Anexo I — Encargo del Tratamiento — WorkLogTracker

Este documento es el Anexo I a las Condiciones de Uso de WorkLogTracker y forma parte inseparable de ellas. Regula el tratamiento de datos personales que RMTracker realiza por cuenta de la empresa empleadora que contrata el servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

1. Quién es quién

Responsable del tratamiento: la empresa empleadora que contrata el servicio. Decide para qué y cómo se tratan los datos, y responde ante las personas afectadas y ante la autoridad de control.

Encargada del tratamiento:

• Encargada del tratamiento: RMTracker S.L. («RMTracker»)
• NIF: B88803085
• Domicilio: Avenida de Andalucía n.º 36, Local 2, 29793 Torrox, Málaga (España)
• Correo en materia de protección de datos: legal@rmtrackersolutions.com

RMTracker trata los datos únicamente para prestar el servicio. No los usa para fines propios, no los cede a terceros salvo obligación legal, no los vende y no los emplea para entrenar sistemas de inteligencia artificial.

2. Objeto, naturaleza y finalidad

Registrar la jornada de la plantilla del responsable, gestionar horarios y centros de trabajo, documentar partes de trabajo, tramitar incidencias y solicitudes de corrección, y generar los informes y exportaciones que el responsable solicite. Las operaciones comprenden recogida, registro, estructuración, conservación, consulta, comunicación al propio responsable, supresión y destrucción. No se persigue ninguna otra finalidad: los datos no se usan para elaborar perfiles, para publicidad ni para entrenar modelos.

3. Duración

Este anexo entra en vigor cuando se acepta y dura mientras esté vigente el contrato de prestación del servicio. Al terminar se aplica lo previsto en el apartado 9.

4. Categorías de datos

5. Categorías de interesados

• Personas trabajadoras del responsable dadas de alta en la aplicación.
• Personas de contacto de los clientes del responsable que firman un parte de trabajo.

5 bis. Particularidades de este servicio

El servicio no está previsto para tratar categorías especiales del artículo 9 del RGPD. No se emplean datos biométricos para fichar. El responsable se compromete a no introducir datos de salud ni de otras categorías especiales en los campos de texto libre.

La ubicación se consulta únicamente en el instante del fichaje, para comprobar la distancia al centro asignado, y no se realiza seguimiento continuo. Corresponde al responsable informar de forma expresa y previa a la plantilla y a sus representantes, conforme al artículo 90 de la LOPDGDD. Si se deniega el permiso de ubicación, el fichaje se registra igualmente sin coordenadas.

La pasarela de pago no figura entre los subencargados porque no accede a los datos de la plantilla: interviene únicamente en la facturación al cliente, tratamiento en el que RMTracker actúa como responsable y no como encargada.

6. Obligaciones de RMTracker como encargada

Conforme al artículo 28.3 del RGPD, RMTracker se obliga a:

1. Tratar los datos solo según instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales. El uso normal del servicio constituye esa instrucción. Si RMTracker entiende que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato.
2. Garantizar la confidencialidad de quienes accedan a los datos, mediante compromiso expreso o deber legal, que subsiste tras el fin de la relación.
3. Aplicar las medidas del artículo 32, descritas en el apartado 7.
4. No recurrir a otro encargado sin autorización. El responsable autoriza a los subencargados listados en el apartado 8. Cualquier alta o sustitución se comunicará con treinta días de antelación y el responsable podrá oponerse; si se opone y el cambio es imprescindible para prestar el servicio, podrá resolver el contrato sin penalización.
5. Asistir al responsable para que pueda atender el ejercicio de los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición. Si una persona afectada se dirige directamente a RMTracker, se le redirigirá al responsable y se informará a este sin demora.
6. Asistir al responsable en el cumplimiento de los artículos 32 a 36: seguridad, notificación de brechas y evaluación de impacto.
7. Notificar las violaciones de seguridad sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho horas siguientes a tener conocimiento de ellas, con la información del artículo 33.3 de que disponga. Cuarenta y ocho y no setenta y dos porque el responsable necesita margen para cumplir su propio plazo.
8. Suprimir o devolver los datos al terminar, según el apartado 9.
9. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este anexo, y permitir y contribuir a auditorías, según el apartado 10.

