Contrato de encargo del tratamiento

Este contrato regula el tratamiento de datos personales que Quantummycos S.L. («Quantummycos»), como encargado del tratamiento, realiza por cuenta de la empresa cliente (la «empresa»), como responsable del tratamiento, al prestarle el servicio Quantummycos. Quantummycos S.L. tiene NIF B05830500 y domicilio social en Taras Bulba 6, Oficina 2A, Málaga, España, y está inscrita en el Registro Mercantil de Málaga, folio electrónico, hoja MA-202203, inscripción 1.ª, IRUS 1000481417452. El contrato se ajusta al artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento general de protección de datos, RGPD), y al artículo 33 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Forma parte de los Términos y condiciones del servicio. Si ambos textos se contradicen en materia de protección de datos, prevalece este contrato.

Su duración es la del contrato de servicio. La obligación de confidencialidad subsiste sin límite de tiempo tras la terminación de este contrato; las de bloqueo, entrega y supresión de los datos, hasta que se hayan cumplido.

El tratamiento que la empresa encarga a Quantummycos es el siguiente.

Según los módulos que use y lo que introduzca en ellos, la empresa puede tratar en Quantummycos las categorías de datos siguientes.

El servicio permite registrar categorías especiales de datos (artículo 9 del RGPD) y datos relativos a posibles infracciones penales (artículo 10). La empresa decide si los introduce, y para ello necesita una de las excepciones del artículo 9.2 del RGPD: con carácter general, la de su letra b), sobre obligaciones en el ámbito del Derecho laboral y de la seguridad y protección social; en el canal de denuncias, la de su letra g), por razones de interés público esencial, en los términos del artículo 30 de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

Pueden ver el tipo de cada ausencia quienes, por su rol, tienen acceso a las ausencias de esa persona. El asistente de IA lo incluye en sus respuestas a quien tiene ese acceso y, cuando describe la asistencia de un día, también a quien solo tiene acceso a los fichajes de esa persona. Los tipos de ausencia se usan además en los cuadros de mando, en los informes (por ejemplo, en los días de baja) y en el análisis de costes. No aparecen en las notificaciones del teléfono ni en los correos de aviso.

En particular, el servicio puede contener los datos siguientes.

Quantummycos trata los datos solo siguiendo las instrucciones documentadas de la empresa. Son instrucciones documentadas este contrato, los Términos y condiciones, la configuración que la empresa hace del servicio (los módulos que usa, los roles y permisos que asigna y los ajustes de su cuenta, incluidos los que mantiene con su valor inicial, como la ubicación en el fichaje o el inicio de sesión en dos pasos) y las que dé por escrito.

Si Quantummycos considera que una instrucción infringe el RGPD u otra norma de protección de datos, lo comunicará de inmediato a la empresa (artículo 28.3, párrafo segundo, del RGPD) y podrá suspender su ejecución hasta que la empresa la modifique o justifique que se ajusta a la normativa.

Si el Derecho de la Unión o el de un Estado miembro obliga a Quantummycos a tratar los datos de otro modo, se lo comunicará a la empresa antes de hacerlo, salvo que ese Derecho lo prohíba por razones importantes de interés público (artículo 28.3.a) del RGPD).

Si una autoridad o un tribunal pide a Quantummycos acceso a los datos de la empresa, se lo comunicará a la empresa, salvo que la ley lo impida, y solo facilitará los datos que deba entregar.

Además de lo previsto en los demás apartados, Quantummycos se obliga a:

Quantummycos aplica, como mínimo, las medidas técnicas y organizativas siguientes, adecuadas al riesgo del tratamiento (artículo 32 del RGPD). Puede sustituirlas por otras equivalentes siempre que no reduzca el nivel de seguridad.

Solo accede a los datos de la empresa el personal de Quantummycos que lo necesita para prestar el servicio, y siempre bajo el deber de confidencialidad.

Para dar soporte o resolver una incidencia, el personal autorizado de Quantummycos puede ver la cuenta de la empresa en modo de solo lectura, con la función «Entrar como»: ve lo que vería su administrador, salvo el canal de denuncias, y no puede cambiar nada. Cada acceso dura como máximo 60 minutos y queda registrado: quién accede, a qué empresa y cuándo.

Para administrar las cuentas y atender el soporte, ese personal ve además la lista de personas usuarias de cada empresa (nombre, correo, fotografía y rol), los casos de soporte que la empresa abre, con sus adjuntos, y los registros de errores del servicio.

