Contrato de encargado del tratamiento

Versión 1.0 · en vigor desde el 16 de septiembre de 2026. Contrato de encargo de tratamiento de datos personales conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

Pendiente de revisión profesional. Este texto describe cómo funciona hoy Fichao, pero todavía no lo ha validado un abogado. Si tu empresa necesita una versión firmada o tiene cualquier duda, escríbenos a grupooroweb@gmail.com.

1. Partes

Responsable del tratamiento: la empresa, entidad o profesional que da de alta una cuenta de empresa en Fichao (en adelante, «la empresa cliente»), con los datos identificativos que constan en su cuenta.
Encargado del tratamiento: Sergio Olid Robles, empresario individual que opera con la marca comercial «Grupo Oro», titular de Fichao (fichao.com), NIF 77351315S, con domicilio en C/ Pinos de Calahonda, 30, Apto. 25 · 29649 Mijas (Málaga), España. Contacto: grupooroweb@gmail.com · +34 639 452 125 (en adelante, «Fichao»).

Este contrato complementa las condiciones del servicio y la política de privacidad. En todo lo relativo a los datos personales que Fichao trata por cuenta de la empresa cliente, prevalece lo dispuesto aquí.

2. Objeto del encargo

La empresa cliente utiliza Fichao para cumplir su obligación de registro diario de jornada y para organizar los turnos y las ausencias de su plantilla. Para prestar ese servicio, Fichao trata datos personales de las personas trabajadoras por cuenta de la empresa cliente, que es quien decide para qué y cómo se usan: a quién da de alta, qué funciones utiliza y si activa la geolocalización o el asistente de IA. Fichao trata esos datos únicamente para prestar el servicio y siguiendo sus instrucciones.

Quedan fuera de este contrato los datos que Fichao trata como responsable por cuenta propia: los de la relación comercial con la empresa cliente (persona de contacto, facturación y pagos) y los de las visitas y consultas a su web, que se rigen por la política de privacidad.

3. Duración

El encargo dura mientras la empresa cliente mantenga su cuenta en Fichao, en cualquiera de sus planes (incluido el gratuito). Al terminar se aplica la cláusula 16. El deber de confidencialidad y las obligaciones sobre los datos que deban conservarse bloqueados continúan después de la terminación.

4. Naturaleza y finalidad del tratamiento

Tratamiento automatizado en la nube que comprende la recogida, registro, organización, conservación, consulta, exportación, bloqueo y supresión de datos, con estas finalidades:

Registro de jornada (art. 34.9 del Estatuto de los Trabajadores): fichajes de entrada, salida y pausas desde la web, la app móvil o el kiosko del centro; su corrección con doble conformidad; y su exportación para la persona trabajadora, su representación legal o la Inspección de Trabajo y Seguridad Social.
Planificación de turnos: cuadrantes, turnos tipo, disponibilidad de cada persona, cambios e intercambios de turno y turnos libres.
Gestión de ausencias: solicitud, aprobación y consulta de vacaciones, permisos, bajas y descansos.
Usuarios y permisos dentro de la empresa cliente: administración, encargados con ámbito de empresa, centro o departamento, y personas trabajadoras.
Asistente de IA, solo si la empresa cliente lo activa: propuestas de cuadrante e importación de cuadrantes a partir de una foto o un PDF (cláusula 11).
Soporte técnico, seguridad, copias de seguridad y continuidad del servicio.

