Tratamendu-eskargu kontratua

Tratamendu-eskargu kontratu hau (“Kontratua”) Tiemio-ren Erabilera-baldintzen (“Baldintzak”) parte da, eta hauen artean egiten da:

• Tiemio erabiltzen duen enplegatzailea, bere langileen lanaldiaren erregistroa eramateko (“Enplegatzailea”, tratamenduaren arduraduna); eta
• IncubIQ Solutions Ltd, Ingalaterran eta Galesen erregistratutako sozietatea (Cardiff), 08788612 zenbakiduna,Tiemio zerbitzua ematen duena (“Tiemio”, “gu”, tratamendu-eragilea).

Enplegatzaileak Kontratu hau onartzen du bere kontuaren titularrak enpresa sortzen duenean Tiemio-ren aplikazioan edo webgunean. Tiemio-k erregistratzen du nork onartu duen, zein enpresatarako, noiz eta zein bertsio. Kontratu hau argitaratu aurretik sortutako enpresa baten kasuan, Baldintzen aldaketa gisa sartzen da haien barruan: Tiemio-k posta elektronikoz jakinaraziko dio kontuaren titularrari, gutxienez 30 egun lehenago, eta data hori igaro ondoren Tiemio erabiltzen jarraitzeak onarpena dakar (13. klausula).

1. Definizioak

Datu pertsonalak, tratamendua, tratamenduaren arduraduna, tratamendu-eragilea, interesduna, datu pertsonalen segurtasun-urraketa eta kontrol-agintaritza bezalako terminoek (EB) 2016/679 Erregelamenduak (“DBEO”) ematen dien esanahia dute. “Datuak babesteko araudia” hauxe da: DBEO, Datu Pertsonalak Babesteko eta eskubide digitalak bermatzeko 3/2018 Lege Organikoa (DPBEBLO) eta, aplikagarri direnean, Erresuma Batuko UK GDPR eta Data Protection Act 2018. “Lanaldiaren erregistroa” hauxe da: langile bakoitzaren lanaldiaren hasieraren eta amaieraren eguneroko erregistroa eta haren zuzenketak; Enplegatzaileak Langileen Estatutuaren (“LE”) 34.9 artikuluaren arabera eraman eta gorde behar duena.

2. Rolak eta irismena

2.1 I. eranskinean deskribatutako Enplegatzailearentzat lan egiten duten pertsonen datu pertsonalei dagokienez, Enplegatzailea da tratamenduaren arduraduna eta Tiemio da haren tratamendu-eragilea (DBEOren 28. artikulua; DPBEBLOren 33. artikulua).

2.2 Kontratu hau ez zaie aplikatzen Tiemio-k arduradun gisa bere helburuetarako tratatzen dituen datuei: pertsonek saioa hasteko erabiltzen dituzten kontuak, Enplegatzailearen fakturazio- eta ordainketa-datuak, webguneko estatistikak eta segurtasun-erregistroa. Datu horiek Tiemio-ren Pribatutasun-politikak arautzen ditu.

2.3 Kontratu honek Enplegatzaileak Tiemio erabiltzen duen bitartean irauten du, eta, ondoren, Tiemio-k lanaldiaren erregistroak 10. klausularen arabera gordetzen dituen bitartean.

3. Jarraibideak

3.1 Tiemio-k I. eranskineko datu pertsonalak Enplegatzailearen dokumentatutako jarraibideen arabera bakarrik tratatzen ditu. Jarraibide horiek dira Baldintzak, Kontratu hau eta Enplegatzaileak Tiemio-ren ezarpenak eta funtzioak erabiltzeko moduak (pertsonak gonbidatzea, zuzenketak onartzea, erregistro-orriak deskargatzea, lan-harreman bat amaitzea).

3.2 Enplegatzaileak agintzen dio Tiemio-ri lanaldiaren erregistroak aldatu gabe gordetzeko (zuzenketa bat erregistro berri gisa gehitzen da, inoiz ez jatorrizkoa aldatuz edo ezabatuz) eta bakoitzaren datatik gutxienez lau urtez gordetzeko (LEren 34.9 artikulua), baita lan-harreman bat amaitu ondoren eta Enplegatzaileak Tiemio erabiltzeari utzi ondoren ere (10. klausula).

