Política de privacidad de TimeClockApp

1. Quién trata los datos

Christopher Juan Diego Neale, NIF 45895200B, domicilio en Calle Concepción 5, 03590 Altea, Alicante, España, correo info@timeclockapp.es, sitio web https://timeclockapp.es es responsable de los datos de prospectos, clientes, administradores, soporte, facturación, seguridad y analítica consentida. Cada empresa cliente es responsable de los datos laborales de su plantilla; TimeClockApp actúa como encargada en los términos del DPA (artículo 28 RGPD).

2. Datos

Según la relación pueden tratarse identidad y contacto, empresa y cargo, credenciales, configuración, facturación, comunicaciones de soporte, registros técnicos y de seguridad y, con consentimiento, identificadores y datos de navegación. Por cuenta del cliente se tratan datos de empleados, horarios, fichajes, pausas, incidencias, ausencias y ubicación puntual si la empresa la activa.

3. Finalidades y bases

Gestionar el alta y el contrato (art. 6.1.b RGPD), facturar y conservar documentación tributaria (art. 6.1.c RGPD y Ley General Tributaria), prestar soporte, proteger el servicio mediante interés legítimo de seguridad (art. 6.1.f RGPD) y atender derechos. La analítica no necesaria se activa solo tras consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI). El registro de jornada de la plantilla se basa en la obligación legal de la empresa cliente (art. 34.9 ET y art. 6.1.c RGPD), no en el consentimiento de la persona trabajadora.

4. Destinatarios y proveedores

Podrán acceder personal autorizado del prestador y los subencargados necesarios para alojar, facturar, enviar correo, entregar avisos opcionales del servicio y, si se consiente, medir el uso público. No se venden datos. El fichaje no depende de esos avisos. La lista operativa es la siguiente:

• Render: Alojamiento de la aplicación y del API. Ubicación: UE o EEE según región configurada; matriz en Estados Unidos. Garantía: Contrato de encargado y, si hay transferencia, cláusulas contractuales tipo u otra garantía del capítulo V RGPD.
• Supabase: Base de datos PostgreSQL y copias del servicio. Ubicación: UE o EEE según proyecto configurado; matriz en Estados Unidos. Garantía: Contrato de encargado y, si hay transferencia, cláusulas contractuales tipo u otra garantía del capítulo V RGPD.
• Stripe: Cobro de suscripciones, facturación y, en su caso, notas de crédito. Ubicación: Irlanda (Stripe Payments Europe) y, cuando proceda, Estados Unidos. Garantía: Encargado/corresponsable según el servicio de pagos; cláusulas contractuales tipo o marco de adecuación aplicable.
• Resend: Correo operativo: alta y bienvenida, recuperación de contraseña de administrador, recuperación de contraseña de empleado y avisos de cuenta. Aparte, si el superadministrador usa esa función, correo comercial de folleto a leads; ese envío no es tratamiento de datos laborales. Ubicación: Estados Unidos / UE según encaminamiento. Garantía: Contrato de encargado y cláusulas contractuales tipo u otra garantía del capítulo V RGPD.
• Google Analytics (Google Ireland Limited / Google LLC): Medición de páginas públicas, solo después del consentimiento. No forma parte del fichaje. Ubicación: Irlanda y Estados Unidos. Garantía: Consentimiento para analítica no necesaria; cláusulas contractuales tipo o marco de adecuación para transferencias.
• Google Maps (Google Ireland Limited / Google LLC): Mapas y geocodificación para configurar sedes y para localizar direcciones en la búsqueda de leads. No es la geolocalización del trabajador al fichar. Ubicación: Irlanda y Estados Unidos. Garantía: Este apartado separa los mapas de la analítica. No afirma que el consentimiento de cookies cubra este servicio.
• Google Firebase Cloud Messaging (FCM): Avisos push opcionales del servicio. Puede recibir el token del dispositivo, el contenido del aviso y, cuando ese aviso lo incluye, el nombre del empleado y la hora de entrada o de salida. No recibe el fichaje completo, las coordenadas ni las incidencias. El fichaje funciona sin este canal. Ubicación: Estados Unidos (servicio de Google). Este texto no fija la región del proyecto. Garantía: Este apartado describe el canal. No afirma una garantía concreta de transferencia.
• Web Push (VAPID): Avisos push opcionales con VAPID. La suscripción depende del navegador o del dispositivo. El mensaje se entrega por el servicio push de ese navegador o sistema; puede ser el de Google, Mozilla, Apple, Microsoft u otro, y la aplicación no determina uno solo. Puede contener el mismo tipo de aviso que las notificaciones del servicio. No es necesario para fichar. Ubicación: La determina el servicio push del navegador o del sistema, no la aplicación. Garantía: Este apartado describe el canal. No afirma una garantía concreta de transferencia ni un proveedor único.

5. Conservación

Cuenta y contrato: vigencia de la relación y 6 años adicionales por obligaciones fiscales (art. 66 y ss. LGT) o el plazo de prescripción de acciones que resulte aplicable. Facturación y evidencias de cobro: 6 años. Registros de jornada tratados por cuenta del cliente: mínimo 4 años (art. 34.9 ET), o el plazo superior que configure la empresa. Solicitudes de derechos y brechas: 3 años. Analítica consentida: hasta retirar el consentimiento o 13 meses. Auditoría de seguridad: hasta 12 meses, salvo incidente o reclamación en curso.

6. Derechos

Se podrán ejercer acceso, rectificación, supresión, oposición, limitación y portabilidad cuando procedan, y retirar el consentimiento de analítica. Para datos laborales debe contactarse primero con la empresa empleadora. Contacto del prestador: info@timeclockapp.es. También puede reclamarse ante la Agencia Española de Protección de Datos (www.aepd.es).

7. Seguridad y brechas

Se aplican controles de acceso, cifrado en tránsito, separación por empresa, hash de contraseñas, registro de acciones y copias de seguridad. Ninguna medida elimina todo riesgo. Como encargado, TimeClockApp notificará a la empresa cliente sin dilación indebida y, como objetivo operativo, en 24 horas desde el conocimiento de una brecha, para que esta pueda valorar el plazo de 72 horas ante la AEPD. Como responsable, evaluará y comunicará conforme a los artículos 33 y 34 RGPD.

8. Cambios

Las versiones relevantes se fecharán y, cuando cambien materialmente el tratamiento o el contrato, se informará y se registrará la aceptación o el acuse correspondiente.