Contrato de encargado del tratamiento

Partes y objeto

Responsable: la empresa cliente que usa Metrobra. Encargado: David Tudic, Calle Valencia 6, Humanes (Madrid).

Objeto: alojar y tratar los datos que la empresa mete en Metrobra para prestar el servicio contratado y nada más. Este contrato forma parte de las condiciones de uso y se acepta al crear la empresa en Metrobra.

Qué datos

De personas usuarias: nombre, email, rol. De trabajadores: nombre, DNI/NIE si se introduce, categoría, empresa, horas, fichajes con ubicación en el momento de fichar, PIN de fichaje, coste por hora, vacaciones y ausencias, firmas, entregas de EPI y documentación. De subcontratas y proveedores: datos de contacto y documentación CAE. Además: fotos de albaranes e incidencias y audios del parte (que se borran al transcribirlos).

Los partes de accidente y las bajas pueden contener datos de salud, una categoría especial (art. 9 del RGPD). La empresa debe limitarlos a lo imprescindible y es responsable de su base legal. No debe meter otras categorías especiales.

Obligaciones de Metrobra

Tratar los datos solo siguiendo las instrucciones de la empresa, que son las del propio uso del servicio.

Confidencialidad de todo el personal con acceso. Medidas de seguridad: cifrado en tránsito y en reposo, permisos por empresa y por rol en la base de datos y registro de cambios.

Avisar a la empresa sin demora, y como máximo en 48 horas, de cualquier brecha de seguridad que afecte a sus datos.

Ayudar a la empresa a responder a los derechos de las personas y en las evaluaciones de impacto si las necesita, y darle la información necesaria para demostrar que se cumple este contrato, incluidas auditorías razonables.

Las transferencias fuera de la UE se limitan a los proveedores de esta lista y a las garantías indicadas.

Al borrar la empresa, los datos se eliminan en ese momento; antes, la empresa puede descargarlos. Lo mismo se aplicará a cualquier otro fin del servicio, en un máximo de 30 días, salvo obligación legal de conservarlos.

Subencargados

La empresa autoriza a usar estos proveedores. Avisaremos con 30 días antes de añadir otro, y la empresa podrá oponerse.

Supabase Inc.: Base de datos, cuentas y archivos (Unión Europea (París)).

Anthropic PBC: IA: lectura de albaranes, facturas y partes, presupuestos, resúmenes de pliegos y asistente (EE. UU. (cláusulas contractuales tipo)).

Groq Inc.: Transcripción del audio del parte (EE. UU. (cláusulas contractuales tipo)).

Stripe Payments Europe Ltd.: Cobro de las suscripciones (Irlanda / UE).

650 Industries Inc. (Expo): Envío de notificaciones al móvil (EE. UU. (cláusulas contractuales tipo)).

Resend Inc.: Envío de correos: confirmar la cuenta, recuperar la contraseña (Irlanda y EE. UU. (cláusulas contractuales tipo)).

Cloudflare Inc.: Publicación de la web y de la app web (Red mundial (cláusulas contractuales tipo)).

Meta Platforms Ireland Ltd.: WhatsApp, solo si la empresa activa ese canal (Irlanda y EE. UU. (cláusulas contractuales tipo)).

Duración

Lo mismo que la suscripción de la empresa.