Acuerdo de Procesamiento de Datos

Este Acuerdo de Procesamiento de Datos (“DPA”) forma parte del Acuerdo de Cliente de Ponchealo entre Ponchealo y la empresa o entidad que utiliza el servicio (“Cliente”).

Este DPA regula el procesamiento de Datos Personales que el Cliente introduce, recopila o genera mediante Ponchealo en relación con sus empleados y otros usuarios autorizados.

Al aceptar el Acuerdo de Cliente de Ponchealo, el Cliente acepta también este DPA cuando resulte aplicable.

1. Partes y funciones

Para los Datos Personales de empleados y otros individuos que el Cliente administra mediante Ponchealo:

El Cliente actúa como la parte que determina los fines para los cuales se recopilan y utilizan dichos datos (“Responsable”).

Ponchealo procesa dichos datos principalmente por cuenta y bajo las instrucciones del Cliente para prestar el servicio (“Procesador”).

Estos términos se utilizan contractualmente para describir las responsabilidades de las partes y no pretenden imponer una clasificación legal que no corresponda bajo una ley particular.

Cada parte será responsable de cumplir las obligaciones que le correspondan bajo la ley aplicable.

2. Definiciones

Datos Personales

Información relacionada con una persona identificada o razonablemente identificable que sea procesada mediante Ponchealo.

Datos del Cliente

Información, contenido y Datos Personales que el Cliente introduce, recopila, administra o genera mediante su cuenta de Ponchealo.

Procesamiento

Cualquier operación realizada sobre Datos Personales, incluyendo recopilación, registro, almacenamiento, organización, consulta, modificación, transmisión, exportación o eliminación.

Usuario Autorizado

Propietario, administrador, empleado u otra persona a quien el Cliente permita utilizar Ponchealo.

Subprocesador

Proveedor externo utilizado por Ponchealo que procesa determinados Datos del Cliente para ayudar a prestar el servicio.

Incidente de Seguridad

Acceso, uso, divulgación, alteración, pérdida o destrucción no autorizada de Datos Personales que comprometa materialmente su confidencialidad, integridad o disponibilidad.

3. Duración

Este DPA entra en vigor cuando el Cliente acepta el Acuerdo de Cliente o comienza a utilizar Ponchealo para procesar Datos Personales, lo que ocurra primero.

Permanecerá vigente mientras Ponchealo procese Datos del Cliente sujeto a este DPA.

Determinadas obligaciones relacionadas con confidencialidad, seguridad, eliminación, responsabilidad y cumplimiento podrán sobrevivir a la terminación.

4. Objeto y naturaleza del procesamiento

Ponchealo procesará Datos del Cliente para proporcionar las funciones contratadas y configuradas por el Cliente.

Estas actividades pueden incluir:

• registrar entradas y salidas;
• calcular horas;
• identificar tardanzas, ausencias o registros incompletos;
• administrar horarios y turnos;
• administrar disponibilidad y días libres;
• generar reportes;
• administrar múltiples localidades;
• calcular información relacionada con nómina;
• mantener balances de vacaciones y enfermedad;
• registrar bonificaciones y deducciones;
• enviar comunicaciones transaccionales;
• registrar eventos mediante GPS;
• almacenar fotografías asociadas a ponches;
• mantener historial de cambios;
• realizar exportaciones;
• mantener seguridad y registros técnicos; y
• otras operaciones necesarias para prestar las funciones activadas por el Cliente.

5. Categorías de Datos Personales

Dependiendo del plan y las funciones activadas, Ponchealo puede procesar las siguientes categorías:

Identificación

• nombre;
• identificador interno;
• PIN o identificadores de autenticación relacionados con el servicio; y
• localidad o sucursal asignada.

Contacto

• correo electrónico; y
• otra información de contacto que el Cliente decida proporcionar.

Asistencia

• entradas;
• salidas;
• fechas;
• horas;
• tardanzas;
• ausencias;
• correcciones;
• registros incompletos; e
• historial de cambios.

Horarios

• turnos;
• horario regular;
• disponibilidad;
• días libres; y
• horas programadas.

Nómina y compensación

Cuando corresponda:

• tarifa o información de compensación;
• horas regulares;
• horas extraordinarias;
• períodos de nómina;
• retenciones;
• Seguro Social;
• Medicare;
• SINOT;
• Hacienda;
• bonificaciones;
• deducciones;
• vacaciones;
• enfermedad; y
• balances relacionados.

Ubicación

Cuando el Cliente active la función:

• coordenadas u otra información de ubicación asociada al evento de ponche;
• localidad;
• fecha;
• hora;
• dirección IP; e
• información técnica relacionada con el evento.

