Acuerdo adicional de tratamiento de datos

Partes. «Cliente»: la organización identificada en el Formulario de Pedido (responsable del tratamiento). «SkillCort»: SkillCort LLC, 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA (encargado del tratamiento). Este acuerdo adicional de tratamiento de datos («DPA») se incorpora al contrato entre el Cliente y SkillCort y surte efecto en la fecha de entrada en vigor del Contrato.

1. Objeto, duración, naturaleza y finalidad

SkillCort trata datos personales por cuenta del Cliente para prestar la plataforma de evaluación de SkillCort: entregar evaluaciones a los candidatos, capturar respuestas y producciones de prueba de trabajo, la supervisión opcional que configure el Cliente, la evaluación y los informes. El tratamiento dura lo que dure el Contrato más el plazo de supresión de la sección 8.

2. Categorías de interesados y de datos personales

• Interesados: candidatos y participantes invitados por el Cliente; usuarios del personal del Cliente.
• Datos personales: datos de identidad y de contacto (nombre, correo electrónico); respuestas de la evaluación, archivos subidos y producciones de prueba de trabajo; datos técnicos (dirección IP, navegador y dispositivo, marcas de tiempo); resultados de la evaluación y registros de decisión; cuando el Cliente los active, datos de supervisión (fotos o vídeo de cámara, capturas o grabaciones de pantalla, eventos conductuales de integridad).
• Categorías especiales: no se solicita ninguna; las evaluaciones no deben diseñarse para obtener datos de categorías especiales (Condiciones §5). Cuando el Cliente active la revisión de identidad, el selfi de la sesión del candidato, la imagen de su documento de identidad y cualquier foto de referencia opcional aportada por la organización se tratan para su revisión comparada por una persona autorizada, con el consentimiento explícito y separado del candidato. No se realiza ninguna comparación facial automática, ninguna búsqueda en galería ni ninguna comparación entre candidatos, no se almacena ninguna plantilla biométrica facial y un revisor identificado por su nombre registra la decisión de identidad. El Cliente reconoce que las grabaciones de cámara y micrófono contienen la imagen y la voz de una persona y valorará los requisitos sobre categorías especiales en su jurisdicción.

3. Instrucciones documentadas

SkillCort trata los datos personales únicamente siguiendo las instrucciones documentadas del Cliente (el Contrato, este DPA y la configuración del Cliente en la plataforma, incluidas las funciones de supervisión activadas y el plazo de retención de la supervisión), salvo que la ley lo exija; en ese caso, SkillCort informa al Cliente antes del tratamiento, salvo que la ley lo prohíba. SkillCort informará al Cliente si, en su opinión, una instrucción infringe la normativa de protección de datos aplicable.

4. Confidencialidad y personal

Las personas autorizadas a tratar datos personales están sujetas a obligaciones de confidencialidad y acceden a los datos según criterios de necesidad de conocer, de mínimo privilegio y basados en el rol.

5. Seguridad (art. 32)

SkillCort aplica medidas técnicas y organizativas apropiadas, entre ellas: cifrado en tránsito y en reposo; separación de inquilinos; controles de acceso basados en roles; almacenamiento privado (no público) para los medios de supervisión; copias de seguridad diarias; historial de auditoría que solo admite adiciones para puntuaciones y decisiones; supresión automática de los medios de supervisión y de los eventos de señal de integridad al final del plazo de retención de medios configurado. Las decisiones de revisión de identidad que no son medios y los detalles de auditoría siguen el plazo aparte de los datos de evaluación. Hay disponible una descripción actualizada de las medidas en skillcort.com/trust.

6. Subencargados

El Cliente otorga una autorización general a los subencargados enumerados en skillcort.com/legal/subprocessors (Anexo 1). SkillCort notificará al Cliente las incorporaciones o sustituciones previstas con al menos 30 días de antelación; el Cliente puede oponerse por motivos razonables de protección de datos, en cuyo caso las partes buscarán una solución y, de no hallarse ninguna, el Cliente podrá resolver el servicio afectado. SkillCort impone a los subencargados obligaciones de protección de datos no menos protectoras que las de este DPA y sigue respondiendo de su cumplimiento.

SkillCort realiza una revisión documentada de cada subencargado sustancial al menos una vez cada doce (12) meses y tras cualquier cambio sustancial, incidente de seguridad confirmado u otro hecho que afecte razonablemente al perfil de riesgo de protección de datos del subencargado; el registro de la revisión vigente se conserva en el registro de cumplimiento de proveedores de SkillCort.

