---
title: Contrato de encargo del tratamiento
description: Contrato de encargo del tratamiento (art. 28 RGPD) entre cada empresa cliente de AccessTime, responsable, y ABARCANDO, S.L., encargado.
order: 15
---

Este contrato regula el tratamiento de datos personales que **ABARCANDO, S.L.** (NIF
B88017173, C/ Casuarina 18, 7AD, 28044 Madrid; «el encargado») hace por cuenta de cada
**empresa cliente** de AccessTime («el responsable») al prestarle el servicio. Lo acepta
la persona que da de alta la empresa, en nombre de esta, marcando la casilla del
registro, y queda por escrito en formato electrónico a los efectos del art. 28.9 del
Reglamento (UE) 2016/679 (RGPD). AccessTime conserva la constancia de la versión
aceptada (documento, versión, huella SHA-256, fecha, IP y navegador de quien aceptó).
Forma parte de los [términos de servicio](/legal/terminos).

## 1. Objeto, duración, naturaleza y finalidad

- **Objeto**: la prestación del servicio AccessTime (registro de jornada, ausencias y
  vacaciones, horarios y cuadrantes, teletrabajo, aprobaciones, informes y
  exportaciones).
- **Duración**: la del contrato de servicio, más el periodo de conservación y bloqueo
  del apartado 10.
- **Naturaleza del tratamiento**: recogida a través de la plataforma, registro,
  estructuración, conservación, consulta, exportación, comunicación al propio responsable
  (y a quien este dé acceso), bloqueo y supresión.
- **Finalidad**: que el responsable cumpla sus obligaciones de registro de jornada y
  gestione el tiempo de trabajo y las ausencias de su plantilla.

## 2. Tipos de datos y categorías de interesados

- **Interesados**: personas trabajadoras y colaboradoras del responsable, y las personas
  a las que este dé acceso a la plataforma.
- **Datos identificativos y de contacto**: nombre, email, NIF/NIE (si el responsable lo
  registra), idioma.
- **Datos laborales**: rol, departamento, centro de trabajo, puesto, fecha de alta,
  horario, turnos, saldos de vacaciones, y los cierres mensuales de horas (arts. 35.5 y
  12.4.c ET) con su acuse de recibo (fecha, IP, navegador, canal y comentario).
- **Registro de jornada**: fichajes con fecha y hora del servidor, método, centro,
  teletrabajo, IP y agente de usuario del dispositivo, hora del dispositivo en fichajes
  sin conexión, y sus revisiones (valor anterior y nuevo, autor, rol, motivo,
  conformidad).
- **Geolocalización**: solo si el responsable la activa, en el instante del fichaje.
- **Verificación local en el móvil**: si la app móvil lo envía, con cada fichaje, el método
  con el que el propio teléfono comprobó a la persona (su biometría, un PIN o el código de
  desbloqueo, o ninguno) y si la comprobación salió bien. La hace el sistema operativo del
  teléfono: el encargado solo recibe ese resultado y **no trata datos biométricos**.
- **Ausencias y justificantes**, que **pueden revelar datos de salud** (categoría especial,
  art. 9 RGPD). Es un tratamiento previsible del servicio, que el responsable ampara en el
  art. 9.2.b RGPD y el art. 9 LOPDGDD. El responsable debe evitar que se introduzcan otras
  categorías especiales en campos de texto libre.
- **Trazabilidad**: registro de auditoría de los cambios y registro de accesos, también
  los de la representación legal (con su ámbito) y los de la Inspección con su enlace
  temporal.

## 3. Instrucciones del responsable

El encargado trata los datos **solo siguiendo instrucciones documentadas del
responsable**, también en lo relativo a transferencias internacionales. Son
instrucciones documentadas este contrato, los términos de servicio y la **configuración
que el responsable hace en la plataforma** (roles, geolocalización, flujos de
aprobación, exportaciones). Al aceptar este contrato el responsable da, además, estas
instrucciones:

