Política de Cookies y Almacenamiento Local

Última actualización: 10 de mayo de 2026 (v3.55.0 — actualización completa del inventario de claves de almacenamiento, ePrivacy y Guía AEPD 2024)

1. ¿Qué son las cookies y el almacenamiento local?

Las cookies son pequeños archivos de texto que los sitios web almacenan en el dispositivo del usuario. El almacenamiento local (localStorage y sessionStorage) es un mecanismo similar del navegador que permite a las aplicaciones web guardar datos de forma local.

Conforme al artículo 22.2 de la LSSI-CE (Ley 34/2002), informamos que esta aplicación utiliza almacenamiento local del navegador. A efectos legales, el almacenamiento local recibe el mismo tratamiento que las cookies.

2. Tipos de almacenamiento utilizado

2.1. Almacenamiento necesario (técnico)

Imprescindible para el funcionamiento básico de la aplicación. No requiere consentimiento conforme al art. 22.2 LSSI-CE (excepción de cookies técnicas).

2.2. Almacenamiento funcional

Mejora la experiencia de uso pero no es imprescindible. Requiere consentimiento.

2.3. Almacenamiento analítico

Actualmente no se utiliza ningún sistema de analítica web ni cookies de terceros. Si en el futuro se incorporara algún servicio de análisis, se actualizará esta política y se solicitará consentimiento previo.

2.4. Cookies de terceros

Esta aplicación no instala cookies de terceros. En caso de que se integren servicios externos (p.ej. Google Maps para previsualización de ubicación), estos pueden instalar sus propias cookies conforme a sus respectivas políticas de privacidad.

3. Consentimiento

Al acceder por primera vez a la aplicación, se muestra un banner de consentimiento con las siguientes opciones:

• Aceptar todas: Acepta todas las categorías (necesarias + funcionales + analíticas).
• Solo necesarias: Rechaza las categorías opcionales; solo se activan las cookies técnicas necesarias.
• Configurar: Permite seleccionar individualmente qué categorías activar o desactivar.

El consentimiento se almacena en fichaje:consent con marca temporal y versión, y puede revocarse en cualquier momento.

4. Revocación y gestión del consentimiento

El usuario puede revocar o modificar su consentimiento en cualquier momento a través de:

• El enlace "Gestionar cookies" disponible en el pie de todas las páginas de la aplicación.
• La sección Configuración del panel de administración.
• Eliminando manualmente los datos del almacenamiento local del navegador (Herramientas de desarrollo > Application > Storage).

Al revocar el consentimiento, se eliminarán las cookies no necesarias y se volverá a mostrar el banner de consentimiento.

5. Base legal

• LSSI-CE (Ley 34/2002), artículo 22.2 — Regulación del uso de cookies y dispositivos de almacenamiento.
• RGPD (UE 2016/679), artículos 6 y 7 — Consentimiento como base legal para el tratamiento.
• LOPD-GDD (LO 3/2018), disposiciones concordantes sobre consentimiento y transparencia.
• Directiva ePrivacy (2002/58/CE) y Reglamento ePrivacy (en negociación) — Confidencialidad de las comunicaciones electrónicas y dispositivos.
• Guía sobre el uso de las cookies de la AEPD (versión 2024, actualizada con criterios EDPB).
• Reglamento (UE) 2024/1689 (AI Act): No aplica a cookies estrictas, pero sí a cualquier uso analítico que implique inferencia algorítmica de comportamiento del usuario.

Aviso Legal y Condiciones de Uso

Última actualización: 10 de mayo de 2026 (v3.55.0 — incorpora AI Act, NIS2, Data Act y jurisprudencia 2022-2024)

1. Datos identificativos del titular

En cumplimiento del artículo 10 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE), se informa que el titular de esta aplicación web es la empresa que la haya instalado y configurado (en adelante, "la Empresa"), cuyos datos de identificación, domicilio social, CIF y datos de contacto estarán disponibles en la sección Configuración > Datos de la empresa del panel de administración.

