Política de Privadesa

Pel que fa a les dades personals dels representants i administradors de les Organitzacions que contracten el Servei, el Responsable del Tractament és:

• Titular: Erick Moises Hernández Quiñones (persona física, empresari individual)
• NIF: 06713923Q
• Nom comercial: Geozly
• Domicili: Avenida República Argentina 93, porta 25, 46701 Gandia (València), Espanya
• Correu electrònic de contacte: contact@geozly.com

Pel que fa a les dades personals dels empleats de les Organitzacions (treballadors, supervisors, personal d'oficina) tractades a través de la Plataforma:

• El Responsable del Tractament és l'Organització ocupadora, que determina les finalitats i els mitjans del tractament.
• Geozly actua com a Encarregat del Tractament, tractant les dades per compte de l'Organització i segons les seves instruccions documentades.
• Del canal intern d'informació (apartat 6.VI) la Responsable també és l'Organització, i convé dir qui són, en el canal, els interessats: qui informa pot no ser empleat seu-un extreballador, algú en un procés de selecció, personal d'un proveïdor o un voluntari- i no necessita compte a la Plataforma.
• Amb una excepció: allò que una persona escriu a la secció Comunicació del panell, per demanar una funcionalitat o informar d'un error, ho tracta Geozly com a Responsable, també quan qui escriu és un empleat amb el rol de Supervisor o de Viewer, perquè aquell canal i la seva finalitat els decideix Geozly i no l'Organització (apartat 6.V).

Una Organització pot autoritzar la seva assessoria laboral a entrar a la Plataforma per un portal propi (apartat 7.1 ter). Pel que fa a les persones d'aquella assessoria:

• Del seu espai de treball -el seu equip, els seus codis de nòmina, les seves plantilles i la configuració de la seva cartera- la Responsable és l'assessoria, i Geozly actua com el seu Encarregat d'acord amb els Termes per a assessories.
• Allò que l'assessoria fa amb les dades d'una Organització és tractament d'aquella Organització, que n'és la Responsable, i també ho és el rastre que deixa al seu registre d'auditoria.
• De la seguretat del seu compte -el doble factor obligatori i les sessions del portal d'assessoria- el Responsable és el Titular, perquè en respon davant de totes les Organitzacions a les dades de les quals dona accés el portal.
• Quan una assessoria demana accés a una Organització, aquesta veu, abans de decidir, el correu verificat de la persona de l'assessoria que envia la sol·licitud, perquè és l'únic que una assessoria falsa no pot copiar de la real.

Un treballador signa a la Plataforma en dos casos: el seu registre de jornada d'un mes, quan l'Organització el tanca i demana la signatura, i un document que li lliura, quan l'Organització ho demana, en publicar-lo o després, o quan el treballador mateix decideix signar-lo sense que li ho demanin (apartat 3.1). Cada signatura porta un registre d'evidències, que s'escriu una sola vegada, en el moment de signar, i permet comprovar sense dependre de Geozly que existia sense canvis a l'hora del segell. No en tenen les signatures del registre mensual fetes abans que la Plataforma el desés, ni l'acusament de recepció simple d'un document, que continua desant només el que diu la fila de documents lliurats.

El registre d'evidències d'una signatura desa el següent.

• Què es va signar. El mes i les empremtes del registre segellat que es va signar, o el document, amb el seu nom, la seva categoria, l'empremta SHA-256 del seu contingut, la seva mida, i qui el va pujar, qui el va publicar i qui va demanar la signatura, amb el seu correu i la data. El nom de qui va tancar el mes, en la signatura mensual.
• Qui va signar. El seu nom i el seu NIF tal com els té l'Organització, el seu compte, el seu correu d'accés, i la raó social i el CIF de l'Organització.
• D'on provenen aquella identitat i aquell correu. Qui va donar d'alta la seva fitxa i quan, si el seu correu d'accés estava verificat, quan i com es va verificar, quan va activar el compte i des de quina adreça IP, quan va canviar per última vegada el correu d'accés i si va sortir l'avís a l'adreça anterior, quan i per quina via es va fixar la contrasenya. Les signatures fetes abans del 8 d'octubre de 2026 desen a més si el correu era d'un domini de l'empresa i si la persona havia declarat que la seva bústia era personal.
• L'autenticació d'aquell moment. Si la persona es va autenticar per última vegada abans de signar amb contrasenya o amb Google, quan, i un identificador de la sessió que no permet fer-la servir.
• El codi d'un sol ús, si n'hi va haver. Per quina via es va enviar i a quina adreça, sempre emmascarada, per a quina operació valia, quan es va emetre, quan caducava i quan es va validar, quants intents van fallar i l'identificador del correu que el va portar. Mai el codi.
• L'acte. El text íntegre que la persona va llegir abans de signar, el botó que va prémer, en la signatura mensual la seva resposta i les seves observacions, en un finiquit la seva elecció, i l'hora de cada pas: l'última vegada que va descarregar el document abans de signar, quan va demanar el codi, quan el va validar i quan va signar.
• El context tècnic. L'adreça IP i, quan el servidor el rep, el port d'origen de la connexió, perquè només amb l'adreça IP un operador de telefonia no sempre pot saber de quin client es tracta. A més, el navegador o l'app, la versió de l'app i l'hora del servidor.
• La plataforma. La versió de la Plataforma i la de la Política de signatura i evidències.

L'empremta SHA-256 del registre es desa al costat de la signatura i la Plataforma comprova cada nit que el registre continua donant-la. El registre no es modifica després. A la signatura s'hi afegeixen després el seu segell de temps i, en la signatura mensual, la marca de superada si canvia el registre de jornada que es va signar.

El nivell de la signatura el decideix el servidor. L'Organització pot demanar una signatura simple o una d'avançada, i una signatura només surt avançada si en aquell moment es compleixen totes les seves condicions, que explica la Política de signatura i evidències. Si el compte o l'inici de sessió no les compleixen, la signatura es fa igual, com a simple, i el seu registre diu per què. La Plataforma ofereix el nivell avançat des del 4 d'octubre de 2026.

El codi d'un sol ús només s'envia quan es signa en avançat, perquè ho demana l'Organització o perquè el treballador ho escull en signar un document pel seu compte, i va sempre al correu d'accés de la persona, mai a un altre correu que tingui l'Organització. El codi no es desa enlloc. Mentre existeix la petició es desa una empremta que només serveix per comprovar-lo, i la petició sencera s'esborra 90 dies després que el codi caduqui, hagi acabat o no en una signatura, perquè allò que el registre d'evidències en necessita hi queda copiat en signar.

El segell de temps. Després de signar, la Plataforma demana a FreeTSA, una autoritat de segellament de temps, que segelli l'hora del registre d'evidències. A FreeTSA només se li envia l'empremta SHA-256 del registre, 32 bytes que no permeten reconstruir-lo, i mai un document, un nom ni cap altra dada personal (apartat 7.2). Si FreeTSA no contesta, la signatura no espera: el segell es torna a demanar més tard i, mentrestant, la signatura consta amb el segell pendent.

L'avís que s'ha signat. En acabar, la persona rep al seu correu d'accés un avís amb la data, l'hora, el nivell de la signatura i el principi de l'empremta del seu registre d'evidències, perquè tingui una còpia que no depèn de Geozly. No porta cap enllaç ni cap fitxer, i no es pot desactivar, perquè avisa d'un acte fet en nom seu.

La declaració de bústia personal. Fins al 8 d'octubre de 2026, la signatura avançada demanava que la persona declarés que només ella entrava a la bústia del seu correu d'accés. Ja no es demana. Les declaracions fetes fins aleshores es conserven, amb l'adreça declarada, la versió del text, la data, l'adreça IP i el navegador o l'app, perquè donen suport a les signatures avançades que es van fer amb elles.

Qui descarrega les proves. Cada signatura amb registre d'evidències té un certificat en PDF i un paquet d'evidències, un fitxer ZIP amb el registre, el segell i el que cal per comprovar-los sense Geozly. Els descarrega la persona mateixa, des del seu compte i mentre tingui accés en aquella Organització (la seva fitxa activa i, en un document, que no s'hagi retirat); quan ja no en té, els demana a l'Organització, que és la responsable. Els descarreguen també, en la signatura mensual, l'Owner o l'Admin de la seva Organització; en la signatura d'un document, a més, el Supervisor que pugui llegir aquell document (apartat 3.1). Qui els descarrega veu tot el que desa el registre, també l'adreça IP de qui va signar i l'historial del seu correu d'accés. Cada descàrrega queda anotada al registre d'auditoria de l'Organització, llevat de les del suport de Geozly en una sessió de suplantació (apartat 9.2). El treballador pot descarregar a més, des de la secció de documents, el certificat dels acusaments d'un document seu, que només recull el que va fer ell, les seves descàrregues, acusaments i signatures, amb la seva adreça IP pròpia i el seu dispositiu, mai els d'una altra persona, i descarregar-lo queda anotat com un accés més a l'historial del document.

Si Geozly deixa de prestar el servei de signatura, ho avisarà amb almenys dos mesos d'antelació. Si cessa només el servei de signatura, les evidències, els documents signats i tota la resta continuen a la Plataforma com fins aleshores i fins al seu termini de sempre, amb Geozly com a encarregat de cada Organització. Si cessa tot el Servei, després del cessament conservarà les evidències de cada signatura i de cada acusament de recepció el temps que tindrien si la seva Organització es donés de baixa el dia del cessament (apartat 8). En tots dos casos, qui va signar, l'Organització o un jutjat les poden demanar a contact@geozly.com. Per poder comprovar les signatures del registre mensual que no tenen registre d'evidències, conservarà també els manifests de les còpies segellades que citen, i el d'un tancament de mes porta les hores de tota la plantilla amb jornada aquell mes, també de qui no va signar. Si cessa tot el Servei, els documents signats no formen part d'aquelles evidències i, des de la data del cessament, segueixen l'apartat 20.4 dels Termes.

• Coordenades GPS (latitud i longitud) en cadascun dels quatre fitxatges que admet una jornada: entrada, inici de pausa, final de pausa i sortida.
• Precisió del GPS del dispositiu en metres.
• Marca temporal del dispositiu en el moment de la captura.
• Les coordenades i la seva precisió en un avís del treballador, només si aquest deixa marcada la casella de la ubicació en enviar-lo (apartat 6.8).
• Si l'Organització activa el recorregut de la jornada per a un treballador, la posició del seu mòbil mentre té la jornada oberta, amb la seva hora i la seva precisió (apartat 6.9).

Les dades de geolocalització es recullen en el moment en què el treballador fa un fitxatge: entrada, inici de pausa, represa després d'una pausa i sortida. Hi ha dues excepcions. Una és l'avís de l'apartat 6.8, que el treballador mateix decideix enviar i en el qual la ubicació és opcional. L'altra és el recorregut de la jornada de l'apartat 6.9. No hi ha seguiment continu de la ubicació llevat que l'Organització activi el recorregut de la jornada per a una persona, i aleshores només mentre té la jornada oberta i mai a les pauses.

La verificació de presència per geolocalització és una funcionalitat configurable per l'Organització per a cada ubicació de treball. Si l'Organització no l'exigeix en una ubicació, la Plataforma no comprova la posició dels fitxatges d'aquella ubicació respecte del seu perímetre ni en rebutja cap per aquesta. Tot i així la posició es continua recollint. Cada fitxatge que no es fa al quiosc porta la posició del dispositiu quan aquest la dona, i la Plataforma la desa amb el registre, també en el fitxatge lliure i en un torn sense ubicació, que no tenen un perímetre propi.

Aquella opció no s'aplica a l'avís de l'apartat 6.8, la ubicació del qual no la decideix l'Organització sinó el treballador, avís per avís. Tampoc no s'aplica al recorregut de la jornada de l'apartat 6.9, que l'Organització activa a banda, persona per persona, i que no depèn que una ubicació exigeixi verificació.

L'accés a la geolocalització del dispositiu requereix la concessió expressa de permisos per part del treballador a través del seu navegador web o aplicació PWA. El treballador pot revocar aquest permís en qualsevol moment des de la configuració del seu dispositiu.

El recorregut de la jornada només el registra l'aplicació mòbil, que demana el permís d'ubicació mínim amb què funciona i, en un mòbil personal, mai no demana el de fer servir la ubicació sempre. Si el treballador retira el permís, el recorregut es deixa de registrar i la seva jornada queda amb un buit, que la Plataforma no omple ni tracta com un incompliment.

