Acuerdo de encargo de tratamiento
Este acuerdo (art. 28 RGPD) forma parte de las Condiciones del servicio, se acepta con ellas al crear la cuenta de empresa (Tikin guarda la fecha y la versión, 2026-09-12) y regula el tratamiento que Efeliax S.L. (B22849814, el «Encargado») realiza de los datos personales de los trabajadores por cuenta de la empresa cliente (la «Responsable»).
1. Objeto, duración y finalidad
El Encargado trata los datos exclusivamente para prestar el servicio de registro de jornada y gestión de horarios, vacaciones y ausencias, mientras dure la relación de servicio, siguiendo las instrucciones documentadas de la Responsable (las que da al usar la aplicación).
2. Datos y personas afectadas
- Personas: trabajadores y colaboradores de la Responsable.
- Datos: identificativos (nombre, correo, teléfono), fichajes con marca de tiempo, horarios, vacaciones y ausencias, y —solo para puestos móviles— geolocalización en el instante del fichaje.
- Categorías especiales: el tipo de ausencia «baja médica» se registra únicamente como etiqueta, sin diagnóstico ni documentación clínica.
3. Obligaciones del Encargado
- Tratar los datos solo para las finalidades del apartado 1 y nunca para fines propios.
- Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
- Aplicar las medidas del art. 32 RGPD: cifrado en reposo (AES-256) y en tránsito (TLS 1.3), control de acceso por filas, registro de auditoría de solo adición, marca de tiempo de servidor y copias de seguridad.
- Asistir a la Responsable en la atención de los derechos de los interesados y en las obligaciones de los arts. 32 a 36 RGPD.
- Notificar a la Responsable sin dilación indebida las violaciones de seguridad de las que tenga conocimiento, con la información disponible.
- Poner a disposición la información necesaria para demostrar el cumplimiento de este acuerdo y permitir auditorías razonables.
- Informar inmediatamente a la Responsable si, en su opinión, una instrucción infringe el RGPD u otra norma de protección de datos.
- Llevar el registro de las categorías de actividades de tratamiento efectuadas por cuenta de la Responsable (art. 30.2 RGPD).
- Al finalizar el servicio: devolver los datos (export CSV/PDF durante 60 días) y suprimirlos después, salvo conservación bloqueada exigida por ley.
4. Subencargados autorizados
La Responsable autoriza a los subencargados de infraestructura siguientes; cualquier cambio se comunicará con antelación razonable para poder oponerse:
- Supabase — base de datos y autenticación (AWS eu-central-1, Fráncfort).
- Vercel — alojamiento de la aplicación.
- Resend — correo transaccional.
Los datos se alojan en la Unión Europea. Si un subencargado tratase datos fuera del EEE, la transferencia se amparará en cláusulas contractuales tipo o en el Marco de Privacidad de Datos UE-EE. UU.
5. Obligaciones de la Responsable
La Responsable garantiza que trata los datos de su personal con base legítima (la obligación de registro de jornada del art. 34.9 ET), que informa a sus trabajadores del tratamiento y que configura el servicio de forma proporcionada (en particular, la geolocalización solo para puestos que lo justifiquen).
Contacto para cuestiones de protección de datos: support@tikin.es.
Última revisión: 12 de septiembre de 2026