Contrato de encargo del tratamiento
Traducción facilitada únicamente a título informativo. Solo es vinculante la versión alemana.
Contrato conforme al art. 28 RGPD entre la empresa que utiliza Crewtender («responsable del tratamiento») y Benjamin Schiffer, WP Digital Ranger («encargado del tratamiento»). Se aplica con el uso de Crewtender. Versión del 03.11.2026.
1. Objeto
El encargado del tratamiento explota para el responsable del tratamiento el software Crewtender conforme a las condiciones de uso: búsqueda y análisis de licitaciones, ofertas, gestión de personal, planificación de servicios, registro de jornada, facturación, gestión de candidaturas, gestión de clientes con portal del cliente, rondas y libro de servicio, así como chat de equipo. Duración: mientras se utilice Crewtender.
2. Tipo de datos e interesados
- Datos: nombres, datos de contacto y funciones de los usuarios; datos de la empresa y de los centros, notas y estados de tramitación; documentación de licitaciones subida (que puede contener datos de contacto de personas de contacto de los órganos de contratación); datos del personal (datos maestros, oficios, cualificaciones y acreditaciones con fecha de caducidad, grupo retributivo y salario por hora, ausencias sin motivo, turnos, partes de horas, fichajes con «en el lugar de servicio sí/no», gastos, instrucciones de seguridad, equipos de protección, valoraciones por parte de clientes, firmas, cesiones conforme a la AÜG); datos de candidatos; clientes y lugares de servicio; facturas y justificantes; escaneos de rondas y anotaciones en el libro de servicio; mensajes del chat. No deben introducirse categorías especiales (art. 9 RGPD) ni datos penales (art. 10 RGPD); en el caso de certificados de antecedentes penales y certificados sanitarios, Crewtender solo guarda la fecha en que se consultaron.
- Interesados: empleados, trabajadores cedidos y candidatos del responsable del tratamiento, usuarios, clientes y sus personas de contacto, personas de contacto de los órganos de contratación y de empresas colaboradoras.
- Finalidad: búsqueda, valoración y análisis de licitaciones, elaboración de ofertas, planificación de personal y de servicios, registro de jornada, facturación y trabajo en equipo.
3. Obligaciones del encargado del tratamiento
- Trata los datos únicamente siguiendo instrucciones documentadas del responsable del tratamiento; el uso de las funciones de Crewtender se considera una instrucción. Si considera que una instrucción infringe la normativa, lo comunica de inmediato al responsable del tratamiento (art. 28, apartado 3, párrafo segundo, del RGPD).
- Las personas con acceso están sujetas a confidencialidad.
- Aplica las medidas técnicas y organizativas del punto 6.
- Asiste al responsable del tratamiento en las solicitudes de los interesados y en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD.
- Notifica sin dilación indebida las violaciones de la seguridad de los datos personales, a ser posible en un plazo de 24 horas.
- Al finalizar el encargo, elimina los datos en un plazo de 30 días o, si así se solicita, los devuelve antes en formatos habituales (CSV, Excel, Word, XRechnung, archivos originales); de las copias de seguridad cifradas desaparecen, como muy tarde, al cabo de un año.
- Pone a disposición toda la información necesaria para demostrar el cumplimiento de estas obligaciones y permite auditorías previo aviso.
4. Subencargados del tratamiento
El responsable del tratamiento autoriza a estos subencargados del tratamiento. El encargado del tratamiento les impone por contrato las mismas obligaciones de protección de datos (art. 28, apartado 4, del RGPD). Informa previamente por correo electrónico de cualquier nuevo subencargado; el responsable del tratamiento puede oponerse por motivo justificado en un plazo de 14 días.
| Proveedor | Para qué | Base de la transferencia |
|---|---|---|
| Cloudflare, Inc., San Francisco (EE. UU.) | Funcionamiento del sitio web, almacenamiento de los documentos subidos (centros de datos en la UE), conversión de los archivos en texto | Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), cláusulas contractuales tipo |
| Supabase, Inc., San Francisco (EE. UU.) | Inicio de sesión y base de datos (empresas, miembros, licitaciones); servidores en Fráncfort del Meno | Cláusulas contractuales tipo |
| Anthropic, PBC, San Francisco (EE. UU.) | Modelo de IA Claude: lee los anuncios y la documentación de licitaciones subida, elabora los perfiles de búsqueda de las empresas con una búsqueda web limitada (nombre de la empresa, texto del sitio web, domicilio social), lee fotos de justificantes (importe, fecha, proveedor), fechas de caducidad en las acreditaciones de la empresa y lotes a partir de las fichas resumen, y redacta valoraciones y fichas resumen. Ningún dato del expediente de personal. Según el proveedor, los datos de la API no se utilizan para el entrenamiento y solo se conservan durante un tiempo limitado | Cláusulas contractuales tipo |
| Namecheap, Inc., Phoenix (EE. UU.) | Buzón de correo kontakt@wpdigitalranger.com: enlaces de inicio de sesión, invitaciones y mensajes | Cláusulas contractuales tipo |
| GitHub, Inc. (Microsoft), San Francisco (EE. UU.) | Análisis diario de las licitaciones públicas con los perfiles de búsqueda de las empresas; copia de seguridad cifrada cada noche | Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), cláusulas contractuales tipo |
5. Terceros países
Las transferencias a EE. UU. solo se realizan sobre la base de las garantías indicadas en la tabla (art. 44 y siguientes del RGPD).
6. Medidas técnicas y organizativas
- Transmisión cifrada (HTTPS), almacenamiento de los documentos en centros de datos situados en la UE.
- Inicio de sesión con contraseña (almacenada solo cifrada, al menos 8 caracteres) o mediante enlace por correo electrónico; cookies de sesión solo a través de HTTPS y no legibles por scripts.
- Derechos a nivel de base de datos: cada persona solo ve los datos de su empresa y de sus áreas.
- Los documentos subidos se eliminan automáticamente a los 30 días.
- Registro de cambios: los cambios en el personal, los centros, los accesos y las licitaciones se registran con la persona y la hora, solo son visibles para el titular y se eliminan a los 12 meses.
- Los accesos a los proveedores de servicios están limitados al encargado del tratamiento y protegidos con autenticación reforzada.
- Copia de seguridad cifrada de la base de datos cada noche (AES-256) en el almacenamiento de Cloudflare con centros de datos en la UE; copias diarias durante 14 días, copias mensuales durante un año.
7. Disposiciones finales
En caso de contradicción, este contrato prevalece sobre las condiciones de uso en lo que respecta a la protección de datos. Si necesita un contrato firmado, escriba a kontakt@wpdigitalranger.com.
WP Digital Ranger · 🌐 Deutsch · English · Français · Polski · Italiano · Aviso legal · Ayuda · Contacto · Protección de datos · Condiciones de uso · Contrato de encargado del tratamiento