3.3 Tiemio-k jarraibide batek datuak babesteko araudia urratzen duela uste badu, Enplegatzaileari jakinaraziko dio, eta ez dago hura betetzera behartuta, Enplegatzaileak berretsi edo aldatu arte. Legeak Tiemio behartzen badu datuak beste modu batean tratatzera, Tiemio-k Enplegatzaileari jakinaraziko dio lehenago, legeak debekatzen ez badu.

4. Enplegatzailearen betebeharrak

Enplegatzailearen ardura da: bere langileen lanaldia erregistratzeko oinarri juridikoa edukitzea (LEren 34.9 artikuluak ezarritako lege-betebeharra da); bere langileei eta, hala badagokio, haien lege-ordezkariei jakinaraztea Tiemio erabiltzen duela eta nola erabiltzen duen (DBEOren 13. eta 14. artikuluak; DPBEBLOren 87. artikulutik 91.era eta LEren 64. artikulua, dagokionean); sartzen duenaren zehaztasuna; eta langileek beren erregistroei buruz egindako eskaerei erantzutea (7. klausula).

Enplegatzaileak irakurtzeko soilik den API gako bat sortzen badu, berak aukeratzen du gakoa erabiltzen duen tresna edo adimen artifizialeko agentea. Gako batekin irakurritako datuak enplegatzailearen kontrolpean eta erantzukizunpean geratzen dira orduan, eta tresna hori ez da Tiemio-ren azpieragilea.

5. Konfidentzialtasuna

Tiemio-k datu pertsonaletarako sarbidea zerbitzua eskaintzeko, mantentzeko edo babesteko behar dutenei bakarrik ematen die, eta konfidentzialtasun-betebeharra dutenei. Gaur egun, IncubIQ Solutions Ltd-ko administratzaile izendatutako pertsonak dira; Tiemio-k ez du sarbidea duen beste langilerik. Tiemio garatzeko erabiltzen dituzten adimen artifizialeko tresnek kodearekin eta proba-datuekin lan egiten dute, inoiz ez Enplegatzailearen datuekin.

6. Segurtasuna

6.1 Tiemio-k II. eranskineko neurri tekniko eta antolaketakoak aplikatzen ditu, arriskuaren araberakoak (DBEOren 32. artikulua). Hobetu ditzake; ez du haien maila orokorra murriztuko.

6.2 Segurtasun-urraketak. Tiemio-k Enplegatzaileari jakinaraziko dio, bidegabeko atzerapenik gabe eta gehienez 48 orduko epean, Enplegatzailearen datuei eragiten dien segurtasun-urraketaren berri izan duenetik, une horretan eskuragarri duen informazioarekin (izaera, eragindako pertsonen eta erregistroen kategoriak eta gutxi gorabeherako kopurua, ondorio probableak, hartutako edo proposatutako neurriak eta harremanetarako puntu bat), eta informazio gehiago izan ahala osatuko du. Tiemio-k ez dio kontrol-agintaritzari ez interesdunei jakinarazten Enplegatzailearen izenean, Enplegatzaileak eskatzen ez badio.

7. Enplegatzaileari laguntza

7.1 Interesdunen eskubideak. Langile batek Tiemio-ri Enplegatzaileak arduradun gisa dituen erregistroei buruzko eskaera bat zuzentzen badio, Tiemio-k Enplegatzaileari igortzen dio eta ez du haren izenean erantzuten, langileari igorri diola jakinarazteko ez bada. Enplegatzaileak eskaera gehienei berak erantzun diezaieke Tiemio-n: langile bakoitzaren erregistroak ikusten ditu eta hileko erregistro-orriak PDF edo kalkulu-orri formatuan deskarga ditzake. Langile bakoitzak ere deskarga ditzake aplikazioan bere erregistroak eta erregistro-orriak.