Si l'Organització va declarar que el recorregut es registra amb mòbils personals, o amb uns de l'empresa i altres de personals, el treballador pot escollir a l'aplicació no fer servir el seu mòbil per al recorregut, sense que això canviï res dels seus fitxatges, i tornar-ho a acceptar quan vulgui. Mentrestant no es registra res, i aquell temps apareix com un tram sense posicions amb el motiu "El treballador no ha acceptat fer servir el seu mòbil personal per al recorregut", mai com un incompliment. L'Organització veu aquell fet a la fitxa de la persona.

El tractament de dades de geolocalització es regeix pel principi de minimització de dades: per verificar la presència dins de la geotanca configurada únicament es recullen les coordenades del moment puntual del fitxatge. La d'un avís no es compara amb cap geotanca, i només existeix si el treballador decideix incloure-la.

El recorregut de la jornada recull molt més, i per això només existeix per a les persones que anomena una declaració signada per l'Organització. És l'Organització qui valora i afirma en aquella declaració que el recorregut és idoni, necessari i proporcionat per al que declara, i que no en té prou amb un mitjà menys intrusiu, com els avisos i els quilòmetres declarats (apartat 6.9).

D'acord amb l'article 90 de la LOPDGDD, l'Organització ocupadora, en la seva condició de Responsable del Tractament, haurà d'informar prèviament i de manera expressa, clara i inequívoca els treballadors i, si escau, els seus representants legals (RLT), sobre l'existència i les característiques del sistema de geolocalització, així com sobre l'exercici dels drets previstos als articles 15 a 22 RGPD. Geozly proporciona l'eina tecnològica però no substitueix aquest deure d'informació, que recau íntegrament en l'Organització.

Les Organitzacions amb pla Professional disposen d'una pantalla que mostra sobre un mapa els treballadors que tenen la jornada oberta en aquell moment, amb el seu nom, la seva fotografia de perfil si en té, si està treballant o en pausa, i el seu últim punt conegut. La pantalla s'actualitza sola cada trenta segons mentre continua oberta.

Sense el recorregut de la jornada, el punt que es mostra no és una posició en directe: és la coordenada de l'últim fitxatge del treballador -la seva entrada o una de les seves pauses- o, si és posterior, la del seu últim avís amb ubicació d'aquella mateixa jornada (apartat 6.8), llevat que el telèfon declarés aquella ubicació com a simulada, cas en què l'avís no mou el punt. Si l'Organització ha activat el recorregut de la jornada per a aquella persona (apartat 6.9), el punt és l'últim del seu recorregut quan és més recent que els altres dos, llevat que el telèfon el declarés simulat, i aleshores és l'últim punt que va registrar l'aplicació amb la jornada oberta. Si la persona ja no té el recorregut actiu, o va escollir no fer servir el seu mòbil personal per al recorregut, el mapa no la situa pel seu recorregut. La pantalla mateixa diu d'on prové el punt i quant temps fa: en un fitxatge, des que es va prendre la coordenada, en un avís, des que es va enviar, amb una posició presa com a màxim uns dos minuts abans, i en el recorregut, des que el telèfon va prendre aquell punt. La Plataforma no consulta la ubicació del dispositiu per alimentar aquest mapa; només reutilitza les coordenades que ja va recollir en els moments dels apartats 6.2, 6.8 i 6.9. Un fitxatge sense coordenades apareix en una llista a banda, sense punt al mapa.

Només és visible mentre la jornada està oberta: en fitxar la sortida el treballador desapareix del mapa, i fora de la seva jornada no existeix cap seguiment. Únicament el poden veure els Usuaris amb rol Supervisor, Admin o Owner de l'Organització mateixa.

Aquest ús no es fonamenta en cap base jurídica diferent de les ja declarades a l'apartat 4 per al control horari amb geolocalització, per als avisos del treballador i, amb el recorregut actiu, per al recorregut de la jornada, ni amplia les dades que es recullen. El deure d'informació de l'article 90 LOPDGDD descrit a l'apartat 6.6 comprèn també aquesta funcionalitat quan l'Organització la fa servir.

En les Organitzacions amb pla Professional, el treballador pot enviar a la seva Organització un avís mentre té la jornada oberta, també durant una pausa. L'avís porta sempre l'hora a la qual s'envia i, només si el treballador els inclou, la seva ubicació, un text i una fotografia. Com a mínim n'hi ha d'anar un dels tres. No és un fitxatge: no obre ni tanca la jornada, no canvia les hores treballades i no forma part del registre de jornada que s'exporta, es segella o es lliura a la inspecció.

La ubicació és opcional. La casella que la inclou està marcada per defecte i el treballador pot desmarcar-la abans d'enviar, cas en què l'avís surt sense aquesta. L'aplicació només demana la posició al dispositiu en obrir la pantalla d'enviament, per no fer-lo esperar, en tornar a marcar la casella, i en prémer Enviar si la que tenia és de fa més de dos minuts o si no la va aconseguir. Si es tanca la pantalla, la posició no s'envia. Si es desmarca la casella, tampoc, llevat que es torni a marcar. En qualsevol cas, el telèfon pot acabar la consulta que ja havia començat. Pot ser una posició aproximada, de quilòmetres de precisió, si el treballador només ha concedit la ubicació aproximada o si el navegador la calcula a partir de la xarxa. La coordenada d'un avís no es compara amb el perímetre de cap centre de treball ni genera cap alerta. Si el dispositiu declara que la posició és simulada, l'avís es desa igual i queda marcat com a tal.

La fotografia es fa amb la càmera des de la pantalla mateixa de l'avís, i la Plataforma la desa sense les seves metadades d'ubicació, data i dispositiu: abans d'emmagatzemar-la la torna a codificar i descarta les dades que el telèfon desa dins d'una foto, entre les quals les coordenades del lloc on es va fer, i només conserva el perfil de color, que no diu res de qui ni d'on. Així, qui desmarca la ubicació no l'envia sense saber-ho amagada a les dades de la foto, encara que allò que es vegi a la imatge sí que pot dir on es va fer. Es desa xifrada en repòs, com la resta dels fitxers pujats, i només es serveix a qui pot veure l'avís.

Qui el veu. El treballador mateix, al seu registre, i els Usuaris amb rol Supervisor, Admin o Owner de la seva Organització, que el reben a la campana de notificacions del panell, el veuen dins del registre de jornada i a la llista d'avisos, i, si porta ubicació, al mapa de l'apartat 6.7 mentre duri la jornada, llevat que el telèfon l'hagi declarat simulada. La notificació de la campana repeteix el nom del treballador i el principi del text, i s'esborra amb les altres notificacions. No el veu l'assessoria laboral, ni l'inspector amb accés de només lectura, ni viatja a les notificacions automàtiques cap a sistemes de tercers de l'apartat 7.4.

Sense connexió. Si l'aplicació no té xarxa, desa l'avís al telèfon mateix, amb la foto si en porta, i l'envia en recuperar-la, amb el mateix límit de 24 hores que un fitxatge sense connexió. Passat aquell límit ja no s'envia.

Un cop enviat, ningú no el pot esborrar des de la Plataforma, ni el treballador ni l'Organització, i del que porta només pot canviar el text: un Usuari amb rol Supervisor, Admin o Owner pot afegir-lo, si el treballador no el va escriure, o canviar-lo. Des d'aleshores l'avís diu, també al registre del treballador, que el text l'ha editat l'Organització, i el registre d'auditoria apunta qui el va canviar i quan, sense desar el text anterior. La ubicació, la fotografia i l'hora no es poden canviar. S'elimina sencer, amb el seu text, la seva ubicació i la seva fotografia, al cap de 4 anys d'enviar-se (apartat 8). Les dades d'un avís no es comuniquen a cap tercer ni afegeixen cap proveïdor nou: es desen al mateix servidor i a les mateixes còpies de seguretat que la resta de les dades de la Plataforma.

En les Organitzacions amb pla Professional, l'Organització pot activar el recorregut de la jornada per a una o diverses persones concretes. Mentre està actiu, l'aplicació mòbil d'aquella persona pren la seva posició cada 50 metres o cada 60 segons, el que passi abans, de manera que amb el mòbil quiet pren igualment un punt per minut. Ho fa des que fitxa l'entrada o la tornada d'una pausa fins que fitxa una pausa o la sortida, també amb l'aplicació tancada o sense fer-la servir a Android, i a iPhone amb l'aplicació en segon pla o la pantalla bloquejada, però no si es tanca del tot, i envia els punts a la Plataforma. Amb aquests l'Organització veu el recorregut de cada jornada, la seva distància estimada i, mentre la jornada està oberta, la seva última posició al mapa de l'apartat 6.7. No hi ha recorregut de ningú per a qui l'Organització no l'hagi activat, ni durant les pauses fitxades. Si la jornada continua oberta perquè es va oblidar fitxar una pausa o la sortida, l'aplicació pot continuar registrant fins a 30 minuts després del final previst del torn, o fins a 10 hores després de l'entrada si no hi ha torn o el torn és per hores, i la Plataforma no desa res que arribi després d'aquell límit. Si després es corregeix la jornada, aquells punts s'esborren, llevat dels que retingui una reclamació oberta, que es bloquegen (apartat "Quant es desa").

Qui l'activa i què declara. Només l'Owner del compte de l'Organització, signant amb un codi que rep per correu una declaració que anomena cada persona. En aquesta l'Organització diu per a què vol el recorregut i amb quina base jurídica, per què no en té prou amb els avisos i els quilòmetres declarats, si el podrà fer servir per prendre mesures disciplinàries, si l'ensenyarà o l'enviarà als seus clients, si els mòbils són de l'empresa o personals, quan va informar cada persona i els seus representants, i quant temps es conserven els punts. Afirma a més que va informar abans cada persona amb tot el que exigeixen l'article 90 de la LOPDGDD i l'article 13 del RGPD, que va valorar que el recorregut és idoni, necessari i proporcionat, que va fer l'avaluació d'impacte que puja amb la declaració i que ho ha anotat al seu registre d'activitats de tractament. Geozly no revisa l'avaluació d'impacte ni valora la justificació: desa allò que es signa, amb la seva empremta i un segell de temps, com a prova d'allò que va declarar l'Organització. Qui entra després a la plantilla no queda cobert, i afegir algú exigeix una declaració nova que l'anomeni.

Què es recull. De cada punt, l'hora del telèfon, la latitud i la longitud, la precisió en metres, si el telèfon declara la posició com a simulada i l'hora a la qual el punt arriba a la Plataforma. Res més: ni la velocitat, ni l'altitud, ni el rumb, ni el nivell de bateria, ni cap altra dada del telèfon. Si el treballador posa en pausa el recorregut, es desa també quan i per quin motiu.

Quan no es recull. L'aplicació deixa de registrar tan bon punt el treballador fitxa una pausa o la sortida, quan la Plataforma li contesta que la jornada està tancada o que aquella persona ja no està coberta per una declaració, i com a màxim 30 minuts després del final previst del seu torn o, si no té torn o el seu torn és per hores, 10 hores després de l'entrada, i aleshores li ho diu. Aquell límit l'aplica també la Plataforma, que no desa cap punt posterior. La Plataforma descarta sense desar-lo tot punt que caigui fora d'una jornada oberta, dins d'una pausa, dins d'un permís per hores aprovat d'aquella persona o en un moment en què no estava coberta. Un permís per hores pot ser una visita mèdica, i on va ser durant aquella estona podria revelar una dada de salut. Un punt descartat ja s'havia pres al telèfon i s'havia enviat, encara que no es desi. Si després es corregeix la jornada o s'aprova un permís per hores que cobreix un tram, els punts que queden fora del temps de treball resultant s'esborren a l'acte, llevat dels que retingui una reclamació oberta, que es bloquegen. I el treballador pot posar en pausa el recorregut sense posar en pausa la jornada, per un permís o una visita mèdica, o per hores sindicals.

Allò que veu el treballador. Abans de demanar cap permís, l'aplicació li ensenya allò que l'Organització ha declarat: per a què es fa servir, si es pot fer servir per a mesures disciplinàries, si es comparteix amb clients, quant es conserva, amb quin mòbil es registra, quan diu l'Organització que el va informar i si diu que hi ha representació dels treballadors. Geozly no comprova aquelles respostes, de manera que si alguna cosa no coincideix amb el que li van explicar, el treballador és qui pot dir-ho a la seva Organització. Si l'Organització va declarar mòbils personals o mixtos, la mateixa pantalla li ofereix no fer servir el seu mòbil per al recorregut (apartat 6.4). Mentre registra, el telèfon ho indica: a iPhone amb l'indicador d'ubicació del sistema i a Android amb una notificació del servei. A Android 14 o posterior la persona pot apartar-la, i si no ha permès les notificacions de Geozly, Android la mostra a la seva llista d'apps actives en lloc de fer-ho a la cortina. Des de la versió web no es registra res.