1. **Conservar** el registro de jornada, sus revisiones, las jornadas, incidencias,
   propuestas de corrección y ausencias **5 años** (4 de mínimo legal, art. 34.9 ET, y uno
   de margen para reclamaciones e inspecciones que empiezan al final del plazo); los
   fichajes, sus revisiones y las propuestas, por años naturales completos (entre 5 y 6
   años); los cierres mensuales, 5 años desde el mes que resumen (o desde que se generó la versión, si fue más tarde); el registro de auditoría, 5 años (de lo que se sigue conservando después de ese plazo —un horario vigente, el rol de una persona, una ausencia que acaba más tarde—, se guarda con ese dato quién lo hizo, solo por su identificador, con qué rol, por qué canal y cuándo, y se suprime con él); el de accesos, 2 años; las coordenadas de geolocalización, 30
   días; y los enlaces de la Inspección, mientras exista la empresa. Cumplido el plazo,
   suprimirlos con el procedimiento de purga, que el encargado lanza a mano tras revisar
   el informe mensual de lo que se purgaría y que deja constancia de qué se suprimió y
   cuándo. El responsable puede pedir un plazo mayor: una retención por litigio o
   inspección, durante la cual no se purga nada de su empresa, tampoco las coordenadas
   ni sus conversaciones de soporte.
2. **No sobrescribir ni borrar** fichajes: cada corrección o anulación se añade como una
   revisión, con autor, rol, fecha y motivo.
3. **Registrar** de cada cambio quién lo hizo, con qué rol, cuándo y desde dónde, y por
   qué en las acciones que piden un motivo (entre ellas, las correcciones y anulaciones de
   fichajes), y conservar ese registro de forma que cualquier alteración se pueda detectar.
4. **Mantener**, tras la baja de una persona trabajadora, su acceso de consulta a su
   propio registro, sus revisiones y sus cierres durante 5 años desde su fecha de baja,
   salvo que el responsable se lo retire (nunca antes de que acaben sus plazos para
   responder a las propuestas de corrección pendientes y para confirmar la recepción de su
   cierre final) o salvo al terminar este contrato (apartado 10); y, cuando ya no quede
   nada suyo dentro de plazo, anonimizar sus datos identificativos si el responsable lo
   decide desde la ficha o, terminado este contrato, con el procedimiento de purga.

Si a juicio del encargado una instrucción infringe el RGPD, la LOPDGDD u otra norma de
protección de datos, se lo comunicará inmediatamente al responsable.

## 4. Confidencialidad

El encargado garantiza que las personas autorizadas para tratar los datos (su personal
técnico y de soporte) se han comprometido a respetar la confidencialidad o están sujetas a
una obligación legal de confidencialidad, también después de terminar su relación. El
personal de soporte solo accede a los datos de una empresa cuando es necesario para
prestar el servicio o cuando el responsable lo pide; cada entrada queda registrada con su
motivo o su ticket, y cada entrada, salida y cambio, con su rol (la salida, al salir, al
pasar a otra empresa o al cerrar sesión; si la sesión termina de otra forma, por ejemplo
porque caduca, consta su última petición dentro de la empresa).

## 5. Medidas de seguridad (art. 32 RGPD)

El encargado aplica, como mínimo, las medidas del **anexo I**, y las revisa
periódicamente. Puede sustituirlas por otras que den un nivel de seguridad igual o
superior.

## 6. Subencargados

El responsable da una **autorización general** para recurrir a los subencargados del
**anexo II**. El encargado informará al responsable de cualquier incorporación o
sustitución con al menos **30 días** de antelación, por correo electrónico a la
administración de la empresa y en esta página, y el responsable podrá oponerse por
motivos justificados; si no hay acuerdo, podrá resolver el contrato sin penalización. El
encargado impone a cada subencargado, por contrato, las mismas obligaciones de protección
de datos de este contrato, en particular garantías suficientes de aplicar las medidas
del art. 32 RGPD, y **responde frente al responsable** de su cumplimiento (art. 28.4 RGPD).

## 7. Transferencias internacionales

Los datos del servicio se alojan en la Unión Europea. Solo el subencargado de
notificaciones push (Google) puede tratar datos en EE. UU., al amparo de la decisión de
adecuación del Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cualquier otra
transferencia requerirá una garantía adecuada del capítulo V del RGPD e instrucción del
responsable.

## 8. Asistencia al responsable

El encargado ayuda al responsable, teniendo en cuenta la naturaleza del tratamiento:

- **Derechos de los interesados**: la plataforma permite al responsable consultar,
  exportar y rectificar (con su revisión) los datos de cada persona, y a cada persona
  trabajadora ver y descargar su propio registro. Si un interesado se dirige al
  encargado, este trasladará la solicitud al responsable en un plazo máximo de **5 días
  hábiles** y no la contestará por su cuenta.
- **Seguridad, violaciones de seguridad, evaluaciones de impacto y consultas previas**
  (arts. 32 a 36 RGPD): el encargado facilita la información de que disponga,
  incluida la necesaria para que el responsable haga una evaluación de impacto cuando su
  tratamiento lo requiera.

