Código de conducta para proveedores

Este Código se aplica a cualquier persona física o jurídica que proporcione a {{nombre_de_la_empresa }}, a título oneroso:

- bienes (equipos informáticos, mobiliario de oficina, artículos de regalo, consumibles...);
- servicios (publicación de software, consultoría, agencia, infraestructura en la nube, servicios intelectuales, logística, seguridad...);
- servicios de intermediación (autónomos, ESN, subcontratistas de nivel 1 y 2).

Se aplica **desde la incorporación del proveedor** y continúa durante toda la relación contractual, así como tras su finalización por obligaciones sobrevivientes al contrato (confidencialidad, protección de datos, devolución de activos).

El proveedor se compromete a cumplir las siguientes normas internacionales:

- **Declaración Universal de los Derechos Humanos** y **convenios fundamentales de la OIT**;
- **Prohibición del trabajo infantil** (edad mínima de **15 años**, o 18 años para trabajos peligrosos);
- **Prohibición del trabajo forzoso**, de la servidumbre por deudas y de la confiscación de documentos de identidad;
- **Libertad de asociación** y derecho a la negociación colectiva ;
- **No discriminación** por razón de origen, sexo, situación familiar, orientación sexual, apariencia física, patronímico, estado de salud, discapacidad, edad, opiniones políticas, actividades sindicales o creencias religiosas;
- **Salud y seguridad en el trabajo** cumpliendo, como mínimo, la legislación local aplicable y las normas internacionales.

El proveedor pagará a sus empleados, como mínimo, el salario legal o acordado colectivamente en vigor en el país en el que se preste el servicio. Respetará la legislación local en materia de jornada laboral y horas extraordinarias.

De conformidad con la ley francesa **Sapin II** (ley nº 2016-1691 de **9 de diciembre de 2016**), el proveedor se abstendrá de cualquier forma de corrupción activa o pasiva, tráfico de influencias, concusión y conflicto de intereses no declarado.

En particular, el proveedor:

1. No ofrece ni acepta ningún **regalo o invitación** susceptible de influir en una decisión, más allá de una práctica profesional razonable (límite máximo indicativo: **80 euros** por persona y año natural);

2. No paga ni solicita ninguna comisión ilegal;
3. No utiliza **ningún intermediario o empresa pantalla** para eludir las normas anticorrupción;
4. Declara cualquier **vínculo familiar, financiero o de capital** con un empleado o directivo de Stayinto, tan pronto como se conoce;
5. Respeta las **sanciones internacionales** (UE, ONU, OFAC) y las medidas restrictivas de lucha contra el blanqueo de capitales y la financiación del terrorismo.

El proveedor que trata datos personales por cuenta de Stayinto lo hace en calidad de **subencargado del tratamiento** en el sentido del artículo **28 del RGPD**. Para ello, firma un **acuerdo de tratamiento de datos (APD)**, adjunto al contrato, y se compromete a:

- Tratar los datos **únicamente** siguiendo instrucciones documentadas de Stayinto;
- Aplicar **medidas técnicas y organizativas adecuadas** (cifrado en tránsito y en reposo, gestión de acceso por roles, registro, pruebas de restauración);
- Utilizar un **subcontratista** únicamente con la autorización previa por escrito de Stayinto;
- **localizar** los datos, por defecto, dentro de la Unión Europea o en un país que se beneficie de una decisión de adecuación. Cualquier transferencia fuera de la UE está sujeta a un marco específico (**cláusulas contractuales tipo de la Comisión Europea**, **BCR**, **análisis Schrems II**);
- **Notificar** a Stayinto en un plazo de **48 horas** cualquier violación de los datos que le conciernan, de conformidad con el artículo **33 del GDPR**;
- **Devolver o destruir** los datos al final del contrato, con prueba de destrucción previa solicitud.

