Contrato de encargo del tratamiento

1. Partes y ámbito

De una parte, ALIARIX TECHNOLOGIES, S.L. (CIF B21646286, Calle Enrique Simonís 21, 2ª planta, 28045 Madrid), en adelante el Encargado.

De otra, la empresa que acepta este contrato en la aplicación, en adelante el Responsable. La identificación del Responsable, la fecha y la versión aceptada quedan registradas en la plataforma y son accesibles desde su cuenta.

Este contrato cubre dos actividades de tratamiento distintas:

• (a) los datos personales que el Responsable introduce en calidad de empresa contratante del servicio, en sus propios proyectos; y
• (b) los datos personales de sus trabajadores que el Responsable aporta a proyectos gestionados por terceros, cuando participa como empresa colaboradora.

Una sola aceptación cubre ambas, y sigue vigente aunque cambie el papel que la empresa ocupa en la plataforma.

1 bis. Delimitación de responsabilidades en la cadena de contratación

En un proyecto de coordinación intervienen varias empresas y cada una ocupa una posición jurídica distinta. Esta delimitación es parte esencial del acuerdo: define quién responde de qué y evita que la responsabilidad quede sin asignar.

La comunicación entre empresas de la cadena no es un encargo

Cuando una empresa pone su documentación a disposición de otra situada por encima en la cadena, se produce una comunicación de datos entre responsables, no un encargo de tratamiento. Ambas actúan en cumplimiento de una obligación legal propia —artículo 24 de la Ley 31/1995 y Real Decreto 171/2004— y esa obligación es la que legitima la comunicación conforme al artículo 6.1.c del RGPD.

El Encargado no decide qué se comunica ni a quién: se limita a ejecutar el flujo que impone la normativa preventiva y que configura la empresa que gestiona el proyecto.

No existe corresponsabilidad

Las partes acuerdan expresamente que esta relación no constituye una corresponsabilidad del artículo 26 del RGPD. Cada una determina de forma independiente los fines y medios de los tratamientos que le corresponden, y el Encargado no participa en la determinación de los fines de ningún tratamiento del Responsable.

Ejercicio de derechos por las personas trabajadoras

Las solicitudes de derechos que reciba el Encargado directamente de una persona trabajadora se trasladarán sin dilación al Responsable que corresponda —su empleadora—, comunicándoselo a la persona solicitante, sin que el Encargado responda por sí mismo a la solicitud salvo instrucción expresa.

2. Objeto, naturaleza, finalidad y duración

El Encargado trata datos personales por cuenta del Responsable con la única finalidad de prestar el servicio de gestión documental preventiva y coordinación de actividades empresariales descrito en las condiciones aplicables. Las operaciones incluyen recogida, registro, almacenamiento, extracción automatizada de datos de documentos, consulta, comunicación a las empresas de la cadena que corresponda, conservación y supresión.

El tratamiento durará mientras el Responsable mantenga cuenta o acceso activo en la plataforma, y se extinguirá conforme al apartado 10.

3. Datos y categorías de interesados

Categorías especiales de datos. Determinados documentos —de forma señalada los certificados de aptitud médica laboral— contienen datos relativos a la salud, que son categoría especial conforme al artículo 9 del RGPD. El Responsable declara que su tratamiento se ampara en el artículo 9.2.b (obligaciones en materia de derecho laboral y de seguridad y protección social) y, en su caso, 9.2.h.

4. Obligaciones del Responsable

• Determinar la base jurídica del tratamiento y garantizar su licitud.
• Informar previamente a las personas afectadas conforme a los artículos 13 y 14 del RGPD, incluida la comunicación de su documentación a las demás empresas de la cadena del proyecto.
• Introducir únicamente los datos necesarios para la finalidad preventiva, aplicando el principio de minimización.
• Impartir al Encargado las instrucciones necesarias a través de la propia plataforma o por escrito.
• Atender las solicitudes de derechos que reciba de sus interesados, con la asistencia del Encargado.
• Realizar, cuando proceda, la evaluación de impacto y la consulta previa a la autoridad de control.

5. Obligaciones del Encargado

• Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, e informarle si a su juicio una instrucción infringe la normativa de protección de datos.
• No utilizar los datos para finalidades propias, no cederlos a terceros fuera de lo previsto en este contrato, y no emplearlos para entrenar modelos de inteligencia artificial.
• Garantizar que las personas autorizadas se han comprometido a la confidencialidad con carácter indefinido, y que solo tratan los datos siguiendo instrucciones del Responsable (artículo 29 del RGPD). El deber de secreto del artículo 5 de la Ley Orgánica 3/2018 subsiste tras el fin de la relación.
• Limitar el acceso a los datos al personal que lo necesite para prestar el servicio, aplicando el principio de mínimo privilegio.
• Prestar asistencia al Responsable en las inspecciones o requerimientos de la autoridad de control que afecten al tratamiento objeto de este contrato.
• Aplicar las medidas técnicas y organizativas del Anexo II (artículo 32 del RGPD).
• Asistir al Responsable en la atención de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, poniendo a su disposición las funcionalidades necesarias en la propia plataforma.
• Asistirle en el cumplimiento de los artículos 32 a 36 del RGPD, incluidas las notificaciones de violaciones de seguridad y las evaluaciones de impacto.
• Poner a su disposición la información necesaria para demostrar el cumplimiento y permitir auditorías conforme al apartado 9.