Allò que no és. El recorregut no forma part del registre de jornada. No entra a la cadena d'integritat dels fitxatges, no canvia les hores treballades i no surt a les exportacions del registre, a la còpia segellada, a l'accés de la inspecció ni al que veu l'assessoria laboral. No genera alertes. La distància és una estimació que calcula el servidor descartant els punts poc precisos, els simulats i els salts impossibles, i que diu quant temps va faltar posició. Un tram sense posicions pot deure's al fet que la persona estava aturada, a la falta de cobertura o a l'estalvi de bateria del mòbil, i no indica per si sol cap incompliment. La distància mai no es paga sola: s'ofereix al treballador en declarar els seus quilòmetres i ell la confirma o la canvia.

Qui el veu. Els Usuaris amb rol Supervisor, Admin o Owner de l'Organització, al detall de cada registre i al mapa de l'apartat 6.7 mentre dura la jornada, i poden descarregar el recorregut d'un registre en CSV. Cada vegada que un d'ells obre o descarrega el recorregut d'una altra persona queda anotat al registre d'auditoria de l'Organització, sense coordenades, llevat de les lectures del suport de Geozly en una sessió de suplantació (apartat 9.2). El treballador mateix veu el seu recorregut al detall dels seus registres, a l'aplicació i a la web, i el pot descarregar. La línia es dibuixa al navegador de qui la mira amb l'API de JavaScript de Google Maps i, a l'aplicació, al telèfon mateix amb l'SDK de Maps de Google. En tots dos casos el mapa demana a Google les imatges de la zona que s'ensenya, i com que s'enquadra sobre el recorregut, aquella zona coincideix aproximadament amb la del recorregut. Google tracta a més, com a responsable independent segons les seves condicions, la IP i les dades tècniques del navegador o del telèfon de qui mira el mapa (apartat 7.2). L'SDK de Maps desa a més al telèfon un identificador pseudònim propi, que segons la documentació de Google serveix per comptar els usuaris actius de l'SDK, fora del nostre control. Si el mapa no està disponible, l'aplicació dibuixa la línia sola, sense mapa de fons. Si l'Organització va declarar que ensenyarà el recorregut als seus clients, aquella comunicació la fa ella, fora de la Plataforma, i li correspon haver-los anomenat com a destinataris en informar cada persona.

Quant es desa. Els punts s'esborren sols en vèncer el termini que l'Organització declara en activar-lo, que és de 30 dies si no en diu un altre. Si la seva única finalitat és localitzar en temps real, el termini no pot superar els 30 dies, i amb qualsevol altra, els 12 mesos. Per sobre de 90 dies l'Organització ha d'escriure el motiu a la declaració. L'Owner o un Admin poden ordenar esborrar abans el recorregut d'una persona, sencer o un tram, per exemple per atendre una sol·licitud de supressió o oposició, i poden retenir un tram més enllà del seu termini mentre duri una reclamació concreta. La retenció preval sobre qualsevol esborrament: un punt retingut afectat pel termini, la correcció d'una jornada, un permís per hores, el final de la cobertura o una ordre d'esborrament no s'esborra, sinó que es bloqueja. Deixa de veure's al mapa i al detall del registre, només surt, marcat, a la descàrrega en CSV que es lliura per a aquella reclamació, i s'esborra quan s'aixeca la retenció, si aleshores ja li tocava. La distància i els trams sense posició, que no localitzen ningú, segueixen el termini de les coordenades de la jornada. La declaració, allò que li passa després i l'avaluació d'impacte que cita es conserven fins a tres anys després que acabi la cobertura d'aquella declaració, també si l'Organització tanca el seu compte, perquè són la prova d'allò que va declarar. Després que acabi el servei, Geozly les conserva degudament bloquejades, només mentre puguin derivar-se responsabilitats de la seva relació amb l'Organització (article 33.4 de la LOPDGDD). Una avaluació d'impacte pujada que cap declaració no cita s'esborra al cap de 30 dies (apartat 8).

Drets. Les sol·licituds d'accés, rectificació, supressió i limitació s'adrecen a l'Organització (apartat 10.2). On la base és l'interès legítim, el treballador pot a més oposar-s'hi (art. 21 RGPD). On és l'execució del contracte, pot demanar la portabilitat (art. 20 RGPD). I sempre pot reclamar davant de l'AEPD (apartat 10.5).

El paper de Geozly. Geozly tracta el recorregut com a Encarregat de l'Organització, i la declaració signada és la instrucció documentada que segueix (art. 28.3.a RGPD i apartat 11.6 dels Termes). Si Geozly considera que una instrucció infringeix la normativa de protecció de dades, ho diu a l'Organització, i la decisió continua sent d'aquesta. Només pot suspendre una declaració, o totes les de l'Organització, per un requeriment de l'Agència Espanyola de Protecció de Dades o d'un jutjat, a petició de l'Organització mateixa o per un impagament o una baixada de pla que retira la recollida, i tornar a activar-lo exigeix una declaració nova. A banda d'això, la recollida s'atura sola mentre el compte de l'Organització està desactivat o bloquejat per una factura impagada, o mentre el seu pla no inclou el recorregut, i torna sola quan deixa de ser així. I Geozly pot aturar alhora la recollida de totes les Organitzacions si un problema tècnic o legal ho exigeix, i reprendre-la després. Cap d'aquelles aturades no esborra res, i mentre duren l'Organització pot continuar llegint i descarregant el recorregut ja recollit, retirar persones i ordenar esborrar-lo. L'avaluació d'impacte pujada només l'obre, dins de l'Organització, l'Owner. Geozly només l'obre davant d'una reclamació o un requeriment, i cada obertura queda anotada, amb el seu motiu, al registre d'auditoria de l'Organització. Si l'Organització la demana, Geozly li facilita la seva avaluació d'impacte de referència, que inclou el recorregut. Aquella avaluació de referència no substitueix la de l'Organització ni és una revisió de la seva. El recorregut no afegeix cap proveïdor nou: els punts es desen al mateix servidor i a les mateixes còpies de seguretat que la resta de les dades de la Plataforma.

Del fitxer, res. Ja aleshores el document carregat no s'emmagatzemava: es llegia en memòria i només en sobrevivien les metadades - qui el va pujar, quan, quantes files van sortir i què es va crear amb aquestes -. Aquelles metadades segueixen el seu termini de sempre i s'eliminen 365 dies després que la feina quedi tancada.

Del proveïdor, tampoc. Geozly no conserva cap còpia d'allò que es va enviar en el seu dia ni en rep res. Allò que aquells proveïdors fessin amb les dades que van rebre mentre el tractament va existir es regia pels acords descrits a la versió anterior d'aquesta Política, que continua disponible a l'historial de versions.

Geozly manté configurades les credencials i l'ordre de preferència de tres proveïdors d'intel·ligència artificial, i una pantalla interna on el personal de Geozly pot reordenar-los. No hi ha cap codi que els cridi. Es conserva perquè és la instal·lació sobre la qual es basaria una funcionalitat futura, i desmuntar-la per tornar-la a muntar no protegeix ningú.

Es diu aquí, i no només a la documentació interna, perquè la diferència importa: tenir un proveïdor configurat no és tractar-hi dades. Si alguna vegada una funcionalitat de Geozly torna a enviar dades personals a un model de llenguatge, aquesta Política ho dirà abans que passi, amb el mateix detall amb què ho deia quan existia la importació assistida.

Convé separar-ho perquè ningú no dedueixi de l'anterior més del que diu. El xat d'ajuda de les pàgines públiques sí que envia el que s'hi escriu a un model d'intel·ligència artificial, el proveïdor del qual és fora de la Unió Europea. És un tractament diferent i amb una altra base jurídica, però no és d'un altre responsable: el xat el presta Chaizly, el titular del qual és la mateixa persona física, amb el mateix NIF, que el titular de Geozly. Per això aquí no existeix un contracte d'encàrrec de l'article 28, i no per descuit: aquell article regeix un encarregat que sigui una altra persona, i ningú no pot contractar amb si mateix.

El xat s'allotja en un servidor de Contabo, dins de la Unió Europea. L'únic que en surt és el contingut de la conversa quan va al model que la contesta. Chaizly rep a més les dades tècniques de la visita: adreça IP, navegador i pàgina des de la qual s'escriu. Les converses es conserven un any, perquè són atenció prèvia a qualsevol contracte i la seva finalitat s'esgota en respondre.

No es carrega amb la pàgina: es mostra un botó, i fins que algú no el prem no es descarrega res ni es contacta amb ningú. Abans d'obrir-lo s'adverteix del que passa amb allò que s'hi escrigui.

Les Organitzacions amb pla Professional poden habilitar un canal opcional que permet al treballador fitxar des d'un xat de Telegram, sense instal·lar res. Calen dues decisions independents i cap no substitueix l'altra: l'Organització ha d'habilitar el canal, i després cada treballador decideix al xat mateix, en obrir la invitació de la seva empresa o un enllaç generat des del seu perfil, si vincula o no el seu compte de Telegram. Ningú no queda vinculat per decisió de la seva empresa, i qui no el faci servir fitxa exactament igual des de l'aplicació, des de la web o des del quiosc.

La ubicació NO viatja per Telegram. Quan el treballador fitxa l'entrada o la sortida s'obre una finestra servida pel Titular que llegeix el GPS del dispositiu i l'envia directament als seus servidors. Telegram no rep cap coordenada.

El xat és un comandament a distància, no un registre. El bot mostra uns botons i confirma l'acció amb dues paraules, com ara "Entrada registrada" o "Pausa iniciada", sense dir l'hora, perquè el missatge mateix de Telegram ja porta la seva. El registre de jornada, amb la seva hora fidel i el seu segell, es desa a Geozly i es consulta allà.

Enumerat, perquè es pugui comprovar. Telegram pot veure: que aquell compte de Telegram ha parlat amb el bot de Geozly, des del primer missatge i encara que al final no es connecti res; l'hora a la qual es prem cada botó i, perquè els missatges romanen al xat, l'hora de cada entrada, sortida i pausa feta per aquesta via; si en aquell moment hi ha una jornada oberta, si hi ha una pausa en curs i si es pot fitxar ara des d'aquell xat, perquè d'això depenen els botons que ofereix el panell; si s'obre en aquell xat l'enllaç d'una altra empresa, que el treballador treballa o ha treballat per a més d'una, perquè el bot l'avisa que el xat passa a fitxar per a aquesta; en obrir una invitació, si l'empresa que l'envia té activat el fitxatge per Telegram; que el treballador ha vinculat un altre compte de Telegram, si ho fa, perquè el bot avisa l'anterior; i que el seu compte de Geozly està bloquejat, si ho està, perquè el bot li ho diu perquè sàpiga per què no pot fitxar i com desconnectar-se. Telegram no pot veure: el nom ni el document d'identitat del treballador; per a quina empresa treballa, tampoc quan n'hi ha més d'una; el seu torn ni el seu centre de treball; la seva ubicació; ni l'historial de fitxatges desat a Geozly o les hores que l'Organització li calcula.

Sobre la segona línia d'aquella llista convé la mateixa franquesa. El xat no és un missatge sinó un arxiu: les confirmacions s'acumulen al compte del treballador i cadascuna porta la marca de temps de Telegram mateix, de manera que l'ús continuat hi deixa la seqüència datada de les seves entrades, sortides i pauses fetes per aquest canal. Ni el registre de jornada ni el còmput d'hores que l'Organització en fa no surten de Geozly.

I sobre la tercera, que es pugui fitxar o no des del xat no depèn només del torn. Si l'empresa d'aquell xat ha deixat de poder fitxar per Telegram, perquè ha apagat el canal, perquè ja no el té al seu pla, perquè el treballador hi ha causat baixa o perquè l'empresa està desactivada o ha tancat, el xat ho diu amb la mateixa frase sigui quin sigui el motiu, de manera que Telegram sap que des d'allà no es pot fitxar, però no per què. Les tres últimes línies són avisos que el bot dona perquè serveixen al treballador: saber, en obrir una invitació, que aquella empresa no té el canal activat; assabentar-se al xat de sempre que el seu fitxatge per Telegram ha passat a un altre compte, que és el que li permet reaccionar si no ho ha fet; i saber per què no pot fitxar, i com desconnectar el xat, si el seu compte està bloquejat. Per això es declaren en lloc de silenciar-los.