7.2 Zuzenketa. Lanaldiaren erregistroak froga direnez, zuzenketa bat gehituz zuzentzen dira (nork eskatu duen, nork onartu duen, noiz eta zergatik jasota), inoiz ez jatorrizkoa aldatuz. Erregistro-orriek zuzendutako orduak erakusten dituzte.

7.3 Tiemio-k Enplegatzaileari behar bezalako laguntza emango dio, tratamenduaren izaera eta bere esku dagoen informazioa kontuan hartuta, segurtasunari (32. artikulua), urraketen jakinarazpenari (33. eta 34. artikuluak), eragin-ebaluazioei eta aldez aurreko kontsultari (35. eta 36. artikuluak) dagokienez.

8. Azpieragileak

8.1 Enplegatzaileak baimen orokorra ematen dio Tiemio-ri azpieragileak erabiltzeko. Indarrean dagoen zerrenda III. eranskina da.

8.2 Tiemio-k Enplegatzaileari jakinaraziko dio aurreikusitako edozein gehitze edo ordezkapen, gutxienez 30 egun lehenago, Enplegatzailearen kontuaren titularrari posta elektronikoz eta orri honetan. Enplegatzaileak datuen babesari buruzko arrazoi zentzudunengatik aurka egin dezake epe horretan; aldeek konponbiderik aurkitzen ez badute, Enplegatzaileak Tiemio erabiltzeari utzi eta bere kontua itxi dezake.

8.3 Tiemio-k azpieragile bakoitzari Kontratu honek ematen duen babes bera gutxienez ematen duten datuak babesteko betebeharrak ezartzen dizkio, eta Enplegatzailearen aurrean arduratzen jarraitzen du bere azpieragileez.

9. Datuak non tratatzen diren eta transferentziak

9.1 Tiemio-ren datu-basea Europar Batasunean bakarrik gordetzen eta tratatzen da (Cloudflare D1, EBko jurisdikzioarekin). Eguneroko segurtasun-kopiak bi lekutan gordetzen dira, erredundantziarako: Espainian eta Erresuma Batuan (Erresuma Batuari buruz, ikus 9.2). Posta elektronikoak EBtik bidaltzen dira (Amazon SES, Irlanda; Brevo, Frantzia).

9.2 IncubIQ Solutions Ltd Erresuma Batuan kokatua dago, eta Europako Batzordeak babes-maila egokia duen herrialdetzat jotzen du (egokitasun- erabakia, DBEOren 45. artikuluaren arabera).

9.3 Azpieragile batzuk Estatu Batuetan daude kokatuta edo han tratatu ditzakete datuak (III. eranskina). Transferentzia horiek EB eta AEBen arteko Datuen Pribatutasun Esparruan oinarritzen dira azpieragilea ziurtatuta dagoenean, eta, bestela, Europako Batzordearen kontratu-klausula estandarretan (DBEOren 46. artikulua).

10. Zerbitzuaren amaiera, itzulera eta ezabatzea

10.1 Joan aurretik, Enplegatzaileak langile bakoitzaren hilabete bakoitzeko erregistro-orria deskarga dezake (PDF eta kalkulu-orria). Bakoitza sinatuta dago, eta edonork egiazta dezake tiemio.com/verify helbidean, dokumentuaren zenbakiarekin.

10.2 Enplegatzaileak Tiemio erabiltzeari uzten dionean edo bere kontua ixten duenean, Tiemio-k lanaldiaren erregistroak, zuzenketak eta igorritako erregistro-orriak irakurtzeko soilik moduan gordetzen ditu, bakoitzaren datatik gutxienez lau urtez, 3.2 klausularen arabera, Enplegatzaileak horiek bere langileei, haien ordezkariei eta Lan Ikuskaritzari aurkezten jarraitu ahal izateko. Denbora horretan Enplegatzaileak edonoiz eska diezaioke Tiemio-ri kopia bat.

