Contrato de encargo del tratamiento
BORRADOR – debe aprobarse jurídicamente antes de activar los pagos.
Última actualización: 3 de noviembre de 2026
Este contrato cubre el tratamiento por PRECURE ApS de las respuestas de los trabajadores en el asistente de evaluación de riesgos, en el que el cliente es el responsable del tratamiento y PRECURE el encargado. El cliente lo acepta junto con las condiciones de venta al comprar el asistente de evaluación de riesgos. Su estructura sigue las cláusulas contractuales tipo de la Comisión Europea conforme al artículo 28, apartado 7, del RGPD (Decisión de Ejecución (UE) 2021/915). Si las versiones difieren, prevalece la versión danesa.
1. Partes y antecedentes
El responsable del tratamiento: la empresa que ha comprado el asistente de evaluación de riesgos («el cliente»), según se indica en la compra.
El encargado del tratamiento: PRECURE ApS, CVR 46512987, Bryggeristræde 2, 3770 Allinge, Dinamarca, mail@precure.dk («PRECURE»).
El cliente utiliza el asistente de evaluación de riesgos para elaborar su evaluación de riesgos laborales y recoger las respuestas de sus trabajadores. Para ello, PRECURE trata datos personales de los trabajadores del cliente por cuenta de este.
2. Finalidad y relación con las condiciones de venta
Este contrato garantiza que PRECURE trata los datos personales conforme al Reglamento General de Protección de Datos (RGPD), en particular su artículo 28, apartado 3, y la ley danesa de protección de datos.
Este contrato forma parte de las condiciones de venta del asistente de evaluación de riesgos. Si las condiciones de venta y este contrato difieren sobre el tratamiento de datos personales, prevalece este contrato.
Este contrato no cubre los datos de los que PRECURE es responsable, como la cuenta, las compras y la facturación del cliente. Estos se describen en la política de privacidad.
3. Derechos y obligaciones del responsable
El cliente es responsable de que el tratamiento sea lícito, incluido contar con una base jurídica e informar a los trabajadores conforme al artículo 13 del RGPD.
El cliente decide sobre qué puntos se pregunta a los trabajadores, quién recibe el enlace de la encuesta y quién en la empresa tiene acceso a la evaluación. El cliente no debe usar campos de texto libre ni puntos propios para recoger datos sensibles que la evaluación no necesite.
4. El encargado actúa según instrucciones
PRECURE solo trata los datos personales siguiendo instrucciones documentadas del cliente. Las instrucciones son este contrato con el anexo C y las opciones que el cliente elige en el asistente de evaluación de riesgos. El cliente puede dar instrucciones adicionales por escrito, siempre que se ajusten a las funciones del asistente.
PRECURE no trata los datos para fines propios, como la comercialización o el entrenamiento de modelos de IA.
Si el derecho de la UE o el derecho danés exige a PRECURE tratar los datos de otra forma, PRECURE lo comunicará al cliente antes del tratamiento, salvo que la ley lo prohíba.
Si PRECURE considera que una instrucción infringe el RGPD u otra normativa de protección de datos, lo comunicará inmediatamente al cliente.
5. Confidencialidad
Solo las personas de PRECURE que lo necesitan para gestionar y mantener el asistente tienen acceso a los datos. Están sujetas a confidencialidad por contrato o por ley, y su acceso se retira cuando deja de ser necesario. PRECURE solo consulta los datos del cliente cuando es necesario para corregir un fallo o cuando el cliente lo solicita.
6. Seguridad del tratamiento
PRECURE aplica las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD, en función del riesgo para los derechos de los trabajadores. Las medidas figuran en el anexo C.
PRECURE puede modificar las medidas, siempre que el nivel de seguridad no disminuya.
7. Subencargados
El cliente otorga a PRECURE una autorización general previa para recurrir a subencargados. Los subencargados utilizados al celebrar el contrato figuran en el anexo B y quedan autorizados.
PRECURE avisará al cliente por correo electrónico al menos 30 días antes de añadir o sustituir un subencargado. El cliente puede oponerse en ese plazo. Si las partes no llegan a un acuerdo, el cliente puede cancelar la suscripción con efecto desde el cambio y recuperar la parte proporcional del precio pagado por adelantado.
