Términos de servicio.

Quiénes somos y qué cubren estos términos

Estos términos son un acuerdo entre tú, en nombre de la empresa o actividad profesional a la que representas, y:

Uniprisma LTD, sociedad constituida en Inglaterra y Gales con company number 17385178 y domicilio social en 71-75 Shelton Street, Covent Garden, Londres WC2H 9JQ, Reino Unido («PrismaHR», «nosotros»).

Regulan el uso de este sitio web y de la plataforma PrismaHR. Al usar el sitio, solicitar acceso o utilizar la plataforma, aceptas estos términos y el Anexo I.

PrismaHR es un servicio para empresas y profesionales. No está dirigido a consumidores, y contratarlo implica que actúas en el marco de tu actividad empresarial o profesional.

Definiciones

• Plataforma o Servicio: la aplicación PrismaHR accesible en prismahr.com y sus subdominios, junto con la documentación y los servicios asociados.
• Cliente: la empresa o profesional que contrata el Servicio.
• Organización: el espacio aislado dentro de la Plataforma que corresponde a un Cliente. Un Cliente puede tener varias Organizaciones si opera con varias entidades.
• Usuarios: las personas a las que el Cliente da acceso a su Organización, con los roles que él determine.
• Datos del Cliente: toda la información que el Cliente o sus Usuarios introducen, cargan o generan en la Plataforma, incluidos los datos personales de sus personas empleadas.
• Datos personales, responsable, encargado, interesado, tratamiento y violación de la seguridad: tienen el significado que les da el RGPD.

Elegibilidad, registro y cuentas

Para usar PrismaHR debes ser mayor de 18 años y tener capacidad para obligar a la empresa que representas.

Durante la beta privada las cuentas se aprovisionan manualmente: no existe registro autónomo. Cuando se habilite el alta directa, esta sección se actualizará.

Cada Organización tiene una persona titular, que es quien acepta estos términos y responde del uso que se haga de la cuenta. La Plataforma distingue roles con permisos diferenciados —administración, recursos humanos, responsable de equipo y persona empleada, entre otros—, y la asignación de esos roles corresponde al Cliente. Nosotros no decidimos quién ve qué dentro de tu Organización: aplicamos la configuración que tú estableces.

Eres responsable de la confidencialidad de las credenciales y de las actuaciones realizadas desde las cuentas de tu Organización. Avísanos sin demora a legal@prismahr.com si detectas un acceso no autorizado.

El servicio

PrismaHR es un sistema de información de recursos humanos construido sobre las competencias verificadas de las personas. Lo que incluye depende del plan contratado, y podemos aplicar límites por software —número de personas, integraciones, consultas u otros— según lo indicado en la página de planes.

Durante la fase de construcción las funciones pueden cambiar, añadirse o retirarse. Si retiramos una función sustancial de un plan de pago, te lo comunicaremos con antelación razonable y podrás resolver el contrato sin penalización.

Dos límites del producto que conviene conocer desde el principio, porque definen qué es y qué no es:

• PrismaHR almacena datos de nómina; no la calcula. Guardamos y organizamos la información que la nómina necesita —jornadas, ausencias, conceptos, documentos— y la ponemos a disposición de quien la elabore. No somos un motor de cálculo de nómina ni sustituimos a una gestoría o a un software de nómina.
• PrismaHR informa de hechos y fechas; no interpreta la legislación laboral. Te decimos qué consta registrado y desde cuándo. La calificación jurídica de esos hechos —si una jornada es conforme, si un permiso corresponde, si una decisión es procedente— es tuya y de tus asesores.