Fotografías

Cuando el Cliente active la función:

• fotografía o selfie asociada al evento de ponche; y
• metadatos necesarios para asociarla con el registro correspondiente.

La función actual no utiliza dichas fotografías para reconocimiento facial automatizado ni para generar plantillas biométricas.

Datos técnicos

• dirección IP;
• dispositivo;
• navegador;
• registros de acceso;
• actividad de seguridad;
• identificadores técnicos; y
• eventos necesarios para operar y proteger la plataforma.

6. Categorías de personas

Los Datos Personales procesados pueden corresponder a:

• empleados del Cliente;
• propietarios;
• administradores;
• supervisores;
• contratistas cuando el Cliente decida administrarlos mediante el servicio; y
• otros Usuarios Autorizados.

7. Instrucciones del Cliente

El Cliente instruye a Ponchealo a procesar los Datos del Cliente según:

• las funciones que active;
• la configuración de su cuenta;
• las acciones realizadas por sus Usuarios Autorizados;
• solicitudes de soporte autorizadas; y
• el Acuerdo de Cliente.

Ponchealo no utilizará Datos del Cliente para fines incompatibles con la prestación, mantenimiento, seguridad o funcionamiento del servicio, salvo:

• instrucción del Cliente;
• consentimiento válido cuando corresponda; u
• obligación legal.

Si Ponchealo determina razonablemente que una instrucción podría ser ilegal, podrá suspender dicha instrucción y solicitar aclaración antes de continuar.

8. Obligaciones del Cliente

El Cliente es responsable de:

• tener autoridad legal para recopilar y procesar los Datos Personales que introduce en Ponchealo;
• proporcionar los avisos requeridos a sus empleados;
• obtener los consentimientos o autorizaciones que sean necesarios;
• determinar qué funciones son apropiadas para su organización;
• configurar correctamente administradores y permisos;
• mantener información correcta y actualizada;
• cumplir obligaciones laborales y contributivas;
• utilizar GPS y fotografías de manera legal;
• proteger sus credenciales;
• atender solicitudes de sus empleados;
• mantener los registros laborales que legalmente deba conservar; y
• revisar los cálculos y reportes antes de utilizarlos para decisiones laborales o de pago.

Ponchealo no sustituye las obligaciones del Cliente como patrono.

9. Obligaciones de Ponchealo

Ponchealo se compromete a:

• procesar Datos del Cliente únicamente para prestar y proteger el servicio o conforme a instrucciones documentadas;
• limitar el acceso a las personas que razonablemente lo necesiten;
• mantener obligaciones apropiadas de confidencialidad;
• implementar medidas técnicas y organizativas razonables;
• utilizar Subprocesadores apropiados;
• asistir razonablemente al Cliente cuando corresponda en solicitudes relacionadas con Datos Personales;
• informar al Cliente de Incidentes de Seguridad que afecten materialmente sus Datos Personales cuando corresponda;
• permitir exportación de Datos del Cliente conforme al servicio; y
• eliminar o restringir Datos del Cliente después de la terminación conforme a este DPA.

10. Confidencialidad

Las personas que tengan acceso administrativo autorizado a Datos del Cliente deberán utilizar dichos datos únicamente para fines relacionados con:

• operación;
• mantenimiento;
• seguridad;
• soporte;
• cumplimiento legal; o
• instrucciones autorizadas del Cliente.

Ponchealo procurará aplicar el principio de acceso mínimo necesario.

11. Seguridad

Ponchealo implementará medidas técnicas y organizativas razonables y apropiadas para el tipo de servicio y datos procesados.

Estas medidas pueden incluir:

• cifrado de comunicaciones mediante HTTPS/TLS;
• protección de datos almacenados mediante las capacidades de seguridad de los proveedores de infraestructura;
• autenticación;
• controles de acceso;
• separación lógica entre cuentas;
• permisos basados en funciones;
• registros de eventos;
• medidas de detección de actividad sospechosa;
• copias de seguridad y recuperación;
• administración de credenciales;
• actualizaciones y mantenimiento de infraestructura; y
• procedimientos de respuesta a incidentes.

Las medidas específicas podrán evolucionar para responder a cambios tecnológicos, de seguridad o infraestructura.

Ponchealo no estará obligado a divulgar públicamente información que razonablemente pueda comprometer la seguridad del servicio.

12. Seguridad del Cliente

El Cliente reconoce que la seguridad también depende de sus propias prácticas.

