Información sobre el tratamiento de datos personales conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
1. ¿Quién es el responsable del tratamiento?
El responsable del tratamiento de los datos personales de las personas trabajadoras es la empresa empleadora, que determina los fines y medios del tratamiento en el marco de la gestión laboral y del cumplimiento de la obligación legal de registro de jornada.
JornadaControlada, servicio prestado por AMDSEO SL, con CIF B72660822, actúa con carácter general como encargado del tratamiento, tratando los datos por cuenta de la empresa empleadora y únicamente siguiendo sus instrucciones documentadas, de conformidad con el artículo 28 del RGPD.
Datos de contacto de JornadaControlada / AMDSEO SL:
2. ¿Qué datos personales tratamos?
En el marco de la prestación del servicio de registro de jornada, pueden tratarse las siguientes categorías de datos personales:
- Datos identificativos: nombre, apellidos, correo electrónico, teléfono y, en su caso, identificador interno de empleado.
- Datos laborales y de organización del trabajo: tipo de jornada, horario asignado, centro de trabajo, incidencias vinculadas al fichaje, ausencias, pausas y observaciones asociadas al registro horario.
- Datos de registro de jornada: hora de inicio, finalización, pausas, interrupciones y demás marcas temporales vinculadas al cumplimiento del registro diario.
- Datos técnicos: dirección IP, identificadores de sesión, logs de acceso, tipo de dispositivo, sistema operativo, navegador y otros datos necesarios para garantizar la seguridad, trazabilidad y correcto funcionamiento de la plataforma.
- Datos de ubicación geográfica, solo si la empresa empleadora activa esta funcionalidad y únicamente en el momento concreto del fichaje, sin seguimiento continuo.
No se tratan categorías especiales de datos personales salvo que la empresa empleadora incorpore información de incidencias que pudiera revelar indirectamente datos especialmente protegidos, en cuyo caso será dicha empresa quien deberá contar con la base jurídica adecuada y aplicar garantías reforzadas.
3. ¿Con qué finalidad tratamos los datos?
Los datos personales se tratan con las siguientes finalidades:
- Gestionar el registro diario de jornada de cada persona trabajadora.
- Permitir a la empresa empleadora cumplir con sus obligaciones legales en materia laboral, en especial las derivadas del artículo 34.9 del Estatuto de los Trabajadores.
- Gestionar horarios, pausas, incidencias y trazabilidad de fichajes.
- Facilitar la consulta, supervisión, extracción y conservación de los registros por parte de la empresa empleadora.
- Garantizar la seguridad de la información, prevenir accesos no autorizados, detectar usos indebidos y mantener evidencias técnicas y de auditoría.
- En su caso, verificar el lugar desde el que se realiza el fichaje en contextos de teletrabajo o movilidad, cuando la geolocalización haya sido activada por la empresa empleadora de forma proporcionada y debidamente informada.
Los datos de registro horario y, en su caso, de geolocalización, no deben utilizarse para finalidades incompatibles con las anteriores. La AEPD ha señalado expresamente que el sistema de registro de jornada debe responder al principio de minimización y no emplearse de forma desproporcionada para otros controles distintos.
4. ¿Cuál es la base jurídica del tratamiento?
La base jurídica principal del tratamiento es:
- El cumplimiento de una obligación legal aplicable al responsable del tratamiento, de acuerdo con el artículo 6.1.c del RGPD, en relación con el artículo 34.9 del Estatuto de los Trabajadores, que impone a la empresa el deber de garantizar el registro diario de jornada.
- La ejecución del contrato de trabajo y la gestión de la relación laboral, conforme al artículo 6.1.b del RGPD, en aquellos tratamientos accesorios estrictamente necesarios para organizar la prestación laboral y operar la herramienta.
- En relación con la geolocalización en el ámbito laboral, el tratamiento se apoya en las facultades de control empresarial reconocidas por la normativa laboral y en el artículo 90 de la LOPDGDD, siempre con respeto a la dignidad, la intimidad y el principio de proporcionalidad.
No se utiliza el consentimiento como base jurídica principal para implantar el registro de jornada obligatorio. La AEPD ha indicado expresamente que, con carácter general, no es necesario el consentimiento de la persona trabajadora para este tratamiento.
5. ¿Es obligatorio facilitar los datos?
Sí. Los datos identificativos y los datos de fichaje necesarios para el registro de jornada son obligatorios en la medida en que resultan necesarios para la ejecución de la relación laboral y para el cumplimiento de la obligación legal de registro horario por parte de la empresa empleadora. La negativa a facilitar dichos datos o a utilizar el sistema habilitado por la empresa puede impedir el adecuado cumplimiento de las obligaciones laborales y legales asociadas al control horario.
En cambio, la geolocalización solo será exigible cuando la empresa la haya configurado como medida concreta, necesaria y proporcionada para determinados supuestos, y siempre tras informar previamente de manera clara sobre su funcionamiento.
6. ¿Durante cuánto tiempo conservamos los datos?
Los registros de jornada se conservarán, como mínimo, durante cuatro años, de conformidad con la normativa laboral aplicable al registro diario de jornada.