PRECURE impone a cada subencargado, mediante contrato escrito, las mismas obligaciones de protección de datos que este contrato. PRECURE sigue siendo responsable ante el cliente del cumplimiento de los subencargados.
8. Transferencias a terceros países
PRECURE solo transfiere datos personales fuera de la UE/EEE siguiendo las instrucciones del cliente, dadas con este contrato, y solo a los subencargados y países que figuran en el anexo B.
Las transferencias se basan en las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914) o en el Marco de Privacidad de Datos UE-EE. UU. cuando el subencargado está certificado en él, conforme al capítulo V del RGPD.
A EE. UU. solo se transfieren los datos que necesitan las funciones de IA: los puntos, las valoraciones, las descripciones, los totales y los comentarios sin nombres. Los nombres y las respuestas anónimas en bruto no salen de la UE.
9. Asistencia al responsable
PRECURE ayuda al cliente, en la medida de lo posible, a atender los derechos de los trabajadores conforme al capítulo III del RGPD, como el acceso, la rectificación y la supresión. El cliente puede ver, exportar y eliminar evaluaciones y respuestas en el propio asistente. Las respuestas sin nombre no pueden vincularse a un trabajador concreto, por lo que PRECURE tampoco puede localizar ni entregar las respuestas anónimas de un trabajador.
Si un trabajador dirige una solicitud directamente a PRECURE, PRECURE la remitirá al cliente sin dilación indebida.
PRECURE también ayuda al cliente con la seguridad del tratamiento, la notificación de violaciones, las evaluaciones de impacto y la consulta previa a la autoridad de control conforme a los artículos 32 a 36 del RGPD, con la información de que dispone. La ayuda que vaya más allá de lo que el asistente permite hacer se factura por el tiempo dedicado, según lo acordado.
10. Violaciones de la seguridad de los datos personales
PRECURE notificará al cliente sin dilación indebida y a más tardar 48 horas después de tener conocimiento de una violación de la seguridad que afecte a los datos del cliente. Así, el cliente tiene tiempo de notificarla a la autoridad de control en un plazo de 72 horas.
La notificación describe, en la medida de lo posible, la naturaleza de la violación, las categorías y el número aproximado de trabajadores y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas por PRECURE. La información que aún no se conozca se enviará más adelante.
11. Supresión y devolución
El cliente puede exportar y eliminar en cualquier momento sus evaluaciones y las respuestas de los trabajadores en el asistente.
Además, PRECURE elimina automáticamente:
- las respuestas de los trabajadores 12 meses después de cerrar la encuesta
- una evaluación con sus respuestas 4 años después de su último cambio
Cuando termina la suscripción, el cliente puede seguir viendo, exportando y eliminando sus evaluaciones hasta que se eliminen según los plazos anteriores. El cliente puede pedir que se elimine todo de inmediato escribiendo a mail@precure.dk. No se hacen copias de seguridad, por lo que los datos eliminados no pueden recuperarse (véase el anexo C).
PRECURE solo puede conservar los datos más tiempo si lo exige el derecho de la UE o el derecho danés.
12. Auditorías e inspecciones
PRECURE pone a disposición la información que el cliente necesita para comprobar el cumplimiento de este contrato y del artículo 28 del RGPD. Principalmente, PRECURE enviará, a petición y una vez al año, un informe escrito sobre las medidas de seguridad y los subencargados, con los propios informes de auditoría de estos (por ejemplo, ISO 27001 o SOC 2) cuando existan.
Además, el cliente o un auditor independiente sujeto a confidencialidad puede realizar una inspección en PRECURE con un preaviso mínimo de 30 días. El cliente asume sus propios costes y el tiempo dedicado por PRECURE, salvo que la inspección revele incumplimientos importantes del contrato.
La Agencia Danesa de Protección de Datos y otras autoridades tienen siempre acceso conforme a la ley.
13. Entrada en vigor, modificación y terminación
Este contrato entra en vigor cuando el cliente compra el asistente de evaluación de riesgos y se aplica mientras PRECURE trate datos personales por cuenta del cliente, también después de terminar la suscripción, hasta que los datos se eliminen conforme al apartado 11.