7. Medidas de seguridad

Las medidas se describen por lo que hace el sistema, no por lo que suele decirse en un contrato. Son comprobables:

• Aislamiento entre empresas. El acceso a los datos está restringido en la propia base de datos mediante seguridad a nivel de fila: una persona solo alcanza los datos de la empresa a la que pertenece.
• Control de acceso por rol. Dentro de cada empresa, lo que cada persona puede ver y hacer depende de su rol, aplicado también en el servidor y no solo en la interfaz.
• Separación de los identificadores laborales. El NIF y el número de la Seguridad Social se guardan separados del resto de la ficha y solo son accesibles para la propia persona y para quien gestiona la nómina o atiende una inspección.
• Cifrado. Las comunicaciones viajan cifradas y las contraseñas se almacenan con funciones de derivación resistentes.
• Integridad del registro. Los fichajes no se pueden alterar ni borrar: un error se corrige mediante una corrección aprobada que queda registrada junto al fichaje original.
• Trazabilidad. Las acciones relevantes sobre los datos quedan registradas con su autor y su momento.
• Copias de seguridad gestionadas por el subencargado de alojamiento, con recuperación a un punto anterior en el tiempo.
• Minimización. La ubicación se consulta solo en el instante del fichaje y no se realiza seguimiento continuo.

Las medidas pueden evolucionar. RMTracker no las degradará: cualquier cambio mantendrá un nivel de protección equivalente o superior.

8. Subencargados autorizados

Con cada subencargado RMTracker mantiene un contrato que impone las mismas obligaciones que este anexo, y responde ante el responsable de su actuación como de la propia.

9. Fin del encargo

Terminado el contrato, RMTracker suprimirá los datos personales tratados por cuenta del responsable, o se los devolverá en un formato de uso común y lectura mecánica si lo solicita antes de la supresión, y suprimirá las copias existentes.

Terminada la suscripción, el responsable dispone de treinta días para exportar sus datos con las funciones de la propia aplicación. Transcurrido ese plazo, RMTracker suprimirá los datos personales tratados por su cuenta, incluidas las copias, salvo que deba conservarlos por obligación legal, en cuyo caso quedarán bloqueados durante el plazo correspondiente. El responsable puede solicitar antes la devolución en formato estructurado y de uso común, o la supresión inmediata, que se confirmará por escrito si así lo pide. Conviene recordar que la normativa laboral obliga al responsable a conservar el registro de jornada durante cuatro años: la exportación previa a la supresión no es una recomendación, es lo que le permite seguir cumpliendo esa obligación.

10. Auditoría

El responsable puede solicitar, una vez al año y con quince días de preaviso, la información necesaria para acreditar el cumplimiento de este anexo. Puede además realizar una auditoría, por sí o mediante un tercero independiente que no sea competidor de RMTracker, previo acuerdo sobre fecha, alcance y confidencialidad, y sin interrumpir el servicio.

Las auditorías adicionales derivadas de una violación de seguridad, de un requerimiento de la autoridad de control o de un incumplimiento acreditado no están sujetas a ese límite anual.

11. Compromiso de confidencialidad

Este apartado sustituye a un acuerdo de confidencialidad separado, de modo que no haya que firmar un documento aparte.

Ambas partes se obligan a mantener en secreto la información confidencial de la otra a la que accedan con ocasión de esta relación, a usarla solo para ejecutarla y a no revelarla a terceros sin autorización escrita. Se considera confidencial la información técnica, comercial, financiera y organizativa no pública y, en particular, los datos personales tratados al amparo de este anexo.

No es confidencial la información que:

• fuera pública antes de recibirse, o pase a serlo sin incumplir este compromiso;
• ya obrara legítimamente en poder de la parte receptora sin deber de secreto;
• se haya desarrollado de forma independiente sin usar la información de la otra parte; o
• deba revelarse por imperativo legal o por requerimiento de autoridad competente, en cuyo caso se avisará previamente a la otra parte siempre que ello sea lícito.

Este compromiso sigue vigente tres años después de terminar la relación. Para los datos personales no hay plazo: la obligación de confidencialidad del artículo 28.3.b del RGPD no caduca.

12. Responsabilidad

Cada parte responde de los daños que cause por incumplir las obligaciones que este anexo y el RGPD le imponen, en los términos del artículo 82 del Reglamento. RMTracker no responde de las instrucciones del responsable ni de la licitud de los tratamientos que este decide.

13. Aceptación sin firma

Este anexo se acepta por vía electrónica al crear la cuenta, en la forma que admite el artículo 28.9 del RGPD, y no requiere firma manuscrita. De cada aceptación se conserva constancia de quién la realizó, cuándo y qué versión del texto estaba vigente. El responsable puede solicitar en cualquier momento un certificado de sus aceptaciones.

Si este anexo cambia, se avisará con antelación razonable y se recabará una aceptación nueva. Las anteriores se conservan: son el histórico de lo que estuvo vigente en cada momento.

14. Ley aplicable

Este anexo se rige por el RGPD, por la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, y por la legislación española. En lo no previsto aquí rigen las Condiciones de Uso de WorkLogTracker, de las que forma parte.