Contrato de encargo de tratamiento
Partes, objeto y duración
La empresa o entidad identificada en el alta actúa como responsable del tratamiento. Aeforma (Fernando González García, NIF 29081320M, C/ Birgitte Bardot 7, 29620 Torremolinos, Málaga, España) actúa como encargada del tratamiento para prestar el servicio Hourstat. Este anexo forma parte de las condiciones de contratación aceptadas y se mantiene mientras exista tratamiento por cuenta del cliente, incluidos el periodo legal de conservación de los registros de jornada, la devolución o supresión y los deberes de confidencialidad posteriores.
Alcance e instrucciones
El servicio permite recoger, registrar, organizar, conservar, consultar, exportar, comunicar a la Inspección de Trabajo cuando el cliente lo habilita y suprimir datos para el registro de jornada y la gestión de personal asociada. Puede incluir:
- Identificación y contacto de las personas trabajadoras y administradoras (nombre, apellidos, correo, DNI/NIE y número de la Seguridad Social cuando el cliente los registra, dirección, PIN protegido).
- Registros de jornada: entradas, salidas, pausas, modalidad (presencial, teletrabajo, a distancia), correcciones y su historial de auditoría.
- Geolocalización y dirección aproximada del fichaje y dirección IP, cuando la empresa la exige.
- Horarios, proyectos, vacaciones, permisos y ausencias.
- Documentos que el cliente sube (contratos, certificados, formación…).
- Datos sincronizados con las integraciones que el cliente active (por ejemplo, Zoho).
El servicio no está concebido para introducir categorías especiales de datos (por ejemplo, diagnósticos médicos) ni datos penales. Si el cliente adjunta justificantes de ausencias, debe limitarse a lo necesario y evitar el contenido de salud que no sea imprescindible.
Son instrucciones documentadas el contrato, las configuraciones y operaciones del cliente en el servicio y las peticiones verificadas de su administración. Aeforma solo trata los datos para esas finalidades y no los utiliza para fines propios, publicidad ni entrenamiento de modelos. Si una ley exige otro tratamiento, informará previamente al responsable salvo prohibición legal. Advertirá si considera que una instrucción infringe la normativa.
Confidencialidad, acceso y seguridad
Las personas autorizadas por Aeforma quedan sujetas a confidencialidad y acceden únicamente a lo necesario. El acceso de soporte a la cuenta de un cliente queda registrado. Las medidas incluyen separación lógica de los datos de cada empresa, control de permisos por rol, protección de credenciales y PIN, cifrado de las comunicaciones, registro inalterable de las modificaciones de fichajes, actualizaciones de seguridad y copias de seguridad protegidas. El responsable administra sus usuarios, PIN y dispositivos, informa a su plantilla del registro y de la geolocalización y aplica la minimización de datos.
Subencargados y terceros
La autorización general de subencargados queda limitada a la relación siguiente. Los cambios se comunicarán con al menos 30 días de antelación para permitir una oposición motivada; si no puede resolverse con una alternativa adecuada, el cliente podrá terminar la función o el servicio afectado y recuperar sus datos antes del cambio.
| Entidad | Servicio | Ubicación | Garantías |
|---|---|---|---|
| Hetzner Online GmbH | Alojamiento de hourstat.es: servidor web, base de datos, archivos y copias de seguridad de la plataforma | Unión Europea (centros de datos en Europa) | Contrato de encargo del tratamiento conforme al art. 28 RGPD con Hetzner Online GmbH; sin transferencias internacionales. |
| Stripe Payments Europe, Limited | Cobro de la suscripción: datos de facturación de la empresa cliente (no datos de sus trabajadores) | Irlanda (UE); Stripe, Inc. (EE. UU.) como subencargado ulterior | Acuerdo de tratamiento de datos de Stripe; marco de privacidad de datos UE-EE. UU. y cláusulas contractuales tipo. |
| OpenStreetMap Foundation (servicio Nominatim) | Traducción de las coordenadas del fichaje a una dirección aproximada, solicitada desde el navegador del trabajador | Reino Unido (decisión de adecuación de la UE) | Solo recibe coordenadas y la dirección IP del dispositivo, sin identificación del trabajador. Política: osmfoundation.org/wiki/Privacy_Policy. |
Las integraciones que el cliente contrata y conecta directamente (por ejemplo, Zoho People o Zoho Books), el proveedor de inteligencia artificial que el cliente elige, contrata y conecta con su propia clave para leer documentos en Información laboral (por ejemplo, Anthropic, OpenAI o Google), y el inicio de sesión con Google que eligen sus usuarios se rigen por los acuerdos del cliente o del usuario con esos proveedores y no figuran en esta relación. Aeforma impondrá obligaciones equivalentes a cada subencargado y responderá frente al responsable de su cumplimiento en los términos legales. No habilitará transferencias internacionales por cuenta del cliente sin instrucciones y mecanismo válido.
Asistencia, derechos e incidentes
Aeforma trasladará sin dilación las solicitudes de derechos relativas a los datos del cliente y le asistirá para responder, sin resolverlas por su cuenta salvo autorización. Colaborará, con la información disponible, en las evaluaciones de impacto, consultas previas y obligaciones de seguridad. Comunicará al responsable las violaciones de seguridad conocidas sin dilación indebida, con la información disponible sobre alcance, consecuencias, medidas y contacto, completándola progresivamente. El responsable valora las notificaciones a la autoridad y a los afectados y sus plazos legales.
Conservación, devolución y supresión
Los registros de jornada deben conservarse cuatro años (artículo 34.9 del Estatuto de los Trabajadores). Por ello, el impago, la suspensión o la cancelación de la suscripción no provocan el borrado de los datos: durante ese plazo Aeforma los conserva bloqueados para consulta y exportación del cliente y para su puesta a disposición de la Inspección de Trabajo, salvo que el cliente solicite antes su devolución. Al finalizar el contrato, el responsable podrá pedir la devolución (exportación de informes, registros y documentos) o la supresión de los datos que no deban conservarse. Transcurrido el plazo de conservación, los datos se suprimirán previo aviso. Las copias de seguridad caducan conforme a su ciclo y no se usan para reactivar datos suprimidos.
Aeforma facilitará la información necesaria para acreditar el cumplimiento de estas obligaciones y permitirá auditorías e inspecciones razonables del responsable o de un auditor autorizado, protegiendo los datos de otras empresas y la seguridad del servicio. Contacto para instrucciones y solicitudes: fgonzalez@aeforma.es.