Contrato de encargo del tratamiento

Última actualización: 14 de noviembre de 2026

Este contrato forma parte de las condiciones de contratación de MiFicha en la nube y regula el tratamiento de datos personales que MiFicha hace por cuenta de cada empresa cliente, conforme al artículo 28 del Reglamento (UE) 2016/679, general de protección de datos (RGPD), y al artículo 33 de la Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales (LOPDGDD). Se acepta al contratar el servicio. No se aplica a la instalación propia, en la que el titular de MiFicha no accede a los datos (lo explica el contrato de licencia).

1. Partes

Responsable del tratamiento: la empresa cliente de MiFicha (sociedad, autónomo u otra entidad empleadora), que decide registrar la jornada de sus trabajadores con MiFicha y cómo hacerlo.
Encargado del tratamiento: MIVPN SLU, NIF B93787042, con domicilio en Rua Da Pomba 13, 1, Pontevedra y correo info@mivpn.net, titular de MiFicha.

2. Objeto, naturaleza y finalidad

El encargado trata los datos solo para prestar al responsable el servicio de registro de jornada (art. 34.9 del Estatuto de los Trabajadores): recoger los fichajes desde la aplicación, la web, los lectores, la API y las importaciones; calcular jornadas, incidencias y resúmenes mensuales; gestionar las correcciones con la conformidad del trabajador, las ausencias y las credenciales de fichaje; dar acceso a los registros a quien el responsable decida (su personal, su gestoría, los representantes de los trabajadores, la Inspección de Trabajo y Seguridad Social); generar exportaciones; enviar invitaciones, avisos y recordatorios; y, si el responsable conecta la integración, intercambiar datos con MiFactu.

Las operaciones de tratamiento son la recogida, el registro, la organización, la conservación, la consulta, el cálculo, la comunicación por transmisión a quien indique el responsable, el bloqueo y la supresión.

3. Interesados y datos

Interesados

Los trabajadores del responsable cuya jornada se registra.
Las personas que usan el servicio por cuenta del responsable: titular, recursos humanos, encargados, su gestoría y los representantes de los trabajadores.
Las personas a las que el responsable da un enlace de consulta (Inspección, representantes o auditores).

Datos

Del trabajador: nombre y apellidos, NIF o NIE, correo y teléfono (si se indican), centro, puesto, departamento, número de empleado, fechas de alta y baja, tipo de jornada y horas de contrato, horario, vacaciones, si puede fichar fuera del centro, la referencia en MiFactu si la hay y las notas internas del responsable.
Marcajes: tipo (entrada, salida, inicio y fin de pausa), fecha y hora del servidor y, si llegó sin conexión, la del dispositivo; origen (aplicación, web, lector, manual, corrección, importación o API), terminal y credencial usados, dirección IP, quién lo registró, secuencia y huella encadenada.
Correcciones: el marcaje que se añade o se anula, el motivo, quién la pide, quién la aprueba y la conformidad o el rechazo del trabajador con su comentario.
Jornadas y resúmenes mensuales: horas trabajadas, pausas, horas teóricas, diferencias, incidencias, horas ordinarias, complementarias y extraordinarias, ausencias y la firma del trabajador (fecha y huella del contenido).
Ausencias: tipo, fechas u horas, motivo, estado, respuesta y justificante.
Credenciales de fichaje: la clave pública del móvil del trabajador (la privada no sale del teléfono), la huella criptográfica de las tarjetas impresas, de las tarjetas o códigos propios de la empresa y del PIN (nunca su valor), su estado y su último uso.
Lecturas de los terminales: el texto recibido de cada lector, el resultado y el motivo de rechazo, para diagnosticar los lectores y para la auditoría.
Ubicación, solo si el responsable la activa: latitud, longitud y precisión en el instante de fichar, y si estaba dentro de la zona del centro. Nunca se registra de forma continua.
Auditoría y accesos externos: quién ha visto o exportado qué y cuándo; de los enlaces de la Inspección, de los representantes y de los auditores, para quién son, su correo si se indica, el periodo y los centros que abarcan, su caducidad y cada consulta.