5. Tipos de datos personales

Identificación y contacto: nombre, apellidos, correo electrónico y, si la empresa lo introduce, teléfono.
Organización y condiciones de trabajo: empresa, centro, departamento, puesto, rol en la plataforma, si la persona es encargada de apertura o cierre, jornada semanal, coste por hora (si la empresa lo introduce para calcular el coste laboral), máximo de turnos al día y reglas o preferencias de planificación escritas por la empresa.
Credenciales: contraseña de acceso y PIN del kiosko, que nunca se guardan en claro, solo su resumen criptográfico (hash).
Registro de jornada: tipo de fichaje, momento del fichaje, momento de grabación sellado por el servidor, origen (web, app, kiosko o corrección), centro, observaciones, solicitudes de corrección con su motivo y con quién las propone y quién las resuelve, y la huella (hash) de cada asiento. Actualmente los asientos no guardan la dirección IP ni el navegador desde el que se ficha.
Geolocalización puntual: latitud, longitud y precisión en el instante de fichar desde la web o la app, solo si la empresa la configura como «opcional» o «requerida». El kiosko no registra ubicación.
Planificación: turnos asignados (fecha, horario, puesto y notas), disponibilidad (patrón semanal y excepciones por fechas, con nota opcional) y solicitudes de cambio de turno con su motivo.
Ausencias: tipo (vacaciones, baja médica, permiso, descanso u otro), fechas, estado, motivo opcional y comentario de resolución.
Cuadrantes importados: si la empresa usa el importador con IA, la imagen o PDF que sube, con los nombres y turnos que contenga. Se envía al proveedor de IA para leerlo y Fichao no guarda el archivo.
Datos técnicos: los necesarios para mantener la sesión iniciada y los registros técnicos de acceso de los servidores. En la app móvil, el dispositivo de la persona guarda su sesión, una copia de sus propios datos para consultarlos sin conexión y los fichajes pendientes de enviar cuando no hay cobertura.

6. Datos especialmente protegidos y minimización

Sin biometría. Fichao no trata datos biométricos: no permite fichar con huella dactilar, reconocimiento facial ni ningún otro rasgo físico.

Bajas médicas. La única información relacionada con la salud que puede existir en Fichao es que una ausencia es de tipo «baja médica» y sus fechas. Fichao no tiene campos para el diagnóstico, la causa, los partes de baja ni los justificantes, y no permite adjuntar documentos. Ese dato solo lo ven la propia persona y quienes la gestionan dentro de su ámbito, y no se comunica al proveedor de IA: el asistente solo recibe que la persona está ausente en esas fechas. La empresa cliente lo trata al amparo del artículo 9.2.b) RGPD (obligaciones en el ámbito laboral).

Textos libres. Los campos de texto (motivo de una ausencia, notas, observaciones, reglas de planificación) no están pensados para datos de salud ni para otras categorías especiales de datos. La empresa cliente se compromete a indicar a su personal que no los incluya ahí.

Geolocalización. Está desactivada por defecto. Si la empresa la activa, solo se toma la posición en el instante de fichar; nunca hay seguimiento continuo ni en segundo plano. Antes de activarla, la empresa cliente debe valorar su necesidad y proporcionalidad e informar a su plantilla (art. 20.3 del Estatuto de los Trabajadores y art. 90 LOPDGDD).

7. Categorías de interesados

Personas trabajadoras de la empresa cliente dadas de alta en Fichao.
Personas de la empresa cliente con funciones de administración o de encargado que usan la plataforma.
Personas que aparezcan en los cuadrantes que la empresa cliente importe con el asistente de IA.

8. Obligaciones de la empresa cliente

Tratar los datos con base jurídica suficiente e informar a su plantilla del tratamiento (arts. 13 y 14 RGPD), incluida la geolocalización y el asistente de IA si los activa.
Dar a Fichao instrucciones lícitas. La configuración que la empresa realiza en la plataforma se considera instrucción documentada.
Introducir solo los datos necesarios y mantenerlos exactos.
Gestionar los accesos de su personal: altas y desactivaciones, roles y ámbitos, y la custodia de contraseñas, PIN y enlaces de kiosko.
Realizar, cuando proceda, la evaluación de impacto relativa a la protección de datos.
Conservar el registro de jornada durante cuatro años y tenerlo a disposición de las personas trabajadoras, su representación legal y la Inspección de Trabajo.
No enviar datos de su plantilla por los canales de soporte (correo electrónico o WhatsApp) más allá de lo imprescindible para resolver una incidencia.

