Contrato de encargo del tratamiento

Este contrato regula el tratamiento de datos personales que ABARCANDO, S.L. (NIF B88017173, C/ Casuarina 18, 7AD, 28044 Madrid; «el encargado») hace por cuenta de cada empresa cliente de AccessTime («el responsable») al prestarle el servicio. Lo acepta la persona que da de alta la empresa, en nombre de esta, marcando la casilla del registro, y queda por escrito en formato electrónico a los efectos del art. 28.9 del Reglamento (UE) 2016/679 (RGPD). AccessTime conserva la constancia de la versión aceptada (documento, versión, huella SHA-256, fecha, IP y navegador de quien aceptó). Forma parte de los términos de servicio.

1. Objeto, duración, naturaleza y finalidad

• Objeto: la prestación del servicio AccessTime (registro de jornada, ausencias y vacaciones, horarios y cuadrantes, teletrabajo, aprobaciones, informes y exportaciones).
• Duración: la del contrato de servicio, más el periodo de conservación y bloqueo del apartado 10.
• Naturaleza del tratamiento: recogida a través de la plataforma, registro, estructuración, conservación, consulta, exportación, comunicación al propio responsable (y a quien este dé acceso), bloqueo y supresión.
• Finalidad: que el responsable cumpla sus obligaciones de registro de jornada y gestione el tiempo de trabajo y las ausencias de su plantilla.

2. Tipos de datos y categorías de interesados

• Interesados: personas trabajadoras y colaboradoras del responsable, y las personas a las que este dé acceso a la plataforma.
• Datos identificativos y de contacto: nombre, email, NIF/NIE (si el responsable lo registra), idioma.
• Datos laborales: rol, departamento, centro de trabajo, puesto, fecha de alta, horario, turnos, saldos de vacaciones, y los cierres mensuales de horas (arts. 35.5 y 12.4.c ET) con su acuse de recibo (fecha, IP, navegador, canal y comentario).
• Registro de jornada: fichajes con fecha y hora del servidor, método, centro, teletrabajo, IP y agente de usuario del dispositivo, hora del dispositivo en fichajes sin conexión, y sus revisiones (valor anterior y nuevo, autor, rol, motivo, conformidad).
• Geolocalización: solo si el responsable la activa, en el instante del fichaje.
• Verificación local en el móvil: si la app móvil lo envía, con cada fichaje, el método con el que el propio teléfono comprobó a la persona (su biometría, un PIN o el código de desbloqueo, o ninguno) y si la comprobación salió bien. La hace el sistema operativo del teléfono: el encargado solo recibe ese resultado y no trata datos biométricos.
• Ausencias y justificantes, que pueden revelar datos de salud (categoría especial, art. 9 RGPD). Es un tratamiento previsible del servicio, que el responsable ampara en el art. 9.2.b RGPD y el art. 9 LOPDGDD. El responsable debe evitar que se introduzcan otras categorías especiales en campos de texto libre.
• Trazabilidad: registro de auditoría de los cambios y registro de accesos, también los de la representación legal (con su ámbito) y los de la Inspección con su enlace temporal.

3. Instrucciones del responsable

El encargado trata los datos solo siguiendo instrucciones documentadas del responsable, también en lo relativo a transferencias internacionales. Son instrucciones documentadas este contrato, los términos de servicio y la configuración que el responsable hace en la plataforma (roles, geolocalización, flujos de aprobación, exportaciones). Al aceptar este contrato el responsable da, además, estas instrucciones:

1. Conservar el registro de jornada, sus revisiones, las jornadas, incidencias, propuestas de corrección y ausencias 5 años (4 de mínimo legal, art. 34.9 ET, y uno de margen para reclamaciones e inspecciones que empiezan al final del plazo); los fichajes, sus revisiones y las propuestas, por años naturales completos (entre 5 y 6 años); los cierres mensuales, 5 años desde el mes que resumen (o desde que se generó la versión, si fue más tarde); el registro de auditoría, 5 años (de lo que se sigue conservando después de ese plazo —un horario vigente, el rol de una persona, una ausencia que acaba más tarde—, se guarda con ese dato quién lo hizo, solo por su identificador, con qué rol, por qué canal y cuándo, y se suprime con él); el de accesos, 2 años; las coordenadas de geolocalización, 30 días; y los enlaces de la Inspección, mientras exista la empresa. Cumplido el plazo, suprimirlos con el procedimiento de purga, que el encargado lanza a mano tras revisar el informe mensual de lo que se purgaría y que deja constancia de qué se suprimió y cuándo. El responsable puede pedir un plazo mayor: una retención por litigio o inspección, durante la cual no se purga nada de su empresa, tampoco las coordenadas ni sus conversaciones de soporte.
2. No sobrescribir ni borrar fichajes: cada corrección o anulación se añade como una revisión, con autor, rol, fecha y motivo.
3. Registrar de cada cambio quién lo hizo, con qué rol, cuándo y desde dónde, y por qué en las acciones que piden un motivo (entre ellas, las correcciones y anulaciones de fichajes), y conservar ese registro de forma que cualquier alteración se pueda detectar.
4. Mantener, tras la baja de una persona trabajadora, su acceso de consulta a su propio registro, sus revisiones y sus cierres durante 5 años desde su fecha de baja, salvo que el responsable se lo retire (nunca antes de que acaben sus plazos para responder a las propuestas de corrección pendientes y para confirmar la recepción de su cierre final) o salvo al terminar este contrato (apartado 10); y, cuando ya no quede nada suyo dentro de plazo, anonimizar sus datos identificativos si el responsable lo decide desde la ficha o, terminado este contrato, con el procedimiento de purga.

