Política de privacidad

Base jurídica del tratamiento

El registro de jornada se trata por obligación legal (art. 6.1.c RGPD) en relación con el art. 34.9 del Estatuto de los Trabajadores. No es consentimiento: no cabe retirarlo ni oponerse al registro en sí.

La geolocalización aproximada sí es accesoria y se puede desactivar desde el perfil sin que ello afecte al registro de la jornada.

Qué datos se tratan

Identificación y datos laborales: nombre, apellidos, correo corporativo, puesto, departamento, horario pactado y jerarquía de supervisión.

Marcajes: hora de entrada, pausas y salida, modalidad de trabajo, dispositivo desde el que se ficha y, solo si está activada, la ubicación aproximada del centro en el instante del fichaje, reducida a una cuadrícula de unos 110 metros.

Solicitudes de corrección y ausencias, con su justificación y resolución.

Registro de accesos: quién ha consultado o exportado el registro de cada persona.

Minimización

La ubicación se guarda con precisión reducida y únicamente en el momento del marcaje. No hay seguimiento continuo ni almacenamiento del recorrido.

El campo de dispositivo es texto descriptivo, sin identificadores persistentes de hardware.

No se admite biometría como método de fichaje: la AEPD no considera proporcional el tratamiento biométrico para control de presencia (guía de 2023).

Aplicaciones móviles (iOS y Android)

Las aplicaciones para iOS y Android son otra vía de acceso al mismo registro: no cambian la base jurídica, ni qué datos se tratan, ni cuánto se conservan. No incorporan publicidad, analítica de terceros ni identificadores de seguimiento.

Ubicación: se solicita al fichar y es opcional. Denegar el permiso no impide fichar, y el marcaje registrado sin ubicación es igual de válido. La coordenada se redondea en el propio dispositivo a una cuadrícula de unos 110 metros, antes de salir de él, de modo que la empresa nunca recibe la posición exacta.

Perímetro del centro: con la jornada abierta, la aplicación puede comprobar si la persona se aleja de su centro de trabajo. El cálculo se hace en el dispositivo y al servidor solo viaja el aviso con su hora, nunca coordenadas. Mientras esa vigilancia está activa se muestra un aviso permanente en el móvil, y se detiene al fichar la salida. La aplicación de Android no solicita permiso de ubicación en segundo plano, precisamente para no poder localizar a nadie fuera de su jornada.

Notificaciones: son opcionales y denegarlas no impide fichar ni afecta a la validez de ningún marcaje. Sirven para avisar de una salida de perímetro con la jornada abierta, de solicitudes pendientes de resolver, del resultado de las propias y de los comunicados que envíe la empresa.

Para poder enviarlas, el dispositivo obtiene un identificador de instalación del servicio de mensajería de Google (Firebase Cloud Messaging) y lo registra en el servidor asociado a la cuenta. Identifica a esa instalación de la aplicación, no a la persona: no se deriva del hardware ni permite reconocerla en otras aplicaciones. Se da de baja al cerrar sesión, y también cuando el servidor detecta que ha dejado de ser válido.

Los avisos de incidencias y de solicitudes pendientes van redactados sin nombres ni detalles, para que puedan leerse en la pantalla de bloqueo sin revelar nada. Los que comunican el resultado de una solicitud se marcan como privados y el sistema oculta su contenido hasta desbloquear el teléfono.

Los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad se ejercen por los mismos medios descritos más abajo, con independencia de desde dónde se haya fichado.

Con quién se comparten

Con el responsable directo, con Recursos Humanos y, en su caso, con la Inspección de Trabajo y Seguridad Social. No se ceden datos a terceros con fines comerciales, ni se venden, ni se usan para elaborar perfiles.

Encargado del tratamiento: para hacer llegar las notificaciones al teléfono se usa Firebase Cloud Messaging, de Google Ireland Limited, que actúa como encargado del tratamiento por cuenta de la empresa (art. 28 RGPD). Recibe únicamente el identificador de instalación y el texto del aviso; no recibe los marcajes, ni la ubicación, ni el registro de jornada.

Esa entrega puede implicar una transferencia internacional a los Estados Unidos, amparada en las cláusulas contractuales tipo aprobadas por la Comisión Europea y en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU.

Quien no quiera esa transferencia puede denegar el permiso de notificaciones: la aplicación funciona igual y el identificador no llega a generarse.

Cada consulta al registro de jornada de una persona queda anotada, y esa persona puede consultarlo desde su propio panel.

Conservación

Los marcajes se conservan 4 años y quedan a disposición de la persona trabajadora, de sus representantes legales y de la Inspección de Trabajo (art. 34.9 ET).

Ante el ejercicio del derecho de supresión se anonimizan los datos de perfil, pero los marcajes permanecen: la empresa está obligada a poder exhibirlos y borrarlos rompería la cadena de sellos que acredita que el registro no se ha manipulado.

Integridad del registro

Cada marcaje sella su contenido con SHA-256 encadenado al sello del anterior. Un marcaje no se edita ni se borra: corregirlo consiste en anular el asiento equivocado —que sigue visible— y emitir otro que apunta a él.

Cualquiera puede comprobar la integridad de su propia cadena desde la aplicación.

Cookies

Se usan cookies propias estrictamente necesarias para mantener la sesión y recordar el idioma. No requieren consentimiento.

Las cookies de analítica solo se activan si se aceptan expresamente, y la decisión queda registrada con su fecha y la versión de la política.

Derechos

Acceso, rectificación, supresión, limitación, oposición y portabilidad. Desde «Panel › Privacidad» se pueden ejercer y descargar un volcado completo de los datos propios en formato legible por máquina.

También cabe reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).