Política de Privacidad

1. Sobre esta política

Esta política explica cómo se tratan los datos personales cuando usáis HT Vahetus (la "Plataforma"), disponible en https://clock.htvahetus.eu y, cuando se publique, a través de la aplicación HT Vahetus para Android e iOS. Se ha redactado para cumplir los artículos 13 y 14 del Reglamento General de Protección de Datos (Reglamento (UE) 2016/679, "RGPD") y la Ley de Protección de Datos Personales de Estonia (isikuandmete kaitse seadus).

En esta política, "Organización" significa la empresa u otra entidad que ha creado un espacio de trabajo en la Plataforma y os ha invitado a él, y "nosotros" significa Humanos Tech OÜ.

2. Quiénes somos y cómo contactar con nosotros

Humanos Tech OÜ, código de registro 17179670, número de IVA EE102831229, domicilio social en Meistri tn 6, 13517 Tallinn, Estonia.

Correo electrónico para todas las consultas y solicitudes sobre protección de datos: privacy@humanostech.com.

No hemos designado un delegado de protección de datos. Nuestro contacto de privacidad indicado arriba atiende todas las solicitudes.

3. Quién es responsable de vuestros datos

Respecto de los datos que una Organización gestiona sobre su propio equipo en la Plataforma (por ejemplo, registros de jornada, horarios, ausencias, solicitudes, impugnaciones, archivos adjuntos, documentos y sus confirmaciones de lectura, contratos y correos electrónicos de contratos devueltos, saldos de vacaciones, turnos abiertos y cambios de turno, avisos sobre horas de trabajo y descansos, recordatorios, datos de ubicación y avisos sobre los dispositivos utilizados para fichar), es esa Organización la que determina los fines y los medios del tratamiento y es el responsable del tratamiento. Humanos Tech trata esos datos por cuenta de la Organización, como su encargado del tratamiento conforme al artículo 28 del RGPD, y únicamente siguiendo sus instrucciones.

Respecto de los datos necesarios para el funcionamiento de la propia Plataforma (vuestra cuenta y el inicio de sesión, la seguridad, la aceptación de nuestros Términos, nuestros mensajes del servicio, las notificaciones de contenidos ilícitos, los informes de errores y el funcionamiento técnico de la Plataforma), Humanos Tech es el responsable del tratamiento.

Si la propia Humanos Tech utiliza la Plataforma como Organización para su propio equipo, Humanos Tech es también el responsable del tratamiento de los datos de ese equipo.

Para preguntas sobre datos de los que es responsable vuestra Organización, os rogamos que contactéis primero con vuestra Organización. También podéis escribirnos, y trasladaremos vuestra solicitud y ayudaremos a la Organización a responderla.

4. De dónde proceden los datos

La mayoría de los datos proceden de vosotros, cuando usáis la Plataforma. Algunos datos proceden de vuestra Organización, por ejemplo vuestra dirección de correo electrónico, rol, puesto, equipo, proyectos y, en el caso de los freelancers, los datos necesarios para preparar un contrato. Algunos datos los genera la Plataforma, por ejemplo marcas de tiempo, registros de auditoría, huellas digitales de documentos, certificados de conclusión de contratos, avisos, recordatorios e informes de errores. Algunos datos proceden de vuestro dispositivo, por ejemplo su hora cuando fichéis la entrada o la salida sin conexión a internet.