Sobre el primer punt d'aquella llista convé ser explícit, perquè no té solució tècnica i per tant només es pot declarar. Des del 20 de setembre de 2026 el consentiment per a aquest canal es presta dins del xat mateix, amb un botó d'acceptar i un altre de rebutjar, i no en una pantalla de Geozly. Això és més garantista -la decisió es pren a l'aplicació de la persona i en un compte que és seu, no en una pantalla que va obrir perquè li ho va demanar el seu ocupador- però té una conseqüència inevitable: per poder preguntar cal entrar, de manera que Telegram veu el contacte abans que ningú accepti res, i el veu també si la resposta és que no. Per això les dues vies per les quals s'arriba al xat ho adverteixen abans d'obrir-lo: el correu amb què l'empresa envia la seva invitació i la targeta del perfil des de la qual el treballador genera el seu enllaç propi. És l'únic que permet decidir no obrir el xat.

Fins al 19 de setembre de 2026 el panell sí que portava el nom de l'empresa, l'estat, l'hora d'entrada, el torn i el centre de treball, i aquesta Política ho declarava així. Es van retirar. El missatge del bot no és una dada en trànsit que es pugui xifrar: és la pantalla que llegeix el treballador, i Telegram només mostra text pla, de manera que l'única reducció possible era deixar d'enviar-los.

L'identificador del compte de Telegram, l'identificador del xat, l'àlies públic si en té, l'empresa per a la qual fitxa aquell xat, que és la de l'última invitació que hi va acceptar o, en els vincles creats abans que la fixés sempre una invitació, la que va quedar fixada aleshores, l'identificador del missatge del panell, la versió del text de consentiment que va acceptar i les dates de vinculació i d'última activitat. Res d'això no es fa servir per a cap altra cosa que fer funcionar el canal.

De cada invitació o enllaç per connectar Telegram, s'hagi arribat a fer servir o no, desa a quina persona es va enviar, quina empresa el va emetre, quin administrador el va enviar o, si el va generar el treballador mateix des del seu perfil, que no el va enviar ningú, i quan es va crear, quan caducava i quan es va fer servir o es va retirar. L'enllaç no es desa, només una empremta que no permet reconstruir-lo, i com que serveix una sola vegada i caduca als trenta minuts, allò que es conserva no permet connectar res. Tot plegat s'esborra trenta dies després que la invitació deixi de servir, perquè s'accepta o es rebutja al xat, perquè es retira o perquè caduca, el que passi abans.

Qui va enviar cada invitació, a qui i quan, i que un treballador es va generar un enllaç des del seu perfil, queden a més al registre d'auditoria de l'empresa, amb el termini dels registres d'auditoria. D'allà llegeix la fitxa del treballador quan el va convidar l'empresa per última vegada, i així ningú no torna a enviar una invitació a cegues.

El fitxatge en si es fonamenta en les mateixes bases que qualsevol altre fitxatge (apartat 4). Allò que necessita consentiment explícit és l'enviament d'aquells missatges a Telegram FZ-LLC, empresa domiciliada als Emirats Àrabs Units: article 49.1.a del RGPD, en els termes de l'apartat 7.3, que explica també quin risc concret s'assumeix.

El fitxatge per Telegram no pot detectar si el dispositiu està simulant la seva posició, perquè una finestra web no té accés a aquella dada del sistema operatiu. Queda per tant al mateix nivell de fiabilitat que el fitxatge des del navegador, que la Plataforma ja accepta, i per sota del fitxatge des de l'aplicació instal·lada en un dispositiu Android. S'indica aquí perquè l'Organització ho ha de conèixer en decidir si habilita el canal.

El treballador pot desvincular el seu compte en qualsevol moment des del seu perfil a l'aplicació o a la web, o escrivint /desvincular al bot. En fer-ho s'esborra el vincle i el bot deixa d'escriure-li. Els missatges que ja siguin al xat són seus i només ell els pot esborrar, perquè són al seu compte de Telegram i no a la Plataforma.

Cada treballador té a l'aplicació i a la web una pantalla, Directori, on troba les persones de la seva Organització agrupades per departament, per saber qui és qui i poder localitzar-les. El directori neix tancat, i mentre l'Organització no l'obri ningú no hi veu ningú. Està disponible en tots els plans.

Quan l'Organització l'obre, mostra sempre de cada persona el seu nom i cognoms, el departament on és, o que no en té cap, i si és la responsable d'aquell departament. D'entrada mostra també la seva fotografia de perfil, si en té, i l'Organització pot deixar de mostrar-la. El seu correu electrònic i el seu telèfon no es mostren d'entrada. Només es veuen si l'Organització els activa, cadascun per separat, en un departament o per a les persones sense departament (apartat 6.IV.2).

El correu i el telèfon són els de contacte que consten a la fitxa del treballador en aquella Organització, els mateixos que veuen els seus gestors. No han de ser necessàriament corporatius, i si a la fitxa hi figura un mòbil o un correu personal, és aquell el que es mostra quan l'Organització els activa. La fotografia és la del seu perfil. El directori no desa cap còpia d'aquestes dades, de manera que ensenya a cada consulta el que hi hagi a la fitxa.

Només hi apareixen les persones actives de l'Organització, i només les veu qui també ho és. Qui es dona de baixa o es desactiva deixa d'aparèixer a la consulta següent del directori, i ningú no veu persones d'una altra Organització.

Obrir o tancar el directori, a qui s'obre i què mostra ho decideix l'Organització, que és la Responsable del Tractament, per mitjà del seu Propietari o d'un Administrador, i mai d'un que tingui la fitxa de treballador desactivada. Cap altre rol de l'Organització no pot canviar aquella configuració. El suport de Geozly pot canviar-la també en nom de l'Organització, per exemple quan aquesta li demana ajuda per configurar-la, des d'una sessió de suport amb el compte del seu Propietari o d'un Administrador. Allò que canviï queda al registre d'auditoria de l'Organització, que identifica pel seu correu l'operador que ho va fer.

El directori té tres estats, i l'Organització pot canviar d'un estat a un altre quan vulgui.

• Tancat. Ningú no veu ningú. És l'estat en què neix.
• Tota l'empresa. Cada persona activa veu totes les altres persones actives de la seva Organització.
• Amb límits. L'Organització decideix quins departaments no veuen quins altres, i cada sentit es decideix per separat. Pot decidir, per exemple, que tota la plantilla vegi Recepció i que Recursos Humans, fora de la seva gent, només el vegi Direcció. En obrir-lo amb límits quan està tancat, cada departament comença veient-se només a si mateix, i les persones sense departament només entre si, i després l'Organització decideix a la pàgina de cada departament qui més veu i qui més el veu. Un departament que es creï mentre el directori està amb límits també neix veient-se només a si mateix, sense veure cap altre grup ni ser vist per cap, tampoc per les persones sense departament, fins que l'Organització decideixi a la seva pàgina qui més veu i qui més el veu. En passar a amb límits des de tota l'empresa s'apliquen només els límits que ja tingués desats, i sense cap tothom es continua veient. Hi ha tres coses que no es poden limitar. Un departament veu sempre els seus membres, les persones sense departament es veuen sempre entre si i cada treballador es veu sempre a si mateix.

Abans d'obrir el directori, la Plataforma demana confirmació a qui l'obre, li diu què es mostrarà de les persones de cada grup i li recorda que abans ha d'informar la seva plantilla de què es mostrarà i a qui. Passar d'amb límits a tota l'empresa també es confirma si hi ha límits desats, perquè deixa d'aplicar-los, i el servidor no accepta cap dels dos canvis sense la seva confirmació. Tancar-lo no demana confirmació, perquè només oculta.

Què es mostra de cada persona ho decideix el seu departament, amb tres caselles, una per a la fotografia, una altra per al correu i una altra per al telèfon, i les persones que no tenen departament tenen les seves tres caselles pròpies. D'entrada la fotografia està activada i el correu i el telèfon desactivats, i un departament que es creï després neix amb aquelles mateixes caselles. Les caselles es poden canviar també amb el directori tancat, i en obrir-lo es mostra el que diguin en aquell moment.

Amb límits, canviar algú de departament pot canviar també qui el veu, i per això només pot fer-ho el Propietari o un Administrador, encara que no s'hagi fixat cap límit. El mateix val per esborrar un departament que encara té persones, encara que estiguin desactivades, perquè les deixa sense departament. Amb el directori obert a tota l'empresa pot fer-ho també un Supervisor, llevat que el canvi faci visible alguna dada d'aquella persona que el seu grup anterior no mostrava, perquè això és publicar-la i només pot fer-ho el Propietari o un Administrador. Amb el directori tancat, canviar algú de departament no ensenya res a ningú. Reactivar algú no compta com a canvi de departament, perquè torna a les regles que ja se li aplicaven. Les persones sense departament formen el seu grup, Sense departament, i per això no es pot crear un departament amb aquell nom ni posar-l'hi a un que ja existeix.

El treballador no pot ocultar les seves dades pròpies ni sortir del directori pel seu compte. Què es mostra d'ell ho decideix l'Organització per a tot el seu departament, o per a totes les persones sense departament, i avui la Plataforma no permet fer una excepció amb una sola persona. Allò que continua a les seves mans és el de sempre, esborrar la seva fotografia de perfil o canviar el telèfon de la seva fitxa.

Amb el directori obert, cada treballador veu a la seva pantalla qui el veu, tota l'empresa o els departaments concrets, amb algú a dins, les persones dels quals el veuen, i què veuen d'ell. Quan algú el veu, la fila del treballador mateix apareix tal com la veuen els altres, de manera que pot comprovar en qualsevol moment què s'està compartint d'ell sense haver-ho de preguntar. Se li diu quin grup el veu encara que l'Organització hagi ocultat aquell grup a tots els altres, perquè saber qui veu les dades pròpies és un dret de la persona i pesa més que amagar el nom d'un grup. Amb el directori tancat, la seva pantalla li diu que el directori de la seva empresa està tancat.

Els Usuaris amb rol Supervisor, Admin o Owner disposen a més d'una pantalla d'organigrama amb l'arbre de departaments de l'Organització, de quin departament depèn cadascun, qui n'és el responsable i els seus membres actius, amb el seu nom i la seva fotografia, i també les persones actives que no tenen departament. Aquells mateixos rols organitzen l'arbre, nomenen els responsables i mouen les persones d'un departament a un altre, amb les regles de l'apartat 6.IV.2. Un responsable ha de ser membre actiu del seu departament i deixa de figurar com a tal en sortir-ne o en desactivar-se. És una pantalla de gestió, que funciona igual amb el directori obert o tancat i no passa pels seus límits, però no obre cap dada nova, perquè aquells rols ja accedeixen a la fitxa de tota la plantilla (apartat 7.1). Els treballadors no la veuen.

La base coherent amb el disseny, que l'Organització ha de confirmar com a Responsable, és l'art. 6.1.f) Interès legítim, és a dir, l'interès de l'Organització que la plantilla pugui localitzar-se i comunicar-se per organitzar la feina. No es proposa el consentiment, per l'asimetria de la relació laboral, ni l'execució del contracte, perquè que cada persona pugui veure el correu o el telèfon de les altres poques vegades és necessari per complir el contracte de cadascuna.

Basar-se en l'interès legítim obliga l'Organització a ponderar-lo davant dels drets de la seva plantilla i a documentar aquella ponderació. Geozly no la presumeix, però el disseny aporta allò que la sosté. El directori neix tancat i només l'obre l'Organització. De cada persona que hi apareix es mostren sempre el nom i cognoms, el departament i si n'és responsable, d'entrada també la fotografia, llevat que l'Organització decideixi deixar de mostrar-la, i el correu i el telèfon només si l'Organització decideix mostrar-los, cadascun per separat, a cada departament i al grup de les persones sense departament. Només els veuen persones actives de la mateixa Organització i dins de la Plataforma. L'Organització pot a més limitar qui veu qui. Cada treballador veu què es comparteix d'ell i qui ho veu, i pot esborrar la seva fotografia de perfil quan vulgui. En contra pesa que, amb el directori obert, la fotografia es mostra si ningú no decideix el contrari, que el correu i el telèfon de la fitxa poden ser personals i que un treballador pot no esperar que tota l'empresa vegi les seves dades. Per això convé que l'Organització revisi quin correu i quin telèfon figuren a les fitxes abans d'activar-los, i que només els activi on siguin de feina.

L'Organització ha d'informar la seva plantilla d'aquest tractament d'acord amb l'article 13 del RGPD abans d'obrir el directori i, com que el correu i el telèfon de la fitxa es van recollir per a una altra cosa, abans de començar a mostrar-los als companys (article 13.3). Per això el directori no s'obre sol i la Plataforma ho recorda a qui l'obre. Cada treballador pot oposar-s'hi per motius relacionats amb la seva situació particular (article 21 del RGPD), i la sol·licitud s'adreça a l'Organització per la via de l'apartat 10.2. Com que avui la Plataforma no permet ocultar una sola persona, l'Organització pot atendre-la desactivant aquella dada al seu departament, o al grup de les persones sense departament, limitant quins departaments la veuen o tancant el directori.

