1. Partes
De una parte, [NOMBRE O RAZÓN SOCIAL DEL TITULAR DE SHIFTIME], con NIF/CIF [NIF/CIF], domicilio en [DOMICILIO] y correo electrónico [CORREO ELECTRÓNICO], en adelante, el ENCARGADO DEL TRATAMIENTO o «Shiftime».
Y, de otra parte, [NOMBRE O RAZÓN SOCIAL DE LA EMPRESA CLIENTE], con NIF/CIF [NIF/CIF DEL CLIENTE], domicilio en [DOMICILIO DEL CLIENTE] y correo electrónico [CORREO ELECTRÓNICO DEL CLIENTE], en adelante, el RESPONSABLE DEL TRATAMIENTO.
Ambas partes reconocen capacidad suficiente para formalizar el presente acuerdo y aceptan las siguientes cláusulas.
2. Objeto del acuerdo
El presente acuerdo regula las condiciones en las que Shiftime trata datos personales por cuenta de la empresa cliente en el marco de la prestación del servicio de gestión de horarios, turnos y control horario de empleados mediante la aplicación Shiftime.
La empresa cliente determina las finalidades y los medios esenciales del tratamiento, así como las instrucciones aplicables. Shiftime tratará los datos únicamente para prestar el servicio contratado y de acuerdo con las instrucciones documentadas de la empresa cliente, salvo que una norma aplicable exija otro tratamiento.
Este acuerdo complementa las condiciones del servicio de Shiftime y no sustituye las obligaciones legales propias de cada parte.
3. Duración del tratamiento
El tratamiento se mantendrá durante la vigencia de la relación contractual entre las partes.
Una vez finalizado el servicio, se aplicará lo dispuesto en la cláusula 12 respecto a la devolución o supresión de los datos, sin perjuicio de las obligaciones legales de conservación que resulten aplicables.
4. Naturaleza y finalidad del tratamiento
El tratamiento podrá comprender la recogida, el registro, la organización, la consulta, la utilización, la conservación, la modificación, la extracción y la supresión de datos personales, en la medida necesaria para prestar las funcionalidades contratadas.
Las finalidades previstas son:
- Gestionar las cuentas de empleados creadas por Shiftime a solicitud de la empresa cliente o por las personas autorizadas.
- Registrar las entradas y salidas del trabajo.
- Registrar las pausas y los descansos, cuando estas funcionalidades estén habilitadas.
- Gestionar y consultar los horarios, turnos y asignaciones de trabajo.
- Registrar la ubicación geográfica asociada al acto de fichar, únicamente cuando esta funcionalidad esté habilitada y el dispositivo facilite dicha información.
- Gestionar incidencias, ausencias y solicitudes relacionadas con las funcionalidades disponibles.
- Facilitar a la empresa cliente el acceso a los registros, informes y herramientas de gestión del servicio.
- Garantizar el funcionamiento técnico, la seguridad y el mantenimiento de la aplicación.
La ubicación se utiliza exclusivamente en relación con el fichaje cuando la funcionalidad correspondiente está activada. Shiftime no realizará seguimiento continuo de la ubicación de los empleados en virtud de la configuración descrita para el servicio.
Cualquier funcionalidad adicional que implique nuevos tratamientos deberá evaluarse y documentarse antes de su activación.
5. Categorías de interesados y datos personales
Interesados:
- Empleados de la empresa cliente que utilicen Shiftime.
- Usuarios administradores y personas de contacto de la empresa cliente, cuando corresponda.
Categorías de datos que podrán tratarse, según las funcionalidades utilizadas:
- Datos identificativos y de cuenta: nombre, apellidos, correo electrónico, identificador de usuario y datos necesarios para administrar el acceso.
- Datos laborales: empresa, departamento, puesto, horarios, turnos y asignaciones, cuando se utilicen.
- Datos de control horario: fecha y hora de entrada, salida, pausas y demás registros de presencia habilitados.
- Datos de ubicación: coordenadas u otros datos geográficos asociados al fichaje, si la función está activada.
- Datos técnicos y de seguridad: registros de acceso, dirección IP y otros registros técnicos generados por la aplicación.
- Datos de gestión: información sobre incidencias, ausencias y solicitudes relacionadas con el servicio, cuando corresponda.
No se prevé tratar categorías especiales de datos personales, como datos de salud, en el marco ordinario de este encargo. Si una funcionalidad permite incorporar información de esta naturaleza, las partes deberán evaluar previamente su necesidad, legitimación, garantías y compatibilidad con las condiciones de los proveedores utilizados.
La empresa cliente es responsable de determinar qué datos son necesarios y de informar adecuadamente a los empleados sobre los tratamientos realizados.
6. Obligaciones de la empresa cliente
La empresa cliente se compromete a:
- Cumplir la normativa de protección de datos que le resulte aplicable.
- Disponer de una base jurídica válida para los tratamientos y las funcionalidades que decida utilizar.
