Contrato de encargado del tratamiento (DPA)
1. Partes y roles
De una parte, JESUS MARIA SANZ CARBO como prestador del servicio JORNAIA y encargado del tratamiento; de otra, la empresa cliente que contrata la plataforma y que actúa como responsable del tratamiento respecto de los datos personales tratados en su tenant.
2. Objeto
El presente acuerdo regula el tratamiento de datos personales que JORNAIA realiza por cuenta del Cliente para la prestación del servicio SaaS de control horario, gestión de usuarios, exportaciones, incidencias y funcionalidades accesorias contratadas.
3. Duración
Este acuerdo permanecerá vigente mientras JORNAIA trate datos por cuenta del Cliente en ejecución del contrato principal y durante los periodos adicionales de conservación, bloqueo o acceso restringido exigidos por ley o por la política contractual aplicable.
4. Naturaleza y finalidad del tratamiento
Alojamiento, conservación, organización, consulta, auditoría, transmisión segura, respaldo, exportación y demás operaciones necesarias para la prestación del servicio.
5. Categorías de datos y personas afectadas
Datos identificativos y laborales de empleados, administradores internos, supervisores, representantes legales y demás usuarios autorizados por el Cliente; registros de jornada, pausas, incidencias, metadatos operativos y, en su caso, geolocalización puntual ligada al acto de fichaje.
6. Instrucciones del responsable
JORNAIA tratará los datos únicamente siguiendo las instrucciones documentadas del Cliente, salvo obligación legal que le obligue a tratarlos de otra forma.
7. Deber de confidencialidad
JORNAIA garantizará que las personas autorizadas para tratar datos personales se comprometen a respetar la confidencialidad y reciben formación o instrucciones adecuadas en materia de seguridad y protección de datos.
8. Medidas de seguridad
JORNAIA aplicará medidas técnicas y organizativas adecuadas al riesgo, incluyendo control de accesos, separación lógica por tenant, cifrado de datos sensibles en reposo cuando proceda, trazabilidad de acciones sensibles, backups cifrados y medidas de disponibilidad y procedimientos de gestión de incidentes.
9. Subencargados
JORNAIA podrá recurrir a proveedores tecnológicos auxiliares o subencargados necesarios para la infraestructura, comunicaciones, soporte o seguridad, siempre dentro del EEE según la arquitectura actualmente prevista y garantizando un nivel equivalente de protección mediante acuerdos adecuados.
10. Transferencias internacionales
Conforme al diseño actual, los proveedores previstos se ubicarán dentro del Espacio Económico Europeo. Si fuera necesario incorporar un proveedor fuera del EEE, JORNAIA informará previamente al Cliente y solo procederá si existen garantías adecuadas conforme al RGPD.
11. Brechas de seguridad
JORNAIA notificará al Cliente sin dilación indebida cualquier incidente de seguridad que afecte a datos personales tratados por cuenta del mismo, aportando la información razonablemente disponible para la gestión del incidente y el cumplimiento de obligaciones legales.
Documento preparado para publicación como base operativa. Antes de publicar conviene revisar anexos, instrucciones, subencargados y medidas técnicas definitivas.