9. Obligaciones de Fichao

Tratar los datos solo para prestar el servicio y conforme a las instrucciones documentadas de la empresa cliente. Si considera que una instrucción infringe la normativa de protección de datos, se lo comunicará de inmediato.
No usar los datos para fines propios: no venderlos, no cederlos, no usarlos con fines publicitarios ni para entrenar modelos de inteligencia artificial.
No comunicar los datos a terceros salvo a los subencargados autorizados (cláusula 11) o cuando lo exija una ley. Si una autoridad los requiere, Fichao lo comunicará a la empresa cliente antes de atender el requerimiento, salvo que la ley lo prohíba.
Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad. Actualmente, el acceso técnico a la plataforma está reservado al titular de Fichao y se utiliza solo para soporte, mantenimiento y seguridad.
Aplicar las medidas de seguridad de la cláusula 10.
Llevar el registro de las actividades de tratamiento que realiza como encargado (art. 30.2 RGPD).
Asistir a la empresa cliente en los términos de las cláusulas 14 y 15, cumplir la cláusula 16 al terminar el encargo y facilitar las auditorías de la cláusula 17.

10. Medidas de seguridad

Teniendo en cuenta el estado de la técnica, los costes y los riesgos para las personas (art. 32 RGPD), Fichao aplica como mínimo estas medidas y revisará periódicamente su eficacia:

Aislamiento entre empresas y permisos por rol: seguridad a nivel de fila (RLS) en las tablas de la base de datos, de modo que cada empresa solo accede a sus datos. Dentro de la empresa, cada persona ve sus propios fichajes, ausencias y disponibilidad, y los encargados solo los de las personas de su ámbito (empresa, centro o departamento). Las comprobaciones de permisos están centralizadas en funciones del servidor.
Registro de jornada inalterable: la aplicación no puede modificar ni borrar fichajes, porque esos permisos están retirados en la base de datos. Cada fichaje se graba mediante una función del servidor que sella la hora del servidor y encadena una huella SHA-256 con el asiento anterior de la empresa, de modo que cualquier alteración posterior es detectable. Las correcciones son asientos nuevos enlazados al original, que requieren la conformidad de la empresa y de la persona trabajadora; el asiento original se conserva siempre.
Cifrado en tránsito: las comunicaciones por internet entre el navegador o la app, la web y la base de datos viajan cifradas mediante HTTPS/TLS.
Base de datos no expuesta a internet: solo se accede a ella a través de su API autenticada; la administración del servidor se hace por conexión cifrada.
Credenciales protegidas: contraseñas y PIN guardados solo como hash; las claves con privilegios de administración solo existen en el servidor, nunca en el navegador ni en la app. El kiosko funciona con un enlace secreto y aleatorio por centro y, sin sesión iniciada, solo permite identificarse con el PIN y fichar.
Minimización por diseño: sin biometría, geolocalización desactivada por defecto y solo puntual, sin documentos médicos, y asistente de IA desactivado por defecto y con límites de uso.
Protecciones del navegador: la web no se puede incrustar en páginas ajenas y limita los permisos del navegador (ubicación y micrófono solo para Fichao; cámara desactivada).
Copias de seguridad: copia automática diaria de la base de datos, con rotación periódica.
IA supervisada: el asistente nunca publica cambios por su cuenta; genera borradores que una persona revisa antes de aplicarlos.

11. Subencargados del tratamiento

La empresa cliente otorga a Fichao una autorización general para recurrir a subencargados. En la fecha de esta versión son los siguientes:

IONOS (grupo IONOS SE). Servicios: servidor privado virtual donde se ejecutan la base de datos, la autenticación de usuarios y las copias de seguridad; y correo electrónico, para enviar los mensajes que genera la plataforma (por ejemplo, el enlace para crear una contraseña nueva). Datos: todos los que Fichao almacena (cláusula 5); en el correo, solo el nombre y la dirección de quien lo recibe. Ubicación: servidor en España y correo en centros de datos de IONOS en la Unión Europea. Transferencia internacional: no hay.
Vercel Inc. Servicio: alojamiento de la web fichao.com y ejecución del código de servidor de la plataforma web y del kiosko. Datos: los que se muestran o se envían al usar la web, en tránsito (Vercel no aloja la base de datos), registros técnicos de las peticiones y estadísticas de visitas de la web sin cookies (Vercel Web Analytics). Ubicación: empresa con sede en Estados Unidos; el código de servidor se ejecuta en su región de París (Francia) y su red de distribución opera a escala mundial. Garantía: cláusulas contractuales tipo de la Comisión Europea incorporadas en su adenda de tratamiento de datos. La app móvil se conecta directamente a la base de datos y no pasa por Vercel.
Anthropic, PBC, solo si la empresa cliente activa el asistente de IA. Servicio: modelo de lenguaje Claude para proponer cuadrantes y leer cuadrantes importados. Datos enviados en cada consulta: nombre y apellidos, puesto, jornada semanal, coste por hora, máximo de turnos al día, si la persona es encargada, reglas de planificación de cada persona y de la empresa, disponibilidad, turnos de la semana y de las cuatro semanas anteriores, fechas de las ausencias aprobadas (las bajas médicas se envían como ausencia genérica, sin identificarlas como tales) y la instrucción del encargado; en el importador, además, la imagen o PDF del cuadrante y la lista de nombres de la plantilla. No se envían correos, teléfonos, fichajes, geolocalización, PIN ni motivos de ausencia. Ubicación: Estados Unidos. Garantía: cláusulas contractuales tipo incorporadas en su adenda de tratamiento de datos; sus condiciones comerciales le prohíben entrenar modelos con estos datos.

Fichao solo recurre a subencargados que ofrecen garantías suficientes y que están obligados por contrato a cumplir las obligaciones de protección de datos del artículo 28 RGPD. Fichao sigue siendo plenamente responsable frente a la empresa cliente del cumplimiento de sus subencargados.

Cambios. Fichao informará de cualquier alta o sustitución de un subencargado con al menos 30 días naturales de antelación, por correo electrónico a la dirección de la cuenta de administración de la empresa y actualizando esta página, con el proveedor, el servicio, los datos y la ubicación. La empresa cliente puede oponerse por escrito dentro de ese plazo por motivos razonables de protección de datos; si no se encuentra una alternativa, podrá dar por terminado el servicio antes de que el cambio se aplique, con los derechos de la cláusula 16. Si el cambio fuera urgente por motivos de seguridad o de continuidad del servicio, el aviso se dará lo antes posible, explicando la causa.

12. Proveedores que no son subencargados

Stripe (pagos): cobra la suscripción. Solo recibe datos de la relación comercial (nombre y NIF de la empresa, correo de quien contrata y los datos de facturación y de pago que la empresa introduce directamente en Stripe) y el número de empleados activos a facturar; nunca datos de la plantilla. Trata esos datos conforme a sus propias condiciones, como se explica en la política de privacidad.
Expo (compilación de la app móvil): se usa para generar la app. La app en funcionamiento se conecta solo a la base de datos de Fichao y no envía datos de la plantilla a Expo: no usa actualizaciones remotas, analítica ni notificaciones push.
Apple y Google (App Store y Google Play): distribuyen la app y no reciben datos del registro de jornada ni de la planificación.
Dictado por voz del asistente de IA: es opcional y usa el reconocimiento de voz del propio navegador, cuyo fabricante procesa el audio conforme a sus condiciones.
Canales de soporte (correo electrónico y WhatsApp): sirven para atender consultas y no deben usarse para enviar datos de la plantilla (cláusula 8).

13. Transferencias internacionales

Los datos se almacenan en España. Solo hay transferencias fuera del Espacio Económico Europeo en dos casos: a Vercel, al usar la plataforma web, y a Anthropic, únicamente si la empresa cliente activa el asistente de IA. Ambas se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46.2.c RGPD). Fichao no realizará otras transferencias sin seguir el procedimiento de la cláusula 11.

14. Asistencia a la empresa cliente

Derechos de las personas: cada persona trabajadora puede consultar sus propios fichajes, turnos y ausencias desde la plataforma, y la empresa puede exportar el registro de jornada. Si una persona trabajadora dirige a Fichao una solicitud de acceso, rectificación, supresión, oposición, limitación o portabilidad, Fichao la trasladará a la empresa cliente en un plazo máximo de 5 días hábiles, sin responderla por su cuenta salvo instrucción expresa, y le prestará la ayuda técnica necesaria para atenderla. Los fichajes no pueden suprimirse mientras dure la obligación legal de conservarlos (art. 17.3.b RGPD); los errores se rectifican con el procedimiento de corrección.
Seguridad, evaluaciones de impacto y consultas previas: Fichao facilitará la información de que disponga para ayudar a la empresa cliente a cumplir los artículos 32 a 36 RGPD.