10.3 Epe hori igaro ondoren, Tiemio-k erregistroak gordetzen ditu Enplegatzaileak horiek itzultzea edo ezabatzea eskatu arte. Lau urte legeak ezartzen duen gutxieneko epea da; Enplegatzaileak erabakitzen du zenbat denbora gehiago behar dituen (adibidez, erreklamazio edo ikuskaritza bat irekita dagoen bitartean). Enplegatzaileak idatziz eskatuta, Tiemio-k kopia bat bidaltzen dio eta, ondoren, erregistroak 30 eguneko epean ezabatzen ditu; segurtasun-kopietako eta hornitzailearen berreskuratze- historialeko kopiak epe horretan bertan desagertzen dira, iraungi ahala (II. eranskina).

10.4 I. eranskineko lanaldiaren erregistroaren parte ez diren gainerako datu pertsonalak (adibidez, pertsona baten profileko argazkia edo inoiz onartu ez zen gonbidapen baten izena) dagokien kontua ezabatzen denean ezabatzen dira, edo anonimizatu egiten dira gorde behar diren erregistroei lotuta daudenean.

11. Auditoretzak eta informazioa

Tiemio-k Enplegatzailearen esku jartzen du DBEOren 28. artikulua betetzen duela frogatzeko behar den informazioa: Kontratu hau, II. eta III. eranskinak, eta hello [at] tiemio.com helbidera bidalitako idatzizko galdera zentzudunen erantzunak 30 eguneko epean. Horrek ez badu aski, Enplegatzaileak (edo konfidentzialtasun-betebeharra duen auditore independente batek) urtean behin auditoretza egin dezake, 30 eguneko aurrerapenarekin, bere kontura eta beste bezeroen datuetarako sarbiderik gabe.

12. Erantzukizuna eta lege aplikagarria

12.1 Alde bakoitzak Kontratu honen arabera duen erantzukizunak Baldintzetako mugak ditu, datuak babesteko araudiak onartzen ez dituen kasuetan izan ezik.

12.2 Kontratu hau Baldintzek bezalako legeak arautzen du (Ingalaterrakoa eta Galesekoa). Horrek ez die eragiten Enplegatzailearen eta interesdunen DBEOren eta Espainiako legearen araberako eskubideei, ezta Datuak Babesteko Espainiako Agentziaren (AEPD) ahalmenei ere.

12.3 Kontratu honek eta Baldintzek datu pertsonalei buruz kontraesanean badaude, Kontratu honek nagusitzen da.

13. Aldaketak

Tiemio-k Kontratu hau eguneratu dezake legera edo zerbitzura egokitzeko. Enplegatzailearen babesa murrizten duen edozein aldaketa gutxienez 30 egun lehenago jakinaraziko dio; data hori igaro ondoren Tiemio erabiltzen jarraitzeak onarpena dakar, eta Enplegatzaileak, horren ordez, bere kontua itxi dezake. Bertsio bakoitzak data eta zenbakia ditu, eta Tiemio-k erregistratzen du Enplegatzaile bakoitzak zein bertsio onartu duen.

