Contrato de encargo del tratamiento

1. Partes y aceptación

El Cliente es el responsable del tratamiento y Gespia el encargado, respecto de los datos personales que el Cliente incorpora a la plataforma.

• Encargado: Gespia Solutions, S.L.U., NIF B93907533, con domicilio en Calle Maestro D. Patrocinio González Carrillo, 8, 30640 Abanilla (Murcia) («Gespia»). Contacto de privacidad: privacidad@gespia.com.
• Responsable: la empresa o profesional que contrata Gespia (el «Cliente»).

Este contrato forma parte de los términos y condiciones de Gespia y se acepta con ellos. Si el Cliente necesita una copia firmada por ambas partes, puede pedirla en la dirección de contacto y Gespia se la enviará firmada en el mismo texto. Si este contrato y los términos se contradicen en algo relativo a la protección de datos, prevalece este contrato.

2. Objeto

Gespia trata los datos personales del Cliente solo para prestarle el servicio contratado: registro de jornada, ausencias, equipo, partes de trabajo, inventario y CRM, según el plan y los módulos activos. El detalle de qué datos, de quién y para qué está en el Anexo I.

El Cliente decide qué datos incorpora, qué módulos y funciones activa (por ejemplo, la ubicación al fichar o la foto en el kiosko) y quién accede a ellos. Esas decisiones son sus instrucciones a Gespia, junto con lo que indique por escrito en la dirección de contacto.

3. Duración

Este contrato dura lo mismo que el servicio. Empieza cuando el Cliente acepta los términos y termina cuando acaba el contrato, salvo lo que la cláusula 10 dice sobre la devolución y la supresión de los datos.

4. Obligaciones del Cliente

El Cliente, como responsable, decide para qué y cómo se tratan los datos y responde de que sea lícito. En particular:

• Base legal. Tener una base legal para cada tratamiento y activar solo las funciones proporcionadas a su finalidad. Por ejemplo, la ubicación al fichar o la foto en el kiosko, que son más invasivas que un fichaje simple.
• Deber de informar. Informar a sus trabajadores y a las demás personas cuyos datos incorpora, conforme a los artículos 13 y 14 del RGPD y, para el control laboral, al artículo 90 de la LOPDGDD. Cuando proceda, informar también a la representación legal de los trabajadores.
• Avisos de Gespia. Gespia muestra un aviso estándar en el kiosko y al firmar un parte, que nombra al Cliente como responsable e incluye su correo de contacto. Ese aviso es una ayuda y no sustituye la información que el Cliente debe dar. Gespia no responde de que la información del Cliente falte o sea incompleta.
• Datos de categoría especial. No incorporar datos de salud ni otras categorías especiales salvo que tenga una base legal para ello. Por ejemplo, el diagnóstico de una baja no debe subirse si basta con el justificante.
• Conservación. Fijar los plazos de conservación. El registro de jornada debe conservarlo cuatro años (artículo 34.9 del Estatuto de los Trabajadores) y exportarlo antes de darse de baja.
• Accesos. Gestionar quién de su organización accede y con qué permisos, custodiar sus credenciales y retirar el acceso a quien deje la empresa.
• Derechos. Atender las solicitudes de sus trabajadores y demás interesados, con la ayuda de Gespia que describe la cláusula 9.
• Evaluaciones de impacto. Hacerlas cuando sean obligatorias, con la información que Gespia le facilite.

5. Obligaciones de Gespia

Gespia trata los datos solo para prestar el servicio y siguiendo las instrucciones del Cliente. En particular:

• Finalidad. No usa los datos para fines propios ni los vende o cede. Solo usa datos agregados y anonimizados, sin nadie identificable, para medir y mejorar el servicio.
• Instrucciones. Si una instrucción del Cliente le parece contraria a la normativa, se lo dice de inmediato y puede no aplicarla hasta que el Cliente la confirme o la cambie.
• Confidencialidad. Las personas de Gespia con acceso a los datos tienen un compromiso escrito de confidencialidad y solo acceden cuando lo necesitan para prestar el servicio o atender una petición del Cliente.
• Seguridad. Aplica las medidas del Anexo II y las revisa con regularidad.
• Registro. Lleva el registro de actividades de tratamiento como encargado (artículo 30.2 del RGPD).
• Colaboración. Ayuda al Cliente con las evaluaciones de impacto, las consultas a la autoridad de control y las brechas, con la información de que disponga.
• Auditorías. Pone a disposición del Cliente la información necesaria para demostrar que cumple este contrato. Si no basta, el Cliente puede auditar a Gespia, por sí o con un auditor obligado a confidencialidad: con 30 días de preaviso, en horario laboral, como máximo una vez al año (salvo tras una brecha o un requerimiento de la autoridad), a su cargo y sin acceso a datos de otros clientes.
• Autoridades. Si una autoridad le pide datos del Cliente, se lo comunica antes de entregarlos, salvo que la ley se lo prohíba.

6. Subencargados

El Cliente autoriza de forma general a Gespia a recurrir a los subencargados del Anexo III. Gespia mantiene esa lista al día en esta página.

