Contrato de encargo del tratamiento

Este acuerdo forma parte de las condiciones entre la empresa cliente, como responsable, y Gorelan Instalaciones SLU, como encargado, durante la prestación de FichaPunto.

Objeto y alcance

El encargado alojará y tratará datos de identificación laboral, contacto opcional y registros de jornada de empleados para prestar soporte, conservación, consulta, corrección trazable y exportación. Los interesados son empleados, administradores y representantes de la empresa cliente.

Instrucciones y confidencialidad

Los datos solo se tratarán siguiendo instrucciones documentadas del responsable y estas condiciones, salvo obligación legal. El personal autorizado estará sujeto a confidencialidad. Si una instrucción infringe la normativa, se informará al responsable.

Seguridad

Se aplicarán medidas apropiadas al riesgo: HTTPS, control de acceso y separación lógica por empresa, hash de credenciales, registros de auditoría, protección frente a alteración, copias de seguridad, gestión de vulnerabilidades e incidentes y revisión de permisos. El responsable debe proteger sus credenciales y gestionar correctamente sus usuarios.

Subencargados

El responsable autoriza con carácter general a Hostinger para alojamiento e infraestructura y a los proveedores de correo transaccional estrictamente necesarios. Stripe actúa sobre datos de cliente y facturación y no recibe fichajes. Los cambios materiales de subencargados se comunicarán, permitiendo objeciones justificadas antes de su incorporación.

Derechos, brechas y cooperación

El encargado asistirá al responsable en solicitudes de derechos, análisis de riesgos, evaluaciones de impacto, consultas y brechas. Comunicará al responsable las violaciones de seguridad de datos personales sin dilación indebida desde que tenga conocimiento, aportando la información disponible. No responderá directamente a un trabajador salvo autorización o mandato legal.

Transferencias

No se realizarán transferencias internacionales sin una garantía válida conforme al RGPD. El responsable podrá solicitar información sobre ubicación y garantías aplicables.

Finalización, devolución y auditoría

Finalizado el servicio, a elección del responsable se facilitará la exportación y se suprimirán o devolverán los datos, salvo obligación de conservación. Durante los plazos legales quedarán bloqueados y sin uso ordinario. Las copias se eliminarán con su ciclo de rotación. El encargado pondrá a disposición información razonable para demostrar cumplimiento y permitirá auditorías proporcionadas, sujetas a confidencialidad y preaviso.