Tus obligaciones como cliente

Respecto de los datos personales de tus personas empleadas, tú eres el responsable del tratamiento y nosotros el encargado. De ahí se derivan obligaciones que son tuyas y que no podemos asumir por ti:

• Base jurídica. Debes disponer de una base jurídica válida para tratar los datos que introduces en la Plataforma.
• Información a las personas trabajadoras. Debes informarlas conforme a los artículos 13 y 14 del RGPD sobre el tratamiento de sus datos, incluida la existencia de PrismaHR como encargado.
• Registro horario. Si usas el módulo de tiempo, la implantación del sistema de registro de jornada debe cumplir el artículo 34.9 del Estatuto de los Trabajadores, incluida la consulta previa a la representación legal de las personas trabajadoras cuando exista. La conservación del registro durante cuatro años y su puesta a disposición de las personas trabajadoras, sus representantes y la Inspección de Trabajo es una obligación tuya: nosotros te damos la herramienta y la exportación, no asumimos tu obligación de conservación.
• Canal de denuncias. Si activas el canal interno, debes cumplir la Ley 2/2023: designación del responsable del sistema, procedimiento aprobado por el órgano competente, plazos de respuesta y garantías de indemnidad.
• Configuración de accesos. Eres responsable de qué personas tienen qué rol y, por tanto, de a qué datos accede cada una.
• Exactitud. Eres responsable de la exactitud y actualización de los datos que introduces, y de disponer de los consentimientos o habilitaciones que en su caso se requieran.

Uso aceptable

Al usar PrismaHR te comprometes a no:

• infringir la ley aplicable ni derechos de terceros;
• introducir datos personales sin base jurídica adecuada o sin informar a los interesados cuando te corresponda;
• introducir categorías especiales de datos más allá de las que el Servicio contempla y de lo necesario para la finalidad;
• intentar acceder a datos de otras Organizaciones, vulnerar la seguridad o eludir los límites del Servicio;
• realizar ingeniería inversa, descompilar, revender, sublicenciar o suplantar el Servicio sin autorización;
• someter la Plataforma a pruebas de carga, escaneo o intrusión sin nuestro consentimiento previo por escrito;
• usar la Plataforma para vigilancia desproporcionada de personas trabajadoras, ni para decisiones discriminatorias o contrarias a la normativa laboral o de protección de datos;
• utilizar las salidas de las funciones de inteligencia artificial como fundamento único de una decisión que afecte a los derechos de una persona.

Alcance y limitaciones del producto

Las funciones analíticas de PrismaHR producen señales y propuestas, no certezas ni veredictos. Cada una se presenta con su procedencia y, cuando existe, con su grado de confianza, para que una persona la valore.

PrismaHR no puntúa, no clasifica ni ordena a las personas. No emitimos calificaciones de rendimiento, ni índices de potencial, ni rankings de empleabilidad. Lo que el sistema registra son hechos con su fuente —quién los observó, cuándo, con qué evidencia— y esa trazabilidad está disponible para quien decide.

Nada de lo que produce la Plataforma sustituye el juicio profesional ni las decisiones de recursos humanos, que corresponden siempre al Cliente y a las personas responsables dentro de su organización.

Uso de sistemas de IA

PrismaHR incorpora sistemas de inteligencia artificial. Su función es proponer; la decisión es siempre humana.

El Reglamento (UE) 2024/1689 de Inteligencia Artificial clasifica como alto riesgo determinados usos de IA en el ámbito del empleo. Las obligaciones correspondientes a los sistemas del Anexo III son exigibles a partir del 2 de diciembre de 2027, conforme al calendario resultante del Reglamento (UE) 2026/1744.

Diseñamos el producto teniendo en cuenta esas obligaciones —IA siempre distinguible de lo que no lo es, supervisión humana efectiva en cualquier salida que afecte a una persona, y trazabilidad de cada propuesta hasta su fuente—, pero no afirmamos una conformidad que aún no ha sido verificada por un tercero. El alcance, la clasificación y las medidas concretas se documentarán a medida que el producto y la normativa se desarrollen, y se publicarán en Regulación de la IA.

Dos garantías que sí asumimos desde ahora:

• No se toman decisiones automatizadas con efectos jurídicos o similarmente significativos sobre las personas, en el sentido del artículo 22 del RGPD.
• El canal de denuncias es una zona de exclusión de IA. Ningún sistema de inteligencia artificial lee, resume, clasifica ni procesa el contenido de las comunicaciones del canal interno.

