Política de privacidad

Última actualización: 14 de noviembre de 2026

Esta política explica qué datos personales trata MiFicha, para qué, con qué base jurídica, con quién se comparten, cuánto tiempo se guardan y cómo puedes ejercer tus derechos, conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679, general de protección de datos (RGPD), y al artículo 11 de la Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales (LOPDGDD). Se aplica a este sitio web, al servicio MiFicha en la nube y a la aplicación móvil, y a todas las personas que los usan: titulares de las empresas, personal de recursos humanos, encargados, gestorías, representantes de los trabajadores y trabajadores.

1. Responsable del tratamiento

MIVPN SLU, con NIF B93787042 y domicilio en Rua Da Pomba 13, 1, Pontevedra. Contacto para cualquier cuestión de protección de datos: info@mivpn.net.

2. Dos papeles distintos: responsable y encargado

• Somos responsables de los datos de las cuentas de usuario (quién eres, cómo entras y la seguridad de tu acceso), de los datos de las empresas que contratan el servicio y de su suscripción, de los formularios de este sitio y de los registros técnicos del servidor. Es lo que explica esta política.
• Somos encargados del tratamiento de los datos del registro de jornada de los trabajadores (fichajes, correcciones, jornadas, resúmenes, ausencias, credenciales de fichaje y lo relacionado con ellos). Esos datos los trata MiFicha por cuenta de cada empresa, que es la responsable como empleadora y decide qué se registra y para qué. Lo regula el contrato de encargado del tratamiento. El apartado 4 resume lo que necesitas saber si eres trabajador.
• En una instalación propia (la empresa tiene MiFicha en su propio servidor), la empresa es la única responsable de todos los datos y el titular de MiFicha no accede a ellos (lo explica el contrato de licencia). Esta política solo te afecta en lo que se refiere a este sitio web.

3. Qué datos tratamos como responsables

• Cuenta de usuario: correo electrónico, nombre y apellidos, teléfono (si lo das), idioma elegido, las empresas a las que perteneces y tu papel en cada una (titular, recursos humanos, encargado, gestoría, representante o trabajador), la fecha en que aceptas las condiciones y la última empresa que elegiste.
• Seguridad del acceso: la contraseña, guardada con una función de resumen criptográfico (nunca en claro); si activas la verificación en dos pasos, la clave que comparte tu aplicación de autenticación con MiFicha (guardada cifrada) y una huella de cada código de recuperación; la dirección IP, la fecha y la hora de cada acceso y de los intentos fallidos; y las invitaciones que recibes para unirte a una empresa.
• Empresa cliente y suscripción: razón social o nombre, NIF y domicilio de la empresa que contrata, la persona de contacto, el plan, el número de trabajadores, el estado de la suscripción, las facturas que le emitimos y los identificadores de cliente y de suscripción en Stripe o de la compra en Apple. Los datos de la tarjeta los reciben Stripe o Apple: no pasan por nuestros servidores.
• Formulario de contacto y solicitud de instalación propia: los datos que escribes en ellos (nombre, empresa, correo, teléfono si lo das y tu mensaje; en la solicitud de instalación propia, además, el número aproximado de trabajadores y lo que necesitas) y las respuestas que te damos.
• Datos técnicos: los registros del servidor (dirección IP, fecha y hora, página o función solicitada y navegador o versión de la aplicación), para la seguridad y el buen funcionamiento del servicio. No usamos herramientas de analítica ni de publicidad.

4. Si eres trabajador: el registro de tu jornada

La empresa para la que trabajas está obligada a registrar cada día el inicio y el final de tu jornada (art. 34.9 del Estatuto de los Trabajadores) y usa MiFicha para hacerlo. La responsable de esos datos es tu empresa; MiFicha los trata solo por su cuenta y siguiendo sus instrucciones. En concreto:

