Acuerdo de Tratamiento de Datos Personales

Versión: 2026-03-20 · Última actualización: 20 de marzo de 2026

Este Acuerdo de Tratamiento de Datos ("DPA") se celebra entre el cliente que contrata el servicio easyfichi (en adelante, el "Responsable") y Alfonso Matos Martínez, profesional autónomo inscrito en el RETA, con NIF 38453223Y, operando bajo la marca easyfichi (en adelante, el "Encargado"), conforme al artículo 28 del Reglamento General de Protección de Datos (UE) 2016/679 ("RGPD") y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales ("LOPDGDD").

Este DPA forma parte integrante de los Términos de Uso de easyfichi y entra en vigor en el momento en que el Responsable acepta dichos términos al registrarse en el servicio.

1. Objeto y finalidad del tratamiento

El Encargado tratará datos personales por cuenta del Responsable con las siguientes finalidades:

• Registro de jornada laboral: almacenamiento y gestión de fichajes de entrada, salida, pausas y extensiones de turno de los empleados del Responsable.
• Gestión documental (si el Responsable lo activa): almacenamiento y entrega de nóminas, contratos, anexos y otros documentos laborales a los empleados, con acuse de recibo y firma digital.
• Extracción de datos de documentos: procesamiento temporal de documentos PDF mediante inteligencia artificial para extraer datos estructurados (NIF, nombre, salario, fechas, etc.).
• Generación de informes: cálculo de balances horarios, informes mensuales, informes de inspección y certificados de cumplimiento.
• Comunicaciones laborales: envío de comunicados internos del Responsable a sus empleados con acuse de recibo.

2. Duración del tratamiento

El tratamiento se mantendrá durante la vigencia de la relación contractual entre el Responsable y el Encargado. Tras la cancelación del servicio, los datos se conservarán durante un periodo de gracia de 60 días para permitir la exportación, y posteriormente durante el plazo legalmente exigido para el cumplimiento de obligaciones de conservación (4 años para registros de jornada, conforme al Art. 34 del Estatuto de los Trabajadores).

3. Tipo de datos personales tratados

4. Categorías de interesados

• Empleados y trabajadores del Responsable
• El propio Responsable (administrador de la cuenta)
• Representantes legales del Responsable, si aplica

5. Obligaciones del Encargado

El Encargado se compromete a:

1. Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, que se concretan en la configuración del servicio (política de almacenamiento documental, configuración de alertas, etc.) y en las funcionalidades descritas en los Términos de Uso.
2. No utilizar los datos para fines propios ni ceder los datos a terceros salvo los subencargados autorizados (Cláusula 8) o por obligación legal.
3. Garantizar la confidencialidad de todas las personas autorizadas para tratar los datos.
4. Implementar las medidas de seguridad descritas en el Anexo I de este DPA.
5. Asistir al Responsable en el cumplimiento de sus obligaciones respecto al ejercicio de derechos de los interesados (acceso, rectificación, supresión, portabilidad, limitación, oposición).
6. Notificar al Responsable sin dilación indebida, y en cualquier caso en un plazo máximo de 72 horas, cualquier violación de seguridad de los datos personales de la que tenga conocimiento.
7. Asistir al Responsable en la realización de evaluaciones de impacto y consultas previas a la autoridad de control, cuando sea necesario.
8. Devolver o suprimir los datos al finalizar la prestación del servicio, a elección del Responsable, salvo obligación legal de conservación.
9. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este DPA y facilitar las auditorías o inspecciones que el Responsable o un auditor autorizado deseen realizar.

6. Obligaciones del Responsable

El Responsable se compromete a:

1. Garantizar que dispone de base legal suficiente para el tratamiento de los datos de sus empleados.
2. Informar a sus empleados del uso de easyfichi como sistema de registro de jornada y, en su caso, como plataforma de entrega de documentación laboral.
3. Facilitar el ejercicio de derechos de los interesados y trasladar al Encargado las solicitudes que correspondan.
4. No introducir datos especialmente protegidos (origen étnico, opiniones políticas, datos biométricos, etc.) más allá de los estrictamente necesarios para la gestión laboral.

7. Política de almacenamiento documental

El Responsable puede configurar la política de almacenamiento documental de su empresa en dos modalidades:

• Gestión documental completa (full, por defecto): los documentos subidos (nóminas, contratos, anexos) se almacenan de forma segura en los servidores del Encargado para facilitar su entrega a los empleados con acuse de recibo y firma digital. El Encargado monitoriza la entrega y genera alertas si los empleados no reciben sus documentos.
• Solo extracción de datos (parse_only): los documentos se procesan temporalmente para extraer datos estructurados y el archivo PDF original se elimina automáticamente tras el procesamiento. Solo se conservan los campos extraídos (nombre, NIF, fechas, importes). Las funcionalidades de entrega, firma y monitorización quedan desactivadas.

El Responsable puede cambiar de modalidad en cualquier momento desde la configuración de su empresa. Al pasar de completa a solo extracción, se desactivan las funcionalidades de entrega pero los documentos ya almacenados se conservan conforme a la política de retención. Al pasar de solo extracción a completa, el Responsable deberá volver a subir los documentos que desee gestionar.

