Encargo de tratamiento (art. 28 RGPD)

Este documento regula el tratamiento de datos personales que Katherine Jimenez Moreno realiza por cuenta de la empresa cliente al prestar GesFichaje. Forma parte de los términos del servicio y se acepta al crear la cuenta.

1. Roles

La empresa cliente es la responsable del tratamiento de los datos de su plantilla. Katherine Jimenez Moreno, NIF 03162122J, con domicilio en Plaza Habana Vieja 9-5, 46950 Xirivella, Valencia, España, actúa como encargado del tratamiento y trata los datos únicamente conforme a las instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales.

2. Objeto, naturaleza y duración

Objeto: prestación del servicio de registro de jornada laboral y conservación de su evidencia. Naturaleza: recogida, registro, conservación, consulta, exportación y supresión. Duración: la vigencia del contrato de servicio.

3. Categorías de datos e interesados

• Interesados: personas trabajadoras y usuarias designadas por la empresa cliente.
• Datos: identificativos (nombre, apellidos, documento, correo), marcajes horarios, correcciones e incidencias, datos técnicos de conexión (IP y agente de usuario), clave personal almacenada como hash irreversible y, si el responsable lo activa, ubicación puntual en el momento del fichaje.
• No se tratan datos biométricos ni categorías especiales de datos.

4. Obligaciones del encargado

• Tratar los datos solo siguiendo instrucciones documentadas del responsable.
• Garantizar que las personas autorizadas se han comprometido a respetar la confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 RGPD descritas en el apartado 7 y asistir al responsable para asegurar su cumplimiento.
• Asistir al responsable en la atención de los derechos de los interesados y en las evaluaciones de impacto y consultas previas.
• Notificar al responsable, sin dilación indebida y por correo electrónico, cualquier violación de la seguridad de los datos de la que tenga conocimiento, con la información necesaria para su notificación a la autoridad de control.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, previa solicitud con antelación suficiente.
• Informar al responsable si, en su opinión, una instrucción infringe la normativa de protección de datos.

5. Obligaciones del responsable

• Informar previamente a la plantilla y, en su caso, a su representación legal.
• Determinar el sistema de registro según el convenio colectivo o acuerdo de empresa y valorar la proporcionalidad de las opciones que active, en especial la geolocalización.
• Mantener actualizado su registro de actividades de tratamiento.

6. Subencargados

El responsable autoriza con carácter general el recurso a los siguientes subencargados, vinculados por obligaciones equivalentes a las de este documento:

• Proveedor de infraestructura de aplicación y red de distribución, con tratamiento en la Unión Europea o con garantías adecuadas (cláusulas contractuales tipo).
• Proveedor de base de datos, autenticación y almacenamiento gestionados.
• Proveedor de correo transaccional para avisos de cuenta y recuperación de acceso.

Cualquier alta o sustitución de subencargado se comunicará con antelación razonable, pudiendo el responsable oponerse y, en tal caso, resolver el contrato.

7. Medidas de seguridad

• Aislamiento estricto de datos por empresa mediante políticas de acceso a nivel de fila.
• Cifrado en tránsito y credenciales almacenadas exclusivamente con funciones de hash.
• Segunda autenticación para el área de Administración y limitación de intentos.
• Registros de jornada, correcciones, cierres y auditoría inalterables, con auditoría encadenada mediante huellas SHA-256.
• Copias de seguridad gestionadas por el proveedor de base de datos.

8. Geolocalización

Desactivada por defecto. Su activación es una decisión del responsable, que debe informar previamente de forma expresa a la plantilla y a su representación legal y valorar su necesidad y proporcionalidad (art. 90 LOPDGDD). El sistema solo captura la ubicación en el instante del marcaje; no realiza seguimiento continuo.

9. Conservación, devolución y supresión

Los registros se conservan un mínimo de cuatro años y no pueden eliminarse desde la aplicación. A la finalización del contrato, el responsable puede exportar sus datos y solicitar su devolución o supresión, salvo que deba conservarlos por obligación legal.

10. Contacto

administracion@katherinejimenez.es