Contrato de encargo do tratamento

Última actualización: 14 de novembro de 2026

Esta é unha tradución ao galego. En caso de discrepancia, prevalece a versión en castelán.

Este contrato forma parte das condicións de contratación de MiFicha na nube e regula o tratamento de datos persoais que MiFicha fai por conta de cada empresa cliente, conforme ao artigo 28 do Regulamento (UE) 2016/679, xeral de protección de datos (RXPD), e ao artigo 33 da Lei orgánica 3/2018, de protección de datos persoais e garantía dos dereitos dixitais (LOPDGDD). Acéptase ao contratar o servizo. Non se aplica á instalación propia, na que o titular de MiFicha non accede aos datos (explícao o contrato de licenza).

1. Partes

Responsable do tratamento: a empresa cliente de MiFicha (sociedade, autónomo ou outra entidade empregadora), que decide rexistrar a xornada dos seus traballadores con MiFicha e como facelo.
Encargado do tratamento: MIVPN SLU, NIF B93787042, con domicilio en Rua Da Pomba 13, 1, Pontevedra e correo info@mivpn.net, titular de MiFicha.

2. Obxecto, natureza e finalidade

O encargado trata os datos só para prestarlle ao responsable o servizo de rexistro de xornada (art. 34.9 do Estatuto dos traballadores): recoller as fichaxes desde a aplicación, a web, os lectores, a API e as importacións; calcular xornadas, incidencias e resumos mensuais; xestionar as correccións coa conformidade do traballador, as ausencias e as credenciais de fichaxe; darlles acceso aos rexistros a quen o responsable decida (o seu persoal, a súa xestoría, os representantes dos traballadores, a Inspección de Traballo e Seguridade Social); xerar exportacións; enviar convites, avisos e lembranzas; e, se o responsable conecta a integración, intercambiar datos con MiFactu.

As operacións de tratamento son a recollida, o rexistro, a organización, a conservación, a consulta, o cálculo, a comunicación por transmisión a quen indique o responsable, o bloqueo e a supresión.

3. Interesados e datos

Interesados

Os traballadores do responsable cuxa xornada se rexistra.
As persoas que usan o servizo por conta do responsable: titular, recursos humanos, encargados, a súa xestoría e os representantes dos traballadores.
As persoas ás que o responsable lles dá unha ligazón de consulta (Inspección, representantes ou auditores).

Datos

Do traballador: nome e apelidos, NIF ou NIE, correo e teléfono (se se indican), centro, posto, departamento, número de empregado, datas de alta e baixa, tipo de xornada e horas de contrato, horario, vacacións, se pode fichar fóra do centro, a referencia en MiFactu se a hai e as notas internas do responsable.
Marcaxes: tipo (entrada, saída, inicio e fin de pausa), data e hora do servidor e, se chegou sen conexión, a do dispositivo; orixe (aplicación, web, lector, manual, corrección, importación ou API), terminal e credencial usados, enderezo IP, quen a rexistrou, secuencia e pegada encadeada.
Correccións: a marcaxe que se engade ou se anula, o motivo, quen a pide, quen a aproba e a conformidade ou o rexeitamento do traballador co seu comentario.
Xornadas e resumos mensuais: horas traballadas, pausas, horas teóricas, diferenzas, incidencias, horas ordinarias, complementarias e extraordinarias, ausencias e a sinatura do traballador (data e pegada do contido).
Ausencias: tipo, datas ou horas, motivo, estado, resposta e xustificante.
Credenciais de fichaxe: a chave pública do móbil do traballador (a privada non sae do teléfono), a pegada criptográfica das tarxetas impresas, das tarxetas ou códigos propios da empresa e do PIN (nunca o seu valor), o seu estado e o seu último uso.
Lecturas dos terminais: o texto recibido de cada lector, o resultado e o motivo do rexeitamento, para diagnosticar os lectores e para a auditoría.
Localización, só se o responsable a activa: latitude, lonxitude e precisión no instante de fichar, e se estaba dentro da zona do centro. Nunca se rexistra de forma continua.
Auditoría e accesos externos: quen viu ou exportou que e cando; das ligazóns da Inspección, dos representantes e dos auditores, para quen son, o seu correo se se indica, o período e os centros que abranguen, a súa caducidade e cada consulta.