2. Objeto

TimeTrack es un sistema de registro de jornada laboral y gestión de recursos humanos diseñado para dar cumplimiento a las obligaciones establecidas en:

• Artículo 34.9 del Estatuto de los Trabajadores (modificado por el Real Decreto-ley 8/2019, de 8 de marzo): Obligación de la empresa de garantizar el registro diario de jornada de sus trabajadores.
• Artículo 7 del Real Decreto-ley 8/2019: Registro de jornada obligatorio incluyendo hora de inicio y finalización.

3. Condiciones de acceso y uso

El acceso a la aplicación está restringido a los usuarios autorizados por la Empresa mediante credenciales individuales. Al utilizar la aplicación, el usuario se compromete a:

• Utilizar la aplicación exclusivamente para los fines laborales previstos.
• No compartir sus credenciales de acceso con terceros.
• Fichar de forma veraz y puntual, reflejando fielmente la hora real de inicio y fin de la jornada.
• No manipular, falsificar o alterar los registros de jornada.
• Comunicar inmediatamente cualquier incidencia, error o uso no autorizado de su cuenta.
• Cumplir con las políticas internas de la Empresa relativas al registro de jornada.

4. Obligaciones del empleador

Conforme a la legislación vigente, la Empresa se compromete a:

• Garantizar un sistema de registro de jornada fiable, inalterable y accesible para todos los trabajadores.
• Conservar los registros durante un mínimo de 4 años.
• Poner los registros a disposición de los trabajadores, sus representantes legales y la Inspección de Trabajo.
• Respetar los derechos fundamentales del trabajador, incluido el derecho a la intimidad y a la protección de datos.
• Informar a los trabajadores y a sus representantes sobre el sistema de registro utilizado.
• No utilizar los datos del registro de jornada para finalidades distintas al control horario, salvo las previstas legalmente.

5. Régimen sancionador

El incumplimiento de la obligación de registro de jornada por parte del empleador está tipificado como infracción grave en el artículo 7.5 del Real Decreto Legislativo 5/2000 (LISOS), con sanciones de:

• Grado mínimo: 751 € a 1.500 €
• Grado medio: 1.501 € a 3.750 €
• Grado máximo: 3.751 € a 7.500 €

La falsificación de registros de jornada por parte de un trabajador podrá dar lugar a sanciones disciplinarias conforme al convenio colectivo aplicable y al Estatuto de los Trabajadores.

6. Propiedad intelectual e industrial

El código fuente, diseño, estructura y contenidos de TimeTrack están protegidos por las leyes de propiedad intelectual e industrial vigentes. Queda prohibida la reproducción, distribución, comunicación pública o transformación no autorizada de los mismos.

7. Responsabilidad

• La Empresa no será responsable de las interrupciones o errores en el funcionamiento de la aplicación derivados de causas de fuerza mayor, fallos del navegador o del dispositivo del usuario.
• En la versión de demostración, los datos se almacenan en el navegador (localStorage). La Empresa no se responsabiliza de la pérdida de datos almacenados localmente.
• En el entorno de producción, la Empresa implementará las medidas de seguridad y respaldo adecuadas conforme al artículo 32 del RGPD.

8. Derechos digitales del trabajador

Conforme al Título X de la LOPD-GDD (LO 3/2018), se reconocen los siguientes derechos digitales en el ámbito laboral:

• Art. 87 — Derecho a la intimidad y uso de dispositivos digitales: Los sistemas de control empresarial deben respetar la dignidad del trabajador.
• Art. 88 — Derecho a la desconexión digital: El sistema de fichaje no podrá utilizarse para exigir disponibilidad fuera del horario laboral.
• Art. 89 — Derecho a la intimidad frente al uso de dispositivos de videovigilancia y grabación: No aplica directamente, pero informa el principio de proporcionalidad.
• Art. 90 — Derecho a la intimidad ante la utilización de sistemas de geolocalización: Si se activa la geolocalización, los trabajadores serán informados de forma expresa, clara e inequívoca.

