Términos del servicio

1. El servicio

HRpotamia es una plataforma de recursos humanos en la nube: selección de candidatos, expedientes de empleados, almacenamiento de documentos y documentos de identidad con control de vencimientos, incorporación, control horario y de asistencia, fichaje remoto, fichaje mediante llaves de acceso (passkeys), una aplicación para empleados y funciones opcionales asistidas por inteligencia artificial. Cada Cliente dispone de un espacio de trabajo independiente. Podemos mejorar, añadir o retirar funciones, con un preaviso razonable cuando un cambio reduzca sustancialmente funcionalidades por las que usted paga.

2. Cuentas y usuarios

La persona que crea el espacio de trabajo confirma que está autorizada para obligar al Cliente. El Cliente decide quién recibe una cuenta, asigna los roles (administrador o empleado) y es responsable de sus usuarios, de mantener la confidencialidad de las credenciales y de retirar el acceso sin demora cuando las personas dejen la organización. Las cuentas son individuales y no deben compartirse. Usted debe comunicarnos sin dilación, en la dirección de contacto indicada más abajo, cualquier sospecha de acceso no autorizado.

3. Periodo de prueba, planes y pago

Los nuevos espacios de trabajo comienzan con un periodo de prueba gratuito de catorce días. Al finalizar el periodo de prueba, el espacio de trabajo pasa a ser de solo lectura (los datos siguen siendo visibles y exportables) hasta que se active un plan. Los planes se diferencian por el número de cuentas activas; todos los planes incluyen todos los módulos. Las tarifas, la moneda, la facturación y las condiciones de pago se establecen en el formulario de pedido o en la factura. Las tarifas no incluyen impuestos, que el Cliente abonará cuando proceda. Los importes impagados podrán dar lugar a la suspensión del servicio tras un preaviso por escrito de catorce días. Podemos modificar los precios con un preaviso mínimo de treinta días antes de una renovación.

4. Datos del Cliente y titularidad

El Cliente es titular de todos los datos que él y sus usuarios introducen en el servicio, incluidos los datos personales de sus empleados y candidatos (los "Datos del Cliente"). No reclamamos ningún derecho sobre ellos más allá de lo necesario para prestar, proteger y dar soporte al servicio según lo descrito en estos Términos y en la Política de privacidad. El Cliente es el responsable del tratamiento de los datos personales contenidos en los Datos del Cliente y nosotros actuamos como su encargado del tratamiento conforme al Acuerdo de Tratamiento de Datos (DPA) de la Sección 12. El Cliente es responsable de contar con una base jurídica y de facilitar a sus empleados y candidatos la información exigida por la ley, incluida la relativa a los datos de ubicación recogidos en el fichaje y al fichaje mediante llaves de acceso.

5. Uso aceptable

Usted no debe: utilizar el servicio con fines ilícitos o discriminatorios; cargar software malicioso o contenidos que infrinjan derechos de terceros; intentar acceder a otros espacios de trabajo o realizar pruebas de seguridad sin nuestro permiso por escrito; revender el servicio o comercializarlo bajo marca blanca sin un acuerdo; utilizarlo para vigilar a personas de formas prohibidas por la ley que le sea aplicable; ni utilizar las funciones de inteligencia artificial para adoptar decisiones que produzcan efectos jurídicos o efectos similarmente significativos sobre una persona sin una revisión humana efectiva. Podemos suspender un espacio de trabajo que incumpla esta sección previa notificación, o de forma inmediata cuando exista un riesgo para la seguridad.

6. Funciones asistidas por inteligencia artificial

El asistente, la lectura de documentos y el resumen diario son generados por un modelo de lenguaje de gran tamaño a partir de los datos de su espacio de trabajo. Los resultados pueden ser erróneos o incompletos; son sugerencias y borradores que debe revisar una persona, no asesoramiento ni decisiones automatizadas. El modelo solo recibe los datos que el usuario solicitante tiene permitido ver. Los proveedores de inteligencia artificial actúan como nuestros subencargados del tratamiento conforme a la Sección 12 y no utilizan los Datos del Cliente para entrenar sus modelos. Usted puede solicitarnos que desactivemos las funciones de inteligencia artificial para su espacio de trabajo.