5. Qué datos se tratan

• Datos de la cuenta: dirección de correo electrónico, rol, puesto (si se facilita), Organización y equipo, Gerente de Cuenta, proyectos, idioma preferido, estado de la cuenta y fechas de invitación, de creación de la contraseña y del primer y último inicio de sesión.
• Datos de inicio de sesión y de seguridad: contraseña (almacenada solo como hash unidireccional), secreto de la verificación en dos pasos (cifrado), claves públicas de las llaves de acceso (passkeys), tokens de sesión, contadores de inicios de sesión fallidos y códigos de un solo uso enviados por correo electrónico.
• Datos del dispositivo utilizado al fichar la entrada: un hash unidireccional del identificador del dispositivo creado por la Plataforma en vuestro dispositivo, primer y último uso, número de usos, última dirección IP e información del navegador o del dispositivo (user agent). Se informa a vuestro Gerente de Cuenta cuando fichéis la entrada desde un dispositivo nuevo o cuando más de una persona utilice el mismo dispositivo. Se trata solo de un aviso y nunca bloquea vuestro registro de jornada.
• Datos de jornada y de trabajo: horas de entrada y de salida, pausas, proyectos, turnos y horarios, solicitudes de ausencia (tipo, fechas, notas y decisión), solicitudes de corrección y sus motivos, señalamientos, impugnaciones, decisiones, comentarios y archivos adjuntos subidos como prueba, informes y cierres de periodo. En los registros hechos en la aplicación móvil sin conexión a internet: una marca que lo indica, la hora de vuestro dispositivo en el momento del registro y la hora en que lo recibió nuestro servidor.
• Turnos abiertos y cambios de turno: vuestras solicitudes de turnos abiertos, los cambios de turno que proponéis, aceptáis o rechazáis, las notas que añadís y las decisiones con sus motivos.
• Saldo de vacaciones (solo trabajadores): derecho anual, fecha de inicio de la relación laboral, el saldo calculado a partir de las ausencias aprobadas y los ajustes manuales hechos por un Admin, con el número de días, el motivo, quién los hizo y cuándo. Los freelancers no tienen saldo de vacaciones.
• Avisos y recordatorios: avisos enviados cuando las horas trabajadas en un día, en una semana o en cualquier periodo de 24 horas superan el límite fijado por vuestra Organización, o cuando el descanso entre dos turnos es inferior al mínimo (horas trabajadas o descanso, límite y periodo de que se trata), recordatorios para fichar la entrada o la salida según vuestro horario y recordatorios para leer documentos de la Organización (cuántos se enviaron y cuándo).
• Datos de auditoría: un registro de quién hizo qué y cuándo en la Plataforma.
• Documentos: documentos publicados por vuestra Organización y vuestras confirmaciones de haberlos leído (fecha y hora, dirección IP, información del dispositivo y huella digital del archivo).
• Datos contractuales (freelancers): nombre completo, tipo y número del documento de identidad, dirección, idioma, tarifas, horas semanales, medio de pago elegido, los documentos firmados y las evidencias de firma (fecha y hora, dirección IP, información del navegador y del dispositivo, texto de confirmación y huellas digitales de los documentos), el plazo para firmar, los recordatorios enviados, el motivo si rechazáis firmar, un registro de cada correo electrónico del contrato (dirección del destinatario, identificador del mensaje y, si el correo se devuelve sin entregar, el motivo indicado por el servidor de correo del destinatario) y el certificado de conclusión descrito en la sección 7. Los datos bancarios y las direcciones de monedero no se introducen en la Plataforma.
• Datos de aceptación de los Términos: versión, idioma, fecha y hora, dirección IP, user agent y huella digital del texto aceptado.
• Datos de ubicación: solo si lo permitís, véase la sección 9.
• Datos de notificaciones: vuestras preferencias de correo electrónico y de notificaciones y, si activáis las notificaciones push, la suscripción push de vuestro navegador o dispositivo.
• Notificaciones de contenidos ilícitos: el contenido de la notificación y los datos de contacto de la persona que la presenta.
• Informes de errores: cuando se produce un error en nuestro servidor o en la aplicación, una descripción del error, detalles técnicos (la parte del programa afectada y, en los errores del servidor, la dirección de la petición, el código de respuesta, la versión de la aplicación y la plataforma), cuántas veces y cuándo se produjo y, si habíais iniciado sesión, vuestra cuenta y vuestra Organización. Se eliminan las contraseñas, los códigos y los tokens de sesión, y estos informes no contienen vuestra dirección IP, lo que escribisteis ni el contenido de vuestras peticiones.
• Idioma: los mensajes de la Plataforma, incluidos los mensajes de error, las notificaciones de la aplicación y los correos electrónicos, se escriben en el idioma preferido de vuestra cuenta. Antes de iniciar sesión, la aplicación envía con cada petición el idioma de su interfaz para que nuestro servidor pueda responder en ese idioma; esta información no se almacena.
• Datos técnicos: registros del servidor con la dirección IP, la hora, la dirección solicitada e información sobre errores.

