El presente acuerdo sobre el tratamiento de datos personales (en adelante, el "ACUERDO" o "DPA") forma parte integrante del Contrato. La aceptación de las Condiciones Generales conlleva su aceptación por parte del Cliente.
Artículo Preliminar. Definiciones
En el marco del DPA, los términos siguientes se interpretarán como:
Autoridad de Control: la autoridad pública independiente establecida por un Estado miembro en virtud del artículo 51 del RGPD, encargada de supervisar la aplicación del RGPD (RGPD, art. 4.21 y 51 y ss.).
Datos Personales: toda información relativa a una persona física identificada o identificable; se considera «identificable» toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea, o uno o varios elementos propios de su identidad física, fisiológica, genética, psíquica, económica, cultural o social (RGPD, art. 4.1).
Encargado del Tratamiento: se entenderá en el sentido del RGPD y designa a la persona física o jurídica, autoridad pública, servicio u otro organismo que trate Datos Personales por cuenta del Responsable del Tratamiento.
Encargado del Tratamiento Posterior (o "Subencargado"): todo encargado del tratamiento contratado por el Encargado del Tratamiento (en el sentido del art. 4.8 del RGPD) para realizar actividades de tratamiento específicas por cuenta del Responsable del Tratamiento, según lo autorizado de conformidad con el artículo 28, apartados 2 y 4 del RGPD. El Encargado del Tratamiento Posterior está vinculado por un contrato que impone obligaciones de protección de datos al menos equivalentes a las previstas en el presente DPA, y el Encargado del Tratamiento sigue siendo plenamente responsable ante el Responsable del Tratamiento del cumplimiento de las obligaciones del Encargado del Tratamiento Posterior.
Persona Interesada: la persona física a la que se refieren los Datos Personales objeto de Tratamiento (RGPD, art. 4.1).
Responsable del Tratamiento: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o conjuntamente con otros, determine los fines y medios del Tratamiento, en el sentido del RGPD.
RGPD: el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de Datos Personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) y cualquier otra ley relativa a la protección de Datos Personales aplicable en el país donde se utilizan la Solución y los Servicios.
Tratamiento: se entenderá en el sentido del RGPD y designa cualquier operación o conjunto de operaciones realizadas sobre Datos Personales o conjuntos de Datos Personales, por procedimientos automatizados o no, tales como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
Violación de Datos: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos (RGPD, art. 4.12).
1. Roles y Relaciones de las Partes en el Tratamiento de Datos Personales
En el marco de la ejecución del Contrato y del DPA, el Tratamiento de Datos Personales se realiza con roles distintos.
Skello actúa como Responsable del Tratamiento de los Datos Personales de los Clientes (incluidos sus representantes y contactos), tal como se detalla en la Política de Privacidad (https://www.skello.es/landing/privacidad).
Las finalidades de estos Tratamientos son la gestión de la relación contractual y comercial, la facturación, el soporte (para los datos del Cliente), la prospección comercial, las estadísticas de audiencia y de uso del Sitio y de los Servicios.
Las bases legales de estos Tratamientos son la ejecución del Contrato, las obligaciones legales y el interés legítimo de Skello, o el consentimiento del Cliente en su caso.
Para los Datos Personales de los Usuarios tratados mediante la utilización de la Solución y los Servicios por el Cliente, el Cliente actúa como Responsable del Tratamiento, y Skello como Encargado del Tratamiento.
Los Datos Personales afectados incluyen, en particular, datos de identificación, datos relacionados con el empleo (horarios, jornadas laborales, ausencias, contratos de trabajo), datos contractuales, datos relacionados con los elementos de nómina y el tiempo de trabajo, así como cualquier dato introducido en la Solución por el Cliente.
Estos datos se tratan exclusivamente para las necesidades de la prestación de los Servicios y conforme a las instrucciones documentadas del Cliente.
2. Tratamiento de Datos Personales por Skello en Calidad de Encargado del Tratamiento
Para la ejecución del Contrato, Skello está autorizada a tratar, por cuenta del Cliente, los Datos Personales necesarios para prestar los Servicios a los que el Cliente se ha suscrito, tal como se describen en el Contrato.
Los Datos Personales objeto de Tratamiento conciernen en particular a:
Los Datos Personales afectados incluyen:
Los Tratamientos se realizan con las siguientes finalidades:
La base legal de los Tratamientos es:
Los Datos Personales se conservan durante la vigencia del Contrato y, a su expiración, se archivan durante tres años, salvo instrucción expresa de supresión por parte del Cliente u obligación legal de conservarlos.
3. Compromisos de Skello en Calidad de Encargado del Tratamiento
Skello tratará los Datos Personales bajo instrucción documentada del Cliente de conformidad con el Contrato. Si Skello está obligada a realizar un tratamiento en virtud del derecho de la Unión o del derecho de un Estado miembro, informará al Cliente antes de realizarlo, salvo prohibición legal.
Skello garantiza que toda persona autorizada a tratar los Datos Personales por su cuenta está sujeta a una obligación apropiada de confidencialidad, legal o contractual, y trata los Datos Personales solo en la estricta medida necesaria para la ejecución de sus funciones.
