Contrato de encargo del tratamiento

Este contrato se aplica entre la empresa que utiliza Fristo («cliente») y Hoang Nguyen («Fristo»). Forma parte de las condiciones generales y se aplica mientras Fristo trate datos personales por encargo del cliente. Cumple el art. 9 de la ley suiza de protección de datos (DSG) y el art. 28 del Reglamento General de Protección de Datos de la UE (RGPD). Cuando este contrato y las condiciones generales se contradigan, prevalece este contrato.

Finalidad: el funcionamiento del software Fristo — inventario, plazos de inspección, órdenes de trabajo, avisos, justificantes, análisis, importación y exportación, inicio de sesión y notificaciones — y el soporte.

Naturaleza del tratamiento: almacenamiento, organización, visualización y análisis dentro de la aplicación, envío de notificaciones, copia de seguridad, exportación y supresión.

Interesados: personal del cliente, personas de empresas externas con las que trabaja el cliente, personas que envían avisos mediante una pegatina QR y personas que aparecen en documentos, fotos y planos del cliente.

Categorías de datos: nombres, direcciones de correo electrónico, números de teléfono, roles, asignaciones, horas de trabajo y actividades en órdenes de trabajo, textos de avisos, fotos, documentos y firmas en justificantes. Fristo solo trata datos personales sensibles si el cliente los registra él mismo; el cliente lo evita cuando no sea necesario para la finalidad.

En el módulo adicional Tecnología médica, si el cliente lo contrata: las personas formadas en el uso de productos sanitarios — también sin cuenta —, con nombre, número de personal, área y firma; además, los incidentes con productos sanitarios. Para la persona afectada por un incidente, Fristo solo prevé edad, sexo y consecuencias, sin nombre; el cliente tampoco introduce nombres ni números de paciente en la descripción.

Las facturas de empresas externas que el cliente registra, con sus datos de pago (NIF/UID, IBAN, número de acreedor). En el módulo adicional Interfaz contable, si el cliente lo contrata: su plan de cuentas, la contabilización de estas facturas y el registro de cada traspaso; si el cliente conecta Bexio, además la clave de acceso a su Bexio, cifrada. Fristo transmite facturas y PDF solo cuando el cliente inicia un traspaso y solo a la contabilidad que él elige; el proveedor de esta los trata por cuenta del cliente y no es un subencargado del tratamiento de Fristo.

En el módulo adicional Acceso y llaves, si el cliente lo contrata: las personas a las que el cliente entrega llaves o badges — personal propio y personas de empresas externas, también sin cuenta —, con nombre, empresa, función, teléfono y firma en la entrega y la devolución; los preavisos de empresas externas con persona de contacto, las personas que acuden, días, lugar, actividades y firma de las normas; los permisos de trabajo con condiciones, vigilancia contra incendios y los justificantes que sube la empresa. La empresa se registra mediante un enlace, sin cuenta.

En los módulos adicionales Captura de documentos con IA y Equipos de comprobación, si el cliente los contrata: informes de inspección y archivos de exportación de equipos de comprobación, junto con las personas que figuran en ellos (por lo general, nombre y firma de quien realizó la inspección), y lo que se ha leído de ellos. Fristo entrega los informes de inspección para su lectura al modelo de lenguaje indicado en la política de privacidad.

En el módulo adicional Limpieza, si el cliente lo contrata: confirmaciones de la limpieza con el momento y la empresa o la cuenta que confirmó — sin nombres del personal de limpieza —, avisos de usuarios sin nombres y muestreos con las respuestas de quienes los realizan.

En el módulo adicional Seguridad laboral, si el cliente lo contrata: evaluaciones de riesgos con las personas responsables; accidentes, primeros auxilios prestados y cuasiaccidentes con lugar, momento, descripción de los hechos, persona afectada y socorristas, así como datos de salud (lesión, tratamiento, días de baja) — datos personales sensibles que solo ve quien el cliente autoriza para ello y que Fristo elimina tras el plazo elegido por el cliente; instrucciones de seguridad con nombre y firma.

Duración: la vigencia del contrato y el plazo posterior durante el cual los datos siguen disponibles conforme al § 7 de las condiciones generales.

Fristo solo trata los datos siguiendo las instrucciones del cliente. Estas instrucciones son las condiciones generales, este contrato y lo que el cliente configura y activa en la aplicación. El cliente imparte otras instrucciones por escrito o por correo electrónico. Si Fristo considera que una instrucción es ilícita, se lo comunica al cliente.

Se exceptúa lo que Fristo deba hacer por imperativo legal; en ese caso, Fristo informa previamente al cliente, en la medida en que la ley lo permita.