Las solicitudes de ausencia del tipo "enfermedad" pueden revelar información relativa a la salud. Os rogamos que no escribáis diagnósticos ni otros detalles sobre la salud en las notas ni en los archivos adjuntos, salvo que vuestra Organización os los pida a través de un canal adecuado y la ley lo permita.

6. Fines y bases jurídicas

Tratamientos de los que Humanos Tech es responsable:

• Crear y gestionar vuestra cuenta, permitiros iniciar sesión y prestar la Plataforma conforme a nuestros Términos: ejecución de un contrato (artículo 6, apartado 1, letra b), del RGPD).
• Mantener la seguridad de la Plataforma y de las cuentas, prevenir el fraude y los abusos, y detectar y corregir errores: nuestro interés legítimo en un servicio seguro y fiable (artículo 6, apartado 1, letra f)).
• Conservar informes de los errores que se producen en nuestro servidor y en la aplicación, para poder analizarlos y corregirlos: nuestro interés legítimo en un servicio fiable (artículo 6, apartado 1, letra f)). Solo Humanos Tech ve estos informes.
• Escribir los mensajes, incluidos los mensajes de error, en vuestro idioma: ejecución de un contrato (artículo 6, apartado 1, letra b)).
• Registrar vuestra aceptación de nuestros Términos y enviaros una copia: ejecución de un contrato y nuestro interés legítimo en poder acreditar lo acordado (artículo 6, apartado 1, letras b) y f)).
• Enviar mensajes del servicio por correo electrónico y, si las activáis, notificaciones push: ejecución de un contrato (artículo 6, apartado 1, letra b)).
• Tramitar las notificaciones de contenidos ilícitos, las declaraciones de motivos y los requerimientos de las autoridades: cumplimiento de obligaciones legales, incluido el Reglamento de Servicios Digitales de la UE (artículo 6, apartado 1, letra c)).
• Formular, ejercer o defender reclamaciones: nuestro interés legítimo (artículo 6, apartado 1, letra f)).
• Atender las solicitudes de ejercicio de vuestros derechos conforme al RGPD y dejar constancia de ellas: cumplimiento de obligaciones legales (artículo 6, apartado 1, letra c)).

Cuando nos basamos en el interés legítimo, podéis oponeros en cualquier momento, véase la sección 12.

Tratamientos de los que vuestra Organización es responsable:

Vuestra Organización determina los fines y las bases jurídicas, que suelen incluir la gestión de la relación laboral o de servicios, el registro del tiempo de trabajo, incluidos los registros hechos sin conexión a internet, la planificación de horarios, incluidos los turnos abiertos y los cambios de turno, la llevanza de los saldos de vacaciones, los avisos sobre horas de trabajo y descansos y los recordatorios, la gestión de ausencias y solicitudes, la preparación y la firma de contratos, la preparación de informes y facturas y la conservación de registros a prueba de manipulaciones. Las bases jurídicas habituales son la ejecución de un contrato (artículo 6, apartado 1, letra b)), las obligaciones legales, como las normas sobre tiempo de trabajo y contabilidad (artículo 6, apartado 1, letra c)), y los intereses legítimos (artículo 6, apartado 1, letra f)). Los datos de ausencias que revelen información relativa a la salud pueden tratarse cuando lo permita el Derecho laboral (artículo 9, apartado 2, letra b)). Los datos de ubicación solo se tratan con vuestro consentimiento (artículo 6, apartado 1, letra a)). Vuestra Organización debe facilitaros su propia información sobre este tratamiento.

