Acuerdo de encargo de tratamiento

Partes y roles

La organización cliente actúa como responsable del tratamiento de los datos que introduce o gestiona en CALAPPA y CALAPPA actúa como encargado, salvo tratamientos propios de cuenta, seguridad y facturación en los que CALAPPA actúa como responsable.

Los interesados pueden incluir administradores, empleados, colaboradores y otras personas gestionadas por el cliente. Las categorías de datos pueden incluir identificación y contacto, relación organizativa, fichajes y jornada, horarios, ausencias, documentos y evidencias, tareas y gastos. CALAPPA no exige categorías especiales de datos para operar el Core; si el cliente decide tratarlas, deberá contar con base jurídica y salvaguardas adecuadas.

Objeto y duración

El tratamiento tiene por objeto prestar las funciones contratadas de control horario y operaciones durante la vigencia de la suscripción y durante el periodo limitado de salida necesario para devolución/exportación de datos.

Instrucciones y confidencialidad

CALAPPA tratará los datos únicamente siguiendo instrucciones documentadas del cliente y garantizará compromisos de confidencialidad de las personas autorizadas. Si una instrucción infringe la normativa aplicable, CALAPPA podrá advertirlo y suspender su ejecución.

Seguridad

Se aplican medidas adecuadas al riesgo para confidencialidad, integridad, disponibilidad y resiliencia: aislamiento multi-tenant, RLS, mínimo privilegio, cifrado, gestión de secretos, logs de auditoría, copias de seguridad, restauración, rate limiting y pruebas periódicas.

Subencargados

El cliente autoriza el uso de subencargados necesarios para infraestructura, hosting, pagos, correo y soporte, sujetos a obligaciones equivalentes. Los cambios materiales se comunicarán conforme al mecanismo contractual establecido.

Derechos, incidentes y cooperación

CALAPPA asistirá razonablemente al cliente para atender derechos de interesados, evaluaciones de riesgo y brechas. Los incidentes de datos personales se comunicarán al cliente sin dilación indebida una vez confirmados y con la información disponible necesaria para su evaluación.

Fin del servicio

Al finalizar la prestación, CALAPPA pondrá a disposición del cliente mecanismos de devolución/exportación y, terminado el periodo de salida, suprimirá o bloqueará los datos por cuenta del cliente salvo aquellos cuya conservación venga exigida por Derecho de la Unión, del Estado miembro o por obligaciones aplicables al cliente debidamente configuradas.

Auditoría

CALAPPA mantendrá información razonable para demostrar el cumplimiento de estas obligaciones y colaborará con auditorías proporcionadas, protegiendo a su vez la seguridad y confidencialidad de otros clientes.