Borrador pendiente de revisión jurídica

Términos y condiciones del servicio

Versión 1.0 · Última actualización: ‹fecha de publicación›

En vigor desde: ‹fecha de entrada en vigor›

1. Partes y objeto

Las presentes condiciones (los «Términos») regulan la contratación y el uso de la plataforma de gestión de personas y control horario TalentionHR (el «Servicio»), prestada en modalidad de software como servicio (SaaS) por TALENTION SOLUCIONES DIGITALES, S.L., con NIF B88776174 y domicilio en Avenida de la Aeronáutica, 10, planta 4, 41020 Sevilla (España), inscrita en el Registro Mercantil de Sevilla, hoja SE-154691, inscripción 1.ª («TALENTION»), a la empresa o profesional que lo contrata (el «Cliente»). El Cliente y TALENTION se denominan conjuntamente las «Partes».

El Servicio se dirige exclusivamente a empresas y profesionales que actúan en el marco de su actividad empresarial o profesional. No se dirige a consumidores.

Los Términos se completan con la Orden de servicio (el contrato particular que fije plan, precio, número de usuarios y duración o, en la contratación en línea, la contratación realizada desde «Mi plan» con el plan, el número de licencias, la periodicidad y el precio mostrados antes del pago), el Acuerdo de encargo del tratamiento (Anexo I), la Descripción del servicio y medidas de seguridad (Anexo II), la Política de privacidad, la Política de cookies y almacenamiento local de la plataforma y el Aviso legal. En caso de contradicción prevalecerá, por este orden: la Orden de servicio, el Anexo I, los presentes Términos y el resto de documentos, salvo en materia de protección de datos, donde prevalece el Anexo I.

2. Aceptación y capacidad

El Cliente acepta los Términos, con sus Anexos I y II, de alguna de estas formas: (i) al firmar la Orden de servicio; (ii) al marcar las casillas de aceptación de los Términos y del contrato de encargo del tratamiento (Anexo I) en el alta de la prueba gratuita; o (iii) al aceptarlos en la pantalla de aceptación que la aplicación muestra a los administradores de las cuentas creadas por TALENTION o que ya existían cuando se publicó la versión vigente. En este último caso la aplicación muestra primero un aviso durante 30 días; transcurrido ese plazo, la aceptación puede ser exigida a los administradores para seguir usando la aplicación. Cuando TALENTION publique una versión mayor nueva de los Términos, la aplicación volverá a solicitar la aceptación.

La persona que acepta declara tener poder suficiente para obligar al Cliente. TALENTION conserva constancia de la versión aceptada, de la fecha y hora de la aceptación y del usuario que acepta. Esa constancia se mantiene aunque la cuenta se dé de baja, durante el plazo que indica la cláusula 12 (d).

El Cliente se obliga a que sus usuarios (administradores, personal de RR. HH., responsables y empleados) cumplan estos Términos y responde del uso que hagan del Servicio.

3. Descripción del Servicio

TalentionHR es una plataforma multiempresa alojada en la nube que permite al Cliente gestionar el registro de jornada de su plantilla (art. 34.9 ET) y, según el plan contratado, ausencias y bajas, horarios y turnos, ficha de empleado, gestión documental (nóminas, contratos, justificantes) con firma en pantalla, solicitudes, banco de horas, fichaje presencial mediante kiosko, reserva de salas, foro de propuestas, tareas y proyectos, agenda, licencias de software, analítica e informes (incluido el registro retributivo). La descripción funcional de cada módulo figura en la documentación del producto; el Anexo II describe la arquitectura y las medidas de seguridad.

TALENTION podrá mejorar, modificar o retirar funcionalidades siempre que no se reduzca sustancialmente el conjunto del Servicio contratado. Las novedades se comunican a través del propio Servicio.

3.1 Planes, módulos y límites

El Servicio se ofrece en los planes Time y Starter, publicados en talentionhr.es y en el apartado «Mi plan» del Servicio, que determinan los módulos habilitados y el precio por licencia. Determinados módulos pueden contratarse como complementos por puesto (asientos), con un mínimo de cinco asientos; estos complementos se contratan mediante Orden de servicio y no en línea desde «Mi plan». El número máximo de usuarios activos es el de las licencias contratadas, que figura en «Mi plan» o, en su caso, en la Orden de servicio. El almacenamiento documental es de 1 GB por Cliente, como cuota fija.

