Contrato de encargado del tratamiento
Versión 2026-10-27
Este contrato, que forma parte de las Condiciones del servicio, regula el tratamiento que el prestador de ArkkeyTempo (el «encargado») hace por cuenta de la empresa cliente (el «responsable») de los datos personales de su plantilla, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
Datos identificativos y de contacto del prestador: pendientes de publicar.
1. Objeto, naturaleza y finalidad
El encargado presta al responsable el servicio ArkkeyTempo: registro diario de jornada, planificación de turnos, gestión de vacaciones, permisos y ausencias, avisos y recordatorios, y las exportaciones y entregas del registro. Los tratamientos son la recogida, registro, conservación, consulta, modificación por orden del responsable, comunicación a quien el responsable indique, exportación y supresión de los datos, solo para esas finalidades.
2. Duración
Mientras dure el servicio. Al terminar, se aplica la cláusula 10 (destino de los datos), y el encargado conserva el registro de jornada en solo lectura hasta que se cumpla su plazo legal de conservación o el responsable lo descargue y pida su supresión.
3. Datos y personas interesadas
- Personas interesadas: personas trabajadoras del responsable y quienes administran su cuenta.
- Datos identificativos y de contacto: nombre, email y, si se usan, puesto, centro y equipo.
- Datos laborales: jornada, turnos, fichajes con sus pausas, modalidad y correcciones, vacaciones, permisos y saldos de horas.
- Categorías especiales (art. 9 RGPD): datos de salud o de la situación familiar que revelan algunos tipos de ausencia y sus justificantes (baja por enfermedad, consulta médica, enfermedad de un familiar, permiso por nacimiento).
- Otros: ubicación al fichar (solo si el responsable la activa) y registro de accesos (inicios de sesión y exportaciones, con IP y navegador).
4. Instrucciones
El encargado trata los datos solo siguiendo las instrucciones documentadas del responsable, que son estas condiciones y la configuración que el responsable hace en ArkkeyTempo. Si una instrucción infringe a su juicio la normativa de protección de datos, se lo comunicará de inmediato. No trata los datos para fines propios. Si el Derecho de la Unión o de un Estado miembro le obliga a tratarlos de otro modo (por ejemplo, un requerimiento de una autoridad), informará al responsable antes del tratamiento, salvo que ese Derecho lo prohíba por razones de interés público.
5. Confidencialidad
Las personas autorizadas por el encargado para tratar los datos se comprometen a mantener su confidencialidad, también después de terminar su relación con el encargado.
6. Seguridad (art. 32 RGPD)
- Cifrado de las comunicaciones y de los datos almacenados por los proveedores de infraestructura.
- Separación de los datos de cada empresa y control de acceso en la base de datos según el papel de cada persona.
- Registro de jornada con hora del servidor; correcciones con motivo en un historial que no se puede modificar.
- Registro de accesos, verificación en dos pasos para quienes administran la plataforma, y minimización de los datos enviados a la IA.
- Copias de seguridad y borrado automático al terminar los plazos de conservación.
7. Subencargados
El responsable autoriza de forma general al encargado a recurrir a estos subencargados, con quienes el encargado tiene contratos que les imponen las mismas obligaciones de protección de datos:
- Supabase: Base de datos, cuentas y archivos (justificantes).
- Vercel: Alojamiento de la aplicación.
- Resend: Envío de emails (invitaciones, avisos y recordatorios).
- Anthropic: Funciones de IA (asistente, cuadrantes y lectura de convenios), solo si se usan; las personas van con alias y sin motivos de ausencia de salud.
- Sentry: Registro de errores técnicos, sin datos personales identificables.
El encargado informará al responsable de cualquier alta o sustitución de subencargados publicando una nueva versión de este contrato, para que el responsable pueda oponerse antes de que se produzca. Si un subencargado trata datos fuera del Espacio Económico Europeo, se hará con las garantías del capítulo V del RGPD (decisión de adecuación o cláusulas contractuales tipo).
8. Derechos de las personas interesadas
El encargado ayuda al responsable a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. ArkkeyTempo permite a cada persona descargar su hoja de fichaje, sus ausencias y sus turnos, y pedir la rectificación de un fichaje. Si una persona se dirige al encargado, este trasladará la solicitud al responsable sin dilación.
9. Violaciones de seguridad y asistencia
El encargado notificará al responsable, sin dilación indebida y en cualquier caso en un plazo máximo de 48 horas desde que tenga conocimiento, las violaciones de la seguridad de los datos, con la información disponible para que el responsable pueda notificarlas a la autoridad de control y, en su caso, a las personas afectadas. También le ayudará, según la naturaleza del tratamiento y la información disponible, en las evaluaciones de impacto y consultas previas (arts. 32 a 36 RGPD).
10. Destino de los datos al terminar
- Devolución: al terminar el servicio, la organización queda en solo lectura y el responsable puede descargar todos sus datos (registro, historial de cambios y ausencias) en cualquier momento. Si lo pide, el encargado le entrega una exportación completa.
- Conservación por obligación legal: como el responsable debe conservar el registro de jornada cuatro años (art. 34.9 ET), el encargado mantiene la organización en solo lectura solo para ese fin y el registro se borra automáticamente al cumplir su plazo (cuatro años y un mes desde cada fichaje). Cuando ya no queda nada que conservar, el encargado elimina la organización y todos sus datos.
- Las copias de seguridad del proveedor de base de datos se suprimen en sus ciclos normales de rotación.
11. Información y auditorías
El encargado pone a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permite las auditorías e inspecciones razonables del responsable o de un auditor autorizado por él, con aviso previo y sin acceso a datos de otros clientes.
12. Registro de actividades
El encargado lleva el registro de las categorías de actividades de tratamiento efectuadas por cuenta del responsable (art. 30.2 RGPD).
Condiciones del servicioContrato de encargado del tratamientoProtección de datosVolver a ArkkeyTempo