Cifrora es un servicio de registro de jornada laboral. Esta política explica qué datos se recogen, cómo se usan y qué derechos existen sobre ellos, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
1. Quién es quién
La empresa cliente que contrata Cifrora es responsable del tratamiento de los datos de sus personas trabajadoras: decide qué datos introduce, con qué finalidad y durante cuánto tiempo.
Cifrora actúa como encargado del tratamiento: trata esos datos únicamente siguiendo las instrucciones del cliente y para prestar el servicio, conforme al artículo 28 del RGPD. Respecto a los datos de la propia cuenta y de facturación, Cifrora es responsable del tratamiento.
Para cualquier consulta sobre privacidad: legal@cifrora.com.
2. Datos que se recogen
- Datos de cuenta: nombre, email y contraseña del administrador.
- Datos de personas trabajadoras: nombre, DNI o NIE, número de Seguridad Social, email, departamento y PIN de fichaje. Solo los que la empresa introduce voluntariamente.
- Registros de jornada: marcas de tiempo de entrada y salida, método de fichaje y dirección IP aproximada.
- Datos de pago: procesados íntegramente por Stripe. Cifrora no almacena números de tarjeta.
- Datos técnicos: registros de acceso, tipo de dispositivo y navegador, para seguridad y diagnóstico.
3. Finalidades y base legal
- Prestación del servicio — ejecución del contrato (art. 6.1.b RGPD).
- Cumplimiento legal — obligación de registrar y conservar la jornada conforme al RDL 8/2019 (art. 6.1.c RGPD).
- Comunicaciones de servicio — interés legítimo en informar sobre la cuenta (art. 6.1.f RGPD).
- Mejora del producto — datos agregados y anonimizados, sin posibilidad de reidentificación.
4. Conservación
Los registros de jornada se conservan durante 4 años desde su creación, plazo establecido por la normativa laboral española. Los datos de cuenta se eliminan a los 30 días de cancelar la suscripción, salvo obligación legal de conservación mayor.
5. Transferencias internacionales
Los datos se alojan en servidores dentro de la Unión Europea. Algunos subencargados (Stripe, correo transaccional) pueden tratar datos fuera de la UE amparados en cláusulas contractuales tipo aprobadas por la Comisión Europea.
6. Subencargados
- Stripe — procesamiento de pagos.
- MongoDB Atlas — almacenamiento de base de datos (UE).
- Vercel — infraestructura de aplicación (UE).
Cualquier alta o sustitución de subencargado se comunicará con antelación razonable, para que el cliente pueda oponerse por motivos justificados.
7. Tus derechos
Tienes derecho a acceder, rectificar, suprimir, limitar el tratamiento, a la portabilidad y a oponerte. Si eres persona trabajadora de una empresa cliente, dirige tu solicitud a tu empresa, que es la responsable del tratamiento; Cifrora la trasladará si la recibe directamente.
Para ejercerlos escribe a legal@cifrora.com indicando tu nombre y la solicitud concreta. Respondemos en un plazo máximo de 30 días. Si no quedas satisfecho, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).
8. Seguridad
Se aplica cifrado en tránsito (TLS 1.3) y en reposo, hashing de contraseñas y PIN con bcrypt, control de acceso por roles, doble factor y passkeys, y auditoría de cambios. Las brechas de seguridad que afecten a datos personales se notifican al cliente sin dilación indebida para que pueda cumplir con el artículo 33 del RGPD.
10. Cambios en esta política
Cualquier cambio material se notificará por email con al menos 15 días de antelación. El uso continuado del servicio tras esa fecha implica la aceptación de la nueva versión.