Acuerdo de tratamiento de datos (DPA)

Este acuerdo regula el tratamiento de datos personales que Daniel Garrido Reyes realiza por cuenta del Cliente en la prestación de iKontrolo Fichajes, conforme al artículo 28 del RGPD. Forma parte integrante de las Condiciones de contratación (apartado 9) y se acepta junto con ellas en el alta. Versión v2 (2026-09-16).

1. Partes y objeto

Este acuerdo regula el tratamiento de datos personales que Daniel Garrido Reyes / iKontrolo (NIF ES52426575F, Calle Meridional 1, 1.º 2.ª, 08800 Vilanova i la Geltrú — el Encargado) realiza por cuenta de la empresa, entidad o empresario individual cliente (el Responsable) en la prestación del servicio iKontrolo Fichajes, conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD) y al art. 33 de la Ley Orgánica 3/2018 (LOPDGDD). Forma parte integrante de las condiciones del servicio y se acepta con ellas en el alta; la aceptación queda registrada con la fecha, la versión aceptada y la cuenta que la otorga. Rige para cada Responsable la versión vigente en la fecha de su alta. El texto de cada versión es inmutable; las nuevas versiones se comunican al Responsable con al menos treinta días de antelación y rigen desde su fecha de efecto, salvo que el Responsable cancele el servicio antes de ella.

2. Naturaleza, finalidad, duración y conservación

• Naturaleza y finalidad: alojamiento y procesamiento del registro de jornada laboral (RDL 8/2019, art. 34.9 ET), gestión de asistencia, ausencias y horas extra, y entrega de informes a los destinatarios que el Responsable determine (detalle en el Tratamiento 1 del Registro de Actividades de Tratamiento del Encargado).
• Duración: la del contrato de servicio. A su fin, el apartado 8.
• Conservación durante el servicio: los plazos los fija el Responsable desde el panel. El servicio no admite plazos inferiores a los legales (registros de jornada: cuatro años, art. 34.9 ET y RDL 8/2019) ni a los mínimos técnicos de seguridad del rastro de auditoría y de los intentos de acceso; las solicitudes de ausencia admiten un mínimo de noventa días. Un proceso nocturno del Encargado elimina lo que supera el plazo fijado. Los justificantes de ausencia se eliminan a los doce meses del fin de la ausencia (apartado 3).

3. Ámbito del encargo, tipos de datos y categorías de interesados

• Interesados: las personas trabajadoras del Responsable.
• Fuera del encargo: quedan fuera de este acuerdo, y los trata el Encargado como responsable propio conforme a su política de privacidad, los datos de las cuentas de administración y gestión del Responsable (nombre, correo, credenciales y accesos), los de la cuenta de la gestoría o asesoría con acceso propio (apartado 7) y los datos de contacto y facturación del cliente.
• Datos:
• identificativos y de contacto: nombre y apellidos, DNI/NIE, identificador interno y código de nómina, correo electrónico y teléfono, foto de perfil opcional;
• laborales: fecha de alta y baja, tipo de contrato, categoría profesional, convenio, horario y jornada asignados, centro de trabajo o proyecto, responsable directo, y las condiciones personales que el Responsable anote en texto libre;
• de jornada: marcajes con fecha y hora, pausas, observaciones y subsanaciones, y coordenadas GPS aproximadas solo si el Responsable activa la geolocalización;
• ausencias y solicitudes: tipo, fechas, estado, motivo de rechazo y justificantes, y saldos de vacaciones;
• económicos ligados a la jornada: horas extra y su compensación, en tiempo o abono, y el estado de su liquidación;
• de cuenta y acceso de la persona trabajadora: credenciales gestionadas por el propio servicio, sin proveedor externo de identidad (PIN o contraseña, siempre cifradas), sesiones, dispositivos registrados para avisos al móvil, dirección IP y resultado de cada intento de acceso, y el rastro de auditoría de cada acción;
• de comunicación: los correos que el servicio envía a la persona y su estado de entrega.
• Categorías especiales (art. 9): el servicio sí trata datos de salud por cuenta del Responsable, en la medida en que la gestión de ausencias lo exige: el tipo de ausencia «baja» y su contingencia (enfermedad común, accidente, maternidad, riesgo durante el embarazo), los permisos ligados a la salud propia o de un familiar, y los justificantes que la persona trabajadora aporta. La base la aporta el Responsable como empleador (art. 9.2.b RGPD: obligaciones y derechos en el ámbito del Derecho laboral y de la Seguridad Social; para las bajas, RD 625/2014), y el Encargado los trata solo según sus instrucciones y con estas garantías: los justificantes se guardan en un depósito propio en la Unión Europea, separado del resto de datos, cifrado en reposo y servido únicamente por proxy autenticado; solo acceden la propia persona trabajadora y quienes el Responsable autoriza sobre ella; la gestoría designada recibe únicamente el estado del justificante (aportado, validado o rechazado), nunca el documento; los justificantes se eliminan a los doce meses del fin de la ausencia, y antes a instrucción del Responsable (Anexo III), porque el registro de cumplimiento es la solicitud, no el documento. No se tratan datos biométricos.

