Acuerdo de Encargado del Tratamiento

1. Partes del acuerdo

El presente Acuerdo de Encargado del Tratamiento (en adelante, «AET») se celebra entre:

• Responsable del tratamiento: La empresa que se registra en AlteaTick y utiliza el servicio para gestionar el registro de jornada de sus empleados (en adelante, «la Empresa»).
• Encargado del tratamiento: Cesar Fidalgo (Fidalgosoftware), titular del servicio AlteaTick, con contacto en privacidad@alteatick.com (en adelante, «AlteaTick»).

Al completar el registro en AlteaTick, la Empresa acepta el presente AET en nombre de su organización.

2. Objeto y finalidad del tratamiento

AlteaTick trata datos personales de los empleados de la Empresa exclusivamente para prestar el servicio contratado: el registro digital de jornada laboral conforme al Real Decreto-Ley 8/2019.

AlteaTick no utilizará los datos para ninguna finalidad distinta a la ejecución del servicio, ni los cederá a terceros salvo en los casos previstos en este acuerdo o por obligación legal.

3. Naturaleza de los datos tratados

AlteaTick puede tratar, según las funcionalidades que active la Empresa, las siguientes categorías de datos de los empleados:

• Nombre y apellidos, email, código de empleado, NIF
• Hora y fecha de entrada y salida (fichaje)
• Tipo de jornada (presencial / teletrabajo)
• Coordenadas GPS en el momento del fichaje (si la Empresa activa la geolocalización)
• Ausencias, vacaciones y permisos
• Firma digital de registros mensuales (si la Empresa activa esta función)
• PIN de acceso al modo Kiosk (almacenado como hash irreversible)

4. Obligaciones de AlteaTick como encargado

• Tratar los datos únicamente siguiendo las instrucciones documentadas de la Empresa.
• Garantizar la confidencialidad de los datos tratados.
• Implementar las medidas de seguridad técnicas y organizativas adecuadas (Art. 32 RGPD).
• No subcontratar el tratamiento sin informar previamente a la Empresa (véase cláusula 6).
• Asistir a la Empresa en el cumplimiento de las obligaciones derivadas de los Arts. 32 a 36 RGPD.
• Suprimir o devolver todos los datos al finalizar la prestación del servicio, a elección de la Empresa.
• Poner a disposición de la Empresa toda la información necesaria para demostrar el cumplimiento.
• Notificar a la Empresa sin dilación indebida cualquier violación de seguridad que afecte a sus datos.

5. Obligaciones de la Empresa como responsable

• Informar a sus empleados del tratamiento de sus datos (Art. 13 RGPD) antes de registrarlos en AlteaTick.
• Obtener las bases legales pertinentes para los tratamientos opcionales (p.ej., geolocalización GPS conforme al ET Art. 20bis).
• Gestionar y atender los derechos de acceso, rectificación, supresión y portabilidad de sus empleados.
• Mantener su propio Registro de Actividades de Tratamiento incluyendo el uso de AlteaTick.

6. Subencargados del tratamiento

La Empresa autoriza de forma general a AlteaTick a utilizar los siguientes subencargados, necesarios para la prestación del servicio:

AlteaTick notificará a la Empresa con al menos 30 días de antelación cualquier cambio en los subencargados.

7. Medidas de seguridad

• Cifrado de contraseñas con bcrypt (factor 12)
• Comunicaciones cifradas con TLS/HTTPS
• Registros de fichaje inmutables (sin UPDATE ni DELETE)
• Control de acceso basado en roles (ADMIN / MANAGER / EMPLOYEE)
• Logs de auditoría de acciones críticas
• Copias de seguridad periódicas de la base de datos
• Rate limiting y protección anti-fuerza bruta

8. Duración y extinción

El presente AET tiene la misma duración que el contrato de prestación del servicio AlteaTick. A la extinción del contrato, AlteaTick eliminará todos los datos de la Empresa en un plazo máximo de 30 días, salvo que la Empresa solicite su exportación previa.

9. Contacto para ejercicio de derechos y consultas RGPD

Para cualquier cuestión relacionada con la protección de datos, puede contactar con AlteaTick en: privacidad@alteatick.com