Acuerdo de tratamiento de datos

1. Partes y ámbito

Este acuerdo complementa las Condiciones de hilighter entre SkillsBoard SAS, 509 avenue des Églantines, 62176 Camiers, Francia, RCS Boulogne-sur-Mer 978 379 709 (el «Encargado») y la Organización Cliente (el «Responsable») respecto de datos personales tratados por cuenta de la organización dentro de su espacio. Se celebra a efectos del artículo 28.3 del RGPD. Quedan fuera las actividades en que SkillsBoard actúa como responsable autónomo, especialmente cuentas y carteras personales independientes, su administración contractual, seguridad propia y marketing directo opcional. En materias de encargo prevalece este DPA.

2. Instrucciones documentadas

SkillsBoard tratará los datos exclusivamente siguiendo instrucciones documentadas de la organización, incluidas configuraciones autorizadas y solicitudes escritas, salvo exigencia legal en contrario, de la que informará cuando sea legalmente posible. Advertirá de instrucciones que puedan vulnerar la normativa. La organización determina finalidades, bases jurídicas, conservación e información a empleados, así como la legalidad laboral de las evaluaciones y las consultas a representantes cuando procedan.

3. Descripción del tratamiento – Anexo I

Objeto: SaaS de puestos, competencias, evidencias, evaluaciones, itinerarios y análisis de equipos. Duración: vigencia del espacio organizativo más período de devolución o supresión contractual, salvo obligaciones legales. Operaciones: recogida, registro, organización, almacenamiento, acceso autorizado, comparación, sugerencias asistidas por IA, copias, rectificación, exportación y eliminación. Finalidad: gestión de competencias y desarrollo de personas definida por la organización, no publicidad propia de SkillsBoard. Interesados: trabajadores, responsables, administradores, contratistas, candidatos tratados lícitamente y otras personas reflejadas incidentalmente en pruebas. Datos: identificación profesional, contactos, puestos, roles, competencias y niveles, evaluaciones y autores, objetivos, evidencias de aprendizaje o trabajo, CV y LinkedIn aportados, metadatos técnicos. Evitar categorías especiales del artículo 9 RGPD salvo base legal, instrucciones específicas y medidas adicionales.

4. Confidencialidad

SkillsBoard limita el acceso a las personas que necesitan tratar los datos para prestar el Servicio y que están sujetas a obligaciones adecuadas de confidencialidad. Mantiene procedimientos de asignación y revocación de permisos. La organización administra las autorizaciones de sus usuarios y la seguridad de sus equipos.

5. Seguridad – Anexo II

Medidas observadas conforme al art. 32 RGPD: AWS en Francia, TLS 1.3 en ALB, Secrets Manager, IAM/MFA de administradores AWS, separación lógica de organizaciones en base compartida, CloudWatch/Sentry, copias diarias conservadas 30 días; registros CloudWatch 30 días en producción y 7 fuera de producción. No hay MFA de usuarios de aplicación, la auditoría es parcial, las restauraciones se prueban manualmente y falta confirmar un plan formal de incidentes. No se presentan medidas futuras como si estuvieran implantadas. Anexo II.

6. Subencargados – Anexo III

La organización autoriza con carácter general a subencargados documentados; cambios significativos se notificarán normalmente con 30 días de antelación y derecho de objeción motivada. Proveedores relevantes: AWS, OpenAI y Sentry, sujetos a registro de entidades, ubicaciones y garantías. LinkedIn, analítica, Clarity, reCAPTCHA y Brandfetch requieren clasificación específica; su aparición en privacidad no los convierte automáticamente en subencargados de la empresa. Se trasladan las obligaciones del art. 28 RGPD.

7. Transferencias internacionales

El alojamiento principal está en AWS en Francia, pero OpenAI API usa Global, sin residencia exclusiva UE. Puede existir tratamiento fuera del EEE; es necesario documentar la base del capítulo V RGPD, garantías complementarias, DPA de OpenAI y parámetros de entrenamiento y retención. La residencia AWS no garantiza inferencia OpenAI en Europa.

8. Asistencia y derechos

SkillsBoard asiste razonablemente a la organización en solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como en seguridad, notificaciones de brechas, evaluaciones de impacto y eventuales consultas previas. Las solicitudes sobre datos controlados por la organización se trasladan a ella cuando proceda. SkillsBoard responde directamente por las cuentas personales respecto de las cuales sea responsable autónomo.

9. Brechas de datos

SkillsBoard notificará al responsable sin dilación indebida tras tener conocimiento de una brecha de datos tratados por encargo, compartiendo la información disponible sobre naturaleza, categorías, afectados, consecuencias y medidas de mitigación. Podrá ampliarla posteriormente. La organización decide las notificaciones legalmente necesarias a autoridades y personas, con asistencia de SkillsBoard. Ambas partes avisan de incidentes con efectos compartidos.

10. Evidencias y auditorías

SkillsBoard facilitará información razonablemente necesaria para acreditar el cumplimiento del artículo 28 y permitirá auditorías exigibles por ley, con aviso adecuado, confidencialidad y protección de terceros. Se podrán aportar inicialmente informes independientes suficientes. Los costes extraordinarios pueden acordarse previamente sin limitar las facultades de verificación legalmente obligatorias.

11. Devolución y supresión

Una organización autorizada solicita exportación o eliminación en contact@hilighter.io. Se comprueban los permisos y se separan las pruebas confidenciales del perfil personal del trabajador. Objetivo de 30 días para exportación segura (CSV/JSON y archivos autorizados) o supresión activa procedente, salvo plazos legales distintos. Backups diarios: 30 días. S3: sin caducidad global automática verificada, por lo que hay que ejecutar borrado y controlar restauraciones. La cancelación de empresa no borra la cuenta personal.

12. Prohibición de marketing y entrenamiento no autorizado

SkillsBoard no reutilizará los datos recibidos solo como encargado para publicidad propia o de socios, incluso si un empleado acepta recibir correos en su perfil individual. Una finalidad nueva requeriría otra base jurídica y autorización adecuada. No se instruirá al proveedor de IA para entrenar modelos con datos organizativos sin instrucciones, fundamento y medidas separados; deberá verificarse la configuración efectiva de la API.

13. Ley y aceptación

Este DPA se rige por la legislación francesa en la medida compatible con el derecho de la Unión. Podrá aceptarse electrónicamente por representante habilitado y permanecerá vigente mientras exista tratamiento por cuenta de la organización. Prevalece el texto francés.

---

Anexo II – Medidas técnicas observadas

Anexo III – Lista provisional de subencargados

Documentos relacionados

• Política de privacidad
• Aviso legal
• Términos de uso y venta
• Política de cookies