4. Obligaciones del Encargado (art. 28.3 RGPD)

El Encargado:

1. tratará los datos únicamente siguiendo instrucciones documentadas del Responsable, inclusive respecto a las transferencias a terceros países: lo son las configuraciones del panel y las invitaciones y autorizaciones que el Responsable emite a través del servicio (Anexo III), y la autorización de los subencargados y de las transferencias del apartado 6, que el Responsable otorga al aceptar este acuerdo. Si el Derecho de la Unión o de un Estado miembro le obligara a otro tratamiento, el Encargado informará al Responsable de esa exigencia antes de realizarlo, salvo que ese Derecho lo prohíba por razones importantes de interés público;
2. garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria;
3. aplica las medidas técnicas y organizativas del art. 32 RGPD que se comprometen en el Anexo I, y las mantiene al día;
4. asiste al Responsable en la atención de los derechos de los interesados (arts. 12 a 23): el servicio incluye la exportación de datos por persona, la rectificación mediante subsanación firmada y la supresión de identificadores directos. Mientras rige la obligación de conservar el registro de jornada, la supresión de una persona trabajadora se ejecuta como supresión de sus identificadores directos con conservación seudonimizada del registro durante el plazo legal (la interfaz del servicio llama «anonimizar» a esta operación): la ficha pierde nombre, apellidos, DNI, correo, teléfono, código y foto, pasa a llamarse «Empleado anonimizado n.º N», sus registros de jornada se conservan ligados a esa ficha seudonimizada y sus accesos quedan invalidados. El Encargado conserva únicamente una huella criptográfica del DNI, con sal secreta (seudonimización, art. 4.5 RGPD), que permite comprobar ante un requerimiento judicial si un DNI corresponde a esa ficha sin guardar el dato; la comprobación se hace desde el panel, con motivo, queda en el rastro de auditoría y está limitada en número. La cuenta de acceso ligada, si existía, se elimina en la misma operación. Es irreversible; el motivo queda en el rastro de auditoría;
5. le ayuda a cumplir los arts. 32 a 36: le notificará toda violación de la seguridad de los datos sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho horas desde que tenga constancia de ella, con la información del art. 33.3 de que disponga y las actualizaciones posteriores, conforme a su procedimiento escrito de respuesta a incidentes; y le facilita la documentación estándar del tratamiento (descripción, medidas, subencargados y región) para la evaluación de impacto que el Responsable pueda necesitar (art. 35), incluida una plantilla de evaluación para el registro de jornada con geolocalización;
6. pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones (este acuerdo, el registro de actividades, el inventario de subencargados y, previa solicitud, los registros de auditoría de su tenant);
7. permitirá y contribuirá a las auditorías, incluidas inspecciones, que realice el Responsable o un auditor autorizado por él (art. 28.3.h), en estas condiciones: preaviso de treinta días; una al año, salvo incidente de seguridad o requerimiento de una autoridad; en horario laboral y sin acceso a datos de otros clientes del Encargado; a cargo del Responsable; bajo compromiso de confidencialidad; y satisfacible mediante un informe o certificación de un tercero independiente cuando cubra el alcance solicitado;
8. informará inmediatamente al Responsable si, en su opinión, una instrucción infringe el RGPD u otras normas de protección de datos de la Unión o de los Estados miembros;
9. no utilizará los datos de las personas trabajadoras del Responsable para ningún fin propio (art. 28.10 RGPD y art. 33.2 LOPDGDD: hacerlo lo convertiría en responsable);
10. mantiene el registro de las actividades de tratamiento que realiza por cuenta del Responsable (art. 30.2 RGPD) y lo pone a su disposición.

