Acuerdo de encargo del tratamiento de datos

Este acuerdo vincula al cliente identificado en la orden como responsable y a la entidad de Worksible allí identificada como encargada, exclusivamente para los tratamientos realizados por cuenta del cliente. Si el cliente actúa como encargado de otra entidad, declara disponer de autorización suficiente para designar a Worksible como subencargada e identifica las instrucciones y obligaciones pertinentes.

Los tratamientos para fines propios de cada entidad, como cumplimiento de obligaciones fiscales, prevención de fraude o identificación legal cuando le correspondan, no se convierten en encargos por este acuerdo. Deben delimitarse por finalidad, base jurídica y entidad en la información de privacidad. No se utilizará la categoría de responsable independiente para eludir instrucciones sobre datos tratados por cuenta del cliente.

Si ambas partes determinan conjuntamente fines y medios de un tratamiento, lo documentarán mediante un acuerdo específico de corresponsabilidad. La entidad que recibe datos no decide unilateralmente su función mediante una etiqueta contractual.

• Objeto: prestar las funciones contratadas de gestión de profesionales, documentos, encargos, aprobaciones, informes e integraciones, y asistencia de IA solo cuando se active expresamente.
• Duración: el contrato del servicio y el periodo limitado de exportación y supresión. La conservación por obligación legal propia se separa del encargo y se restringe a su finalidad.
• Operaciones: recogida por instrucciones, registro, organización, alojamiento, consulta, generación de documentos, transmisión a destinatarios autorizados, exportación, soporte, copias de seguridad y supresión.
• Interesados: usuarios de la organización, representantes, contactos, profesionales, creadores, colaboradores y otras personas cuyos datos sean necesarios para los encargos admitidos.
• Datos ordinarios: identidad y contacto profesionales, función, credenciales protegidas, identificadores fiscales, contratos, facturas, instrucciones de pago, referencias bancarias, actividad y evidencias documentales necesarias.
• Datos excluidos por defecto: categorías especiales, datos penales, biometría identificativa, datos de menores y datos ajenos al objeto del servicio. Su tratamiento por cuenta del cliente requiere anexo específico con necesidad, base jurídica, medidas y autorización; no se deduce de una carga accidental.
• Finalidad: ejecutar el servicio e instrucciones documentadas del cliente, sin publicidad comportamental, venta de información o entrenamiento general de modelos con datos del encargo.

La orden y la ficha de tratamiento identificarán los módulos activados, categorías adicionales, titulares, regiones, destinatarios y plazos específicos. Si un elemento esencial no puede concretarse, no se iniciará ese tratamiento hasta documentarlo. El presente anexo establece el alcance ordinario, no una autorización ilimitada sobre cualquier dato cargado.

Worksible tratará los datos solo por instrucciones documentadas, incluidas las del contrato y configuraciones autorizadas. Informará inmediatamente si considera que una instrucción infringe la normativa y podrá suspender únicamente su ejecución mientras se aclara. Si la ley obliga a tratar de otro modo, informará previamente salvo prohibición legal y limitará el tratamiento a lo exigido.

El cliente determina la legitimidad, exactitud, minimización e información de los tratamientos que instruye y atiende los derechos que le correspondan. Worksible conserva sus obligaciones propias como encargada y no podrá trasladarlas íntegramente al cliente.

El personal autorizado estará sujeto a confidencialidad y formación adecuada. El acceso se limitará a funciones necesarias, incluidas las de soporte, con controles y registro proporcionales. No se accederá a documentos de clientes por interés comercial ajeno al servicio.

Antes de iniciar el tratamiento, la encargada deberá implantar y documentar las medidas adecuadas al riesgo. Las siguientes son obligaciones mínimas del encargo que deberán concretarse en su ficha de seguridad antes de activarlo:

• Control de acceso por funciones, separación lógica entre organizaciones, mínimo privilegio, revisión y revocación de permisos, y autenticación reforzada para accesos administrativos sensibles.
• Protección de comunicaciones mediante cifrado apropiado, protección de datos almacenados y gestión separada y restringida de secretos y claves conforme al riesgo.
• Registro de accesos y operaciones relevantes, supervisión de incidentes y protección de logs contra alteración o acceso indebido, con retención proporcionada.
• Gestión de vulnerabilidades, actualizaciones, cambios y desarrollo seguro, incluida validación de entradas y revisión de dependencias relevantes.
• Copias de seguridad protegidas, comprobaciones de recuperación y procedimientos de continuidad que permitan restaurar disponibilidad y acceso en un plazo adecuado al servicio.
• Procedimiento de respuesta a incidentes, asignación de responsabilidades, preservación de evidencia y canales de aviso al cliente.
• Minimización de datos, separación entre producción y pruebas, restricciones de exportación y eliminación segura al finalizar los plazos.
• Evaluaciones periódicas de eficacia de controles, gestión de proveedores y formación del personal con acceso.