## 9. Violaciones de seguridad

El encargado notificará al responsable, **sin dilación indebida y en un plazo máximo de
48 horas** desde que tenga conocimiento, cualquier violación de la seguridad que afecte
a sus datos, por correo electrónico a la administración de la empresa, con la
información disponible: naturaleza del incidente, categorías y número aproximado de
interesados y de registros afectados, consecuencias probables, medidas adoptadas o
propuestas y un punto de contacto. Si no puede dar toda la información a la vez, la
facilitará por fases. El responsable es quien decide y, en su caso, notifica a la AEPD
(72 horas) y a los interesados. Para acotar el alcance, el encargado dispone del registro
de accesos y de auditoría de la plataforma.

## 10. Destino de los datos al terminar

Al terminar el servicio, el encargado **devuelve** los datos al responsable: este dispone
de al menos **30 días** para exportarlos todos (exportación completa de la empresa, con el
registro de jornada por evento y sus revisiones, informes, ausencias y justificantes y el
registro de auditoría, y exportación para la Inspección de cualquier periodo).

Después, el encargado conserva los datos **bloqueados** (arts. 32 y 33.4 LOPDGDD),
accesibles solo para ponerlos a disposición de jueces y tribunales, de la Inspección de
Trabajo o de las autoridades de protección de datos, hasta que se cumple el plazo de
conservación de cada dato (apartado 3), y entonces los suprime con el procedimiento de
purga, que deja constancia de qué se suprimió y cuándo; de las copias de seguridad
desaparecen al rotar (a lo sumo en 12 meses). Los datos identificativos de cada persona
trabajadora se anonimizan en cuanto no queda nada suyo dentro de plazo, y los del
responsable y de quien aún quede, a los 6 años del fin del contrato (art. 30 del Código de
Comercio). Durante el bloqueo solo la administración del responsable entra en la
plataforma, y únicamente para ponerlos a disposición de esas autoridades: con la
exportación completa, la exportación para la Inspección o un enlace para la Inspección,
indicando cada vez el requerimiento que atiende, y queda registrado quién lo hizo, cuándo
y para qué. Nadie más del responsable accede, tampoco quien está de baja con acceso de
consulta: el responsable atiende sus derechos con los datos devueltos. No hay supresión
anticipada: el encargado los conserva bloqueados mientras puedan derivarse
responsabilidades de su relación con el responsable (art. 33.4 LOPDGDD). Conservar el
registro de jornada 4 años es una obligación del responsable como empleador (art. 34.9
ET), que la garantiza con los datos devueltos (art. 33.3 LOPDGDD). El encargado
certificará la supresión si el responsable lo pide.

## 11. Información y auditorías

El encargado pone a disposición del responsable la información necesaria para demostrar
el cumplimiento de este contrato: esta documentación, la descripción de las medidas del
anexo I, el registro de actividades de tratamiento como encargado (art. 30.2 RGPD) y el
resultado de la verificación de la integridad del registro. Permite y contribuye a
auditorías, incluidas inspecciones, del responsable o de un auditor que este designe,
con un preaviso razonable (30 días), sin comprometer la seguridad ni la confidencialidad
de otros clientes, y como regla general una vez al año, salvo que haya indicios de
incumplimiento o lo exija una autoridad.

## 12. Obligaciones del responsable

El responsable garantiza que tiene base jurídica para los tratamientos que encarga,
informa a su plantilla (art. 13 RGPD) del sistema de registro y, si activa la
geolocalización, cumple el art. 90 LOPDGDD; configura los roles y accesos de forma que
cada persona vea solo lo necesario; y comunica al encargado cualquier instrucción
adicional por escrito.

## 13. Responsabilidad

Cada parte responde de sus incumplimientos conforme al art. 82 RGPD. Si el encargado
trata los datos para fines propios o incumpliendo las instrucciones, será considerado
responsable de ese tratamiento (art. 28.10 RGPD).

