Contrato de encargo de tratamiento

Versión de 26 de septiembre de 2026. Este contrato se acepta al contratar el servicio y forma parte de las condiciones de contratación. Si tu gestoría necesita un ejemplar firmado, imprime esta página: sale ya con el formato de contrato y el hueco de las dos firmas.

Las partes

De una parte, el RESPONSABLE DEL TRATAMIENTO: la empresa o profesional que contrata Ficheo, con los datos que constan en su cuenta y en sus facturas (en adelante, «el Responsable»).

De otra parte, el ENCARGADO DEL TRATAMIENTO: APRENDIZAJES DEL FUTURO, S.L., con NIF B23853310 y domicilio en Passatge Domènech, 3, 08470 Sant Celoni (Barcelona), España, titular del servicio ficheo.app (en adelante, «Ficheo»). Contacto en materia de protección de datos: hola@ficheo.app.

Ambas partes reconocen capacidad suficiente y acuerdan regular el tratamiento de datos personales conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018.

1 · Objeto y duración

Ficheo trata, por cuenta del Responsable, los datos personales necesarios para prestar el servicio de registro de jornada y gestión del tiempo de trabajo descrito en las condiciones de contratación.

Este contrato dura lo que dure la prestación del servicio y se prorroga automáticamente con él. Las obligaciones de confidencialidad siguen vigentes después de que termine.

2 · Qué datos, de quién y para qué

Naturaleza y finalidad: registrar la jornada de la plantilla del Responsable, calcular las horas trabajadas y las previstas, gestionar cuadrantes, ausencias y documentos, y generar los informes que exige el artículo 34.9 del Estatuto de los Trabajadores.

Categorías de interesados: las personas trabajadoras del Responsable y, en su caso, quienes gestionen su cuenta.

Categorías de datos:

• Identificación y contacto. Nombre, iniciales, correo, teléfono, código de usuario, contraseña (guardada con una función de derivación, nunca en claro) y, si se usa la tablet compartida, un PIN.
• Datos laborales. Puesto, departamento, centro de trabajo, horario, jornada, fecha de alta y de baja, tipo de contrato y quién aprueba sus solicitudes.
• Registro de jornada. Entradas, salidas y pausas con su fecha, su hora y su origen; correcciones, con quién las hizo y por qué.
• Ausencias y documentos. Vacaciones y permisos, y los justificantes o documentos que el Responsable o la persona suban —que pueden incluir datos de salud, si el Responsable decide pedir un parte médico—.
• Ubicación, solo si el Responsable la activa. Coordenadas y distancia al centro en el momento de fichar. Va apagada de fábrica y nunca impide fichar.

Ficheo no trata datos biométricos. No hay huella ni reconocimiento facial, en línea con la guía de la Agencia Española de Protección de Datos de noviembre de 2023.

3 · Instrucciones del responsable

Ficheo trata los datos únicamente siguiendo las instrucciones documentadas del Responsable. Son instrucciones documentadas este contrato, las condiciones de contratación y la configuración que el Responsable elija en su propio panel, que es donde decide qué funciones usa, qué se mide y qué no.

Ficheo no usa los datos de la plantilla del Responsable para ninguna finalidad propia: ni para publicidad, ni para cederlos, ni para entrenar sistemas automáticos.

Si Ficheo entendiera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato al Responsable.

4 · Obligaciones de Ficheo

• Confidencialidad. Quien tiene acceso a los datos está obligado a guardarla, también después de terminar su relación con Ficheo.
• Acceso mínimo. Solo accede a los datos quien lo necesita para prestar el servicio. El acceso de soporte a la cuenta de un cliente queda registrado con la fecha, la hora y quién entró, y es consultable por el Responsable.
• Registro de actividades de tratamiento conforme al artículo 30.2 del RGPD.
• Asistencia al Responsable en las evaluaciones de impacto y en las consultas previas que deba hacer a la autoridad de control, en lo que dependa de Ficheo.
• Aislamiento entre clientes. Los datos de cada empresa están separados de los de las demás y no son accesibles desde otra cuenta.