La empresa autoriza con carácter general a Quantummycos a recurrir, para prestar el servicio, a los subencargados que figuran en la tabla de este apartado (artículo 28.2 del RGPD).

Quantummycos se obliga a que cada subencargado quede vinculado por contrato a las obligaciones de protección de datos de este contrato que correspondan al servicio que presta, con garantías suficientes de que aplica medidas técnicas y organizativas apropiadas, y responde ante la empresa de su cumplimiento (artículo 28.4 del RGPD).

Antes de incorporar o sustituir un subencargado que contrate directamente, Quantummycos lo comunicará a la empresa por correo con al menos quince días de antelación. La empresa puede oponerse por escrito y de forma motivada dentro de ese plazo; si Quantummycos no puede ofrecerle una alternativa razonable, la empresa puede resolver el contrato sin penalización antes de que el cambio se aplique.

Cada proveedor de la tabla recurre a su vez a sus propios subencargados, que figuran en la lista o en la información que publica. Cuando un proveedor anuncia un cambio en ellos, Quantummycos traslada el aviso a la empresa en cuanto lo recibe, y la empresa puede oponerse a ese cambio por escrito y de forma motivada en los quince días siguientes; si Quantummycos no puede ofrecerle una alternativa razonable, la empresa puede resolver el contrato sin penalización.

No son subencargados a efectos de este contrato los proveedores con los que Quantummycos trata, como responsable, los datos de su propia actividad (la web, el seguimiento comercial, los cobros o la analítica), que describe la Política de privacidad. Tampoco lo son Apple y Google como tiendas de aplicaciones: App Store y Google Play tratan como responsables independientes los datos de quien descarga la aplicación móvil.

Los subencargados autorizados son los siguientes.

Los servidores, la base de datos y los archivos del servicio están en la Unión Europea. Implican transferencias fuera del Espacio Económico Europeo el asistente de IA, las notificaciones de la aplicación móvil, los mapas de la ubicación del fichaje, el correo corporativo de Quantummycos y el soporte técnico y la operación del proveedor de envío de correos, en los términos de la tabla de subencargados.

Cada transferencia se ampara en uno de los mecanismos del capítulo V del RGPD: la decisión de adecuación relativa al Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023; artículo 45 del RGPD), para los proveedores certificados, o las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021 (artículo 46.2.c) del RGPD). Cuando un proveedor cuenta con ambos, se aplican también las cláusulas contractuales tipo.

El proveedor del asistente de IA recibe la pregunta, la conversación reciente y los datos que el asistente consulta para responder, con los permisos y el alcance del rol de quien pregunta, así como las nóminas que se le suben para que lea sus cifras. No los usa para entrenar sus modelos y los borra en un plazo máximo de treinta días, salvo que sus sistemas los marquen por un posible uso indebido, en cuyo caso puede conservarlos hasta dos años.

El enlace «Abrir en Google Maps» que acompaña al mapa de un fichaje solo envía sus coordenadas a Google si quien consulta el fichaje lo pulsa. En ese caso, Google no actúa como subencargado de Quantummycos, sino como responsable independiente, y trata las coordenadas conforme a sus propias condiciones.

La empresa puede pedir copia de las cláusulas contractuales tipo aplicables escribiendo a info@quantummycos.com.

Quantummycos ayudará a la empresa a atender las solicitudes de las personas interesadas que ejerzan sus derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, y el derecho a no ser objeto de decisiones individuales automatizadas (artículos 15 a 22 del RGPD). Lo hará con las funciones de la aplicación, que permiten consultar y corregir los datos, retirarlos de la aplicación y, en los planes que incluyen informes, exportar en PDF o Excel el registro de jornada, las ausencias, el registro retributivo y los datos de la plantilla. Además, entregará a la empresa, a petición suya, los datos que la aplicación no le permita obtener por sí misma, en un formato estructurado y de uso común y con antelación suficiente para que pueda responder dentro del plazo de un mes del artículo 12.3 del RGPD.

Eliminar un dato desde la aplicación lo retira de ella: deja de mostrarse y de poder usarse, pero no se suprime de la base de datos. Cuando la empresa necesite suprimirlo de forma definitiva, por ejemplo, para atender el ejercicio del derecho de supresión o para suprimir una comunicación del canal de denuncias que no se investiga (artículo 32 de la Ley 2/2023), lo pedirá por escrito y Quantummycos lo suprimirá de la base de datos y de los archivos.

