Acuerdo de Tratamiento de Datos (DPA)

Este DPA se incorpora por referencia a los Términos y a la Orden de Servicio/MSA. En caso de conflicto, prevalece este DPA respecto del tratamiento de datos del personal. Para datos de visitantes y facturación, Houra es Responsable según la Política de Privacidad.

1. Roles y objeto

Responsable (AR) / Controller (GDPR): la Organización cliente. Encargado / Processor: Houra. Objeto: alojar y procesar datos de empleados, horarios, fichajes, ausencias, nómina, documentos, tareas y reclutamiento para prestar el Servicio conforme a instrucciones documentadas del Responsable.

• Categorías de interesados: empleados y candidatos gestionados por la Organización.
• Categorías de datos: identificativos, contacto, laborales, operativos y, eventualmente, datos sensibles acotados (p. ej., certificados médicos) con medidas reforzadas.
• Duración: vigencia del contrato + período de gracia de 30–90 días para exportación/borrado.

2. Instrucciones y confidencialidad

Houra solo trata datos siguiendo instrucciones documentadas del Responsable (configuración del panel, tickets y contrato), salvo obligación legal que notificará salvo prohibición. El personal autorizado está sujeto a confidencialidad y formación en protección de datos.

3. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo: seudonimización cuando es posible, cifrado en tránsito (TLS) y en reposo según proveedor, control de accesos por roles, MFA/passkeys, registros de auditoría, backups cifrados, gestión de vulnerabilidades y respuesta a incidentes. Detalle en /security.

Ante incidente que afecte datos del Responsable, notificamos sin dilación indebida y, para GDPR, dentro de 72 h al Responsable para que éste valore notificar a la autoridad.

4. Subencargados

Recurrimos a subencargados con contratos art. 6 Ley 25.326 y art. 28 GDPR. Lista vigente (actualizada con 15 días de preaviso):

Si el Responsable objeta un nuevo subencargado por motivos fundados, lo tratamos de buena fe y, de no haber alternativa, puede resolver la porción afectada sin penalidad.

5. Asistencia ante derechos y evaluaciones

Asistimos al Responsable para responder solicitudes ARCO/GDPR, evaluaciones de impacto (DPIA) y consultas previas a la AAIP/autoridad, en la medida de lo posible y confidencialmente. Notificamos al Responsable si recibimos solicitud directa de un titular relativa a sus datos.

6. Transferencias internacionales

Cuando los datos salen de Argentina o del EEE, aplicamos salvaguardas: cláusulas contractuales tipo de la UE (SCCs 2021/914) + anexo de transferencias AR (Res. AAIP 47/2018 y 14/2024) y medidas suplementarias (cifrado, minimización). A pedido, facilitamos copia de las cláusulas.

7. Conservación y borrado

Al terminar el servicio, a elección del Responsable, devolvemos (exportación) y/o borramos los datos en 90 días, salvo retención legal. Podemos conservar logs anonimizados. A pedido, certificamos borrado.

8. Auditoría y cumplimiento

Ponemos a disposición información necesaria para demostrar cumplimiento (certificaciones de subencargados, registros, informes de seguridad bajo NDA). Auditorías in situ requieren acuerdo, alcance acotado y confidencialidad. Cada parte asume sus costos salvo incumplimiento grave.

Contacto DPA: legal@houra.app — Asunto “DPA”. Versión 1.1 — Vigente desde 3 de octubre de 2026. La 1.1 agrega Mistral AI y Google Gemini a la lista de subencargados (§4): las funciones de IA de producto tratan currículums, documentos y horarios, y no estaban declaradas en la 1.0. Para MSA/NDA a medida, solicitar a legal.