Como responsable del tratamiento, tu empresa tiene obligaciones propias respecto del uso que haga de estas funciones, incluida la información a las personas trabajadoras sobre su existencia.

Tus datos: titularidad, exportación y supresión

Los Datos del Cliente son tuyos. No reclamamos su propiedad, no los vendemos, no los cedemos con fines publicitarios y no los usamos para ninguna finalidad propia distinta de prestarte el Servicio.

No entrenamos modelos de inteligencia artificial con los Datos del Cliente, ni permitimos que nuestros proveedores lo hagan.

Puedes exportar tus datos en cualquier momento mientras la cuenta esté activa, en formatos de uso común y lectura mecánica.

Al terminar el contrato dispondrás de un plazo de treinta (30) días naturales para exportar tus datos. Transcurrido ese plazo los suprimiremos conforme al Anexo I. Si tienes obligaciones legales de conservación —señaladamente la del artículo 34.9 del Estatuto de los Trabajadores respecto del registro de jornada— es tu responsabilidad exportar antes de que venza ese plazo.

Protección de datos

El tratamiento de datos personales se rige por:

• La Política de privacidad, para los tratamientos en los que actuamos como responsable —visitantes, solicitudes de acceso, personas titulares y administradoras de cuenta— y para la información general sobre subencargados, ubicaciones y transferencias.
• El Anexo I de estos términos, que es el contrato de encargo del artículo 28 del RGPD para los datos de tus personas empleadas.

En caso de contradicción entre estos términos y el Anexo I respecto del tratamiento de datos personales, prevalece el Anexo I.

Confidencialidad

Cada parte se obliga a mantener la confidencialidad de la información no pública de la otra a la que acceda con motivo de esta relación, a usarla únicamente para cumplir el contrato y a protegerla con la misma diligencia que aplica a la suya propia, y nunca inferior a la razonable.

Esta obligación no alcanza a la información que sea o pase a ser pública sin incumplimiento, la que ya obraba legítimamente en poder de la parte receptora, la desarrollada de forma independiente, ni la que deba revelarse por imperativo legal o requerimiento de autoridad competente —en cuyo caso se avisará a la otra parte cuando sea legalmente posible.

Subsiste durante la vigencia del contrato y tres (3) años después de su terminación. Para los secretos empresariales y para las categorías especiales de datos, subsiste mientras conserven tal condición.

Suscripciones, precios y facturación

Los planes y precios vigentes se publican en la página de planes. Salvo indicación en contrario, los precios se expresan por persona activa y mes, sin impuestos indirectos, que se añadirán cuando correspondan.

• Ciclo. Puedes contratar con facturación mensual o anual. La anual se abona por adelantado.
• Personas activas. La facturación se calcula sobre las personas dadas de alta y activas en tu Organización durante el periodo. Las altas se prorratean; las bajas surten efecto en el ciclo siguiente.
• Pago. El cobro se realiza a través de un proveedor externo de pagos. No almacenamos datos completos de tarjeta.
• Impago. Si un cobro resulta fallido te avisaremos y dispondrás de quince (15) días naturales para regularizarlo antes de que podamos suspender el Servicio conforme a la sección de suspensión.
• Cambios de precio. Te comunicaremos cualquier cambio de precio con treinta (30) días naturales de antelación al inicio del periodo en que vaya a aplicarse. Si no lo aceptas, puedes cancelar antes de esa fecha sin penalización. Los cambios nunca se aplican a un periodo ya facturado.
• Precio bloqueado. Si has contratado bajo una condición expresamente identificada como precio bloqueado o vitalicio, esa condición se mantiene mientras la suscripción permanezca activa y sin interrupción, en los términos en que se ofreció.

Durante la beta privada no hay facturación activa. Esta sección aplicará cuando se habilite, y te lo comunicaremos con antelación.

Periodo de prueba

Cuando se ofrezca, el periodo de prueba será de treinta (30) días naturales, sin necesidad de introducir medio de pago.