Categorías especiales

MiFicha no trata datos biométricos: no admite fichar con huella dactilar ni con reconocimiento facial, y el desbloqueo con la biometría del propio móvil, si el trabajador lo usa, se hace en el teléfono y no sale de él. Los justificantes de ausencias pueden contener datos de salud: el responsable decide si los pide y debe limitarse a lo estrictamente necesario; esos archivos solo los ven las personas con permiso sobre las ausencias.

4. Duración

Este contrato dura lo mismo que la relación de servicio y, después, mientras el encargado conserve datos bloqueados según el apartado 5.8. Las obligaciones de confidencialidad continúan sin límite de tiempo.

5. Obligaciones del encargado

Instrucciones. Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son este contrato, las condiciones y la configuración y el uso que el responsable hace del servicio, y no usarlos para fines propios. Si una instrucción infringe la normativa de protección de datos, se lo comunicará de inmediato.
Confidencialidad. Garantizar que las personas autorizadas a tratar los datos se han comprometido por escrito a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad.
Seguridad (art. 32 RGPD). Aplicar medidas técnicas y organizativas adecuadas al riesgo, entre ellas:
- Cifrado de todas las comunicaciones (HTTPS) en la web, la aplicación, los terminales y la API.
- Marcajes inmutables encadenados con una huella criptográfica (SHA-256) y verificación periódica de la cadena, de modo que cualquier alteración se detecta; las correcciones se añaden, nunca reescriben.
- Control de acceso por persona y por papel en cada empresa; acceso de solo lectura para representantes e Inspección mediante enlaces que caducan y se pueden revocar; registro de quién ve y exporta los datos.
- Verificación en dos pasos, límite de intentos de acceso, contraseñas y credenciales guardadas como resumen criptográfico y secretos de terceros (por ejemplo, los tokens de MiFactu) guardados cifrados.
- Terminales autenticados con una clave propia revocable; códigos QR firmados que caducan en segundos y no se pueden reutilizar.
- Archivos fuera de la parte pública del servidor; copias de seguridad periódicas.
Subencargados. No recurrir a otro encargado sin la autorización del responsable. Mediante este contrato, el responsable da una autorización general para los subencargados del apartado 7. El encargado avisará por correo de cualquier cambio con al menos 30 días de antelación; si el responsable se opone, puede resolver el contrato antes de que el cambio se aplique. El encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos y responderá de su cumplimiento.
Derechos de los interesados. Ayudar al responsable a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Los trabajadores pueden consultar sus propios registros desde la aplicación o la web en todo momento. Si un interesado se dirige al encargado, este dará traslado al responsable sin dilación.
Violaciones de seguridad. Notificar al responsable, sin dilación indebida y como máximo en 48 horas desde que tenga conocimiento, las violaciones de la seguridad de los datos, con la información necesaria para que pueda documentarlas y, en su caso, comunicarlas a la Agencia Española de Protección de Datos en el plazo de 72 horas y a los interesados (arts. 33 y 34 RGPD).
Evaluaciones de impacto. Ayudar al responsable, cuando proceda, en las evaluaciones de impacto y en las consultas previas a la autoridad de control.
Fin del servicio. El responsable puede exportar todos sus registros en PDF y CSV en cualquier momento, también cuando su suscripción haya terminado. Si pide la baja definitiva de su cuenta:
- Los demás datos se suprimen en ese momento; de las copias de seguridad desaparecen en su ciclo de rotación.
- Los registros de jornada (marcajes, correcciones, jornadas, resúmenes y su auditoría) no se destruyen mientras exista la obligación legal de conservarlos (art. 33.3 LOPDGDD): el responsable debe conservarlos durante cuatro años (art. 34.9 del Estatuto de los Trabajadores). Se le devuelven mediante la exportación y, además, el encargado los conserva por su cuenta, bloqueados (art. 32 LOPDGDD), hasta que se cumplan 4 años desde cada registro: solo se ponen a disposición del responsable para consultarlos y exportarlos, y de la Inspección, los jueces y tribunales cuando lo pidan. Después se suprimen.
- Si el responsable, después de exportarlos, pide expresamente su supresión inmediata porque garantiza su conservación por otros medios, se suprimen en ese momento.
Mientras dura la relación, los registros que cumplen 4 años se suprimen de forma automática, salvo que el responsable indique que deben conservarse más tiempo (por ejemplo, por un litigio o una inspección en curso). El encargado puede conservar además, bloqueados, los datos necesarios en tanto puedan derivarse responsabilidades de su relación con el responsable (art. 33.4 LOPDGDD).
Demostración del cumplimiento y auditorías. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, incluidas inspecciones, por el responsable o por un auditor autorizado por él, con aviso previo y antelación suficiente, a su cargo y sin afectar a la seguridad ni a la confidencialidad de otros clientes.
Registro de actividades. Llevar el registro de las actividades de tratamiento que efectúa por cuenta del responsable (art. 30.2 RGPD).
Transferencias internacionales. No transferir datos fuera del Espacio Económico Europeo salvo a países con decisión de adecuación o con las garantías del capítulo V del RGPD, e informar previamente al responsable.