7. Seguridad

Protegemos el servicio con medidas adecuadas para datos de recursos humanos, descritas en el Anexo 2 del Acuerdo de Tratamiento de Datos: cifrado en tránsito, espacios de trabajo aislados y verificados en cada solicitud, hash de contraseñas con sal, controles de sesión, bloqueo tras fallos reiterados, acceso basado en roles, registro de auditoría y recuperación de la base de datos a un momento determinado. El Cliente debe mantener seguros sus propios dispositivos, redes y cuentas y configurar los roles de forma adecuada.

8. Disponibilidad y soporte

El servicio funciona sobre la red global de Cloudflare y procuramos una alta disponibilidad, pero no garantizamos un servicio ininterrumpido salvo que se acuerde por escrito un acuerdo de nivel de servicio. El mantenimiento programado se anuncia con antelación cuando sea factible. El soporte se presta por correo electrónico en la dirección de contacto indicada más abajo durante el horario laboral, con esfuerzos razonables para responder en el plazo de un día hábil.

9. Propiedad intelectual

HRpotamia, su software, diseño, documentación y marcas pertenecen a HRpotamia y a sus licenciantes. El Cliente recibe un derecho limitado, no exclusivo e intransferible de uso del servicio para su actividad empresarial interna durante la suscripción. Los comentarios que usted nos facilite podrán utilizarse para mejorar el servicio sin obligación alguna.

10. Duración, suspensión y resolución

Las suscripciones tienen la duración indicada en el formulario de pedido y se renuevan salvo que cualquiera de las partes notifique lo contrario antes de la fecha de renovación. Cualquiera de las partes podrá resolver el contrato por un incumplimiento sustancial que no se subsane en el plazo de treinta días desde la notificación por escrito. El Cliente puede eliminar su espacio de trabajo en cualquier momento desde la configuración del espacio de trabajo, lo que elimina de forma permanente sus registros, archivos y cuentas; descargue primero una copia de seguridad. A la resolución, ponemos los Datos del Cliente a disposición para su exportación durante treinta días, transcurridos los cuales los eliminamos según lo descrito en la Política de privacidad.

11. Garantías, limitación de responsabilidad e indemnización

Garantizamos que el servicio funcionará sustancialmente según lo descrito. Salvo lo indicado, el servicio se presta "tal cual" y excluimos las garantías implícitas en la medida en que lo permita la ley. Ninguna de las partes será responsable de daños indirectos, consecuenciales, especiales o punitivos, ni de la pérdida de beneficios, ingresos o fondo de comercio. La responsabilidad total de cada parte en virtud de estos Términos en cualquier periodo de doce meses se limita a las tarifas pagadas o pagaderas por el Cliente correspondientes a dicho periodo. Estas limitaciones no se aplican a la muerte o lesiones personales causadas por negligencia, al fraude, al incumplimiento de la confidencialidad ni a las responsabilidades que no puedan limitarse por ley. El Cliente nos indemnizará frente a las reclamaciones derivadas de los Datos del Cliente o del incumplimiento de la Sección 5 por parte de sus usuarios.

12. Acuerdo de Tratamiento de Datos (DPA)

Esta sección constituye el acuerdo de tratamiento de datos entre el Cliente (responsable del tratamiento) y nosotros (encargado del tratamiento) respecto de los datos personales contenidos en los Datos del Cliente, y tiene por objeto cumplir el artículo 28 del Reglamento General de Protección de Datos (RGPD) de la UE y del Reino Unido y los requisitos equivalentes de otras leyes de protección de datos aplicables al Cliente.

12.1 Objeto y duración: tratamiento de datos personales de empleados, candidatos y usuarios para prestar el servicio, durante la vigencia de la suscripción más los periodos de exportación y supresión. Naturaleza y finalidad: alojamiento, almacenamiento, recuperación, visualización, cálculo (resultados de asistencia, puntuación de cumplimiento), funciones asistidas por inteligencia artificial a elección del Cliente, copias de seguridad y soporte. Categorías de interesados: empleados, candidatos, contratistas y usuarios del Cliente. Categorías de datos: datos identificativos y de contacto, datos laborales, documentos de identidad con sus números y fechas de vencimiento, contactos de emergencia, registros de asistencia y de solicitudes, ubicación del dispositivo en el momento del fichaje, credenciales públicas de llaves de acceso y datos de auditoría.