Al terminar la prueba, si no has contratado un plan, la cuenta queda en pausa: los datos se conservan y no se cobra nada, pero el acceso se limita hasta que actives una suscripción. Si transcurren noventa (90) días naturales en pausa sin actividad, te avisaremos con antelación suficiente antes de proceder a la supresión conforme al Anexo I.

Duración, cancelación y terminación

El contrato se renueva automáticamente por periodos iguales al ciclo contratado, salvo cancelación.

• Cancelación por tu parte. Puedes cancelar en cualquier momento desde la Plataforma o escribiendo a legal@prismahr.com. La cancelación surte efecto al final del periodo en curso, que se abona íntegramente. No hay reembolso de periodos ya iniciados, salvo lo previsto en la sección de precios o cuando la ley lo imponga.
• Resolución por incumplimiento. Cualquiera de las partes puede resolver el contrato si la otra incumple de forma sustancial y no subsana en el plazo de treinta (30) días naturales desde el requerimiento escrito.
• Resolución inmediata. Podemos resolver con efecto inmediato en caso de uso que infrinja la ley, ponga en riesgo la seguridad de la Plataforma o de terceros, o vulnere gravemente la sección de uso aceptable.
• Efectos. A la terminación cesa tu licencia de uso, se aplica el plazo de exportación de treinta días de la sección Tus datos, y después se suprimen los datos conforme al Anexo I.

Suspensión del servicio

Podemos suspender total o parcialmente el acceso, con aviso previo salvo urgencia, cuando concurra:

• un impago no regularizado en los plazos indicados;
• un riesgo activo para la seguridad de la Plataforma, de tus datos o de los de otros clientes;
• un incumplimiento grave de la sección de uso aceptable;
• una obligación legal o un requerimiento de autoridad competente.

La suspensión se levanta en cuanto cesa la causa. Durante la suspensión conservamos tus datos: suspender no es suprimir, y la supresión solo se produce conforme a la sección de terminación.

Disponibilidad y soporte

Trabajamos para mantener el Servicio disponible de forma continuada, y realizamos tareas de mantenimiento programado avisando con antelación razonable cuando puedan afectar al uso.

Durante la beta privada no ofrecemos un compromiso de nivel de servicio (SLA) con garantía de disponibilidad ni compensaciones asociadas. Cuando lo ofrezcamos, se publicará como documento propio y se incorporará a estos términos.

El soporte se presta en español por correo electrónico en legal@prismahr.com y por los canales que se indiquen en la Plataforma.

Propiedad intelectual y licencia

La marca PrismaHR, el software, el sistema de diseño, la documentación, los textos y el resto de contenidos son titularidad de Uniprisma LTD o de sus licenciantes.

Te concedemos una licencia limitada, no exclusiva, intransferible y revocable para usar el Servicio conforme a estos términos y durante su vigencia.

Si nos haces llegar sugerencias o comentarios sobre el producto, podremos usarlos libremente para mejorarlo, sin que ello genere derecho alguno a tu favor ni afecte a la titularidad de tus datos.

Nada de lo anterior afecta a los Datos del Cliente, que siguen siendo tuyos conforme a la sección Tus datos.

Garantías y su exclusión

Garantizamos que prestaremos el Servicio con la diligencia profesional exigible y conforme a estos términos.

Durante la beta privada el Servicio se ofrece «tal cual» y «según disponibilidad». En la medida en que lo permita la ley, excluimos cualquier otra garantía, expresa o implícita, incluidas las de idoneidad para un fin concreto o ausencia de errores.

No garantizamos la exactitud de ninguna propuesta, señal o estimación generada por las funciones analíticas o de inteligencia artificial.

Limitación de responsabilidad

En la medida en que lo permita la ley:

• No respondemos de daños indirectos, lucro cesante, pérdida de negocio o de oportunidad, ni de daños reputacionales.
• No respondemos de las decisiones que tomes a partir de señales, propuestas o estimaciones de la Plataforma.
• Nuestra responsabilidad total acumulada por cualquier reclamación derivada de esta relación queda limitada al importe efectivamente abonado por ti en los doce (12) meses anteriores al hecho que la origine. Si no ha habido pagos —beta o periodo de prueba—, esa cuantía es cero, sin perjuicio de lo dispuesto a continuación.