Skello implementará todas las medidas técnicas y organizativas apropiadas para garantizar la seguridad, integridad y confidencialidad de los Datos Personales, y para prevenir cualquier acceso no autorizado, pérdida, destrucción o alteración.
Estas medidas incluyen, sin que esta lista sea exhaustiva:
Skello se compromete a mantener y adaptar estas medidas en función de la evolución del estado de la técnica, los riesgos y la normativa.
El Cliente autoriza a Skello a contratar a Encargados del Tratamiento Posteriores para la prestación de los Servicios.
Skello informará al Cliente de cualquier adición o sustitución de un Encargado del Tratamiento Posterior por escrito en un plazo razonable. El Cliente dispondrá de un plazo de diez (10) días naturales para formular objeciones razonables. En su defecto, se considerará que el Encargado del Tratamiento ha sido aprobado.
Skello impone contractualmente a sus Encargados del Tratamiento obligaciones de protección de datos equivalentes a las previstas en el presente Artículo y sigue siendo plenamente responsable frente al Cliente de su cumplimiento.
3.5. Asistencia al Responsable del Tratamiento
Skello proporcionará al Cliente la asistencia necesaria para que pueda cumplir con sus obligaciones como Responsable del Tratamiento:
Skello pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de sus obligaciones en virtud del RGPD. El Cliente podrá realizar una auditoría al año, exclusivamente a distancia, sobre la base de la documentación proporcionada por Skello. Cualquier auditoría adicional o solicitud específica dará lugar a la facturación por Skello sobre la base de su tarifa vigente. Estas auditorías se realizarán a expensas del Cliente, previa notificación con una antelación de treinta (30) días y comunicación de la identidad del auditor (no competidor de Skello) y del plan de auditoría.
Al término del Contrato, Skello cesará todo Tratamiento y, a elección del Cliente, restituirá o suprimirá la totalidad de los Datos Personales tratados por su cuenta, salvo obligación legal de conservación. A falta de instrucción expresa, los Datos Personales se conservarán por un periodo máximo de tres (3) años tras la finalización del Contrato, sin perjuicio de las obligaciones legales aplicables.
Cuando transfiera Datos Personales fuera de la Unión Europea o del EEE, Skello implementará las garantías apropiadas de conformidad con el artículo 46 del RGPD, en particular las Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea y, en su caso, medidas técnicas adicionales (tales como la seudonimización).
4. Compromisos del Cliente en Calidad de Responsable del Tratamiento
El Cliente, como Responsable del Tratamiento, es el único y exclusivo responsable de los tratamientos de Datos Personales que implemente a través de la Solución o en el marco de los Servicios. Le incumbe asegurarse de la licitud, pertinencia y proporcionalidad de dichos tratamientos con respecto a las finalidades que determine. Skello no asume responsabilidad alguna en cuanto a la conformidad de los tratamientos de datos decididos e implementados por el Cliente con la normativa vigente, en particular el RGPD. En calidad de responsables del tratamiento, los Clientes deben responder a los Usuarios para que puedan ejercer, en particular, sus derechos de acceso, rectificación o supresión ("al olvido").
El Cliente se compromete a (i) proporcionar a Skello los Datos Personales necesarios para la ejecución de los Servicios, asegurándose de que han sido recogidos lícitamente y que dispone de las bases legales apropiadas para su tratamiento y comunicación a Skello; (ii) documentar por escrito toda instrucción relativa al Tratamiento de Datos Personales por Skello; (iii) asegurarse de la conformidad de sus propios tratamientos de datos, incluida la implementación de la información prevista en los artículos 13 y 14 del RGPD a las Personas Interesadas y la obtención de su consentimiento si fuera necesario; (iv) supervisar el Tratamiento efectuado por Skello, incluida la realización de auditorías e inspecciones.
Skello ha designado un Delegado de Protección de Datos (DPO): Carole Franco, privacy@skello.io.
Este punto de contacto está dedicado a los temas de «protección de datos» (solicitudes de ejercicio de derechos, notificaciones de incidentes, cuestiones de cumplimiento). No tramita las solicitudes de soporte funcional o contractual.
El Cliente se compromete a comunicar a Skello, a más tardar en el momento de la suscripción del Abono (o tan pronto como sea designado), los datos de contacto de su DPO en el sentido del artículo 37 del RGPD o, a falta de DPO, de un contacto de referencia en materia de “protección de datos” (nombre, función, correo electrónico profesional). El Cliente notificará sin dilación y a más tardar en un plazo de quince (15) días cualquier modificación de estos datos de contacto.
Las Partes acuerdan utilizar privacy@skello.io (y la dirección DPO/Privacidad del Cliente) como canal prioritario para (i) las notificaciones de Violación de Datos y (ii) las solicitudes de ejercicio de derechos. En su defecto, toda notificación enviada al contacto contractual principal se considerará válida.
Los datos de contacto de los DPO o contacto de referencia se tratan por cada Parte a efectos de cumplimiento del RGPD (gestión de incidentes, respuestas a autoridades, derechos de las personas), sobre la base de las obligaciones legales y/o del interés legítimo de la Parte destinataria. Estos datos se conservan durante la vigencia del Contrato, aumentada con los plazos legales aplicables.
