Encargo del tratamiento (art. 28 RGPD)

• Responsable del tratamiento: la empresa u organización que contrata los servicios para empresas de Jobchain ID («el Responsable»).
• Encargado del tratamiento: Jobchain ID, S.L.U., CIF B10734804, Calle Tarongers 3, 46680 Algemesí (Valencia), España («el Encargado»).
• Este encargo regula el tratamiento de datos personales que el Encargado hace por cuenta del Responsable al prestarle los servicios descritos en las Condiciones para empresas, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Forma parte del contrato de servicios y se acepta junto con las Condiciones para empresas al dar de alta la organización, o firmándolo por separado.
• El Anexo I describe el tratamiento: su naturaleza y finalidad, los tipos de datos, las categorías de interesados y la duración.
• Este encargo no se aplica a los datos que Jobchain ID trata como responsable: la cuenta personal de cada persona en Jobchain ID, las cuentas de las personas que gestionan el Panel y los datos de facturación. Esos se rigen por la Política de privacidad.

Este encargo dura lo mismo que el contrato de servicios y, después, el tiempo necesario para cumplir la cláusula «Fin del encargo».

• El Encargado tratará los datos solo siguiendo las instrucciones documentadas del Responsable. Son instrucciones documentadas este encargo, las Condiciones para empresas, la configuración que el Responsable hace en el Panel o en la API (por ejemplo, qué datos pide, qué credenciales emite o a quién) y las instrucciones escritas que envíe a privacidad@jobchain.com.
• Si el Derecho de la Unión o de España obliga al Encargado a tratar los datos de otro modo, se lo dirá antes al Responsable, salvo que esa ley lo prohíba.
• Si el Encargado cree que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato al Responsable y podrá suspender su ejecución hasta que se aclare.
• El Encargado no usará los datos para fines propios, no los venderá ni los usará para publicidad ni para entrenar modelos de inteligencia artificial.

El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a ellos cuando es necesario para prestar el servicio.

• El Encargado aplica las medidas técnicas y organizativas del Anexo II, apropiadas al riesgo (artículo 32 del RGPD).
• Por diseño, muchos datos no llegan nunca al Encargado en claro: los mensajes, el correo y los documentos se cifran de extremo a extremo en los dispositivos de las personas, y la comparación facial se hace en el móvil del interesado.
• El Encargado puede actualizar las medidas siempre que no rebaje el nivel de protección.

• El Responsable da una autorización general para que el Encargado recurra a los subencargados del Anexo III.
• Antes de añadir o sustituir un subencargado, el Encargado avisará al Responsable con al menos 30 días de antelación, por correo a las personas administradoras y en esta página. El Responsable puede oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo; si no se llega a una solución, podrá resolver el contrato sin penalización y recuperar la parte de las cuotas pagadas por adelantado que no haya usado.
• El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos de este encargo, y seguirá respondiendo ante el Responsable de su cumplimiento.

El Encargado solo transferirá datos fuera del Espacio Económico Europeo con una garantía del capítulo V del RGPD: una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para las empresas adheridas) o las cláusulas contractuales tipo de la Comisión Europea (módulo 3, de encargado a subencargado). El Anexo III indica la garantía de cada subencargado.

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, el Encargado ayudará al Responsable:

• a responder a las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición). Si un interesado se dirige al Encargado, este trasladará la solicitud al Responsable sin dilación y no la contestará por su cuenta, salvo que el Responsable se lo pida;
• a cumplir sus obligaciones de seguridad, de notificación de violaciones, de evaluación de impacto y de consulta previa a la autoridad de control (artículos 32 a 36 del RGPD).

• El Encargado notificará al Responsable cualquier violación de la seguridad de los datos que trata por su cuenta sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento de ella, por correo a las personas administradoras.
• La notificación incluirá, en la medida en que se conozca: qué ha pasado, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. Si no se conoce todo a la vez, la información se dará por fases.
• Notificar a la autoridad de control y a los interesados corresponde al Responsable; el Encargado le dará la información que necesite.

• Al terminar el contrato, el Responsable puede exportar sus datos desde el Panel durante 30 días, o pedir al Encargado que se los devuelva en un formato estructurado.
• Pasado ese plazo, el Encargado suprimirá los datos personales tratados por cuenta del Responsable, incluidas las copias, salvo que el Derecho de la Unión o de España le obligue a conservarlos; en ese caso, los mantendrá bloqueados y solo los usará para cumplir esa obligación.
• Las copias de seguridad cifradas se suprimen a los 35 días de hacerse.
• Las credenciales ya entregadas a los interesados están en sus móviles y no dependen del Encargado; el Responsable puede revocarlas antes de terminar.

• El Encargado pondrá a disposición del Responsable la información necesaria para demostrar que cumple este encargo.
• El Responsable puede hacer o encargar auditorías, incluidas inspecciones, con un preaviso razonable de al menos 30 días, en horario laboral, sin afectar a la seguridad de otros clientes y con un compromiso de confidencialidad de quien audite. Salvo que la auditoría revele un incumplimiento, su coste lo asume el Responsable.
• Primero se intentará resolver con la documentación, los informes y las certificaciones disponibles; la inspección presencial queda para cuando eso no baste o lo exija una autoridad.