El Cliente se compromete a no superar el número de usuarios activos contratado. La plataforma no permite activar más usuarios que los contratados; para ampliar el número, el Cliente debe contratar más licencias. Si, por cualquier causa, se superase el número contratado, TALENTION podrá facturar el exceso conforme a la tarifa vigente. Las importaciones masivas de empleados crean usuarios pendientes de activación que solo computan cuando aceptan su invitación.

3.2 Periodo de prueba

TALENTION ofrece un periodo de prueba gratuito de 14 días, que comienza cuando el administrador del Cliente acepta la invitación que recibe por correo electrónico (con lo que queda verificado su correo). TALENTION avisa por correo a los administradores 7, 3 y 1 días antes de que termine la prueba.

Al finalizar la prueba, el acceso al Servicio queda cortado hasta la contratación de un plan, salvo para iniciar y cerrar sesión, exportar los datos, consultar «Mi plan», contratar un plan, pagar y completar los datos fiscales de la empresa. Al contratar, la cuenta pasa a plan de pago, se retiran los datos de ejemplo de la prueba y el número de usuarios pasa a ser el de las licencias pagadas.

Los datos introducidos durante la prueba se conservan durante 30 días tras su caducidad para permitir la contratación; transcurrido ese plazo, TALENTION podrá eliminarlos.

3.3 Cuentas y credenciales

TALENTION crea la cuenta del Cliente y la cuenta de su primer administrador. También puede darla de alta el propio Cliente desde la página pública de prueba de la aplicación, indicando el nombre de la empresa, el nombre y el correo electrónico de quien realiza el alta y, opcionalmente, el número de empleados y la periodicidad previstos. En ese caso la plataforma crea la cuenta en un plan de demostración y envía una invitación por correo al administrador; la prueba comienza cuando este la acepta.

El Cliente da de alta a sus usuarios mediante invitación individual o importación. Las credenciales son personales; el Cliente es responsable de su custodia, de la asignación adecuada de roles y permisos y de comunicar de inmediato cualquier acceso no autorizado. TALENTION recomienda exigir la verificación en dos pasos a los perfiles administrativos; cada Cliente puede obligar a usarla a los usuarios con rol Administrador y RR. HH. desde la configuración de su empresa.

3.4 Aplicación de kiosko

El fichaje presencial requiere la aplicación de kiosko instalada en un dispositivo del Cliente, vinculado mediante código de emparejamiento. El Cliente decide si el kiosko captura una fotografía al fichar (opción desactivada por defecto, que el administrador activa expresamente) y es responsable de informar a su plantilla conforme al art. 89 LOPDGDD y de fijar el plazo de conservación de las imágenes, que es de 30 días por defecto y de 90 como máximo.

4. Precio, facturación y pago

El precio del Servicio es el del plan, el número de licencias y la periodicidad (mensual o anual) que el Cliente contrata, tal como se muestran en «Mi plan» antes del pago o, si existe, el fijado en la Orden de servicio. Cada plan se contrata con un mínimo de licencias: 5 en el plan Time (2 € por licencia y mes; 10 € al mes como mínimo) y 10 en el plan Starter (3 € por licencia y mes; 30 € al mes como mínimo). En la modalidad anual se aplica el equivalente a diez mensualidades (100 € y 300 € al año como mínimo, respectivamente). Los precios no incluyen IVA. El IVA aplicable se determina a partir de los datos fiscales del Cliente y se muestra en el presupuesto antes de pagar.

El pago se realiza por adelantado al comienzo de cada periodo, mediante tarjeta o adeudo directo SEPA, a través de Stripe, cuya página de pago recoge los datos de pago del Cliente. El Cliente puede pagar los importes pendientes desde el enlace de pago que Stripe le envía por correo o contactando con soporte (soporte@talentionhr.es). Cuando la Orden de servicio lo prevea, el pago podrá hacerse por transferencia bancaria, en el plazo de 30 días desde la fecha de factura.

Tras cada cobro, TALENTION emite la factura, que el administrador puede consultar y descargar desde «Mi plan». El documento «recibo» disponible en «Mi plan» tiene carácter informativo (proforma) y no acredita el pago.

Si un cobro falla, TALENTION lo comunica por correo a los administradores del Cliente y la cuenta sigue funcionando durante 14 días desde el primer cobro fallido. Los administradores reciben un aviso adicional 3 días y otro 1 día antes de que venza ese plazo. Vencido el plazo sin que se haya satisfecho el pago, el acceso al Servicio queda bloqueado hasta la regularización, salvo el pago de lo pendiente; el bloqueo se levanta cuando se registra el pago. En los pagos por transferencia, transcurridos 30 días desde el requerimiento de pago sin que se haya satisfecho, TALENTION podrá suspender el acceso, previo aviso con 10 días de antelación. El retraso en el pago devengará el interés de demora previsto en la Ley 3/2004. Todo ello, sin perjuicio de la conservación de los datos conforme a la cláusula 12.

