Acuerdo de tratamiento de datos

1. Por qué existe este documento

Al usar Rechnia, la empresa que contrata el servicio (en adelante, «el cliente») introduce datos personales de terceros: su propio personal —incluidos documentos de identidad, contratos, nóminas, fichajes y justificantes de ausencia—, candidatos a un puesto, personas de contacto de sus proveedores y compradores, y particulares que intervienen como vendedores o compradores en una compraventa.

Sobre esos datos, el cliente es el responsable del tratamiento y Pol Munné Martínez, persona física que ejerce la actividad como trabajador autónomo, con NIF 48244334V y domicilio en Vilafranca del Penedès (Barcelona), 08720, correo rechnia@rechnia.com, que presta el servicio Rechnia (en adelante, «el prestador»), es el encargado del tratamiento: los trata por cuenta del cliente y siguiendo sus instrucciones, no para fines propios. Sus datos completos de identificación figuran en las facturas que emite y se facilitan a cualquier persona que los solicite en rechnia@rechnia.com. Este documento recoge las condiciones de ese encargo, conforme al artículo 28 del Reglamento (UE) 2016/679.

Forma parte del contrato de servicio y se acepta junto con los términos y condiciones.

2. Objeto, duración y naturaleza del tratamiento

Objeto: la prestación del servicio Rechnia descrita en los términos y condiciones.

Duración: mientras esté vigente la suscripción, más los treinta (30) días de recuperación de datos posteriores a la baja.

Operaciones: recogida, registro, estructuración, conservación, consulta, modificación, supresión, exportación y puesta a disposición del propio cliente; y, cuando el cliente usa las funciones correspondientes, comunicación a los servicios externos que se indican en el apartado 4.

Categorías de interesados: personal del cliente, candidatos a un puesto, personas de contacto de sus proveedores, transportistas y compradores, y particulares que intervengan en las operaciones de compraventa o se interesen por un vehículo.

Categorías de datos: identificativos y de contacto, datos profesionales y de nómina, horarios de trabajo (fichajes), documentos de identidad, contratos, currículos y datos de candidaturas, justificantes de ausencias y de gastos, fotos de perfil, direcciones postales, matrículas y números de bastidor, datos económicos de las operaciones y el consumo mensual de las consultas con cupo de cada persona.

Datos de salud: la aplicación permite registrar bajas médicas del personal, con un motivo en texto libre y un justificante adjunto. Son datos de la categoría especial del artículo 9 del RGPD. El cliente los trata como empresario para cumplir sus obligaciones en materia laboral y de Seguridad Social, en la medida en que lo autoriza el Derecho español (art. 9.2.b del RGPD, en relación con las obligaciones que imponen al empresario la legislación laboral y la de Seguridad Social), y se obliga a no consignar el diagnóstico ni más información clínica que la que figure en el parte que recibe la empresa. La aplicación limita quién los ve: el tipo de ausencia, el motivo y el justificante solo los ven el administrador y la propia persona; el resto del personal ve únicamente quién está ausente y en qué fechas, porque hace falta para organizar el trabajo. No está previsto el tratamiento de ninguna otra categoría especial de datos, y el cliente se obliga a no introducirlas en campos no destinados a ello.

3. Obligaciones del prestador como encargado

Tratar los datos únicamente siguiendo instrucciones documentadas del cliente, incluido lo relativo a transferencias internacionales, salvo obligación legal.

No utilizar los datos para fines propios, no comunicarlos a terceros distintos de los subencargados autorizados y de los servicios externos que el cliente autoriza en el apartado 4, y no emplearlos para entrenar sistemas de inteligencia artificial.

Garantizar que las personas autorizadas a tratarlos se hayan comprometido a la confidencialidad.

Aplicar medidas técnicas y organizativas apropiadas, entre ellas: acceso solo con cuenta identificada y contraseña con requisitos mínimos; una sola sesión abierta por cuenta, con caducidad por inactividad y absoluta; bloqueo temporal tras intentos fallidos; separación estricta de los datos entre empresas clientes, comprobada con pruebas automáticas; contraseñas almacenadas de forma irreversible; documentos guardados con nombre aleatorio y servidos solo a quien tiene derecho; comunicaciones cifradas; y una copia de seguridad diaria de la base de datos y de los ficheros subidos, de la que se conservan las siete más recientes.

Asistir al cliente, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, para atender las solicitudes de ejercicio de derechos que reciba y para cumplir sus obligaciones de seguridad, de notificación y comunicación de violaciones de seguridad, de evaluación de impacto y de consulta previa a la autoridad de control (artículos 32 a 36 del RGPD).

Notificar al cliente sin dilación indebida cualquier violación de la seguridad de los datos de la que tenga conocimiento, con la información disponible para que pueda cumplir sus propias obligaciones.

Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de estas obligaciones.

Al finalizar el encargo, y a elección del cliente, devolverle sus datos —que puede obtener mediante las exportaciones de la aplicación y la descarga de Ajustes › Cuenta mientras conserve el acceso y, en los treinta (30) días naturales posteriores a la baja, también mediante una copia completa, documentos subidos incluidos, si la pide— y suprimirlos junto con las copias existentes —las copias de seguridad desaparecen al renovarse, en un máximo de siete días—, salvo los que deban conservarse por obligación legal.

Informar de inmediato al cliente si, a su juicio, una instrucción suya infringe la normativa de protección de datos.

