Encargo de tratamiento de datos (art. 28 RGPD)

Este encargo forma parte de las condiciones de uso y se acepta al registrarse. Regula cómo (pendiente de completar) (NIF (pendiente de completar)), como encargado del tratamiento, trata los datos personales por cuenta de la empresa cliente, que es la responsable del tratamiento.

1. Objeto, duración y finalidad

Prestar el servicio Timpleo: registro de jornada, ausencias y vacaciones, correcciones, calendario y agenda, avisos, informes y accesos de consulta. Dura lo mismo que la suscripción y, después, el plazo de devolución o supresión.

2. Datos y personas afectadas

• Personas: trabajadores y responsables del cliente que este da de alta.
• Datos: identificativos y de contacto (nombre, email, usuario), puesto y departamento, jornada pactada, fichajes (fecha, hora, IP y, si el cliente lo activa, ubicación al fichar), ausencias y sus justificantes, documentos que el cliente suba, agenda y registro de accesos.
• Categorías especiales: los justificantes de ausencias médicas pueden contener datos de salud. Se guardan cifrados y solo los ven la persona interesada y quien gestiona sus ausencias.

3. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del cliente (las que da al usar Timpleo y estas condiciones).
• No usarlos para fines propios ni comunicarlos a terceros, salvo obligación legal.
• Garantizar la confidencialidad de las personas autorizadas a tratarlos.
• No acceder a los datos del cliente salvo que este lo autorice expresamente y por tiempo limitado desde «Mi empresa › Acceso de soporte»; esos accesos son de solo lectura, excluyen datos de salud y quedan registrados.
• Ayudar al cliente a atender los derechos de las personas (acceso, rectificación, supresión, etc.).
• Notificar al cliente sin dilación indebida, y en todo caso en menos de 48 horas, cualquier violación de seguridad de la que tenga conocimiento, con la información necesaria para que el cliente la gestione.
• Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de este encargo.

4. Medidas de seguridad

• Conexiones cifradas (HTTPS) y datos cifrados en el servidor, incluidas las copias de seguridad diarias.
• Justificantes cifrados individualmente.
• Verificación en dos pasos obligatoria para quien gestiona y para el administrador del servicio.
• Control de acceso por roles y registro de quién consulta qué datos, que el cliente puede revisar.
• Límite de intentos de inicio de sesión.
• Supresión automática de los registros de jornada pasados 4 años.

5. Subencargados

El cliente autoriza a estos subencargados, todos con garantías adecuadas:

• Oracle (alojamiento y copias de seguridad), en su región de Madrid (España).
• Stripe (cobro de la suscripción): solo datos de facturación del cliente, no de sus trabajadores.
• Google (Gmail), para los emails de alta, confirmación de registro y recuperación de contraseña (nombre, email y la contraseña temporal de la persona dada de alta) y para el envío mensual del Excel de horas y ausencias a la gestoría a la que el cliente haya dado acceso, si no lo desactiva. Google trata esos datos también en Estados Unidos, amparado en el Marco de Privacidad de Datos UE-EE. UU. (capítulo V del RGPD).
• Los servicios de notificaciones push de Google, Apple o Mozilla, según el móvil de cada persona, que reciben los avisos cifrados de extremo a extremo.

Timpleo informará al cliente de cualquier cambio de subencargados con antelación, para que pueda oponerse.

6. Transferencias internacionales

Los datos se alojan en España. Si algún subencargado tratara datos fuera del Espacio Económico Europeo, se hará con las garantías del capítulo V del RGPD (decisiones de adecuación o cláusulas contractuales tipo).

7. Fin del encargo

Al terminar el servicio, el cliente puede descargar sus datos durante 30 días. Después se suprimen, también de las copias de seguridad cuando estas roten, salvo que una ley obligue a conservarlos.