9. Normativa aplicable

9.1 Protección de datos y derechos digitales

• Reglamento (UE) 2016/679 (RGPD) — Reglamento General de Protección de Datos.
• Ley Orgánica 3/2018 (LOPDGDD) — Protección de Datos Personales y Garantía de los Derechos Digitales (especialmente Título X — derechos digitales en el ámbito laboral, arts. 87-91).
• Reglamento (UE) 2024/1689 — Inteligencia Artificial (AI Act). Aplicable parcialmente desde 2-feb-2025; capítulos III y IV plenamente aplicables el 2-ago-2026.
• Reglamento (UE) 2023/2854 — Data Act. Aplicable desde 12-sep-2025.
• Directiva (UE) 2022/2555 (NIS2) — Ciberseguridad de redes y sistemas de información. Transposición española vigente.
• Ley 34/2002 (LSSI-CE) — Servicios de la Sociedad de la Información y Comercio Electrónico.
• Directiva (UE) 2002/58 (ePrivacy) — Tratamiento de datos personales en comunicaciones electrónicas.

9.2 Derecho laboral español

• Real Decreto Legislativo 2/2015 — Estatuto de los Trabajadores (especialmente art. 20.3 facultades de dirección, art. 34.9 registro de jornada, art. 64 derechos de información de la representación).
• Real Decreto-ley 8/2019, de 8 de marzo — Medidas urgentes de protección social: introdujo la obligación del registro horario.
• Disposición Adicional 14ª ET — Derecho a la desconexión digital, en relación con el art. 88 LOPDGDD.
• Real Decreto Legislativo 5/2000 (LISOS) — Ley sobre Infracciones y Sanciones en el Orden Social (art. 7.5: incumplimiento del registro horario, sanciones de 751 € a 7.500 €).
• Real Decreto-ley sobre registro horario digital (cuando entre en vigor el desarrollo reglamentario, previsto 2026): formato normalizado de registro y exportación a Inspección de Trabajo.

9.3 Jurisprudencia relevante

• STS Sala 4ª 246/2019 y posteriores — Interpretación del deber de registro horario.
• STC 119/2022 — Control empresarial mediante videovigilancia: principio de proporcionalidad y deber de información.
• STS Sala 4ª 28/04/2022 — Geolocalización en el ámbito laboral.
• STJUE C-55/18 (CCOO vs Deutsche Bank) — Deber europeo de registro horario diario.
• SAN 25/01/2024 — Acceso de los representantes de los trabajadores a los registros agregados.

10. Jurisdicción

Para la resolución de cualquier controversia derivada del uso de esta aplicación o de la interpretación de estas condiciones, las partes se someten a los juzgados y tribunales del domicilio social de la Empresa, sin perjuicio de la jurisdicción social competente para las cuestiones laborales.

11. Modificación de las condiciones

La Empresa se reserva el derecho de modificar estas condiciones en cualquier momento. Las modificaciones se comunicarán a los usuarios a través de la aplicación y entrarán en vigor desde su publicación. El uso continuado de la aplicación tras la modificación implica la aceptación de las nuevas condiciones.

Acuerdo de Encargo de Tratamiento (DPA)

Última actualización: 17 de mayo de 2026 (v2.6.53) · Conforme Art. 28 RGPD + Cláusulas Contractuales Tipo UE (Decisión 2021/915 CE)

Este Acuerdo de Encargo de Tratamiento (en adelante DPA) regula la relación entre TimeTrack (el Encargado del Tratamiento) y el Cliente (el Responsable del Tratamiento) en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. Definiciones

• Datos personales: toda información sobre una persona física identificada o identificable tratada en el marco del Servicio.
• Responsable: el Cliente que contrata el Servicio y determina los fines y medios del tratamiento.
• Encargado: TimeTrack, que trata los datos por cuenta del Responsable.
• Sub-encargado: tercero contratado por TimeTrack con el consentimiento general del Cliente (lista actualizada en la pestaña «Sub-processors»).
• Interesado: persona física cuyos datos son tratados (empleados, candidatos, contactos).

2. Objeto y duración del tratamiento

El presente DPA tiene por objeto regular el tratamiento de datos personales que TimeTrack realiza por cuenta del Cliente al prestar el Servicio descrito en las Condiciones de Uso. La duración será la de la suscripción al Servicio, prolongándose hasta la devolución o supresión definitiva de los datos conforme a la cláusula 11.