8. Subencargados del tratamiento

El Responsable autoriza expresamente al Encargado a recurrir a los siguientes subencargados para la prestación del servicio. El Encargado se compromete a informar al Responsable de cualquier cambio en esta lista con un preaviso mínimo de 30 días.

Para las transferencias internacionales a EE.UU. (Anthropic, Stripe, SendGrid), el Encargado se basa en las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea y/o en el Data Privacy Framework (DPF) UE-EE.UU., según el mecanismo disponible para cada subencargado.

9. Derechos de los interesados

Los empleados del Responsable pueden ejercer sus derechos de acceso, rectificación, supresión, portabilidad, limitación y oposición dirigiéndose a su empleador (el Responsable). El Encargado asistirá al Responsable en la atención de estas solicitudes proporcionando las herramientas técnicas necesarias (exportación de datos, eliminación de registros, etc.).

Los interesados también pueden dirigirse directamente al Encargado en soporte@easyfichi.es, que trasladará la solicitud al Responsable correspondiente.

10. Vigencia y resolución

Este DPA tiene la misma duración que la relación contractual del servicio easyfichi. A la finalización del contrato:

1. El Encargado pondrá a disposición del Responsable una exportación de todos sus datos durante el periodo de gracia de 60 días.
2. Transcurrido dicho plazo, el Encargado suprimirá todos los datos personales, salvo los que deba conservar por obligación legal (registros de jornada: 4 años; documentación fiscal: 4 años).
3. El Encargado certificará por escrito la supresión de los datos, si el Responsable lo solicita.

11. Responsabilidad

El Encargado responderá de los daños y perjuicios causados por el tratamiento cuando haya actuado al margen de las instrucciones del Responsable o incumplido las obligaciones del RGPD dirigidas específicamente a los encargados. La responsabilidad se limitará conforme a lo establecido en los Términos de Uso.

12. Legislación aplicable

Este DPA se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la legislación española aplicable. Cualquier controversia se someterá a los Juzgados y Tribunales de Barcelona.

Anexo I: Medidas de Seguridad Técnicas y Organizativas

De conformidad con el artículo 32 del RGPD, el Encargado aplica las siguientes medidas:

A. Cifrado y protección de datos

• En tránsito: todo el tráfico entre clientes y servidores se cifra mediante TLS 1.2+.
• En reposo: los datos almacenados en Firestore y Cloud Storage están cifrados con AES-256 de forma nativa por Google Cloud.
• Secretos: claves de API y credenciales se almacenan en Google Cloud Secret Manager, nunca en código fuente.

B. Control de acceso

• Autenticación: Firebase Authentication con email/password, Google Sign-In o Apple Sign-In.
• PIN de empleado: almacenado con hash bcrypt (10 rounds), con bloqueo automático tras 5 intentos fallidos.
• Aislamiento de datos: las reglas de Firestore y Storage son deny-by-default. Cada empresa solo accede a sus propios datos (verificación request.auth.uid == empresaId).
• Roles diferenciados: 7 roles con permisos específicos (admin, empleado, encargado, kiosk, gestor, gestor_admin, internal).

C. Integridad de los registros

• Hash chain SHA-256: cada registro de fichaje se encadena criptográficamente con el anterior. Si un registro se alterara, la cadena se rompería y el certificado de integridad lo detectaría.
• Inmutabilidad: los registros de fichaje no se modifican ni se borran. Las correcciones se realizan creando nuevos registros (tipo MANUAL_ENTRY) con audit trail completo.
• Audit trail: toda modificación de datos sensibles queda registrada con: quién, qué, cuándo, desde qué IP, y el estado anterior del dato.

D. Disponibilidad y recuperación

• Infraestructura: Google Cloud Platform con SLA del 99.95%.
• Backups: exportación automática diaria de Firestore a Cloud Storage.
• Monitorización: health checks cada 5 minutos, tests sintéticos cada 15 minutos, alertas automáticas por email y Telegram.

E. Ubicación de los datos

• Región principal: europe-southwest1 (Madrid, España).
• Región secundaria: europe-west1 (Bélgica) — solo para crons y Cloud Tasks (limitación técnica de Google Cloud).
• Los datos personales de los empleados nunca salen de la Unión Europea, excepto durante el procesamiento temporal de documentos con IA (Anthropic, ver Cláusula 8).

F. Gestión de incidentes

• Registro automático de errores en Firestore (error_logs) con monitorización continua.
• Notificación al Responsable en un plazo máximo de 72 horas en caso de brecha de seguridad.
• Proceso de auto-remediación automatizado para incidentes técnicos.

G. No almacenamiento de datos biométricos ni de geolocalización

• easyfichi no almacena coordenadas GPS de los empleados. La verificación de geofence, si está activada, se realiza exclusivamente en el dispositivo del empleado.
• easyfichi no utiliza datos biométricos (huella dactilar, reconocimiento facial) como mecanismo de fichaje.

Este acuerdo debe interpretarse conjuntamente con nuestra Política de Privacidad disponible en easyfichi.es/privacidad.