Si a juicio del encargado una instrucción infringe el RGPD, la LOPDGDD u otra norma de protección de datos, se lo comunicará inmediatamente al responsable.

4. Confidencialidad

El encargado garantiza que las personas autorizadas para tratar los datos (su personal técnico y de soporte) se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, también después de terminar su relación. El personal de soporte solo accede a los datos de una empresa cuando es necesario para prestar el servicio o cuando el responsable lo pide; cada entrada queda registrada con su motivo o su ticket, y cada entrada, salida y cambio, con su rol (la salida, al salir, al pasar a otra empresa o al cerrar sesión; si la sesión termina de otra forma, por ejemplo porque caduca, consta su última petición dentro de la empresa).

5. Medidas de seguridad (art. 32 RGPD)

El encargado aplica, como mínimo, las medidas del anexo I, y las revisa periódicamente. Puede sustituirlas por otras que den un nivel de seguridad igual o superior.

6. Subencargados

El responsable da una autorización general para recurrir a los subencargados del anexo II. El encargado informará al responsable de cualquier incorporación o sustitución con al menos 30 días de antelación, por correo electrónico a la administración de la empresa y en esta página, y el responsable podrá oponerse por motivos justificados; si no hay acuerdo, podrá resolver el contrato sin penalización. El encargado impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos de este contrato, en particular garantías suficientes de aplicar las medidas del art. 32 RGPD, y responde frente al responsable de su cumplimiento (art. 28.4 RGPD).

7. Transferencias internacionales

Los datos del servicio se alojan en la Unión Europea. Solo el subencargado de notificaciones push (Google) puede tratar datos en EE. UU., al amparo de la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cualquier otra transferencia requerirá una garantía adecuada del capítulo V del RGPD e instrucción del responsable.

8. Asistencia al responsable

El encargado ayuda al responsable, teniendo en cuenta la naturaleza del tratamiento:

• Derechos de los interesados: la plataforma permite al responsable consultar, exportar y rectificar (con su revisión) los datos de cada persona, y a cada persona trabajadora ver y descargar su propio registro. Si un interesado se dirige al encargado, este trasladará la solicitud al responsable en un plazo máximo de 5 días hábiles y no la contestará por su cuenta.
• Seguridad, violaciones de seguridad, evaluaciones de impacto y consultas previas (arts. 32 a 36 RGPD): el encargado facilita la información de que disponga, incluida la necesaria para que el responsable haga una evaluación de impacto cuando su tratamiento lo requiera.

9. Violaciones de seguridad

El encargado notificará al responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos, por correo electrónico a la administración de la empresa, con la información disponible: naturaleza del incidente, categorías y número aproximado de interesados y de registros afectados, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto. Si no puede dar toda la información a la vez, la facilitará por fases. El responsable es quien decide y, en su caso, notifica a la AEPD (72 horas) y a los interesados. Para acotar el alcance, el encargado dispone del registro de accesos y de auditoría de la plataforma.

10. Destino de los datos al terminar

Al terminar el servicio, el encargado devuelve los datos al responsable: este dispone de al menos 30 días para exportarlos todos (exportación completa de la empresa, con el registro de jornada por evento y sus revisiones, informes, ausencias y justificantes y el registro de auditoría, y exportación para la Inspección de cualquier periodo).

Después, el encargado conserva los datos bloqueados (arts. 32 y 33.4 LOPDGDD), accesibles solo para ponerlos a disposición de jueces y tribunales, de la Inspección de Trabajo o de las autoridades de protección de datos, hasta que se cumple el plazo de conservación de cada dato (apartado 3), y entonces los suprime con el procedimiento de purga, que deja constancia de qué se suprimió y cuándo; de las copias de seguridad desaparecen al rotar (a lo sumo en 12 meses). Los datos identificativos de cada persona trabajadora se anonimizan en cuanto no queda nada suyo dentro de plazo, y los del responsable y de quien aún quede, a los 6 años del fin del contrato (art. 30 del Código de Comercio). Durante el bloqueo solo la administración del responsable entra en la plataforma, y únicamente para ponerlos a disposición de esas autoridades: con la exportación completa, la exportación para la Inspección o un enlace para la Inspección, indicando cada vez el requerimiento que atiende, y queda registrado quién lo hizo, cuándo y para qué. Nadie más del responsable accede, tampoco quien está de baja con acceso de consulta: el responsable atiende sus derechos con los datos devueltos. No hay supresión anticipada: el encargado los conserva bloqueados mientras puedan derivarse responsabilidades de su relación con el responsable (art. 33.4 LOPDGDD). Conservar el registro de jornada 4 años es una obligación del responsable como empleador (art. 34.9 ET), que la garantiza con los datos devueltos (art. 33.3 LOPDGDD). El encargado certificará la supresión si el responsable lo pide.