Categorías especiais

MiFicha non trata datos biométricos: non admite fichar con pegada dactilar nin con recoñecemento facial, e o desbloqueo coa biometría do propio móbil, se o traballador o usa, faise no teléfono e non sae del. Os xustificantes de ausencias poden conter datos de saúde: o responsable decide se os pide e debe limitarse ao estritamente necesario; eses arquivos só os ven as persoas con permiso sobre as ausencias.

4. Duración

Este contrato dura o mesmo que a relación de servizo e, despois, mentres o encargado conserve datos bloqueados segundo o apartado 5.8. As obrigas de confidencialidade continúan sen límite de tempo.

5. Obrigas do encargado

Instrucións. Tratar os datos só seguindo as instrucións documentadas do responsable, que son este contrato, as condicións e a configuración e o uso que o responsable fai do servizo, e non usalos para fins propios. Se unha instrución infrinxe a normativa de protección de datos, comunicarállo de inmediato.
Confidencialidade. Garantir que as persoas autorizadas para tratar os datos se comprometeron por escrito a respectar a súa confidencialidade ou están suxeitas a unha obriga legal de confidencialidade.
Seguridade (art. 32 RXPD). Aplicar medidas técnicas e organizativas axeitadas ao risco, entre elas:
- Cifrado de todas as comunicacións (HTTPS) na web, na aplicación, nos terminais e na API.
- Marcaxes inmutables encadeadas cunha pegada criptográfica (SHA-256) e verificación periódica da cadea, de xeito que calquera alteración se detecta; as correccións engádense, nunca reescriben.
- Control de acceso por persoa e por papel en cada empresa; acceso de só lectura para representantes e Inspección mediante ligazóns que caducan e se poden revogar; rexistro de quen ve e exporta os datos.
- Verificación en dous pasos, límite de intentos de acceso, contrasinais e credenciais gardados como resumo criptográfico e segredos de terceiros (por exemplo, os tokens de MiFactu) gardados cifrados.
- Terminais autenticados cunha clave propia revogable; códigos QR asinados que caducan en segundos e non se poden reutilizar.
- Arquivos fóra da parte pública do servidor; copias de seguranza periódicas.
Subencargados. Non recorrer a outro encargado sen a autorización do responsable. Mediante este contrato, o responsable dá unha autorización xeral para os subencargados do apartado 7. O encargado avisará por correo de calquera cambio con polo menos 30 días de antelación; se o responsable se opón, pode resolver o contrato antes de que o cambio se aplique. O encargado imporalle a cada subencargado, por contrato, as mesmas obrigas de protección de datos e responderá do seu cumprimento.
Dereitos dos interesados. Axudar o responsable a atender as solicitudes de acceso, rectificación, supresión, oposición, limitación e portabilidade. Os traballadores poden consultar os seus propios rexistros desde a aplicación ou a web en todo momento. Se un interesado se dirixe ao encargado, este daralle traslado ao responsable sen dilación.
Violacións de seguridade. Notificarlle ao responsable, sen dilación indebida e como máximo en 48 horas desde que teña coñecemento delas, as violacións da seguridade dos datos, coa información necesaria para que poida documentalas e, se é o caso, comunicalas á Axencia Española de Protección de Datos no prazo de 72 horas e aos interesados (arts. 33 e 34 RXPD).
Avaliacións de impacto. Axudar o responsable, cando proceda, nas avaliacións de impacto e nas consultas previas á autoridade de control.
Fin do servizo. O responsable pode exportar todos os seus rexistros en PDF e CSV en calquera momento, tamén cando a súa subscrición rematase. Se pide a baixa definitiva da súa conta:
- Os demais datos suprímense nese momento; das copias de seguranza desaparecen no seu ciclo de rotación.
- Os rexistros de xornada (marcaxes, correccións, xornadas, resumos e a súa auditoría) non se destrúen mentres exista a obriga legal de conservalos (art. 33.3 LOPDGDD): o responsable debe conservalos durante catro anos (art. 34.9 do Estatuto dos traballadores). Devólvenselle mediante a exportación e, ademais, o encargado consérvaos por conta del, bloqueados (art. 32 LOPDGDD), ata que se cumpran 4 anos desde cada rexistro: só se poñen á disposición do responsable para consultalos e exportalos, e da Inspección, dos xuíces e dos tribunais cando os pidan. Despois suprímense.
- Se o responsable, despois de exportalos, pide expresamente a súa supresión inmediata porque garante a súa conservación por outros medios, suprímense nese momento.
Mentres dura a relación, os rexistros que cumpren 4 anos suprímense de forma automática, agás que o responsable indique que deben conservarse máis tempo (por exemplo, por un litixio ou unha inspección en curso). O encargado pode conservar ademais, bloqueados, os datos necesarios mentres poidan derivarse responsabilidades da súa relación co responsable (art. 33.4 LOPDGDD).
Demostración do cumprimento e auditorías. Poñer á disposición do responsable a información necesaria para demostrar o cumprimento deste contrato e permitir auditorías razoables, incluídas inspeccións, polo responsable ou por un auditor autorizado por el, con aviso previo e antelación suficiente, ao seu cargo e sen afectar a seguridade nin a confidencialidade doutros clientes.
Rexistro de actividades. Levar o rexistro das actividades de tratamento que efectúa por conta do responsable (art. 30.2 RXPD).
Transferencias internacionais. Non transferir datos fóra do Espazo Económico Europeo agás a países con decisión de adecuación ou coas garantías do capítulo V do RXPD, e informar previamente o responsable.