- Facilitar a los empleados la información exigida por la normativa y atender sus solicitudes de ejercicio de derechos.
- Determinar qué personas deben tener acceso a Shiftime y comunicar instrucciones lícitas y documentadas al encargado.
- Facilitar la información necesaria para configurar las cuentas y el servicio de acuerdo con sus necesidades.
- Revisar los permisos de acceso y mantener actualizada la información de los usuarios autorizados.
- No introducir datos innecesarios ni utilizar Shiftime para finalidades incompatibles con las informadas a los interesados.
- Informar a Shiftime cuando detecte datos incorrectos, accesos no autorizados u otras incidencias relevantes.
- Evaluar, cuando proceda, la necesidad de realizar una evaluación de impacto relativa a la protección de datos y consultar a su delegado de protección de datos, si dispone de uno.
- Determinar la configuración adecuada de las funcionalidades de fichaje y ubicación conforme a la normativa aplicable.
7. Obligaciones de Shiftime
Shiftime se compromete a:
- Tratar los datos personales únicamente siguiendo instrucciones documentadas de la empresa cliente, salvo que una norma aplicable exija otro tratamiento. En ese caso, informará al responsable cuando la ley lo permita.
- Garantizar que las personas autorizadas para tratar datos personales estén sujetas a un deber de confidencialidad adecuado.
- Adoptar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de acuerdo con el artículo 32 del RGPD.
- No utilizar los datos personales de los empleados para finalidades propias incompatibles con la prestación del servicio.
- Ayudar razonablemente a la empresa cliente a atender las solicitudes de ejercicio de derechos, teniendo en cuenta la naturaleza del tratamiento y las funcionalidades disponibles.
- Ayudar al responsable, en la medida de lo posible y teniendo en cuenta la información disponible, a cumplir sus obligaciones en materia de seguridad, notificación de violaciones de seguridad, evaluaciones de impacto y consultas previas.
- Poner a disposición del responsable la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones aplicables al encargado y permitir las auditorías previstas en este acuerdo.
- Informar a la empresa cliente si considera que una instrucción infringe la normativa de protección de datos.
- Mantener actualizada la información sobre los subencargados que intervengan en el tratamiento, en los términos previstos en este acuerdo.
8. Medidas de seguridad
Shiftime aplicará las medidas técnicas y organizativas que resulten apropiadas al riesgo y a la configuración real del servicio.
Las medidas deberán documentarse y mantenerse actualizadas. Podrán incluir, cuando estén implementadas y verificadas:
- Control de acceso basado en usuarios, roles y permisos.
- Autenticación y gestión segura de credenciales.
- Protección de las comunicaciones mediante HTTPS/TLS.
- Actualizaciones de seguridad y gestión de vulnerabilidades.
- Copias de seguridad y procedimientos de recuperación.
- Registro y revisión de eventos de seguridad.
- Procedimientos para gestionar incidentes y revocar accesos.
- Medidas para limitar el acceso a los datos a las personas que los necesiten.
Las medidas concretas aplicables a Shiftime deberán verificarse antes de publicar este acuerdo como descripción definitiva de la seguridad del servicio. La inclusión de una medida en esta lista no implica que ya esté implementada.
9. Subencargados del tratamiento
La empresa cliente autoriza con carácter general el uso de proveedores necesarios para alojar, mantener y prestar el servicio, siempre que se cumplan las condiciones del artículo 28 del RGPD.
Proveedor de alojamiento identificado:
- Proveedor: Laravel Cloud.
- Servicio: alojamiento y despliegue de la aplicación Shiftime.
- Sitio web: Laravel Cloud.
- Información de privacidad: Documentación de privacidad de Laravel Cloud.
La entidad contractual, las ubicaciones de tratamiento, los proveedores adicionales y las garantías aplicables deberán verificarse y documentarse antes de la puesta en producción.
Shiftime informará a la empresa cliente de los cambios previstos que afecten a los subencargados, con tiempo suficiente para que pueda formular objeciones justificadas.
Shiftime impondrá a cada subencargado obligaciones de protección de datos equivalentes a las aplicables al tratamiento delegado y seguirá siendo responsable frente a la empresa cliente del cumplimiento de las obligaciones del subencargado en los términos legalmente previstos.
Los proveedores adicionales que puedan acceder a datos personales deberán identificarse y comunicarse conforme al procedimiento aplicable antes de autorizar su intervención.
10. Transferencias internacionales de datos
Shiftime no autorizará transferencias internacionales de datos personales fuera del Espacio Económico Europeo sin identificar previamente los países y proveedores implicados y comprobar que existe un mecanismo válido conforme al capítulo V del RGPD.
Antes de la puesta en producción deberán verificarse las ubicaciones del alojamiento, las copias de seguridad, el soporte técnico y las demás operaciones que puedan implicar acceso desde terceros países, así como las garantías contractuales aplicables.
Cuando resulte necesario, se documentarán las garantías correspondientes, las medidas complementarias y la información que deba facilitarse a la empresa cliente.
