⚠️ BORRADOR — revisar con abogado antes de uso. Generado 6-jun-2026.

Contrato de Encargo del Tratamiento (DPA) — Servicio TRESAAA Fichaje

Art. 28 del Reglamento (UE) 2016/679 (RGPD) · Art. 33 LOPDGDD

NOTA PRELIMINAR — Calificación jurídica de la relación

El servicio TRESAAA Fichaje tiene por objeto que lintatalle SL (marca TRESAAA) ponga a disposición de las empresas clientes una herramienta tecnológica para el registro de la jornada laboral de sus empleados, conforme al art. 34.9 del Estatuto de los Trabajadores (ET) (redacción dada por el RD-ley 8/2019, de 8 de marzo).

En este contexto:

• La empresa cliente es el Responsable del Tratamiento: es ella quien establece los fines y medios del registro de jornada y quien tiene la obligación legal de documentarlo.
• lintatalle SL (TRESAAA) actúa como Encargado del Tratamiento: trata datos de los empleados de la empresa cliente únicamente para ejecutar el servicio contratado y siguiendo las instrucciones del Responsable.

Esta calificación es estructural: existe relación responsable-encargado (art. 28 RGPD). El presente contrato regula dicha relación y es parte integrante e indisociable del contrato de prestación del servicio TRESAAA Fichaje.

1. Objeto y marco normativo

El presente Contrato de Encargo del Tratamiento (en adelante, «DPA») regula el tratamiento de datos personales que lintatalle SL (TRESAAA), en calidad de Encargado, realiza por cuenta del Responsable en el marco del servicio TRESAAA Fichaje, de conformidad con:

• Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (en adelante, «RGPD»), en particular su art. 28.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, «LOPDGDD»), en particular su art. 33.
• Real Decreto-ley 8/2019, de 8 de marzo, y el art. 34.9 del Estatuto de los Trabajadores (RDLeg. 2/2015), que imponen al empleador la obligación de garantizar el registro diario de la jornada.
• Demás normativa sectorial y laboral aplicable.

Este DPA prevalece sobre cualquier estipulación contradictoria de las Condiciones de Servicio de TRESAAA Fichaje en lo relativo a protección de datos personales.

2. Descripción del tratamiento (art. 28.3 RGPD)

3. Instrucciones del Responsable

El Encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales de datos, salvo que una obligación legal imponga al Encargado un tratamiento distinto, en cuyo caso informará al Responsable antes de proceder, salvo que dicha ley lo prohíba por razones de interés público (art. 28.3.a RGPD).

Las instrucciones iniciales resultan de las Condiciones de Servicio y del uso de la plataforma. El Responsable puede emitir instrucciones adicionales con efecto desde su comunicación a [email protected].

4. Obligaciones del Encargado (lintatalle SL)

El Encargado se obliga a:

a) Confidencialidad. Garantizar que las personas autorizadas para tratar los datos se han comprometido a mantener la confidencialidad o están sujetas a un deber de confidencialidad de naturaleza estatutaria (art. 28.3.b RGPD). El Encargado mantendrá el secreto profesional respecto de los datos con carácter indefinido, incluso tras la extinción del contrato.

b) Medidas de seguridad (art. 32 RGPD). Aplicar las medidas técnicas y organizativas descritas en la Cláusula 6 del presente DPA, apropiadas para garantizar el nivel de seguridad adecuado al riesgo.

c) Subencargados. No subcontratar tratamientos sin autorización previa del Responsable, en los términos de la Cláusula 7 del presente DPA.

d) Asistencia al Responsable en derechos de los interesados. Asistir al Responsable mediante medidas técnicas y organizativas apropiadas para responder a las solicitudes de ejercicio de los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad — arts. 15 a 22 RGPD), en un plazo que permita al Responsable responder en el plazo máximo del art. 12.3 RGPD (un mes desde la recepción). El Encargado trasladará al Responsable, sin dilación y en un plazo máximo de 5 días hábiles, cualquier solicitud de ejercicio de derechos que reciba directamente de un empleado del Responsable.

e) Asistencia al Responsable en obligaciones de seguridad. Ayudar al Responsable a cumplir las obligaciones de los arts. 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto, consultas previas), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el Encargado.

f) Notificación de brechas de seguridad. Notificar al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales, aportando la información disponible indicada en el art. 33.3 RGPD, para que el Responsable pueda cumplir a su vez el plazo de 72 horas ante la AEPD (art. 33.1 RGPD).