7. Quién puede ver vuestros datos

• Otros usuarios de vuestra Organización, según sus roles: los Gerentes de Cuenta ven los datos de las personas que gestionan, y los Admins ven los datos de su Organización, incluido si habéis aceptado los Términos vigentes, cuándo y en qué idioma. Los Gerentes de Cuenta y los Admins también reciben los avisos sobre las horas de trabajo y los descansos de las personas que gestionan y ven sus saldos de vacaciones.
• Otras personas que registran tiempo en el mismo proyecto: si proponéis u ofrecéis un cambio de turno, o si podéis recibir un turno que otra persona ofrece, pueden ver vuestra dirección de correo electrónico, el turno de que se trata y la nota que añadáis.
• La otra parte de un contrato (freelancers): cuando todas las partes han firmado, cada parte recibe los documentos firmados y un certificado de conclusión que muestra, para cada firmante, el nombre, la dirección de correo electrónico, la fecha y la hora, la dirección IP y la información del navegador o del dispositivo, así como los pasos del proceso de firma (envío, apertura de los documentos, recordatorios y firmas). Si rechazáis firmar, vuestra Organización recibe el motivo que indiquéis.
• El personal autorizado de Humanos Tech, solo cuando sea necesario para el funcionamiento, el soporte y la seguridad de la Plataforma, sujeto a un deber de confidencialidad. Los informes de errores solo los ve el personal de Humanos Tech que administra la Plataforma, nunca las Organizaciones.
• Nuestros proveedores de servicios (encargados del tratamiento), solo para prestarnos sus servicios y en virtud de un contrato:
  • OVHcloud, alojamiento de servidores y bases de datos, centro de datos en Fráncfort (Alemania).
  • Hostinger, envío de correo electrónico y almacenamiento de copias de seguridad cifradas, en la Unión Europea.
• Si vuestra Organización configura su propia cuenta de correo electrónico para enviar contratos, esos correos se envían a través del proveedor de correo electrónico elegido por vuestra Organización. Si la Organización también lo permite, la Plataforma lee automáticamente los mensajes nuevos de la bandeja de entrada de esa cuenta (IMAP), sin marcarlos, moverlos ni borrarlos, solo para reconocer los avisos de que un correo de un contrato no se ha podido entregar. Los demás mensajes solo se comprueban en memoria y no se almacenan.
• Proveedores que elegís vosotros o vuestro navegador:
  • Servicios de notificaciones push gestionados por el fabricante de vuestro navegador o dispositivo (por ejemplo, Google, Mozilla, Microsoft o Apple), solo si activáis las notificaciones push. El contenido de cada notificación está cifrado mientras pasa por estos servicios.
• Las autoridades públicas y los tribunales, cuando la ley lo exija.

No vendemos datos personales ni los utilizamos con fines publicitarios.

8. Transferencias fuera del Espacio Económico Europeo

Almacenamos y tratamos los datos de la Plataforma en la Unión Europea. Solo puede producirse una transferencia fuera del Espacio Económico Europeo a través de los servicios de notificaciones push descritos en la sección 7, cuyos proveedores pueden tratar datos en otros países, incluidos los Estados Unidos. Esos proveedores se basan en la decisión de adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo aprobadas por la Comisión Europea. Podéis pedirnos más información sobre estas garantías.

9. Ubicación (GPS)

La ubicación es opcional. Si vuestra Organización la utiliza, la Plataforma os pide permiso antes de la primera lectura. Si aceptáis, la Plataforma lee la posición de vuestro dispositivo solo cuando fichéis la entrada y cuando fichéis la salida, y almacena la latitud, la longitud, la precisión, la hora de la lectura e indicadores de calidad (por ejemplo, baja precisión o ubicación simulada). Nunca lee vuestra posición en segundo plano ni en ningún otro momento. Si ficháis la entrada o la salida en la aplicación móvil sin conexión a internet, la posición leída en ese momento se guarda con el registro, cifrada en vuestro dispositivo, hasta que se envía a nuestro servidor.

