Contrato de Encargo de Tratamiento (DPA)

1. Identificación de las partes

• Responsable del Tratamiento: la empresa cliente, identificada en el alta de la cuenta (en adelante, "el Cliente").
• Encargado del Tratamiento: Jordi Icart Madrid, que opera bajo el nombre comercial "Talavora", NIF 47755103L, con domicilio en Avinguda Catalunya 77, 43812 Bràfim (Tarragona) (en adelante, "Talavora").

2. Objeto y duración

Talavora tratará los datos personales de los trabajadores y usuarios autorizados del Cliente exclusivamente para prestar el servicio SaaS de control horario, gestión de ausencias, nóminas, informes y funcionalidades complementarias contratadas.

La duración coincidirá con la vigencia del contrato principal de servicio. Tras su finalización aplica lo dispuesto en la cláusula 9.

3. Naturaleza y finalidad del tratamiento

• Registro y consulta de fichajes (entrada, salida, pausas).
• Gestión de horarios, turnos, cuadrantes y ausencias.
• Almacenamiento y distribución de nóminas y documentos.
• Generación del informe oficial conforme RD-ley 8/2019.
• Detección de anomalías mediante reglas y/o IA agregada.

4. Tipos de datos personales tratados

• Identificativos: nombre, apellidos, DNI/NIE, email, teléfono.
• Profesionales: cargo, departamento, centro de trabajo, fecha de alta.
• Económicos: nóminas, gastos, saldos de vacaciones.
• Operativos: fichajes, geolocalización del fichaje, dispositivo, IP.

Talavora no utiliza datos biométricos: no hay huella dactilar ni reconocimiento facial, y la comprobación anti-suplantación del fichaje ocurre en el propio dispositivo sin guardar ninguna imagen.

Sí pueden llegar categorías especiales del art. 9 RGPD en tres casos, siempre por decisión del Cliente o del propio trabajador: las ausencias que el Cliente clasifique como médicas (baja o visita), las que clasifique como sindicales, y los justificantes que el trabajador suba. Talavora los trata únicamente como encargado, por cuenta del Cliente, que es quien debe contar con la base legal del art. 9.2.b (obligaciones en materia laboral y de seguridad social).

5. Categorías de interesados

Trabajadores activos e inactivos del Cliente, administradores y subadministradores designados por el Cliente.

6. Obligaciones de Talavora como Encargado

• Tratar los datos únicamente conforme a las instrucciones documentadas del Cliente. Las funcionalidades activas de la cuenta constituyen instrucciones documentadas.
• Garantizar la confidencialidad del personal autorizado para acceder a los datos.
• Aplicar las medidas técnicas y organizativas del art. 32 RGPD (ver cláusula 11).
• No subcontratar nuevas funciones sin notificarlo al Cliente con 30 días de antelación, dándole posibilidad de oponerse.
• Asistir al Cliente para responder a peticiones de derechos de los interesados (acceso, rectificación, supresión, etc.).
• Notificar al Cliente cualquier brecha de seguridad en menos de 72 horas desde que la conozca.
• Suprimir o devolver los datos personales al finalizar el contrato (cláusula 9).
• Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento.

7. Subcontratistas autorizados

El Cliente autoriza expresamente la subcontratación con los siguientes proveedores:

• Supabase Inc. (AWS Irlanda, eu-west-1) — base de datos y autenticación.
• Hostinger International Ltd. (centro de datos en Francia, UE) — alojamiento de la web.
• Hostinger International Ltd. (ubicación según el proveedor) — correo saliente (SMTP).
• Stripe Payments Europe Ltd. — pasarela de pago.
• Groq Inc. (EE.UU.) — solo para las funciones de IA opcionales: asistente, lectura de tiques de gasto, síntesis de evaluaciones, redacción del simulacro de inspección y extracción del convenio. Se procesan únicamente las consultas que se hacen con esas funciones; se pueden desactivar por empresa y en las administraciones públicas vienen desactivadas por defecto.
• Google LLC (EE.UU., Cláusulas Tipo) — notificaciones push (Firebase Cloud Messaging).
• Google Cloud EMEA (Cloud Run, región Madrid, europe-southwest1) — generador automático de cuadrantes (función opcional).
• Google (Google Drive) — almacenamiento de las copias de seguridad cifradas.
• GitHub Inc. (EE.UU.) — ejecución de las copias de seguridad (GitHub Actions).
• Talentors (UE) — publicación de ofertas y gestión de candidaturas (función opcional).

Con cada uno de ellos hay encargos de tratamiento en vigor según las condiciones de cada proveedor.

8. Transferencias internacionales

Las transferencias a EE.UU. (Stripe, Groq, Google y GitHub) se basan en las garantías que ofrece cada proveedor en sus condiciones (Cláusulas Contractuales Tipo de la Comisión Europea o Marco de Privacidad de Datos UE-EE.UU., según el caso), además del cifrado en tránsito y en reposo.

9. Devolución y supresión al finalizar

Tras la terminación del contrato, Talavora pondrá a disposición del Cliente 30 días naturales para exportar los datos en formato CSV/JSON. Transcurrido ese plazo procederá a la eliminación certificada, salvo los registros que deba conservar por obligación legal (registros horarios — 4 años; facturación — 5 años).

10. Auditorías

El Cliente puede solicitar una auditoría una vez al año, dando preaviso de 30 días. Talavora podrá optar por aportar la documentación de sus medidas de seguridad y los resultados de sus auditorías internas periódicas en lugar de admitir auditoría in-situ. El coste de la auditoría in-situ corre a cuenta del Cliente salvo que se detecten incumplimientos graves.

11. Medidas de seguridad (art. 32 RGPD)

• Cifrado en tránsito (TLS) y en reposo (AES-256).
• Control de acceso por roles (RBAC) y autenticación obligatoria.
• Audit log inmutable de cambios sensibles.
• Backups diarios cifrados con retención mínima de 30 días (generados en GitHub Actions y guardados en Google Drive), además de las copias propias del proveedor de base de datos.
• Aislamiento por empresa: filas y filtros de seguridad a nivel de base de datos (RLS).
• Auditorías internas periódicas de seguridad.
• Vigilancia automática del servicio cada 5 minutos, con aviso.
• Plan de continuidad y recuperación ante desastres.