11. Asistencia, auditorías y violaciones de seguridad
Shiftime notificará a la empresa cliente, sin dilación indebida, las violaciones de seguridad de los datos personales de las que tenga conocimiento y que afecten a los datos tratados por cuenta de aquella. La comunicación incluirá la información disponible necesaria para que el responsable pueda evaluar el incidente y cumplir sus obligaciones legales.
Shiftime colaborará razonablemente con la empresa cliente para investigar y gestionar el incidente.
La empresa cliente podrá solicitar información razonable para verificar el cumplimiento de este acuerdo. Las auditorías deberán acordarse con antelación, respetar la confidencialidad y seguridad de otros clientes y evitar interferencias injustificadas en la prestación del servicio.
12. Finalización del servicio: devolución y supresión de datos
Al finalizar la prestación del servicio, la empresa cliente podrá solicitar la devolución de los datos personales en un formato razonablemente disponible.
Una vez efectuada la devolución, o cuando la empresa cliente elija la supresión, Shiftime eliminará los datos personales tratados por cuenta de aquella, salvo que una norma aplicable exija su conservación.
Los datos contenidos en copias de seguridad se eliminarán conforme al ciclo de conservación y sobrescritura documentado para el servicio, con acceso restringido durante el periodo en que permanezcan almacenados.
Los plazos concretos de conservación de las copias de seguridad y el procedimiento de eliminación deberán documentarse antes de la puesta en producción.
13. Ejercicio de derechos
Si Shiftime recibe directamente una solicitud de un empleado relativa a datos cuyo responsable sea la empresa cliente, la remitirá a esta sin dilación indebida, salvo que una instrucción documentada disponga otra cosa o una norma exija actuar de otro modo.
Shiftime prestará la asistencia razonable que corresponda para que la empresa cliente pueda responder dentro de los plazos legales.
Las solicitudes relacionadas con los datos personales tratados por la empresa cliente deberán dirigirse, en primer lugar, a dicha empresa, sin perjuicio de los derechos que la normativa reconozca a los interesados.
14. Responsabilidad y normativa aplicable
Cada parte responderá de las obligaciones que le correspondan conforme al Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, y demás normativa aplicable.
Ninguna cláusula de este acuerdo limitará las responsabilidades que no puedan excluirse o limitarse legalmente.
En caso de contradicción entre una instrucción de tratamiento y la normativa aplicable, prevalecerá esta última.
15. Aceptación y modificaciones
El presente acuerdo entrará en vigor en la fecha en que ambas partes lo acepten o firmen, y antes de que Shiftime comience a tratar datos personales por cuenta de la empresa cliente.
La aceptación podrá realizarse mediante firma manuscrita, firma electrónica u otro mecanismo que permita acreditar de forma fiable la identidad de quien acepta, la versión del acuerdo aceptada y la fecha correspondiente.
Las modificaciones sustanciales del tratamiento, los proveedores, las transferencias internacionales o las medidas de seguridad deberán documentarse y comunicarse a la empresa cliente cuando corresponda.
Por Shiftime — Encargado del tratamiento
- Nombre o razón social: [NOMBRE / RAZÓN SOCIAL]
- Representante: [NOMBRE Y CARGO, SI PROCEDE]
- Fecha: [FECHA]
- Firma o aceptación electrónica: [MÉTODO DE ACEPTACIÓN]
Por la empresa cliente — Responsable del tratamiento
- Nombre o razón social: [NOMBRE / RAZÓN SOCIAL]
- Representante: [NOMBRE Y CARGO, SI PROCEDE]
- Fecha: [FECHA]
- Firma o aceptación electrónica: [MÉTODO DE ACEPTACIÓN]
16. Anexo: información que debe completarse antes de la puesta en producción
Antes de utilizar este acuerdo como documento definitivo, el titular de Shiftime deberá verificar y documentar los siguientes aspectos:
- Identidad del titular: nombre o razón social, NIF/CIF, domicilio y correo electrónico de contacto.
- Configuración de Laravel Cloud: entidad contractual, región de alojamiento, almacenamiento, copias de seguridad, proveedores adicionales y condiciones de tratamiento aplicables.
- Transferencias internacionales: países implicados, accesos desde terceros países y mecanismo de transferencia, cuando proceda.
- Medidas de seguridad: autenticación, permisos, cifrado, copias de seguridad, registros, actualizaciones y respuesta a incidentes.
- Conservación: plazos aplicables a datos activos, registros técnicos, exportaciones y copias de seguridad.
- Proveedores adicionales: correo electrónico, mapas o geolocalización, monitorización, soporte y cualquier otro servicio que acceda a datos personales, si se incorpora.
- Proceso de aceptación: método para registrar la versión aceptada, la empresa, la persona que acepta y la fecha.
Este anexo debe completarse con información comprobada. No constituye una certificación de medidas de seguridad, proveedores o garantías que todavía no se hayan implantado o verificado.
Versión: 1.0
Fecha de última actualización: __________________