Estas limitaciones no se aplican al dolo o culpa grave, a los daños personales, ni a las responsabilidades que no puedan limitarse legalmente, incluidas las derivadas de la normativa de protección de datos frente a los interesados.

Fuerza mayor

Ninguna parte responde del incumplimiento causado por hechos ajenos a su control razonable —catástrofes, conflictos, cortes generalizados de red o energía, actos de autoridad o fallos graves de proveedores de infraestructura— mientras dure el impedimento y siempre que se comunique sin demora y se hagan esfuerzos razonables por mitigarlo. Si el impedimento se prolonga más de treinta (30) días naturales, cualquiera de las partes puede resolver sin penalización.

Cesión y subcontratación

No puedes ceder este contrato sin nuestro consentimiento escrito. Nosotros podemos cederlo en el marco de una reorganización societaria, fusión o transmisión de negocio, comunicándotelo con antelación; si la cesión implicara un cambio en las garantías de protección de datos, podrás resolver sin penalización.

La subcontratación del tratamiento de datos personales se rige por el Anexo I.

Cambios en estos términos

Podemos actualizar estos términos a medida que el producto avanza. Publicaremos la versión vigente en esta página con su fecha.

Los cambios sustanciales —los que afecten a tus derechos, a los precios o al Anexo I— se comunicarán con al menos treinta (30) días naturales de antelación, y podrás resolver sin penalización antes de que entren en vigor. Los cambios menores o de mera corrección se publicarán directamente.

Ley aplicable y jurisdicción

Estos términos se rigen por la legislación española.

Para cualquier controversia, las partes se someten expresamente a los juzgados y tribunales de A Coruña (España), con renuncia a cualquier otro fuero que pudiera corresponderles.

Esta elección se realiza entre profesionales y no afecta a los derechos que la normativa imperativa reconozca a los interesados en materia de protección de datos, que podrán ejercerlos ante la autoridad y jurisdicción que les corresponda.

Contacto

Uniprisma LTD — 71-75 Shelton Street, Covent Garden, Londres WC2H 9JQ, Reino Unido Correo: legal@prismahr.com

Anexo I — Contrato de encargo del tratamiento

Este Anexo constituye el contrato de encargo del tratamiento exigido por el artículo 28.3 del RGPD y por el artículo 28 del UK GDPR, y forma parte integrante de los Términos de servicio. Se acepta junto con ellos y su aceptación es condición para el uso de la Plataforma.

Las partes:

• El Cliente, como responsable del tratamiento.
• Uniprisma LTD, como encargado del tratamiento.

Cuando el Cliente actúe a su vez como encargado de un tercero —por ejemplo, una gestoría que opera por cuenta de sus clientes—, Uniprisma LTD actuará como subencargado y este Anexo se aplicará con las adaptaciones que correspondan.

1. Objeto, naturaleza y finalidad

El objeto es el tratamiento de los datos personales necesarios para prestar el Servicio: la gestión de personas, del registro de jornada, de las ausencias, de las competencias y credenciales, y del resto de funciones incluidas en el plan contratado.

El tratamiento se realiza únicamente para prestar el Servicio al Cliente, y no para ninguna finalidad propia de Uniprisma LTD.

2. Duración

El tratamiento se extiende mientras esté vigente la relación contractual, más el plazo de exportación y supresión previsto en la cláusula 9.

3. Categorías de datos personales

Según el plan contratado y el uso que el Cliente haga de la Plataforma:

El Cliente se abstendrá de introducir categorías especiales distintas de las previstas o innecesarias para la finalidad.

4. Categorías de interesados

Personas empleadas del Cliente —incluidas las que hayan causado baja mientras se conserven sus datos—, personas candidatas cuando se use el módulo de selección, personas usuarias con acceso a la Plataforma, y, en su caso, personas informantes, afectadas y testigos en el canal interno.