Los parámetros verificables de alojamiento, cifrado, copia, recuperación, retención y gestión de accesos se recogerán en la ficha de seguridad entregada antes de activar el encargo. Se podrán actualizar medidas sin reducir el nivel global de protección; los cambios materiales se comunicarán. No se promete certificación ISO, SOC, cifrado de extremo a extremo o ubicación exclusiva en la UE sin evidencia y compromiso específico.

El cliente concede autorización general únicamente para las categorías de servicios necesarias identificadas en la lista de subencargados entregada y aceptada con la orden. La lista debe contener denominación legal, función, ubicación de tratamiento, datos afectados y mecanismo de transferencia cuando proceda. No se considera autorizada una lista vacía ni la mera referencia genérica a proveedores de nube o IA.

Las altas o sustituciones se comunicarán con treinta días de antelación. El cliente podrá oponerse en ese plazo por motivos razonados de protección de datos. Las partes buscarán una alternativa; si no fuera viable, el cliente podrá terminar el módulo afectado antes de que el nuevo proveedor acceda a sus datos, con devolución proporcional del servicio no prestado. Una urgencia no dispensa de obtener autorización válida antes de dar acceso.

La encargada impondrá al subencargado obligaciones equivalentes en lo pertinente, verificará garantías suficientes y seguirá respondiendo frente al cliente del cumplimiento de sus obligaciones de subencargo. Identificará por separado a proveedores que actúen como responsables independientes y justificará esa función según el tratamiento real.

No se realizará una transferencia fuera del EEE de datos del encargo sin instrucción documentada y mecanismo válido: decisión de adecuación aplicable o garantías apropiadas, incluidas cláusulas contractuales tipo con módulo y anexos completos cuando proceda, además de evaluación y medidas complementarias necesarias. La mera aceptación de este acuerdo o el uso de un proveedor estadounidense no constituye un mecanismo de transferencia.

Se evaluará también el acceso remoto desde terceros países. Se informará al cliente de requerimientos de autoridades cuando sea legalmente posible, se comprobará su legitimidad y se limitará la entrega a lo exigible. Si el mecanismo pierde validez o no ofrece garantías suficientes, se adoptará alternativa lícita o se suspenderá el tratamiento afectado.

La encargada notificará al contacto de seguridad del cliente sin dilación indebida y, como compromiso contractual, a más tardar veinticuatro horas después de tener constancia de una violación de seguridad de datos personales del encargo. No esperará a completar la investigación. Si faltan datos, enviará aviso inicial y actualizaciones razonables.

La comunicación describirá naturaleza, categorías y número aproximado de interesados y registros cuando se conozcan, contacto, consecuencias probables, medidas adoptadas o previstas y recomendaciones de mitigación. Se conservará evidencia y se cooperará en investigación, recuperación y comunicaciones. El cliente decide las notificaciones que le correspondan, sin impedir obligaciones legales propias de la encargada.

Worksible asistirá mediante medidas apropiadas en solicitudes de derechos, evaluaciones de impacto, consultas previas y obligaciones de seguridad, atendiendo a la naturaleza y a la información disponible. Remitirá las solicitudes recibidas al cliente sin demora y no responderá en su nombre salvo instrucción o exigencia legal. No condicionará la asistencia obligatoria o urgente al pago previo de una tarifa.

La encargada facilitará la información necesaria para demostrar cumplimiento y permitirá auditorías, incluidas inspecciones por el cliente o auditor independiente sujeto a confidencialidad. Podrán coordinarse con un preaviso ordinario de diez días hábiles, sin impedir auditorías urgentes por incidente o requerimiento de autoridad.

Se podrán aportar informes independientes para evitar duplicidades, pero no sustituirán una comprobación adicional razonablemente necesaria. Se protegerán datos de otros clientes y secretos ajenos. Los costes extraordinarios solo podrán acordarse de forma razonable; no se utilizarán para impedir derechos de auditoría y Worksible asumirá la corrección de incumplimientos propios.

Los derechos de interesados, facultades de autoridades y responsabilidades imperativas permanecen intactos. La distribución interna de costes atenderá a la conducta imputable de cada parte. Ningún límite contractual se opone al interesado que reclame conforme al RGPD.

Al finalizar, el cliente dispondrá de treinta días para indicar devolución o supresión y descargar sus datos por un medio seguro. Elegida la devolución, se facilitarán en un formato estructurado de uso común cuando corresponda, junto con documentos. Se suprimirán las copias activas en un máximo de sesenta días desde finalizar ese periodo, salvo instrucción de supresión anterior y plazo técnicamente viable.

Las copias de seguridad se eliminarán por rotación en un máximo de noventa días adicionales, permanecerán aisladas del uso ordinario y, si se restauran para recuperación, se reaplicará la supresión. Los datos conservados por obligación legal se limitarán y bloquearán conforme a la normativa, identificando finalidad y plazo cuando se solicite. Se certificará la supresión a petición del cliente.

Los plazos inferiores exigidos legalmente o acordados para datos sensibles prevalecen. Las obligaciones de seguridad y confidencialidad continúan mientras existan datos. Este acuerdo prevalece en su materia y no sustituye la política de privacidad ni autoriza cookies o comunicaciones comerciales.