Acordo de subcontratação do tratamento

Este contrato forma parte de los términos del servicio y se aplica automáticamente cuando una empresa contrata BienestarHR. Cumple el artículo 28 del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Si el Cliente necesita una copia firmada, la pide a hola@bienestarhr.com.

1. Las partes y su papel

• Responsable del tratamiento: la empresa u organización que contrata BienestarHR («el Cliente»). Decide para qué se usan los datos de su plantilla y con qué base jurídica.
• Encargado del tratamiento: LEALY APP, S.L. («BienestarHR»), que trata esos datos solo para prestar el servicio y siguiendo las instrucciones del Cliente.

Encargado

LEALY APP, S.L.

NIF

B19464858

Domicilio social

Calle Pere Calders, 12, planta 2, puerta 2, 08750 Molins de Rei (Barcelona)

Registro Mercantil

Dado pendente

Contacto de privacidad

hola@bienestarhr.com

Hay datos que BienestarHR trata como responsable, no como encargado: los de facturación y contacto comercial del Cliente, y los de las personas que nos escriben desde la web. Esos se rigen por la política de privacidad.

2. Objeto y duración

El objeto es prestar el servicio BienestarHR al Cliente: alojar sus datos, mostrarlos a cada rol según sus permisos, calcular agregados de equipo, enviar invitaciones y avisos, ofrecer el asistente de IA y dar soporte. El encargo dura lo mismo que la suscripción, más el tiempo necesario para devolver o borrar los datos (apartado 11).

3. Qué datos se tratan

• Identificación y contacto: nombre, correo electrónico, móvil y, si el Cliente lo usa, identificador de empleado.
• Datos de organización: empresa, centro, equipo, rol y estado (activa o de baja).
• Respuestas del check-in y de las encuestas (energía, carga, ánimo, estrés, clima, eNPS y otras dimensiones) y comentarios abiertos. Pueden revelar aspectos relacionados con la salud, como el estrés o el ánimo. El Cliente decide qué se pregunta y con qué base jurídica.
• Alertas, planes de acción, reconocimientos, retos, formación realizada e interés en beneficios.
• Conversaciones de cada persona con su asistente de IA, que son privadas: RR. HH. no las ve.
• Datos técnicos de acceso: código de acceso cifrado con caducidad, huella de la dirección IP para limitar intentos y registros de actividad administrativa.
• Si la persona conecta voluntariamente su cuenta de Strava: las actividades deportivas que ella autoriza.

4. De quién son los datos

Personas trabajadoras y colaboradoras del Cliente, sus responsables de equipo y el personal de RR. HH. y administración que usa la cuenta.

5. Instrucciones del Cliente

BienestarHR trata los datos solo según las instrucciones documentadas del Cliente: este contrato, los términos y la configuración que el Cliente hace en la aplicación. Si una instrucción nos parece contraria al RGPD u otra norma, se lo diremos al Cliente. No usamos los datos para fines propios, no los vendemos y no los usamos para entrenar modelos de IA.

Si la ley nos obliga a tratar datos de otra forma (por ejemplo, por orden judicial), se lo comunicaremos antes al Cliente, salvo que la ley lo prohíba.

6. Confidencialidad

Las personas de BienestarHR que pueden acceder a los datos están obligadas a mantenerlos en secreto, por contrato o por ley, también después de dejar de trabajar con nosotros. Solo acceden cuando hace falta para prestar el servicio o dar soporte.

7. Medidas de seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo (artículo 32 del RGPD). Estas son las que el producto aplica hoy:

• Umbral de anonimato. Las vistas de equipo, centro, empresa y encuestas solo se muestran con 5 respuestas o más. El Cliente puede subir el mínimo (hasta 20), pero no bajarlo. Por debajo, solo se indica que no hay datos suficientes, sin recuentos.
• Protección por diferencia. Si restando se pudiera deducir un grupo oculto, se oculta también otro, para que no se pueda calcular.
• Sin vista individual. RR. HH. y los responsables nunca ven el check-in de una persona ni quién ha contestado una encuesta: solo agregados y porcentajes de participación. Los comentarios abiertos se muestran sin nombre.
• Acceso por roles. Persona, responsable, RR. HH. y administración ven cosas distintas. Lo que ve cada rol está fijado en el producto.
• Cifrado en tránsito. Toda la comunicación va por HTTPS (TLS), con HSTS activado.
• Acceso sin contraseñas débiles. El acceso por QR usa un código por SMS que caduca a los 10 minutos, con intentos limitados por móvil y por dirección. El código se guarda con una función de un solo sentido y la IP, solo como huella.
• Registro de auditoría. Las acciones administrativas (cambios de rol, bajas y reactivaciones, exportaciones, cambios en la conservación de datos y similares) quedan registradas con quién, qué y cuándo.
• Conservación limitada. El Cliente puede fijar cuánto tiempo se guardan los check-ins, las notas y los datos de quien deja la empresa, y anonimizar a quien se va.
• Analítica mínima. La analítica de uso no graba la pantalla, no captura clics automáticamente y no envía la IP. Solo se activa si la persona acepta las cookies de analítica.
• IA con límites. El asistente de RR. HH. solo trabaja con datos agregados y tiene bloqueados los diagnósticos y las valoraciones de personas concretas.
• Datos en la UE. La base de datos está en Irlanda y la aplicación se ejecuta en Dublín. Los proveedores fuera de la UE están en subencargados, con sus garantías.

Revisamos estas medidas cuando cambia el producto o el riesgo.

8. Subencargados

El Cliente autoriza de forma general a BienestarHR a usar los proveedores de la lista de subencargados. Cada uno trata solo lo necesario para su función y firma con nosotros obligaciones de protección de datos equivalentes a las de este contrato.

Antes de añadir o cambiar un subencargado, lo avisaremos por correo a los administradores con al menos 15 días de antelación y actualizaremos la lista. El Cliente puede oponerse por motivos razonables; si no encontramos una solución, puede darse de baja sin penalización.

Si un subencargado trata datos fuera del Espacio Económico Europeo, lo hace con las garantías del RGPD: una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo de la Comisión Europea.

9. Ayuda al Cliente

• Derechos de las personas. Si una persona nos pide acceso, rectificación, supresión, oposición, limitación o portabilidad sobre datos del Cliente, se lo pasaremos al Cliente sin dilación indebida y le ayudaremos a responder.
• Evaluaciones de impacto. Daremos al Cliente la información que tengamos para su evaluación de impacto o una consulta previa a la autoridad de control.
• Seguridad. Le explicaremos las medidas que aplicamos cuando lo necesite para cumplir sus obligaciones.

10. Violaciones de seguridad

Si sufrimos una violación de seguridad que afecte a datos del Cliente, se lo notificaremos sin dilación indebida y, en todo caso, en un máximo de 72 horas desde que tengamos constancia de ella. Le daremos la información disponible para que pueda notificarla a la autoridad y, si hace falta, a las personas afectadas: qué ha pasado, qué datos y personas afecta (aproximadamente), las consecuencias probables y qué medidas hemos tomado o proponemos. Si no tenemos toda la información a la vez, la daremos por partes.

11. Al terminar: devolución y borrado

Al terminar el servicio, el Cliente elige: que le devolvamos sus datos en un formato habitual (por ejemplo, CSV) o que los borremos. Si no dice nada, los borramos en un plazo máximo de 30 días desde el fin del servicio. Un administrador también puede borrar la empresa desde la aplicación en cualquier momento, con efecto inmediato.

Las copias de seguridad del proveedor de base de datos se renuevan de forma periódica y los datos desaparecen de ellas con esa rotación. Solo conservamos, bloqueado, lo que la ley nos obligue a guardar.

12. Demostrar el cumplimiento y auditorías

Daremos al Cliente la información necesaria para demostrar que cumplimos este contrato. Si además quiere auditarnos, lo puede hacer él o un auditor independiente con obligación de confidencialidad, avisando con 30 días de antelación, una vez al año como máximo (salvo después de una violación de seguridad o si lo pide una autoridad), en horario laboral y sin afectar a la seguridad de otros clientes. Cada parte asume sus propios costes.

13. Otras reglas

• Si este contrato y los términos dicen cosas distintas sobre protección de datos, manda este contrato.
• La responsabilidad de cada parte se rige por el RGPD y por el apartado de responsabilidad de los términos.
• Se rige por la ley española y los tribunales competentes son los que indican los términos.