5. Obligaciones del encargado

Uniprisma LTD se obliga a:

a) Tratar los datos únicamente siguiendo instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales. Estos términos, la configuración que el Cliente establece en la Plataforma y las peticiones que curse por los canales previstos constituyen sus instrucciones documentadas. Si Uniprisma LTD considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato y podrá suspender su ejecución.

b) Garantizar la confidencialidad del personal autorizado. Las personas que traten los datos están sujetas a un deber de confidencialidad expreso y subsistente tras el fin de su relación, y acceden únicamente en la medida necesaria para prestar el Servicio o resolver una incidencia.

c) Aplicar las medidas técnicas y organizativas del artículo 32, descritas en la cláusula 6.

d) Respetar el régimen de subencargados de la cláusula 7.

e) Asistir al Cliente en la atención de los derechos de los interesados. Las funciones de acceso, rectificación, exportación y supresión están disponibles en la propia Plataforma. Si un interesado se dirige directamente a Uniprisma LTD, se le remitirá al Cliente sin atender la solicitud por su cuenta, y se informará al Cliente en un plazo máximo de setenta y dos (72) horas.

f) Asistir al Cliente en el cumplimiento de los artículos 32 a 36: seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas, facilitando la información de que disponga.

g) Suprimir o devolver los datos al terminar, conforme a la cláusula 9.

h) Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Anexo y permitir auditorías, conforme a la cláusula 10.

i) Llevar un registro de las actividades de tratamiento realizadas por cuenta del Cliente, conforme al artículo 30.2 del RGPD.

j) No usar los datos para finalidad propia alguna, en particular no emplearlos para elaborar productos, estadísticas comerciales identificables ni para entrenar modelos de inteligencia artificial, ni permitir que sus subencargados lo hagan.

6. Medidas de seguridad

Uniprisma LTD aplica, como mínimo:

• Cifrado en tránsito en todas las comunicaciones con la Plataforma.
• Aislamiento por organización mediante seguridad a nivel de fila en la propia base de datos, de modo que la separación entre clientes se impone en la capa de datos y no solo en la aplicación.
• Control de acceso basado en roles, con la configuración que establece el Cliente.
• Principio de mínimo privilegio en la gestión de credenciales de servicio.
• Gestión de contraseñas por el proveedor de autenticación, sin almacenamiento en claro.
• Restricciones reforzadas para los datos del artículo 9: los justificantes médicos son accesibles únicamente por su titular y por el personal de recursos humanos designado por el Cliente, y no por la cadena jerárquica.
• Régimen separado para el canal de denuncias, con confidencialidad reforzada y exclusión de cualquier tratamiento por sistemas de inteligencia artificial.
• Registro de auditoría de los accesos y actuaciones relevantes.
• Copias de seguridad y procedimientos de restauración.

El detalle vigente se publica en Seguridad. Uniprisma LTD podrá actualizar estas medidas siempre que el nivel de protección no disminuya.

7. Subencargados

El Cliente autoriza de forma general la contratación de subencargados, con las siguientes condiciones:

• La relación vigente de subencargados, con su función, ubicación de los datos y garantía de transferencia, se publica en la Política de privacidad y se mantiene actualizada.
• Cualquier alta o sustitución de subencargado se comunicará al Cliente con al menos treinta (30) días naturales de antelación a que sea efectiva.
• El Cliente podrá oponerse por motivos razonables y fundados en protección de datos dentro de ese plazo. Si la objeción no puede resolverse, el Cliente podrá resolver el contrato sin penalización y con devolución de la parte proporcional no consumida.
• Uniprisma LTD impone a cada subencargado, por contrato, obligaciones equivalentes a las de este Anexo, y responde frente al Cliente del cumplimiento por parte de aquéllos.