g) Supresión o devolución al término del contrato. A elección del Responsable (comunicada antes de la finalización del contrato o en el plazo de 30 días naturales tras ella), el Encargado devolverá o suprimirá todos los datos personales objeto del encargo y destruirá las copias existentes, salvo que el Derecho de la UE o nacional exija su conservación (art. 28.3.g RGPD). El Encargado conservará los registros de fichaje durante el plazo legal de 4 años (art. 34.9 ET; criterio ITSS) antes de la supresión definitiva, o hasta que el Responsable indique lo contrario dentro del marco legal. Una vez devueltos o destruidos los datos, el Encargado lo acreditará por escrito al Responsable.

h) Información y auditorías. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD, y permitir y contribuir a la realización de auditorías, incluidas inspecciones, realizadas por el Responsable o un auditor por él mandatado, mediante preaviso por escrito de al menos 15 días hábiles y con sujeción a los deberes de confidencialidad. El coste de las auditorías corresponde al Responsable salvo que la auditoría revele un incumplimiento material imputable al Encargado.

i) Registro de actividades de tratamiento. Mantener, conforme al art. 30.2 RGPD, un registro de las categorías de actividades de tratamiento realizadas por cuenta del Responsable, a disposición de la AEPD cuando lo requiera.

j) No finalidad propia. El Encargado no utilizará los datos personales de los empleados del Responsable para fines propios, en particular no los incorporará a bases de datos de marketing, enriquecimiento, análisis de mercado u otras finalidades propias del Encargado o de terceros.

5. Obligaciones del Responsable

El Responsable se obliga a:

a) Emitir instrucciones lícitas y documentadas al Encargado.

b) Garantizar que dispone de base jurídica válida para el tratamiento de los datos de sus empleados con la finalidad de registro de jornada (art. 6.1.c RGPD en relación con el art. 34.9 ET), y que ha cumplido el deber de información hacia sus empleados (art. 13 RGPD) con carácter previo al uso del servicio.

c) Garantizar la exactitud de los datos de empleados que da de alta en la plataforma.

d) Comunicar sin demora al Encargado cualquier modificación que afecte a las instrucciones o al perfilado de los interesados.

e) Velar por el cumplimiento de la normativa de protección de datos durante toda la vigencia del tratamiento.

6. Medidas de seguridad técnicas y organizativas (art. 32 RGPD)

El Encargado declara y mantiene las siguientes medidas, apropiadas al riesgo del tratamiento:

6.1 Integridad e inmutabilidad de registros

• Cadena de hash criptográfico (SHA-256 o equivalente): cada registro de fichaje incorpora un hash encadenado al registro anterior, de forma que cualquier alteración retroactiva resulta detectable. Esta medida da cumplimiento a la exigencia de registro fiable e inalterable del control horario.
• Los registros de fichaje, una vez creados, no pueden modificarse ni eliminarse por usuarios ordinarios; solo el Responsable (administrador) puede añadir notas o correcciones, quedando la versión original siempre preservada con sello de tiempo.

6.2 Cifrado

• En tránsito: todas las comunicaciones entre la app / WhatsApp / web y los servidores del Encargado emplean TLS 1.2 o superior.
• En reposo: la base de datos que almacena los registros de fichaje reside en servidores con cifrado de disco [PENDIENTE: confirmar implementación real antes de declarar en producción].

6.3 Control de acceso

• Acceso a los registros de fichaje restringido al Responsable (administrador) y a los usuarios con rol explícitamente asignado por el Responsable.
• Los empleados solo acceden a sus propios registros.
• El personal técnico del Encargado accede únicamente cuando sea necesario para el mantenimiento del servicio, con registro de acceso (logs de auditoría).
• Autenticación mediante credenciales individuales; prohibición de cuentas compartidas.

6.4 Alojamiento en la UE

• Los datos se alojan en servidores situados en territorio de la Unión Europea (proveedor: Hetzner Online GmbH, Alemania), lo que evita transferencias internacionales fuera del EEE en condiciones ordinarias de operación.

6.5 Copias de seguridad y recuperación

• Copias de seguridad periódicas con verificación de restauración. [PENDIENTE: definir frecuencia real y SLA de recuperación.]

6.6 Gestión de incidentes

• Procedimiento documentado de detección, análisis, contención y notificación de brechas de seguridad, con escalado al Responsable en el plazo del apartado 4.f.

6.7 Formación y confidencialidad del personal

• Todo el personal del Encargado con acceso a datos de empleados está sujeto a deber contractual de confidencialidad y ha recibido formación básica en protección de datos.

7. Subencargados del tratamiento

El Responsable otorga mediante el presente DPA una autorización general para que el Encargado recurra a los siguientes subencargados, con quienes el Encargado mantiene contratos equivalentes en materia de protección de datos:

El Encargado informará al Responsable de cualquier incorporación o sustitución prevista de subencargados con una antelación mínima de 30 días, a través del correo indicado en el alta del servicio o de la sección de privacidad de la plataforma. El Responsable podrá oponerse justificadamente; si no lo hace en ese plazo, se entenderá que consiente.