El Cliente deberá:

• proteger credenciales administrativas;
• limitar administradores;
• eliminar usuarios que ya no requieran acceso;
• proteger dispositivos utilizados como kiosco;
• proteger PIN y métodos de autenticación;
• mantener sus dispositivos y navegadores razonablemente actualizados; y
• notificar a Ponchealo de actividad sospechosa relacionada con su cuenta.

13. Subprocesadores autorizados

El Cliente autoriza a Ponchealo a utilizar los Subprocesadores razonablemente necesarios para operar el servicio.

A la fecha de esta versión, los principales Subprocesadores incluyen:

Stripe puede actuar directamente bajo sus propios términos respecto a determinada información de pago.

Ponchealo podrá añadir, sustituir o remover Subprocesadores a medida que cambie la infraestructura.

Cuando un nuevo Subprocesador vaya a procesar materialmente Datos del Cliente de una manera diferente, Ponchealo procurará proporcionar aviso razonable mediante:

• correo electrónico;
• actualización de la lista publicada;
• aviso dentro de la plataforma; u
• otro método razonable.

Ponchealo procurará utilizar proveedores que mantengan medidas razonables de seguridad y protección de datos.

14. Solicitudes de empleados y otros individuos

El Cliente es normalmente el punto principal de contacto para solicitudes de sus empleados relacionadas con Datos del Cliente.

Si Ponchealo recibe directamente una solicitud relacionada con información controlada por un Cliente, podrá:

• verificar la identidad o información básica del solicitante;
• identificar al Cliente correspondiente; y
• remitir la solicitud al Cliente.

Ponchealo asistirá razonablemente al Cliente cuando sea técnicamente posible y legalmente requerido.

Nada en esta sección impedirá que Ponchealo responda directamente cuando tenga una obligación legal propia.

15. GPS y fotografías

El Cliente reconoce que GPS y fotografía son funciones opcionales que decide habilitar.

El Cliente será responsable de:

• determinar si puede utilizarlas legalmente;
• informar a sus empleados;
• obtener cualquier consentimiento necesario;
• establecer políticas internas apropiadas;
• limitar el acceso;
• determinar cómo utilizar dicha evidencia; y
• tomar cualquier decisión laboral resultante.

Ponchealo procesará dicha información únicamente para operar las funciones activadas y los fines relacionados con la prestación y protección del servicio.

El GPS actualmente se asocia a eventos de ponche y no está diseñado para seguimiento continuo de la ubicación del empleado fuera de dichos eventos.

16. Información y cálculos de nómina

Ponchealo podrá procesar información relacionada con compensación, horas y retenciones cuando el Cliente utilice dichas funciones.

El Cliente reconoce que Ponchealo proporciona una herramienta de cálculo y administración.

Salvo que se ofrezca expresamente un servicio diferente bajo términos adicionales, Ponchealo no:

• actúa como patrono;
• actúa como CPA;
• actúa como contador del Cliente;
• radica planillas de nómina;
• remite contribuciones;
• paga empleados;
• debita fondos para nómina; ni
• sustituye la revisión profesional del Cliente.

El Cliente será responsable de verificar la información y configuración antes de utilizar los resultados.

17. Incidentes de Seguridad

Si Ponchealo determina que ocurrió un Incidente de Seguridad que afecta materialmente Datos Personales del Cliente, notificará al Cliente afectado sin demora indebida.

La notificación podrá incluir, según la información disponible:

• descripción general del incidente;
• tipo de información afectada;
• fecha o período aproximado;
• medidas adoptadas;
• recomendaciones razonables para el Cliente; e
• información adicional requerida por ley.

La información podrá suministrarse en etapas si no está completamente disponible al momento de la primera notificación.

Cada parte será responsable de realizar las notificaciones a individuos, agencias gubernamentales u otras entidades que legalmente le correspondan.

Ponchealo cooperará razonablemente proporcionando la información disponible necesaria para que el Cliente pueda cumplir sus propias obligaciones.

Nada en este DPA limita las obligaciones no renunciables de Ponchealo bajo la ley aplicable, incluyendo la Ley Núm. 111-2005 de Puerto Rico, según enmendada, cuando resulte aplicable.

18. Requerimientos gubernamentales

Si Ponchealo recibe una orden judicial, citación u otro requerimiento legal válido relacionado con Datos del Cliente, podrá proporcionar la información legalmente requerida.

Cuando la ley lo permita y sea razonablemente posible, Ponchealo podrá notificar al Cliente antes de divulgar la información.

Ponchealo procurará limitar cualquier divulgación al alcance requerido por la solicitud legal válida.

