Data processing agreement

Partes

• Responsable del tratamiento (el «Cliente»): la empresa que contrata Pulcria y la usa para gestionar su actividad.
• Encargado del tratamiento (el «Encargado»): Unai Orive (Pulcria), NIF 47941116P, Carrer de Provença, 5, Barcelona, que presta la plataforma Pulcria.

Objeto, naturaleza y finalidad

El Encargado aloja y trata los datos que el Cliente introduce en la plataforma con la única finalidad de prestarle el servicio de software de gestión: almacenamiento, consulta, organización, cálculo, envío de avisos, copia de seguridad y supresión.

Datos y personas afectadas

• Personas afectadas: personal del Cliente, sus clientes y personas de contacto, usuarios del portal de clientes, personas que usan el canal de avisos o de denuncias y proveedores.
• Tipos de datos: identificativos y de contacto; laborales (contrato, categoría, cuadrantes, registro de jornada, ubicación en el momento de fichar, formación, prevención); económicos (nóminas, facturas, cuentas bancarias para domiciliaciones); imágenes del servicio; comunicaciones. El Cliente no debe introducir categorías especiales de datos salvo las imprescindibles por obligación legal.

Duración

Mientras esté vigente la suscripción. Al terminar se aplica lo previsto en «Fin del servicio».

Obligaciones del Encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del Cliente, que son este contrato y el uso que el Cliente hace de la plataforma. Si considera que una instrucción infringe la normativa, lo comunicará de inmediato.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
• Aplicar las medidas de seguridad indicadas más abajo y mantenerlas actualizadas.
• Ayudar al Cliente, teniendo en cuenta la naturaleza del tratamiento, a atender el ejercicio de derechos de las personas, a notificar brechas y a realizar evaluaciones de impacto y consultas previas cuando proceda.
• Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
• Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías, con un preaviso razonable y sin acceder a datos de otros clientes.

Subencargados

El Cliente autoriza de forma general a los siguientes subencargados, que asumen por contrato las mismas obligaciones de protección de datos: - Supabase Inc.: base de datos, inicio de sesión y archivos. Servidores en la Unión Europea. - Netlify Inc.: alojamiento y funcionamiento de la aplicación web. - Cloudflare Inc.: dominio, protección de la red, reenvío del correo de soporte y el asistente de ayuda con inteligencia artificial. - Resend (Plus Five Five Inc.): envío de los correos de la aplicación (accesos, avisos, facturas). - GitHub Inc.: copia de seguridad diaria de la base de datos, cifrada antes de salir, conservada 30 días. - Stripe Payments Europe Ltd. (Irlanda): cobro de la suscripción. Solo recibe los datos de la empresa que paga. - Anthropic PBC: lectura automática de documentos y traducción, solo cuando se usan esas funciones. - Proveedores de WhatsApp o SMS, solo si la empresa activa esos avisos.

Transferencias internacionales

Los datos se alojan en la Unión Europea. Si algún subencargado los trata fuera del Espacio Económico Europeo, se hará solo con garantías adecuadas: decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU. cuando el subencargado esté adherido) o cláusulas contractuales tipo, con las medidas complementarias que procedan.

Medidas de seguridad (art. 32 RGPD)

• Cifrado de las comunicaciones (HTTPS/TLS) y de las copias de seguridad.
• Aislamiento de los datos de cada empresa en la base de datos mediante políticas de seguridad a nivel de fila: cada usuario solo accede a lo que su empresa y su permiso le permiten.
• Permisos por función, contraseñas robustas y PIN con bloqueo tras intentos fallidos.
• Registro de los accesos a datos sensibles (DNI, llaves, exportaciones) y de los cambios relevantes.
• Copia de seguridad diaria conservada 30 días y procedimiento de restauración.
• Actualización periódica del software y revisión de vulnerabilidades.
• Acceso del personal del Encargado limitado a lo imprescindible para el soporte y el mantenimiento.

Brechas de seguridad

El Encargado notificará al Cliente, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, toda brecha que afecte a sus datos, con la información disponible: naturaleza de la brecha, categorías y número aproximado de personas y registros afectados, consecuencias probables, medidas adoptadas o propuestas y un contacto. La comunicación a la Agencia Española de Protección de Datos y a las personas afectadas corresponde al Cliente, con la ayuda del Encargado.

Fin del servicio

Al terminar la suscripción, el Cliente puede descargar todos sus datos en formato estándar desde la propia aplicación («Descargar mis datos») durante 30 días. Pasado ese plazo, el Encargado suprimirá los datos de la plataforma, y las copias de seguridad que los contengan se eliminarán por rotación en un máximo de 30 días más. Solo se conservarán, bloqueados, los datos que una ley obligue a guardar, durante el plazo de prescripción de las responsabilidades derivadas del servicio.

Responsabilidad

Si el Encargado destina los datos a otra finalidad, los comunica o los usa incumpliendo este contrato, será considerado responsable del tratamiento en lo que respecta a ese tratamiento (art. 28.10 RGPD) y responderá de las infracciones en que haya incurrido.