• Contrato. Gespia tiene con cada subencargado un contrato que le impone obligaciones de protección de datos equivalentes a las de este contrato, y sigue respondiendo ante el Cliente de lo que haga el subencargado.
• Cambios. Antes de añadir o sustituir un subencargado, Gespia avisa al Cliente por correo y en esta página con 30 días de antelación.
• Oposición. El Cliente puede oponerse por escrito, con un motivo razonable de protección de datos, dentro de ese plazo. Si Gespia no puede atender el motivo, el Cliente puede resolver el contrato sin penalización, con devolución de la parte ya pagada del periodo no consumido.
• Urgencias. Si un cambio es urgente para la seguridad o la continuidad del servicio, Gespia puede hacerlo antes y avisar en cuanto sea posible, con el mismo derecho de oposición.
• Integraciones del Cliente. Las integraciones que el Cliente activa por su cuenta (por ejemplo, Holded) no son subencargados de Gespia: el Cliente las contrata directamente y los datos se les envían porque él lo ordena.

7. Transferencias internacionales

Gespia aloja la plataforma en la Unión Europea. Solo transfiere datos fuera del Espacio Económico Europeo cuando lo hace un subencargado del Anexo III, y en ese caso con una garantía del capítulo V del RGPD: una decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU. si el proveedor está adherido, o las cláusulas contractuales tipo de la Comisión Europea con las medidas complementarias que procedan. El Cliente puede pedir copia de la garantía que se aplica a cada transferencia.

8. Brechas de seguridad

Gespia avisa al Cliente sin dilación indebida y como máximo en 48 horas desde que conoce una brecha que afecte a sus datos, para que el Cliente pueda cumplir su propio plazo de 72 horas ante la Agencia Española de Protección de Datos (artículo 33 del RGPD).

El aviso se envía al correo de la cuenta del Cliente e incluye, en la medida en que se conozca, qué ha pasado y cuándo, qué datos y cuántas personas pueden estar afectados, las consecuencias probables, qué ha hecho Gespia, qué recomienda hacer y una persona de contacto. Si aún no tiene toda la información, la envía por partes. Notificar a la autoridad y a los interesados le corresponde al Cliente, salvo que le pida a Gespia que lo haga en su nombre.

9. Derechos de los interesados

Las solicitudes de los trabajadores y demás interesados las atiende el Cliente, y Gespia le ayuda.

• Herramientas. En la mayoría de los casos el Cliente puede consultar, corregir, exportar y borrar los datos desde la propia aplicación.
• Ayuda. Si necesita más, Gespia le da la información o la ayuda técnica a tiempo para que pueda responder en el plazo de un mes (artículo 12.3 del RGPD).
• Solicitudes que llegan a Gespia. Si un interesado se dirige directamente a Gespia, Gespia reenvía la solicitud al Cliente en un máximo de 5 días laborables y no la resuelve por su cuenta.

10. Fin del servicio: devolución y supresión

Al terminar el contrato, el Cliente tiene 30 días naturales para exportar sus datos, y después Gespia los suprime. Es el mismo plazo de la cláusula 9 de los términos.

• Exportación. Durante esos 30 días el Cliente puede descargar sus datos en formatos de uso común (CSV y PDF), incluido el registro de jornada.
• Supresión. Pasado el plazo, Gespia borra los datos y los ficheros del Cliente, incluidos sus documentos y fotos.
• Copias de seguridad. Los datos que queden en copias de seguridad desaparecen cuando esas copias caducan, en un máximo de 15 días, y mientras tanto solo se usan para restaurar el servicio.
• Conservación bloqueada. Gespia solo conserva, bloqueado, lo que una ley le obligue a guardar a ella misma, como los datos de facturación del Cliente (seis años, artículo 30 del Código de Comercio), y solo para atender a jueces, tribunales y autoridades.
• Certificado. Si el Cliente lo pide, Gespia le confirma por escrito que ha suprimido los datos.

11. Responsabilidad y ley aplicable

• Responsabilidad. Cada parte responde de los incumplimientos de este contrato y de la normativa que le sean imputables. Si Gespia usa los datos para fines propios o en contra de las instrucciones del Cliente, se la considerará responsable de ese tratamiento (artículo 28.10 del RGPD).
• Límite. La responsabilidad económica entre las partes se rige por la cláusula 8 de los términos, salvo en caso de dolo o culpa grave y en lo que la ley no permita limitar.
• Ley y tribunales. Este contrato se rige por el RGPD, la LOPDGDD y el resto de la legislación española. Los conflictos se resuelven como establece la cláusula 11 de los términos.

Anexo I · Descripción del tratamiento

Gespia trata datos de los trabajadores del Cliente y de los clientes y contactos del propio Cliente, según los módulos que tenga activos. Las funciones opcionales solo se usan si el Cliente las activa.

Equipo

Trabajadores y personas invitadas. Nombre, DNI o NIE, número de la Seguridad Social, fecha de nacimiento, género, nacionalidad, dirección, teléfonos, correo, puesto, departamento, centro, horario, tipo de contrato, fechas de alta y baja, salario e IBAN. Para gestionar la plantilla y sus accesos.

