Acord de tractament de dades

1. Per què existeix aquest document

En fer servir Rechnia, l'empresa que contracta el servei (d'ara endavant, «el client») introdueix dades personals de tercers: el seu propi personal —inclosos documents d'identitat, contractes, nòmines, fitxatges i justificants d'absència—, candidats a un lloc de treball, persones de contacte dels seus proveïdors i compradors, i particulars que intervenen com a venedors o compradors en una compravenda.

Sobre aquestes dades, el client és el responsable del tractament i Pol Munné Martínez, persona física que exerceix l'activitat com a treballador autònom, amb NIF 48244334V i domicili a Vilafranca del Penedès (Barcelona), 08720, correu rechnia@rechnia.com, que presta el servei Rechnia (d'ara endavant, «el prestador»), és l'encarregat del tractament: les tracta per compte del client i seguint les seves instruccions, no per a finalitats pròpies. Les seves dades completes d'identificació figuren a les factures que emet i es faciliten a qualsevol persona que les demani a rechnia@rechnia.com. Aquest document recull les condicions d'aquest encàrrec, d'acord amb l'article 28 del Reglament (UE) 2016/679.

Forma part del contracte de servei i s'accepta juntament amb els termes i condicions.

2. Objecte, durada i naturalesa del tractament

Objecte: la prestació del servei Rechnia descrita als termes i condicions.

Durada: mentre estigui vigent la subscripció, més els trenta (30) dies de recuperació de dades posteriors a la baixa.

Operacions: recollida, registre, estructuració, conservació, consulta, modificació, supressió, exportació i posada a disposició del mateix client; i, quan el client fa servir les funcions corresponents, comunicació als serveis externs que s'indiquen a l'apartat 4.

Categories d'interessats: personal del client, candidats a un lloc de treball, persones de contacte dels seus proveïdors, transportistes i compradors, i particulars que intervinguin en les operacions de compravenda o s'interessin per un vehicle.

Categories de dades: identificatives i de contacte, dades professionals i de nòmina, horaris de treball (fitxatges), documents d'identitat, contractes, currículums i dades de candidatures, justificants d'absències i de despeses, fotos de perfil, adreces postals, matrícules i números de bastidor, dades econòmiques de les operacions i el consum mensual de les consultes amb quota de cada persona.

Dades de salut: l'aplicació permet registrar baixes mèdiques del personal, amb un motiu en text lliure i un justificant adjunt. Són dades de la categoria especial de l'article 9 del RGPD. El client les tracta com a empresari per complir les seves obligacions en matèria laboral i de Seguretat Social, en la mesura que ho autoritza el Dret espanyol (art. 9.2.b del RGPD, en relació amb les obligacions que imposen a l'empresari la legislació laboral i la de Seguretat Social), i s'obliga a no consignar el diagnòstic ni més informació clínica que la que figuri al comunicat que rep l'empresa. L'aplicació limita qui les veu: el tipus d'absència, el motiu i el justificant només els veuen l'administrador i la mateixa persona; la resta del personal veu únicament qui és absent i en quines dates, perquè cal per organitzar la feina. No està previst el tractament de cap altra categoria especial de dades, i el client s'obliga a no introduir-les en camps no destinats a això.

3. Obligacions del prestador com a encarregat

Tractar les dades únicament seguint instruccions documentades del client, inclòs el relatiu a transferències internacionals, llevat d'obligació legal.

No fer servir les dades per a finalitats pròpies, no comunicar-les a tercers diferents dels subencarregats autoritzats i dels serveis externs que el client autoritza a l'apartat 4, i no emprar-les per entrenar sistemes d'intel·ligència artificial.

Garantir que les persones autoritzades a tractar-les s'hagin compromès a la confidencialitat.

Aplicar mesures tècniques i organitzatives apropiades, entre elles: accés només amb compte identificat i contrasenya amb requisits mínims; una sola sessió oberta per compte, amb caducitat per inactivitat i absoluta; bloqueig temporal després d'intents fallits; separació estricta de les dades entre empreses clients, comprovada amb proves automàtiques; contrasenyes emmagatzemades de manera irreversible; documents guardats amb nom aleatori i servits només a qui hi té dret; comunicacions xifrades; i una còpia de seguretat diària de la base de dades i dels fitxers pujats, de la qual es conserven les set més recents.

Assistir el client, tenint en compte la naturalesa del tractament i la informació de què disposi, per atendre les sol·licituds d'exercici de drets que rebi i per complir les seves obligacions de seguretat, de notificació i comunicació de violacions de seguretat, d'avaluació d'impacte i de consulta prèvia a l'autoritat de control (articles 32 a 36 del RGPD).

Notificar al client sense dilació indeguda qualsevol violació de la seguretat de les dades de què tingui coneixement, amb la informació disponible perquè pugui complir les seves pròpies obligacions.

Posar a disposició del client la informació necessària per demostrar el compliment d'aquestes obligacions.

En finalitzar l'encàrrec, i a elecció del client, retornar-li les seves dades —que pot obtenir mitjançant les exportacions de l'aplicació i la descàrrega de Configuració › Compte mentre conservi l'accés i, en els trenta (30) dies naturals posteriors a la baixa, també mitjançant una còpia completa, documents pujats inclosos, si la demana— i suprimir-les juntament amb les còpies existents —les còpies de seguretat desapareixen en renovar-se, en un màxim de set dies—, llevat de les que s'hagin de conservar per obligació legal.

Informar immediatament el client si, segons el seu parer, una instrucció seva infringeix la normativa de protecció de dades.

