Contrato de encargo del tratamiento

Este contrato regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), el tratamiento de datos personales que 2tidy realiza por cuenta de la empresa que contrata o usa el servicio. Lo acepta electrónicamente la persona que crea la cuenta de la empresa (o su administrador), que declara tener poder suficiente para obligarla. La aceptación queda registrada con fecha, versión del documento y dirección IP.

1. Partes

2. Objeto

2tidy presta a la Empresa un servicio en línea (software como servicio) de gestión de proyectos, tareas, equipo, clientes, tiempo, jornada, mensajería interna y citas. Para prestarlo, 2tidy trata por cuenta de la Empresa los datos personales que esta y sus usuarios introducen en la plataforma, en los términos de este contrato y de los Términos y condiciones.

3. Duración

El contrato está vigente mientras la Empresa tenga una cuenta activa (incluido el periodo de prueba). Al finalizar, se aplica lo previsto en la cláusula 9 (devolución y supresión).

4. Naturaleza y finalidad del tratamiento

Recogida, registro, estructuración, conservación, consulta, comunicación entre los usuarios de la Empresa, generación de informes y notificaciones, y —solo cuando la Empresa o sus usuarios lo activan— funciones de inteligencia artificial descritas en la Información sobre el uso de inteligencia artificial. La finalidad es exclusivamente la prestación del servicio contratado.

5. Tipos de datos y categorías de interesados

• Personal y colaboradores de la Empresa: datos identificativos y de contacto, rol y permisos, avatar, registro de jornada (entradas, pausas y salidas), vacaciones y ausencias, nóminas si la Empresa las sube, tiempos dedicados a proyectos, mensajes y comentarios.
• Clientes, contactos comerciales y leads de la Empresa: datos identificativos, de contacto y profesionales, documentación, historial comercial, citas y comunicaciones.
• Contenidos: proyectos, tareas, notas, archivos adjuntos y cualquier dato personal que la Empresa decida incluir en ellos.

La Empresa no debe introducir en 2tidy categorías especiales de datos (salud, ideología, afiliación sindical, biometría, etc.) salvo que cuente con base jurídica para ello y lo haga bajo su exclusiva responsabilidad. 2tidy no está diseñada para tratar datos de menores.

6. Obligaciones del Encargado (2tidy)

1. Instrucciones. Tratar los datos únicamente conforme a las instrucciones documentadas de la Empresa, que se concretan en el uso normal del servicio y en estos documentos; informar a la Empresa si una instrucción infringe, a su juicio, la normativa.
2. Confidencialidad. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad y han recibido la formación necesaria.
3. Seguridad (art. 32 RGPD). Aplicar medidas técnicas y organizativas apropiadas: cifrado de las comunicaciones (TLS), cifrado en reposo de la base de datos y los archivos, contraseñas almacenadas con hash, aislamiento estricto de los datos de cada empresa a nivel de base de datos (políticas de seguridad por fila), control de acceso por roles, copias de seguridad diarias, registro de accesos y revisión periódica de la seguridad.
4. Subencargados. La Empresa autoriza con carácter general a 2tidy a recurrir a los subencargados de la cláusula 8. 2tidy informará de cualquier cambio con al menos 30 días de antelación (por correo al administrador y en esta página), pudiendo la Empresa oponerse motivadamente y, en su caso, resolver el contrato sin penalización. 2tidy impondrá a cada subencargado las mismas obligaciones de protección de datos.
5. Derechos de los interesados. Ayudar a la Empresa, mediante las herramientas de la plataforma (exportación, edición, supresión) y su asistencia directa, a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si un interesado se dirige a 2tidy directamente, se le remitirá a la Empresa y se le informará a esta sin dilación.
6. Violaciones de seguridad. Notificar a la Empresa, sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información necesaria para que la Empresa pueda cumplir sus obligaciones de notificación (arts. 33 y 34 RGPD).
7. Asistencia. Prestar apoyo a la Empresa en las evaluaciones de impacto y consultas previas que procedan, en lo relativo al servicio.
8. Información y auditorías. Poner a disposición de la Empresa la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables, previo aviso y sin afectar a los datos de otras empresas.
9. Registro de actividades. Mantener por escrito un registro de las categorías de actividades de tratamiento efectuadas por cuenta de la Empresa (art. 30.2 RGPD).
10. Transferencias. No transferir datos fuera del Espacio Económico Europeo salvo a los subencargados indicados y con las garantías de la cláusula 8.

7. Obligaciones del Responsable (la Empresa)

• Disponer de base jurídica para los datos que introduce y para las finalidades que persigue (por ejemplo, la relación laboral para el registro de jornada, o la relación contractual con sus clientes).
• Informar a sus empleados, clientes y contactos del tratamiento de sus datos y del uso de 2tidy, incluida la información sobre el registro de jornada y sobre las funciones de inteligencia artificial que active.
• Garantizar que sus usuarios usan la plataforma conforme a la normativa y a los Términos, custodiar las credenciales y gestionar los permisos de su equipo.
• Realizar, cuando proceda, la evaluación de impacto y las consultas previas; y atender los derechos de los interesados.

8. Subencargados autorizados y transferencias internacionales

Los datos de la base de datos y los archivos de la Empresa se alojan en la Unión Europea. Cuando un subencargado trata datos desde fuera del EEE, la transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea y, cuando el proveedor está adherido, en el EU-US Data Privacy Framework. Las funciones que envían datos a OpenAI, Google o Telegram solo se activan por decisión de la Empresa o del propio usuario.

9. Devolución y supresión al finalizar el servicio

Al finalizar la relación, la Empresa puede exportar sus datos desde la plataforma. Transcurridos 30 días desde la baja definitiva (o antes, a petición de la Empresa), 2tidy suprimirá los datos personales y sus copias, salvo los que deba conservar bloqueados por obligación legal (por ejemplo, facturación) durante los plazos exigidos.

10. Responsabilidad

Cada parte responde de los daños derivados del incumplimiento de sus obligaciones conforme al art. 82 RGPD. 2tidy responderá cuando haya actuado fuera de las instrucciones lícitas de la Empresa o incumplido las obligaciones que el RGPD impone específicamente a los encargados.

11. Aceptación, modificaciones y ley aplicable

Este contrato se acepta por medios electrónicos al crear la cuenta de la Empresa y, cuando se publique una nueva versión, al iniciar sesión. 2tidy conserva la evidencia de cada aceptación. Se rige por la legislación española y por el RGPD; para cualquier controversia son competentes los Juzgados y Tribunales de Orihuela (Alicante), salvo norma imperativa en contrario.