Quien pueda acceder a los datos en Fristo está obligado a la confidencialidad. El acceso del soporte se rige por la política de privacidad (apartado «Acceso por parte del soporte»): en el día a día, solo con la habilitación del cliente, de forma temporal y con registro.

Fristo adopta las medidas técnicas y organizativas conforme al art. 8 DSG y al art. 32 RGPD. Se describen en la política de privacidad (apartado «Cómo protegemos sus datos»), en particular: transmisión cifrada, inicio de sesión sin contraseña, separación de las empresas en la capa de base de datos, copias de seguridad diarias, registro de los accesos del soporte. Fristo adapta las medidas al estado de la técnica, sin reducir el nivel de protección.

El cliente autoriza a los subencargados del tratamiento mencionados en la política de privacidad en el apartado «Quién más tiene acceso». Fristo impone contractualmente a cada uno de ellos un nivel de protección equivalente y responde ante el cliente del cumplimiento de sus obligaciones como de sus propios actos (condiciones generales, § 11 apdo. 4); se aplican las limitaciones del § 11 apdos. 2 y 3 de las condiciones generales.

Fristo anuncia cualquier subencargado nuevo o sustituto con al menos 30 días de antelación, por correo electrónico a la administración. Dentro de ese plazo, el cliente puede oponerse por una causa justificada en materia de protección de datos. Si no se encuentra una solución, el cliente puede rescindir el contrato con efecto en la fecha del cambio; Fristo reembolsa de forma proporcional lo pagado por adelantado.

Fristo solo comunica datos a Estados con un nivel adecuado de protección de datos o con garantías conforme al art. 16 apdo. 2 DSG y al art. 46 RGPD — en particular, la certificación conforme al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) y su parte Suiza-EE. UU., o las cláusulas contractuales tipo de la Comisión Europea. Qué Estados son figura en la política de privacidad.

Fristo asiste al cliente con los medios de la aplicación para que pueda responder a las solicitudes de los interesados: información sobre la empresa y sobre cada persona con solo pulsar un botón, rectificación en el perfil, supresión y limitación previa solicitud, entrega de los datos mediante la exportación de datos.

Si una persona del cliente solicita por sí misma en la aplicación la supresión o la limitación de sus datos, Fristo informa a la administración del cliente. Por la presente, el cliente encarga a Fristo que ejecute tales solicitudes si no se opone en un plazo de diez días; si se opone, Fristo lo aclara con él y con la persona. Las solicitudes que presenta el propio cliente las ejecuta Fristo sin este plazo. Cada ejecución queda registrada en un acta firmada, que recibe el cliente.

Si una solicitud llega a Fristo por otra vía, Fristo la remite al cliente y no la responde por sí mismo.

Además, Fristo asiste al cliente en la seguridad del tratamiento, en las notificaciones de violaciones de la seguridad de los datos y en las evaluaciones de impacto relativas a la protección de datos, en lo que concierne a Fristo. Fristo puede facturar según el esfuerzo dedicado la asistencia que vaya más allá de los medios de la aplicación y de informaciones sencillas.

Si Fristo detecta una violación de la seguridad de los datos que afecte a datos del cliente, se la notifica al cliente lo antes posible, a más tardar en un plazo de 72 horas, con lo que se sepa: naturaleza de la violación, datos y personas afectados, consecuencias probables, medidas adoptadas. Lo que se conozca más tarde, Fristo lo comunica posteriormente. El cliente decide si se informa a la autoridad de control y a los interesados.

El cliente puede exportar íntegramente sus datos en cualquier momento. Tras la finalización del contrato, siguen disponibles durante el plazo previsto en el § 7 de las condiciones generales; después, Fristo los elimina, y las copias de seguridad se sobrescriben en el ciclo indicado en la política de privacidad. Fristo puede conservar lo que exija la ley — en particular, las facturas.

Previa solicitud, Fristo pone a disposición del cliente la información que este necesite para acreditar el cumplimiento de este contrato — preferentemente por escrito: descripción de las medidas, lista de los subencargados del tratamiento, sus certificados e informes.

Una auditoría in situ solo es posible si existe un motivo fundado: con un preaviso de al menos 30 días, durante el horario comercial, sin acceso a datos de otros clientes y por una persona sujeta a una obligación de confidencialidad. Los costes corren a cargo del cliente. Los centros de datos de los subencargados del tratamiento se verifican mediante sus informes y certificados, no in situ.

En materia de responsabilidad se aplica el § 11 de las condiciones generales. Por lo demás, se aplican las condiciones generales, también en lo relativo al derecho aplicable y al fuero.