Aquestes dades es mostren al directori només perquè la plantilla pugui trobar-se i posar-se en contacte. Geozly no les fa servir per a cap altra finalitat, la pantalla no permet exportar-les ni descarregar-les, no hi intervé cap proveïdor nou i no es comuniquen a cap tercer. El directori no el veu l'assessoria laboral (apartat 7.1 ter) ni viatja a les notificacions automàtiques cap a sistemes de tercers de l'apartat 7.4.

El directori no és una còpia. Es calcula a cada consulta a partir de la fitxa de cada persona i de la configuració de l'Organització, i la Plataforma no desa cap llista de qui hi apareixia ni del que mostrava. Per això un canvi a la fitxa, una baixa o un canvi de configuració es nota a la consulta següent, i les dades que ensenya segueixen el termini de conservació de la fitxa del treballador (apartat 8). Consultar el directori no s'anota al registre d'auditoria. Sí que s'anota cada canvi que algú fa del que es comparteix i de qui veu qui, amb l'abans i el després.

Les fotografies dels companys que mostra el directori no es desen al dispositiu. L'aplicació mòbil les manté només en memòria mentre es fa servir i les descarta en tancar la sessió, i la web les rep amb la instrucció que el navegador no les emmagatzemi. Així, que l'Organització deixi de compartir-les o tanqui el directori, que algú marxi de l'empresa o que es tanqui la sessió en un telèfon compartit no deixa aquelles fotos desades al telèfon ni a l'ordinador.

El panell té una secció, Comunicació, on qualsevol usuari del panell d'una Organització, sigui quin sigui el seu rol, pot demanar a Geozly una funcionalitat nova, sumar-se a una que ja va demanar una altra persona, retirar-se'n i informar d'un error. Participar és voluntari. Els treballadors no la tenen ni a l'aplicació ni a la seva àrea web.

Aquest tractament el decideix Geozly i no l'Organització, de manera que Geozly n'és el Responsable, també quan qui escriu és un empleat. La finalitat és recollir i atendre aquelles peticions i aquells informes, decidir què es construeix i corregir les fallades, i la base és l'interès legítim de Geozly (art. 6.1.f RGPD), amb la ponderació de l'apartat 4.

De cada petició i de cada informe, els usuaris del panell de totes les Organitzacions veuen:

• el títol i la descripció que va escriure qui la va crear;
• el seu estat i, si Geozly la rebutja, el motiu del rebuig;
• la data en què es va crear i la de l'últim canvi d'estat;
• en les peticions, el nombre de persones que la demanen;
• si l'ha demanada o n'ha informat la persona mateixa que l'està mirant.

Ningú més que Geozly veu qui va escriure cada petició o cada informe, qui es va sumar a una petició ni des de quina Organització, i demanar una funcionalitat, sumar-s'hi, retirar-se'n o informar d'un error no queda anotat al registre d'auditoria de l'Organització, perquè aquell registre el llegeixen els seus administradors. Geozly sí que veu qui va escriure cadascuna, qui s'hi va sumar o se'n va retirar i quan, i des de quina Organització.

El text, en canvi, és públic per a totes les Organitzacions. Abans d'enviar-lo, el formulari avisa que el veuran totes les empreses que fan servir Geozly, sense el nom de qui l'escriu ni el de la seva empresa, i demana no incloure-hi dades d'altres persones.

Geozly pot editar o esborrar el títol i la descripció d'una petició o d'un informe per treure dades que no hi havien de ser. L'historial d'allò que Geozly fa sobre cadascuna desa que es va editar, qui ho va fer i quan, però mai el títol ni la descripció anteriors, perquè conservar-los seria conservar justament allò que es volia treure. Allò que l'historial sí que conserva són els motius de rebuig, un per cada canvi, perquè els escriu Geozly i són públics.

Un informe d'error continua publicat encara que s'esborri el compte de qui el va escriure, ja sense autor. Una petició de funcionalitat continua publicada mentre algú la demani. Quan no queda ningú, perquè les persones que la demanaven se'n van retirar, es van esborrar els seus comptes o Geozly les va treure a petició seva, deixa de veure's al panell, però no s'esborra: Geozly conserva el seu text, ja sense autor, fins que decideix esborrar-la. Els terminis de conservació són a l'apartat 8. Un subencarregat no rep res diferent del que rep per la resta de la Plataforma (allotjament i còpies de seguretat).

Com que Geozly és el Responsable d'aquest tractament, els drets sobre aquestes dades s'exerceixen directament davant de Geozly, escrivint a contact@geozly.com, i no davant de l'Organització (apartat 10.2). Qui vulgui deixar de figurar en una petició pot retirar-se'n des de la secció Comunicació del panell, que no és a la part del treballador, entrant en una empresa disponible, mentre la petició no estigui implementada, duplicada ni rebutjada; si ho està, si no li queda cap empresa disponible o si vol que s'esborri del tot que la va demanar, ho demana per aquella via i Geozly esborra el seu vincle amb la petició des de la seva consola, deixant constància a l'historial que va treure una persona, sense dir qui. Un informe d'error no es pot retirar des del panell, i la seva supressió, o la d'una dada dins de qualsevol text, es demana igual i l'executa Geozly amb la moderació de l'apartat anterior.

Si la teva empresa ha activat el canal intern d'informació que exigeix la Llei 2/2023, Geozly és qui posa l'eina, i la teva empresa és qui el gestiona: qui llegeix les comunicacions, qui decideix què fer-ne i qui respon dels terminis. Per obrir-lo, la teva empresa ha hagut de declarar que té aprovat el seu procediment i que ha designat el seu Responsable del Sistema i ho ha comunicat a l'autoritat. Aquelles dues coses són seves; Geozly no les pot fer per ella ni comprovar-les.

Pots fer servir el canal encara que ja no hi treballis, encara que estiguis en un procés de selecció, encara que treballis per a un proveïdor o encara que col·laboris com a voluntari. No cal tenir compte a Geozly, i no es te'n crea cap.

La llei obliga a admetre comunicacions anònimes i a respondre-les igual. Si esculls el mode anònim, no desem el teu nom ni les teves dades de contacte, i l'única manera de tornar al teu expedient és el codi que et donem en enviar-lo. Allò que sí que es desa és el que escrius i la data i hora en què ho envies, perquè la llei ens obliga a registrar-les.

I es desa el dia en què tornes per primera vegada després que l'empresa t'hagi respost, que no ho obliga cap llei. És el que obre el termini a partir del qual l'empresa pot suprimir el contingut de l'expedient, una cosa que decideix qui l'instrueix i que no depèn que tu ho demanis; aquell termini s'obre també al cap de trenta dies del tancament de l'expedient si no tornes. En suprimir-lo s'esborra també la resposta que et va donar, que és l'única còpia que en tens. Es desa un dia i no una hora perquè ningú no pugui deduir del producte el moment en què estaves llegint: l'hora de les teves visites no queda al teu expedient, ni a la teva credencial, ni al costat de la teva comunicació. La desen dos llocs, i tots dos es diuen aquí: el límit de ritme del paràgraf següent, sota un pseudònim del dia, i el registre de qui lliura aquesta pàgina, que apunta cada visita com ho faria qualsevol web (apartat 6.VI.5). La marca del dia desapareix quan es suprimeix el contingut del teu expedient, i després ja no es torna a escriure.

Aquell codi no es pot recuperar: no el desem en clar i ningú, tampoc nosaltres, no pot regenerar-lo. I una cosa més que es desa una estona i convé que sàpigues: perquè ningú no pugui anar provant codis fins a encertar, desem l'hora d'aquells intents i, en lloc de l'adreça d'internet des de la qual es fan, un valor que en prové. Això dura una hora des del teu últim intent, de manera que l'hora d'un intent concret pot quedar-se fins a dues hores si en fas diversos de seguits. D'aquell valor no es torna a l'adreça sense una clau que canvia cada dia, i aquella clau la tenim nosaltres, de manera que durant aquella estona podríem arribar a l'adreça. No es desa en cap taula ni al costat de la teva comunicació i s'esborra sol, però mentre dura porta l'hora de l'intent i la teva comunicació també té la seva, de manera que es poden creuar.

Només les persones que la teva empresa hagi designat per escrit per instruir l'expedient. No n'hi ha prou amb ser administrador ni propietari del compte: la llei ho encarrega a una persona concreta, i a Geozly només el titular del compte pot designar-la.

El producte no dona a Geozly cap manera de llegir una comunicació: quan la teva empresa ens demana ajuda i entrem al seu compte, aquest canal ens rebutja sempre, també si qui ens ho demana és el propietari. Allò que no et podem prometre és que sigui impossible, perquè la teva comunicació es desa als nostres servidors i a les seves còpies de seguretat: hi accedeix un nombre mínim de persones, amb accés restringit i subjecte al deure de secret. Tampoc no et diem que aquell accés quedi anotat enlloc, perquè no ho està, i preferim dir-t'ho que no pas que soni com una mesura que no tenim.

Allò que escrius, la categoria, la data i hora, i els fitxers que adjuntis. Si al cap de tres mesos de rebre-la la teva empresa no ha iniciat actuacions d'investigació, esborrem el contingut i conservem només el rastre mínim que el canal la va rebre i la va atendre, que és allò que la llei mateixa permet conservar per deixar constància que el sistema va funcionar.

I això no depèn que la teva empresa escrigui una paraula en un formulari: per donar la teva comunicació per resolta l'ha d'haver admès a tràmit abans, de manera que allò que es conserva és el que la teva empresa va admetre a tràmit. Allò que el producte sap és això, l'admissió, i no si després es va investigar. Si l'han remès al Ministeri Fiscal, es conserva encara que no l'admetessin, perquè aquella remissió és un acte del qual la teva empresa pot haver de respondre.

I una cosa que val per a tot el que s'esborra a Geozly i que aquí convé repetir: allò que s'ha suprimit desapareix de la Plataforma, però pot continuar dins de les còpies de seguretat fins que caduquin, com a màxim set mesos després. Les còpies externes no es poden esborrar abans del seu termini, ni tan sols per nosaltres, que és justament el que les protegeix d'un esborrament malintencionat. Es fan servir només per recuperar el servei després d'un desastre, mai per consultar res, i l'apartat 8 ho diu de tot el producte.

El llibre registre no desa dades personals més de deu anys, i a partir d'aleshores també l'expedient queda reduït a aquell rastre mínim i del llibre desapareixen tant el nom de qui va fer cada cosa com el detall que va escriure. Vençut aquell termini el teu codi deixa d'obrir res, perquè també s'esborra: fins aleshores continua funcionant encara que el contingut s'hagi suprimit, perquè puguis llegir com va quedar la teva comunicació. Si la teva empresa tanca el seu compte, tot això es suprimeix al cap de trenta dies, i, abans de tancar-lo, l'empresa s'ha d'emportar els expedients o renunciar-hi per escrit.

Dels fitxers que adjuntis esborrem les metadades abans de desar-los -una foto feta amb el mòbil porta a dins on es va fer-, i si envies en mode anònim no desem el nom del fitxer. La pàgina del canal no carrega analítica, ni galetes de mesurament, ni xat, ni res que ens avisi d'errors, i l'adreça que obres no diu a quina empresa informes, perquè el codi de la teva empresa va al tros de l'enllaç que el navegador no envia a cap servidor. Dels registres del nostre servidor, els que apunten cada petició amb l'adreça de qui la fa, en queda fora el canal sencer. Si alguna cosa es trenca per la nostra banda podem assabentar-nos de l'error -i en aquell apunt pot aparèixer el número d'un expedient o d'una empresa, mai allò que vas escriure-, però el que ens arriba no porta l'adreça des de la qual vas entrar, ni el teu navegador, ni res que digui qui ets.

Allò que sí que queda, i preferim dir-t'ho: la pàgina la serveix el proveïdor que allotja la nostra web, i al seu registre queda una línia dient que algú va obrir la pàgina del canal, amb l'adreça d'internet des de la qual vas entrar, el navegador i l'hora. Aquella línia no porta el codi de la teva empresa ni una paraula del que escriguis.

Allò sobre què no podem fer res són dues coses: la data i hora de la teva comunicació, que la llei obliga a registrar i que en una empresa petita redueix el nombre de persones que van poder enviar-la; i l'equip o la xarxa des dels quals escrius, perquè si fas servir l'ordinador o la wifi de la teva empresa, qui els administra pot veure per on navegues.

La llei et permet informar directament l'Autoritat Independent de Protecció de l'Informant, o l'autoritat autonòmica que correspongui, en lloc del canal de la teva empresa o després d'aquest, i fer-ho no et treu cap protecció. Si la persona de qui vols informar és qui dirigeix la teva empresa, aquella és la via que tens.

