Acord de tractament de dades

1. Per què existeix aquest document

En fer servir Rechnia, l'empresa que contracta el servei (d'ara endavant, «el client») introdueix dades personals de tercers: el seu propi personal —inclosos documents d'identitat, contractes, nòmines, fitxatges i justificants d'absència—, candidats a un lloc de treball, persones de contacte dels seus proveïdors i compradors, i particulars que intervenen com a venedors o compradors en una compravenda.

Sobre aquestes dades, el client és el responsable del tractament i el titular de Rechnia, amb NIF 48244334V i domicili a Vilafranca del Penedès (Barcelona), 08720, correu rechnia@rechnia.com (d'ara endavant, «el prestador»), és l'encarregat del tractament: les tracta per compte del client i seguint les seves instruccions, no per a finalitats pròpies. Les seves dades completes d'identificació figuren a les factures que emet i es faciliten a qualsevol persona que les demani a rechnia@rechnia.com. Aquest document recull les condicions d'aquest encàrrec, d'acord amb l'article 28 del Reglament (UE) 2016/679.

Forma part del contracte de servei i s'accepta juntament amb els termes i condicions.

2. Objecte, durada i naturalesa del tractament

Objecte: la prestació del servei Rechnia descrita als termes i condicions.

Durada: mentre estigui vigent la subscripció, més els trenta (30) dies de recuperació de dades posteriors a la baixa.

Operacions: recollida, registre, estructuració, conservació, consulta, modificació, supressió, exportació i posada a disposició del mateix client; i, quan el client fa servir les funcions corresponents, comunicació als serveis externs que s'indiquen a l'apartat 4.

Categories d'interessats: personal del client, candidats a un lloc de treball, persones de contacte dels seus proveïdors i compradors, i particulars que intervinguin en les operacions de compravenda.

Categories de dades: identificatives i de contacte, dades professionals i de nòmina, horaris de treball (fitxatges), documents d'identitat, contractes, currículums i dades de candidatures, justificants d'absències i de despeses, fotos de perfil, adreces postals i dades econòmiques de les operacions.

Dades de salut: l'aplicació permet registrar baixes mèdiques del personal, amb un motiu en text lliure i un justificant adjunt. Són dades de la categoria especial de l'article 9 del RGPD. El client les tracta com a empresari per complir les seves obligacions en matèria laboral i de Seguretat Social, en la mesura que ho autoritza el Dret espanyol (art. 9.2.b del RGPD, en relació amb les obligacions que imposen a l'empresari la legislació laboral i la de Seguretat Social), i s'obliga a no consignar el diagnòstic ni més informació clínica que la que figuri al comunicat que rep l'empresa. L'aplicació limita qui les veu: el tipus d'absència, el motiu i el justificant només els veuen l'administrador i la mateixa persona; la resta del personal veu únicament qui és absent i en quines dates, perquè cal per organitzar la feina. No està previst el tractament de cap altra categoria especial de dades, i el client s'obliga a no introduir-les en camps no destinats a això.

3. Obligacions del prestador com a encarregat

Tractar les dades únicament seguint instruccions documentades del client, inclòs el relatiu a transferències internacionals, llevat d'obligació legal.

No fer servir les dades per a finalitats pròpies, no cedir-les a tercers diferents dels subencarregats autoritzats, i no emprar-les per entrenar sistemes d'intel·ligència artificial.

Garantir que les persones autoritzades a tractar-les s'hagin compromès a la confidencialitat.

Aplicar mesures tècniques i organitzatives apropiades, entre elles: accés només amb compte identificat i contrasenya amb requisits mínims; una sola sessió oberta per compte, amb caducitat per inactivitat i absoluta; bloqueig temporal després d'intents fallits; separació estricta de les dades entre empreses clients, comprovada amb proves automàtiques; contrasenyes emmagatzemades de manera irreversible; documents guardats amb nom aleatori i servits només a qui hi té dret; comunicacions xifrades; i una còpia de seguretat diària de la base de dades, de la qual es conserven les set més recents.

Assistir el client, en la mesura que sigui possible, per atendre les sol·licituds d'exercici de drets que rebi, i per complir les seves obligacions de seguretat i de notificació de bretxes.

Notificar al client sense dilació indeguda qualsevol violació de la seguretat de les dades de què tingui coneixement, amb la informació disponible perquè pugui complir les seves pròpies obligacions.

