Acuerdo de Encargo del Tratamiento de Datos

Revisado: 17 de octubre de 2026

Fecha de entrada en vigor: La fecha indicada en el aviso de publicación, una vez transcurrido el plazo de preaviso aplicable.

Operador: 360 Agency Middle East FZ LLC, Creative City, Fujairah, Emiratos Árabes Unidos

Contacto: admin@stafffinder.io | Sitio web: www.stafffinder.io

Este acuerdo regula únicamente el tratamiento de datos personales que Staff Finder realiza efectivamente siguiendo las instrucciones documentadas de un empleador. Complementa los Términos y Condiciones para Empleadores. No transfiere a los empleadores el control de la base de datos de candidatos propia de Staff Finder ni de su proceso de verificación.

1. Introducción

Este DPA forma parte de los Términos y Condiciones para Empleadores y se aplica cuando la legislación de protección de datos aplicable exige un acuerdo entre responsable y encargado del tratamiento para un servicio específico del empleador. Los requisitos imperativos del Decreto-Ley Federal de los EAU n.º 45 de 2021 y de cualquier otra legislación de protección de datos aplicable prevalecen. Un servicio no se considera actividad de encargado del tratamiento por el mero hecho de que un empleador utilice la plataforma.

2. Funciones de las partes

Para el tratamiento realizado exclusivamente siguiendo las instrucciones documentadas de un empleador, 360 Agency Middle East FZ LLC actúa como Encargado del tratamiento y el empleador actúa como Responsable del tratamiento. Las funciones se determinan según la actividad efectivamente realizada.

Staff Finder actúa como responsable independiente del tratamiento respecto de su base de datos de candidatos, el registro de candidatos, la verificación, las evaluaciones profesionales, la coincidencia, la presentación y visibilidad, la seguridad de la plataforma, los pagos y la administración del negocio. Los empleadores actúan como responsables independientes del tratamiento respecto de sus propias decisiones de reclutamiento, sus interacciones con candidatos y el uso posterior de los datos divulgados. Dichas actividades de responsable independiente quedan fuera de las obligaciones de encargado del tratamiento de este DPA y se rigen por la ley aplicable, la Política de Privacidad y los Términos y Condiciones para Empleadores.

3. Alcance del tratamiento

Cuando se preste exclusivamente siguiendo las instrucciones del empleador, el tratamiento puede comprender el alojamiento de registros de reclutamiento controlados por el empleador y la facilitación de comunicaciones o flujos de trabajo dentro de la cuenta de dicho empleador. El objeto es el servicio acordado con el empleador; la duración es la vigencia del servicio más el plazo de eliminación previsto en la Sección 10. Las operaciones pueden incluir la recogida, el almacenamiento, la organización, la transmisión, el control de acceso y la eliminación para dicho servicio. La base de datos de candidatos, la verificación, la coincidencia, la seguridad y el tratamiento de pagos que Staff Finder determina de forma independiente quedan fuera de este alcance de encargado del tratamiento.

4. Tipos de datos tratados

Dentro del servicio de encargado del tratamiento, los datos pueden incluir los nombres y datos de contacto de candidatos y de representantes del empleador, la correspondencia de reclutamiento, los registros de entrevistas o postulaciones y la información suministrada por el empleador que sea necesaria para el flujo de trabajo acordado. Los titulares de los datos son los candidatos pertinentes, los referentes cuando corresponda y los representantes del empleador. El empleador no debe instruir el tratamiento de datos sensibles innecesarios ni de criterios de reclutamiento ilícitos. Los servicios de encargado del tratamiento adicionales de alto riesgo o sustancialmente distintos requieren un alcance documentado actualizado antes del tratamiento.

5. Obligaciones del Encargado del tratamiento

El Encargado del tratamiento deberá:

(a) Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable del tratamiento, también con respecto a las transferencias, salvo que la ley aplicable le exija hacerlo de otro modo, en cuyo caso el Encargado informará al Responsable antes del tratamiento, salvo que la ley lo prohíba;

(b) No tratar los datos personales para ninguna finalidad distinta de las especificadas en este DPA y en los Términos y Condiciones para Empleadores, y no vender, alquilar ni utilizar de otro modo los datos personales para sus propios fines comerciales más allá del funcionamiento de la plataforma;

(c) Garantizar que todo el personal autorizado para tratar datos personales esté sujeto a obligaciones de confidencialidad vinculantes;

(d) Asistir al Responsable, en la medida en que sea razonablemente posible y teniendo en cuenta la naturaleza del tratamiento, en la respuesta a las solicitudes de ejercicio de derechos de los titulares de los datos (acceso, rectificación, supresión, limitación, portabilidad) conforme a la ley aplicable;

(e) Asistir al Responsable para garantizar el cumplimiento de las obligaciones de seguridad, los requisitos de notificación de brechas, las evaluaciones de impacto relativas a la protección de datos y las obligaciones de consulta previa conforme a la ley aplicable;

(f) Mantener registros de las actividades de tratamiento realizadas por cuenta del Responsable, según lo exigido por el artículo 8(7) del PDPL;

(g) Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de este DPA, y permitir y contribuir a las auditorías e inspecciones realizadas por el Responsable o por un tercero en su nombre, previa notificación escrita razonable con una antelación no inferior a 10 días hábiles.