L'Organització pot llançar un qüestionari a la seva plantilla i llegir els resultats en agregat, i allò que respon cada treballador es desa sense quedar lligat a qui ho escriu, amb els límits de l'apartat 6.VII.2. De cada persona a qui es llança, la Plataforma desa que se li va enviar, si ha respost, mai quan, i l'hora de l'avís de llançament i la de l'últim recordatori, que s'esborren tan bon punt respon. La resposta es desa a banda, sense el nom de ningú, sense cap data ni hora i sense cap dada que la uneixi amb la persona que la va escriure, i respondre no deixa cap apunt al registre d'auditoria (apartat 9.2). L'avís de llançament i els recordatoris surten per correu i, a qui té l'aplicació, també per notificació, llevat que hagi desactivat aquells avisos, sense el nom de l'enquesta i sense enllaços, i el de llançament queda a l'historial de notificacions del treballador sense desar quan el llegeix.

Els usuaris del panell amb rol Supervisor, Admin o Owner veuen el qüestionari, quantes persones han respost i qui encara no ha respost, que és el que necessiten per recordar-los-ho. Els resultats es veuen només amb l'enquesta tancada i si han respost almenys cinc persones sense rol de supervisió ni d'administració a l'Organització, i cada pregunta porta a més aquell mateix mínim. Per sota no es mostra cap resultat, i els comentaris lliures s'ensenyen desordenats. El treballador veu només les seves enquestes i si les ha respost. Una sessió de suport de Geozly veu el mateix que la persona que suplanta i no pot respondre per ningú, i ni l'assessoria laboral ni l'inspector no veuen les enquestes. Les pàgines les lliura Vercel, que rep la càrrega del formulari d'una enquesta, amb el seu identificador a l'adreça, i mai la resposta, que va directa al servidor de la Plataforma (apartat 7.2).

Un comentari lliure que anomena un torn o un centre concret pot identificar qui l'escriu, i per això l'avís és damunt del camp on s'escriu. Com que l'Organització veu qui encara no ha respost, sap qui ha respost, de manera que si totes les persones que van respondre donen la mateixa resposta a una pregunta, el resultat diu el que va respondre cadascuna, i el mateix passa quan l'única resposta diferent és una que qui llegeix ja coneix, com la seva. Cap pantalla ni exportació no anomena qui va respondre cada cosa, però en aquell cas ho diu el resultat mateix, i els mínims no ho impedeixen. Si dues enquestes tancades només es diferencien en una persona que va respondre, perquè entre l'una i l'altra algú va entrar, va marxar o es va desactivar, o perquè va respondre a una i no a l'altra, la diferència entre els seus resultats s'assembla al que va contestar aquella persona, i els mínims tampoc no ho impedeixen. I qui té la base de dades mateixa o una còpia d'aquesta, en producció només el personal de Geozly que opera el servidor, podria aparellar respostes i persones sense cap columna, per l'ordre en què s'escriuen les files. L'Organització no pot fer-ho així, perquè cap pantalla ni cap exportació no ensenya aquell ordre, i Geozly no fa aquella lectura.

Una resposta enviada no es pot recuperar, rectificar ni suprimir, tampoc a petició de qui la va escriure, perquè ni l'Organització ni la Plataforma no desen quina és la seva, i Geozly no la busca amb la lectura de la base de dades de l'apartat anterior. S'adverteix abans d'enviar-la, i és el preu de l'anonimat. Allò que sí que és dada personal del treballador, i pot consultar-ho, rectificar-ho o demanar que es suprimeixi com la resta de les seves dades (apartat 10), és que se li va enviar l'enquesta i si l'ha respost. Les respostes es conserven mentre l'Organització conservi l'enquesta i s'esborren amb aquesta, o amb les dades de l'Organització quan tanca el seu compte.

Les dades personals dels empleats són accessibles, dins de la Plataforma, pels perfils d'usuari següents de l'Organització, d'acord amb un sistema de control d'accés basat en rols:

• Propietari (owner): tot el de l'Administrador i, a més, allò que la Plataforma reserva al titular del compte: la contractació del pla, la facturació i el programa de recomanació.
• Administrador (admin): accés complet a totes les dades d'empleats, registres de jornada, informes, registres d'auditoria i configuració, amb una excepció: les comunicacions del canal intern d'informació no les llegeix pel fet de ser Administrador, ni tampoc el Propietari, perquè allà l'accés és la designació per escrit que exigeix la Llei 2/2023 i no el rang (apartat 6.VI.3).
• Supervisor (supervisor): accés a les dades dels empleats de l'Organització, aprovació de permisos i gestió de torns. Aquell accés abasta tota la plantilla de l'Organització: la Plataforma no restringeix un Supervisor a un grup, a un centre de treball ni a un subconjunt de treballadors. No abasta, en canvi, la signatura mensual del registre dels altres treballadors, ni les seves respostes, ni les seves observacions, ni l'avís que algú no hi està conforme, que només veuen el Propietari i l'Administrador. Sí que abasta la signatura dels documents que pot llegir, amb el seu certificat i el seu paquet d'evidències (apartat 3.4).
• Observador (viewer): és el rol més baix i el que s'assigna per defecte a un membre nou. Consulta de només lectura de les pantalles de gestió que l'Organització li habiliti; no pot crear, modificar ni aprovar cap dada de l'Organització (sí que pot demanar funcionalitats i informar d'errors a Geozly, apartat 6.V), i no accedeix a les dades que la Plataforma reserva a Supervisor o superior, entre les quals els permisos, les absències i els justificants dels altres treballadors.
• Treballadors: qui és només treballador no té cap dels quatre rols anteriors; el seu accés es limita a les seves dades personals pròpies, registres de jornada i historial, amb una excepció. Al directori de l'empresa veu el nom de les persones de la seva Organització que aquesta li deixa veure, el seu departament i la fotografia, el correu i el telèfon que l'Organització en mostri (apartat 6.IV).
• Assessoria laboral autoritzada: no és un rol de l'Organització ni ocupa cap dels anteriors. Entra per un portal propi, només si l'Organització l'autoritza, i només veu allò que descriu l'apartat 7.1 ter.

Els documents que l'Organització publica a la seva plantilla -nòmines i equivalents- s'emmagatzemen a la infraestructura de Geozly i es serveixen per les mateixes dues portes que el justificant d'una absència (apartat 6.I): l'ordinària és una petició autenticada, i la segona és un enllaç signat, d'un sol fitxer i vàlid cinc minuts, que la Plataforma emet a petició de qui ja està autenticat perquè el visor de fitxers del telèfon -que no pot presentar credencials- pugui obrir-lo. Aquell enllaç es torna a autoritzar en obrir-se respecte de l'estat del moment, però no comprova qui l'està obrint, de manera que dins d'aquells cinc minuts funciona per a qui el tingui; per això es lliura únicament al visor del dispositiu mateix. Fora d'aquella finestra no existeix cap adreça que permeti descarregar-los sense autenticar-se, i ni el correu d'avís ni cap notificació no inclouen el fitxer ni un enllaç a aquest.

Com a Encarregat del Tractament, Geozly disposa de l'accés tècnic a aquella infraestructura que és inherent a operar-la, i el limita al personal estrictament necessari, subjecte al deure de confidencialitat de l'article 28.3.b del RGPD. Aquell accés es fa servir per mantenir i restaurar el Servei, mai per consultar el contingut dels documents d'una Organització.

Quan aquell personal accedeix a un document a través de la Plataforma, fins i tot en una sessió de suport iniciada mitjançant suplantació, la lectura queda registrada a l'historial d'accessos del document mateix i identificada com a accés de suport de Geozly, no com a accés de l'Organització. Aquell historial és consultable i exportable per l'Organització, en compliment de l'article 28.3.h del RGPD. Distingeix cinc canals -el treballador, l'empresa, l'assessoria laboral, el sistema i el suport de Geozly-, i el canal el decideix la porta per la qual es va entrar, no la persona, perquè una mateixa persona pot ser administradora de l'empresa i assessora.

Geozly no llegeix el contingut dels fitxers que publica l'Organització. La proposta sobre a quin treballador correspon cada nòmina es calcula a partir del nom del fitxer. L'excepció són els lots de nòmines que puja una assessoria autoritzada, el text dels quals es llegeix al servidor mateix per localitzar el NIF de cada treballador i no es desa (apartat 7.1 ter). En cap cas no s'envia el document a un tercer ni a un proveïdor d'intel·ligència artificial.

L'Organització pot autoritzar la seva assessoria laboral a entrar a la Plataforma per un portal propi. L'assessoria és encarregada del tractament de l'Organització, pel contracte de l'article 28 del RGPD que tenen entre elles, i no és subencarregada de Geozly, ni Geozly d'aquesta: per això no figura a la taula de l'apartat 7.2, i el seu accés no és una comunicació de dades (article 33.1 de la LOPDGDD).

Qui decideix. Sempre l'Organització, per mitjà del seu Propietari o d'un Administrador, que no pot ser alhora membre d'aquella assessoria. Si autoritza un Administrador, s'avisa per correu el Propietari, llevat que hagi desactivat aquell avís. Ampliar després allò que pot fer l'assessoria exigeix tornar a acceptar el text amb els permisos nous, i amb les mateixes regles; retirar-li permisos, no. Queda constància de qui va autoritzar, quan, amb quines capacitats i de la versió i l'empremta del text que va acceptar cada part. L'Organització i l'assessoria poden retirar l'accés en qualsevol moment, i té efecte a l'acte.

Què veu l'assessoria. El nom, els cognoms, el NIF, el codi de nòmina, el tipus de contracte i les dates d'alta i de baixa de cada treballador, la data en què el van desactivar a la Plataforma i si té un compte on rebre la nòmina; la seva ubicació de cara a festivitats si l'Organització li n'ha assignat una, que és amb la qual es compten els seus festius, amb el seu nom, el seu municipi i la seva comunitat, o que no en té cap, i només al portal, perquè el paquet mensual no porta ubicacions, llevat de l'avís del seu manifest que l'Organització té centres de treball o treballadors a l'altra zona horària, a les Canàries si l'Organització té l'hora peninsular, o fora de les Canàries si té la canària, que no diu quants ni quins, i un d'aquells centres pot ser el domicili de qui teletreballa, si l'Organització l'ha donat d'alta com a ubicació; les seves jornades, amb l'entrada, la sortida, les pauses, el total, si es van verificar dins del perímetre, si van ser remotes, si es van fitxar sense connexió, si es van corregir, si les va crear l'Organització en lloc de fitxar-les el treballador i, des que l'Organització accepta el text de l'autorització que ho diu, si creuen un canvi d'hora (la marca "Canvi d'hora"); les correccions de jornada, amb qui les va fer, quan, per què i quines hores van canviar, amb les d'abans i les de després; les absències, amb el seu tipus, la seva naturalesa, les seves dates, les hores concedides i el seu estat, i per tant l'existència i les dates d'una baixa mèdica; les quantitats de la prenòmina, incloses les hores nocturnes, en festiu i en diumenge, els quilòmetres i els imports de les despeses aprovades; l'estat de la cadena d'integritat del registre de jornada, només com a conclusió, que diu si té fallades detectades sense tancar, quantes i des de quan, i mai la cadena mateixa, llevat del seu últim hash i el seu nombre d'esdeveniments, que porta el registre segellat si l'Organització li permet generar-lo; les alertes de la seva cartera, que anomenen cada treballador afectat i diuen que va fitxar durant una baixa o unes vacances aprovades, que va descansar menys de 12 hores entre dos dies de treball, que va passar 14 dies sense 36 hores seguides de descans, que va fitxar sense codi de nòmina, que estant actiu no té ni jornades ni absències en un període ja acabat, que en acabar el període de meritació té jornades sense tancar o absències sense aprovar, o que porta 70 hores extres pagades o més en l'any natural, comptades també les dels mesos anteriors a l'autorització de l'Organització; les novetats del mes, amb el seu tipus, la seva data, el seu import i la seva nota, que viatgen també al paquet, i al portal el nom de qui en va registrar cadascuna; les consultes que es fan entre l'assessoria i l'Organització, que poden referir-se a un treballador, a un dia o a una jornada, amb tots els seus missatges, que són text lliure, el nom de qui escriu cada missatge i el de qui obre i tanca cada consulta; i, de les nòmines que va pujar ella, quan es va publicar cadascuna, si cada treballador l'ha rebuda, oberta, descarregada o n'ha signat l'acusament, quina signatura o acusament va demanar l'Organització, de quin tipus i amb quin nivell, i si es va signar, mai el seu contingut un cop lliurada ni el registre d'evidències de la signatura. Les jornades, les correccions i les absències les pot consultar de qualsevol data, també d'abans que l'Organització l'autoritzés. La prenòmina la genera del mes de nòmina que s'està preparant o de l'anterior, i les alertes es mesuren sobre el mes que s'està preparant, encara que aquells mesos comencin abans que l'Organització l'autoritzés.

