Acuerdo de tratamiento de datos

Responsable del tratamiento es su empresa («el Cliente»). Encargado del tratamiento es Buildinghost.

La distinción tiene consecuencias prácticas. Respecto de los datos de su propia cuenta (nombre, correo electrónico, facturación) Buildinghost es responsable del tratamiento y resulta de aplicación la Política de privacidad . Respecto de los datos personales que usted introduce en el sistema —trabajadores, subcontratistas, proveedores, personas de contacto— usted sigue siendo el responsable y Buildinghost actúa exclusivamente siguiendo sus instrucciones.

• Objeto: prestación de la plataforma Buildinghost para la gestión de proyectos de construcción.
• Duración: durante la vigencia de la suscripción, más los plazos de conservación del apartado 8.
• Naturaleza y finalidad: almacenar, organizar, consultar y visualizar los datos introducidos por el Cliente.
• Categorías de interesados: empleados del Cliente, trabajadores y representantes de subcontratistas y proveedores.
• Categorías de datos: nombres, cargos, teléfonos, correos electrónicos, tarifas de remuneración, jornadas trabajadas, documentos adjuntos.

No se tratan categorías especiales de datos del artículo 9 del RGPD. El Cliente se compromete a no introducir tales datos en los campos de texto libre.

Buildinghost trata los datos personales únicamente siguiendo instrucciones documentadas del Cliente, inclusive con respecto a las transferencias a terceros países, salvo que esté obligado a ello por el Derecho de la Unión o de un Estado miembro. En tal caso, Buildinghost informará al Cliente de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público. El uso de la plataforma conforme a su documentación constituye una instrucción documentada.

Todas las personas a las que Buildinghost concede acceso a datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad apropiada. El acceso se limita al personal para el que resulta necesario a efectos de mantenimiento del servicio.

Medidas aplicadas conforme al artículo 32 del RGPD:

• Cifrado en tránsito (TLS) y en reposo.
• Aislamiento entre empresas aplicado en la propia base de datos (Row Level Security), no solo en la aplicación.
• Acceso por roles dentro de la empresa: administrador, gestor, contable, supervisor.
• Registro de auditoría de cada creación, modificación y supresión, conservado durante 24 meses.
• Política estricta de seguridad de contenidos (CSP) que limita las conexiones salientes a orígenes autorizados.
• Copias de seguridad automáticas de la base de datos en el proveedor de alojamiento.

El Cliente otorga una autorización general para el recurso a subencargados. La lista actual se publica en la página Subencargados del tratamiento. Los cambios se anuncian con al menos 30 días de antelación y el Cliente tiene derecho de oposición. Buildinghost impone a cada subencargado obligaciones de protección de datos no menos exigentes que las asumidas en este documento, y sigue siendo plenamente responsable de su cumplimiento.

La plataforma pone a disposición del Cliente medios autónomos para atender las solicitudes de los interesados: exportación en formato legible por máquina, edición y supresión de registros, y eliminación de la cuenta.

Cuando una solicitud llega directamente a Buildinghost, se remite al Cliente sin dilación indebida y sin que respondamos nosotros sobre el fondo.

En caso de violación de la seguridad de los datos personales, Buildinghost notificará al Cliente sin dilación indebida y a más tardar en 48 horas desde que tenga constancia de ella, describiendo su naturaleza, las categorías afectadas y las medidas adoptadas. Ese plazo es más corto que las 72 horas del artículo 33 para que al Cliente le quede tiempo de presentar su propia notificación.

Plazos de conservación:

• Datos de la cuenta: hasta la finalización de la suscripción.
• Periodo de gracia tras solicitar la eliminación: 30 días, transcurridos los cuales la supresión es definitiva.
• Registro de auditoría: 24 meses.
• Invitaciones nunca aceptadas: 90 días desde su caducidad.
• Documentación contable: según la normativa fiscal aplicable.

A la finalización del servicio, el Cliente puede descargar una exportación completa desde la pantalla «Privacidad y datos». Después, a elección del Cliente, los datos se suprimen o se devuelven, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación.

Buildinghost pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 y permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de un auditor mandatado por él. Las auditorías se realizan en horario laboral, previo aviso por escrito con 30 días de antelación y como máximo una vez al año, salvo que existan indicios de una violación.

Este documento se acepta automáticamente en el momento del registro y forma parte integrante de los Términos de uso. Si necesita un ejemplar firmado para su propio archivo, escriba a privacy@buildinghost.eu.