1. Responsable del tratamiento

CombiJornada es una plataforma SaaS multi-tenant para la gestión de cumplimiento normativo (AESIA, EU AI Act) y el registro de jornada laboral conforme al RD 8/2019, distribuida a través de gestorías a pymes y autónomos en España.

El responsable del tratamiento de los datos personales es la empresa cliente (pyme/autónomo) que utiliza la plataforma. CombiJornada actúa como encargado del tratamiento conforme al Art. 28 RGPD. Los términos detallados se regulan en el Acuerdo de Tratamiento de Datos (AVV) firmado digitalmente dentro de la plataforma.

2. Datos tratados

• Datos de identificación: nombre, email (cifrado), teléfono WhatsApp (cifrado)
• Datos laborales: fichajes (entrada/salida/pausas), modo de trabajo (presencial/teletrabajo), ubicación (opcional)
• Datos de cumplimiento: respuestas a checklists, inventario de sistemas de IA, políticas de IA
• Datos de facturación: datos fiscales (CIF/NIF), historial de facturas
• Datos técnicos: logs de auditoría (accesos, acciones, exportaciones)

Los datos personales sensibles (email, teléfono) se almacenan cifrados mediante AES-256-GCM. Las búsquedas se realizan mediante hashes HMAC, sin exposición de texto plano.

3. Finalidad del tratamiento

• Gestión del registro de jornada laboral conforme al RD 8/2019
• Gestión del cumplimiento normativo (AESIA, EU AI Act, RGPD)
• Comunicación con los trabajadores vía WhatsApp Business API
• Facturación y gestión de licencias
• Auditoría y trazabilidad de acciones (Art. 30 RGPD)

4. Base jurídica

• Ejecución de un contrato: Art. 6.1.b RGPD (prestación del servicio SaaS)
• Obligación legal: Art. 6.1.c RGPD (RD 8/2019, retención 4 años)
• Interés legítimo: Art. 6.1.f RGPD (seguridad, prevención de fraude)
• Consentimiento: Art. 6.1.a RGPD (ubicación, uso de IA)

5. Conservación de los datos

Los datos de fichaje se conservan durante 4 años conforme a la obligación legal del RD 8/2019 (Art. 10). Esta obligación de retención prevalece sobre el derecho de supresión del RGPD hasta que expire el período de conservación. Tras dicho período, los datos se eliminan automáticamente.

Los logs de auditoría se conservan durante 4 años para garantizar la trazabilidad exigida por la normativa.

6. Destinatarios

Los datos no se ceden a terceros, salvo por obligación legal. Los encargados del tratamiento son:

• Meta Platforms Ireland Ltd.: WhatsApp Business API (envío de mensajes a trabajadores)
• Stripe Inc.: procesamiento de pagos SEPA/tarjeta
• OpenStreetMap Foundation: visualización de mapas (ubicación opcional)

Cada encargado dispone de su propio Acuerdo de Tratamiento de Datos (AVV) conforme al Art. 28 RGPD.

7. Transferencias internacionales

Meta Platforms (WhatsApp) y Stripe procesan datos fuera de la UE/EEE. Las transferencias se realizan conforme a las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión 2021/914) y se documentan en los AVV correspondientes.

8. Derechos de los interesados

Los usuarios pueden ejercer los siguientes derechos ante su empresa (responsable del tratamiento):

• Acceso (Art. 15 RGPD)
• Rectificación (Art. 16 RGPD)
• Supresión (Art. 17 RGPD) — limitada por la obligación de retención del RD 8/2019
• Limitación del tratamiento (Art. 18 RGPD)
• Portabilidad de los datos (Art. 20 RGPD)
• Oposición (Art. 21 RGPD)

Asimismo, los usuarios pueden presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es).

9. Medidas de seguridad

CombiJornada implementa medidas técnicas y organizativas conforme al Art. 32 RGPD y la norma ISO/IEC 27001, incluyendo:

• Cifrado AES-256-GCM de datos personales en reposo
• Cifrado TLS 1.3 en tránsito
• Autenticación con cookies httpOnly + Secure + SameSite=Strict
• Autenticación de dos factores (TOTP) opcional
• Logs de auditoría inmutables (append-only) para todas las acciones
• Aislamiento multi-tenant a nivel de base de datos
• Hosting propio en Hetzner (UE, Alemania) — sin dependencia de cloud providers

10. WhatsApp Business API

La comunicación con los trabajadores se realiza principalmente a través de WhatsApp Business Cloud API de Meta. Los mensajes enviados y recibidos se procesan para la gestión de fichajes y notificaciones. Los datos de WhatsApp se almacenan cifrados y se eliminan tras el período de retención legal.

Cada empresa cliente dispone de su propia cuenta de WhatsApp Business (modelo per-client), conectada vía OAuth (Meta Embedded Signup). CombiJornada no tiene acceso centralizado a las cuentas de WhatsApp de los clientes.

11. Contacto

Para cuestiones relacionadas con la protección de datos, contacte con su empresa (responsable del tratamiento) o con CombiJornada a través del soporte dentro de la plataforma.

Zusammenfassung (Deutsch)

CombiJornada ist eine SaaS-Plattform für Compliance-Management und Zeiterfassung gemäß RD 8/2019. Diese Datenschutzerklärung entspricht der DSGVO (EU 2016/679) und der spanischen LOPDGDD. Personenbezogene Daten (E-Mail, Telefon) werden mit AES-256-GCM verschlüsselt. Die Aufbewahrungsfrist für Zeiterfassungsdaten beträgt 4 Jahre gemäß RD 8/2019. CombiJornada fungiert als Auftragsverarbeiter (Art. 28 DSGVO); ein AVV wird digital innerhalb der Plattform geschlossen. Hosting erfolgt auf Hetzner (EU, Deutschland). Betroffenenrechte können bei der verantwortlichen Unternehmen oder bei der AEPD geltend gemacht werden.