5 · Medidas de seguridad

Ficheo aplica las medidas técnicas y organizativas del artículo 32 del RGPD. En concreto, y son las que hay de verdad:

• Cifrado en tránsito. Todo el tráfico va por HTTPS con certificados renovados automáticamente.
• Contraseñas nunca en claro. Se guardan con una función de derivación: no se pueden consultar, solo sustituir.
• Control de acceso por papeles. Cuatro niveles —trabajador, encargado, gestor y soporte— y una lista cerrada de lo que un encargado puede hacer: todo prohibido salvo lo escrito.
• Registro de accesos. Queda escrito quién consultó los datos de quién, y cada persona puede consultarlo desde su propia aplicación.
• Trazabilidad de los cambios. Toda corrección de un fichaje deja escrito el valor anterior, el nuevo, quién lo cambió, cuándo y por qué. No hay forma de borrar ese rastro.
• Freno a los intentos de acceso por identidad y por dirección de origen.
• Copia de seguridad diaria y comprobada por restauración. Cada noche se vuelca la base y los archivos, se restaura la copia en un entorno aparte y se contrastan los registros; si no cuadran, la copia se marca como fallida.
• Vigilancia del servicio cada minuto, con reinicio automático y aviso si no responde.

6 · Quién más toca los datos

El Responsable autoriza de forma general que Ficheo recurra a los subencargados que figuran en la tabla. Si Ficheo quisiera añadir o cambiar alguno, lo comunicará con al menos treinta días de antelación y el Responsable podrá oponerse; si se opone y no hay alternativa, podrá resolver el contrato sin penalización.

No hay transferencias internacionales de datos salvo la de Telegram, que solo existe si el Responsable decide activar esa forma de fichar y que puede desactivar en cualquier momento desde su panel.

7 · Derechos de las personas

Ficheo asiste al Responsable para que pueda atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Buena parte no requiere pedir nada a nadie, porque está en la propia aplicación:

• Acceso y portabilidad. Cada persona puede descargar todos sus datos desde su aplicación, en un formato legible por máquina.
• Quién ha mirado sus datos. Cada persona puede consultar el registro de accesos a su ficha.
• Registro mensual de jornada. Cada persona puede obtener y firmar su propio registro del mes.

Si una persona dirige una solicitud a Ficheo en lugar de a su empresa, Ficheo no la resolverá por su cuenta: la trasladará al Responsable sin demora indebida, porque es él quien decide.

8 · Si hay una brecha

Ficheo comunicará al Responsable cualquier violación de la seguridad de los datos sin dilación indebida y, en todo caso, dentro de las veinticuatro horas siguientes a tener conocimiento de ella, con la información de que disponga: qué ha pasado, a qué categorías de datos y de personas afecta, las consecuencias probables y las medidas adoptadas. El plazo de veinticuatro horas se fija para que el Responsable pueda cumplir el suyo de setenta y dos ante la autoridad de control.

9 · Qué pasa al terminar

Al terminar la prestación del servicio, y a elección del Responsable, Ficheo devolverá los datos o los suprimirá, junto con las copias existentes. Para que esto sea claro y no una frase de adorno:

• Devolución. El Responsable puede exportar en cualquier momento, por sí mismo y sin pedir permiso, los fichajes, el registro de jornada, las ausencias y los documentos.
• Supresión. Se solicita por escrito a hola@ficheo.app y se ejecuta en un plazo máximo de treinta días, incluidos los archivos subidos. Se confirma por escrito cuando está hecha.
• Lo que no se suprime, y por qué. Ficheo conservará bloqueados los datos estrictamente necesarios mientras pueda derivarse responsabilidad legal, y las copias de seguridad hasta que caduquen por su propio ciclo. Sobre esos datos no se realiza ningún otro tratamiento.
• Conservación del registro de jornada. Mientras el servicio esté vigente, el registro se conserva cuatro años, que es el plazo que impone el artículo 34.9 del Estatuto de los Trabajadores. Es una obligación del Responsable, y Ficheo la cumple por él.

10 · Auditoría

Ficheo pondrá a disposición del Responsable la información necesaria para demostrar que cumple lo pactado y permitirá auditorías, incluidas inspecciones, realizadas por el Responsable o por un auditor que designe, con un preaviso razonable de treinta días, en horario laboral y sin interrumpir el servicio a los demás clientes. El coste de la auditoría corre a cargo del Responsable, salvo que revele un incumplimiento de Ficheo.

11 · Obligaciones del responsable

• Informar a su plantilla del tratamiento, de su finalidad y de sus derechos, y disponer de la base jurídica que corresponda.
• Decidir qué se mide. Especialmente si activa la ubicación, valorar su proporcionalidad e informar de ella de forma expresa.
• Custodiar las credenciales de quienes gestionan su cuenta y retirar los accesos que ya no correspondan.
• Consultar a Ficheo antes de introducir categorías de datos distintas de las descritas en la cláusula 2.

Firmas

Este contrato se entiende aceptado por el Responsable al contratar el servicio, sin necesidad de firma manuscrita. Si la empresa o su gestoría necesitan un ejemplar firmado, imprime esta página: sale con el formato de contrato y con los dos huecos.