I. eranskina — Tratamenduaren deskribapena

• Xedea: Enplegatzailearen eguneroko lanaldiaren erregistroa (LEren 34.9 artikulua) eta harekin lotutako taldearen kudeaketa eramatea Tiemio-n.
• Iraupena: Enplegatzaileak Tiemio erabiltzen duen bitartean eta, ondoren, 10. klausulako kontserbazioa.
• Izaera eta helburua: lanaldiaren hasiera, etena, berrekitea eta amaiera bakoitza erregistratzea; orduak egunka, astez aste eta hilez hil erakustea; Enplegatzaileak eta langileak eskatutako eta onartutako zuzenketak; Enplegatzailearentzako, langilearentzako eta Lan Ikuskaritzarako hileko erregistro-orriak; pertsonak gonbidatzea eta Enplegatzailearentzat nork lan egiten duen kudeatzea; horiei buruzko gogorarazpenak eta jakinarazpenak; Enplegatzaileak ezartzen dituen lan-baldintzak (ordutegiak, baimendutako orduak) aplikatzea, gogorarazteko eta haien kanpoan erregistratutako denbora seinalatzeko.
• Interesdunak: Enplegatzailearen langileak eta Tiemio-n beren lanaldia erregistratzera gonbidatzen dituen beste pertsonak.
• Datu pertsonalen kategoriak:
  • Identifikazioa eta kontaktua: izena, gonbidapenerako edo saioa hasteko erabilitako posta elektronikoko helbidea edo mugikorreko zenbakia, NAN/AIZ pertsonak gehitzen badu, profileko argazkia pertsonak gehitzen badu.
  • Lan-harremana: Enplegatzailea, harremana noiz hasi eta amaitu zen eta nork amaitu zuen.
  • Enplegatzaileak ezartzen dituen lan-baldintzak: adibidez, pertsona bakoitzarekin hitzartutako ordutegia edo orduak eta noiz lan egin daitekeenari buruzko arauak (adibidez, udako ordurik beroenetan ez lan egitea), erakusteko, gogorarazteko edo haien kanpoan erregistratutako denbora seinalatzeko erabiliak.
  • Lanaldiaren erregistroak: hasiera, eten, berrekite eta amaiera bakoitza, zenbatzen den orduarekin, gailuaren orduarekin, gure zerbitzariak jaso zuen orduarekin, konexiorik gabe erregistratu zen ala ez eta plataformarekin (weba, iPhone/iPad, Android); aurrekoari lotzen dion aztarna. Ez da kokapenik biltzen.
  • Zuzenketak: aldia, proposatutako orduak, arrazoia, nork eskatu duen, nork erantzun duen eta noiz.
  • Igorritako erregistro-orriak: nork deskargatu duen zein hilabeteko orria eta noiz, dokumentuaren aztarna eta sinadura.
  • Datu teknikoak: saioak eta gailuen jakinarazpen-tokenak aplikaziorako.
  • API gakoak: enplegatzaileak sortzen dituen irakurtzeko soilik diren gakoak: haien izena, bakoitza noiz sortu, azken aldiz erabili eta baliogabetu zen; gakoa bera aztarna (hash) gisa bakarrik gordetzen da.
• Kategoria bereziak: bat ere ez. Tiemio-k ez ditu osasun-datuak, sindikatuko afiliazioa edo beste kategoria berezirik eskatzen. Enplegatzaileak ez ditu sartu behar testu libreko eremuetan (izenak, zuzenketen arrazoiak).
• Maiztasuna: etengabea.

