Acuerdo de tratamiento de datos

Versión 2026-10

Este Acuerdo de tratamiento de datos (el “Acuerdo de Tratamiento”) comparte su versión con nuestra Política de privacidad y nuestra lista de subencargados del tratamiento. Una nueva versión de uno de ellos es una nueva versión de los tres (Política de privacidad, sección 2.1).

1. Partes y alcance

Este Acuerdo de Tratamiento se celebra entre Wipperoz Pty Ltd (ACN 623 500 603) (“Wipperoz”, el “Encargado del tratamiento”) y la organización titular de una cuenta de Orbit (el “Cliente”, el “Responsable del tratamiento”). Forma parte de los Términos y Condiciones de Wipperoz que rigen el uso de Orbit por parte del Cliente (el “Contrato”).

Se aplica a los datos personales que Wipperoz trata por cuenta del Cliente al prestar Orbit (los “Datos Personales del Cliente”). No se aplica a los datos personales de los que Wipperoz es a su vez responsable del tratamiento, como la propia cuenta de Wipperoz de un candidato, sus CVs Virtuales y las postulaciones que envía, que se rigen por la Política de privacidad.

El Cliente acepta los Términos y Condiciones y la Política de privacidad cuando se registra en Orbit. Este Acuerdo de Tratamiento se aplica desde que el Cliente usa Orbit por primera vez, como parte del Contrato. La versión aplicable es la que esté publicada en el momento en que se realiza el tratamiento.

Este Acuerdo de Tratamiento está redactado para cumplir el artículo 28 del Reglamento General de Protección de Datos de la UE y del Reino Unido (“RGPD”), la Privacy Act 1988 (Cth) de Australia y la Lei Geral de Proteção de Dados de Brasil (“LGPD”) (en conjunto, la “Normativa de Protección de Datos”). Términos como responsable del tratamiento, encargado del tratamiento, datos personales, interesado y violación de la seguridad de los datos personales tienen el significado que les da el RGPD.

2. Objeto y duración

• Objeto — el tratamiento de los Datos Personales del Cliente necesario para prestar Orbit al Cliente conforme al Contrato
• Duración — mientras el Cliente tenga una cuenta de Orbit y, después, hasta que los Datos Personales del Cliente se eliminen conforme a la sección 12

3. Naturaleza y finalidad del tratamiento

Wipperoz trata los Datos Personales del Cliente para:

• Alojar los puestos, las páginas de empleo y las postulaciones del Cliente
• Recibir postulaciones e invitaciones, y mostrarlas al equipo del Cliente
• Almacenar las notas, decisiones, ofertas, etapas del proceso de contratación e historial de postulaciones del Cliente
• Calcular la idoneidad de cada postulante para un puesto, evaluarla con IA cuando el Cliente lo pida o haya activado automatizaciones de puesto, y ejecutar las automatizaciones de puesto que active el Cliente
• Importar los CV que sube el Cliente, y enviar correos electrónicos a las personas que figuran en ellos
• Realizar las entrevistas de evaluación con IA que el Cliente solicite y elaborar sus conclusiones
• Programar entrevistas, lo que incluye leer los horarios libres/ocupados de los calendarios que conecten los usuarios del Cliente
• Enviar los correos electrónicos que genera el uso de Orbit por parte del Cliente, incluido el aviso a los candidatos cuando cambian de etapa y, cuando una automatización de puesto los rechaza, el aviso de que la decisión se tomó de forma automática (Política de privacidad, sección 20.2)
• Aplicar la configuración de conservación del Cliente, y eliminar o desidentificar los datos cuando el plazo finaliza
• Ayudar al Cliente a responder las solicitudes de los interesados
• Mantener la seguridad de Orbit y prestar soporte

El tratamiento comprende el almacenamiento, la recuperación, la organización, la visualización, la transmisión, el análisis mediante IA, la desidentificación y la eliminación.

4. Categorías de interesados

• Postulantes y candidatos a los puestos del Cliente, incluidas las personas invitadas a postularse
• Personas cuyos CV importa el Cliente a Orbit
• Candidatos que una agencia de selección presenta a sus clientes a través de Orbit
• Los usuarios del Cliente: los miembros de su equipo, incluidos los ex miembros del equipo, y los colegas que invitan
• Personas ajenas al Cliente que participan en sus entrevistas
• Los revisores de los clientes del Cliente, cuando el Cliente es una agencia de selección

5. Categorías de datos personales

• Datos de identidad y de contacto: nombre, dirección de correo electrónico, número de teléfono, ubicación
• CV que importa el Cliente: el nombre, la dirección de correo electrónico y el archivo del CV de la persona
• Registros de contratación que crea el Cliente: notas, decisiones, ofertas (incluido el monto), etapa del proceso de contratación e historial, y cuántas veces su equipo vio a un candidato
• Evaluaciones de idoneidad de los postulantes hechas con IA: una puntuación, sus motivos y comentarios
• Entrevistas de evaluación con IA: respuestas, transcripciones y conclusiones, incluido cómo se escribió cada respuesta (sección 19 de la Política de privacidad)
• Entrevistas: horarios, formatos, notas, y los nombres y direcciones de correo electrónico de las personas que participan
• Candidatos que el Cliente conserva en su lista Mis candidatos
• Horarios libres/ocupados del calendario y la dirección de correo electrónico de un calendario conectado
• Datos de la cuenta de los miembros del equipo y su actividad en Orbit