TALENTION podrá actualizar los precios con efectos a partir de la siguiente renovación, comunicándolo al Cliente con al menos 60 días de antelación. Si el Cliente no acepta la actualización, podrá resolver el contrato antes de la renovación sin penalización.

5. Duración y renovación

El contrato tiene la duración indicada en la Orden de servicio o, en la contratación en línea, la del periodo (mensual o anual) elegido, y se renueva automáticamente por periodos iguales, salvo que cualquiera de las Partes comunique su voluntad de no renovar con al menos 30 días de antelación al vencimiento.

No obstante lo anterior, cuando el pago se haga mediante suscripción de Stripe, el administrador del Cliente puede cancelar desde «Mi plan» sin necesidad de preaviso. La baja tiene efecto al final del periodo ya pagado, sin devolución de lo abonado; hasta esa fecha el Servicio funciona con normalidad y el administrador puede anular la baja mientras no haya llegado. En los demás casos, el Cliente puede solicitar la cancelación desde «Mi plan» o por correo a soporte@talentionhr.es. TALENTION acusa recibo de la solicitud por correo (de forma inmediata cuando se presenta desde «Mi plan»), con la fecha, la hora y una referencia, y confirmará la fecha efectiva de baja en el plazo de 5 días hábiles. Si la solicitud se presenta con al menos 30 días de antelación al vencimiento del periodo contratado, la baja tendrá efecto en ese vencimiento.

6. Obligaciones del Cliente

• Utilizar el Servicio conforme a la ley, a estos Términos y a la documentación, únicamente para la gestión de su propia plantilla.

• Actuar como responsable del tratamiento de los datos de sus empleados: disponer de base jurídica, informar a la plantilla (incluidas las garantías de los arts. 87 a 90 LOPDGDD cuando active geolocalización, fotografía de kiosko o notificaciones), configurar roles y permisos con criterios de minimización, y atender los derechos de los interesados.

• Garantizar la exactitud de los datos introducidos y la legitimidad de los documentos que cargue, y no introducir en la plataforma más datos de los necesarios (en particular, no volcar diagnósticos u otros datos de salud en campos de texto libre).

• Mantener actualizados los datos de contacto y facturación, y designar al menos un administrador activo.

• No revender, sublicenciar ni ceder el Servicio a terceros, ni utilizarlo para prestar servicios a terceros, salvo autorización escrita de TALENTION.

• No realizar pruebas de intrusión, escaneos automatizados ni cargas masivas fuera de las funciones previstas sin autorización previa de TALENTION.

• Cumplir las obligaciones laborales que le incumben como empleador; el Servicio es una herramienta de apoyo y no sustituye el asesoramiento laboral ni la responsabilidad del Cliente ante la Inspección de Trabajo.

7. Obligaciones de TALENTION

• Prestar el Servicio con la diligencia profesional debida y conforme a la documentación del producto.

• Tratar los datos personales exclusivamente como encargado del tratamiento, conforme al Anexo I, y aplicar las medidas de seguridad del Anexo II.

• Realizar copias de seguridad diarias de la base de datos con archivado continuo, almacenadas de forma inmutable en una región distinta de la del Servicio.

• Comunicar al Cliente, con al menos 48 horas de antelación, los mantenimientos programados que impliquen indisponibilidad, y sin dilación los incidentes de seguridad que le afecten.

• Prestar soporte técnico a los administradores del Cliente a través del sistema de consultas integrado y del correo soporte@talentionhr.es, en días laborables, de lunes a jueves de 9:00 a 18:00 y los viernes de 9:00 a 14:00 (hora peninsular), con un tiempo objetivo de primera respuesta de 1 día hábil.

8. Disponibilidad y mantenimiento

TALENTION aplica una arquitectura de despliegue sin interrupción (blue/green) y monitorización continua, y realizará esfuerzos comercialmente razonables para mantener el Servicio disponible de forma continuada. No obstante, TALENTION no garantiza un porcentaje concreto de disponibilidad. Las paradas programadas se comunican con 48 horas de antelación. No constituyen incumplimiento de TALENTION la indisponibilidad causada por el Cliente o por sus proveedores de conectividad, la debida a proveedores de infraestructura de terceros ni los supuestos de fuerza mayor.