15. Violaciones de seguridad

Fichao notificará a la empresa cliente toda violación de la seguridad de los datos personales que trata por su cuenta sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de ella, por correo electrónico a la dirección de la cuenta de administración y, si es grave, también por teléfono. La notificación incluirá, en la medida en que se conozca: la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, un punto de contacto, las consecuencias probables y las medidas adoptadas o propuestas. Si no es posible facilitar toda la información a la vez, se dará de forma gradual.

Corresponde a la empresa cliente, como responsable, notificar la violación a la Agencia Española de Protección de Datos en un plazo de 72 horas y, cuando proceda, comunicarla a las personas afectadas. Fichao le prestará la asistencia necesaria.

16. Destino de los datos al terminar el encargo

Devolución: antes de dar de baja la cuenta y durante los 30 días siguientes, la empresa cliente puede descargar el registro de jornada y solicitar una exportación completa de sus datos (registro de jornada, plantilla, turnos y ausencias) en un formato estructurado de uso común, que Fichao entregará en un plazo máximo de 15 días.
Registro de jornada: la obligación de conservarlo cuatro años es de la empresa cliente (art. 34.9 del Estatuto de los Trabajadores). La empresa elige entre (a) conservar su propia copia exportada, en cuyo caso Fichao suprime también el registro; o (b) encargar a Fichao que lo conserve bloqueado (art. 32 LOPDGDD), sin más uso que entregarlo a la empresa, a las personas interesadas o a las autoridades competentes que lo requieran, hasta que se cumplan cuatro años desde cada asiento, momento en que se suprimirá. Si la empresa no comunica su elección en esos 30 días, se aplicará la opción (b).
Resto de datos: se suprimen al terminar el plazo de devolución. Las copias de seguridad los eliminan en su ciclo ordinario de rotación.
Fichao podrá conservar, debidamente bloqueados, los datos necesarios mientras puedan derivarse responsabilidades de su relación con la empresa cliente (art. 33.4 LOPDGDD). A petición de la empresa, Fichao certificará por escrito la supresión.

17. Información y auditorías

Fichao pondrá a disposición de la empresa cliente la información necesaria para demostrar el cumplimiento de este contrato, incluida la descripción de las medidas de seguridad y la lista de subencargados. La empresa cliente, o un auditor independiente designado por ella y sujeto a confidencialidad, podrá realizar auditorías e inspecciones con un preaviso de 30 días, como máximo una vez al año salvo que haya habido una violación de seguridad o lo exija una autoridad. La auditoría se hará preferentemente de forma documental, sin acceder a datos de otros clientes ni poner en riesgo la seguridad del servicio, y su coste correrá a cargo de la empresa cliente salvo que revele un incumplimiento relevante de Fichao. Respecto de los subencargados, la verificación se hará con la documentación y las certificaciones que estos publiquen.

18. Disposiciones finales

Aceptación: este contrato forma parte de las condiciones del servicio y rige desde que la empresa cliente da de alta su empresa en Fichao o contrata cualquiera de sus planes. Si la empresa necesita una copia firmada, puede solicitarla en grupooroweb@gmail.com.
Modificaciones: si cambian la normativa, el servicio o los subencargados, Fichao publicará una nueva versión en esta página y avisará a la empresa cliente con al menos 30 días de antelación. Si no está de acuerdo, podrá dar por terminado el servicio con los derechos de la cláusula 16.
Responsabilidad: si Fichao tratara los datos para fines propios o incumpliera este contrato, será considerado responsable del tratamiento respecto de ese tratamiento (art. 28.10 RGPD).
Legislación y jurisdicción: este contrato se rige por la legislación española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Málaga.

Documento redactado conforme a la normativa vigente y pendiente de revisión por un profesional del derecho. Última actualización: 28 de agosto de 2026.