Lo que un candidato envía al postularse —su postulación, su CV, sus respuestas y el consentimiento que otorgó— y su propia cuenta de Wipperoz y sus CVs Virtuales los conserva Wipperoz como responsable del tratamiento, conforme a la Política de privacidad (sección 18.1). El Cliente los recibe como parte de Orbit, y Wipperoz aplica la configuración de conservación del Cliente a la copia del Cliente.

El Cliente no debe pedir a los postulantes, a través de Orbit, categorías especiales de datos (por ejemplo, salud, religión u origen étnico), salvo que la ley lo permita y el Cliente cuente con una base legal. Orbit no los solicita.

6. Instrucciones del Cliente

Wipperoz trata los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente. El Contrato, este Acuerdo de Tratamiento y el uso y la configuración de Orbit por parte del Cliente constituyen esas instrucciones.

Wipperoz informará al Cliente si, a su juicio, una instrucción infringe la Normativa de Protección de Datos, y podrá suspender ese tratamiento hasta que la instrucción se confirme o se modifique. Si la ley exige a Wipperoz tratar los Datos Personales del Cliente de otro modo, se lo informará previamente al Cliente, salvo que la ley lo prohíba.

El Cliente es responsable de contar con una base legal para el tratamiento, de proporcionar a los interesados la información que exige la ley y de la licitud de sus instrucciones.

7. Obligaciones de Wipperoz

Wipperoz:

• Tratará los Datos Personales del Cliente únicamente para los fines de la sección 3
• No venderá los Datos Personales del Cliente, no los usará para sus propios fines y no los combinará con datos de otros clientes
• No usará los Datos Personales del Cliente para entrenar modelos de IA, y no permitirá que sus subencargados del tratamiento lo hagan
• Garantizará que todas las personas autorizadas para tratar los Datos Personales del Cliente estén sujetas a una obligación de confidencialidad
• Dará acceso a los Datos Personales del Cliente únicamente al personal que lo necesite para prestar Orbit o soporte

8. Subencargados del tratamiento

El Cliente otorga a Wipperoz una autorización general para contratar subencargados del tratamiento. Los subencargados del tratamiento actuales, lo que hace cada uno y dónde trata los datos figuran en la lista de subencargados del tratamiento.

• Wipperoz informará al Cliente con al menos 30 días de anticipación antes de incorporar o sustituir a un subencargado del tratamiento, mediante un correo electrónico a los Administradores de la cuenta y la publicación de una nueva versión de la lista de subencargados del tratamiento
• El Cliente podrá oponerse por motivos razonables de protección de datos dentro de esos 30 días. Las partes analizarán la objeción de buena fe. Si no puede resolverse, el Cliente podrá cerrar su cuenta de Orbit y recibir el reembolso de las tarifas de Orbit pagadas por adelantado y no utilizadas
• Wipperoz impondrá a cada subencargado del tratamiento, mediante contrato escrito, obligaciones de protección de datos no menos protectoras que las de este Acuerdo de Tratamiento, y seguirá siendo responsable ante el Cliente por el cumplimiento de cada subencargado del tratamiento

9. Seguridad

Wipperoz mantiene medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Cifrado de los datos en tránsito (TLS), y cifrado en reposo con claves administradas por AWS
• Control de acceso: cada solicitud a Orbit se autoriza en función de la cuenta del Cliente y del rol del usuario en ella
• Separación lógica de los datos de cada cliente dentro de Orbit
• Acceso del personal solo cuando lo necesita
• Monitoreo y alertas ante errores y fallas
• Copias de seguridad de nuestra base de datos con recuperación a un momento dado, que nos permiten restaurar los datos de cualquier momento de los últimos 35 días
• Revisión periódica de estas medidas

10. Asistencia con las solicitudes de los interesados

Teniendo en cuenta la naturaleza del tratamiento, Wipperoz ayudará al Cliente a responder las solicitudes de los interesados para ejercer sus derechos:

• A pedido del Cliente a privacy@wipperoz.com, Wipperoz encontrará, exportará, rectificará o suprimirá los datos de un candidato que conserva la cuenta del Cliente. Orbit no tiene una herramienta de autoservicio para los datos de un candidato; los Administradores del Cliente pueden exportar ellos mismos los datos de toda la cuenta (sección 12)
• Si Wipperoz recibe una solicitud relativa a Datos Personales del Cliente, la trasladará al Cliente sin dilación indebida y no la responderá por sí misma, salvo para informar a la persona de que lo ha hecho
• Wipperoz también ayudará al Cliente con las evaluaciones de impacto relativas a la protección de datos y las consultas a las autoridades de control, cuando se refieran a Orbit

11. Violaciones de la seguridad de los datos personales

Wipperoz notificará al Cliente sin dilación indebida y, en cualquier caso, dentro de las 72 horas siguientes a tener conocimiento de una violación de la seguridad de los datos personales que afecte a Datos Personales del Cliente. La notificación describirá, en la medida en que se conozca en ese momento, la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Wipperoz mantendrá informado al Cliente a medida que se conozcan más datos, y lo ayudará a cumplir sus propias obligaciones de notificación, incluidas las del régimen australiano de notificación de violaciones de datos (Notifiable Data Breaches scheme).