El Servicio se presta con las funcionalidades disponibles en cada momento. TALENTION corregirá los errores reproducibles que le sean comunicados en plazos razonables según su gravedad.

9. Propiedad intelectual

El software, la plataforma, su código, diseño, documentación, marcas y demás elementos del Servicio son propiedad exclusiva de TALENTION o de sus licenciantes. TALENTION concede al Cliente una licencia no exclusiva, no transferible y limitada a la duración del contrato para usar el Servicio conforme a estos Términos.

Los datos, documentos y contenidos que el Cliente y sus usuarios introducen en el Servicio («Datos del Cliente») son propiedad del Cliente. El Cliente concede a TALENTION una licencia limitada para alojarlos, procesarlos y transmitirlos en la medida necesaria para prestar el Servicio. TALENTION no utilizará los Datos del Cliente con fines propios, no los cederá a terceros ni los empleará para entrenar sistemas de inteligencia artificial. TALENTION podrá utilizar métricas técnicas de uso del Servicio, agregadas y anonimizadas, que no incluyen contenido de los Datos del Cliente, para su mejora.

Las sugerencias o propuestas de mejora que el Cliente realice podrán ser incorporadas al Servicio por TALENTION sin contraprestación.

10. Contenidos generados por los usuarios

El foro de propuestas, los comentarios de proyectos, la agenda y demás espacios colaborativos permiten a los usuarios del Cliente publicar contenidos visibles para otros usuarios de la misma empresa. El Cliente es el único responsable de dichos contenidos y de establecer normas internas de uso. TALENTION no supervisa ni modera los contenidos de los Clientes y no dispone de herramientas de moderación sobre ellos; los administradores del Cliente pueden editar o eliminar propuestas. Si TALENTION recibe una comunicación fehaciente de contenido manifiestamente ilícito, lo pondrá en conocimiento del Cliente y podrá adoptar las medidas técnicas proporcionadas que resulten necesarias.

11. Acceso de TALENTION a la cuenta del Cliente (soporte)

Para diagnosticar y resolver incidencias, el personal técnico autorizado de TALENTION puede acceder al entorno del Cliente y, cuando sea imprescindible, iniciar una sesión de asistencia con la visión de un usuario concreto. El Cliente autoriza expresamente estas sesiones en las siguientes condiciones: (i) se realizarán únicamente a petición del Cliente o para resolver una incidencia abierta; (ii) tendrán una duración máxima de dos horas por sesión; (iii) exigirán verificación en dos pasos del técnico; (iv) quedarán registradas con identificación del técnico, usuario afectado, fecha, hora y dirección IP, y podrán revocarse en cualquier momento, también por el administrador del Cliente desde la aplicación; y (v) el Cliente podrá solicitar en cualquier momento el registro de las sesiones realizadas sobre su cuenta, que TALENTION facilitará en el plazo de 10 días hábiles. Además, sin necesidad de solicitarlo, el administrador del Cliente puede consultar en la aplicación el histórico de las sesiones de asistencia (técnico, usuario afectado, fecha y hora; la dirección IP y el navegador no se muestran en pantalla y constan en el registro que se facilita a petición) y el registro de auditoría de su empresa, que incluye una selección de las actuaciones del personal de TALENTION sobre ella. Otras actuaciones (por ejemplo, la exportación completa de los datos, determinadas operaciones de consola sobre empleados y el inicio o la cancelación de la baja de la empresa) no se muestran en la aplicación y constan en el registro que TALENTION facilita a petición del Cliente. Estas sesiones se realizan al amparo de esta autorización.

TALENTION podrá asimismo, a petición del Cliente, crear usuarios o realizar operaciones técnicas masivas (migraciones, correcciones de datos) sobre el entorno del Cliente. Estas operaciones se realizarán previa solicitud escrita del Cliente y quedarán documentadas en el sistema de consultas.

12. Terminación, devolución y supresión de datos

A la terminación del contrato por cualquier causa, TALENTION iniciará la baja de la cuenta del Cliente y se aplicará lo siguiente:

• El Cliente dispondrá de 30 días para descargar sus datos mediante las funciones de exportación del Servicio (informes de fichajes, absentismo, registro retributivo, listado de empleados y banco de horas en PDF/Excel/CSV; documentos y nóminas uno a uno). Durante ese plazo solo accede el administrador, en modo de consulta y descarga. El administrador puede además generar y descargar desde «Mi plan» una exportación completa de los datos de la empresa.