4. Subencarregats i serveis externs

El client autoritza de manera general la intervenció dels subencarregats necessaris per prestar el servei. Són quatre: el proveïdor d'allotjament, Render Services, Inc. (empresa nord-americana; servidors a Frankfurt, Unió Europea), que allotja l'aplicació, la base de dades, els fitxers pujats i les còpies de seguretat; el proveïdor de xarxa i seguretat, Cloudflare, Inc. (Estats Units), que intervé a través del proveïdor d'allotjament i per la xarxa del qual passa tot el trànsit entre el navegador i l'aplicació, inclosos els formularis i els documents que es pugen, que tracta en trànsit per protegir i lliurar el servei, i que, a partir del 28 d'octubre de 2026, desa a més, contractat directament pel prestador, una còpia diària de la base de dades al seu servei d'emmagatzematge R2, en un cubell situat a la jurisdicció de la Unió Europea, on cada còpia es conserva set (7) dies; el proveïdor de l'ajuda integrada, Mistral AI (França), que rep únicament el que la persona escriu al camp de pregunta i els torns anteriors d'aquella conversa; i el proveïdor del correu electrònic del prestador, Zoho Corporation B.V. (Països Baixos, Unió Europea), que rep i conserva la correspondència que el client i les persones amb compte d'accés mantenen amb el prestador, inclosa la còpia per correu dels missatges que envien des de l'apartat de suport de l'aplicació, i pel qual l'aplicació envia els correus que envia per si mateixa a aquestes persones (l'enllaç per restablir una contrasenya oblidada, l'enllaç per confirmar el canvi de correu d'un compte i l'avís d'aquest canvi a l'adreça d'abans, l'enllaç d'invitació per completar l'alta, el correu de benvinguda, el correu que confirma que el pla està actiu, l'avís dels canvis en aquests textos legals, l'avís previ a la renovació d'una subscripció anual, els avisos de la cancel·lació de la subscripció i de la seva represa, l'avís de la retirada anticipada del primer mes a preu promocional i l'avís que el prestador ha respost un missatge de suport, sense la resposta). Les transferències internacionals que comporta cadascun i les seves garanties són les indicades a l'apartat 7 de la política de privacitat.

A més, en fer servir determinades pantalles, l'aplicació comunica adreces postals i coordenades a tercers que no són subencarregats i no accedeixen a les dades guardades: a Google LLC (Google Routes i Google Geocoding), que les tracta d'acord amb les seves pròpies condicions. Aquestes comunicacions es produeixen en obrir un projecte —per estimar el transport de cada vehicle candidat— i en situar una adreça en una pantalla amb mapa, també mentre s'escriu al formulari, i les adreces són les que el mateix client ha introduït per situar un vehicle o calcular una ruta; el client les autoritza expressament en acceptar aquest acord, com a instrucció documentada. Per no repetir consultes de pagament, la distància que retorna Google es guarda amb les dues adreces en una taula compartida per tots els clients, sense referència a l'empresa ni al vehicle, que només llegeix el servidor per reutilitzar una distància ja calculada; cada entrada se suprimeix als dotze (12) mesos del seu càlcul. A Vincario s'envien únicament el número de bastidor i, per al valor de mercat, els quilòmetres del vehicle, quan una persona prem el botó de demanar el valor o l'historial. Fora d'aquestes adreces, aquest bastidor i aquests quilòmetres, l'aplicació no envia a cap d'ells dades del personal ni dels contactes.

Les pantalles amb mapa carreguen el requadre des de Google Maps al navegador de la persona que les obre, de manera que el proveïdor del mapa rep les coordenades del punt i l'adreça IP d'aquell navegador i pot instal·lar les seves pròpies galetes; el client ho autoritza en acceptar aquest acord i s'encarrega d'informar-ne el seu personal.

El prestador informarà de qualsevol canvi previst de subencarregats o de serveis externs amb antelació suficient perquè el client s'hi pugui oposar. Si s'hi oposa per motius raonables, qualsevol de les parts podrà resoldre el contracte sense penalització.

El prestador imposarà a cada subencarregat, per contracte, obligacions equivalents a les d'aquest document, i respondrà davant del client del seu compliment.

5. Obligacions del client com a responsable

Comptar amb una base jurídica vàlida per als tractaments que faci a través de l'aplicació, i informar els interessats —el seu personal, els candidats i els seus contactes— d'acord amb la normativa.

Introduir únicament les dades necessàries per a la finalitat perseguida, i en particular no pujar documents amb més informació personal de la necessària.

Gestionar amb diligència els comptes d'accés del seu personal, assignant el rol d'administrador només a qui hagi de veure la facturació, la comptabilitat i les dades del personal, i donant de baixa els comptes que deixin de ser necessaris.

Posar en coneixement de les persones a qui dona accés a l'aplicació la política de privacitat del prestador, que explica com tracta les dades dels seus comptes d'accés.

No enviar al prestador per correu electrònic dades personals del seu personal ni dels seus contactes: aquest canal no forma part d'aquest encàrrec, i el suport sobre aquestes dades es presta dins de l'aplicació.

Comunicar al prestador les instruccions que vulgui impartir i qualsevol canvi rellevant en elles.

6. Auditoria

El client pot sol·licitar, amb preavís raonable i sense interferir en la prestació del servei ni en la confidencialitat de la resta de clients, la informació necessària per verificar el compliment d'aquest acord, i fer, per si mateix o per un auditor autoritzat, les auditories i inspeccions que la normativa li permeti.

Versió que preval

Aquest document és una traducció al català del text original en castellà, que és el que s'accepta i el que té valor contractual. En cas de discrepància entre les dues versions, preval la versió en castellà.