4. Subencargados y servicios externos

El cliente autoriza de forma general la intervención de los subencargados necesarios para prestar el servicio. Son cuatro: el proveedor de alojamiento, Render Services, Inc. (empresa estadounidense; servidores en Frankfurt, Unión Europea), que aloja la aplicación, la base de datos, los ficheros subidos y las copias de seguridad; el proveedor de red y seguridad, Cloudflare, Inc. (Estados Unidos), que interviene a través del proveedor de alojamiento y por cuya red pasa todo el tráfico entre el navegador y la aplicación, incluidos los formularios y los documentos que se suben, que trata en tránsito para proteger y entregar el servicio, y que, a partir del 28 de octubre de 2026, guarda además, contratado directamente por el prestador, una copia diaria de la base de datos en su servicio de almacenamiento R2, en un cubo situado en la jurisdicción de la Unión Europea, donde cada copia se conserva siete (7) días; el proveedor de la ayuda integrada, Mistral AI (Francia), que recibe únicamente lo que la persona escribe en el campo de pregunta y los turnos anteriores de esa conversación; y el proveedor del correo electrónico del prestador, Zoho Corporation B.V. (Países Bajos, Unión Europea), que recibe y conserva la correspondencia que el cliente y las personas con cuenta de acceso mantienen con el prestador, incluida la copia por correo de los mensajes que envían desde el apartado de soporte de la aplicación, y por el que la aplicación envía los correos que manda por sí misma a esas personas (el enlace para restablecer una contraseña olvidada, el enlace para confirmar el cambio de correo de una cuenta y el aviso de ese cambio a la dirección de antes, el enlace de invitación para completar el alta, el correo de bienvenida, el correo que confirma que el plan está activo, el aviso de los cambios en estos textos legales, el aviso previo a la renovación de una suscripción anual, los avisos de la cancelación de la suscripción y de su reanudación, el aviso de la retirada anticipada del primer mes a precio promocional y el aviso de que el prestador ha respondido a un mensaje de soporte, sin la respuesta). Las transferencias internacionales que conlleva cada uno y sus garantías son las indicadas en el apartado 7 de la política de privacidad.

Además, al usar determinadas pantallas, la aplicación comunica direcciones postales y coordenadas a terceros que no son subencargados y no acceden a los datos guardados: a Google LLC (Google Routes y Google Geocoding), que las trata conforme a sus propias condiciones. Esas comunicaciones se producen al abrir un proyecto —para estimar el transporte de cada vehículo candidato— y al situar una dirección en una pantalla con mapa, también mientras se escribe en el formulario, y las direcciones son las que el propio cliente ha introducido para situar un vehículo o calcular una ruta; el cliente las autoriza expresamente al aceptar este acuerdo, como instrucción documentada. Para no repetir consultas de pago, la distancia que devuelve Google se guarda con las dos direcciones en una tabla compartida por todos los clientes, sin referencia a la empresa ni al vehículo, que solo lee el servidor para reutilizar una distancia ya calculada; cada entrada se suprime a los doce (12) meses de su cálculo. A Vincario se envían únicamente el número de bastidor y, para el valor de mercado, los kilómetros del vehículo, cuando una persona pulsa el botón de pedir el valor o el historial. Fuera de esas direcciones, ese bastidor y esos kilómetros, la aplicación no envía a ninguno de ellos datos del personal ni de los contactos.

Las pantallas con mapa cargan el recuadro desde Google Maps en el navegador de la persona que las abre, de modo que el proveedor del mapa recibe las coordenadas del punto y la dirección IP de ese navegador y puede instalar sus propias cookies; el cliente lo autoriza al aceptar este acuerdo y se encarga de informar de ello a su personal.

El prestador informará de cualquier cambio previsto de subencargados o de servicios externos con antelación suficiente para que el cliente pueda oponerse. Si se opone por motivos razonables, cualquiera de las partes podrá resolver el contrato sin penalización.

El prestador impondrá a cada subencargado, por contrato, obligaciones equivalentes a las de este documento, y responderá ante el cliente de su cumplimiento.

5. Obligaciones del cliente como responsable

Contar con una base jurídica válida para los tratamientos que realice a través de la aplicación, e informar a los interesados —su personal, los candidatos y sus contactos— conforme a la normativa.

Introducir únicamente los datos necesarios para la finalidad perseguida, y en particular no subir documentos con más información personal de la precisa.

Gestionar con diligencia las cuentas de acceso de su personal, asignando el rol de administrador solo a quien deba ver la facturación, la contabilidad y los datos del personal, y dando de baja las cuentas que dejen de ser necesarias.

Poner en conocimiento de las personas a las que da acceso a la aplicación la política de privacidad del prestador, que explica cómo trata los datos de sus cuentas de acceso.

No enviar al prestador por correo electrónico datos personales de su personal ni de sus contactos: ese canal no forma parte de este encargo, y el soporte sobre esos datos se presta dentro de la aplicación.

Comunicar al prestador las instrucciones que quiera impartir y cualquier cambio relevante en ellas.

6. Auditoría

El cliente puede solicitar, con preaviso razonable y sin interferir en la prestación del servicio ni en la confidencialidad de los demás clientes, la información necesaria para verificar el cumplimiento de este acuerdo, y realizar, por sí o por un auditor autorizado, las auditorías e inspecciones que la normativa le permita.