• A solicitud del Cliente, formulada dentro de ese plazo, TALENTION facilitará una exportación completa de la base de datos del Cliente en formato estructurado (JSON o CSV) y de sus ficheros, en el plazo de 15 días hábiles.

• Transcurrido el plazo de descarga, TALENTION procederá a la supresión de los Datos del Cliente en sus sistemas de producción en el plazo de 30 días. Antes de la supresión, TALENTION recuerda la fecha prevista a los administradores 7 días y 1 día antes. La supresión alcanzará la base de datos y los ficheros almacenados (documentos, fotografías de fichaje, firmas, adjuntos y fotografías de perfil). TALENTION certificará la supresión por escrito si el Cliente lo solicita.

• Quedan exceptuados de la supresión: (a) los datos que TALENTION deba conservar por obligación legal (facturación): los datos fiscales y del contrato del Cliente y sus facturas, bloqueados durante 6 años desde el cierre del ejercicio de la última factura o, si no hay facturas, desde el cierre del ejercicio de la baja; (b) el registro de jornada, que el Cliente debe conservar durante cuatro años (art. 34.9 ET), y que TALENTION devolverá al Cliente en la exportación para que este lo custodie, suprimiéndolo después de sus sistemas salvo instrucción distinta del Cliente; mientras no conste la entrega al Cliente o su instrucción de suprimirlo, o si el Cliente ha dado instrucción de conservarlo, TALENTION no suprimirá ningún dato del Cliente hasta que se resuelva; (c) las copias de seguridad, que por su carácter inmutable se eliminan por caducidad en un plazo máximo de 72 días y no se utilizan para ningún otro fin, y las versiones anteriores de los ficheros almacenados, que caducan a los 30 días; (d) las constancias que se enumeran a continuación, que no se utilizan para ningún otro fin que el indicado; y (e) los datos estrictamente necesarios para atender las responsabilidades que puedan derivarse del encargo, que TALENTION conservará bloqueados conforme al art. 33.3 LOPDGDD mientras puedan exigirse dichas responsabilidades, sin utilizarlos para ningún otro fin. Las constancias de la letra (d) son:

  • las consultas de soporte del Cliente, con sus mensajes y adjuntos, incluidas las que documentan la baja o una instrucción del Cliente: 24 meses desde su cierre;

  • las trazas de las actuaciones del personal de TALENTION sobre la cuenta y sus sesiones de asistencia: mientras dure la cuenta y 2 años desde la fecha de baja (las escritas después de la supresión, 2 años desde que se escriben);

  • el registro de aceptación de los Términos y del contrato de encargo: mientras dure la cuenta y cinco años después de la baja;

  • los datos de la suscripción de pago (plan, periodicidad, número de licencias, estado e identificadores de Stripe): seis años desde la baja;

  • el rastro mínimo de la baja (identificadores, fechas, razón social y recuentos), del que sale el certificado de supresión, el registro de las purgas ejecutadas y las demás constancias técnicas de exportaciones y verificaciones de integridad, que solo contienen identificadores, fechas, recuentos y huellas: sin plazo de supresión fijado;

  • el registro de supresiones, que contiene identificadores y fechas y sirve para volver a suprimir los datos si se restaura una copia de seguridad: caduca con las copias, en un máximo de 72 días; y

  • el registro de las entregas del registro de jornada al Cliente, como prueba de la devolución o de la instrucción recibida: cuatro años desde cada entrega.

Cualquiera de las Partes podrá resolver el contrato por incumplimiento grave de la otra no subsanado en el plazo de 30 días desde su notificación. TALENTION podrá además suspender el Servicio de forma inmediata en caso de uso que ponga en riesgo la seguridad de la plataforma o de terceros, comunicándolo al Cliente.

13. Confidencialidad

Cada Parte tratará como confidencial la información de la otra a la que acceda en el marco del contrato, la utilizará solo para su ejecución y no la revelará a terceros sin autorización, salvo a sus empleados y proveedores sujetos a obligaciones equivalentes o cuando lo exija la ley. La obligación subsiste durante cinco años tras la terminación y, respecto de los datos personales, indefinidamente.

14. Garantías y responsabilidad

TALENTION garantiza que el Servicio funcionará sustancialmente conforme a su documentación. Salvo lo expresamente previsto, el Servicio se presta «tal cual» y TALENTION no garantiza que se adapte a las necesidades particulares del Cliente ni que esté libre de errores. El Cliente reconoce que el cumplimiento de sus obligaciones laborales y de protección de datos como empleador es de su exclusiva responsabilidad.

