Política de Privacidad

1. Introducción

Esta Política de Privacidad describe cómo se recopilan, usan, conservan y protegen los datos personales cuando se utiliza Klok, el servicio de registro horario prestado por Penwin («nosotros»). El tratamiento se realiza conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Klok es un servicio dirigido a organizaciones (centros educativos y entidades similares) para que cumplan su obligación legal de llevar un registro de la jornada de sus trabajadores (art. 34.9 del Estatuto de los Trabajadores). No es un servicio dirigido al público general ni a menores de edad.

2. Responsable y encargado del tratamiento

El papel de Penwin depende de qué datos se traten:

• Datos de los trabajadores (fichajes, ausencias, geolocalización de fichaje, etc.): el centro que contrata Klok es el Responsable del Tratamiento. Penwin actúa como Encargado del Tratamiento, tratando esos datos únicamente siguiendo las instrucciones del centro y en el marco del contrato de encargo (art. 28 RGPD).
• Datos de la cuenta y de contacto (persona administradora que contrata, formulario de contacto, facturación, comunicaciones comerciales): en estos casos Penwin es el Responsable del Tratamiento.

Para ejercer derechos sobre los datos de trabajador, la vía principal es el propio centro empleador. También puedes contactarnos en los datos de la sección 15.

3. Datos que tratamos

3.1 Datos de la cuenta y del centro

• Datos identificativos y de contacto de la persona administradora: nombre, correo electrónico y, en su caso, teléfono.
• Datos del centro: nombre, sedes, organigrama y configuración del servicio.
• Datos de facturación necesarios para la relación contractual.

3.2 Datos de los trabajadores

• Identificación: nombre y apellidos, correo electrónico, PIN de fichaje y, opcionalmente, identificador de tarjeta NFC.
• Registro de jornada: entradas, salidas, pausas y demás marcajes, con su fecha y hora.
• Geolocalización: cuando un kiosco tiene activado el control por ubicación (geofence), se comprueba que el fichaje se realiza dentro del recinto. La ubicación se usa exclusivamente para validar el fichaje.
• Ausencias y solicitudes: vacaciones, permisos, salidas y los justificantes que el trabajador o el centro adjunten. Algunos justificantes pueden contener datos de salud (categoría especial, art. 9 RGPD); se tratan solo para gestionar la ausencia y se restringe su acceso.
• Canal de denuncias: si el centro habilita el canal interno de información (Ley 2/2023), se tratan las comunicaciones y adjuntos aportados, que pueden incluir datos de terceros, con las garantías de confidencialidad que exige dicha ley.

3.3 Datos recopilados automáticamente

• Datos técnicos: dirección IP, tipo de dispositivo y navegador, e idioma.
• Registros de actividad (logs) y diagnóstico: eventos de acceso y errores técnicos, empleados para seguridad y para mantener el servicio.
• Cookies estrictamente necesarias: para mantener la sesión iniciada y recordar preferencias como el idioma (ver sección 11).

4. Finalidades y base legal

Tratamos los datos para las siguientes finalidades, sobre las siguientes bases jurídicas (art. 6 RGPD):

• Prestar el servicio de registro horario y gestionar ausencias, correcciones e informes — ejecución del contrato con el centro y cumplimiento de una obligación legal (art. 34.9 del Estatuto de los Trabajadores).
• Crear y administrar cuentas y autenticar a los usuarios — ejecución del contrato.
• Validar el fichaje por ubicación cuando el centro lo activa — obligación legal / interés legítimo del centro en la fiabilidad del registro.
• Gestionar el canal de denuncias, cuando esté habilitado — obligación legal (Ley 2/2023).
• Garantizar la seguridad, prevenir el fraude y resolver incidencias técnicas — interés legítimo.
• Enviar comunicaciones sobre el servicio (avisos operativos) y, en su caso, comerciales a clientes — ejecución del contrato e interés legítimo; las comunicaciones comerciales a no clientes se basan en el consentimiento.

Cuando el tratamiento se base en el consentimiento, puedes retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento previo.