5 bis. Suspensión ante un tratamiento manifiestamente ilícito

Si el Encargado detecta que se están introduciendo datos manifiestamente excesivos, ajenos a la finalidad preventiva o carentes de base jurídica —en particular informes médicos con diagnósticos, datos de personas no vinculadas al proyecto o documentación de terceros sin relación con él—, lo comunicará al Responsable y podrá:

• requerirle su subsanación en un plazo razonable;
• retirar o bloquear el contenido afectado cuando su mantenimiento suponga un riesgo para los derechos de las personas afectadas; y
• suspender el acceso, total o parcialmente, si el Responsable no subsana, dejando constancia motivada de la medida.

Estas facultades se ejercen en cumplimiento del deber del Encargado de informar cuando una instrucción infringe la normativa (artículo 28.3 in fine del RGPD) y no convierten al Encargado en responsable del contenido introducido, cuya licitud corresponde en exclusiva al Responsable.

El Encargado no realiza una supervisión sistemática del contenido: actúa únicamente cuando la irregularidad resulta manifiesta o le es comunicada.

6. Violaciones de la seguridad

El Encargado notificará al Responsable, sin dilación indebida desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos, con la información disponible sobre naturaleza, categorías y número aproximado de interesados, consecuencias probables y medidas adoptadas.

Corresponde al Responsable notificar a la autoridad de control y, en su caso, a los interesados.

La notificación se realizará en un plazo máximo de 48 horas desde que el Encargado tenga conocimiento de la violación, de modo que el Responsable disponga de margen suficiente dentro de las 72 horas que le concede el artículo 33 del RGPD para notificar a la autoridad de control.

Si no fuera posible facilitar toda la información simultáneamente, se proporcionará de manera gradual sin dilación indebida. El Encargado documentará toda violación de seguridad, con sus efectos y las medidas correctoras adoptadas, y pondrá esa documentación a disposición del Responsable.

7. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los subencargados relacionados en el Anexo III. El Encargado les impone por contrato las mismas obligaciones de protección de datos que asume en este documento, y responde plenamente de su actuación.

Cualquier alta o sustitución de subencargado se comunicará con antelación, y el Responsable podrá oponerse por motivos razonables. Si la oposición impide prestar el servicio, cualquiera de las partes podrá resolver el contrato sin penalización.

El preaviso será de 30 días naturales antes de que el nuevo subencargado comience a tratar datos, y se comunicará por correo electrónico y mediante aviso en la aplicación. El Responsable dispondrá de 15 días naturales desde la comunicación para oponerse de forma motivada.

La relación actualizada de subencargados está permanentemente disponible en el Anexo III de este documento, en esta misma dirección.

8. Transferencias internacionales

Algunos subencargados tratan datos fuera del Espacio Económico Europeo, según se indica en el Anexo III. La garantía sobre la que se apoyan estas transferencias son las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914, artículo 46.2.c del RGPD), incorporadas al contrato de encargo suscrito con cada uno de ellos.

Cuando además el proveedor esté adherido al Marco de Privacidad de Datos UE-EE. UU., la transferencia queda también amparada por la decisión de adecuación de la Comisión (artículo 45 del RGPD). Esa adhesión se indica proveedor a proveedor en el Anexo III.

La adhesión al Marco de Privacidad debe recertificarse anualmente y puede decaer, mientras que las Cláusulas Contractuales Tipo permanecen vigentes. Por eso la garantía principal son las Cláusulas y el Marco opera como cobertura adicional: si un proveedor perdiera la adhesión, la transferencia seguiría amparada.

9. Auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para acreditar el cumplimiento de este contrato. El Responsable podrá auditar, por sí o mediante un tercero independiente sujeto a confidencialidad, con preaviso razonable, en horario laboral y sin afectar a la prestación del servicio ni a los datos de otros clientes.

La auditoría podrá realizarse con carácter anual, con un preaviso mínimo de 30 días naturales, y adicionalmente siempre que se produzca una violación de seguridad que afecte a los datos del Responsable o cuando lo requiera una autoridad de control.

Los costes de la auditoría corren a cargo del Responsable, salvo que de ella resulten incumplimientos relevantes de este contrato, en cuyo caso los asumirá el Encargado, que además deberá subsanarlos en un plazo razonable.

El Encargado podrá satisfacer estas obligaciones aportando certificaciones o informes de auditoría de tercero independiente que cubran el alcance solicitado, cuando dispusiera de ellos.