6. Medidas de seguridad

El Encargado del tratamiento aplica medidas técnicas y organizativas apropiadas para proteger los datos personales frente al acceso no autorizado, la pérdida, la destrucción, la alteración o el uso indebido. Estas incluyen controles de acceso, cifrado en tránsito y en reposo, revisiones de seguridad periódicas y una infraestructura segura proporcionada por servicios de alojamiento en la nube certificados. Las medidas se revisan y actualizan periódicamente en función de la evolución de los riesgos.

7. Notificación de brechas de seguridad de datos personales

Al tener conocimiento de una brecha de seguridad de datos personales que afecte a los datos tratados en virtud de este DPA, el Encargado del tratamiento lo notificará al Responsable sin dilación indebida y, en cualquier caso, dentro de las 72 horas siguientes a que tenga conocimiento de ella, o antes cuando la ley aplicable lo exija. La notificación incluirá, en la medida en que esté disponible: la naturaleza de la brecha; las categorías y el número aproximado de titulares y de registros afectados; las consecuencias probables; y las medidas adoptadas o propuestas para abordar la brecha.

El Encargado del tratamiento cooperará con el Responsable en cualquier notificación exigida a las autoridades reguladoras o a los titulares de los datos afectados.

8. Subencargados del tratamiento

El empleador otorga una autorización general por escrito para utilizar subencargados del tratamiento para el servicio de encargado acordado, sujeta a esta Sección y al anexo de servicio aplicable. Los subencargados pertinentes vigentes, sus funciones, ubicaciones y mecanismos de transferencia deben identificarse y ponerse a disposición antes de que comience la actividad de encargado del tratamiento pertinente. El Encargado del tratamiento impone obligaciones equivalentes apropiadas y sigue siendo responsable del desempeño de los subencargados según lo exija la ley y con sujeción a la Sección 12. Un proveedor utilizado únicamente para las operaciones de Staff Finder como responsable independiente no es automáticamente un subencargado del empleador.

El Encargado del tratamiento notificará al Responsable cualquier cambio previsto en la lista de subencargados (incorporaciones o sustituciones) mediante la actualización del Anexo A y el aviso a través de la plataforma o por correo electrónico. El Responsable podrá oponerse a cualquier nuevo subencargado dentro de los 14 días siguientes a la notificación, por motivos razonables de protección de datos, escribiendo a admin@stafffinder.io. Si las partes no pueden resolver la oposición, el Responsable podrá resolver los servicios afectados sin penalización.

9. Transferencias internacionales

El Encargado del tratamiento transfiere datos en virtud de este DPA únicamente siguiendo instrucciones documentadas, incluida la configuración del servicio acordada, o según lo exija la ley. Antes de una transferencia transfronteriza, establece un mecanismo o una excepción efectivamente permitidos por cada ley aplicable y las salvaguardas complementarias necesarias. No se presume que un contrato de proveedor o un marco de privacidad extranjero constituya un mecanismo de transferencia aprobado conforme a la ley de los EAU. Cuando resulten aplicables las normas de transferencia del GDPR, también deberán cumplirse los requisitos pertinentes del Capítulo V del GDPR.

Los detalles de los mecanismos de transferencia aplicables a cada subencargado están disponibles previa solicitud, comunicándose con admin@stafffinder.io.

10. Conservación de datos y tratamiento posterior a la terminación

Al terminar un servicio de encargado del tratamiento, o ante una instrucción documentada válida, el Encargado del tratamiento, a elección del Responsable, eliminará o devolverá los datos tratados exclusivamente por su cuenta dentro de los 30 días, salvo que la ley exija su conservación o resulte aplicable un plazo más corto. Esto no permite a un empleador exigir la eliminación o devolución de toda la base de datos de candidatos que Staff Finder controla de forma independiente. La eliminación de la cuenta de un candidato se gestiona conforme a la Política de Privacidad, lo que incluye la retirada inmediata de la visibilidad para los empleadores y la eliminación dentro de las 48 horas, con sujeción a excepciones lícitas limitadas. Los registros conservados se restringen a su finalidad lícita.

11. Derechos de los titulares de los datos

Los usuarios pueden solicitar el acceso, la corrección, la limitación o la eliminación de sus datos personales de conformidad con el PDPL y demás leyes de protección de datos aplicables. Dichas solicitudes deben dirigirse a admin@stafffinder.io. El Encargado del tratamiento asistirá al Responsable para responder a las solicitudes dentro de los plazos exigidos por la ley aplicable.