Posar a disposició del client la informació necessària per demostrar el compliment d'aquestes obligacions.

En finalitzar l'encàrrec, i a elecció del client, retornar-li les seves dades —que pot obtenir mitjançant les exportacions de l'aplicació mentre conservi l'accés i, en els trenta (30) dies naturals posteriors a la baixa, mitjançant una còpia completa si la demana— i suprimir-les, llevat de les que s'hagin de conservar per obligació legal.

Informar immediatament el client si, segons el seu parer, una instrucció seva infringeix la normativa de protecció de dades.

4. Subencarregats i serveis externs

El client autoritza de manera general la intervenció dels subencarregats necessaris per prestar el servei. Són tres: el proveïdor d'allotjament, Render Services, Inc. (empresa nord-americana; servidors a Frankfurt, Unió Europea), que allotja l'aplicació, la base de dades, els fitxers pujats i les còpies de seguretat; el proveïdor de l'ajuda integrada, Groq, Inc. (Estats Units; o Mistral AI, França, si el prestador canviés), que rep únicament el que la persona escriu al camp de pregunta i els torns anteriors d'aquella conversa, amb les garanties de transferència indicades a la política de privacitat; i el proveïdor del correu electrònic del prestador, Zoho Corporation B.V. (Països Baixos, Unió Europea), que rep i conserva la correspondència que el client i les persones amb compte d'accés mantenen amb el prestador, i pel qual l'aplicació envia els correus que envia per si mateixa a aquestes persones (l'enllaç per restablir una contrasenya oblidada, l'enllaç d'invitació per completar l'alta i el correu de benvinguda).

A més, en fer servir determinades pantalles, l'aplicació comunica adreces postals i coordenades a tercers que no són subencarregats i no accedeixen a les dades guardades: a Google LLC (Google Routes), que les tracta d'acord amb les seves pròpies condicions, i als serveis comunitaris d'OpenStreetMap (Nominatim i OSRM), amb els quals no hi ha contracte. Aquestes comunicacions es produeixen en obrir la calculadora d'importació o un expedient i en escriure una adreça en un formulari amb mapa, i les adreces són les que el mateix client ha introduït per situar un vehicle o calcular una ruta; el client les autoritza expressament en acceptar aquest acord, com a instrucció documentada. A Vincario s'envia únicament el número de bastidor quan una persona prem el botó de descodificar. Fora d'aquestes adreces, aquest bastidor i aquest text, l'aplicació no envia a cap d'ells dades del personal ni dels contactes.

Les pantalles amb mapa carreguen el requadre des de Google Maps (o OpenStreetMap) al navegador de la persona que les obre, de manera que el proveïdor del mapa rep les coordenades del punt i l'adreça IP d'aquell navegador i pot instal·lar les seves pròpies galetes; el client ho autoritza en acceptar aquest acord i s'encarrega d'informar-ne el seu personal.

El prestador informarà de qualsevol canvi previst de subencarregats o de serveis externs amb antelació suficient perquè el client s'hi pugui oposar. Si s'hi oposa per motius raonables, qualsevol de les parts podrà resoldre el contracte sense penalització.

El prestador imposarà a cada subencarregat, per contracte, obligacions equivalents a les d'aquest document, i respondrà davant del client del seu compliment.

5. Obligacions del client com a responsable

Comptar amb una base jurídica vàlida per als tractaments que faci a través de l'aplicació, i informar els interessats —el seu personal, els candidats i els seus contactes— d'acord amb la normativa.

Introduir únicament les dades necessàries per a la finalitat perseguida, i en particular no pujar documents amb més informació personal de la necessària.

Gestionar amb diligència els comptes d'accés del seu personal, assignant el rol d'administrador només a qui hagi de veure la facturació, la comptabilitat i les dades del personal, i donant de baixa els comptes que deixin de ser necessaris.

Comunicar al prestador les instruccions que vulgui impartir i qualsevol canvi rellevant en elles.

6. Auditoria

El client pot sol·licitar, amb preavís raonable i sense interferir en la prestació del servei ni en la confidencialitat de la resta de clients, la informació necessària per verificar el compliment d'aquest acord, i fer, per si mateix o per un auditor autoritzat, les auditories i inspeccions que la normativa li permeti.

Versió que preval

Aquest document és una traducció al català del text original en castellà, que és el que s'accepta i el que té valor contractual. En cas de discrepància entre les dues versions, preval la versió en castellà.