En todo caso, el Encargado seguirá siendo responsable ante el Responsable del correcto cumplimiento de las obligaciones de los subencargados (art. 28.4 RGPD).

8. Transferencias internacionales de datos (Capítulo V RGPD)

Con carácter ordinario, el tratamiento principal se realiza en la UE (Hetzner, Alemania). Las transferencias derivadas del uso de subencargados ubicados o con infraestructura fuera del EEE (en particular Meta/WhatsApp y Anthropic) se amparan en los mecanismos indicados en la Cláusula 7. El Encargado se obliga a no realizar transferencias internacionales adicionales sin informar previamente al Responsable y sin acreditar las garantías del Capítulo V del RGPD. [PENDIENTE: completar análisis de transferencias y documentar TIA (*Transfer Impact Assessment*) para los subencargados fuera del EEE.]

9. Asistencia al Responsable en evaluaciones de impacto (art. 35 RGPD)

Dado que el registro de jornada laboral —con la finalidad específica del art. 34.9 ET y limitado a los datos descritos en la Cláusula 2— no constituye habitualmente un tratamiento de «alto riesgo» para los derechos y libertades de los empleados en el sentido del art. 35 RGPD (ausencia de decisiones automatizadas con efectos jurídicos, ausencia de biometría o geolocalización, finalidad legal tasada), se estima que la EIPD no es obligatoria en la configuración estándar del servicio. [PENDIENTE CONSULTOR: confirmar esta valoración; podría cambiar si el Responsable activa funcionalidades adicionales o tiene una plantilla muy numerosa.]

Si el Responsable determina la conveniencia de realizar una EIPD, el Encargado colaborará aportando la información técnica necesaria.

10. Conservación y retención legal

El presente DPA establece un plazo de retención mínima de los registros de fichaje de 4 años, derivado del art. 34.9 ET y del criterio de la Inspección de Trabajo y Seguridad Social (ITSS). Los datos no se suprimirán antes de cumplirse dicho plazo sin instrucción expresa y documentada del Responsable que acredite la base legal para la supresión anticipada. Transcurrido el plazo legal, el Encargado procederá conforme a la instrucción del Responsable (supresión o devolución), y en defecto de instrucción, suprimirá o anonimizará los registros.

11. Responsabilidad (art. 82 RGPD)

Cada parte responde de los daños causados por los tratamientos que infrinja el RGPD según el art. 82. El Encargado responde únicamente cuando no haya cumplido las obligaciones del RGPD dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones lícitas del Responsable.

Limitación contractual de responsabilidad del Encargado: sin perjuicio de las normas imperativas del RGPD y de la responsabilidad por dolo o culpa grave, la responsabilidad total del Encargado frente al Responsable derivada de este DPA queda limitada al importe de las tarifas del servicio abonadas por el Responsable durante los 12 meses anteriores al evento que dio lugar a la reclamación. Quedan excluidos los daños indirectos y el lucro cesante. Esta limitación no es oponible frente a los interesados afectados ni frente a la AEPD.

12. Duración y resolución

Este DPA tiene la misma duración que el contrato de prestación del servicio TRESAAA Fichaje. Se resolverá automáticamente con el contrato principal. Las obligaciones de confidencialidad (Cláusula 4.a), las de supresión o devolución de datos (Cláusula 4.g), las relativas a la retención legal mínima (Cláusula 10) y las de responsabilidad subsistirán tras la resolución durante el tiempo necesario hasta que se extingan las correspondientes obligaciones.

13. Modificaciones

El Encargado podrá actualizar este DPA para reflejar cambios normativos o de la plataforma, notificándolo al Responsable con un mínimo de 30 días de antelación. Si el Responsable no se opone en ese plazo, se entenderá aceptada la modificación. En caso de oposición fundada, las partes negociarán de buena fe; si no alcanzan acuerdo, cualquiera de ellas podrá resolver el contrato de servicio.

14. Ley aplicable y jurisdicción

Este DPA se rige por la legislación española. Para cualquier controversia derivada de su interpretación o cumplimiento, las partes se someten a los Juzgados y Tribunales de Madrid, renunciando expresamente a cualquier otro fuero que pudiera corresponderles. Sin perjuicio de los derechos de los interesados ante la Agencia Española de Protección de Datos (AEPD).

ANEXO I — Información del Responsable (a completar al alta)

ANEXO II — Huecos pendientes de cierre antes del uso en producción

*Fin del borrador. Entidad: lintatalle SL · CIF B16387789 · Calle Cenicero 6, 28014 Madrid · [email protected] · Marca: TRESAAA. Documento sujeto a revisión por consultor/abogado especializado antes de cualquier uso.*