5. Con quién compartimos los datos

No vendemos datos personales. Los compartimos únicamente en estos casos:

5.1 Proveedores (subencargados del tratamiento)

Nos apoyamos en proveedores que tratan datos por cuenta nuestra, sujetos a contrato y a obligaciones de confidencialidad y seguridad:

• Supabase — base de datos y almacenamiento.
• Vercel — alojamiento y entrega de la aplicación.
• Resend — envío de correos transaccionales.
• Sentry — monitorización de errores y diagnóstico.
• OpenStreetMap / Nominatim — mapas y geocodificación para configurar el control de ubicación de los kioscos.

5.2 Por motivos legales

Podemos comunicar datos cuando lo exija la ley, un requerimiento judicial o administrativo, o cuando sea necesario para proteger derechos, la seguridad de las personas o prevenir actividades ilícitas.

5.3 Operaciones societarias

En caso de fusión, adquisición o transmisión de activos, los datos podrían transferirse a la entidad sucesora, que quedará sujeta a esta política.

6. Conservación de los datos

Conservamos los datos solo durante el tiempo necesario para las finalidades descritas y para cumplir obligaciones legales:

• Registro de jornada: al menos 4 años, conforme al art. 34.9 del Estatuto de los Trabajadores.
• Datos de la cuenta: mientras exista relación contractual con el centro; tras la baja, se eliminan o anonimizan salvo obligación legal de conservación.
• Canal de denuncias: durante el tiempo imprescindible y conforme a los plazos de la Ley 2/2023.
• Copias de seguridad: los datos eliminados pueden persistir en copias de respaldo durante un periodo limitado hasta su rotación.

7. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento cuando el tratamiento se base en él.

Si eres trabajador de un centro, la vía principal para ejercer estos derechos es tu empleador (responsable del tratamiento); trasladaremos a Penwin cualquier solicitud que recibamos. Para el resto de casos, escríbenos a los datos de la sección 15.

También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es) o ante la autoridad de control de tu país si consideras que se han vulnerado tus derechos.

8. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas para proteger los datos:

• Cifrado en tránsito mediante TLS/SSL.
• Autenticación mediante credenciales y sesiones seguras.
• Almacenamiento en bases de datos con acceso restringido y control de autorización por centro.
• Acceso limitado al personal autorizado y registro de actividad.

Ningún sistema es completamente infalible. En caso de una violación de seguridad que afecte a datos personales, actuaremos conforme a los arts. 33 y 34 del RGPD, notificando a las autoridades y a los afectados cuando proceda.

9. Transferencias internacionales

Nuestros proveedores pueden tratar datos en servidores situados dentro o fuera del Espacio Económico Europeo (EEE). Cuando haya transferencias fuera del EEE, nos aseguramos de que existan garantías adecuadas, como una decisión de adecuación de la Comisión Europea o las Cláusulas Contractuales Tipo aprobadas por la UE, junto con medidas complementarias cuando sean necesarias.

10. Datos de menores

Klok es una herramienta de gestión laboral para centros educativos; sus usuarios son el personal del centro y sus administradores. No está dirigido a menores ni tratamos datos del alumnado.

11. Cookies

Utilizamos exclusivamente cookies y almacenamiento estrictamente necesarios para el funcionamiento del servicio: mantener la sesión iniciada y recordar preferencias como el idioma. No usamos cookies publicitarias ni de seguimiento de terceros. Puedes gestionar las cookies desde la configuración de tu navegador, si bien deshabilitarlas puede impedir el uso del servicio.

12. Enlaces a terceros

El servicio puede contener enlaces a sitios de terceros. Esta política no se aplica a dichos sitios; te recomendamos revisar sus propias políticas de privacidad.

13. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en nuestras prácticas o por motivos legales. Cuando el cambio sea significativo, lo comunicaremos por los medios habituales y actualizaremos la fecha de «Última actualización» del encabezado. El uso continuado del servicio tras la entrada en vigor implica la aceptación de la política revisada.

14. Contacto

Para cualquier consulta o solicitud sobre esta política o sobre el tratamiento de tus datos:

• Privacidad: privacy@penwin.org
• Delegado de Protección de Datos: dpo@penwin.org

Penwin — Departamento de Privacidad
[Dirección postal]
[Código postal, ciudad]
[País]