Contrato de encargo de tratamiento

1. Partes

• Responsable: la organización cliente que se da de alta en Cuadrana, representada por quien la crea.
• Encargado: [pendiente de completar], NIF [pendiente de completar], [pendiente de completar].

2. Objeto, naturaleza y finalidad

Prestar el servicio Cuadrana: almacenar, organizar, consultar, calcular y mostrar la información de vacaciones, ausencias, turnos, guardias y registro de jornada de la organización, enviar las notificaciones del servicio, hacer copias de seguridad y, al terminar, devolver o suprimir los datos. El encargado no usará los datos para ningún fin propio.

3. Duración

Mientras la organización use el servicio. Al terminar se aplica el apartado 6 (devolución y supresión).

4. Datos e interesados

• Interesados: personas trabajadoras y colaboradoras de la organización a las que esta invita o da de alta.
• Identificativos y de contacto: nombre visible, correo electrónico, departamento, rol en la organización.
• Laborales: ausencias, vacaciones y permisos con sus fechas y estado, saldos de días, turnos y guardias, fichajes de entrada y salida y sus correcciones, comentarios de las solicitudes.
• Técnicos: registro de auditoría de las acciones (quién, qué, cuándo, dirección IP y navegador).
• Categorías especiales: el servicio no las necesita. Un tipo de ausencia como «baja médica» puede revelar indirectamente información de salud; por eso el responsable se compromete a no registrar diagnósticos ni detalles médicos en los comentarios.

5. Obligaciones del encargado

1. Tratar los datos solo según las instrucciones documentadas del responsable (estas condiciones y la configuración que haga en la aplicación), salvo obligación legal, que le comunicará antes si la ley lo permite. Avisará si cree que una instrucción infringe la normativa.
2. Garantizar que las personas autorizadas a tratar los datos se han comprometido a guardar confidencialidad.
3. Aplicar las medidas de seguridad del anexo, adecuadas al riesgo (art. 32 RGPD), y revisarlas periódicamente.
4. No recurrir a otro encargado sin autorización. El responsable autoriza de forma general a los subencargados listados. Cualquier cambio se avisará con al menos 30 días de antelación; el responsable podrá oponerse y, si no hay acuerdo, darse de baja y exportar sus datos. Cada subencargado queda sujeto a las mismas obligaciones.
5. Ayudar al responsable a atender los derechos de las personas (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si una persona se dirige al encargado, este trasladará la petición al responsable sin demora.
6. Notificar al responsable cualquier violación de la seguridad de los datos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga constancia, con la información disponible para que el responsable pueda notificarla a la autoridad en 72 horas si procede.
7. Ayudar al responsable en las evaluaciones de impacto y consultas previas que necesite.
8. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso y sin poner en riesgo los datos de otros clientes.

6. Devolución y supresión

Durante toda la relación el responsable puede exportar sus datos en formatos abiertos. Si la relación termina a petición suya o nuestra, tendrá 30 días para hacerlo; después el encargado suprimirá los datos de la organización. Si es el propio responsable quien la elimina desde la aplicación (al borrar la cuenta de su único miembro), el borrado es inmediato tras su confirmación expresa. En ambos casos los datos desaparecen también de las copias de seguridad al caducar estas (14 días). Solo se conservará lo que una ley obligue a guardar, bloqueado.

7. Obligaciones del responsable

• Contar con base legal para los datos que registra e informar a su equipo del uso de Cuadrana.
• Registrar solo los datos necesarios, sin categorías especiales innecesarias.
• Gestionar quién tiene acceso a su organización y con qué rol, y retirar el acceso a quien deje de necesitarlo.
• Cumplir sus obligaciones laborales, como conservar el registro de jornada cuatro años.

8. Subencargados autorizados

Anexo: medidas de seguridad

• Cifrado en tránsito: HTTPS en todas las conexiones, con HSTS.
• Aislamiento entre clientes: cada organización tiene su propio esquema en la base de datos, y la pertenencia y el rol se comprueban en cada petición.
• Control de acceso: roles (propietario, responsable, empleado) con mínimo privilegio; la aplicación usa un usuario de base de datos sin privilegios de administración.
• Autenticación: contraseñas de 12 caracteres como mínimo, guardadas con argon2id; verificación en dos pasos (TOTP) que la organización puede exigir; bloqueo progresivo tras intentos fallidos; sesiones revocables con caducidad.
• Secretos: los secretos de la verificación en dos pasos se cifran con AES-256-GCM; los tokens de restablecimiento y de API se guardan solo como huella.
• Trazabilidad: registro de auditoría de las acciones que la aplicación no permite modificar ni borrar.
• Protección de la aplicación: validación de todas las entradas, cabeceras de seguridad y política de seguridad de contenidos, limitación de peticiones y comprobación de autorización en cada operación.
• Disponibilidad y recuperación: copias de seguridad automáticas diarias con suma de verificación, conservadas 14 días; el procedimiento de restauración se prueba automáticamente con cada cambio del software.
• Desarrollo seguro: revisión automática de vulnerabilidades en el código, las dependencias y las imágenes en cada cambio; dependencias fijadas y actualizadas.
• Minimización: sin analítica ni publicidad de terceros; registros del servidor con rotación.