4 bis. Obligaciones del Responsable

El Responsable:

• dispone de base jurídica para el tratamiento y responde de su licitud;
• informa a sus personas trabajadoras conforme al art. 13 RGPD: adopta la política de privacidad que el servicio le propone como plantilla, la publica a su nombre y responde de su contenido;
• emite instrucciones lícitas y responde de las que no lo sean;
• atiende los derechos de las personas trabajadoras con la asistencia del Encargado;
• formaliza con su gestoría o asesoría el contrato de encargo del art. 28 RGPD (apartado 7);
• si activa la geolocalización, ha informado previamente, de forma expresa, clara e inequívoca, a las personas trabajadoras y, en su caso, a sus representantes, sobre la existencia y las características del sistema y sobre el ejercicio de los derechos de acceso, rectificación, limitación y supresión (art. 90 LOPDGDD y art. 20.3 ET), y la usa dentro de ese marco: captura puntual al fichar, nunca seguimiento;
• valora si el tratamiento requiere una evaluación de impacto (art. 35 RGPD; la lista de la AEPD incluye la geolocalización sistemática de personas), con la documentación del apartado 4.5.

4 ter. Responsabilidad

Cada parte responde de los daños que cause un tratamiento contrario al RGPD en los términos de su art. 82: el Encargado, por el incumplimiento de las obligaciones que el RGPD dirige a los encargados o por actuar al margen de las instrucciones lícitas del Responsable; el Responsable, por las instrucciones que emite y por la licitud del tratamiento. El Responsable mantendrá indemne al Encargado frente a reclamaciones de terceros y sanciones que traigan causa de instrucciones ilícitas del Responsable, en particular de la activación de la geolocalización sin haber informado conforme al apartado 4 bis.

5. Subencargados

El Responsable autoriza de forma general el recurso a los subencargados del inventario que el Encargado mantiene en su Registro de Actividades de Tratamiento y publica, en su versión vigente y con la función, los datos que trata y la región de cada uno, en el inventario público de subencargados de su política de privacidad (https://fichajes.ikontrolo.app/legal/privacidad#subencargados): base de datos, alojamiento, almacenamiento de ficheros, envío de correos, límites de uso, monitorización de errores y transporte de notificaciones, todos en la Unión Europea salvo el transporte de notificaciones, que va cifrado de extremo a extremo (apartado 6). El Encargado informará con antelación razonable de altas o sustituciones, pudiendo el Responsable oponerse por motivos justificados. Con todos ellos rigen contratos de encargo y, donde aplican, las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914. El Encargado impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos que asume en este acuerdo, en particular garantías suficientes de medidas técnicas y organizativas apropiadas, y sigue siendo plenamente responsable ante el Responsable del cumplimiento de sus subencargados (art. 28.4). El Anexo II recoge el inventario vigente en la fecha de esta versión.

6. Región de tratamiento y transferencias internacionales

El tratamiento se realiza en la Unión Europea: base de datos, alojamiento y ejecución, almacenamiento de ficheros, envío de correos, límites de uso y monitorización de errores. La única transferencia a terceros países es el transporte de las notificaciones al móvil, que cada persona trabajadora activa en su propio dispositivo: el Encargado entrega al servicio de notificaciones del dispositivo —Apple Inc. en dispositivos Apple, Google LLC en Android y en el navegador Chrome— el identificador del dispositivo y la notificación cifrada de extremo a extremo con las claves del propio dispositivo (RFC 8291), que el transportista no puede leer. Mecanismo de transferencia: Google LLC está certificada en el Marco de Privacidad de Datos UE-EE. UU. (comprobado en la lista oficial el 16 de septiembre de 2026); Apple Inc. rige sus transferencias por las cláusulas contractuales tipo. Si el navegador de la persona usa otro servicio de notificaciones (por ejemplo, Mozilla en Firefox), rige el mismo cifrado y el mecanismo que ese proveedor declare. El servicio es una aplicación web progresiva en todos los dispositivos, sin aplicaciones nativas: el cifrado RFC 8291 es el de Web Push; si en el futuro hubiera aplicaciones nativas, este apartado se revisará antes de publicarlas. El Responsable autoriza esta transferencia al aceptar este acuerdo.