• Base jurídica: vuestro consentimiento (artículo 6, apartado 1, letra a), del RGPD), registrado con la fecha y la versión del texto.
• Vuestra elección: negaros nunca os impide registrar vuestra jornada.
• Quién la ve: el Gerente de Cuenta responsable de vosotros y los Admins de vuestra Organización.
• Seguridad: la posición se almacena cifrada.
• Conservación: la posición se suprime automáticamente 90 días después del inicio del turno. El turno en sí se conserva.
• Retirada: podéis retirar vuestro consentimiento en cualquier momento en los ajustes de vuestra cuenta. Las lecturas cesan entonces y se suprimen las posiciones ya almacenadas para vuestros turnos. La retirada no afecta a la licitud del tratamiento anterior a ella (artículo 7, apartado 3, del RGPD).

10. Durante cuánto tiempo se conservan los datos

Conservamos los datos personales solo mientras sean necesarios para los fines de la sección 6 o lo exija la ley. La Plataforma aplica automáticamente los plazos siguientes, salvo que se indique otra cosa. Un plazo contado desde el final de un ejercicio empieza el 31 de diciembre de ese año.

• Datos de la cuenta (dirección de correo electrónico, rol, puesto, equipo, idioma y estado de la cuenta): mientras vuestra cuenta esté activa y durante 7 años después de su desactivación. Después, la cuenta se anonimiza automáticamente: se eliminan la dirección de correo electrónico y el puesto, la contraseña queda inutilizable y se suprimen los dispositivos, las llaves de acceso y las suscripciones push almacenados. Una Organización puede anonimizar una cuenta antes, por ejemplo cuando aprueba vuestra solicitud de cierre de la cuenta. Los registros que todavía deban conservarse quedan vinculados a un identificador interno hasta que termine su propio plazo, y algunos de ellos (por ejemplo, contratos, notas o comentarios) pueden seguir conteniendo vuestro nombre.
• Registros de jornada y registros que los respaldan (horas de entrada y de salida, pausas, la hora del dispositivo y la hora de recepción de los registros hechos sin conexión a internet, correcciones y solicitudes de corrección, señalamientos, impugnaciones con sus decisiones, comentarios y archivos adjuntos, horarios, incluidas las solicitudes de turnos abiertos y los cambios de turno aprobados, y cierres de periodo), y los registros de auditoría sobre ellos: 7 años desde el final del ejercicio en que se crearon; después se suprimen. Para los trabajadores, estos registros respaldan el registro de jornada y el salario (Ley de Contratos de Trabajo de Estonia, töölepingu seadus, artículo 28, apartado 2, punto 4, y artículo 29, apartado 9); para los freelancers, respaldan las facturas. En ambos casos son documentos contables conforme al artículo 12 de la Ley de Contabilidad de Estonia (raamatupidamise seadus). Como la Plataforma empezó a funcionar en 2025, ningún registro puede llegar al final de este plazo antes del 1 de enero de 2033. Estos registros están protegidos por una cadena criptográfica, y su supresión mantendrá verificables los registros restantes.
• Contratos firmados, sus documentos, las evidencias de firma y el certificado de conclusión (freelancers), así como los documentos enviados para firmar que se rechazaron, caducaron o se anularon, con los motivos indicados: 7 años desde el final del ejercicio en que terminó el contrato o se cerró el envío (Ley de Contabilidad, artículo 12); después se suprimen.
• Ausencias: las notas de texto libre se suprimen 3 años después del final de la ausencia, que es el plazo de las reclamaciones salariales (Ley de Contratos de Trabajo, artículo 29, apartado 9). El resto del registro (tipo, fechas y decisión) se suprime 7 años después del final del ejercicio en que terminó la ausencia.