PRECURE puede modificar este contrato con un preaviso de 30 días por correo electrónico si el cambio se debe a nueva legislación, nuevas cláusulas contractuales tipo o cambios de subencargados conforme al apartado 7. Los demás cambios requieren la aceptación del cliente.
Este contrato se rige por el derecho danés. Los litigios se resolverán según las normas de jurisdicción de las condiciones de venta.
Anexo A: Información sobre el tratamiento
| Tema | Descripción |
|---|---|
| Finalidad | Permitir al cliente elaborar su evaluación de riesgos, recoger las valoraciones de los trabajadores sobre el entorno de trabajo y obtener propuestas para un plan de acción |
| Naturaleza del tratamiento | Recogida mediante enlace de encuesta, conservación, agregación (medianas, recuentos, distribución), visualización para el cliente, propuestas de IA sin nombres, exportación y supresión |
| Interesados | Los trabajadores del cliente que responden la encuesta; las personas mencionadas en las descripciones y el plan de acción del cliente |
| Datos ordinarios | Nombre y, opcionalmente, departamento en los riesgos físicos; valoraciones del 1 al 5; comentarios |
| Datos sensibles | Molestias musculoesqueléticas (datos de salud, artículo 9 del RGPD) y valoraciones del entorno psicosocial. Ambos se responden sin nombre ni otro identificador y solo se muestran como totales cuando han respondido al menos 3 |
| Duración | Mientras el cliente utilice el asistente, y hasta que los datos se eliminen conforme al apartado 11 |
Anexo B: Subencargados
| Subencargado | Tarea | Datos | Ubicación | Base de la transferencia |
|---|---|---|---|---|
| Microsoft Ireland Operations Ltd. (Azure) | Alojamiento del asistente y almacenamiento de evaluaciones y respuestas | Todos los datos del anexo A | UE (región europea de Azure) | Sin transferencia |
| Anthropic, PBC | Revisión con IA de los puntos propios del cliente y propuestas de plan de acción | Puntos, valoraciones, descripciones, totales y comentarios sin nombres | EE. UU. | Cláusulas contractuales tipo del contrato de encargo de Anthropic |
SendGrid y Stripe no figuran, porque solo tratan los datos de contacto y pago del cliente, de los que PRECURE es responsable.
Anexo C: Instrucciones y medidas de seguridad
Instrucciones. PRECURE trata los datos para prestar las funciones del asistente descritas en el anexo A y en las condiciones de venta, y según las opciones que el cliente elige en la herramienta.
Ubicación. Los datos se almacenan en Microsoft Azure en una región europea. Solo los datos indicados para Anthropic en el anexo B se envían a EE. UU.
Medidas de seguridad
- Acceso del cliente: inicio de sesión con un enlace de un solo uso enviado por correo; la sesión es una cookie firmada que solo puede leer el servidor (HttpOnly). No se guarda la dirección de correo, solo un hash con clave de ella.
- Acceso de los trabajadores: la encuesta se abre con un token largo y aleatorio. Los trabajadores no tienen cuenta y no pueden ver las respuestas de otros.
- Anonimato: las respuestas sin nombre se guardan en una tabla separada sin identificador de encuestado, token, dirección IP, datos del navegador ni hora más precisa que la fecha. Las filas se reescriben con cada nueva respuesta, de modo que las marcas de tiempo del almacenamiento no permiten distinguirlas. El cliente solo ve totales a partir de 3 respuestas, y las respuestas anónimas en bruto nunca salen del servidor.
- Cifrado: todo el tráfico por HTTPS; los datos se cifran en reposo en Azure.
- Minimización de datos frente a la IA: los nombres nunca se envían a la IA.
- Registros: no se registra el contenido de las solicitudes; solo los códigos de error.
- Acceso en PRECURE: solo las personas que gestionan el servicio, con cuentas personales y autenticación en dos pasos para Azure.
- Supresión: automática conforme al apartado 11, ejecutada a diario.
- Copias de seguridad: no se hacen copias de seguridad separadas. Microsoft Azure guarda tres copias de los datos en el mismo centro de datos de la UE (almacenamiento con redundancia local) para protegerlos frente a fallos de hardware. Las copias se eliminan al mismo tiempo que los propios datos. El cliente puede exportar sus evaluaciones en cualquier momento.