7. Terceros designados por el Responsable (gestoría/asesoría)

El servicio permite al Responsable conceder a su gestoría o asesoría laboral acceso a datos identificativos (nombre y DNI) y de jornada y ausencias para el cálculo de nóminas y cotización, por fichero o mediante cuenta propia. Con cuenta propia el acceso es de lectura, más una escritura acotada al cierre de la nómina: marcar como abonadas o liquidadas las compensaciones de horas que el Responsable ya ha reconocido, declarar que el mes se ha entregado a nómina, mantener los códigos de trabajador de su programa de nóminas y avisar a los administradores del Responsable. No crea, modifica ni borra fichajes ni ausencias. Ese tercero es encargado del Responsable —no subencargado del Encargado— y la invitación emitida por el Responsable a través del servicio constituye su instrucción documentada (art. 28.3.a). El acceso está minimizado por diseño (sin geolocalización, sin textos libres, sin justificantes), es revocable en cualquier momento desde el panel, y cada consulta y cada acción del tercero quedan registradas en el rastro de auditoría del servicio, disponible para el Responsable previa solicitud. Corresponde al Responsable formalizar con su gestoría el contrato de encargo del art. 28 RGPD. Los datos de la cuenta de la gestoría (nombre, correo y accesos) los trata el Encargado como responsable propio, igual que los de los administradores del Responsable (apartado 3).

7 bis. Inspección de Trabajo y representantes de las personas trabajadoras

El servicio permite al Responsable atender sus obligaciones de acceso al registro de jornada (art. 34.9 ET): entregar el registro a la Inspección de Trabajo, descargando el documento oficial o emitiendo un acceso temporal de solo lectura con código, que caduca en el plazo que el Responsable fija y es revocable en cualquier momento; y dar a los representantes legales de las personas trabajadoras una cuenta propia de solo lectura y descarga. En ambos casos el acceso lo abre el Responsable desde el panel (instrucción documentada, art. 28.3.a), se limita al registro de jornada minimizado (identidad y marcajes; sin geolocalización, sin observaciones, sin el motivo de las ausencias ni justificantes) y cada consulta queda en el rastro de auditoría del servicio. La Inspección y los representantes actúan por derecho propio: no son encargados ni del Responsable ni del Encargado.

8. Fin del servicio

Al terminar el periodo de prueba sin contratar, o tras un impago o una cancelación, el servicio sigue las fases que fijan las condiciones (§8): un periodo de gracia en el que el registro mínimo sigue vivo (treinta días tras la prueba; sesenta tras el impago o la cancelación), una ventana de solo descarga (quince y treinta días, respectivamente) y, agotada esta, la supresión. El Encargado avisa por correo siete días antes de terminar la gracia y quince días antes de la fecha a partir de la cual puede suprimir. Es el Responsable quien elige entre la devolución de los datos (la exportación íntegra desde el panel: el registro de jornada con su cadena de integridad y sus raíces, la plantilla y las solicitudes) y su supresión, o ambas en ese orden (art. 28.3.g); puede solicitar la supresión anticipada en cualquier momento. La supresión se ejecuta en los treinta días siguientes al fin de la ventana de descarga, previa comprobación de una persona de que la cuenta cumple las condiciones del borrado, y de forma irreversible; a solicitud del Responsable, el Encargado emite un certificado de supresión con la fecha y el alcance.

