Acuerdo de tratamiento de datos

El cliente, la empresa identificada en la cuenta, es el responsable del tratamiento: decide qué datos se recogen, para qué y durante cuánto tiempo. ClockWitness es el encargado del tratamiento: trata los datos del cliente solo por cuenta de este y siguiendo sus instrucciones.

ClockWitness es un servicio prestado por Espírito Rebelde Publicidade e Marketing Lda.

Dirección: Rua da Fábrica 222, Armazém 2, 4470-768 Maia, Portugal

Número de registro: 509360378

Contacto de privacidad y protección de datos (DPO): Bruna Teixeira, privacy@clockwitness.com.

Objeto y finalidad: prestar el servicio descrito en los Términos del servicio, es decir, registrar y acreditar el tiempo de trabajo y gestionar horarios, ausencias, informes y hojas de horas, según las funcionalidades que active el cliente.

Naturaleza del tratamiento: recogida, alojamiento, almacenamiento, organización, presentación, exportación y supresión de los datos.

Duración: mientras los Términos del servicio estén en vigor y hasta que se borren los datos del cliente, conforme a la sección 11.

Interesados: las personas que trabajan para el cliente (colaboradores, gestores y propietarios de la cuenta) y otras personas que el cliente invite a la cuenta, por ejemplo clientes suyos con acceso de lectura.

Categorías de datos: datos de cuenta (nombre, correo electrónico, rol, idioma, zona horaria); dispositivos (nombre del ordenador, versiones del sistema y del agente); registros de tiempo, pausas, proyectos y descripciones de tareas; capturas de pantalla; nivel de actividad de teclado y ratón (nunca lo que se escribe ni qué teclas se pulsan); nombre de las aplicaciones y título de las ventanas, si el cliente lo mantiene activado; ubicación en el momento de la entrada y de la salida en la aplicación móvil, si el cliente la solicita; horarios, ausencias y nóminas; y el registro de auditoría.

Categorías especiales: el servicio no las solicita, pero pueden aparecer en capturas de pantalla, títulos de ventanas o notas libres. El cliente debe configurar el servicio y dar instrucciones a su equipo de forma que se reduzca ese riesgo.

Tratamos los datos del cliente solo siguiendo sus instrucciones documentadas, incluso en lo relativo a transferencias fuera del Espacio Económico Europeo (EEE). Las instrucciones son los Términos del servicio, este acuerdo, la configuración que el cliente elige en el panel (por ejemplo, capturas, frecuencia, registro de aplicaciones, ubicación y plazo de conservación) y otras instrucciones escritas que nos dé. Si la ley nos obliga a un tratamiento distinto, informamos antes al cliente, salvo que la ley lo prohíba.

Si consideramos que una instrucción infringe el RGPD u otra ley de protección de datos, informamos de inmediato al cliente.

El cliente nos da una autorización general por escrito para recurrir a subencargados del tratamiento, como servicios externos de alojamiento, donde funcionan la aplicación, la base de datos, el almacenamiento de las capturas y las copias de seguridad.

La lista actual de subencargados del tratamiento está disponible previa solicitud, por correo electrónico a privacy@clockwitness.com.

Avisamos a los propietarios de las cuentas por correo electrónico antes de añadir o sustituir un subencargado del tratamiento, para que el cliente pueda oponerse por motivos razonables. Si no encontramos una solución, el cliente puede cerrar la cuenta antes de que el cambio surta efecto.

Imponemos por contrato a cada subencargado del tratamiento obligaciones de protección de datos equivalentes a las de este acuerdo y seguimos siendo responsables ante el cliente de su cumplimiento.

Alojamos los datos del cliente en centros de datos de la Unión Europea, y nuestras copias de seguridad se guardan en la Unión Europea, cifradas.

Si personal nuestro autorizado o un subencargado del tratamiento accede a los datos del cliente desde un país fuera del EEE, solo lo hacemos al amparo de una de las garantías del capítulo V del RGPD: una decisión de adecuación de la Comisión Europea (incluido, para los Estados Unidos, el Marco de Privacidad de Datos UE-EE. UU., cuando el destinatario esté certificado conforme a él) o las cláusulas contractuales tipo adoptadas por la Comisión Europea, acompañadas de una evaluación del impacto de la transferencia y de las medidas adicionales que resulten necesarias. Los detalles figuran en la sección «Transferencias internacionales» de la Política de privacidad.

Si el cliente, o usuarios que autorice, acceden a los datos desde fuera del EEE, ese acceso se realiza siguiendo las instrucciones y bajo la responsabilidad del cliente.

Ayudamos al cliente a responder a las solicitudes de ejercicio de derechos de los interesados. El propio servicio le permite: mostrar a cada persona sus registros y capturas; corregir registros de tiempo, quedando registrada cada corrección; desactivar las capturas para toda la empresa o para personas concretas y desactivar el registro de aplicaciones; y exportar los registros en CSV y PDF.

Cuando el cliente nos solicita por escrito la supresión de una persona ya desactivada, borramos sus capturas de pantalla, el registro de aplicaciones y ventanas, las coordenadas GPS exactas, los dispositivos, las credenciales y las notas libres, y sustituimos su correo electrónico por un seudónimo. Conservamos los registros de tiempo de trabajo y de pago que el cliente puede estar legalmente obligado a guardar.

Si un interesado se pone en contacto directamente con nosotros sobre datos del cliente, remitimos la solicitud al cliente sin dilación indebida y no le respondemos sobre el fondo, salvo instrucción del cliente.

El cliente puede, en cualquier momento, exportar sus registros (devolución) y solicitar el cierre de la cuenta. Al cerrarla, una vez generada una exportación completa de los registros, borramos la empresa, sus usuarios, sus registros y las capturas guardadas, salvo que la ley nos obligue a conservar algún dato. Las imágenes de las capturas de pantalla no forman parte de las exportaciones.

La exportación de cierre se envía al propietario por correo electrónico, como un enlace personal para descargarla. El enlace funciona sin iniciar sesión, incluso después de eliminar la cuenta, durante 30 días; transcurrido ese plazo, deja de funcionar y el archivo se elimina de nuestros servidores.

Los datos borrados desaparecen de las copias de seguridad a medida que estas caducan: las copias diarias de la base de datos se guardan durante 30 días y las demás rotan y se sustituyen periódicamente.