12. Eliminación y devolución al finalizar

• Durante la vigencia de la cuenta — los Administradores del Cliente pueden exportar los datos de la cuenta en cualquier momento mientras la cuenta esté abierta, en Configuración → Cuenta → Datos y privacidad → Exportar los datos de la empresa, y descargar el archivo desde esa pantalla durante 7 días. El Cliente también puede pedir una copia escribiendo a privacy@wipperoz.com. Las postulaciones a un puesto cerrado se desidentifican una vez transcurrido el plazo de conservación configurado por el Cliente: 12 meses por defecto, ajustable por un Administrador entre 6 y 24 meses. La desidentificación abarca la postulación y sus registros de contratación. No abarca las conclusiones de las entrevistas de evaluación ni los registros de entrevistas, que se conservan hasta que se cierra la cuenta (un candidato puede quitar sus respuestas y citas de las conclusiones), ni la lista Mis candidatos, cuyas entradas se conservan hasta que el Cliente las quita, el candidato pone fin al acceso del Cliente o se cierra la cuenta
• Cuando se cierra la cuenta — solo un Administrador puede cerrar la cuenta. La eliminación comienza de inmediato y no se puede deshacer: Wipperoz elimina los puestos, las postulaciones, los registros de contratación, las importaciones, las entrevistas de evaluación, las entrevistas y los miembros del equipo del Cliente. El Cliente debe exportar lo que necesite antes de cerrar la cuenta
• Excepciones — Wipperoz conserva un registro de la eliminación, que contiene las direcciones de correo electrónico de los miembros del equipo, durante 90 días; el registro de créditos y uso, y las facturas y registros de pago, durante el tiempo que exija la ley australiana de conservación de registros; y los CVs Virtuales creados a partir de CV importados, que pertenecen a las personas que figuran en ellos y se eliminan a los 90 días si no se reclaman (Política de privacidad, sección 12.5). Las copias en las copias de seguridad se sobrescriben en un plazo de 35 días

13. Auditorías

Wipperoz pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo de Tratamiento, incluidas respuestas por escrito a un cuestionario de seguridad razonable una vez al año.

Cuando esa información no sea suficiente, o una autoridad de control lo exija, el Cliente podrá realizar una auditoría, por sí mismo o a través de un auditor independiente sujeto a confidencialidad, con un preaviso de al menos 30 días, en horario laboral, a su propio cargo y no más de una vez al año, salvo que se haya producido una violación de la seguridad. Wipperoz podrá basarse en las certificaciones e informes de auditoría propios de sus subencargados del tratamiento para las partes del servicio que estos prestan.

14. Transferencias internacionales

Wipperoz tiene su sede en Australia. Los Datos Personales del Cliente están alojados en Amazon Web Services en Estados Unidos (us-east-1, Virginia del Norte), y algunos subencargados del tratamiento los tratan en otros países, según se indica en la lista de subencargados del tratamiento.

Cuando el RGPD o el RGPD del Reino Unido se aplique a una transferencia de Datos Personales del Cliente a un país sin una decisión de adecuación, las partes acuerdan que las cláusulas contractuales tipo adoptadas por la Comisión Europea (Decisión 2021/914), Módulo Dos (de responsable a encargado), junto con la Adenda de Transferencia Internacional de Datos del Reino Unido (UK International Data Transfer Addendum), se aplican a esa transferencia y quedan incorporadas por referencia a este Acuerdo de Tratamiento. Cuando se aplique la LGPD, se aplican del mismo modo las cláusulas contractuales tipo aprobadas por la ANPD.

Wipperoz se asegurará de que sus subencargados del tratamiento cuenten con garantías equivalentes para las transferencias.

15. Responsabilidad y prelación

La responsabilidad de cada parte en virtud de este Acuerdo de Tratamiento está sujeta a los límites del Contrato, salvo cuando la Normativa de Protección de Datos no permita limitarla. Si este Acuerdo de Tratamiento y el Contrato entran en conflicto respecto del tratamiento de los Datos Personales del Cliente, prevalece este Acuerdo de Tratamiento. Si este Acuerdo de Tratamiento y las cláusulas contractuales tipo entran en conflicto, prevalecen las cláusulas contractuales tipo.

16. Contacto

Consultas sobre este Acuerdo de Tratamiento, objeciones a un subencargado del tratamiento y solicitudes de información para auditorías: privacy@wipperoz.com

En caso de discrepancia, prevalecerá la versión en inglés.