6. Obligaciones del responsable

Tener una base jurídica para el tratamiento: el registro de jornada es una obligación legal del empleador (art. 6.1.c RGPD y art. 34.9 del Estatuto de los Trabajadores).
Informar a los trabajadores del tratamiento de sus datos (art. 13 RGPD y art. 11 LOPDGDD) y, si activa la ubicación al fichar, informarles antes de forma expresa, clara e inequívoca de su existencia y características (art. 90 LOPDGDD). MiFicha le facilita textos de información y un modelo de registro de actividades listos para adaptar.
Configurar el servicio con criterios de minimización: activar la ubicación solo cuando esté justificada, pedir justificantes solo cuando sean necesarios y dar a cada persona solo el papel que necesita, retirando el acceso cuando ya no lo necesite.
Respetar el derecho a la desconexión digital de sus trabajadores (art. 88 LOPDGDD) al configurar avisos y recordatorios.
Decidir y responder del acceso que da a su gestoría, a los representantes, a la Inspección y a terceros, y de la conexión con MiFactu u otros programas mediante la API.
Supervisar el tratamiento y velar por el cumplimiento del RGPD y de la LOPDGDD.

7. Subencargados autorizados

swpanel: alojamiento del servidor, de la base de datos, de los archivos y de las copias de seguridad. Ubicación: SPAIN.
piensasolution: envío de los correos del servicio (invitaciones, códigos, avisos, recordatorios y enlaces de consulta). Ubicación: SPAIN.

No son subencargados, porque no tratan datos del registro de jornada por cuenta del responsable:

Stripe y Apple, que solo tratan los datos de pago de la suscripción del propio cliente, como responsables.
MiFactu, cuando el responsable conecta la integración: MiFicha le transmite los datos por instrucción del responsable, y MiFactu los trata según su propia relación con el responsable.
La Inspección de Trabajo y Seguridad Social, los representantes de los trabajadores y las autoridades, que acceden a los registros por decisión del responsable o por obligación legal.
El servicio de mapas del panel (por defecto, OpenStreetMap), del que el navegador de quien mira el mapa descarga las imágenes de la zona; recibe su dirección IP y la zona mostrada, pero no los datos de los trabajadores ni de los fichajes.

8. Responsabilidad

Cada parte responde de sus obligaciones conforme al RGPD y a la LOPDGDD. Si el encargado trata los datos para fines propios o incumple este contrato, será considerado responsable de ese tratamiento (art. 28.10 RGPD y art. 33.2 LOPDGDD). Lo no previsto aquí se rige por las condiciones de contratación.