---

## Anexo I · Medidas de seguridad

- **Acceso**: cuentas personales; contraseñas con hash bcrypt y 10 caracteres como mínimo;
  cuentas nuevas activadas con un enlace de un solo uso que caduca; verificación en dos
  pasos obligatoria para administración, RRHH, la representación legal de las personas
  trabajadoras y soporte de AccessTime; límites de intentos
  por cuenta e IP con bloqueo y aviso al titular; sesiones y accesos de la app visibles y
  revocables por el usuario; accesos de la app que caducan a los 90 días.
- **Autorización**: aislamiento de los datos por empresa en todas las consultas; permisos
  por rol (la persona trabajadora ve lo suyo; su responsable, su departamento; RRHH y
  administración, su empresa; la representación legal, el registro de su ámbito, sin
  NIF, datos de contacto ni textos libres); el tipo de ausencia no se muestra a los
  compañeros.
- **Cifrado**: HTTPS con HSTS en todas las comunicaciones; cifrado en reposo (AES-256) del
  NIF, de los motivos de ausencia, de los justificantes, de los secretos del segundo factor
  y de las copias de seguridad.
- **Integridad y trazabilidad**: el registro de jornada no se sobrescribe (revisiones de
  solo inserción); registro de auditoría de solo inserción con quién, rol, cuándo, desde
  dónde, antes, después y motivo; cadenas de huellas HMAC-SHA256 por empresa; disparadores
  de la base de datos que rechazan modificar o borrar esos registros fuera de la purga
  legal; sello de las cadenas cada hora fuera de la base de datos y cada día fuera del
  servidor; verificación diaria contra el último sello de fuera de la base de datos, con aviso de
  cualquier alteración que encuentre (el sello diario de fuera del servidor permite
  comprobarlo también a mano); la cuenta de la
  aplicación no tiene privilegios para alterar la estructura de la base de datos.
- **Disponibilidad**: copias de seguridad cifradas (14 diarias y 12 mensuales) con
  restauración comprobada, guardadas en el servidor y, con la misma rotación, fuera de él,
  en un servidor de Arsys Internet, S.L.U. en España (anexo II), que no tiene la clave para
  descifrarlas; el registro de cambios de la base de datos, que
  permite recuperarla hasta el momento de un fallo, se conserva como mucho 14 días y solo
  sale del servidor cifrado; fichajes sin conexión que se guardan en el dispositivo y se
  sincronizan sin duplicados.
- **Aplicación web**: política de seguridad de contenidos (CSP), cabeceras de protección,
  protección CSRF y anti-bots en los formularios públicos, revisión periódica de
  dependencias con avisos de seguridad.
- **Organización**: personal con deber de confidencialidad; acceso de soporte registrado;
  procedimiento de gestión y notificación de violaciones de seguridad; registro de
  actividades de tratamiento como encargado.

## Anexo II · Subencargados autorizados

| Subencargado | Servicio | Datos | Ubicación y garantía |
| --- | --- | --- | --- |
| IONOS SE (Elgendorfer Str. 57, 56410 Montabaur, Alemania) | Servidor privado virtual: aplicación, base de datos, copias de seguridad y servidor de correo de la plataforma | Todos los del servicio | Unión Europea |
| Arsys Internet, S.L.U. (C/ Chile 54, 26007 Logroño, España) | Servidor privado virtual: alojamiento de la copia de seguridad cifrada fuera del servidor principal (las copias de seguridad y el registro de cambios de la base de datos, con la misma rotación que en el servidor), para recuperar el servicio si este se pierde; y correo de soporte: mensajes que el responsable o sus usuarios envían al soporte (a soporte@accesstime.app, que se recibe en el buzón soporte@abarcando.com del encargado) | En la copia, todos los del servicio, solo cifrados (AES-256): la clave de descifrado no está en ese servidor y Arsys no la tiene. En el correo de soporte, los que contengan esos mensajes, que no van cifrados de extremo a extremo: llegan por una conexión cifrada (TLS) y se guardan en el buzón | España (Unión Europea) |
| Google Ireland Ltd. (Gordon House, Barrow Street, Dublín 4, Irlanda) | Firebase Cloud Messaging: notificaciones push de la app móvil, solo si el responsable usa la app | Identificador del dispositivo y el aviso: título y texto breve, tipo de aviso con su resultado (recordatorio de fichaje; solicitud de ausencia, de incidencia de fichaje o de cambio de horario, pendiente, aprobada o rechazada; propuesta de corrección del registro, pendiente de respuesta o qué ha pasado con ella; resumen de horas de un mes, con el mes) y una referencia interna, sin horas, nombres, motivos, comentarios ni ubicación | UE; Google LLC puede tratarlos en EE. UU. al amparo del Marco de Privacidad de Datos UE-EE. UU. |

El servidor de Arsys trae cada día del servidor principal, por una conexión cifrada (SSH) y
con un acceso que solo permite leerlos, las copias y el registro de cambios ya cifrados; la
clave que los descifra la guarda el encargado fuera de ese servidor (anexo I).

No son subencargados, porque no tratan datos de la plantilla por cuenta del
responsable: **Stripe Payments Europe, Ltd.** (cobro de la suscripción, responsable
independiente de sus datos de pago) y **Google reCAPTCHA** (protección de los formularios
públicos, tratamiento propio de ABARCANDO descrito en la
[política de privacidad](/legal/privacidad)).