Acuerdo de encargo del tratamiento

1. Ámbito

Este acuerdo forma parte de las Condiciones del servicio. Se aplica cuando Joy trata datos personales por cuenta de un despacho que la utiliza — sobre sus clientes, otras partes, personal y candidatos — cuando son de aplicación la ley israelí de protección de la privacidad, 5741-1981, y el reglamento de protección de la privacidad (seguridad de los datos), 5777-2017, el RGPD (Reglamento (UE) 2016/679) o el RGPD del Reino Unido. El despacho es el responsable del tratamiento; Neos Tech Ltd es el encargado del tratamiento.

2. Objeto, naturaleza y duración

Joy guarda, organiza, comparte y firma los documentos y registros del despacho, gestiona sus portales de clientes, empleados y candidatos y, a petición del despacho, las funciones de inteligencia artificial. El tratamiento dura lo que dure la suscripción y termina con la supresión descrita en la sección 8.

3. Tipos de datos e interesados

Interesados: los clientes del despacho y sus contactos, otras partes y testigos, el personal del despacho, empleados y candidatos, firmantes y destinatarios de documentos compartidos. Datos: datos de contacto y de identificación (incluidos números de identificación en los cuestionarios de conozca a su cliente y en el formulario 101 del trabajador), el contenido de documentos y mensajes, firmas y su prueba (hora, dirección IP, dispositivo), datos salariales y fiscales, CV. Categorías especiales (como datos de salud en un asunto de lesiones personales) solo en la medida en que el despacho decida subirlas; el despacho es responsable de contar con una base jurídica.

4. Instrucciones y confidencialidad

Joy trata datos personales solo siguiendo las instrucciones documentadas del despacho — su uso del servicio y la configuración que elige son esas instrucciones — salvo que la ley exija otra cosa, en cuyo caso lo comunicamos primero al despacho si la ley lo permite. Todas las personas de Neos Tech con acceso a los datos están sujetas a confidencialidad. No vendemos los datos, no los usamos para publicidad ni entrenamos modelos con ellos.

5. Seguridad

Medidas adecuadas al riesgo, enumeradas en el anexo siguiente y revisadas a medida que cambia el servicio.

6. Subencargados del tratamiento

El despacho autoriza a estos subencargados del tratamiento: Netlify, Inc. (alojamiento del sitio, funciones de servidor y almacenamiento de documentos; Estados Unidos, con una red de distribución global); Supabase, Inc. (cuentas y la base de datos en la nube; Unión Europea — Irlanda); y, solo cuando el despacho usa funciones de inteligencia artificial, Anthropic PBC, OpenAI, L.L.C. y Google LLC (los modelos de inteligencia artificial). Imponemos a cada uno obligaciones equivalentes a este acuerdo y seguimos siendo responsables de ellos. Anunciamos un nuevo subencargado con al menos 30 días de antelación en esta página y en la aplicación; el despacho puede oponerse por motivos razonables y, si no se encuentra solución, resolver la suscripción. Los servicios que el propio despacho conecta (Google Drive, Microsoft, Dropbox, o Claude y ChatGPT como chat) se rigen por los acuerdos del propio despacho con ellos.

7. Transferencias internacionales

La Comisión Europea reconoce que Israel ofrece un nivel de protección adecuado. Las transferencias a subencargados en Estados Unidos se basan en el Marco de Privacidad de Datos UE-EE. UU. cuando el subencargado está certificado y, en otro caso, en las cláusulas contractuales tipo de la Comisión Europea.

8. Derechos, incidentes y supresión

Las herramientas de la aplicación permiten al despacho atender las solicitudes de acceso (exportación) y de supresión (borrar todos los datos). Ayudamos con otras solicitudes y con las evaluaciones de impacto en la medida razonable. Notificamos al despacho cualquier incidente de seguridad que afecte a sus datos personales sin dilación indebida y en un plazo de 48 horas desde que tengamos conocimiento, con la información de que dispongamos. Al terminar la suscripción, el despacho puede exportar sus datos y después borrarlos; los datos que sigan en los servidores de Joy se suprimen en un plazo de 30 días desde la solicitud por escrito, salvo que la ley exija conservarlos.

9. Auditorías

Ponemos a disposición la información necesaria para demostrar el cumplimiento de este acuerdo y permitimos una auditoría con un preaviso razonable, a cargo del despacho, una vez al año y con sujeción a confidencialidad.

10. Orden de prelación

Si este acuerdo y las Condiciones del servicio entran en conflicto en materia de datos personales, prevalece este acuerdo. Consultas: adir@joyworkos.com.

Anexo — medidas de seguridad

Solo HTTPS (HSTS) y una Política de Seguridad de Contenidos estricta; los documentos de cada despacho separados por su clave de espacio de trabajo, y el servidor guarda solo un hash de la clave; OAuth 2.1 con PKCE y tokens con hash y de corta duración; enlaces compartidos y salas de datos protegidos con contraseña, con registro de acceso de cada apertura; firmas electrónicas con un registro de auditoría encadenado por hash; permisos por función dentro del despacho; límites de solicitudes en los puntos de acceso públicos; seguridad a nivel de fila en la base de datos en la nube.