12.2 Nuestras obligaciones: tratamos los datos personales únicamente siguiendo las instrucciones documentadas del Cliente (estos Términos, las funciones del servicio y el uso que el Cliente haga de ellas), salvo que la ley exija otra cosa, en cuyo caso informaremos al Cliente antes del tratamiento cuando esté permitido; garantizamos que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad; aplicamos las medidas del Anexo 2; asistimos al Cliente en la atención de las solicitudes de los interesados y en el cumplimiento de sus obligaciones en materia de seguridad, notificación de violaciones y evaluaciones de impacto, teniendo en cuenta la naturaleza del tratamiento; suprimimos o devolvemos los datos personales al finalizar el servicio; y ponemos a disposición la información necesaria para demostrar el cumplimiento y permitimos auditorías, con un preaviso razonable, no más de una vez al año salvo que lo exija una autoridad de control, a cargo del Cliente.

12.3 Subencargados: el Cliente autoriza a los subencargados del tratamiento enumerados en el Anexo 1. Informaremos al Cliente de los cambios previstos con al menos treinta días de antelación, y el Cliente podrá oponerse por motivos razonables relacionados con la protección de datos; si no podemos resolver la oposición, el Cliente podrá resolver el contrato respecto del servicio afectado. Seguimos siendo responsables de nuestros subencargados.

12.4 Transferencias internacionales: los datos se tratan en la infraestructura de Cloudflare, con los almacenes de datos principales en una región europea y distribución global en el perímetro de red (edge), y por proveedores de inteligencia artificial y de correo electrónico en Estados Unidos cuando se utilizan esas funciones. Cuando se transfieren datos personales de interesados de la UE, el Reino Unido o Suiza fuera de dichos territorios, nos basamos en las cláusulas contractuales tipo de la Comisión Europea (2021/914, módulos dos y tres, según corresponda), en el Anexo de Transferencia Internacional de Datos del Reino Unido (UK International Data Transfer Addendum) y en los compromisos correspondientes de nuestros subencargados. El Cliente es responsable de cualquier requisito de transferencia conforme a su propia legislación nacional (por ejemplo, una evaluación de la transferencia o un registro) y cooperaremos de forma razonable.

12.5 Violación de la seguridad de los datos personales: notificamos al Cliente sin dilación indebida y, en cualquier caso, en un plazo de setenta y dos horas desde que tengamos conocimiento de una violación que afecte a los Datos del Cliente, con la información disponible en ese momento, y mantenemos informado al Cliente a medida que avance la investigación.

12.6 Supresión: a la resolución, el Cliente podrá exportar los Datos del Cliente durante treinta días; a continuación, los suprimimos del servicio activo en un plazo de treinta días y de las copias de seguridad dentro del periodo de conservación del proveedor indicado en la Política de privacidad, salvo que la ley exija una conservación más prolongada.

12.7 Prelación: en caso de conflicto entre esta Sección 12 y el resto de estos Términos en relación con los datos personales, prevalecerá esta Sección. El Cliente puede solicitar una copia firmada de este Acuerdo, incluidas las cláusulas contractuales tipo, en la dirección de contacto indicada más abajo.

13. Confidencialidad

Cada parte mantiene la confidencialidad de la información no pública de la otra, la utiliza únicamente para los fines de estos Términos y la protege con, al menos, una diligencia razonable, durante la vigencia y los cinco años siguientes. Esto no se aplica a la información que sea pública, ya conocida, desarrollada de forma independiente o cuya divulgación exija la ley, en cuyo caso la parte que la divulgue lo notificará cuando esté permitido.

14. Ley aplicable y resolución de controversias

Estos Términos se rigen por las leyes de Inglaterra y Gales, sin tener en cuenta las normas sobre conflicto de leyes y con exclusión de la Convención de las Naciones Unidas sobre los Contratos de Compraventa Internacional de Mercaderías. Las partes intentarán primero resolver de buena fe cualquier controversia entre representantes de alto nivel en un plazo de treinta días. Toda controversia que no se resuelva de ese modo se resolverá definitivamente mediante arbitraje conforme al Reglamento de la Corte de Arbitraje Internacional de Londres (London Court of International Arbitration, LCIA), con sede en Londres, en inglés, ante un árbitro único. Cualquiera de las partes podrá solicitar medidas cautelares ante cualquier tribunal competente para proteger su propiedad intelectual o su información confidencial. Nada de lo dispuesto en esta sección priva al Cliente de las protecciones imperativas que le otorgue la ley de su país y que no puedan excluirse por contrato.