Si una persona interesada se dirige directamente a Quantummycos para ejercer sus derechos sobre datos que trata por cuenta de la empresa, Quantummycos trasladará la solicitud a la empresa sin dilación, no la resolverá por su cuenta y se lo comunicará a la persona interesada.

Cuando Quantummycos tenga conocimiento de una violación de la seguridad de los datos personales que trata por cuenta de la empresa, la notificará a la empresa sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes, por correo electrónico a su dirección de contacto y a quienes administran su cuenta (artículo 33.2 del RGPD).

Si no es posible facilitar toda la información a la vez, la facilitará por fases, sin más dilación. Ayudará a la empresa a notificar la violación a la Agencia Española de Protección de Datos en el plazo de 72 horas del artículo 33 del RGPD y, cuando proceda, a comunicarla a las personas interesadas (artículo 34), y documentará los hechos, sus efectos y las medidas adoptadas.

La notificación incluirá, en la medida en que se conozca:

Quantummycos trata como responsable, y no por cuenta de la empresa, los datos de la tabla siguiente, y solo para los fines que en ella se indican. Es responsable de los tratamientos cuyos fines decide: el de los datos de las personas de contacto de la empresa, incluidas quienes administran su cuenta, para gestionar la relación contractual y comercial con la empresa y enviarles las comunicaciones del servicio, y el de la vinculación de las cuentas que una misma persona tiene en dos empresas, que se hace a petición suya. Lo es también del uso que hace, para fines propios, de los datos técnicos y de uso que genera la prestación del servicio, que solo destina a proteger su seguridad, prevenir y detectar abusos, atender incidencias y reclamaciones, aplicar los límites de cada plan y facturar (artículo 28.10 del RGPD y artículo 33.2 de la LOPDGDD). La empresa conoce y acepta estos tratamientos al suscribir este contrato.

Las bases jurídicas son el interés legítimo de Quantummycos en la seguridad y el buen funcionamiento del servicio, en la gestión de su relación con la empresa, incluidos los límites de su plan y la facturación, y en atender la petición de quien vincula sus cuentas (artículo 6.1.f) del RGPD y, para las personas de contacto de la empresa, artículo 19 de la LOPDGDD); la ejecución del contrato, en cuanto a los datos del profesional que lo suscribe como empresa (artículo 6.1.b) del RGPD); y el cumplimiento de sus obligaciones contables y fiscales (artículo 6.1.c) del RGPD). La Política de privacidad informa de estos tratamientos a las personas usuarias.

Fuera de lo que indica la tabla, Quantummycos no destina a fines propios los datos que trata por cuenta de la empresa; en particular, no los utiliza con fines publicitarios ni para entrenar modelos de inteligencia artificial.

Además, al abrir cualquier correo del servicio se descarga su logotipo desde el sitio web de Quantummycos, y el servidor del sitio registra, como en cualquier visita, la dirección IP y el navegador de quien lo abre. La Política de privacidad informa de ese tratamiento.

La empresa, como responsable del tratamiento, se obliga a:

Quantummycos pondrá a disposición de la empresa la información necesaria para demostrar que cumple este contrato. La empresa la pedirá primero por escrito a info@quantummycos.com, y Quantummycos responderá a sus preguntas y cuestionarios razonables y le facilitará la documentación de que disponga, incluidas las condiciones y certificaciones que publican sus subencargados.

Si esa información no basta para acreditar el cumplimiento, o si lo exige una autoridad de control, la empresa podrá realizar una auditoría, por sí misma o mediante un auditor independiente obligado a confidencialidad. Avisará a Quantummycos con una antelación razonable, no inferior a treinta días salvo que la autoridad exija un plazo menor o se haya producido una violación de la seguridad de los datos de la empresa, y acordará con Quantummycos el alcance y la fecha de la auditoría. La auditoría se hará sin entorpecer la prestación del servicio ni comprometer su seguridad, correrá a cargo de la empresa y no podrá realizarse más de una vez al año, salvo en esos dos casos.

Quantummycos colaborará con la Agencia Española de Protección de Datos y con las demás autoridades de control cuando se lo soliciten (artículo 31 del RGPD).

Mientras exista la cuenta de la empresa, Quantummycos conserva sus datos, incluidos los que la empresa retire de la aplicación, salvo que esta pida su supresión definitiva. Los datos del apartado «Datos que Quantummycos trata como responsable» siguen los plazos que allí se indican, también tras el fin del encargo.