Registro de jornada

Trabajadores. Fichajes (hora, tipo y origen), correcciones y su motivo, dirección IP y dispositivo, y firma de los informes mensuales. Opcional: ubicación en el momento de fichar y foto en el kiosko. Para cumplir el artículo 34.9 del Estatuto de los Trabajadores.

Kiosko y acceso sin correo

Trabajadores. Usuario, PIN (guardado con un cifrado irreversible) e identificador de la tarjeta NFC. Para identificar a quien ficha en un dispositivo compartido.

Ausencias

Trabajadores. Tipo, fechas, motivo, decisión y justificantes adjuntos, que pueden contener datos de salud. Para gestionar vacaciones, permisos y bajas.

Partes de trabajo

Trabajadores, clientes del Cliente y quien firma el parte. Datos de la obra o servicio, líneas y fotos del trabajo, y nombre, NIF y firma manuscrita de quien firma. Para documentar y firmar los trabajos hechos.

CRM

Clientes y contactos del Cliente. Nombre o razón social, NIF, cargo, correo, teléfono, dirección, notas, expedientes y documentos. Para gestionar la relación comercial del Cliente.

Todos los módulos

Usuarios de la plataforma. Correo, nombre, rol y registros de acceso y de actividad. Para la seguridad y la trazabilidad.

Lo que Gespia no hace: no hace reconocimiento facial ni trata datos biométricos (la foto del kiosko es una imagen, no una plantilla biométrica); no sigue la ubicación de forma continua, solo la toma al fichar y si el Cliente lo activa; y no toma decisiones automatizadas con efectos jurídicos sobre los trabajadores.

Operaciones de tratamiento: recogida, registro, almacenamiento, consulta, modificación, exportación, comunicación a las integraciones que el Cliente active, copia de seguridad y supresión.

Anexo II · Medidas de seguridad

Estas son las medidas técnicas y organizativas que Gespia aplica. Gespia puede sustituirlas por otras equivalentes o mejores, sin rebajar el nivel de protección.

Infraestructura

• La plataforma se aloja en un servidor dedicado de OVH en Francia, gestionado por Gespia.
• Todo el tráfico pasa por Cloudflare, que cifra las conexiones (HTTPS/TLS) y filtra ataques con su cortafuegos de aplicaciones y su protección contra denegación de servicio.
• La base de datos no está expuesta a Internet: solo se llega a ella por túneles con claves limitadas a esa tarea.
• El panel de administración del servidor está protegido por varias capas de acceso además de su propio inicio de sesión.

Copias de seguridad

• Copia completa diaria y registro continuo de los cambios de la base de datos, que permite recuperar un momento concreto.
• Las copias se cifran y se conservan 14 días. La restauración se ha ensayado, y una vigilancia automática avisa si una copia se retrasa.

Aplicación

• Los datos de cada cliente están separados y cada consulta se limita a la empresa que la hace. Hay pruebas automáticas que comprueban que una empresa no ve los datos de otra.
• El acceso se controla con permisos por área y nivel que el Cliente define para cada rol.
• Las contraseñas nunca se guardan en claro. Los PIN del kiosko se guardan con un algoritmo irreversible (argon2id) y se bloquean tras varios intentos fallidos.
• Hay límites de peticiones en el inicio de sesión y en las rutas sensibles.
• Un registro de auditoría guarda quién hizo cada cambio relevante, y la base de datos impide modificarlo o borrarlo.
• Los documentos se suben y descargan con enlaces firmados de corta duración, y se comprueba su tipo y su tamaño antes de guardarlos.
• Los cambios de código pasan revisión y pruebas automáticas antes de llegar a producción, y las dependencias se actualizan cuando hay fallos de seguridad.

Organización

• Solo acceden a producción las personas que lo necesitan, con claves personales y compromiso de confidencialidad.
• Gespia no accede a los datos de un Cliente salvo para prestar el servicio, resolver una incidencia o atender una petición suya.

Anexo III · Subencargados

Los proveedores que tratan datos del Cliente por cuenta de Gespia. Cualquier cambio se avisa como dice la cláusula 6.

• OVH (OVH SAS, Francia) · servidor donde se alojan la aplicación, la base de datos, los ficheros y las copias · datos en Francia.
• Cloudflare (Cloudflare, Inc., EE. UU.) · red de entrega, cifrado de conexiones, cortafuegos y DNS · red global · cláusulas contractuales tipo.
• Cloudflare R2 (Cloudflare, Inc.) · almacenamiento de los documentos del CRM · datos en la Unión Europea.
• Resend (Resend, Inc., EE. UU.) · envío de los correos del servicio (invitaciones, avisos y confirmaciones) · Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.
• Sentry (Functional Software, Inc.) · registro de errores técnicos · datos en la Unión Europea (Alemania).
• PostHog (PostHog, Inc.) · analítica de uso del producto, solo si el usuario acepta las cookies analíticas · datos en la Unión Europea.

No son subencargados de este contrato: Stripe, que cobra la suscripción y trata los datos de pago del Cliente como empresa, no los de sus trabajadores; Google, cuando un usuario elige iniciar sesión con su cuenta de Google; y las integraciones que activa el Cliente, como Holded.