3. Naturaleza y finalidad del tratamiento

• Naturaleza: registro de jornada, gestión de empleados, control de ausencias, generación de nóminas, cumplimiento RD 8/2019, comunicación interna, archivo documental.
• Finalidad: prestar los servicios del Software-as-a-Service (SaaS) TimeTrack al Cliente conforme al contrato suscrito.

4. Tipos de datos personales tratados

• Datos identificativos: nombre, apellidos, DNI/NIE, fecha de nacimiento, fotografía (opcional).
• Datos de contacto: email corporativo, teléfono móvil, dirección postal (opcional).
• Datos laborales: puesto, departamento, categoría profesional, salario, fechas de alta y baja, contratos.
• Datos de jornada: hora de entrada/salida, pausas, ausencias, vacaciones, ubicación GPS si el geofence está activo (precisión ±10m).
• Datos técnicos: IP, user-agent, identificadores de sesión, logs de auditoría.
• Datos biométricos (categoría especial Art. 9): solo si el Cliente activa autenticación biométrica (huella, facial) en el dispositivo del empleado. TimeTrack NO procesa biometría server-side — la verificación ocurre en el dispositivo, solo el resultado booleano viaja al server.

5. Categorías de interesados

• Empleados activos e inactivos del Cliente.
• Candidatos en procesos de selección (módulo ATS opcional).
• Contactos comerciales del Cliente (módulo CRM ligero, opcional).

6. Obligaciones del Encargado (TimeTrack)

1. Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable, salvo obligación legal aplicable a TimeTrack.
2. Garantizar la confidencialidad mediante acuerdos firmados por todo el personal con acceso a datos personales.
3. Implementar medidas técnicas y organizativas apropiadas (Art. 32 RGPD) detalladas en la pestaña «Política de Seguridad».
4. Asistir al Responsable en el cumplimiento de los derechos de los interesados (Art. 12-22).
5. Asistir al Responsable en el cumplimiento de las obligaciones de los Art. 32-36 (seguridad, notificación de brechas, evaluaciones de impacto).
6. Notificar al Responsable las brechas de seguridad en un plazo máximo de 24 horas desde el conocimiento (más estricto que el plazo de 72h del RGPD entre Responsable y AEPD).
7. Devolver o suprimir los datos personales al finalizar la prestación del servicio (cláusula 11).
8. Mantener un registro de actividades de tratamiento conforme al Art. 30.2 RGPD a disposición del Responsable.
9. Permitir auditorías del Responsable o de terceros designados, una vez al año, con preaviso de 30 días, sin coste si TimeTrack ha tenido un incidente de seguridad en los 12 meses anteriores.

7. Sub-encargados

El Cliente autoriza con carácter general a TimeTrack a recurrir a los sub-encargados listados en la pestaña «Sub-processors». TimeTrack notificará al Cliente con un mínimo de 30 días de antelación cualquier alta, baja o cambio en la lista, otorgándole derecho de oposición razonada. Si el Cliente se opone fundadamente, TimeTrack ofrecerá una alternativa o, en su defecto, el Cliente podrá rescindir el contrato sin penalización.

Cada sub-encargado debe asumir contractualmente las mismas obligaciones que TimeTrack en este DPA.

8. Transferencias internacionales

Los datos se tratan principalmente en el Espacio Económico Europeo (EEE) — España y Alemania. Cuando algún sub-encargado opere desde fuera del EEE (caso de Stripe Inc. para procesamiento de pagos), TimeTrack garantiza la transferencia mediante:

• Cláusulas Contractuales Tipo de la Decisión 2021/914/CE de la Comisión Europea.
• Evaluación de impacto conforme a la sentencia Schrems II (C-311/18) cuando el destino sea EE.UU.
• Medidas suplementarias técnicas (cifrado end-to-end, pseudonimización) cuando proceda.

9. Derechos de los interesados

TimeTrack pone a disposición del Cliente:

• Export RGPD: descarga estructurada en JSON+CSV de todos los datos personales de un interesado (Art. 15 + 20).
• Anonimización Art. 17: eliminación del nombre, DNI, email manteniendo solo los datos agregados necesarios para cumplir las obligaciones legales (RD 8/2019 obliga a conservar el registro de jornada 4 años pero permite anonimizar el ID personal).
• Rectificación inline: el admin del Cliente puede corregir cualquier dato personal en la app.
• Portabilidad: export en formato CSV con BOM+UTF-8 compatible con la mayoría de competidores.