Sin perjuicio de ese plazo mínimo:
- La plataforma podrá permitir la consulta histórica durante un periodo superior cuando así lo configure la empresa empleadora y exista base jurídica para ello (guardamos los datos 5 años).
- Determinados datos podrán conservarse durante más tiempo, debidamente bloqueados o restringidos, cuando sea necesario para la formulación, ejercicio o defensa de reclamaciones, o para atender responsabilidades legales o contractuales derivadas de la relación laboral.
Los datos técnicos y logs de seguridad se conservarán durante el tiempo necesario para garantizar la seguridad, trazabilidad y respuesta ante incidentes, aplicando criterios de minimización y limitación del plazo de conservación.
7. Geolocalización
Cuando la empresa empleadora habilite la funcionalidad de geolocalización, la ubicación geográfica se captará únicamente en el momento del fichaje (por ejemplo, entrada, salida o pausa), y no se realizará seguimiento continuo de la persona trabajadora.
Antes de la captación, el dispositivo o navegador podrá solicitar autorización técnica para acceder a la ubicación. Esa autorización del sistema operativo o del navegador no sustituye a la obligación de la empresa de informar previamente sobre el tratamiento de geolocalización en los términos exigidos por el RGPD y la LOPDGDD.
Las coordenadas obtenidas quedarán asociadas al registro de fichaje y se utilizarán exclusivamente para la finalidad informada por la empresa empleadora. No se emplearán para realizar perfiles de comportamiento, monitorización permanente ni controles ajenos al registro horario, salvo que exista otra base jurídica válida y se haya informado adecuadamente de ello.
8. ¿A quién se comunican los datos?
Los datos personales podrán ser comunicados o quedar accesibles para:
- La empresa empleadora, como responsable del tratamiento, y las personas autorizadas dentro de su organización.
- La representación legal de las personas trabajadoras, en los supuestos previstos legal o convencionalmente.
- La Inspección de Trabajo y Seguridad Social, órganos judiciales, Fuerzas y Cuerpos de Seguridad, Administraciones Públicas u otras autoridades competentes, cuando exista obligación legal o requerimiento válido.
- Proveedores que prestan servicios necesarios para el funcionamiento de la plataforma, como servicios de alojamiento, correo electrónico, mantenimiento, soporte técnico, seguridad o copias de respaldo, actuando como encargados o subencargados del tratamiento.
Cuando intervengan proveedores que traten datos por cuenta de AMDSEO SL o de la empresa empleadora, se suscribirán los correspondientes contratos de encargo del tratamiento conforme al artículo 28 del RGPD.
9. Transferencias internacionales de datos
Con carácter general, los datos se tratarán dentro del Espacio Económico Europeo. No obstante, algunos proveedores tecnológicos podrían estar ubicados fuera del EEE o implicar accesos internacionales a datos. En esos casos, se adoptarán las garantías adecuadas exigidas por el Capítulo V del RGPD, como decisiones de adecuación, cláusulas contractuales tipo u otros mecanismos válidos.
Importante: si utilizáis, por ejemplo, servicios de email, cloud, soporte o analítica con proveedores fuera de la UE, conviene identificarlo expresamente en esta política o en una capa adicional de información.
10. Derechos de las personas interesadas
Las personas interesadas pueden ejercer, cuando proceda, sus derechos de:
- acceso,
- rectificación,
- supresión,
- oposición,
- limitación del tratamiento,
- portabilidad de los datos,
- y a no ser objeto de decisiones basadas únicamente en tratamientos automatizados, cuando resulte aplicable.
Dado que la empresa empleadora es la responsable del tratamiento, el ejercicio de derechos deberá dirigirse preferentemente a dicha empresa. No obstante, también podrá contactarse con el mail de privacidad mencionado en el apartado 1, desde donde se tramitará la solicitud o se remitirá al responsable cuando corresponda.
Asimismo, toda persona interesada tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) si considera que el tratamiento de sus datos no se ajusta a la normativa vigente.
11. Medidas de seguridad
JornadaControlada aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el artículo 32 del RGPD. Entre otras, pueden incluirse:
- cifrado de las comunicaciones mediante HTTPS/TLS;
- control de accesos por perfiles y roles;
- gestión segura de contraseñas;
- registro de eventos y auditoría;
- copias de seguridad y planes de recuperación;
- medidas de monitorización, disponibilidad e integridad;
- procedimientos de gestión de incidentes y brechas de seguridad.
12. Registro de actividades
AMDSEO SL, en su condición de encargado del tratamiento cuando corresponda, mantiene el correspondiente registro de actividades de tratamiento en los supuestos exigidos por la normativa, y coopera con la empresa empleadora para facilitar el cumplimiento de las obligaciones derivadas del RGPD y de la LOPDGDD.
13. Actualizaciones de esta política
La presente política de privacidad podrá actualizarse cuando sea necesario para adaptarla a cambios normativos, interpretativos, técnicos o funcionales del servicio. En caso de cambios relevantes, se adoptarán las medidas oportunas para informar de ello a las empresas clientes y, cuando proceda, a las personas usuarias afectadas.
Última actualización: 18 de abril de 2026