8. Transferencias internacionales

• Los datos del Cliente se almacenan en la Unión Europea. La base de datos, la autenticación y los archivos residen en infraestructura europea.
• Acceso desde el Reino Unido. Uniprisma LTD está establecida en el Reino Unido, de modo que el acceso a los datos desde su organización constituye una transferencia internacional. Está amparada por la decisión de adecuación de la Comisión Europea conforme al artículo 45 del RGPD, renovada el 19 de diciembre de 2025 y vigente hasta el 27 de diciembre de 2031. No se requieren garantías adicionales y esta transferencia no opera bajo cláusulas contractuales tipo. Si la decisión decayera o no se renovase, Uniprisma LTD adoptará las garantías del artículo 46 antes de que dejara de estar vigente y lo comunicará al Cliente.
• Proveedores fuera del Espacio Económico Europeo. Se identifican en la Política de privacidad, con el mecanismo aplicable a cada uno —marco de adecuación o cláusulas contractuales tipo con la adenda británica—, y con la evaluación de impacto de la transferencia realizada.

9. Devolución y supresión al terminar

A la terminación del contrato, por cualquier causa:

1. El Cliente dispone de treinta (30) días naturales para exportar sus datos desde la Plataforma. Durante ese plazo, Uniprisma LTD mantiene los datos accesibles a tal efecto.
2. Transcurrido ese plazo, Uniprisma LTD suprimirá los datos de los sistemas activos en un plazo máximo de treinta (30) días naturales adicionales, y de las copias de seguridad conforme al ciclo de rotación de éstas, que no excederá de noventa (90) días naturales.
3. Uniprisma LTD emitirá certificado de supresión a solicitud del Cliente.
4. Excepción: se conservarán los datos cuya conservación imponga el Derecho de la Unión o de un Estado miembro, exclusivamente durante el plazo exigido, bloqueados y sin tratamiento ulterior.

Aviso al Cliente: las obligaciones legales de conservación que recaen sobre el responsable —señaladamente la conservación del registro de jornada durante cuatro años del artículo 34.9 del Estatuto de los Trabajadores— son del Cliente. Uniprisma LTD facilita la exportación; no asume la conservación por cuenta del Cliente una vez terminado el contrato.

10. Auditoría

Uniprisma LTD pondrá a disposición del Cliente la información necesaria para acreditar el cumplimiento de este Anexo.

El Cliente podrá realizar auditorías, incluidas inspecciones, por sí o mediante un auditor independiente sujeto a confidencialidad, con las siguientes condiciones:

• Preaviso de treinta (30) días naturales, salvo que una autoridad de control imponga otro plazo.
• Una auditoría al año como máximo, salvo que se haya producido una violación de la seguridad que afecte al Cliente o lo requiera una autoridad de control.
• Alcance limitado a lo necesario para verificar el cumplimiento, sin acceso a datos de otros clientes ni a información que comprometa la seguridad de la Plataforma o los secretos empresariales de Uniprisma LTD.
• A costa del Cliente, salvo que la auditoría revele un incumplimiento sustancial de Uniprisma LTD, en cuyo caso los costes razonables serán asumidos por ésta.

11. Violaciones de la seguridad

Uniprisma LTD notificará al Cliente cualquier violación de la seguridad que afecte a sus datos sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes a tener conocimiento de ella, facilitando la información de que disponga: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas o propuestas.

La notificación a la autoridad de control y, en su caso, a los interesados, corresponde al Cliente como responsable. Uniprisma LTD le prestará la asistencia razonable que necesite para cumplir esos plazos.

12. Delegado de protección de datos y punto de contacto

Las comunicaciones relativas a este Anexo se dirigirán a legal@prismahr.com.

Uniprisma LTD comunicará al Cliente los datos de contacto de su delegado de protección de datos y de su representante en la Unión conforme al artículo 27 del RGPD, cuando su designación sea efectiva, y los publicará en la Política de privacidad.

13. Vigencia y prevalencia

Este Anexo entra en vigor con la aceptación de los Términos de servicio y permanece vigente mientras Uniprisma LTD trate datos personales por cuenta del Cliente.

En caso de contradicción entre este Anexo y cualquier otro documento contractual respecto del tratamiento de datos personales, prevalece este Anexo.

Si el Cliente dispone de su propio contrato de encargo y desea que prevalezca, deberá acordarse por escrito con Uniprisma LTD antes del inicio del tratamiento.