6. Obrigas do responsable

Ter unha base xurídica para o tratamento: o rexistro de xornada é unha obriga legal do empregador (art. 6.1.c RXPD e art. 34.9 do Estatuto dos traballadores).
Informar os traballadores do tratamento dos seus datos (art. 13 RXPD e art. 11 LOPDGDD) e, se activa a localización ao fichar, informalos antes de forma expresa, clara e inequívoca da súa existencia e características (art. 90 LOPDGDD). MiFicha facilítalle textos informativos e un modelo de rexistro de actividades listos para adaptar.
Configurar o servizo con criterios de minimización: activar a localización só cando estea xustificada, pedir xustificantes só cando sexan necesarios e darlle a cada persoa só o papel que necesita, retirándolle o acceso cando xa non o necesite.
Respectar o dereito á desconexión dixital dos seus traballadores (art. 88 LOPDGDD) ao configurar avisos e lembranzas.
Decidir e responder do acceso que lles dá á súa xestoría, aos representantes, á Inspección e a terceiros, e da conexión con MiFactu ou con outros programas mediante a API.
Supervisar o tratamento e velar polo cumprimento do RXPD e da LOPDGDD.

7. Subencargados autorizados

swpanel: aloxamento do servidor, da base de datos, dos arquivos e das copias de seguranza. Localización: SPAIN.
piensasolution: envío dos correos do servizo (convites, códigos, avisos, lembranzas e ligazóns de consulta). Localización: SPAIN.

Non son subencargados, porque non tratan datos do rexistro de xornada por conta do responsable:

Stripe e Apple, que só tratan os datos de pagamento da subscrición do propio cliente, como responsables.
MiFactu, cando o responsable conecta a integración: MiFicha transmítelle os datos por instrución do responsable, e MiFactu trátaos segundo a súa propia relación co responsable.
A Inspección de Traballo e Seguridade Social, os representantes dos traballadores e as autoridades, que acceden aos rexistros por decisión do responsable ou por obriga legal.
O servizo de mapas do panel (por defecto, OpenStreetMap), do que o navegador de quen mira o mapa descarga as imaxes da zona; recibe o seu enderezo IP e a zona amosada, pero non os datos dos traballadores nin das fichaxes.

8. Responsabilidade

Cada parte responde das súas obrigas conforme ao RXPD e á LOPDGDD. Se o encargado trata os datos para fins propios ou incumpre este contrato, será considerado responsable dese tratamento (art. 28.10 RXPD e art. 33.2 LOPDGDD). O non previsto aquí réxese polas condicións de contratación.