La responsabilidad total de TALENTION frente al Cliente por todos los conceptos derivados del contrato se limita al importe de las cuotas abonadas por el Cliente en los doce meses anteriores al hecho causante. TALENTION no responderá del lucro cesante, pérdida de negocio ni daños indirectos. Estas limitaciones no se aplican en caso de dolo o culpa grave, ni a los supuestos en que la ley no permita limitar la responsabilidad, ni a las indemnizaciones por incumplimiento del Anexo I que sean imputables a TALENTION en su condición de encargado.

15. Protección de datos

En relación con los datos personales de los empleados y usuarios del Cliente tratados a través del Servicio, el Cliente es responsable del tratamiento y TALENTION encargado, conforme al Acuerdo de encargo del Anexo I, que forma parte integrante de estos Términos. Los datos de contacto y facturación del Cliente los trata TALENTION como responsable, según su Política de privacidad.

16. Modificación de los Términos

TALENTION podrá modificar estos Términos comunicándolo al Cliente con al menos 30 días de antelación a través del Servicio o por correo electrónico. Si la modificación perjudica sustancialmente al Cliente, este podrá resolver el contrato antes de su entrada en vigor. El uso continuado del Servicio tras la entrada en vigor supone la aceptación de los nuevos Términos.

17. Disposiciones generales

Las comunicaciones se realizarán por escrito a las direcciones de correo designadas por las Partes. Ninguna de las Partes podrá ceder el contrato sin consentimiento de la otra, salvo TALENTION a una sociedad de su grupo o en caso de sucesión empresarial, previa comunicación. Si alguna cláusula fuera declarada nula, el resto conservará su validez. Ninguna Parte será responsable del incumplimiento debido a fuerza mayor.

18. Ley aplicable y jurisdicción

Estos Términos se rigen por la legislación española. Las Partes, con renuncia a cualquier otro fuero que pudiera corresponderles, se someten a los Juzgados y Tribunales de la ciudad de Sevilla.

Anexo I. Acuerdo de encargo del tratamiento (art. 28 RGPD)

1. Objeto

Este Acuerdo regula el tratamiento de datos personales que TALENTION SOLUCIONES DIGITALES, S.L. (el «Encargado») realiza por cuenta del Cliente (el «Responsable») para la prestación del Servicio TalentionHR, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

2. Descripción del tratamiento

3. Obligaciones del Encargado

El Encargado se obliga a:

• Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable. Constituyen instrucciones documentadas: el contrato de servicio, estos Términos, la configuración que el Responsable realiza en el Servicio (módulos, roles, permisos, tipos de fichaje, geolocalización, centros, canales de notificación) y las solicitudes de soporte y operaciones técnicas formuladas por el Responsable a través del sistema de consultas o por correo. Si el Encargado considera que una instrucción infringe la normativa, informará inmediatamente al Responsable.

• No utilizar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o cuando lo exija la ley, en cuyo caso informará al Responsable antes del tratamiento, a menos que la ley lo prohíba.

• Garantizar la confidencialidad: el personal del Encargado con acceso a los datos está sujeto a compromiso de confidencialidad por escrito y recibe formación en protección de datos. El acceso a través de la aplicación está restringido al personal técnico autorizado (rol SuperAdmin) y exige verificación en dos pasos; quedan registradas las acciones de ese personal y sus sesiones de asistencia. El Encargado mantendrá una lista actualizada de las personas con acceso privilegiado y la facilitará al Responsable a petición.

• Aplicar las medidas de seguridad del Anexo II y las que resulten del análisis de riesgos, revisándolas periódicamente, y realizar al menos una auditoría técnica de seguridad anual.

• Registrar las acciones y las sesiones de asistencia del personal del Encargado sobre el entorno del Responsable y facilitar dicho registro al Responsable a petición, en el plazo de 10 días hábiles. El administrador del Responsable puede consultar además en la aplicación, sin necesidad de solicitarlo, el histórico de las sesiones de asistencia y el registro de auditoría de su empresa, con una selección de las actuaciones del personal del Encargado sobre ella (cláusula 11 de los Términos); las demás actuaciones constan en el registro que el Encargado facilita a petición. Las operaciones técnicas realizadas fuera de la aplicación (consola de servidor) quedarán documentadas en el sistema de consultas con indicación de la solicitud del Responsable que las ampara.

• Asistir al Responsable en la atención de los derechos de los interesados (arts. 15 a 22 RGPD). Cuando un interesado ejerza un derecho directamente ante el Encargado, este lo comunicará al Responsable en el plazo máximo de 3 días hábiles. El Responsable dispone en la aplicación de las funciones de exportación de los datos de un empleado, de limitación de su tratamiento y de anonimización, y el Encargado le prestará la asistencia que necesite para la extracción, rectificación, supresión o anonimización de los datos de un interesado, respetando la obligación de conservar el registro de jornada durante cuatro años.

