La infraestructura se contrata con DigitalOcean, LLC, sociedad domiciliada en Estados Unidos que actúa como subencargado (Anexo II). En la medida en que esa condición pueda implicar accesos puntuales desde fuera del EEE con fines de soporte o mantenimiento de la infraestructura, tales accesos quedan amparados por las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, incorporadas al acuerdo de tratamiento de datos del proveedor, conforme al artículo 46.2.c del RGPD.

Cualquier nueva transferencia internacional se comunicará previamente al Responsable y se ampararía en alguna de las garantías del Capítulo V del RGPD.

7. Responsabilidad

Cada parte responde del incumplimiento de sus propias obligaciones conforme al artículo 82 del RGPD. El Encargado responderá de los daños causados cuando no haya cumplido las obligaciones que el RGPD impone específicamente a los encargados o haya actuado al margen de las instrucciones lícitas del Responsable. El Encargado no responde del uso que el Responsable haga de la herramienta ni de la veracidad de los datos que introduzca.

8. Gratuidad, duración y resolución

El servicio se presta actualmente de forma gratuita, sin contraprestación económica. Este contrato entra en vigor con su aceptación y permanece vigente mientras dure la prestación del servicio. Cualquiera de las partes puede resolverlo comunicándolo a la otra, aplicándose entonces lo previsto en la cláusula 4.10 sobre devolución o supresión de los datos.

9. Modificaciones

Si la normativa o el servicio cambian, el Encargado podrá publicar una nueva versión de este contrato, comunicándolo al Responsable, que deberá aceptarla. Se conservará constancia de cada versión aceptada y de la fecha de aceptación.

10. Legislación aplicable

Este contrato se rige por el RGPD, la LOPDGDD y el resto de normativa española aplicable. Para cualquier controversia, las partes se someten a los juzgados y tribunales que resulten competentes conforme a derecho.

Anexo I — Medidas técnicas y organizativas de seguridad (art. 32 RGPD)

• Cifrado en tránsito: todo el tráfico viaja por HTTPS/TLS, con redirección forzosa desde HTTP y cabecera HSTS.
• Control de acceso: autenticación por código de empresa, identificador y PIN para las personas trabajadoras; usuario y contraseña para el personal administrador.
• Contraseñas: las de administración se almacenan mediante función de derivación de clave (scrypt) con sal. No se guardan en claro ni son recuperables.
• Sesiones: cookie de sesión firmada, con atributos HttpOnly, Secure y SameSite=Lax.
• Segregación multiempresa: toda consulta está acotada a la empresa de la sesión; se verifica la pertenencia antes de mostrar o modificar cualquier dato.
• Integridad y trazabilidad: toda alta manual, corrección o eliminación de un fichaje exige indicar un motivo y queda registrada de forma indeleble con su autor, el valor anterior, el nuevo y la fecha.
• Minimización: no se recogen datos de geolocalización, biométricos ni imágenes. El navegador tiene bloqueado el acceso a cámara, micrófono y ubicación mediante cabecera Permissions-Policy.
• Endurecimiento del servidor web: cabeceras Content-Security-Policy, X-Frame-Options, X-Content-Type-Options y Referrer-Policy. La aplicación no es accesible directamente desde internet, solo a través del servidor web.
• Ausencia de terceros: el servicio no carga recursos externos ni utiliza herramientas de analítica, publicidad o seguimiento.
• Disponibilidad: el servicio se reinicia automáticamente ante fallos y se realizan copias de seguridad de la base de datos.
• Capacidad de recuperación: exportación íntegra de los datos en formato CSV en cualquier momento.

Anexo II — Subencargados autorizados

No existen otros subencargados. Cualquier incorporación futura se comunicará previamente al Responsable conforme a la cláusula 4.6.