Quan aquella ubicació és un domicili. Si l'Organització ha donat d'alta com a ubicació el domicili de qui teletreballa i és la seva ubicació de cara a festivitats, l'assessoria veu el nom, el municipi i la comunitat d'aquell domicili. El nom l'escriu l'Organització i pot portar el de la persona o el del seu carrer.

Allò que se'n pot deduir. A una part de la plantilla la Plataforma li va posar la ubicació de cara a festivitats una sola vegada, en crear aquell camp, amb la ubicació de més de la meitat de les seves jornades dels 90 dies anteriors, de manera que d'aquelles persones, mentre ningú no la canviï, diu on va ser la majoria de les seves jornades d'aleshores, i a qui teletreballava gairebé sempre la hi va poder posar al seu domicili. Les hores en festiu d'una jornada amb ubicació al registre o al torn es compten amb els festius d'aquella ubicació, i per això apunten a on es va treballar aquell dia. Per exemple, vuit hores en festiu en una festa local de Getafe, d'algú que té Madrid de cara a festivitats, apunten que aquella jornada va ser a Getafe. I si la jornada no té ubicació i la persona tampoc no té ubicació de cara a festivitats, es compten amb els festius de la comunitat i el municipi de la seva fitxa, que són els del seu domicili, de manera que deixen deduir la seva comunitat i de vegades el seu municipi. Vuit hores en festiu un 21 de setembre en una Organització d'Albacete apunten a un domicili a Logronyo o a Oviedo, on aquell dia és Sant Mateu. L'Organització ho evita a partir d'aleshores donant a aquella persona una ubicació de cara a festivitats, que passa a decidir els seus festius i que l'assessoria veu amb el seu nom, el seu municipi i la seva comunitat. Si aquella ubicació és el seu domicili donat d'alta com a ubicació, l'assessoria deixa de deduir-lo i passa a veure'l (paràgraf anterior). Allò que ja va sortir no canvia, perquè els paquets ja generats i allò que l'assessoria va descarregar conserven la xifra anterior, i el canvi, com qualsevol canvi del municipi de la fitxa, arriba a l'assessoria com a regularització dels mesos que ja va importar, amb la xifra anterior i la nova, i com a canvi posterior al paquet en els que no va importar.

Què no veu mai, i cap Organització no li ho pot obrir: les coordenades de cap fitxatge ni la distància al centre, el mapa en directe, el recorregut de la jornada amb els seus punts i la seva distància estimada, les fotografies, els justificants mèdics i de despeses, el correu i el telèfon dels treballadors, l'adreça de referència des de la qual es mesura la seva distància als centres de treball, l'adreça i les altres dades del domicili de la seva fitxa (la comunitat, la província, el municipi i el codi postal), les alertes del panell de l'Organització, incloses les antifrau, i les marques antifrau, les notes lliures de la jornada, els avisos que els treballadors envien a l'Organització (apartat 6.8), les enquestes, els PIN de quiosc i el cost per hora o mensual. Que no vegi el domicili de la fitxa no impedeix el que diuen els paràgrafs anteriors, que vegi el domicili que l'Organització hagi donat d'alta com a ubicació de cara a festivitats d'aquella persona ni que de les hores en festiu dedueixi la comunitat i de vegades el municipi de qui no té ubicació de cara a festivitats.

El registre segellat. El registre de jornada segellat que l'assessoria pot generar si el Propietari de l'Organització li ho permet tampoc no porta el correu de ningú ni les notes de la jornada. De cada jornada porta el nom i el NIF del treballador, la data, l'entrada, la sortida, les pauses, el total i la columna Origen, que diu si es va fitxar, amb connexió o sense, si la va crear l'Organització, si es va importar i si es va corregir. En CSV porta a més si es van verificar l'entrada i la sortida i la columna Auto-checkout, que diu si la jornada la va tancar la Plataforma sola, i en PDF això ho diu l'origen. Al peu porta l'últim hash de la cadena d'integritat i el seu nombre d'esdeveniments.

Què en fa. Cada mes rep un paquet amb les variables de la nòmina. El correu que l'avisa no porta el fitxer, ni cap enllaç, ni el nom de cap client ni de cap treballador: es descarrega dins del portal, que exigeix un segon factor d'autenticació. També pot pujar les nòmines que calcula perquè la Plataforma les lliuri a cada treballador. Per repartir-les, la Plataforma llegeix el text del PDF al seu servidor mateix, sense intel·ligència artificial i sense enviar-lo a ningú, només per trobar el NIF de cada treballador, i no desa aquell text. Per defecte, una persona de l'assessoria obre i revisa cada nòmina abans de poder confirmar el lot. L'assessoria pot escollir l'assignació automàtica, en la qual només revisa les que la Plataforma no dona per segures, com una pàgina amb el NIF d'una altra persona o sense el nom de qui la rep. En aquell mode existeix el risc que una nòmina arribi a una altra persona, i l'assessoria l'assumeix davant de l'Organització després d'acceptar un advertiment; l'Organització veu a cada lot com es van assignar les seves nòmines. La nòmina arriba al treballador en nom de la seva empresa, quan l'Organització l'allibera o, si ho va acceptar, a les 8 del matí de la data de pagament, mai abans de les 8 del matí de l'endemà de confirmar-la, perquè sempre hi hagi una nit per retenir-la. Si una nòmina arriba a qui no tocava, es retira a l'acte i, si la retira l'assessoria, l'Organització rep un avís immediat.

Què queda registrat. Tot el que fa l'assessoria amb les dades d'una Organització queda al registre d'auditoria d'aquella Organització amb el nom de l'assessoria, incloses les seves consultes, una vegada al dia per persona i per cosa consultada, i cada descàrrega. L'Organització ho veu, encara que sense l'adreça IP ni el navegador de l'assessor, que cap de les dues parts no ensenya a l'altra, i veu també la llista de tot el que l'assessoria va descarregar, amb la seva data i la seva empremta. Allò que l'assessoria descarrega surt de la Plataforma i es regeix pel seu contracte amb l'Organització: Geozly no ho pot esborrar.

Per al treballador. Informar-lo que la seva assessoria laboral tracta les seves dades correspon a l'Organització, que és la Responsable (articles 13 i 14 del RGPD), i el text que accepta en autoritzar-la li ho recorda. Els drets s'exerceixen davant de l'Organització, com la resta (apartat 10).

Per a la prestació del Servei, el Titular recorre als proveïdors següents, que accedeixen a dades personals. La majoria ho fa com a subencarregats del tractament (article 28 RGPD), és a dir, tractant les dades únicament per compte del Titular i seguint les seves instruccions. No tots: a Google Maps Platform i, pel que fa a les dades de pagament, a Stripe, el proveïdor decideix pel seu compte les finalitats i els mitjans d'allò que fa amb les dades que rep i actua com a responsable independent, de manera que aquella relació no es regeix per un contracte d'encàrrec. La columna Servei ho indica a la fila de cadascun.

En la mesura que es facin servir serveis de proveïdors ubicats fora de l'Espai Econòmic Europeu (EEE), el Titular garantirà que aquelles transferències es fan amb les garanties adequades exigides pel RGPD, incloent-hi:

• Decisions d'adequació de la Comissió Europea.
• Clàusules contractuals tipus aprovades per la Comissió Europea.
• Marc de Privadesa de Dades UE-EE.UU. (EU-US Data Privacy Framework), quan el proveïdor estigui certificat.

Excepció declarada: el canal opcional de fitxatge per Telegram. Telegram FZ-LLC és als Emirats Àrabs Units, un país sobre el qual la Comissió Europea no ha adoptat cap decisió d'adequació, i la seva interfície per a bots no permet signar ni clàusules contractuals tipus ni un contracte d'encàrrec. Per això aquesta transferència no es basa en cap de les tres garanties anteriors, sinó en l'article 49.1.a del RGPD: el consentiment explícit del treballador mateix, que abans de vincular el seu compte llegeix què s'enviarà i quin risc assumeix. És voluntària per definició: ningú no queda vinculat per decisió de la seva empresa, qui no la vol fitxa igual des de l'app, des de la web o des del quiosc, i qui l'ha acceptada pot retirar-la en qualsevol moment des del seu perfil o escrivint /desvincular al bot.

Convé saber què significa a la pràctica que no hi hagi garanties adequades: els xats amb bots de Telegram no van xifrats d'extrem a extrem, els missatges queden a l'historial del xat del treballador, i aquell historial és al compte personal d'aquella persona, no a la Plataforma, de manera que ni la seva empresa ni el Titular no el poden esborrar. Només pot fer-ho qui és amo del compte.

Per això el canal envia el mínim que li permet funcionar. Una excepció de l'article 49 es sosté o no segons allò que es transfereixi, i des del 19 de setembre de 2026 allò que Telegram pot veure és que aquell compte de Telegram ha parlat amb el bot -des del primer missatge i encara que al final no es connecti res-; l'hora a la qual es prem cada botó i, com que els missatges es queden al xat, la de cada entrada, sortida i pausa feta per aquesta via; si hi ha una jornada oberta, si hi ha una pausa en curs i si es pot fitxar ara des d'aquell xat, perquè d'això depenen els botons que s'ofereixen; si s'obre en aquell xat l'enllaç d'una altra empresa, que el treballador treballa o ha treballat per a més d'una; en obrir una invitació, si l'empresa que l'envia té activat el fitxatge per Telegram; que el treballador ha vinculat un altre compte de Telegram, si ho fa; i que el seu compte de Geozly està bloquejat, si ho està. Els tres últims són avisos que el bot dona perquè serveixen al treballador mateix. No pot veure el seu nom ni el seu document d'identitat, per a quina empresa treballa, el seu torn ni el seu centre de treball, la seva ubicació, ni l'historial de fitxatges desat a Geozly o les hores que l'Organització li calcula. Abans sortien també el nom de l'empresa, el torn, el centre de treball i l'hora d'entrada, diverses vegades al dia. Les dues llistes s'expliquen a l'apartat 6.III.2. El missatge no es xifra perquè no és una dada en trànsit sinó la pantalla mateixa que llegeix el treballador: Telegram només mostra text pla, i l'única reducció possible era deixar d'enviar.

Segon cas declarat: el transport de l'avís push fins a un iPhone. Aquí el destinatari és una societat irlandesa, Apple Distribution International Ltd., de manera que la comunicació en si no surt de l'Espai Econòmic Europeu i no és una transferència internacional. Allò que passa és una altra cosa i convé dir-la: l'acord de desenvolupador d'Apple no acota per on viatja després la notificació -es reserva el dret de transmetre-la a través de diverses xarxes públiques- i no sotmet aquell servei a un contracte d'encàrrec, a diferència del que Apple sí que ofereix per a iCloud, que aquesta Plataforma no fa servir. És a dir, no es pot afirmar que el trajecte es quedi dins de l'Espai Econòmic Europeu, ni negar-ho.

La resposta a aquella indeterminació no és una clàusula, perquè Apple no l'ofereix, sinó allò que s'envia: l'avís no porta el nom del centre de treball i mai no anomena el tipus de permís, de manera que no transporta ni la ubicació de ningú ni cap dada de salut, i el seu contingut és el mateix text que ja apareix a la pantalla de bloqueig del telèfon. L'acord mateix d'Apple adverteix que no s'ha d'incloure informació personal sensible en una notificació, i aquesta és la mesura que fa cert que no s'hi inclou. Qui no vulgui rebre-les pot desactivar-les des del seu perfil, i aleshores per aquesta via no surt res.

El Titular no cedirà dades personals a tercers llevat dels supòsits següents:

• Quan existeixi una obligació legal de comunicació (requeriment judicial, administratiu o fiscal).
• Quan sigui necessari per a la defensa dels drets i interessos legítims del Titular.
• Amb el consentiment previ i exprés de l'interessat o de l'Organització, segons correspongui.

A més, l'Organització pot configurar pel seu compte notificacions automàtiques cap a un sistema propi o d'un tercer (webhooks): quan ho fa, Geozly envia un avís a l'adreça que l'Organització indiqui cada vegada que es produeix l'esdeveniment subscrit. La destinació l'escull l'Organització, que en respon com a Responsable del Tractament. L'avís està minimitzat per disseny: conté identificadors interns, marques temporals i valors numèrics o d'estat, i no inclou nom, correu electrònic, document d'identitat, coordenades ni text lliure.

