3. Anexo Vinculante: Contrato de Encargado del Tratamiento (DPA — Art. 28 RGPD)
El presente apartado constituye un Contrato de Encargo del Tratamiento jurídicamente vinculante conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la LOPDGDD, rigiendo automáticamente desde el alta de la Empresa Cliente:
En SekiaHR protegemos los datos personales y laborales mediante cifrado de grado bancario (AES-256 en reposo y TLS 1.3 en tránsito), aislamiento estricto por empresa (multi-tenant) e infraestructura alojada al 100 % en la Unión Europea. Jamás vendemos datos a terceros ni utilizamos documentos o información de empleados para entrenar modelos de inteligencia artificial externos.
Objeto, Duración e Instrucciones Documentadas (Art. 28.3.a RGPD)
Roles y Alcance: La Empresa Cliente es el Responsable del Tratamiento y SekiaHR actúa como Encargado del Tratamiento respecto a los datos de recursos humanos alojados en el espacio del Cliente. SekiaHR tratará los datos únicamente siguiendo las instrucciones documentadas del Cliente (reflejadas en su configuración de la plataforma) y durante la vigencia de la suscripción.
Medidas Técnicas y Organizativas de Seguridad (Art. 32 RGPD)
Seguridad por Diseño: SekiaHR aplica cifrado TLS 1.3 en tránsito y AES-256 en reposo, aislamiento lógico estricto por tenant (companyId), control de acceso basado en roles (RBAC), contraseñas con hash criptográfico robusto, copias de seguridad diarias cifradas y servidores de inferencia OCR locales dentro de la Unión Europea sin transferencia a terceros.
Categorías Especiales de Datos (Art. 9.2.b RGPD — Bajas Médicas y Auditoría Documental)
Datos de Salud Laboral: Cuando el tratamiento incluya partes médicos de baja/alta o justificantes de ausencia con datos de salud amparados en el Art. 9.2.b RGPD, SekiaHR garantiza almacenamiento segregado con permisos restringidos a RR. HH. y registro inmutable de auditoría (actor, fecha/hora e IP) en cada subida, consulta, descarga o borrado.
Notificación de Brechas de Seguridad (Art. 33 RGPD)
Gestión de Incidentes: En caso de violación de la seguridad de los datos personales que afecte a los activos de la Empresa Cliente, SekiaHR lo notificará sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia, aportando la información técnica necesaria para que el Cliente pueda cumplir sus obligaciones ante la AEPD.
Subencargados e Infraestructura Soberana Europea (Art. 28.2 y 28.4 RGPD)
Soberanía en la UE: SekiaHR aloja sus bases de datos (PostgreSQL), almacenamiento documental (MinIO S3), motor de correo (BillionMail) y motor de IA OCR en infraestructura europea dedicada. Cualquier alta o sustitución de subencargados de infraestructura será comunicada con antelación permitiendo a la Empresa Cliente formular oposición motivada.
Deber de Asistencia, Auditoría y Destrucción o Devolución al Término (Art. 28.3.e-h RGPD)
Portabilidad y Borrado Certificado: SekiaHR asiste técnicamente al Cliente en la respuesta a ejercicios de derechos ARCO-POL y pone a su disposición herramientas de exportación íntegra (CSV/PDF). Finalizado el contrato y el plazo de exportación de 30 días, SekiaHR suprimirá los datos de producción y purgará las copias de seguridad cifradas en un máximo de 60 días, salvo obligación legal de bloqueo.
Cláusula de Indemnidad Expresa y Deber de Información Previa al Trabajador (Art. 90.2 LOPDGDD y Art. 20.3 ET)
La Empresa Cliente se obliga a informar previamente y por escrito a sus trabajadores y, en su caso, a la representación legal de los trabajadores, sobre la implantación del sistema de registro horario, el uso de terminales Kiosco y la captura puntual de geolocalización conforme al artículo 90.2 de la LOPDGDD y al artículo 20.3 del Estatuto de los Trabajadores. La Empresa Cliente mantendrá plenamente indemne a SekiaHR (asumiendo cualesquiera sanciones, indemnizaciones, daños y costas procesales) frente a cualquier reclamación judicial o administrativa derivada del incumplimiento de dicho deber de información previa, de configuraciones ilícitas o de instrucciones contrarias a Derecho.
Versión Vigente, Registro Probatorio de Aceptación (Timestamp + IP) y Prevalencia
De conformidad con el Art. 23 de la LSSI-CE y el Reglamento eIDAS (UE 910/2014), la aceptación electrónica de estos Términos y del Anexo DPA durante el alta en /registro o ante actualizaciones relevantes queda registrada de forma inmutable en nuestros servidores con fecha y hora exacta (timestamp UTC), identificador de versión del texto legal y dirección IP del aceptante, constituyendo prueba documental plena entre las partes.
Para consultas contractuales o solicitar copia firmada del DPA, escriba a dpo@sekiahr.com / legal@sekiahr.com.
Versión v2.0 · Última actualización: octubre de 2026