Versión 1.0
Responsable del tratamiento: [RAZÓN SOCIAL DEL CLIENTE] ([CIF/NIF DEL CLIENTE]), en adelante el Cliente.
Encargado del tratamiento: [RAZÓN SOCIAL DEL PROVEEDOR] ([NIF DEL PROVEEDOR]), con domicilio en [DOMICILIO DEL PROVEEDOR] y contacto en [EMAIL DE CONTACTO DEL PROVEEDOR], en adelante el Proveedor.
Este contrato se perfecciona por medios electrónicos en el momento en que el Cliente acepta las condiciones al dar de alta su cuenta, conforme al art. 28.9 RGPD, y queda constancia de la fecha, la versión aceptada y la dirección IP desde la que se aceptó.
El Proveedor trata datos personales por cuenta del Cliente con el único fin de prestar el servicio de registro de jornada previsto en el art. 34.9 del Estatuto de los Trabajadores: registro de entradas, salidas y pausas, cálculo de horas, generación de informes mensuales y conservación del registro.
El Proveedor no es responsable del tratamiento y no usa los datos para fines propios.
El contrato está vigente mientras lo esté la suscripción al servicio. Terminada esta, se aplica lo previsto en la cláusula 8 sobre devolución y supresión.
Categorías de datos: identificativos (nombre y, si el Cliente lo introduce, NIF) y registros horarios (fecha y hora de entrada, salida y pausas, y las correcciones con su motivo y autor).
Categorías de interesados: personal del Cliente dado de alta en la aplicación.
No se tratan datos biométricos, de geolocalización ni categorías especiales del art. 9 RGPD. El Cliente se compromete a no introducir en los campos libres datos distintos de los previstos.
a) Tratar los datos únicamente siguiendo instrucciones documentadas del Cliente, incluidas las que se dan al usar la aplicación. Si el Proveedor considera que una instrucción infringe la normativa de protección de datos, lo comunicará al Cliente.
b) Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad, con un deber que subsiste tras finalizar la relación.
c) Aplicar las medidas técnicas y organizativas del art. 32 RGPD descritas en la cláusula 6.
d) No subcontratar sin autorización, salvo los subencargados ya autorizados en la cláusula 7, e informar al Cliente de cualquier cambio previsto con antelación suficiente para que pueda oponerse.
e) Asistir al Cliente, en la medida de lo posible, para que pueda atender las solicitudes de ejercicio de derechos de los trabajadores. La aplicación ya permite a cada trabajador consultar su propio registro, lo que cubre el derecho de acceso del art. 34.9 ET.
f) Asistir al Cliente en el cumplimiento de los arts. 32 a 36 RGPD (seguridad, notificación de brechas y evaluaciones de impacto), teniendo en cuenta la naturaleza del tratamiento y la información disponible.
g) Notificar al Cliente sin dilación indebida, y en todo caso dentro de las 48 horas siguientes a tener conocimiento, cualquier violación de la seguridad de los datos, con la información necesaria para que el Cliente pueda cumplir con el art. 33 RGPD.
h) Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías, incluidas inspecciones, por el Cliente o un auditor que este designe, con preaviso razonable y sin comprometer la seguridad de otros clientes.
a) Informar a su plantilla del tratamiento y, cuando proceda, a su representación legal, conforme al art. 34.9 ET. La aplicación entrega una cláusula informativa modelo en este mismo kit.
b) Velar por la exactitud de los datos que introduce y por que el acceso al panel y a los PIN quede restringido a las personas autorizadas.
c) Realizar, cuando proceda, la evaluación de impacto y la consulta previa.
d) Garantizar el cumplimiento de la normativa a lo largo de todo el tratamiento del que es responsable.
Cifrado en tránsito mediante HTTPS en todas las comunicaciones con la aplicación.
Control de acceso por credenciales, con contraseñas almacenadas mediante función de derivación con sal, y aislamiento estricto de los datos entre clientes.
Registro de jornada inmutable: los eventos no admiten modificación ni borrado, y se encadenan mediante huella criptográfica SHA-256 que permite detectar cualquier manipulación posterior. Las correcciones se registran como asientos nuevos enlazados al original, con autor y motivo.
Sello temporal generado por el servidor, nunca por el dispositivo del trabajador.
Copias de seguridad periódicas de la base de datos y de los documentos generados, con retención de las copias recientes y verificación de que son restaurables.
Los datos se alojan en servidores situados en el Espacio Económico Europeo. No se realizan transferencias internacionales de datos.
El Cliente autoriza de forma general a los siguientes subencargados, con los que el Proveedor mantiene un contrato que impone las mismas obligaciones que este:
· [PROVEEDOR DE ALOJAMIENTO] — alojamiento de la aplicación y de la base de datos.
· El proveedor de correo electrónico configurado, si el Cliente activa el envío del informe mensual por email — únicamente para transportar ese envío.
· El proveedor de pagos, para la gestión de la suscripción. No recibe datos de la plantilla: solo los de facturación del Cliente, respecto de los que actúa como responsable independiente.
Terminada la prestación, el Cliente puede exportar en cualquier momento todo el registro en formatos abiertos (CSV y JSON) y descargar los informes en PDF.
Transcurridos 30 días desde la baja, el Proveedor suprimirá los datos, salvo que el Cliente solicite conservarlos, y salvo aquello que deba conservarse bloqueado para atender responsabilidades legales. Corresponde al Cliente conservar el registro los cuatro años que exige el art. 34.9 ET, para lo que debe haber exportado sus datos antes de la baja.
Cada parte responde de los incumplimientos que le sean imputables conforme al art. 82 RGPD.
Este contrato se rige por el RGPD, por la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, y por la legislación española.
Este texto es una plantilla y no constituye asesoramiento jurídico. Al crear una cuenta se guarda la versión aceptada, la fecha y la IP.