19. Retención y eliminación

Mientras la cuenta esté activa, Ponchealo conservará Datos del Cliente según sea necesario para prestar el servicio.

Tras la terminación:

• los Datos del Cliente podrán permanecer disponibles para exportación durante treinta (30) días;
• después de ese período podrán eliminarse de los sistemas activos;
• determinada información puede permanecer temporalmente en copias de seguridad hasta que complete su ciclo normal de retención; y
• ciertos registros podrán conservarse cuando exista obligación legal, seguridad, prevención de fraude, facturación o necesidad de documentar la relación contractual.

Los datos conservados exclusivamente en respaldos no serán utilizados activamente para otros fines.

Si un respaldo se restaurara por motivos de continuidad o recuperación, Ponchealo aplicará nuevamente las políticas de eliminación correspondientes cuando sea razonablemente posible.

20. Exportación

Las funciones disponibles pueden permitir al Cliente exportar información mediante formatos como PDF, CSV u otros formatos soportados.

El Cliente es responsable de realizar las exportaciones necesarias antes de finalizar el período de disponibilidad posterior a la cancelación.

Ponchealo no estará obligado a crear formatos personalizados de exportación salvo acuerdo escrito separado.

21. Auditorías y evidencia de cumplimiento

A solicitud razonable de un Cliente, Ponchealo podrá proporcionar información disponible destinada a demostrar el cumplimiento de este DPA.

Esto puede incluir:

• descripción general de controles;
• información sobre Subprocesadores;
• políticas relevantes; o
• respuestas razonables a cuestionarios de seguridad.

Una auditoría técnica o presencial solamente se realizará cuando:

• sea legalmente requerida;
• exista una razón material relacionada con un incidente;
• las partes la acuerden previamente; o
• Ponchealo determine que es razonablemente apropiada.

Las auditorías no darán derecho al Cliente a:

• acceder a información de otros clientes;
• obtener código fuente;
• recibir credenciales;
• acceder a sistemas de producción sin autorización;
• obtener secretos comerciales; o
• recibir información cuya divulgación pueda comprometer la seguridad.

Salvo que la ley disponga lo contrario, el Cliente asumirá los costos de auditorías solicitadas por él.

22. Procesamiento y almacenamiento

Ponchealo opera desde Puerto Rico y utiliza proveedores tecnológicos que procesan y almacenan información principalmente en Estados Unidos.

El Cliente autoriza dicho procesamiento como parte de la prestación del servicio.

Si en el futuro Ponchealo decide ofrecer formalmente servicios sujetos a requisitos específicos de otras jurisdicciones internacionales, podrán establecerse términos adicionales.

23. Propiedad de los datos

El Cliente conserva los derechos que le correspondan sobre sus Datos del Cliente.

Este DPA no transfiere a Ponchealo propiedad sobre los expedientes de empleados del Cliente.

Ponchealo recibe únicamente los derechos necesarios para:

• procesar;
• almacenar;
• transmitir;
• respaldar;
• mostrar;
• proteger; y
• manejar técnicamente dichos datos para proporcionar el servicio.

Ponchealo no venderá expedientes individuales de empleados ni Datos del Cliente a terceros para publicidad dirigida.

24. Responsabilidad

La responsabilidad de las partes bajo este DPA estará sujeta a las limitaciones y demás disposiciones del Acuerdo de Cliente, excepto cuando la ley aplicable prohíba dicha limitación.

Nada en este DPA limita una obligación legal que no pueda renunciarse contractualmente.

25. Conflictos entre documentos

En caso de conflicto respecto al procesamiento de Datos Personales de empleados:

• prevalecerá este DPA respecto al procesamiento de dichos datos;
• luego aplicará el Acuerdo de Cliente; y
• la Política de Privacidad proporcionará información adicional sobre las prácticas generales de privacidad de Ponchealo.

Términos específicos de una función podrán prevalecer únicamente respecto a esa función cuando así se indique expresamente.

26. Terminación

Este DPA terminará cuando Ponchealo deje de procesar Datos del Cliente sujeto al Acuerdo.

Las obligaciones que por su naturaleza deban continuar, incluyendo confidencialidad, seguridad, eliminación y responsabilidades relacionadas con incidentes ocurridos durante el período de procesamiento, continuarán vigentes.

27. Ley aplicable

Este DPA se regirá por la misma ley y mecanismo de resolución de disputas establecidos en el Acuerdo de Cliente de Ponchealo.

28. Contacto

Para preguntas relacionadas con este DPA o con el procesamiento de Datos Personales:

Ponchealo LLC
Hormigueros, Puerto Rico
Correo electrónico: ponchealopr@gmail.com