Contracte d'encarregat de tractament (RGPD art. 28)

Entre Pol Vinyolas SL(NIF B22512313, domicili a Carrer Born 3, Banyoles) ("l'Encarregat") i l'empresa que es dona d'alta a Konstruo ("el Responsable" o "el Client").

1. Objecte

Aquest contracte regula el tractament de dades personals que l'Encarregat realitza per compte del Responsable en el marc de la prestació del servei Konstruo, en compliment de l'article 28 del Reglament (UE) 2016/679 (RGPD) i la LOPDGDD.

2. Durada

Aquest contracte està vigent mentre ho estigui el contracte de prestació del Servei (Condicions d'ús) entre les parts, i fins que l'Encarregat retorni o elimini totes les dades tractades per compte del Responsable, segons la clàusula 8.

3. Naturalesa i finalitat del tractament

L'Encarregat tracta dades per compte del Responsable amb l'única finalitat de prestar les funcionalitats de gestió d'obres, facturació, fitxatge de treballadors i similars pròpies de Konstruo, seguint sempre les instruccions documentades del Responsable (que es materialitzen en la configuració que el Responsable fa de l'eina).

4. Categories de dades i d'interessats

Categories de dades: dades identificatives (nom, DNI/NIE), dades de contacte, dades laborals bàsiques (horari, absències), dades de geolocalització en el moment del fitxatge (si el Responsable activa aquesta funció), dades econòmiques dels clients del Responsable (per a la facturació que aquest emet).

Categories d'interessats: treballadors del Responsable, clients del Responsable, proveïdors del Responsable.

No es tracten categories especials de dades (article 9 RGPD) en l'ús ordinari del Servei.

5. Obligacions de l'Encarregat

L'Encarregat es compromet a:

• Tractar les dades únicament seguint instruccions documentades del Responsable (incloses les transferències a tercers països, que només es faran si ho exigeix el dret de la UE, i llavors informant-ne prèviament el Responsable, tret que la llei ho prohibeixi).
• Garantir que el personal autoritzat a tractar les dades s'ha compromès a respectar la confidencialitat o té una obligació legal de confidencialitat.
• Adoptar les mesures de seguretat de l'article 32 RGPD (xifratge en trànsit i en repòs, control d'accessos, còpies de seguretat).
• Respectar les condicions dels apartats 2 i 4 d'aquest article per contractar un altre encarregat (subencarregat).
• Assistir el Responsable, tenint en compte la naturalesa del tractament, mitjançant mesures tècniques i organitzatives apropiades, per al compliment de la seva obligació de respondre a les sol·licituds d'exercici de drets dels interessats.
• Ajudar el Responsable a garantir el compliment de les obligacions dels articles 32 a 36 RGPD (seguretat, notificació de violacions, avaluacions d'impacte), tenint en compte la naturalesa del tractament i la informació de què disposa l'Encarregat.
• A elecció del Responsable, suprimir o retornar totes les dades personals un cop finalitzi la prestació del Servei, i suprimir les còpies existents, tret que el dret de la UE o dels estats membres n'exigeixi la conservació.
• Posar a disposició del Responsable tota la informació necessària per demostrar el compliment de les obligacions d'aquest article, i permetre i contribuir a auditories, incloses inspeccions, realitzades pel Responsable o un altre auditor autoritzat.
• Notificar al Responsable qualsevol violació de la seguretat de les dades personals de què tingui coneixement, sense dilació indeguda i, en tot cas, en un termini raonable que permeti al Responsable complir el seu propi termini de notificació de 72 hores a l'autoritat de control.

6. Subencarregats autoritzats

El Responsable autoritza amb caràcter general l'Encarregat a contractar els següents subencarregats, amb l'obligació de garantir-los-hi obligacions de protecció de dades equivalents a les d'aquest contracte:

L'Encarregat informarà el Responsable de qualsevol canvi previst relatiu a la incorporació o substitució de subencarregats, donant-li l'oportunitat d'oposar-s'hi per motius justificats.

7. Transferències internacionals

Supabase allotja la base de dades a Frankfurt (Alemanya), dins l'Espai Econòmic Europeu — no suposa cap transferència internacional. Per a la resta de subencarregats de la clàusula 6, en la mesura que algun tracti dades fora de l'EEE, la transferència s'empararà en les Clàusules Contractuals Tipus de la Comissió Europea o un altre mecanisme reconegut pel RGPD.

8. Retorn o supressió de dades

En finalitzar la prestació del Servei, l'Encarregat, a elecció del Responsable:

• Retornarà totes les dades personals mitjançant una exportació en format estàndard, o
• Les suprimirà de forma definitiva,

tret que la normativa aplicable n'exigeixi la conservació (per exemple, obligacions fiscals sobre les factures emeses).

9. Responsabilitat

Cadascuna de les parts respondrà davant les autoritats de control i els interessats de les infraccions del RGPD que li siguin imputables d'acord amb l'article 82 RGPD.

10. Llei aplicable

Aquest contracte es regeix pel RGPD, la LOPDGDD i la llei espanyola.

Acceptació

Aquest document s'entén acceptat pel Responsable en donar-se d'alta al Servei, juntament amb les Condicions d'ús i la Política de privacitat.