II. eranskina — Segurtasuneko neurri tekniko eta antolaketakoak

• Zifratzea: konexio guztiek TLS (HTTPS) erabiltzen dute; ostalaritza-hornitzaileak datu-basea atsedenean zifratzen du.
• Sarbide-kontrola: eskaera bakoitza autentifikatzen da eta APIko bide bakoitzak zerbitzarian egiaztatzen du pertsonak eskatzen dituen datuak ikusteko edo aldatzeko baimena duela (Enplegatzaile batek bere langileak bakarrik ikusten ditu; langile batek, bere erregistroak bakarrik). Saioa posta elektronikoz bidalitako aldi bakarreko kode batekin hasten da (edo SMS bidez, aktibatuta dagoen tokian); ez dago lapurtzeko pasahitzik. Kodeak eta saio-tokenak aztarna (hash) gisa bakarrik gordetzen dira. Saioak iraungitzen dira.
• API gakoak: irakurtzeko soilik (ezin dute ezer erregistratu, aldatu, onartu edo deskargatu), langileen NAN/AIZ, posta elektroniko eta telefonorik gabe, behin bakarrik erakusten dira eta aztarna gisa bakarrik gordetzen dira, gako bakoitzeko muga batekin, eta enplegatzaileak berehala baliogabetu ditzake.
• Gehiegikeriaren aurkako babesa: IP bakoitzeko mugak saio-hasieran eta beste bide sentikorretan, bot-en aurkako egiaztapena webguneko saio-hasiera, itxaron-zerrenda eta harremanetarako formularioetan, eta SMS kopuruaren mugak.
• Erregistroen osotasuna: lanaldiaren erregistroek eta zuzenketek gehitzea bakarrik onartzen dute: datu-baseak berak uko egiten dio haiek aldatzeari edo ezabatzeari. Erregistro bakoitza aurrekoari aztarna kriptografiko baten bidez lotzen zaio, eta horrela edozein aldaketa edo ezabaketa antzemango litzateke. Hileko erregistro-orriak zerbitzariko gako batekin sinatzen dira (Ed25519) eta edonork egiazta ditzake dokumentuaren zenbakiarekin.
• Erregistroaren ordua: marka baten ordua Tiemio-ren zerbitzariak jaso zuen ordua da; gailuaren ordua ondoan gordetzen da, baina inoiz ez du ordezkatzen, konexiorik gabe egindako markak izan ezik: horiek horrela seinalatzen dira, eta sinesgarriak ez badira, baztertu egiten dira.
• Jarduera-erregistroa: saio-hasieren, kontuetako aldaketen eta administrazio-ekintzen segurtasun-erregistro bat, bi urtez gordetzen dena.
• Segurtasun-kopiak eta berreskuratzea: datu-basearen kopia osoa egunero, IncubIQ Solutions Ltd-ren zerbitzari propioetan gordeta bi lekutan (Espainia eta Erresuma Batua), IncubIQ Solutions Ltd-ren administratzaileek bakarrik sar daitezkeela; azken 14ak gordetzen dira. Gainera, datu-baseko hornitzailearen une jakin batera berreskuratzeak azken 30 egunak hartzen ditu.
• Bereizketa: proba- eta demostrazio-inguruneek beren datu-basea erabiltzen dute, inoiz ez benetako datuak.
• Datuen minimizazioa: kokapenik ez, datu biometrikorik ez, publizitate- edo jarraipen-cookierik ez; profileko argazkiak ez dira inoiz inor identifikatzeko erabiltzen.
• Pertsonak: ekoizpenerako sarbidea IncubIQ Solutions Ltd-ko administratzaile izendatuetara mugatua; garapeneko adimen artifizialeko tresnek ez dituzte inoiz benetako datu pertsonalak ikusten (exekutatzen duten mantentze-lanak zenbaketak eta aztarnak bakarrik jakinarazten ditu); sekretuak ostalaritza-hornitzailearen sekretu-biltegian gordetzen dira, inoiz ez aplikazioan.
• Garapena: proba automatikoak aldaketa bakoitzean, sarbide-kontrolaren eta erregistroen osotasunaren probak barne; erregistroetan, sinaduretan edo sarbide-kontrolean egindako aldaketak argitaratu aurretik berrikusten dira.

III. eranskina — Azpieragileak

• Cloudflare, Inc. — webgunearen, aplikazioaren zerbitzariaren eta datu-basearen ostalaritza; bot-aren aurkako egiaztapena. Datu-basea EBn bakarrik gordetzen eta tratatzen da (EBko jurisdikzioa); eskaerak EBtik kanpoko Cloudflareren sareetatik igaro daitezke; AEBetako sozietatea (Datuen Pribatutasun Esparrua / kontratu-klausula estandarrak). I. eranskineko datu guztiak tratatzen ditu.
• Amazon Web Services EMEA SARL (Amazon SES) — posta elektronikoen bidalketa: gonbidapenak, sarbide-kodeak, gogorarazpenak. EB (Irlanda). Posta elektronikoko helbidea, izena, mezuaren edukia.
• Sendinblue SAS (Brevo) — posta elektronikoen bidalketa Amazon SES eskuragarri ez dagoenean. EB (Frantzia). Posta elektronikoko helbidea, izena, mezuaren edukia.
• Google LLC (Firebase Cloud Messaging) — aplikazioko jakinarazpenen entrega, pertsonak aktibatzen baditu. AEB (Datuen Pribatutasun Esparrua / kontratu-klausula estandarrak). Gailuaren token bat eta jakinarazpenaren testua.
• Twilio Ireland Limited — sarbide-kodeen SMS bidezko bidalketa, mugikorreko zenbakiarekin sartzen denari bakarrik. EB (Irlanda), Twilio taldea AEBetan (kontratu-klausula estandarrak). Mugikorreko zenbakia, kodea.

Stripe-k eta Apple-k Enplegatzailearen harpidetza kobratzen dute. Enplegatzailearen fakturazio-datuak tratatzen dituzte, ez haren langileenak; beraz, ez dira Kontratu honen araberako azpieragileak.