7. Transferencias internacionales

Los datos de la plataforma se alojan en la UE (Fráncfort). SkillCort (una entidad estadounidense) puede acceder a ellos desde EE. UU. para el funcionamiento del servicio, y el correo transaccional se trata en EE. UU. Las transferencias se realizan al amparo de: (a) para los datos de la UE/EEE, las Cláusulas Contractuales Tipo (Módulo Dos: responsable → encargado, y Módulo Tres cuando proceda), que las partes acuerdan que forman parte de este DPA, respaldadas por una evaluación de impacto de la transferencia y medidas complementarias; (b) para los datos sujetos a la legislación turca, el contrato tipo publicado por la autoridad turca de protección de datos personales al amparo del art. 9 de la Ley n.º 6698, suscrito por las partes junto con el Formulario de Pedido para el tratamiento relativo a Türkiye y notificado a la Autoridad en el plazo de cinco días hábiles.

8. Supresión y devolución

Tras la resolución o el vencimiento, los Datos del Cliente pueden permanecer disponibles hasta 30 días para que el Cliente complete su exportación. Al final de ese plazo, SkillCort suprime los datos de los sistemas de producción activos; las copias residuales en las copias de seguridad cifradas se suprimen o se sobrescriben a lo largo del ciclo ordinario de copias de seguridad en un máximo de 90 días. Quedan excluidos los registros exigidos por la normativa aplicable y los registros estrictamente necesarios para la formulación, el ejercicio o la defensa de reclamaciones. Los registros de seguridad, de acceso y de auditoría se rigen por los plazos de conservación de la Política de privacidad, al margen de las copias de seguridad. Los medios de supervisión —incluidos los medios de captura de identidad y las versiones de foto de referencia usadas en la revisión— y los eventos de señal de integridad se suprimen automáticamente al final del plazo de retención de medios configurado por el Cliente (90 días por defecto), con independencia del estado del contrato. El Cliente también puede provocar dentro del producto un borrado anticipado de los medios y de los eventos de señal de integridad asociados a un intento. Las decisiones de revisión de identidad que no son medios, los datos del revisor identificado por su nombre, las notas y las referencias a medios suprimidos siguen el plazo aparte de retención de los datos de evaluación.

9. Asistencia

Teniendo en cuenta la naturaleza del tratamiento, SkillCort asiste al Cliente con medidas técnicas y organizativas apropiadas para responder a las solicitudes de los interesados (arts. 12 a 23 del GDPR; art. 11 de la KVKK) y para cumplir las obligaciones del Cliente derivadas de los arts. 32 a 36 del GDPR (seguridad, notificación de brechas, evaluaciones de impacto y consulta previa). Las solicitudes de interesados que reciba directamente SkillCort se remiten al Cliente sin dilación indebida.

10. Violación de la seguridad de los datos personales

SkillCort notifica al Cliente sin dilación indebida desde que tiene conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Cliente, y facilita la información razonablemente necesaria para las obligaciones de notificación del Cliente (arts. 33 y 34 del GDPR; art. 12(5) de la KVKK).

11. Auditorías

SkillCort pone a disposición la información necesaria para demostrar el cumplimiento de este DPA y permite y contribuye a las auditorías, incluidas las inspecciones, realizadas por el Cliente o por el auditor que este designe. El Cliente puede ejercer sus derechos de auditoría no más de una vez en cada período de doce (12) meses, salvo tras una violación confirmada de la seguridad de los datos personales, una solicitud de una autoridad de control competente o la existencia de indicios razonables de un incumplimiento sustancial de este DPA. Las auditorías requieren un preaviso por escrito de al menos 30 días, están sujetas a compromisos de confidencialidad, deben realizarse de modo que se reduzca al mínimo la perturbación de las operaciones de SkillCort y nunca incluyen el acceso a los datos de otros clientes. Las partes recurrirán primero a los informes de auditoría independientes existentes y a la documentación de seguridad publicada por SkillCort cuando cubran razonablemente el alcance; los costes de las solicitudes de auditoría excesivas o a medida que excedan esa base corren a cargo del Cliente.

12. Responsabilidad y orden de prelación

La responsabilidad se rige por el Contrato. En caso de conflicto entre el Contrato y este DPA en lo relativo al tratamiento de datos personales, prevalece este DPA; las CCT y los contratos tipo suscritos prevalecen sobre ambos en la medida del conflicto.

Anexo de KVKK

Cuando el Cliente esté establecido en Türkiye o los candidatos se encuentren en Türkiye, las partes suscriben además el contrato tipo turco de protección de datos (relación de encargo) y lo presentan ante la Autoridad en el plazo de cinco días hábiles. El deber de aydınlatma (aviso informativo) frente a los candidatos corresponde al Cliente como responsable del tratamiento, mediante su propio aviso o la plantilla que facilita SkillCort.

Para suscribir este DPA en nombre de su organización, o para obtener copias firmadas y la documentación de transferencias: privacy@skillcort.com.