10. Devolución y supresión

Al finalizar la relación, el Responsable podrá exportar sus datos desde la propia plataforma. Transcurrido ese plazo, el Encargado suprimirá los datos y las copias existentes, salvo aquellos que deban conservarse por obligación legal, en particular la documentación preventiva sujeta a los plazos de conservación de la normativa de prevención de riesgos laborales.

Los datos conservados por obligación legal permanecerán bloqueados, accesibles únicamente para atender requerimientos de las autoridades competentes.

El plazo de exportación será de 30 días naturales desde la finalización de la relación. Transcurrido dicho plazo, el Encargado suprimirá los datos y sus copias en un máximo de 90 días naturales, incluidas las copias de seguridad conforme a su ciclo de rotación, y lo certificará por escrito si el Responsable lo solicita.

10.1. Datos sujetos a conservación obligatoria

Determinada documentación preventiva debe conservarse aunque finalice la relación, por imperativo legal y en interés de las personas trabajadoras:

Estos datos permanecerán bloqueados conforme al artículo 32 de la Ley Orgánica 3/2018: a disposición exclusiva de jueces, tribunales, Ministerio Fiscal y administraciones competentes, sin acceso operativo desde la plataforma.

Historiales médicos y registros de exposición. La normativa de agentes cancerígenos y amianto (Real Decreto 665/1997 y Real Decreto 396/2006) obliga a conservar el historial médico y el registro de exposición durante cuarenta años desde el fin de la exposición. Esa documentación corresponde al servicio de prevención y al empresario, no se trata en esta plataforma y no debe aportarse a ella: la documentación de vigilancia de la salud admitida se limita al certificado de aptitud —apto o no apto— y su vigencia, conforme al artículo 22.4 de la Ley 31/1995.

Si un proyecto se marca como trabajo con exposición a amianto o a agentes biológicos, ello determina qué documentación preventiva se exige, pero no habilita a subir historiales clínicos, que quedan sujetos al régimen de retirada previsto en el apartado 5 bis.

11. Otras obligaciones y régimen de responsabilidad

• Registro de actividades. El Encargado mantiene el registro de las categorías de tratamientos efectuados por cuenta de cada Responsable exigido por el artículo 30.2 del RGPD, y lo pondrá a disposición de la autoridad de control cuando lo requiera.
• Delimitación del papel de encargado. Si el Encargado determinase por su cuenta los fines y medios de algún tratamiento, sería considerado responsable respecto de ese tratamiento concreto conforme al artículo 28.10 del RGPD. El Encargado se obliga a no hacerlo.
• Responsabilidad. Cada parte responde de los daños causados por el tratamiento cuando haya incumplido las obligaciones que el RGPD le impone específicamente o haya actuado al margen de las instrucciones lícitas del Responsable, conforme al artículo 82 del RGPD. Cuando ambas resulten solidariamente responsables frente a un interesado (artículo 82.4), la que haya abonado la totalidad de la indemnización podrá repetir contra la otra la parte correspondiente a su cuota de responsabilidad (artículo 82.5).
• Indemnidad. El Responsable mantendrá indemne al Encargado frente a reclamaciones, sanciones o costes derivados de la falta de licitud del tratamiento, de la ausencia de información a los interesados o de la introducción de datos excesivos o ajenos a la finalidad, cuando le sean imputables.
• Contacto. Las comunicaciones derivadas de este contrato se dirigirán a dpo@simplifycae.com y al correo de contacto que el Responsable tenga configurado en su cuenta.
• Prevalencia. En caso de contradicción entre este contrato y cualquier otro documento contractual, prevalecerá este en todo lo relativo al tratamiento de datos personales.

Anexo I · Descripción del tratamiento

Anexo II · Medidas técnicas y organizativas

Las medidas aplicadas actualmente, sin perjuicio de su evolución conforme al estado de la técnica:

• Cifrado en reposo. Los ficheros se cifran con AES-256-GCM antes de almacenarse, de modo que el proveedor de almacenamiento nunca dispone del contenido en claro. Los datos personales identificativos se cifran a nivel de campo en la base de datos.
• Cifrado en tránsito. TLS en todas las comunicaciones, con HSTS.
• Copias de seguridad cifradas y verificadas, con procedimiento de restauración documentado.
• Control de acceso. Aislamiento por empresa, control de acceso basado en roles, aislamiento adicional por centro de trabajo y delegaciones temporales con caducidad y revocación.
• Autenticación. Contraseñas con algoritmo de derivación robusto, sesiones con caducidad y control de inactividad, y limitación de intentos.
• Registro de auditoría de los accesos y operaciones sobre datos personales, conservado y consultable.
• Seudonimización y minimización. Búsquedas por valor hash sin necesidad de descifrar, y depuración del texto extraído de los documentos una vez validados.
• Doble factor de autenticación disponible mediante código temporal (TOTP), con el secreto almacenado cifrado.
• Segregación de entornos entre desarrollo y producción, sin datos reales fuera de producción.

Anexo III · Subencargados

El detalle del tratamiento con inteligencia artificial se describe en la política de privacidad de la plataforma.