Acuerdo de Encargo de Tratamiento (DPA)

Art. 28 del Reglamento (UE) 2016/679 (RGPD)

1. Partes

Responsable del Tratamiento: el Cliente identificado en el Contrato de Servicio, en su condición de empleador (empresa, autónomo con personal o entidad asimilada) que utiliza GTG RRHH para gestionar el control horario y la documentación laboral de su plantilla.

Encargado del Tratamiento: Gesturas Technology Group, S.L., NIF B02943447, con domicilio en Calle España, 22 — Faro de Calaburras, 29649 Mijas (Málaga). Contacto: rgpd@gesturas.com.

2. Objeto

El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestar el servicio GTG RRHH (en adelante, el «Servicio») conforme al Contrato suscrito y al presente DPA.

3. Naturaleza, finalidad y duración

• Naturaleza: almacenamiento, organización, consulta, modificación, comunicación y supresión de datos en la plataforma SaaS.
• Finalidad: registro electrónico de jornada conforme al art. 34.9 del Estatuto de los Trabajadores (RD-ley 8/2019), gestión de vacaciones y ausencias, puesta a disposición de los empleados y custodia de la documentación laboral que el Responsable suba al Servicio (nóminas, contratos, certificados), incluida la que se mantiene en modo de consulta tras la baja del complemento correspondiente, y exportación de informes a la Inspección de Trabajo y Seguridad Social cuando esta lo requiera al Responsable.
• Duración: mientras esté vigente el Contrato de Servicio, más los plazos de conservación legal posteriores (cláusula 8).

4. Categorías de datos e interesados

• Datos identificativos de los empleados del Responsable: nombre y apellidos, DNI/NIE, dirección, email, teléfono, fotografía si el Responsable la incorpora al perfil.
• Datos laborales: registros de fichaje (entrada, salida, pausas, y ubicación de la entrada y la salida —nunca de las pausas— si el Responsable activa la geolocalización), turnos, horarios, vacaciones y ausencias, categoría profesional, fecha de alta, tipo de contrato.
• Documentación laboral: nóminas, contratos, certificados y otros documentos que el Responsable adjunte al expediente del empleado.
• Categorías de interesados: empleados de la plantilla del Responsable y, en su caso, candidatos a un puesto.

El Servicio no está diseñado para tratar categorías especiales de datos del artículo 9 RGPD. No obstante, los justificantes que se adjunten a las ausencias y los demás documentos que el Responsable suba al expediente del empleado pueden contener datos de salud. El Responsable decide si los incorpora, con la base jurídica que corresponda (en particular, el artículo 9.2.b RGPD). El Encargado los trata solo para almacenarlos y ponerlos a disposición de quien tenga acceso a ellos, con las medidas de la cláusula 11.

5. Obligaciones del Encargado (Art. 28.3 RGPD)

El Encargado se obliga a:

• Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo obligación legal aplicable a la que esté sujeto el Encargado.
• Garantizar que las personas autorizadas para tratar los datos se hayan comprometido a respetar la confidencialidad.
• Adoptar las medidas técnicas y organizativas apropiadas del art. 32 RGPD (cláusula 11).
• Asistir al Responsable mediante medidas técnicas y organizativas apropiadas para el cumplimiento de su obligación de responder a las solicitudes de ejercicio de derechos del art. 12 a 22 RGPD.
• Asistir al Responsable en el cumplimiento de los arts. 32 a 36 RGPD (seguridad, brechas, evaluaciones de impacto, consultas previas).
• A elección del Responsable, devolver o suprimir todos los datos personales una vez finalizada la prestación del Servicio, salvo conservación legal obligatoria.
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD y permitir la realización de auditorías por el Responsable o por un auditor designado, conforme a la cláusula 12.
• Informar inmediatamente al Responsable si considera que una instrucción infringe el RGPD u otras disposiciones de protección de datos.

6. Subencargados (Art. 28.2 y 28.4 RGPD)

El Responsable autoriza con carácter general la subcontratación de los siguientes encargados del tratamiento, todos sujetos a obligaciones equivalentes a las del presente DPA:

• Stripe Payments Europe Ltd. (Irlanda) — pasarela de pago.
• Brevo SAS (Francia) — comunicaciones transaccionales.
• 1&1 IONOS SE (España/Alemania) — alojamiento e infraestructura.
• Google LLC (Estados Unidos) — correo corporativo y colaboración interna.
• Backblaze Inc. (Estados Unidos) — copias de seguridad cifradas.
• Otros encargados publicados en gtg-rrhh.com/encargados.

El Encargado notificará la incorporación de nuevos subencargados con un preaviso mínimo de quince (15) días al email registrado del Responsable, pudiendo este oponerse mediante resolución del Contrato de Servicio sin reembolso de cuotas consumidas.

7. Transferencias internacionales

Cuando algún subencargado realice transferencias fuera del Espacio Económico Europeo, GTG garantiza la existencia de garantías adecuadas conforme al Capítulo V del RGPD: decisiones de adecuación, Cláusulas Contractuales Tipo (Decisión UE 2021/914) o adhesión al EU-U.S. Data Privacy Framework. La información detallada por proveedor está disponible en gtg-rrhh.com/encargados.