El Responsable garantiza que tiene una base jurídica para cada tratamiento que encarga, que ha informado a los interesados como exigen los artículos 13 y 14 del RGPD, que sus instrucciones cumplen la ley y que, si trata categorías especiales de datos o datos de menores, cumple los requisitos adicionales que les son aplicables.

Cada parte responde frente a los interesados y frente a las autoridades según el artículo 82 del RGPD. Entre las partes, se aplica el régimen de responsabilidad de las Condiciones para empresas, salvo en lo que el RGPD no permita limitar.

En todo lo que toca a los datos personales, este encargo prevalece sobre cualquier otro documento del contrato. Se rige por la ley española y las controversias se someten a los juzgados y tribunales de la ciudad de Valencia (España).

Naturaleza y finalidad. Según los servicios que el Responsable use:

Categorías de interesados: clientes, usuarios y contactos del Responsable; su personal y colaboradores; las personas a las que emite credenciales o envía documentos.

Tipos de datos (solo los que el Responsable pida y la persona acepte compartir):

• identificadores: DID, identificador de la sesión y de la organización;
• datos de identidad sacados del chip del documento: nombre, apellidos, fecha de nacimiento, nacionalidad, tipo, país emisor, número y caducidad del documento y, si el Responsable lo pide, la foto del documento;
• resultado de la verificación: nivel, método, fecha y resultados de las comprobaciones;
• datos de contacto verificados: correo y teléfono;
• país de residencia, si se verificó;
• contenido de las credenciales que emite el Responsable;
• documentos enviados a firmar y sus firmas;
• registros técnicos: fecha, hora, dirección IP y resultado de cada operación.

Categorías especiales. El Encargado no trata datos biométricos por cuenta del Responsable: la comparación facial se hace en el móvil del interesado. La foto del documento solo se entrega si el Responsable la pide y la persona la comparte; el Responsable decide si la trata como dato biométrico y con qué base.

Plazos.

• Respuestas que la persona comparte con el Responsable: el Encargado las guarda hasta que la persona borra su cuenta o el Responsable pide borrarlas, para poder resolver incidencias. Hoy no se borran antes de forma automática.
• Credenciales emitidas: mientras el Responsable las mantenga o hasta que la persona borre su cuenta.
• Registro de actividad del Panel: la IP, 90 días; el registro, 2 años.
• Tras el fin del contrato: lo que dice la cláusula «Fin del encargo».

Medidas del producto:

• claves privadas de las personas generadas y guardadas solo en sus dispositivos;
• cifrado de extremo a extremo de los mensajes, el correo y los documentos;
• comparación facial y prueba de vida en el dispositivo del interesado;
• datos del chip tratados solo durante la emisión, sin conservarlos; vínculo documento-identidad mediante HMAC con clave guardada aparte;
• atestación de integridad de la app (Apple App Attest y Google Play Integrity) en las verificaciones;
• control de acceso al Panel por roles, con identidad verificada y sin contraseñas;
• registro de actividad de la organización, con la IP anonimizada a los 90 días;
• cifrado en tránsito (TLS) en todas las comunicaciones;
• separación de los entornos de pruebas y de producción.

Medidas de la infraestructura (Amazon Web Services, Fráncfort):

• base de datos, sistema de ficheros, caché y copias de seguridad cifrados en reposo con claves propias de AWS KMS, con rotación automática; la base de datos no es accesible desde internet;
• almacenes de objetos (Amazon S3) cifrados en reposo y con el acceso público bloqueado;
• clave privada del emisor de credenciales en AWS KMS, no exportable, que solo puede usar para firmar el servicio de identidad y solo desde la red privada;
• registro de la actividad de la cuenta en todas las regiones (AWS CloudTrail), cifrado, con validación de integridad y protegido contra el borrado durante 365 días;
• registros técnicos de los servicios cifrados y conservados 90 días;
• cortafuegos de aplicaciones web (AWS WAF) delante de la API;
• detección de amenazas y revisión continua de la configuración (Amazon GuardDuty, AWS Security Hub, AWS Config e IAM Access Analyzer);
• copias de seguridad diarias de la base de datos y de los ficheros, con duplicado en una cuenta de AWS separada dedicada solo a copias, protegidas contra el borrado anticipado y conservadas 35 días;
• alarmas de errores, latencia, disponibilidad, bloqueos del cortafuegos, uso de la cuenta raíz y cambios de permisos;
• sin usuarios con claves de acceso permanentes en la cuenta de producción: se entra con roles de credenciales temporales.

Medidas organizativas:

• acceso a datos de producción limitado a las personas que lo necesitan, con compromiso de confidencialidad;
• procedimiento de gestión de violaciones de seguridad con aviso al Responsable en 48 horas;
• revisión de seguridad del código antes de cada cambio en producción.

La red XMTP es una red de transporte abierta que operan terceros: por ella viajan los mensajes cifrados de extremo a extremo en el dispositivo de cada persona, y XMTP no puede leer su contenido. Se informa de ella en la Política de privacidad.