• Notificar las violaciones de seguridad de los datos personales al Responsable sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia, facilitando la información disponible (naturaleza, categorías y número aproximado de interesados y registros, consecuencias probables, medidas adoptadas y contacto), y completándola a medida que se disponga de ella. El Encargado asistirá además al Responsable en la comunicación de la violación a los interesados cuando esta proceda (art. 34 RGPD).

• Asistir al Responsable en la realización de evaluaciones de impacto y consultas previas a la autoridad de control, en la medida en que se refieran al Servicio.

• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías, conforme al apartado 8 de este Anexo.

• Llevar un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable (art. 30.2 RGPD).

4. Obligaciones del Responsable

• Disponer de base jurídica para los tratamientos que realiza a través del Servicio y, en particular, para las categorías especiales de datos que decida introducir.

• Informar a los interesados conforme a los arts. 13 y 14 RGPD y a los arts. 87 a 90 LOPDGDD, especialmente antes de activar la geolocalización en el fichaje o la fotografía en el kiosko.

• Configurar los roles y permisos del Servicio de forma coherente con los principios de minimización y limitación de acceso, y revisar periódicamente los usuarios con permisos amplios.

• Introducir solo los datos necesarios y abstenerse de introducir datos de salud u otras categorías especiales en campos de texto libre.

• Custodiar la exportación del registro de jornada al término del contrato y conservarla durante cuatro años.

• Realizar, en su caso, la evaluación de impacto que corresponda a los tratamientos que decida realizar.

5. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los subencargados que figuran en la lista siguiente. El Encargado informará al Responsable de cualquier adición o sustitución con al menos 30 días de antelación, mediante aviso en el Servicio o por correo electrónico, y el Responsable podrá oponerse por motivos razonables en ese plazo; de no alcanzarse acuerdo, el Responsable podrá resolver el contrato sin penalización. El Encargado impondrá a los subencargados, por contrato, obligaciones equivalentes a las de este Acuerdo y seguirá siendo plenamente responsable ante el Responsable.

No figuran en la tabla, por no tratar datos personales del Responsable, OpenStreetMap Foundation, a cuyo servicio de geocodificación (Nominatim) el servidor envía únicamente la dirección postal de los centros de trabajo, sin datos de empleados, y GitHub, que aloja el código del software y las herramientas de desarrollo y despliegue, sin datos del Responsable.

Los servicios de notificación push (Expo, Apple, Google) y de sincronización de calendario (Google, Microsoft) no están activos. Su activación se comunicará conforme al procedimiento anterior.

6. Transferencias internacionales

La base de datos, los ficheros y las copias de seguridad del Responsable se alojan en el Espacio Económico Europeo, en las ubicaciones indicadas en el apartado 5; la ubicación del servicio de correo transaccional es la que figura en esa misma tabla. Cualquier transferencia a un tercer país, incluidas las que puedan derivarse de accesos remotos de subencargados con matriz fuera del EEE, se amparará en las garantías previstas en el capítulo V del RGPD, con las medidas complementarias necesarias, y se informará al Responsable. Garantías de los subencargados: Hostinger, cláusulas contractuales tipo (Decisión 2021/914) para sus propios subencargados fuera del EEE; Amazon Web Services, cláusulas contractuales tipo y adhesión de Amazon.com, Inc. al Marco de Privacidad de Datos UE-EE. UU..

7. Medidas de seguridad

El Encargado aplica las medidas técnicas y organizativas descritas en el Anexo II. El Responsable reconoce haberlas evaluado y considerarlas adecuadas al riesgo de los tratamientos que realiza a través del Servicio. El Encargado podrá actualizarlas siempre que no reduzcan el nivel de seguridad global.

8. Auditorías

El Responsable podrá verificar el cumplimiento de este Acuerdo una vez al año, o adicionalmente tras un incidente de seguridad, mediante cuestionario, revisión documental (informes de las auditorías de seguridad anuales, políticas, registros de acceso) o, previo aviso de 30 días y a su cargo, auditoría presencial o remota por un auditor independiente sujeto a confidencialidad, sin interferir en la operación del Servicio ni acceder a datos de otros clientes.

