Contrato de encargo del tratamiento

Partes

Responsable del tratamiento: la empresa cliente que contrata Voussia («el responsable»). Encargado del tratamiento: Voussia («el encargado»).

Este contrato forma parte de las condiciones de uso del servicio y se aplica desde que el cliente empieza a usar Voussia. A petición del cliente, puede firmarse además en un documento aparte.

1. Objeto, duración y finalidad

El encargado trata los datos personales que el responsable registra en Voussia con la única finalidad de prestarle el servicio de gestión y control de obra: almacenarlos, mostrarlos a sus usuarios según su rol, generar informes y exportaciones, enviar los avisos que configure y, si las usa, prestar las funciones de IA.

El encargo dura lo mismo que el contrato del servicio.

2. Tipos de datos e interesados

• Usuarios del cliente: nombre, correo, rol, obras asignadas, accesos e historial de cambios.
• Personal de obra y de subcontratas: nombres, empresa, puesto, documentación y su caducidad, presencia en los partes.
• Incidencias de seguridad: descripción, lugar, fotos (que pueden incluir ubicación GPS), medida correctora y, en su caso, existencia de lesionados y la descripción de lo ocurrido. Pueden incluir datos de salud (categoría especial, art. 9 RGPD).
• Firmas y anotaciones de los libros de obra: nombre y calidad en que firma.
• Cualquier otro dato personal que el responsable incluya en textos, fotos o documentos.

3. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son estas condiciones y el uso que hace de la aplicación. Si una instrucción le parece contraria a la ley, lo avisará.
• No usar los datos para fines propios, ni cederlos, ni usarlos para entrenar modelos de IA.
• Garantizar que las personas autorizadas a tratarlos tienen un compromiso de confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 del RGPD: cifrado de las conexiones, contraseñas guardadas con un algoritmo de un solo sentido, separación de los datos de cada cliente, control de acceso por rol y obra, registro de cambios y copias de seguridad del proveedor de base de datos.
• Ayudar al responsable a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad, evaluaciones de impacto y consultas a la autoridad.
• Notificar al responsable, sin dilación indebida y en todo caso en un plazo de 48 horas desde que tenga conocimiento, cualquier brecha de seguridad que afecte a sus datos, con la información necesaria para que pueda notificarla a la autoridad en 72 horas.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con aviso previo.

4. Subencargados

El responsable autoriza de forma general al encargado a recurrir a los siguientes subencargados, con los que el encargado tiene contratos que imponen las mismas obligaciones de protección de datos:

El encargado informará al responsable de cualquier alta o cambio de subencargado con al menos 30 días de antelación, para que pueda oponerse. Las transferencias fuera del Espacio Económico Europeo se amparan en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo.

5. Obligaciones del responsable

• Tener base legal para los datos que registra e informar a los interesados, en especial a sus trabajadores y a los de sus subcontratas.
• Decidir qué usuarios acceden y con qué rol, y desactivar las cuentas que ya no deban tener acceso.
• Registrar solo los datos de salud imprescindibles en las incidencias con lesionados.

6. Fin del encargo

Al terminar el servicio, el encargado entregará al responsable, si lo pide, una exportación de sus datos y los suprimirá de sus sistemas en un plazo máximo de 30 días, incluidas las copias, salvo que la ley le obligue a conservarlos; en ese caso, los mantendrá bloqueados solo durante el plazo legal.