Contrato de Encargado de Tratamiento
Este anexo se aplica automáticamente a toda empresa que contrata TimeFlow y trata datos personales sujetos al RGPD. No hay que firmarlo aparte: forma parte del contrato desde que contratas. Si tu departamento legal necesita una copia firmada, escríbenos y te la enviamos.
1. Las partes y sus papeles
Responsable: tu empresa, la que contrata TimeFlow. Decide qué datos se registran, de quién y para qué.
Encargado: NUXO Labs LLC, que trata esos datos por cuenta del responsable y siguiendo sus instrucciones.
2. Objeto, duración y naturaleza
El objeto es prestar TimeFlow: registrar horas de trabajo, aprobarlas y preparar su facturación. Dura lo que dure el contrato de servicio, más el plazo de conservación del apartado 8.
3. Qué datos y de quién
| Categorías de interesados | Categorías de datos |
|---|---|
| Empleados, colaboradores y consultores del responsable, con acceso a la plataforma | Nombre, correo electrónico, rol, horas trabajadas con su cliente y proyecto, descripción de la actividad, tarifas, vacaciones y ausencias con su motivo, y registro de acciones realizadas en la plataforma |
4. Obligaciones del encargado
- Tratar los datos únicamente siguiendo tus instrucciones documentadas, incluido lo relativo a transferencias internacionales.
- No usarlos para fines propios, ni para entrenar modelos, ni cederlos a terceros distintos de los subencargados del apartado 6.
- Garantizar que quien accede a los datos está sujeto a deber de confidencialidad.
- Aplicar las medidas de seguridad del apartado 5.
- Asistirte, en la medida de lo posible, para responder a los derechos de tus empleados y para tus evaluaciones de impacto y consultas previas.
- Ponerte a disposición la información necesaria para demostrar el cumplimiento de este anexo.
5. Medidas de seguridad
- Aislamiento por cliente: cada empresa tiene su propia base de datos, no una tabla compartida.
- Cifrado en tránsito (TLS) en toda la aplicación y en sus servicios internos.
- Autenticación delegada en Firebase Authentication: las contraseñas no se almacenan en nuestros sistemas.
- Control de acceso por rol dentro del espacio de trabajo, con las tarifas restringidas a administradores.
- Registro de actividad de las acciones relevantes: envíos, aprobaciones, rechazos y pagos.
- Copias de respaldo periódicas de las bases de datos.
6. Subencargados
Autorizas de forma general el uso de los subencargados que figuran en la política de privacidad, que se mantiene actualizada y es la lista vigente a todos los efectos. Si incorporamos o sustituimos alguno, lo comunicaremos a los administradores con 30 días de antelación; si no estás conforme, podrás resolver el contrato sin penalización antes de que el cambio surta efecto.
Cada subencargado está sujeto a obligaciones de protección equivalentes a las de este anexo.
7. Transferencias internacionales
Los datos se alojan en la Unión Europea (Fráncfort, Alemania). Algunos subencargados tratan datos en Estados Unidos; esas transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea.
8. Devolución y supresión
Puedes exportar tus datos en cualquier momento desde la propia plataforma, en CSV, XLSX o PDF, sin pedirnos permiso ni esperar.
Al terminar el contrato, los datos se conservan 30 días para permitir la reactivación y la exportación. Transcurrido ese plazo se eliminan de forma permanente, incluida la base de datos del espacio de trabajo. Las copias de respaldo se sobrescriben en su ciclo habitual.
9. Violaciones de seguridad
Si se produce una violación de seguridad que afecte a tus datos, te avisaremos sin dilación indebida desde que tengamos conocimiento, con la información de que dispongamos para que puedas cumplir tus obligaciones de notificación.
10. Auditoría
Podrás solicitar la información razonablemente necesaria para verificar el cumplimiento de este anexo, y realizar auditorías con preaviso razonable, en horario laboral y sin interrumpir el servicio.
11. Contacto
NUXO Labs LLC · Tampa, Florida (EE. UU.) · soporte@nuxoagency.com
Data Processing Agreement
This annex applies automatically to every company that subscribes to TimeFlow and processes personal data subject to the GDPR. Nothing needs to be signed separately: it is part of the agreement from the moment you subscribe. If your legal team needs a signed copy, write to us and we will send one.
1. The parties and their roles
Controller: your company, the one subscribing to TimeFlow. It decides what data is recorded, about whom, and why.
Processor: NUXO Labs LLC, processing that data on the controller's behalf and on its instructions.
2. Subject matter, duration and nature
The subject matter is providing TimeFlow: recording worked hours, approving them and preparing them for invoicing. It lasts as long as the service agreement, plus the retention period in section 8.
3. What data and about whom
| Categories of data subjects | Categories of data |
|---|---|
| The controller's employees, contractors and consultants with access to the platform | Name, email, role, hours worked with their client and project, activity description, rates, holidays and time off with their stated reason, and a log of actions taken in the platform |
4. The processor's obligations
- Process the data only on your documented instructions, including as regards international transfers.
- Not use it for our own purposes, not to train models, and not disclose it to anyone other than the subprocessors in section 6.
- Ensure that anyone with access is bound by confidentiality.
- Apply the security measures in section 5.
- Assist you, as far as possible, in responding to your employees' rights requests and in your impact assessments and prior consultations.
- Make available the information needed to demonstrate compliance with this annex.
5. Security measures
- Per-customer isolation: each company has its own database, not a shared table.
- Encryption in transit (TLS) across the application and its internal services.
- Authentication delegated to Firebase Authentication: passwords are not stored in our systems.
- Role-based access control within the workspace, with rates restricted to admins.
- An activity log of the meaningful actions: submissions, approvals, rejections and payments.
- Regular database backups.
6. Subprocessors
You give general authorisation for the subprocessors listed in the privacy policy, which is kept current and is the operative list for all purposes. If we add or replace one, we will tell the admins 30 days in advance; if you object, you may terminate without penalty before the change takes effect.
Each subprocessor is bound by protection obligations equivalent to those in this annex.
7. International transfers
Data is hosted in the European Union (Frankfurt, Germany). Some subprocessors process data in the United States; those transfers rely on the European Commission's standard contractual clauses.
8. Return and deletion
You can export your data at any time from the platform itself, in CSV, XLSX or PDF, without asking us and without waiting.
When the agreement ends, data is kept for 30 days to allow reactivation and export. After that it is permanently deleted, including the workspace's database. Backups are overwritten on their normal cycle.
9. Personal data breaches
If a breach affects your data, we will notify you without undue delay once we become aware of it, with the information we hold so that you can meet your own notification duties.
10. Audit
You may request the information reasonably necessary to verify compliance with this annex, and carry out audits on reasonable notice, during business hours and without disrupting the service.
11. Contact
NUXO Labs LLC · Tampa, Florida (USA) · soporte@nuxoagency.com