• Qué se registra: tus datos como trabajador (nombre, NIF o NIE, centro, puesto, horario y tipo de jornada), cada fichaje (tipo, fecha y hora, desde dónde se hizo: aplicación, web, lector, corrección o importación), las correcciones con su motivo y tu conformidad, las jornadas y resúmenes mensuales que firmas, tus ausencias y sus justificantes, y tus credenciales de fichaje.
• Sin biometría: MiFicha no usa huella dactilar ni reconocimiento facial. Si desbloqueas tu código QR con la huella o la cara de tu propio móvil, esa comprobación la hace el sistema del teléfono y no sale de él: ni MiFicha ni tu empresa reciben ningún dato biométrico.
• Credenciales: de tu móvil solo se registra una clave pública (la privada se queda en el teléfono y no sale de él); de las tarjetas, los códigos y el PIN se guarda solo una huella criptográfica, no el valor.
• Ubicación: solo si tu empresa lo activa, y solo en el instante en que fichas desde el móvil o la web: la posición y su precisión en ese momento. La aplicación te avisa antes y te pide permiso a través del sistema del teléfono. MiFicha nunca sigue tu posición de forma continua ni fuera del momento de fichar. La empresa debe informarte antes de forma expresa, clara e inequívoca (art. 90 LOPDGDD).
• Recordatorios: los avisos de fichaje olvidado respetan tu horario y tu derecho a la desconexión digital (art. 88 LOPDGDD).
• Consulta: puedes ver en todo momento tus fichajes, tus jornadas y tus resúmenes desde la aplicación o la web, y pedir correcciones.
• Quién más los ve: las personas de tu empresa con permiso para ello, la gestoría si la empresa le da acceso, los representantes de los trabajadores y la Inspección de Trabajo y Seguridad Social, que tienen derecho a consultar los registros. Cada consulta y cada exportación quedan anotadas.
• Tus derechos sobre el registro de jornada los ejerces ante tu empresa. Si nos escribes a nosotros, le trasladaremos tu solicitud sin demora.

5. Para qué usamos los datos y con qué base jurídica

• Crear y mantener tu cuenta, dejarte entrar y darte acceso a las empresas a las que perteneces, con el papel que cada una te asigna. Base: ejecución de las condiciones que aceptas al crear la cuenta (art. 6.1.b RGPD).
• Prestar el servicio contratado a la empresa cliente, cobrar la suscripción y emitir sus facturas. Base: ejecución del contrato y cumplimiento de obligaciones legales, mercantiles y tributarias (art. 6.1.b y 6.1.c RGPD).
• Proteger las cuentas y el servicio (verificación en dos pasos, límite de intentos, registros de acceso, detección de abusos). Base: interés legítimo en la seguridad (art. 6.1.f RGPD) y la obligación de aplicar medidas de seguridad adecuadas (art. 32 RGPD).
• Enviarte los correos del servicio (invitaciones, códigos, avisos, recordatorios y cambios en las condiciones). Base: ejecución del contrato (art. 6.1.b RGPD). No enviamos publicidad.
• Atender tu mensaje del formulario de contacto. Base: tu consentimiento, que das al enviarlo y puedes retirar cuando quieras (art. 6.1.a RGPD).
• Preparar el presupuesto y la licencia de una instalación propia que solicitas. Base: aplicación de medidas precontractuales a petición tuya (art. 6.1.b RGPD).
• Cumplir obligaciones legales y atender los requerimientos de las autoridades. Base: art. 6.1.c RGPD.

No vendemos datos, no los usamos para publicidad ni elaboramos perfiles, y no tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti.

6. Con quién compartimos los datos

• Las personas de las empresas a las que perteneces, según el papel de cada una: por ejemplo, recursos humanos ve tu nombre y tu correo de usuario.
• Proveedores que tratan datos por nuestra cuenta (encargados), con contrato y solo para prestar el servicio: el alojamiento del servidor (swpanel) y el envío de correos (piensasolution).
• Stripe Payments Europe, Limited (Irlanda), para el cobro de las suscripciones contratadas en la web, y Apple Distribution International Limited (Irlanda), para las compras dentro de la aplicación en el iPhone. Cada uno trata los datos del pago como responsable, con su propia política de privacidad. No reciben datos del registro de jornada.
• MiFactu (mifactu.app), solo si la empresa conecta la integración: por instrucción de la empresa, MiFicha recibe de MiFactu los datos de los trabajadores (nombre, NIF, alta, baja y jornada) y le envía los resúmenes mensuales de horas y ausencias para preparar las nóminas. La empresa puede desconectarla cuando quiera desde cualquiera de los dos servicios.
• El servicio de mapas que muestra la ubicación de los fichajes en el panel (por defecto, las teselas de OpenStreetMap): al abrir el mapa, tu navegador le pide las imágenes de la zona, por lo que recibe tu dirección IP y la zona que se muestra, pero no el nombre de los trabajadores ni los datos del fichaje.
• La Inspección de Trabajo y Seguridad Social, los jueces y tribunales y otras autoridades, cuando la ley obligue a facilitárselos. El acceso de la Inspección y de los representantes a los registros de jornada lo da la propia empresa desde su panel.

