Acuerdo de Encargo de Tratamiento

1. Objeto, duración y naturaleza

El objeto es alojar, organizar, proteger, consultar, exportar y gestionar los datos necesarios para prestar el servicio conforme a las instrucciones documentadas de la empresa. El tratamiento dura mientras la empresa utilice Jornaly, incluido el periodo de prueba gratuito y, en su caso, la suscripción de pago, así como durante la ventana posterior de consulta, exportación, devolución o supresión que resulte aplicable.

2. Finalidad e instrucciones

Jornaly solo tratará los datos para prestar las funciones contratadas, atender instrucciones documentadas, mantener la seguridad y facilitar la exportación o devolución. Las instrucciones documentadas incluyen las relativas a transferencias internacionales. No los utilizará para finalidades propias incompatibles con el encargo.

Si Jornaly considera que una instrucción infringe el RGPD u otra normativa aplicable de protección de datos, informará inmediatamente a la empresa y no deberá ejecutarla de forma que produzca un tratamiento ilícito. Si una norma obliga a Jornaly a tratar o transferir datos fuera de las instrucciones, informará previamente a la empresa cuando legalmente sea posible, salvo que la norma prohíba esa información por razones importantes de interés público.

3. Categorías de datos personales

Pueden tratarse datos identificativos y de contacto de usuarios y de la empresa, información laboral necesaria para la gestión, registros de jornada, incidencias, solicitudes de corrección, auditoría, datos de invitaciones y metadatos técnicos como dirección IP, agente de usuario, dispositivo y eventos de seguridad. Cuando la empresa lo habilita y resulta necesario para el fichaje, también pueden tratarse datos de geolocalización asociados al evento. La empresa no debe incorporar categorías de datos innecesarias para el servicio.

4. Personas interesadas

Las personas interesadas pueden ser trabajadores, administradores, usuarios invitados y otras personas cuyos datos la empresa incorpore legítimamente. La empresa determina las finalidades, bases jurídicas, información y permisos aplicables.

5. Confidencialidad

Jornaly garantizará que las personas autorizadas para tratar los datos estén sujetas a un deber de confidencialidad y accedan únicamente cuando sea necesario para sus funciones.

6. Medidas técnicas y organizativas

Jornaly aplicará medidas técnicas y organizativas apropiadas al riesgo, incluyendo control de acceso, separación entre empresas, protección de sesiones, trazabilidad, copias de seguridad, gestión de incidencias y medidas para preservar confidencialidad, integridad y disponibilidad.

7. Subencargados

La empresa autoriza con carácter general a Jornaly a utilizar los subencargados necesarios para prestar el servicio. En la fecha de vigencia de este Acuerdo, la infraestructura de alojamiento y almacenamiento de Jornaly se presta mediante Hostinger International Ltd., con domicilio contractual en 61 Lordou Vironos Street, Larnaca 6023, Cyprus, VAT Reg. No. CY10301365E. Su finalidad es el alojamiento, la infraestructura y las copias de seguridad del servicio. Los proveedores utilizados exclusivamente en desarrollo local no forman parte de esta lista productiva.

Jornaly mantendrá una lista actualizada de subencargados. Comunicará previamente cualquier alta o sustitución relevante mediante los canales disponibles, para que la empresa pueda formular objeciones razonadas por motivos de protección de datos. Jornaly valorará la objeción y procurará resolverla de buena fe mediante medidas razonables. Cada subencargado quedará sometido contractualmente a obligaciones de protección de datos equivalentes a las de este Acuerdo y Jornaly continuará respondiendo frente a la empresa por el tratamiento encargado.

Stripe interviene exclusivamente en los procesos de contratación, facturación y pago y no recibe los datos operativos de registro de jornada para prestar dichas funciones. Los tratamientos de datos vinculados a pagos y facturación se regirán por los acuerdos aplicables con Stripe y por la Política de privacidad de Jornaly, atendiendo al rol que corresponda en cada tratamiento.

8. Derechos de las personas interesadas

Jornaly asistirá razonablemente a la empresa, teniendo en cuenta la naturaleza del tratamiento, para atender solicitudes de acceso, rectificación, supresión, limitación, oposición o portabilidad. La empresa será quien gestione la relación principal con las personas interesadas y proporcione las instrucciones necesarias.

Si una persona interesada contacta directamente con Jornaly respecto de datos tratados por cuenta de la empresa, Jornaly trasladará la solicitud a la empresa sin dilación indebida y no decidirá sobre el fondo, salvo que exista una instrucción documentada de la empresa o una obligación legal.