15. Disposiciones generales

Podemos actualizar estos Términos; los cambios sustanciales se notifican a los administradores del espacio de trabajo con al menos treinta días de antelación a su entrada en vigor, y el uso continuado después de esa fecha supone su aceptación. Ninguna de las partes será responsable de los retrasos causados por acontecimientos que escapen a su control razonable (fuerza mayor). Estos Términos, el formulario de pedido y la Política de privacidad constituyen el acuerdo íntegro. Si alguna disposición resultara inaplicable, el resto seguirá en vigor. Las notificaciones dirigidas a nosotros se envían a la dirección de contacto indicada más abajo; las dirigidas al Cliente, a las direcciones de correo electrónico de sus administradores. El Cliente no podrá ceder estos Términos sin nuestro consentimiento, salvo a un sucesor de su negocio.

16. Contacto

HRpotamia, Erbil, Kurdistan Region, Iraq. Correo electrónico: contact.hr@examopotamia.com.

Anexo 1: Subencargados del tratamiento

Cloudflare, Inc. (Estados Unidos, con infraestructura global): alojamiento, base de datos, almacenamiento de archivos, distribución de contenidos, protección contra bots y envío de correo electrónico. Ubicación de los datos: base de datos principal y archivos en la región europea de Cloudflare; procesamiento en el perímetro de red (edge) en todo el mundo.

Anthropic, PBC (Estados Unidos): el asistente de inteligencia artificial, la lectura de documentos y el resumen diario, únicamente cuando el Cliente utiliza esas funciones. Los datos de entrada son los datos que el usuario solicitante puede ver. Anthropic no utiliza los datos de la API para entrenar sus modelos y los conserva únicamente durante el periodo limitado indicado en sus condiciones comerciales.

Resend, Inc. (Estados Unidos): envío de correo electrónico transaccional, únicamente si está configurado como proveedor de correo electrónico.

Anexo 2: Medidas técnicas y organizativas

Control de acceso: espacios de trabajo separados, con cada solicitud verificada frente al espacio de trabajo y al rol del usuario; roles de administrador y de empleado; ámbito de los responsables de equipo limitado a sus subordinados directos; sin consultas entre espacios de trabajo.

Autenticación: hash de contraseñas PBKDF2 con sal, longitud mínima de contraseña, bloqueo tras fallos reiterados, cookies de sesión HttpOnly y Secure, caducidad de las sesiones a los treinta días o a los catorce días sin uso, cierre de sesión en todos los dispositivos al cambiar la contraseña y protección contra bots en el registro.

Transmisión y almacenamiento: TLS en todas las conexiones, HSTS y política de seguridad de contenidos; datos almacenados en Cloudflare D1 y R2 con cifrado en reposo gestionado por el proveedor; recuperación de la base de datos a un momento determinado; comprobación del tipo y del contenido de los archivos al cargarlos; acceso a archivos privados solo para roles de recursos humanos.

Integridad: fichajes de asistencia sellados por el servidor, desafíos de llaves de acceso de un solo uso, comprobación del contador de las llaves de acceso frente a credenciales clonadas, validación en el servidor de las escrituras de los empleados y registro de auditoría inalterable de los cambios, conservado hasta cuatrocientos días.

Operaciones: secretos guardados en el almacén de secretos de la plataforma, no en el código; actualización de dependencias; registros sin contraseñas ni direcciones de red sin procesar (las direcciones se almacenan como hashes con sal); acceso del personal al entorno de producción limitado a ingenieros designados en función de la necesidad y registrado.

Ciclo de vida de los datos: exportación de todos los registros por parte del Cliente en cualquier momento; la eliminación de un espacio de trabajo elimina los registros, archivos y cuentas; los datos de ejemplo están marcados y pueden eliminarse en un solo paso.