• Aceptación de los Términos y confirmaciones de lectura de documentos: mientras vuestra cuenta esté activa y durante 3 años después de su desactivación; después se suprimen. 3 años es el plazo de prescripción de las reclamaciones derivadas de un negocio jurídico (Ley de la Parte General del Código Civil, tsiviilseadustiku üldosa seadus, artículo 146, apartado 1). La dirección IP y la información del navegador guardadas con estos registros y en los registros de auditoría se suprimen 3 años después del hecho; se conservan la fecha, la versión y la huella digital.
• Registros de los recordatorios de contratos: 3 años después de que los documentos se firmaran, se rechazaran, caducaran o se anularan; en los contratos firmados, los recordatorios siguen figurando en el certificado de conclusión. Registros de los correos electrónicos de contratos (destinatario, identificador del mensaje y motivo de una eventual devolución): 90 días después del envío del correo, una vez que los documentos ya no estén pendientes de firma.
• Solicitudes de turnos abiertos y cambios de turno que no modificaron el horario (rechazados, retirados, declinados o anulados, o todavía pendientes mucho después del turno): 3 años después de su cierre o, si nunca se cerraron, después del inicio del turno, que es el plazo de prescripción indicado más arriba.
• Saldo de vacaciones (trabajadores): los ajustes manuales se suprimen 7 años después del final del año al que se refieren; vuestro derecho anual propio y la fecha de inicio de la relación laboral, 7 años después de la desactivación de vuestra cuenta.
• Avisos sobre horas de trabajo y descansos: el registro de que se envió un aviso se suprime 12 meses después de su envío. Registros de los recordatorios para leer un documento: 90 días después del último recordatorio, una vez que hayáis leído el documento, que este se haya archivado o que vuestra cuenta se haya desactivado.
• Informes de errores: 90 días después de que el error se marque como resuelto y, en todo caso, 1 año después de que se produjera por primera vez.
• Registros hechos sin conexión a internet que todavía esperan en vuestro dispositivo: se suprimen del dispositivo en cuanto nuestro servidor los acepta o los rechaza, véase la Política de Cookies y Almacenamiento Local.
• Datos de ubicación: 90 días después del inicio del turno, o antes si retiráis el consentimiento.
• Datos del dispositivo utilizado al fichar la entrada: la dirección IP y la información del navegador se suprimen 90 días después del último uso del dispositivo, y el registro del dispositivo, 12 meses después de su último uso.
• Notificaciones de la aplicación: 90 días después de que las leáis y, en todo caso, 12 meses después de su envío.
• Enlaces y códigos para crear o cambiar la contraseña: 30 días después de su uso o, si no se utilizan, 90 días después de su caducidad. Tokens de sesión: como máximo 7 días después de caducar o de ser revocados. Contadores de inicios de sesión fallidos y códigos de un solo uso: de minutos a horas.
• Suscripciones push: hasta que desactivéis las notificaciones push o vuestro navegador cancele la suscripción y, en todo caso, 30 días después de la desactivación de vuestra cuenta.
• Notificaciones de contenidos ilícitos y solicitudes de ejercicio de derechos: 3 años después del cierre del asunto, para poder demostrar cómo se tramitó.
• Copias de seguridad: las copias de seguridad cifradas se suprimen a los 14 días en el servidor y a los 56 días en el almacenamiento externo, por lo que los datos suprimidos de la Plataforma desaparecen de todas las copias en un plazo de 56 días.
• Registros del servidor: se guardan en un espacio limitado y se sobrescriben automáticamente, normalmente en pocas semanas.

