Contrato de encargo del tratamiento

El cliente es el responsable del tratamiento. Es la empresa que da de alta la cuenta y quien decide qué datos de su plantilla se tratan, para qué y durante cuánto tiempo. Es también quien responde ante sus trabajadores y ante la Agencia Española de Protección de Datos.

ELEVATE STUDIO S.L. es la encargada del tratamiento. Trata esos datos únicamente para prestar el servicio, siguiendo las instrucciones del cliente, y no los usa para ninguna finalidad propia.

Objeto: prestación del servicio Horix de registro de jornada y gestión de personal.

Duración: mientras la cuenta esté activa, más los plazos de supresión de la cláusula 9.

Naturaleza y finalidad: alojamiento, almacenamiento, consulta, modificación y supresión de los datos necesarios para registrar la jornada y gestionar ausencias, cuadrantes, nóminas y comunicados.

Interesados: las personas trabajadoras del cliente y quienes administran su cuenta.

Categorías de datos:

• Identificativos: nombre, apellidos, correo electrónico, código de empleado, DNI (almacenado como hash).
• Laborales: fichajes, horarios, cuadrantes, ausencias y saldos, guardias, tareas.
• De conexión: dirección IP y user-agent de cada fichaje y de cada acceso.
• De geolocalización: latitud, longitud y precisión en el instante del fichaje, únicamente si el cliente activa esa función.
• Documentos: nóminas, contratos, certificados y justificantes que el cliente o la persona trabajadora suban.
• Categorías especiales (art. 9 RGPD): los justificantes de una baja médica pueden contener datos de salud. El cliente es quien decide pedirlos y quien debe tener base para tratarlos.

Horix no trata datos biométricos: no hay huella, ni reconocimiento facial, ni fotografía en el fichaje.

• Tratar los datos solo siguiendo instrucciones documentadas del cliente, incluidas las transferencias internacionales, e informarle si considera que una instrucción infringe la normativa.
• Garantizar que quien accede a los datos se ha comprometido a la confidencialidad.
• Aplicar las medidas técnicas y organizativas de la cláusula 7.
• Asistir al cliente para que pueda atender los derechos de los interesados (cláusula 8).
• Asistirle en las evaluaciones de impacto y en las consultas previas a la autoridad de control.
• Notificarle sin dilación indebida, y en todo caso antes de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información del art. 33.3 RGPD.
• Devolver o suprimir los datos al terminar el servicio (cláusula 9).
• Poner a disposición del cliente la información necesaria para demostrar el cumplimiento y permitir auditorías (cláusula 10).
• Mantener el registro de actividades de tratamiento del art. 30.2 RGPD.

• Disponer de base jurídica para cada tratamiento que active, e informar a su plantilla en los términos del art. 13 RGPD.
• Si activa la geolocalización del fichaje: informar previamente, de forma expresa, clara e inequívoca, a las personas trabajadoras y a su representación legal, sobre la existencia y características del sistema y sobre cómo ejercer sus derechos (art. 90 de la LOPDGDD), y conservar constancia de esa entrega. Horix facilita una plantilla de cláusula informativa, pero la obligación y la carga de la prueba son del cliente.
• Documentar la ponderación de interés legítimo o la facultad de control del art. 20.3 del Estatuto de los Trabajadores en la que se apoye.
• Incluir el tratamiento en su registro de actividades y valorar si necesita evaluación de impacto.
• Gestionar los permisos de su cuenta para que solo acceda a los datos quien deba.
• Responder a los interesados que ejerzan sus derechos ante él.

El cliente autoriza de forma general los siguientes subencargados. ELEVATE STUDIO S.L. le informará con al menos 30 días de antelación de cualquier alta o sustitución, y el cliente podrá oponerse resolviendo el contrato sin penalización.

Stripe trata los datos de facturación del cliente, no los de su plantilla. Los datos del servicio se alojan en un servidor propio en la Unión Europea.

• Cifrado en tránsito (HTTPS/TLS) en todas las comunicaciones.
• Cifrado en reposo de los documentos de personal (nóminas, contratos, justificantes).
• Contraseñas almacenadas con bcrypt; DNI y PIN almacenados como hash.
• Control de acceso por roles, con aislamiento por organización en cada consulta.
• Registro de auditoría de las acciones sobre datos de personal.
• Copias de seguridad diarias y cifradas, con retención acotada.
• Supresión automática de los datos que caducan (cláusula 9).

Los interesados ejercen sus derechos ante el cliente, que es el responsable. Si una solicitud llega a ELEVATE STUDIO S.L., se le trasladará sin dilación y no se atenderá directamente.

Para facilitarlo, Horix pone a disposición de cada persona trabajadora, desde su propia cuenta, la descarga de todos sus datos (derechos de acceso y portabilidad) y un formulario de solicitud de supresión que avisa a la administración de su empresa y deja constancia de la fecha.

El registro de jornada se conserva cuatro años, como exige el artículo 34.9 del Estatuto de los Trabajadores. Ese plazo no se hereda para el resto de datos que viajan con el fichaje: cada uno tiene su propia justificación de conservación.

• Coordenadas, IP y user-agent del fichaje: 90 días. Después se suprimen y del fichaje quedan la distancia al centro y si estaba dentro o fuera del radio.
• Registro de jornada: 4 años.
• Registros de auditoría y de acceso: 1 año.
• Cuenta dada de baja: 30 días de gracia y supresión.

Cuando se da de baja a una persona trabajadora que tiene fichajes, sus datos identificativos se suprimen y el registro de jornada se conserva disociado, porque conservarlo es una obligación legal del cliente.

El cliente puede solicitar, una vez al año y con 30 días de preaviso, la información necesaria para verificar el cumplimiento de este contrato, así como una auditoría realizada por un tercero independiente sujeto a confidencialidad, a su costa y sin interrumpir el servicio.

Este contrato se rige por el Reglamento (UE) 2016/679 y por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Los tribunales competentes son los de Granada (España).