11. Información y auditorías

El encargado pone a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato: esta documentación, la descripción de las medidas del anexo I, el registro de actividades de tratamiento como encargado (art. 30.2 RGPD) y el resultado de la verificación de la integridad del registro. Permite y contribuye a auditorías, incluidas inspecciones, del responsable o de un auditor que este designe, con un preaviso razonable (30 días), sin comprometer la seguridad ni la confidencialidad de otros clientes, y como regla general una vez al año, salvo que haya indicios de incumplimiento o lo exija una autoridad.

12. Obligaciones del responsable

El responsable garantiza que tiene base jurídica para los tratamientos que encarga, informa a su plantilla (art. 13 RGPD) del sistema de registro y, si activa la geolocalización, cumple el art. 90 LOPDGDD; configura los roles y accesos de forma que cada persona vea solo lo necesario; y comunica al encargado cualquier instrucción adicional por escrito.

13. Responsabilidad

Cada parte responde de sus incumplimientos conforme al art. 82 RGPD. Si el encargado trata los datos para fines propios o incumpliendo las instrucciones, será considerado responsable de ese tratamiento (art. 28.10 RGPD).

Anexo I · Medidas de seguridad

• Acceso: cuentas personales; contraseñas con hash bcrypt y 10 caracteres como mínimo; cuentas nuevas activadas con un enlace de un solo uso que caduca; verificación en dos pasos obligatoria para administración, RRHH, la representación legal de las personas trabajadoras y soporte de AccessTime; límites de intentos por cuenta e IP con bloqueo y aviso al titular; sesiones y accesos de la app visibles y revocables por el usuario; accesos de la app que caducan a los 90 días.
• Autorización: aislamiento de los datos por empresa en todas las consultas; permisos por rol (la persona trabajadora ve lo suyo; su responsable, su departamento; RRHH y administración, su empresa; la representación legal, el registro de su ámbito, sin NIF, datos de contacto ni textos libres); el tipo de ausencia no se muestra a los compañeros.
• Cifrado: HTTPS con HSTS en todas las comunicaciones; cifrado en reposo (AES-256) del NIF, de los motivos de ausencia, de los justificantes, de los secretos del segundo factor y de las copias de seguridad.
• Integridad y trazabilidad: el registro de jornada no se sobrescribe (revisiones de solo inserción); registro de auditoría de solo inserción con quién, rol, cuándo, desde dónde, antes, después y motivo; cadenas de huellas HMAC-SHA256 por empresa; disparadores de la base de datos que rechazan modificar o borrar esos registros fuera de la purga legal; sello de las cadenas cada hora fuera de la base de datos y cada día fuera del servidor; verificación diaria contra el último sello de fuera de la base de datos, con aviso de cualquier alteración que encuentre (el sello diario de fuera del servidor permite comprobarlo también a mano); la cuenta de la aplicación no tiene privilegios para alterar la estructura de la base de datos.
• Disponibilidad: copias de seguridad cifradas (14 diarias y 12 mensuales) con restauración comprobada, guardadas en el servidor y, con la misma rotación, fuera de él, en un servidor de Arsys Internet, S.L.U. en España (anexo II), que no tiene la clave para descifrarlas; el registro de cambios de la base de datos, que permite recuperarla hasta el momento de un fallo, se conserva como mucho 14 días y solo sale del servidor cifrado; fichajes sin conexión que se guardan en el dispositivo y se sincronizan sin duplicados.
• Aplicación web: política de seguridad de contenidos (CSP), cabeceras de protección, protección CSRF y anti-bots en los formularios públicos, revisión periódica de dependencias con avisos de seguridad.
• Organización: personal con deber de confidencialidad; acceso de soporte registrado; procedimiento de gestión y notificación de violaciones de seguridad; registro de actividades de tratamiento como encargado.

Anexo II · Subencargados autorizados

El servidor de Arsys trae cada día del servidor principal, por una conexión cifrada (SSH) y con un acceso que solo permite leerlos, las copias y el registro de cambios ya cifrados; la clave que los descifra la guarda el encargado fuera de ese servidor (anexo I).

No son subencargados, porque no tratan datos de la plantilla por cuenta del responsable: Stripe Payments Europe, Ltd. (cobro de la suscripción, responsable independiente de sus datos de pago) y Google reCAPTCHA (protección de los formularios públicos, tratamiento propio de ABARCANDO descrito en la política de privacidad).