9. Separación de datos entre clientes

El Servicio es multiempresa: los datos de todos los clientes residen en una misma base de datos y se separan de forma lógica mediante un identificador de empresa presente en cada registro, aplicado en todas las consultas de negocio y verificado mediante pruebas automatizadas y revisión de código. Los ficheros se almacenan en rutas separadas por empresa con acceso autenticado, con una excepción: las fotografías de perfil se guardan en un contenedor de lectura pública, en una carpeta por empresa y con un nombre aleatorio que no puede deducirse, y se muestran mediante una dirección firmada de vida limitada; no obstante, quien conozca la dirección exacta de una imagen puede verla sin autenticarse. El Encargado informa expresamente de que la separación es lógica, no física.

10. Registro de jornada y conservación legal

El Responsable instruye al Encargado para que conserve el registro de jornada durante cuatro años (art. 34.9 ET) con protección frente al borrado ordinario (borrado lógico y registro de auditoría con sellado encadenado). Las solicitudes de supresión de interesados que afecten al registro de jornada se atenderán mediante bloqueo o anonimización del resto de datos del interesado, conservando el registro, que mantiene la identificación del trabajador durante los cuatro años. Los documentos, nóminas y firmas de una persona anonimizada se conservan el plazo que indique el Responsable y, a falta de instrucción, cuatro años desde la baja de la persona.

11. Devolución y supresión

Al término del contrato, el Encargado devolverá los datos al Responsable en formato estructurado y de uso común conforme a la cláusula 12 de los Términos y, una vez confirmada la devolución o transcurrido el plazo previsto, suprimirá los datos y las copias existentes en sus sistemas de producción, certificándolo por escrito a petición del Responsable. Quedan exceptuados de la supresión los datos y las constancias que enumera la cláusula 12 de los Términos, letras (a) a (e), durante los plazos allí indicados. Las copias de seguridad, inmutables por diseño, se eliminarán por caducidad en un plazo máximo de 72 días y no serán restauradas salvo para recuperación ante desastre, en cuyo caso el Encargado volverá a suprimir los datos del Responsable.

12. Responsabilidad

Cada Parte responderá de los daños que cause por el incumplimiento de las obligaciones que le corresponden conforme al RGPD y a este Acuerdo. Si el Encargado infringiera el RGPD al determinar los fines y medios del tratamiento, será considerado responsable respecto de dicho tratamiento.

13. Duración y prevalencia

Este Acuerdo entra en vigor con el contrato de servicio y permanece vigente mientras el Encargado conserve datos personales del Responsable. En materia de protección de datos prevalece sobre cualquier otro documento contractual.

Anexo II. Descripción del servicio y medidas de seguridad

1. Arquitectura

TalentionHR es una aplicación web (frontend de navegador y API REST) desplegada en contenedores sobre un servidor virtual privado en el Espacio Económico Europeo (Hostinger, Alemania, Unión Europea), con base de datos PostgreSQL y caché Redis en red interna. Todos los ficheros (documentos, nóminas, justificantes, adjuntos de solicitudes y de soporte, fotografías de fichaje, firmas y facturas) se almacenan en Amazon S3 (región Estocolmo) con acceso privado, salvo las fotografías de perfil, que están en un contenedor de S3 de lectura pública. Las copias de seguridad se almacenan en Amazon S3 (región España) con bloqueo de objetos. La conversión de documentos a PDF se realiza en un contenedor interno sin salida a terceros. No se utilizan servicios de analítica, publicidad ni inteligencia artificial de terceros.

2. Medidas técnicas y organizativas

3. Límites conocidos

En aras de la transparencia, TALENTION informa de que: (i) la verificación en dos pasos es voluntaria para los usuarios del Cliente, salvo para los roles Administrador y RR. HH. cuando el Cliente la exija en la configuración de su empresa; (ii) la política de contraseñas exige un mínimo de 12 caracteres con letras y números y rechaza las que constan en filtraciones públicas, para lo cual consulta un servicio externo de contraseñas filtradas sin enviarle la contraseña (solo un prefijo de cinco caracteres de su huella); si ese servicio no responde, la contraseña se acepta y queda constancia en el registro técnico; la política rige al crear o cambiar una contraseña, no sobre las ya existentes; (iii) la base de datos no aplica cifrado a nivel de columna para los datos identificativos y económicos, que se protegen mediante control de acceso, cifrado en tránsito y aislamiento de red; y (iv) el registro de auditoría no puede modificarse ni borrarse desde la aplicación durante el contrato; a su término, se aplica la cláusula 12; esa protección es de aplicación, no del motor de base de datos. TALENTION revisa estas medidas en su plan de mejora continua.