Política de privacidad

1. Responsable del tratamiento

• Responsable: Gespia Solutions, S.L.U.
• NIF: B93907533
• Domicilio: Calle Maestro D. Patrocinio González Carrillo, 8, 30640 Abanilla (Murcia)
• Contacto en materia de protección de datos: franciscopereatora@gmail.com
• Delegado de Protección de Datos: no se ha designado, al no concurrir ninguno de los supuestos del artículo 37.1 del RGPD. Las consultas y el ejercicio de derechos se atienden en la dirección anterior.

2. Los dos papeles de Gespia, y por qué importan

Gespia es un servicio que una empresa contrata para registrar la jornada de sus trabajadores. Eso hace que tratemos datos personales en dos posiciones distintas, con consecuencias distintas:

• Como responsable, respecto de quienes visitan este sitio web, se registran, contratan el servicio o nos escriben. Es el tratamiento que describe esta política.
• Como encargado del tratamiento (artículo 28 del RGPD), respecto de los datos de los trabajadores que cada empresa cliente introduce en la aplicación —fichajes, ausencias, documentos, y en su caso ubicación o fotografía—. De esos datos el responsable es la empresa empleadora, no Gespia: nosotros los tratamos únicamente siguiendo sus instrucciones y para prestarle el servicio, en los términos del contrato de encargo que forma parte de la contratación. Un trabajador que quiera ejercer sus derechos sobre esos datos debe dirigirse a su empresa; si nos escribe a nosotros, trasladaremos la solicitud a quien corresponda.

3. Qué datos tratamos y con qué finalidad y base jurídica

3.1. Visitantes del sitio web

• Datos: dirección IP, identificador de dispositivo o navegador, páginas visitadas, y datos técnicos de la navegación.
• Finalidad: mantener el sitio en funcionamiento y seguro; y, solo si lo consientes, medir de forma agregada cómo se usa para mejorarlo.
• Base jurídica: interés legítimo en la seguridad y el funcionamiento del sitio (art. 6.1.f RGPD) para lo primero; tu consentimiento (art. 6.1.a RGPD) para la analítica, que puedes retirar cuando quieras desde la política de cookies.

3.2. Personas que crean una cuenta o contratan el servicio

• Datos: nombre y apellidos, correo electrónico, contraseña cifrada, datos de la empresa (denominación, NIF, dirección), rol dentro de la organización, registros de acceso y, si se contrata un plan de pago, los datos de facturación. Los datos de la tarjeta los trata directamente el proveedor de pagos: nosotros no los almacenamos ni tenemos acceso a ellos.
• Finalidad: dar de alta y gestionar la cuenta, prestar el servicio contratado, facturarlo, atender el soporte y cumplir nuestras obligaciones contables y fiscales.
• Base jurídica: ejecución del contrato o de medidas precontractuales (art. 6.1.b RGPD) y cumplimiento de obligaciones legales (art. 6.1.c RGPD) para la facturación y la contabilidad.

3.3. Consultas y comunicaciones

• Datos: los que nos facilites en tu mensaje (nombre, correo, contenido de la consulta).
• Finalidad: atender y responder la consulta y dejar constancia de ella.
• Base jurídica: tu consentimiento al escribirnos o el interés legítimo en atender a quien nos contacta (arts. 6.1.a y 6.1.f RGPD).

3.4. Comunicaciones comerciales

Si eres cliente, podremos informarte de novedades y mejoras de servicios similares a los contratados, al amparo del artículo 21.2 de la LSSI-CE y de nuestro interés legítimo. En cualquier otro caso, solo con tu consentimiento. En ambos supuestos puedes oponerte o darte de baja en cualquier momento, desde el enlace incluido en cada mensaje o escribiendo a franciscopereatora@gmail.com.

4. Cuánto tiempo conservamos los datos

• Datos de cuenta y de servicio: mientras la relación siga vigente y, después, bloqueados durante los plazos de prescripción de las acciones que puedan derivarse de ella.
• Datos de facturación: seis años, conforme al Código de Comercio, y los plazos que imponga la normativa fiscal.
• Datos de navegación y analítica: los plazos indicados en la política de cookies.
• Consultas: el tiempo necesario para atenderlas y acreditar su gestión.

Respecto de los datos tratados como encargado (apartado 2), los plazos los fija la empresa cliente; a la terminación del contrato se devuelven o se suprimen según sus instrucciones, salvo que debamos conservarlos por obligación legal. El registro de jornada, en particular, debe conservarlo la empresa cuatro años conforme al artículo 34.9 del Estatuto de los Trabajadores.

5. A quién comunicamos los datos

No vendemos datos personales ni los cedemos a terceros para sus propios fines. Sí recurrimos a proveedores que los tratan por cuenta nuestra, con contrato de encargo firmado conforme al artículo 28 del RGPD:

• Supabase — base de datos, autenticación y almacenamiento de archivos. Infraestructura en la Unión Europea.
• Vercel — alojamiento y distribución de la aplicación web.
• PostHog — analítica de uso del producto, solo si consientes las cookies analíticas. Infraestructura en la Unión Europea.
• Sentry — registro de errores técnicos para diagnosticar fallos.
• Resend — envío de los correos del servicio (confirmaciones, invitaciones, avisos).
• Stripe — tratamiento de los pagos y de los datos de facturación de los planes de pago.

Además, podremos comunicar datos a las Administraciones públicas, a los Juzgados y Tribunales y a las Fuerzas y Cuerpos de Seguridad cuando exista obligación legal, y a asesores y auditores sujetos a deber de confidencialidad.

6. Transferencias internacionales

Algunos de los proveedores anteriores están establecidos fuera del Espacio Económico Europeo o pueden acceder a los datos desde allí. En esos casos la transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea o en una decisión de adecuación, con las medidas complementarias que procedan. Puedes solicitarnos copia de las garantías aplicadas escribiendo a franciscopereatora@gmail.com.

7. Tus derechos

Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones automatizadas, así como retirar el consentimiento prestado, sin que la retirada afecte a la licitud del tratamiento anterior.

Para ejercerlos, escribe a franciscopereatora@gmail.com indicando el derecho que ejercitas. Podremos pedirte que acredites tu identidad si tenemos dudas razonables sobre ella. Responderemos en el plazo de un mes, ampliable a dos si la solicitud es compleja.

Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es).

8. Decisiones automatizadas

Gespia detecta automáticamente anomalías en los registros de jornada (por ejemplo, una salida sin entrada o un descanso no disfrutado) y las señala para su revisión. No son decisiones automatizadas con efectos jurídicos: son avisos que una persona de la empresa revisa y resuelve. No elaboramos perfiles con fines distintos de los descritos en esta política.

9. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo: cifrado en tránsito, control de acceso por roles, aislamiento de los datos de cada organización, contraseñas almacenadas con funciones de derivación, y registro de auditoría de las operaciones relevantes. Ningún sistema es infalible; si se produjera una violación de seguridad con riesgo para tus derechos, te lo comunicaríamos conforme al artículo 34 del RGPD.

10. Menores

El servicio se dirige a empresas y profesionales. No está destinado a menores de 14 años y no recabamos conscientemente sus datos.

11. Cambios en esta política

Podemos actualizarla para reflejar cambios en el servicio o en la normativa. La fecha de la última actualización figura al principio; si el cambio afecta de forma sustancial a lo que consentiste, te lo comunicaremos y, cuando proceda, volveremos a pedirte el consentimiento.