--- title: "Acuerdo de encargo del tratamiento | TimeClockApp" canonical: https://timeclockapp.es/legal/dpa language: es-ES author: "Equipo editorial de TimeClockApp" llms: https://timeclockapp.es/llms.txt --- # Acuerdo de encargo del tratamiento Acuerdo del artículo 28 RGPD entre cada empresa cliente como responsable y el proveedor de TimeClockApp como encargado del tratamiento de los datos laborales alojados en la plataforma. ## 1. Partes objeto y duración Responsable: la empresa cliente. Encargado: Christopher Juan Diego Neale, NIF 45895200B, domicilio en Calle Concepción 5, 03590 Altea, Alicante, España, correo info@timeclockapp.es, sitio web https://timeclockapp.es. Objeto: prestar TimeClockApp siguiendo instrucciones documentadas (configuración, fichajes, informes y soporte). Duración: contrato de servicio más el periodo de devolución, bloqueo o supresión aplicable, incluida la conservación legal de jornada. ## 2. Naturaleza finalidad e interesados Alojamiento, organización, consulta, modificación autorizada, generación de informes, soporte, copias y supresión de datos para control horario y gestión laboral. Interesados: trabajadores, candidatos incorporados y usuarios autorizados del cliente. ## 3. Categorías de datos Identidad y contacto laboral, credenciales, empresa y centro, horarios, fichajes, pausas, ausencias, incidencias, cambios, informes, evidencias técnicas y ubicación puntual cuando el responsable la activa. Si se activan avisos, también el token o la suscripción del dispositivo y el contenido del aviso, que puede incluir el nombre y la hora que el propio aviso muestra. Esos avisos son opcionales y el fichaje funciona sin ellos. ## 4. Instrucciones y confidencialidad El encargado tratará datos solo conforme al contrato y a la configuración documentada, informará si considera ilícita una instrucción y limitará el acceso a personal autorizado sujeto a confidencialidad. ## 5. Seguridad Controles de acceso, separación por empresa, cifrado en tránsito, hash de contraseñas, registros de auditoría, gestión de vulnerabilidades, copias y recuperación. El responsable puede solicitar una descripción actualizada de estas medidas. ## 6. Subencargados y transferencias El cliente autoriza con carácter general a los subencargados siguientes, y será informado de cambios sustanciales con plazo razonable para oponerse. Las transferencias internacionales usarán una garantía válida del capítulo V RGPD. - Render: Alojamiento de la aplicación y del API. Ubicación: UE o EEE según región configurada; matriz en Estados Unidos. Garantía: Contrato de encargado y, si hay transferencia, cláusulas contractuales tipo u otra garantía del capítulo V RGPD. - Supabase: Base de datos PostgreSQL y copias del servicio. Ubicación: UE o EEE según proyecto configurado; matriz en Estados Unidos. Garantía: Contrato de encargado y, si hay transferencia, cláusulas contractuales tipo u otra garantía del capítulo V RGPD. - Stripe: Cobro de suscripciones, facturación y, en su caso, notas de crédito. Ubicación: Irlanda (Stripe Payments Europe) y, cuando proceda, Estados Unidos. Garantía: Encargado/corresponsable según el servicio de pagos; cláusulas contractuales tipo o marco de adecuación aplicable. - Resend: Correo operativo: alta y bienvenida, recuperación de contraseña de administrador, recuperación de contraseña de empleado y avisos de cuenta. Aparte, si el superadministrador usa esa función, correo comercial de folleto a leads; ese envío no es tratamiento de datos laborales. Ubicación: Estados Unidos / UE según encaminamiento. Garantía: Contrato de encargado y cláusulas contractuales tipo u otra garantía del capítulo V RGPD. - Google Analytics (Google Ireland Limited / Google LLC): Medición de páginas públicas, solo después del consentimiento. No forma parte del fichaje. Ubicación: Irlanda y Estados Unidos. Garantía: Consentimiento para analítica no necesaria; cláusulas contractuales tipo o marco de adecuación para transferencias. - Google Maps (Google Ireland Limited / Google LLC): Mapas y geocodificación para configurar sedes y para localizar direcciones en la búsqueda de leads. No es la geolocalización del trabajador al fichar. Ubicación: Irlanda y Estados Unidos. Garantía: Este apartado separa los mapas de la analítica. No afirma que el consentimiento de cookies cubra este servicio. - Google Firebase Cloud Messaging (FCM): Avisos push opcionales del servicio. Puede recibir el token del dispositivo, el contenido del aviso y, cuando ese aviso lo incluye, el nombre del empleado y la hora de entrada o de salida. No recibe el fichaje completo, las coordenadas ni las incidencias. El fichaje funciona sin este canal. Ubicación: Estados Unidos (servicio de Google). Este texto no fija la región del proyecto. Garantía: Este apartado describe el canal. No afirma una garantía concreta de transferencia. - Web Push (VAPID): Avisos push opcionales con VAPID. La suscripción depende del navegador o del dispositivo. El mensaje se entrega por el servicio push de ese navegador o sistema; puede ser el de Google, Mozilla, Apple, Microsoft u otro, y la aplicación no determina uno solo. Puede contener el mismo tipo de aviso que las notificaciones del servicio. No es necesario para fichar. Ubicación: La determina el servicio push del navegador o del sistema, no la aplicación. Garantía: Este apartado describe el canal. No afirma una garantía concreta de transferencia ni un proveedor único. ## 7. Derechos y cooperación El encargado trasladará al responsable, sin responder por su cuenta salvo instrucción, las solicitudes de interesados que reciba, y facilitará búsqueda, exportación, rectificación, limitación y supresión dentro de un plazo máximo de 10 días hábiles salvo imposibilidad técnica justificada. ## 8. Brechas de seguridad El encargado notificará al responsable sin dilación indebida tras conocer una brecha, con objetivo operativo de 24 horas, e incluirá naturaleza, categorías, volumen aproximado, consecuencias, medidas y contacto, de modo que el responsable pueda valorar su obligación de 72 horas ante la AEPD. ## 9. Evaluaciones auditoría y evidencias El encargado ayudará con análisis de riesgos, evaluaciones de impacto (incluida geolocalización si el responsable la activa) y consultas. Pondrá a disposición información razonable y permitirá auditorías proporcionadas bajo confidencialidad y con preaviso. ## 10. Devolución bloqueo y supresión Al finalizar, el cliente podrá exportar los datos. Después se devolverán o suprimirán según su elección, salvo conservación legal documentada (en especial el registro de jornada durante al menos 4 años), que quedará bloqueada. Se emitirá evidencia de la operación cuando el cliente la solicite. ## 11. Anexos Anexo I: instrucciones = la configuración del panel (centros, GPS, retención 4–10 años, roles). Anexo II: inventario = las categorías del apartado 3. Anexo III: subencargados = apartado 6. Anexo IV: transferencias = las indicadas en cada subencargado. Anexo V: medidas = apartado 5. Anexo VI: contactos = info@timeclockapp.es. Anexo VII: geolocalización = puntual al fichar, sin seguimiento continuo, solo si el responsable la activa e informa previamente (art. 90 LOPDGDD). Anexo VIII: formato de devolución = CSV, PDF o paquete de inspección exportable desde el panel. ## Páginas relacionadas - [TimeClockApp](https://timeclockapp.es/) - [Contacta con TimeClockApp](https://timeclockapp.es/contacto) TimeClockApp no sustituye el asesoramiento jurídico, laboral, fiscal o contable.