Contrato de Encargo del Tratamiento
Última actualización: 18 de octubre de 2026
1. Partes y objeto
Este contrato forma parte de los Términos y se aplica automáticamente a toda organización que use Kora (el Responsable). El encargado del tratamiento es [Pendiente: razon social], NIF/CIF [Pendiente: NIF/CIF], con domicilio en [Pendiente: domicilio social] (Kora o el Encargado). Kora trata datos personales por cuenta del Responsable únicamente para prestar el servicio de registro de jornada, gestión de turnos, vacaciones, equipos y documentos laborales, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Organica 3/2018 (LOPDGDD).
2. Datos y personas afectadas
Personas interesadas: personas trabajadoras, supervisoras y administradoras del Responsable.
Categorías de datos: identificacion y contacto (nombre, email, teléfono), datos laborales (departamento, puesto, horario, registros de entrada, salida y pausas, vacaciones y ausencias), identificadores laborales que el Responsable decida incluir en los informes oficiales (NIF, número de afiliación a la Seguridad Social), documentos laborales que el Responsable suba (nominas, contratos), ubicación puntual en el fichaje si el Responsable la activa, y metadatos técnicos de seguridad (IP, dispositivo, navegador).
Kora no necesita categorías especiales de datos (art. 9 RGPD); el Responsable no debe subirlas salvo que exista una base jurídica para ello.
3. Duración
Mientras el Responsable mantenga una cuenta activa. Al terminar, Kora devuelve los datos en un formato exportable si el Responsable lo solicita en los 30 días siguientes y después los suprime, salvo los registros de jornada que la ley obliga a conservar 4 años (art. 34.9 del Estatuto de los Trabajadores), que se mantienen bloqueados y solo a disposicion del Responsable, las personas trabajadoras y la Inspección de Trabajo hasta que venza ese plazo.
4. Obligaciones de Kora
- Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este contrato y el uso que haga de la aplicación; informar si una instruccion infringe la normativa.
- No usar los datos para fines propios, no venderlos ni cederlos, y no usarlos para entrenar modelos de inteligencia artificial.
- Garantizar que las personas autorizadas para tratar los datos se han comprometido a la confidencialidad.
- Aplicar las medidas de seguridad del apartado 6 (art. 32 RGPD).
- Asistir al Responsable para responder a solicitudes de ejercicio de derechos (acceso, rectificación, supresión, limitación, portabilidad y oposición), con las funciones de exportacion y edicion de la aplicación y, si hace falta, mediante soporte.
- Ayudar al Responsable en evaluaciones de impacto y consultas previas cuando proceda.
- Notificar al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violacion de la seguridad de los datos personales, con la información necesaria para que el Responsable cumpla los artículos 33 y 34 del RGPD.
- Poner a disposicion del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso de 30 días y como máximo una vez al año, salvo requerimiento de una autoridad de control.
5. Subencargados
El Responsable autoriza de forma general a los subencargados siguientes. Kora les impone por contrato las mismas obligaciones de protección de datos y avisara con al menos 30 días de antelacion, por email a las personas administradoras, antes de añadir o sustituir uno. El Responsable puede oponerse por motivos razonables y, si no se encuentra solucion, resolver el contrato sin penalizacion.
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Supabase Inc. | Base de datos, autenticación y almacenamiento de documentos | UE (París, Francia - AWS eu-west-3) |
| Vercel Inc. | Alojamiento y ejecución de la aplicación | UE (París, Francia - region cdg1); empresa matriz en EE. UU. |
| Resend Inc. | Envio de correos transaccionales (invitaciones, avisos) | EE. UU. |
| Google Ireland Ltd. | Inicio de sesión con Google (opcional) y autocompletado de ciudades | UE (Irlanda); puede implicar transferencias a EE. UU. |
Transferencias internacionales: los datos se alojan y procesan en la UE. Cuando un subencargado pueda acceder a ellos desde fuera del Espacio Económico Europeo, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. si el proveedor esta certificado o, en su defecto, en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914).
6. Medidas de seguridad
- Cifrado en tránsito (TLS) y en reposo (AES-256) de base de datos y documentos.
- Aislamiento entre organizaciones en la propia base de datos (Row Level Security): cada consulta se limita a la organización de la persona usuaria.
- Documentos en almacenamiento privado, accesibles solo mediante enlaces firmados de caducidad corta.
- Control de acceso por roles (persona trabajadora, supervisora, administradora, inspección) y principio de mínimo privilegio.
- Protección contra fuerza bruta en el acceso con código y PIN.
- Registro de auditoría de cambios en fichajes y de accesos relevantes.
- Copias de seguridad gestionadas por el proveedor de base de datos.
- Revision periódica de seguridad y de dependencias.
7. Obligaciones del Responsable
El Responsable garantiza que dispone de base jurídica para el tratamiento, informa a su plantilla (y, cuando proceda, a su representacion legal) del uso de Kora y, en su caso, de la geolocalización en el fichaje, y que solo incluye los datos necesarios para la finalidad.
8. Contacto
Protección de datos: [Pendiente: contacto proteccion de datos]. Si tu organización necesita este contrato firmado, escríbenos y te lo enviamos para firma.