10. Notificación de brechas de seguridad

Si TimeTrack detecta una brecha que afecte datos del Cliente, notificará por email al contacto designado en máximo 24 horas con:

• Naturaleza de la brecha + categorías de datos + número aproximado de interesados.
• Consecuencias probables.
• Medidas correctivas adoptadas o propuestas.
• Persona de contacto técnico para el follow-up.

11. Devolución y supresión de datos al finalizar

Al finalizar la prestación del servicio (cancelación, no renovación, terminación), el Cliente dispone de 30 días naturales para descargar sus datos en formato estructurado. Transcurrido ese plazo:

• Los datos en producción se eliminan completamente (hard-delete + tombstones).
• Los datos en backups cifrados se purgan en máximo 90 días adicionales.
• TimeTrack emite un certificado de eliminación firmado al Cliente.

Excepción: TimeTrack conservará los datos requeridos por obligación legal (registro fiscal, RD 8/2019 4 años) en frío, anonimizando los identificadores cuando legalmente sea posible.

12. Responsabilidad y limitación

Cada parte responde de sus propios incumplimientos. La responsabilidad agregada de TimeTrack frente al Cliente por incumplimientos del DPA queda limitada al importe total facturado en los 12 meses anteriores al incidente, salvo en casos de dolo o culpa grave donde se aplicará la normativa imperativa.

13. Aceptación

El presente DPA se considera aceptado por el Cliente al activar su workspace en el Servicio o al continuar usándolo tras la publicación de actualizaciones. Para clientes Enterprise existe versión firmable bilateralmente — solicitar a legal@timetrack.app.

Sub-processors

Última actualización: 17 de mayo de 2026 (v2.6.53) · Notificación de cambios con 30 días de antelación por email

TimeTrack contrata únicamente los sub-encargados estrictamente necesarios para prestar el Servicio. Todos firman acuerdos contractuales con obligaciones equivalentes a las del DPA principal (Art. 28.4 RGPD).

1. Infraestructura

2. Pagos

3. Email transaccional

4. Mapas y geolocalización

5. Fuentes web

6. Sub-processors opcionales

Los siguientes solo se activan si el Cliente los configura expresamente:

7. Notificación de cambios

Cualquier alta, baja o cambio de sub-encargado se anuncia con 30 días de antelación mediante:

• Email a los administradores del Cliente registrados con el rol admin.
• Banner persistente en el panel admin durante esos 30 días.
• Actualización de esta página con cambio de fecha en «Última actualización».

El Cliente puede oponerse fundadamente. Si TimeTrack no puede ofrecer una alternativa razonable, el Cliente podrá rescindir el contrato sin penalización.

8. Suscripción a notificaciones

Para recibir los cambios directamente sin depender del admin panel, suscríbete enviando un email a legal@timetrack.app con asunto «Suscripción a cambios de sub-processors».

Política de Seguridad

Última actualización: 17 de mayo de 2026 (v2.6.53) · Conforme Art. 32 RGPD, NIS2, ENS Media, ISO 27001 (en proceso de certificación)

Esta política describe las medidas técnicas y organizativas que TimeTrack implementa para proteger los datos personales conforme al Art. 32 RGPD, principio de seguridad del tratamiento.

1. Cifrado

• En tránsito: TLS 1.3 obligatorio. HSTS con preload (2 años + includeSubDomains). Perfect Forward Secrecy. Suites de cifrado seguras únicamente (ECDHE-AES-GCM).
• En reposo: AES-256 a nivel de disco (filesystem + BD).
• Backups: AES-256 con clave separada rotada anualmente. Almacenados en proveedor distinto al primario (defense-in-depth).
• Contraseñas: bcrypt cost 12 (mínimo). Resistente a ataques offline con GPU.
• Tokens: SHA-256 hash en BD (reset, verify, invitations, PAT). Plaintext jamás persistido — solo viaja en el email.