La obligación de conservar el registro de jornada durante cuatro años (RDL 8/2019) recae sobre el Responsable —igual que declaran las condiciones del servicio (§8)— y se satisface mediante esa exportación: conforme al art. 33.3 LOPDGDD, cuando una previsión legal obliga a conservar los datos no procede su destrucción sino su devolución al Responsable, que garantiza su conservación mientras persista la obligación; el Responsable puede instruir también su entrega a un nuevo encargado, que en la práctica es la misma exportación. El Encargado no retiene copias tras la supresión ni conserva datos bloqueados al amparo del art. 33.4 LOPDGDD. Conserva únicamente, durante cuatro años y en la Unión Europea, las raíces mensuales de integridad del registro: un resumen criptográfico de cada mes, sin datos personales, que se entrega también al Responsable con la exportación y le permite demostrar en cualquier momento que su copia no ha sido alterada. Las copias de seguridad, cifradas y de acceso restringido, se conservan treinta días y solo para restaurar el servicio (el proveedor de base de datos mantiene además un punto de recuperación de seis horas); si hubiera que restaurar una copia dentro de ese plazo, el Encargado reaplica las supresiones ya ejecutadas conforme a su procedimiento escrito.

9. Contacto de protección de datos

El contacto del Encargado para cualquier cuestión de protección de datos, para los requerimientos de las autoridades y para las solicitudes de derechos que las personas trabajadoras le dirijan por error es hola@ikontrolo.com; esas solicitudes se trasladan al Responsable sin dilación, con aviso a quien las presentó. El Encargado no ha designado delegado de protección de datos: a su escala actual no realiza una observación habitual y sistemática de interesados a gran escala (art. 37.1.b RGPD); revisará este criterio con el crecimiento del servicio y deja constancia de él en su registro de actividades.

Anexo I — Medidas técnicas y organizativas (art. 32 RGPD)

El Encargado se compromete a mantener, como mínimo, estas medidas:

• Cifrado en tránsito (TLS 1.2 o superior) y en reposo (AES-256 en la base de datos y en el almacenamiento de ficheros), todo en la Unión Europea.
• Justificantes de ausencia en un depósito separado, servidos solo por proxy autenticado, con caducidad automática a los doce meses.
• Segundo factor de autenticación (TOTP) para las cuentas de gestión; PIN de fichaje con hash scrypt y bloqueo tras intentos fallidos; sesiones con caducidad.
• Aislamiento por cliente en cada consulta y dirección de acceso no adivinable; control de acceso por rol; perfiles de minimización para gestoría, Inspección y representantes.
• Integridad del registro de jornada: cadena de hashes SHA-256 por persona, firma HMAC de cada registro y raíces mensuales inmutables cuatro años (bloqueo de escritura en el almacenamiento).
• Rastro de auditoría de las acciones administrativas, de los accesos de terceros y de los intentos de acceso; límites de peticiones frente a abusos.
• Copias de seguridad diarias cifradas, conservadas treinta días y solo para restauración, más el punto de recuperación de seis horas del proveedor de base de datos; procedimiento escrito de reaplicación de supresiones tras una restauración.
• Purga automática nocturna según los plazos de conservación; supresión de cuentas con aprobación humana; supresión de identificadores directos con huella criptográfica y motivo auditado.
• Monitorización de errores en la Unión Europea sin datos de jornada; procedimiento escrito de respuesta a incidentes con avisos automáticos al Encargado.

Anexo II — Subencargados (inventario vigente el 16 de septiembre de 2026)

La versión vigente del inventario, con altas y sustituciones, se publica en https://fichajes.ikontrolo.app/legal/privacidad#subencargados.

Anexo III — Instrucciones documentadas mediante la configuración del servicio

Son instrucciones del Responsable, con fecha y cuenta en el rastro de auditoría:

• la política de geolocalización (desactivada, opcional u obligatoria), por empresa o por convenio, y su desactivación;
• los plazos de conservación de registros, solicitudes, auditoría e intentos de acceso;
• la invitación y la revocación de la gestoría o asesoría, y el alcance de su acceso;
• el alta de cuentas de representantes de las personas trabajadoras y la emisión y revocación de códigos de acceso para la Inspección de Trabajo;
• la supresión de identificadores de una persona trabajadora («anonimizar» en la interfaz), con su motivo, y la comprobación de identidad ante un requerimiento;
• la supresión anticipada de un justificante de ausencia;
• la exportación de los datos y la solicitud de supresión anticipada;
• la activación de funciones que implican tratamientos adicionales (avisos al móvil, gestión de vacaciones y ausencias, compensación de horas).