8. Plazos de conservación

• Registros de jornada: cuatro (4) años desde su generación, conforme al artículo 34.9 del Estatuto de los Trabajadores, en la redacción dada por el artículo 10 del Real Decreto-ley 8/2019.
• Documentación laboral relevante a efectos de inspección: cuatro (4) años conforme al art. 21 de la LISOS (RD Legislativo 5/2000), sin perjuicio de plazos superiores aplicables a determinados documentos por la normativa de Seguridad Social.
• Datos no sujetos a conservación legal tras la baja del Cliente: al causar baja cesa el acceso al Servicio —la cuenta no queda en modo consulta—, y el Responsable dispone de noventa (90) días naturales para solicitar una copia de sus datos conforme a la cláusula 12 de las Condiciones generales de contratación. Transcurrido ese plazo son suprimidos.
• Datos de los empleados dados de baja y documentación en modo de consulta, mientras el contrato está vigente: se conservan accesibles para el Responsable hasta que este los suprima o hasta que termine el contrato. Después se aplican los apartados anteriores.

Los plazos legales prevalecen sobre la instrucción de supresión del Responsable.

9. Devolución y supresión al fin de la prestación

A elección del Responsable, al finalizar el Contrato de Servicio el Encargado: (a) devolverá los datos en formato estándar (CSV/JSON/XML/PDF); o (b) procederá a su supresión segura. La entrega se realiza sin coste y no se condiciona al pago de cantidades pendientes. En ambos casos, los datos sujetos a obligación legal de conservación se conservan bloqueados —sin acceso del Responsable a través del Servicio— durante los plazos indicados en la cláusula 8, y se suprimen al vencer estos. Lo que no se devuelva se suprime: no existe la opción de que el Encargado conserve los datos sin entregarlos.

Durante la vigencia del contrato, el Responsable puede suprimir en cualquier momento los documentos que haya subido, también los que estén en modo de consulta. La supresión es una instrucción del Responsable (artículo 28.3.a RGPD): el Encargado elimina el fichero del Servicio, y de las copias de seguridad cuando estas se renuevan, en un plazo máximo de treinta (30) días. Salvo instrucción distinta del Responsable, si el documento tenía acuse de recibo, el Encargado conserva únicamente el registro del acuse descrito en la cláusula 13 de las Condiciones generales, mientras el contrato esté vigente. Al terminar el contrato, ese registro se incluye en la copia de los datos y se suprime con los datos no sujetos a conservación legal. La obligación de conservar la documentación laboral durante los plazos legales corresponde al Responsable.

10. Asistencia en el ejercicio de derechos

Si un empleado del Responsable se dirige al Encargado para ejercer sus derechos del art. 15 a 22 RGPD, el Encargado lo trasladará al Responsable sin dilación y prestará la asistencia técnica necesaria para que este pueda atender la solicitud.

11. Medidas de seguridad (Art. 32 RGPD)

• Cifrado en tránsito mediante TLS 1.2+.
• Cifrado en reposo de bases de datos sensibles.
• Control de accesos por roles y contraseñas almacenadas mediante funciones de derivación con sal, nunca en claro.
• Copias de seguridad diarias en un proveedor externo independiente del de alojamiento, en un contenedor privado con cifrado en reposo y retención de 30 días.
• Registro de eventos y auditoría de accesos.
• Procedimientos de respuesta ante incidentes documentados.
• Firmas HMAC-SHA256 para comunicaciones entre módulos.
• Monitorización 24/7 de infraestructura y alertas automáticas.

12. Auditorías

El Responsable podrá auditar el cumplimiento del presente DPA con un preaviso mínimo de treinta (30) días, en horario laboral, sin entorpecer la actividad del Encargado y sujeto a deber de confidencialidad. El Encargado podrá ofrecer informes de auditoría externa o certificaciones equivalentes en lugar de auditorías presenciales. Los costes de auditoría correrán por cuenta del Responsable salvo que se constaten incumplimientos relevantes.

13. Brechas de seguridad

En caso de brecha de seguridad que afecte a datos personales tratados como Encargado, GTG notificará al Responsable sin dilación indebida y, en cualquier caso, en un plazo máximo de cuarenta y ocho (48) horas desde su conocimiento, facilitando la información necesaria para que el Responsable pueda cumplir sus propias obligaciones de notificación a la AEPD (art. 33 RGPD) y, en su caso, a los interesados (art. 34 RGPD).

14. Confidencialidad

El Encargado garantiza que el personal autorizado al tratamiento está sujeto a deber de confidencialidad expreso, que se mantendrá indefinidamente tras la finalización de la relación.

15. Responsabilidad

Cada parte responderá frente a la otra por los daños y perjuicios derivados de su incumplimiento del presente DPA y del RGPD. La responsabilidad del Encargado se rige adicionalmente por la cláusula 15 de las Condiciones generales.

16. Vigencia

El presente DPA entra en vigor con la aceptación del Contrato de Servicio y permanece vigente mientras GTG trate datos personales por cuenta del Responsable.

17. Ley aplicable y jurisdicción

Conforme a la cláusula 20 de las Condiciones generales.

Versión 2.0 · Vigente desde el 24/09/2026 · Versiones anteriores

Para cualquier consulta sobre este Acuerdo: rgpd@gesturas.com