2. Control de acceso

• RBAC granular: 4 roles base (admin/manager/payroll/employee) + permisos personalizables.
• 2FA obligatorio para admins Plan Enterprise (TOTP + códigos de backup).
• SSO SAML/OAuth2: integración con IdP corporativo (Okta, Azure AD, Google Workspace).
• JWT con expiración: 1h por defecto + refresh token + revocación instantánea desde el panel de sesiones.
• Principio de menor privilegio: empleados internos de TimeTrack solo acceden a datos de clientes con justificación y registro.

3. Integridad y trazabilidad

• Firma criptográfica: cada fichaje HMAC-SHA256 + chain-hash al anterior.
• Audit log inmutable: todas las acciones críticas + diff de cambios + IP + user_id.
• TSA anchoring (Plan Enterprise): timestamping authority RFC 3161 contra notario digital.
• Detección de manipulación: alertas automáticas si el chain-hash se rompe.

4. Disponibilidad y resiliencia

• SLA: 99.9% mensual (Plan Pro) / 99.95% mensual (Plan Enterprise con créditos por incumplimiento).
• Backups: cada 4 horas, retención 30 días. RPO ≤ 4h, RTO ≤ 4h.
• Multi-AZ: replicación síncrona BD primary↔replica en datacenters distintos.
• DDoS protection: Cloudflare en frente con WAF (Web Application Firewall).
• Rate-limiting: por IP + por usuario + por API token con cabeceras X-RateLimit-* documentadas.

5. Desarrollo seguro (SDLC)

• Code review obligatorio antes de merge a main por al menos un revisor distinto.
• SAST: análisis estático automatizado (Psalm + ESLint security plugins).
• Dependency scanning: Dependabot + Snyk en cada PR.
• Secret scanning: GitGuardian impide commits con credenciales accidentales.
• Pentests anuales por terceros independientes (próximo: Q4 2026).
• Bug bounty: programa público con recompensas según CVSS (mín. 50€ low, máx. 5.000€ critical).

6. Gestión de incidentes

• Plan de respuesta documentado con roles, comunicación, contención, erradicación, recuperación, post-mortem.
• Notificación al Cliente: máximo 24h tras conocimiento de la brecha.
• Notificación a AEPD: 72h si afecta datos personales (cuando aplique).
• Status page pública: status.timetrack.app con uptime histórico + incidentes.

7. Personal y formación

• Acuerdos de confidencialidad firmados por todos los empleados internos al ingresar.
• Onboarding de seguridad: formación obligatoria en RGPD + secure coding + phishing awareness en los primeros 30 días.
• Background check para personal con acceso a datos de clientes.
• Recertificación anual de privilegios de acceso.

8. Cumplimiento y auditorías

• RGPD: cumplimiento documentado por DPO interno + asesoría legal externa.
• NIS2: incorporamos las obligaciones aplicables a servicios digitales esenciales.
• ENS Media: Esquema Nacional de Seguridad (Real Decreto 311/2022), categoría Media — requerimiento para clientes del sector público español.
• ISO 27001: en proceso de certificación (estimado Q2 2027).
• SOC 2 Type II: en preparación para Plan Enterprise (Q4 2027).

9. Política de retención

• Datos en producción: mientras dure la relación contractual + 30 días de gracia tras cancelación.
• Registros de jornada (RD 8/2019): 4 años obligatorios. Tras ese plazo, anonimización automática manteniendo agregados.
• Audit log: 4 años (mismo plazo RD 8/2019 para coherencia probatoria).
• Logs técnicos (acceso, errores): 90 días.
• Backups cifrados: 30 días en rotación.

10. Reportar una vulnerabilidad

Si has detectado una vulnerabilidad de seguridad, sigue el procedimiento de disclosure responsable descrito en /.well-known/security.txt (RFC 9116). Envía el reporte cifrado con PGP a security@timetrack.app. Respondemos en 24h con acknowledgment + plan de remediación.

No uses redes sociales, el formulario de contacto público ni issue trackers de GitHub para reportes de seguridad — comprometería la confidencialidad del fix antes del parche.