Pasar al plan Free no termina el encargo: los datos se conservan, y los de los módulos que el plan Free no incluye dejan de estar disponibles para la empresa mientras no vuelva a contratarlos.

El encargo termina con el contrato de servicio; por ejemplo, cuando la empresa pide el cierre de su cuenta escribiendo a info@quantummycos.com. La empresa decide entonces, por escrito, si Quantummycos le entrega sus datos en un formato estructurado y de uso común, para conservarlos o llevarlos a otro proveedor, o si los suprime (artículo 28.3.g) del RGPD y artículo 33.3 de la LOPDGDD). Quantummycos hará la entrega en un plazo de treinta días desde la solicitud escrita.

Antes de suprimir ningún dato, Quantummycos entregará a la empresa su registro de jornada, que la empresa debe conservar durante cuatro años (artículo 34.9 del Estatuto de los Trabajadores), y los demás datos que la empresa le indique que debe conservar por ley: cuando una norma obliga a conservar los datos, se devuelven al responsable en lugar de destruirse (artículo 33.3 de la LOPDGDD).

Si el contrato termina sin que la empresa haya indicado qué prefiere, Quantummycos se lo preguntará y, hasta recibir su respuesta, mantendrá los datos bloqueados.

Hecha la entrega o decidida la supresión, Quantummycos suprime los datos de la base de datos y de los archivos, incluido el contenido de las peticiones que guardan los registros de actividad anteriores al 28 de septiembre de 2026. Solo conserva, debidamente bloqueados, los que necesite mientras puedan derivarse responsabilidades de su relación con la empresa (artículo 33.4 de la LOPDGDD), a disposición exclusiva de los jueces y tribunales, el Ministerio Fiscal y las administraciones públicas competentes, en particular las autoridades de protección de datos (artículo 32 de la LOPDGDD), y los suprime cuando esas responsabilidades prescriben. Lo suprimido desaparece de las copias de seguridad de la base de datos cuando estas dejan de conservarse.

Cada parte responde del cumplimiento de las obligaciones que le imponen este contrato y la normativa de protección de datos. Si Quantummycos determinara los fines y los medios esenciales de un tratamiento al margen de este contrato, tendría la condición de responsable de ese tratamiento (artículo 28.10 del RGPD).

Frente a las personas interesadas, la responsabilidad de cada parte es la que establece el artículo 82 del RGPD. Si una parte indemniza íntegramente un daño del que la otra es responsable en todo o en parte, podrá reclamarle la cuantía de la indemnización que corresponda a su responsabilidad (artículo 82.5 del RGPD).

En las relaciones entre las partes se aplica la limitación de responsabilidad de los Términos y condiciones, con las excepciones que allí se establecen: no rige en caso de dolo (artículo 1102 del Código Civil) o culpa grave, ni en los demás casos en que la ley no permite limitar la responsabilidad, y no afecta a las obligaciones que la normativa de protección de datos impone a cada parte ni a los derechos que esa normativa reconoce a las personas interesadas.

La empresa acepta este contrato al registrarse en la aplicación, junto con los Términos y condiciones, y Quantummycos guarda la fecha de esa aceptación.

Quantummycos envía las comunicaciones previstas en este contrato por correo electrónico a la dirección que figure como «Correo de contacto» en la Configuración de la cuenta de la empresa, que esta debe mantener actualizada. La empresa puede dirigirse a Quantummycos para cualquier cuestión de protección de datos escribiendo a info@quantummycos.com.

Quantummycos puede modificar este contrato para adaptarlo a cambios normativos o del servicio. Cada nueva versión se aplica desde su publicación en esta página a las empresas que se registran a partir de ese día. A las que ya tienen cuenta, los cambios sustanciales se les comunican por el mismo medio con al menos quince días de antelación a su entrada en vigor, y los demás se les aplican desde su publicación. Si la empresa no está de acuerdo con un cambio sustancial, podrá resolver el contrato sin penalización, escribiendo a info@quantummycos.com, antes de que entre en vigor; si no lo hace, se le aplica desde su entrada en vigor.

Este contrato se rige por la legislación española y por el RGPD. Las controversias se someten a los juzgados y tribunales que indican los Términos y condiciones. Si las versiones lingüísticas de este contrato discrepan, prevalece la española.