Un registro solo puede conservarse más tiempo cuando sea necesario para una impugnación pendiente, una reclamación judicial o un requerimiento de una autoridad, y solo mientras dure. Vuestra Organización, como responsable del tratamiento, puede indicarnos que suprimamos sus datos antes cuando la ley lo permita.

11. ¿Es obligatorio facilitar los datos?

Para tener una cuenta necesitáis una dirección de correo electrónico y debéis aceptar nuestros Términos. Sin ellos no podéis usar la Plataforma. Los demás datos dependen de cómo utilice la Plataforma vuestra Organización. La ubicación es siempre opcional.

12. Vuestros derechos

Conforme a los artículos 15 a 22 del RGPD, tenéis derecho a acceder a vuestros datos, a obtener la rectificación de los datos inexactos, a obtener la supresión de los datos, a la limitación del tratamiento, a recibir vuestros datos en un formato portable y a oponeros al tratamiento basado en intereses legítimos. Cuando el tratamiento se base en el consentimiento, podéis retirarlo en cualquier momento. Podéis pedir el cierre de vuestra cuenta mediante la opción disponible en los ajustes de vuestra cuenta o escribiendo a privacy@humanostech.com.

Enviad las solicitudes sobre datos de los que es responsable vuestra Organización a vuestra Organización, y las demás solicitudes a privacy@humanostech.com. Respondemos en el plazo de un mes, que puede prorrogarse otros dos meses en el caso de solicitudes complejas, en cuyo caso os indicaremos el motivo. Puede que primero necesitemos confirmar vuestra identidad. Algunos derechos están limitados cuando los datos deben conservarse por ley o para reclamaciones (artículo 17, apartado 3, del RGPD).

13. Reclamaciones

Podéis presentar una reclamación ante la Inspección de Protección de Datos de Estonia (Andmekaitse Inspektsioon), https://www.aki.ee, info@aki.ee, o ante la autoridad de control del país de la UE o del EEE en el que residáis, en el que trabajéis o en el que consideréis que se ha producido la infracción (artículo 77 del RGPD). Hay una lista de autoridades disponible en https://www.edpb.europa.eu/about-edpb/about-edpb/members_en. Os agradeceríamos que nos dierais primero la oportunidad de atender vuestra inquietud.

14. Decisiones automatizadas

La Plataforma no toma decisiones sobre vosotros basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o que os afecten significativamente de modo similar (artículo 22 del RGPD). Las funciones automáticas, como los recordatorios, los avisos sobre horas de trabajo y descansos, los señalamientos de registros que faltan, las comprobaciones de la calidad de la ubicación o el reconocimiento de correos devueltos, solo informan a personas, que son quienes deciden. Algunos pasos siguen reglas fijadas de antemano: los documentos enviados para firmar caducan cuando vence el plazo fijado por la Organización sin todas las firmas, un turno abierto puede asignarse a la primera persona que lo pida si la Organización ha elegido esta regla, y un registro hecho sin conexión a internet no se acepta si llega con más de 72 horas de retraso, tiene una fecha futura o no encaja con los registros existentes. En estos casos, la Organización puede volver a enviar los documentos o decidir otra cosa, y podéis pedir que se corrijan vuestros registros.

15. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas, entre ellas:

• conexiones cifradas (HTTPS) para todo el tráfico;
• contraseñas almacenadas con un hash unidireccional robusto, verificación en dos pasos opcional u obligatoria, llaves de acceso y tokens de sesión de corta duración;
• cifrado de los elementos especialmente sensibles, como los datos de ubicación, los secretos de la verificación en dos pasos, los contratos, los certificados de conclusión, los documentos de las Organizaciones y las contraseñas de las cuentas de correo electrónico conectadas por las Organizaciones;
• en la aplicación móvil, los registros hechos sin conexión a internet se guardan en el almacenamiento seguro de vuestro dispositivo (Android Keystore o iOS Keychain) hasta que se envían;
• separación de los datos de cada Organización a nivel de base de datos, y acceso según el rol;
• registros de jornada a prueba de manipulaciones protegidos por una cadena criptográfica, y registros de auditoría y de firma que no pueden alterarse;
• copias de seguridad diarias cifradas almacenadas fuera de las instalaciones, acceso limitado a los servidores y actualizaciones de seguridad periódicas.

Ningún sistema es completamente seguro. Si es probable que una violación de la seguridad de los datos personales entrañe un alto riesgo para vosotros, nosotros o vuestra Organización os informaremos conforme exige el artículo 34 del RGPD.

16. Menores

La Plataforma es una herramienta de trabajo y no está destinada a niños. Los usuarios menores de 18 años solo pueden utilizarla para trabajos que legalmente puedan realizar y con el consentimiento de su progenitor o representante legal. No tratamos a sabiendas datos de niños menores de 13 años.

17. Cookies y almacenamiento local

La Plataforma solo almacena en vuestro dispositivo lo estrictamente necesario. Los detalles figuran en la Política de Cookies y Almacenamiento Local.

18. Cambios en esta política

Podemos actualizar esta política cuando cambien la Plataforma o la ley. La fecha de la última actualización figura al principio. Os informaremos en la Plataforma de los cambios significativos y volveremos a pediros vuestro consentimiento cuando la ley lo exija.