Acuerdo de encargo del tratamiento

1. Partes objeto y duración

Responsable: la empresa cliente. Encargado: Christopher Juan Diego Neale, NIF 45895200B, domicilio en Calle Concepción 5, 03590 Altea, Alicante, España, correo info@timeclockapp.es, sitio web https://timeclockapp.es. Objeto: prestar TimeClockApp siguiendo instrucciones documentadas (configuración, fichajes, informes y soporte). Duración: contrato de servicio más el periodo de devolución, bloqueo o supresión aplicable, incluida la conservación legal de jornada.

2. Naturaleza finalidad e interesados

Alojamiento, organización, consulta, modificación autorizada, generación de informes, soporte, copias y supresión de datos para control horario y gestión laboral. Interesados: trabajadores, candidatos incorporados y usuarios autorizados del cliente.

3. Categorías de datos

Identidad y contacto laboral, credenciales, empresa y centro, horarios, fichajes, pausas, ausencias, incidencias, cambios, informes, evidencias técnicas y ubicación puntual cuando el responsable la activa. Si se activan avisos, también el token o la suscripción del dispositivo y el contenido del aviso, que puede incluir el nombre y la hora que el propio aviso muestra. Esos avisos son opcionales y el fichaje funciona sin ellos.

4. Instrucciones y confidencialidad

El encargado tratará datos solo conforme al contrato y a la configuración documentada, informará si considera ilícita una instrucción y limitará el acceso a personal autorizado sujeto a confidencialidad.

5. Seguridad

Controles de acceso, separación por empresa, cifrado en tránsito, hash de contraseñas, registros de auditoría, gestión de vulnerabilidades, copias y recuperación. El responsable puede solicitar una descripción actualizada de estas medidas.

6. Subencargados y transferencias

El cliente autoriza con carácter general a los subencargados siguientes, y será informado de cambios sustanciales con plazo razonable para oponerse. Las transferencias internacionales usarán una garantía válida del capítulo V RGPD.

• Render: Alojamiento de la aplicación y del API. Ubicación: UE o EEE según región configurada; matriz en Estados Unidos. Garantía: Contrato de encargado y, si hay transferencia, cláusulas contractuales tipo u otra garantía del capítulo V RGPD.
• Supabase: Base de datos PostgreSQL y copias del servicio. Ubicación: UE o EEE según proyecto configurado; matriz en Estados Unidos. Garantía: Contrato de encargado y, si hay transferencia, cláusulas contractuales tipo u otra garantía del capítulo V RGPD.
• Stripe: Cobro de suscripciones, facturación y, en su caso, notas de crédito. Ubicación: Irlanda (Stripe Payments Europe) y, cuando proceda, Estados Unidos. Garantía: Encargado/corresponsable según el servicio de pagos; cláusulas contractuales tipo o marco de adecuación aplicable.
• Resend: Correo operativo: alta y bienvenida, recuperación de contraseña de administrador, recuperación de contraseña de empleado y avisos de cuenta. Aparte, si el superadministrador usa esa función, correo comercial de folleto a leads; ese envío no es tratamiento de datos laborales. Ubicación: Estados Unidos / UE según encaminamiento. Garantía: Contrato de encargado y cláusulas contractuales tipo u otra garantía del capítulo V RGPD.
• Google Analytics (Google Ireland Limited / Google LLC): Medición de páginas públicas, solo después del consentimiento. No forma parte del fichaje. Ubicación: Irlanda y Estados Unidos. Garantía: Consentimiento para analítica no necesaria; cláusulas contractuales tipo o marco de adecuación para transferencias.
• Google Maps (Google Ireland Limited / Google LLC): Mapas y geocodificación para configurar sedes y para localizar direcciones en la búsqueda de leads. No es la geolocalización del trabajador al fichar. Ubicación: Irlanda y Estados Unidos. Garantía: Este apartado separa los mapas de la analítica. No afirma que el consentimiento de cookies cubra este servicio.
• Google Firebase Cloud Messaging (FCM): Avisos push opcionales del servicio. Puede recibir el token del dispositivo, el contenido del aviso y, cuando ese aviso lo incluye, el nombre del empleado y la hora de entrada o de salida. No recibe el fichaje completo, las coordenadas ni las incidencias. El fichaje funciona sin este canal. Ubicación: Estados Unidos (servicio de Google). Este texto no fija la región del proyecto. Garantía: Este apartado describe el canal. No afirma una garantía concreta de transferencia.
• Web Push (VAPID): Avisos push opcionales con VAPID. La suscripción depende del navegador o del dispositivo. El mensaje se entrega por el servicio push de ese navegador o sistema; puede ser el de Google, Mozilla, Apple, Microsoft u otro, y la aplicación no determina uno solo. Puede contener el mismo tipo de aviso que las notificaciones del servicio. No es necesario para fichar. Ubicación: La determina el servicio push del navegador o del sistema, no la aplicación. Garantía: Este apartado describe el canal. No afirma una garantía concreta de transferencia ni un proveedor único.

7. Derechos y cooperación

El encargado trasladará al responsable, sin responder por su cuenta salvo instrucción, las solicitudes de interesados que reciba, y facilitará búsqueda, exportación, rectificación, limitación y supresión dentro de un plazo máximo de 10 días hábiles salvo imposibilidad técnica justificada.

8. Brechas de seguridad

El encargado notificará al responsable sin dilación indebida tras conocer una brecha, con objetivo operativo de 24 horas, e incluirá naturaleza, categorías, volumen aproximado, consecuencias, medidas y contacto, de modo que el responsable pueda valorar su obligación de 72 horas ante la AEPD.

9. Evaluaciones auditoría y evidencias

El encargado ayudará con análisis de riesgos, evaluaciones de impacto (incluida geolocalización si el responsable la activa) y consultas. Pondrá a disposición información razonable y permitirá auditorías proporcionadas bajo confidencialidad y con preaviso.

10. Devolución bloqueo y supresión

Al finalizar, el cliente podrá exportar los datos. Después se devolverán o suprimirán según su elección, salvo conservación legal documentada (en especial el registro de jornada durante al menos 4 años), que quedará bloqueada. Se emitirá evidencia de la operación cuando el cliente la solicite.

11. Anexos

Anexo I: instrucciones = la configuración del panel (centros, GPS, retención 4–10 años, roles). Anexo II: inventario = las categorías del apartado 3. Anexo III: subencargados = apartado 6. Anexo IV: transferencias = las indicadas en cada subencargado. Anexo V: medidas = apartado 5. Anexo VI: contactos = info@timeclockapp.es. Anexo VII: geolocalización = puntual al fichar, sin seguimiento continuo, solo si el responsable la activa e informa previamente (art. 90 LOPDGDD). Anexo VIII: formato de devolución = CSV, PDF o paquete de inspección exportable desde el panel.