7. Transferencias internacionales

Los datos se alojan en SPAIN y los correos se envían a través de un proveedor situado en SPAIN. No hacemos transferencias fuera del Espacio Económico Europeo salvo a países con decisión de adecuación de la Comisión Europea o con las garantías del capítulo V del RGPD (por ejemplo, las cláusulas contractuales tipo). Lo que Stripe, Apple hagan con los datos que tratan como responsables se rige por sus propias políticas y garantías.

8. Cuánto tiempo los conservamos

• Cuenta de usuario: mientras la tengas. Si la borras, se suprime en ese momento; de las copias de seguridad desaparece en su ciclo de rotación. Si dejas de trabajar en una empresa, pierdes el acceso a ella, pero tu cuenta sigue existiendo (puedes pertenecer a otras empresas) hasta que la borres.
• Registro de jornada: lo decide la empresa, que debe conservarlo durante cuatro años (art. 34.9 del Estatuto de los Trabajadores). Por defecto, MiFicha lo conserva 4 años desde cada registro y después lo suprime de forma automática, salvo que la empresa indique que debe guardarlo más tiempo (por ejemplo, por un litigio o una inspección en curso). Borrar tu cuenta de usuario no borra el registro de tu jornada, que pertenece a la empresa.
• Datos de la empresa cliente y de facturación: mientras dure el contrato y, después, los plazos que exige la ley (seis años según el artículo 30 del Código de Comercio y cuatro según la normativa tributaria).
• Mensajes del formulario de contacto y solicitudes de instalación propia: un año desde la última comunicación, salvo que lleguen a un contrato, en cuyo caso se conservan como los datos del cliente.
• Registros técnicos y de acceso: el tiempo imprescindible para la seguridad del servicio, con rotación periódica.

Cuando la ley obliga a conservar un dato después de que deje de ser necesario, se conserva bloqueado (art. 32 LOPDGDD): solo está a disposición de jueces, tribunales y autoridades competentes, y se borra al terminar el plazo.

9. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar en cualquier momento el consentimiento que hayas dado, escribiendo a info@mivpn.net. Te responderemos en el plazo de un mes. Desde tu perfil puedes, sin pedirlo a nadie, corregir tus datos y borrar tu cuenta.

Sobre el registro de tu jornada, dirígete a tu empresa, que es la responsable; si nos escribes a nosotros, le trasladaremos tu solicitud. Ten en cuenta que la empresa está obligada a conservar el registro durante cuatro años, por lo que no puede suprimirlo antes aunque lo pidas.

Si crees que no se ha atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

10. Seguridad

• Conexión cifrada (HTTPS) en la web, la aplicación, los terminales y la API.
• Cada fichaje se encadena con el anterior mediante una huella criptográfica: no se puede modificar ni borrar sin que se note. Las correcciones nunca reescriben un fichaje; se añaden con su motivo y quién las hizo.
• Contraseñas, códigos y credenciales guardados como resumen criptográfico; códigos de un solo uso que caducan y límite de intentos.
• Verificación en dos pasos y acceso por papeles: cada persona entra con su usuario y solo ve lo que permite su papel en cada empresa. Quién ve o exporta los registros queda anotado.
• Los justificantes y demás archivos se guardan fuera de la parte pública del servidor y solo se descargan con la sesión y los permisos adecuados. Copias de seguridad periódicas.

11. Menores

MiFicha es un servicio para empresas y sus trabajadores. Si una empresa registra la jornada de un trabajador menor de edad que tiene contrato de trabajo, lo hace como responsable y bajo su propia responsabilidad.

12. Cambios en esta política

Si la cambiamos de forma relevante, lo comunicaremos por correo a las empresas clientes y lo indicaremos en esta página antes de que el cambio se aplique, con la fecha de la última actualización.