El proveedor que accede al sistema de información de Stayinto, o que aloja datos de Stayinto, implementa un nivel de seguridad acorde con el estado del arte (norma **ISO 27001**, guía **ANSSI**). Garantiza :

- Una **política de gestión de accesos** basada en *menor privilegio* y **autenticación de dos factores**;
- Una **separación** de los entornos de desarrollo, aceptación y producción;
- Una **vigilancia activa** de las vulnerabilidades de los componentes utilizados y un ciclo de parches documentado;
- La **reversibilidad** del servicio (exportación de los datos en un formato estándar, documentación de los esquemas, período de transición de al menos **tres meses**);
- La **trazabilidad** de las acciones de administración y la conservación de los registros durante el período legal aplicable.

De acuerdo con el reglamento europeo **IA Act** (Reglamento (UE) 2024/1689), cualquier proveedor que ofrezca sistemas de inteligencia artificial o modelos de fundamentos a Stayinto se compromete a:

- Documentar claramente el **nivel de riesgo** de su sistema en el sentido del reglamento;
- Proporcionar, para los sistemas de **riesgo alto**, la documentación técnica establecida en el Anexo IV del reglamento;
- Prohibir cualquier uso **prohibido** (calificación social, policía predictiva fuera del ámbito de aplicación, categorización biométrica sensible fuera del ámbito de excepciones);
- Informar a Stayinto, **antes de la puesta en marcha**, de cualquier cambio material en los datos de entrenamiento o en la arquitectura del modelo.

Stayinto se reserva el derecho de auditar, al menos una vez al año, los controles implementados y, si fuera necesario, recurrir a un auditor independiente a cargo del proveedor en caso de desviación significativa.

En línea con nuestra **política de Sostenibilidad**, el proveedor se compromete a:

- Cumplir la **normativa medioambiental** aplicable a sus actividades;
- Reducir, en la medida de lo técnicamente posible, el consumo energético y los residuos asociados al servicio prestado a Stayinto ;
- Ser capaz de **documentar**, previa solicitud, el origen de las mercancías entregadas (minerales, madera, textiles, componentes electrónicos);
- Cooperar, en el marco de la **CSRD** y del **deber de diligencia** (ley nº 2017-399 de **27 de marzo de 2017**), con las investigaciones realizadas por Stayinto sobre los proveedores de nivel 1 y 2.

Cualquier persona -empleado de Stayinto, empleado del proveedor, tercero- puede denunciar de buena fe un incumplimiento del presente Código o de la legislación aplicable, sin temor a represalias, a través de la siguiente dirección:

- **Email**: [email protected]

Las denuncias son tratadas de forma **confidencial** por el departamento jurídico de Stayinto (o por un referente externo cuando la denuncia afecta al propio departamento). La identidad del denunciante está protegida de conformidad con la ley francesa **n° 2022-401 de 21 de marzo de 2022** y la directiva **(UE) 2019/1937**.

El proveedor se compromete a **no sancionar**, despedir o discriminar a un empleado o subcontratista por informar de buena fe a Stayinto sobre un incumplimiento.

Stayinto podrá, en cualquier momento, verificar el cumplimiento de este Código:

1. Mediante el envío de un **cuestionario escrito** (autoevaluación);
2. Mediante la solicitud de **documentos justificativos específicos**;
3. Mediante una **auditoría in situ**, llevada a cabo por Stayinto o por un tercero autorizado, previa notificación con una antelación razonable de **quince (15) días naturales**.

En caso de incumplimiento, Stayinto podrá, en función de la gravedad:

- Solicitar un **plan de corrección** con un calendario preciso;
- **Suspender** la totalidad o parte de los pedidos en curso;
- **Cancelar** el contrato en perjuicio del proveedor, con efecto inmediato para los incumplimientos graves.

En caso de incumplimiento grave, Stayinto podrá, en función de la gravedad del incumplimiento, suspender el contrato.

Para cualquier cuestión relacionada con este Código, puede ponerse en contacto con nosotros:

- **Cumplimiento y ética**: [email protected]
- **Departamento jurídico**: [email protected]
- **Notificación confidencial**:
[email protected]
- **Dirección postal** : OPIDUN,
11 rue de Magdebourg, 75016 Paris, France

La aceptación de este Código se evidencia bien mediante su **firma como apéndice** del contrato marco, bien mediante el **inicio efectivo del servicio** tras la comunicación del documento al proveedor.