12. Responsabilidad

Cada parte es responsable de su propio cumplimiento de este DPA y de la legislación de protección de datos aplicable. Cualquier responsabilidad surge únicamente cuando se acrediten los requisitos legales aplicables a dicha responsabilidad. Este DPA no crea un derecho automático a indemnización.

En la mayor medida permitida por la ley aplicable, el Encargado del tratamiento no indemniza, defiende ni mantiene indemne al Responsable frente a multas, sanciones, reclamaciones de terceros, honorarios legales, transacciones u otras pérdidas. El Responsable no puede obligar al Encargado a una transacción, admisión u obligación de pago sin el acuerdo previo por escrito del Encargado. Esto no impide que un tribunal o una autoridad competente imponga responsabilidad cuando la ley aplicable lo exija.

En la mayor medida permitida por la ley aplicable, el Encargado del tratamiento no es responsable de las pérdidas atribuibles a las instrucciones ilícitas del Responsable, al uso indebido o la divulgación no autorizada de datos personales, a las decisiones de contratación o al incumplimiento de sus propias obligaciones legales. Las declaraciones de los candidatos, el estado del perfil, las evaluaciones y los resultados de contratación siguen sujetos a las exclusiones de la Sección 9 de los Términos y Condiciones para Empleadores. Dichas exclusiones no eximen al Encargado de su propio incumplimiento de una obligación imperativa de protección de datos.

En la mayor medida permitida por la ley aplicable, el Encargado del tratamiento excluye su responsabilidad frente al Responsable por pérdidas indirectas o consecuentes, lucro cesante, pérdida de ingresos, de oportunidades de negocio o de ahorros previstos derivados de este DPA. Esta cláusula no excluye la indemnización que la ley aplicable exija que sea recuperable.

Nada en este DPA excluye ni limita responsabilidad u obligación alguna que no pueda excluirse o limitarse lícitamente, incluida la responsabilidad por fraude, declaración fraudulenta, culpa grave o negligencia grave cuando la exclusión esté prohibida, o por muerte o lesiones personales causadas por negligencia. Nada restringe los derechos imperativos de los titulares de los datos ni las facultades de una autoridad reguladora competente. La responsabilidad por los subencargados conforme a la Sección 8 sigue sujeta a esta Sección 12 y a la ley imperativa aplicable.

Este DPA no establece un límite monetario de responsabilidad y no remite a ningún límite monetario de los Términos y Condiciones para Empleadores. La ausencia de un límite monetario no constituye una promesa de indemnizar al Responsable ni amplía la responsabilidad más allá de la que surja de este DPA y de la ley aplicable.

13. Duración

Este DPA permanece en vigor mientras el empleador utilice la plataforma y estén vigentes los Términos y Condiciones para Empleadores asociados. Las cláusulas relativas a la confidencialidad, al tratamiento de datos posterior a la terminación, a la responsabilidad y a la ley aplicable subsisten tras la terminación de este DPA.

14. Ley aplicable

Este acuerdo se rige por las leyes de los Emiratos Árabes Unidos, con jurisdicción de los tribunales de Fujairah.

Anexo A — Subencargados del tratamiento

Este anexo identifica las categorías de proveedores pertinentes para la plataforma. La lista real para cualquier servicio de encargado del tratamiento de un empleador debe especificar la entidad jurídica, la función, la ubicación y el mecanismo de transferencia antes de que comience dicha actividad. Los ejemplos nombrados a continuación no constituyen una declaración de que todos los proveedores traten los datos de todos los empleadores.

Servicios de alojamiento y bases de datos: AWS y Supabase cuando se utilicen para el servicio de encargado del tratamiento pertinente. Las entidades de servicio reales, las ubicaciones de tratamiento y los mecanismos de transferencia se facilitan en la lista específica del servicio.

Servicios de IA: OpenAI, Anthropic u otro proveedor identificado únicamente cuando estén habilitados para el servicio de encargado del tratamiento con las instrucciones, el aviso, la autorización y las salvaguardas apropiados. Identifique el proveedor real antes de habilitarlo.

Servicios de pago: Stripe u otro proveedor de pagos identificado. El tratamiento para la propia facturación de Staff Finder o para los fines legales independientes de un proveedor constituye actividad de responsable del tratamiento y no actividad de encargado del tratamiento del empleador.

La analítica y la publicidad para los fines de servicio propios de Staff Finder quedan fuera de este anexo de encargado del tratamiento del empleador y se abordan en las políticas de Privacidad y de Cookies, con el consentimiento que sea exigido.

Mensajería y comunicaciones: identifique los proveedores reales de correo electrónico, notificaciones y llamadas que traten los registros por instrucción del empleador en la lista de servicio pertinente antes de que comience dicho uso.

Mantenga una lista actualizada de subencargados específica de cada servicio, facilítela a través de la plataforma o previa solicitud a admin@stafffinder.io, y siga el proceso de aviso de cambios y de oposición de la Sección 8. No inicie una actividad de encargado del tratamiento del empleador que requiera un anexo formal hasta que dicho anexo y las salvaguardas necesarias estén implantados.