9. Violaciones de seguridad

Jornaly comunicará a la empresa, sin dilación indebida, las violaciones de seguridad de los datos personales de las que tenga conocimiento. Conforme esté disponible, la comunicación incluirá la naturaleza de la violación, las categorías y datos afectados, sus posibles consecuencias, las medidas adoptadas o propuestas y un punto de contacto. No se fija un plazo concreto en horas en este Acuerdo.

10. Transferencias internacionales

La contratación directa de Hostinger International Ltd., establecida en Chipre, no se describe como una transferencia internacional fuera del Espacio Económico Europeo. Cuando el tratamiento realizado por Jornaly o por un subencargado posterior implique una transferencia internacional de datos a un país fuera del EEE, esta se realizará únicamente conforme a las instrucciones documentadas de la empresa y con las garantías exigidas por el capítulo V del RGPD. Jornaly pondrá a disposición de la empresa información sobre los países afectados, los proveedores implicados y el mecanismo de transferencia aplicable cuando corresponda.

11. Devolución o supresión

Al finalizar el servicio, la empresa podrá elegir entre solicitar la devolución de sus datos o su supresión: la devolución o supresión se realizará a elección de la empresa, sin perjuicio de la ventana máxima ordinaria de 30 días. Durante esa ventana podrá consultar, exportar o solicitar la devolución o supresión anticipada, salvo que exista una obligación de conservación o bloqueo. Si no comunica otra instrucción válida, Jornaly aplicará por defecto la supresión automática de los datos operativos tratados por cuenta de la empresa al terminar esos 30 días.

Tras la supresión en producción, determinados datos podrán permanecer en copias de seguridad protegidas y no disponibles para el uso ordinario durante un máximo residual de 60 días, conforme a la política de conservación. Una restauración no revoca la supresión: las eliminaciones deberán reaplicarse y verificarse antes de recuperar la operación normal.

12. Asistencia en obligaciones y auditoría

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, Jornaly asistirá a la empresa en las obligaciones relativas a la seguridad del tratamiento, las violaciones de datos personales, las evaluaciones de impacto y las consultas previas a la autoridad de control.

Jornaly pondrá a disposición de la empresa la información necesaria para demostrar el cumplimiento de las obligaciones del encargado y permitirá y contribuirá a auditorías e inspecciones realizadas por la empresa o por un auditor autorizado por ella. Estas actuaciones estarán sujetas a condiciones razonables de seguridad, confidencialidad, alcance, coordinación y ausencia de interferencia desproporcionada con el servicio, sin vaciar ni impedir el derecho de información, auditoría e inspección.

13. Obligaciones de la empresa

La empresa debe utilizar el servicio con una base jurídica válida, facilitar instrucciones lícitas, limitar los datos a los necesarios, gestionar permisos y atender sus obligaciones de información, seguridad y conservación de los registros de jornada.

14. Identificación, versión y aceptación

La aceptación electrónica de este Acuerdo se vincula de forma reproducible a la empresa responsable, a su identidad fiscal o denominación correspondiente, a la persona administradora que acepta y a Jornaly como encargado. Jornaly conservará la versión dpa-v1, la fecha y hora de aceptación y la evidencia necesaria para relacionar esos datos sin alterar el contenido aceptado.

Anexo I. Medidas técnicas y organizativas

Versión del anexo: mto-v1 · Vigente desde el 3 de septiembre de 2026

Este Anexo forma parte del DPA V1 y describe las medidas aplicadas por Jornaly sin incluir secretos, credenciales ni configuraciones sensibles.

• Control de acceso: cuentas individuales, roles diferenciados, permisos administrativos y comprobación de pertenencia a empresa.
• Aislamiento entre empresas: las operaciones sensibles se limitan al tenant y al usuario autorizados, con comprobaciones de empresa en backend.
• Autenticación y sesiones: contraseñas protegidas mediante funciones de hash, sesiones protegidas, regeneración y controles de expiración cuando corresponde.
• Autorización: validación backend de roles, administrador principal, empresa y permisos; el frontend no sustituye estos controles.
• Trazabilidad: auditoría de acciones sensibles, cambios de configuración, operaciones de Billing, seguridad e incidencias.
• Protección técnica: consultas parametrizadas en los componentes mantenidos, escape contextual de salidas, protección CSRF y cabeceras de seguridad.
• Backups y recuperación: copias rotatorias protegidas, recuperación ante contingencias y reaplicación/verificación de supresiones posteriores antes de volver a la operación ordinaria.
• Incidentes: registro, análisis, contención, recuperación y comunicación conforme a la cláusula de violaciones de seguridad.
• Minimización: separación de datos operativos, evidencias contractuales y ledger antiabuso; la geolocalización se trata solo cuando está habilitada y es necesaria.
• Revisión y testing: pruebas automatizadas y revisiones de seguridad sobre autenticación, autorización, alcance de empresa, Billing, auditoría y flujos sensibles.