• Xifratge de contrasenyes: les contrasenyes s'emmagatzemen utilitzant algoritmes de hash segurs, mai en text pla. L'única credencial que es conserva llegible és el PIN de fitxatge en tauleta de l'apartat 3.1, i es conserva així perquè la Plataforma l'assigna i algú de l'Organització ha de poder llegir-lo per lliurar-lo al treballador. No l'escull l'Usuari, de manera que no és la contrasenya que pugui estar fent servir en un altre servei, i l'únic que autoritza és fitxar en una tauleta compartida.
• Autenticació basada en tokens: sistema d'autenticació JWT (JSON Web Token) amb tokens d'accés de curta durada i tokens de refresc, amb renovació automàtica.
• Doble factor per a les assessories: el portal pel qual una assessoria laboral entra a les dades dels seus clients exigeix, a més de la contrasenya, un codi d'una aplicació d'autenticació, amb codis de recuperació d'un sol ús. El secret es desa xifrat amb una clau pròpia. Cada sessió del portal caduca al cap de 60 minuts sense ús i al cap de 10 hores en tot cas, la persona rep un avís de cada nova sessió, i res del portal no funciona en una sessió de suport de Geozly.
• Comunicacions xifrades: totes les comunicacions entre el client i el servidor es fan a través de protocols segurs (HTTPS/TLS).
• Fitxers xifrats al servidor: des del 23 de setembre de 2026, tot fitxer pujat a la Plataforma (documents i nòmines, justificants d'absència i de despesa, fotografies i logotips) es desa xifrat amb AES-256-GCM, i els anteriors a aquella data es van xifrar el mateix dia. La clau és a la configuració del servidor, fora de la base de dades i de totes les còpies de seguretat, de manera que una còpia dels fitxers que sortís del servidor, o un disc retirat, no es pot llegir. No és xifratge d'extrem a extrem: la Plataforma desxifra els fitxers per lliurar-los a qui té dret a veure'ls, i qui comprometés el servidor en funcionament podria fer el mateix. La base de dades no està xifrada en repòs: les dades estructurades (fitxatges, dades identificatives i retributives) es protegeixen amb el control d'accés descrit en aquest apartat.
• Còpies de seguretat xifrades i fora del servidor: cada dia es fa una còpia completa de la base de dades i dels fitxers pujats, i es comprova que està completa abans de donar-la per bona. A més de desar-se al servidor mateix, s'hi xifra abans de sortir i s'envia a un emmagatzematge que Hetzner té a Alemanya (apartat 7.2). El servidor només té la clau amb què es xifra, no la que desxifra, que es custodia fora d'aquest, de manera que ni Hetzner ni qui arribés a entrar al servidor no poden llegir aquelles còpies. Un cop enviades queden bloquejades contra l'esborrament fins que venç el seu termini (apartat 8), de manera que tampoc no es poden destruir des del servidor. Les còpies que es queden al servidor mateix porten la base de dades sense xifrar, igual que en ús, i els fitxers pujats xifrats, tal com són al servidor.
• Control d'accés basat en rols (RBAC): sistema de permisos granular que limita l'accés a les dades segons el rol de l'usuari (propietari, administrador, supervisor, observador i treballador). L'assessoria laboral autoritzada no té cap d'aquells rols: entra per un espai propi que només serveix allò que descriu l'apartat 7.1 ter.
• Aïllament de dades per organització: cada Organització accedeix exclusivament a les seves dades pròpies, garantit mitjançant identificadors d'organització a cada sol·licitud.
• Renovació automàtica de sessions: mecanisme d'interceptors HTTP que gestionen la renovació de tokens de manera transparent i segura.
• Tancament de sessió segur: la desconnexió elimina tots els tokens d'autenticació i dades de sessió de l'emmagatzematge local del navegador.

• Registre d'auditoria de les modificacions: quan un Usuari crea, modifica o elimina dades de l'Organització des de la Plataforma, l'acció queda registrada, amb les excepcions que s'enumeren a continuació. Cada entrada desa l'Usuari que la va executar, la data i l'hora, l'adreça IP i el navegador des dels quals va arribar la petició i el detall del canvi que anota el servei que el fa. Quan aquell servei no l'anota, l'entrada s'escriu igualment, però només diu l'operació (crear, modificar o eliminar) i el tipus de dada afectada, sense el detall del canvi. De les consultes només se n'anoten algunes, entre les quals les exportacions de dades del panell, com les de registres de jornada, d'auditoria, de cost laboral, de prenòmina, de despeses o de resultats d'una enquesta, la descàrrega dels certificats de signatura, allò que consulta i descarrega l'inspector amb la seva credencial, la consulta del recorregut de la jornada d'una altra persona i allò que llegeix una assessoria. Obrir una pantalla o un registre, per si sol, no s'anota, ni descarregar un document de l'arxiu de la plantilla, que té el seu historial d'accessos propi (apartat 7.1 bis), ni obrir el justificant d'una absència, que no s'anota en cap registre (apartat 6.I).
• Les sessions de suport i les assessories: allò que una sessió de suport de Geozly iniciada mitjançant suplantació crea, modifica o elimina es registra i es mostra, anomenant l'operador. Les seves consultes i exportacions, en canvi, ni s'anoten en aquest registre ni s'hi mostren, perquè són operació interna de Geozly i no un fet sobre com l'Organització gestiona la seva empresa. Les dues úniques que sí que s'anoten i es mostren són l'exportació del registre segellat i la verificació manual de la cadena de fitxatges que troba un trencament, perquè deixen alguna cosa desada a la pàgina de compliment de l'Organització. Que es va obrir una sessió de suport queda anotat al registre de cada Organització de la qual és membre la persona suplantada, però no s'hi mostra. L'accés del personal de suport als documents publicats a la plantilla queda a més anotat a l'historial del document mateix, d'acord amb l'article 7.1 bis. Amb una assessoria laboral autoritzada és a l'inrevés que amb el suport: d'allò que fa amb les dades d'una Organització s'anoten també les seves lectures, amb el nom de l'assessoria, i l'Organització ho veu (apartat 7.1 ter).
• Allò que el registre d'auditoria deixa fora a propòsit: són set classes d'accions, cadascuna pel seu motiu. La resposta a una enquesta anònima no s'anota, perquè l'anotació anomenaria qui va respondre, el minut i la seva adreça IP al costat d'una resposta que es desa sense persona, sense data i sense hora. Cap pantalla de l'Organització no anomena qui va respondre cada cosa, encara que un resultat en què tothom respon el mateix ho deixa veure (apartat 6.VII.2). Geozly no ho uneix, però qui opera la seva base de dades podria aparellar respostes i persones, en aquesta o en una còpia, per l'ordre en què s'escriuen les files. Res del que passa dins d'un expedient del canal intern d'informació (apartat 6.VI) no s'anota, perquè l'article 33 de la Llei 2/2023 impedeix revelar-ne l'existència als qui llegeixen aquest registre. El seu rastre es porta al llibre registre propi del canal, i obrir o tancar el canal, canviar les seves dades públiques i designar o retirar qui el gestiona sí que s'anoten aquí. Els lots de punts que l'aplicació envia durant el recorregut de la jornada no s'anoten, perquè n'arriba un per minut i mesurarien el funcionament de l'aplicació i no decisions de ningú, i en canvi sí que s'anoten qui activa el recorregut, qui consulta el d'una altra persona i qui l'esborra. Registrar o retirar el telèfon d'una persona per rebre notificacions, i que el treballador marqui com a llegides o esborri les seves, no s'anota, perquè és el funcionament de l'aplicació i de la safata personal del treballador, no un acte de l'Organització, i una anotació per lectura diria a l'Organització quan llegeix cada treballador cada missatge. Confirmar de nou la sessió pròpia amb la contrasenya o amb Google no s'anota, perquè és un acte del compte i no de cap Organització. Les peticions de funcionalitats i els informes d'error que s'envien a Geozly des de la secció Comunicació no s'anoten, perquè són un tractament del qual Geozly és responsable (apartat 6.V) i l'anotació diria als administradors de l'Organització qui en va escriure cadascun. I que una assessoria rebutgi la invitació de l'Organització no s'anota, perquè l'Organització la continuï veient pendent fins que caduqui.
• Allò que tampoc no recull avui: els canvis que una persona fa al seu compte propi i que no toquen dades de cap Organització, com la seva contrasenya, les dades del compte o la connexió amb el seu calendari, no són actes de cap Organització. Deixen, com a màxim, un apunt sense detall a l'Organització que tinguessin oberta l'aplicació o la pestanya des de la qual es van fer. Allò que sí que canvia dades d'una Organització s'hi anota encara que es faci des del compte, com el canvi del correu d'accés, que la Plataforma copia a la fitxa de la persona a cada Organització de la qual és treballadora, o l'activació del seu compte, amb el codi d'una invitació o de qualsevol altra manera, amb la qual la seva invitació deixa d'estar pendent. Tampoc no recull allò que una assessoria canvia al seu equip propi, que no és una dada de l'Organització, encara que si en retirar un membre un vincle vigent amb l'Organització es queda sense responsable, això s'hi anota. I no passa per aquest registre allò que el personal de Geozly fa fora d'una sessió de suport, amb l'accés tècnic a la infraestructura (apartat 7.1 bis) o amb les seves eines d'operació, llevat d'alguns actes, com tancar el compte d'una Organització, que s'anota al seu registre, o bloquejar el compte d'una persona, que s'anota a les Organitzacions de les quals és membre.
• Els processos automàtics: allò que la Plataforma fa pel seu compte, sense que ningú ho demani en aquell moment, només deixa entrada en aquest registre en alguns casos. Aquella entrada indica que ho va executar el sistema i no porta adreça IP ni navegador, llevat de quan ho desencadena un avís del proveïdor de pagaments, que deixa els d'aquell proveïdor. Quan un procés automàtic acaba una cosa que va demanar una persona, com enviar les invitacions d'una importació o preparar el paquet d'un lliurament a l'assessoria, l'entrada anomena aquella persona. Deixen entrada, entre d'altres, la sortida automàtica d'una jornada que ningú no va tancar; la marca d'absència que rep un torn en què ningú no va fitxar; els canvis de pla i de subscripció que arriben del proveïdor de pagaments; els esborraments per termini de conservació dels fitxatges i de les seves coordenades, dels avisos del treballador, dels punts del recorregut, dels documents, dels justificants, dels registres segellats i del registre d'auditoria mateix; la purga d'una Organització tancada; la còpia dels festius del calendari oficial i les reobertures de mes que provoca; la revisió nocturna dels tancaments de mes i de les signatures, quan supera una signatura o troba alguna cosa que no quadra; el tancament d'una enquesta en arribar la seva data; la publicació programada de les nòmines que puja una assessoria; i la desactivació automàtica d'un webhook que falla una vegada i una altra. No deixen entrada, entre d'altres, la creació i la retirada automàtica d'alertes, la generació dels torns d'una sèrie repetida, l'enviament de notificacions i de correus d'avís, la verificació nocturna de la cadena de fitxatges i els avisos de trencament que genera, les factures i els cobraments que arriben del proveïdor de pagaments, i els esborraments per termini de les alertes, de les notificacions, dels fitxers d'una importació, dels codis d'un sol ús i de les declaracions del recorregut i les avaluacions d'impacte que citen.
• Principi de mínim privilegi: els usuaris accedeixen exclusivament a les funcionalitats i dades que corresponen al seu rol.
• Procediment de restabliment de contrasenya segur: procés de recuperació mitjançant un codi d'un sol ús que arriba al correu del compte, que caduca als trenta minuts, admet un nombre limitat d'intents i no va acompanyat de cap enllaç.
• Altes controlades, per dos camins diferents: l'alta d'una Organització nova es produeix per registre públic a la Plataforma, subjecte a límits de freqüència i seguit de la verificació de l'adreça de correu electrònic mitjançant un codi d'un sol ús, que el panell reclama en entrar. La incorporació de treballadors i de gestors a una Organització ja existent es fa, en canvi, exclusivament mitjançant invitació amb token únic emesa des d'aquella Organització: ningú no pot incorporar-se pel seu compte a una Organització aliena ni a les dades de la seva plantilla. Una assessoria laboral tampoc: només accedeix a les dades d'una Organització amb l'autorització expressa d'aquella Organització (apartat 7.1 ter).

De conformitat amb el RGPD i la LOPDGDD, els interessats tenen reconeguts els drets següents en relació amb les seves dades personals:

Els empleats de les Organitzacions que vulguin exercir els seus drets s'hauran d'adreçar en primer lloc a la seva Organització ocupadora, que és el Responsable del Tractament de les seves dades personals. L'Organització canalitzarà la sol·licitud i, si escau, instruirà Geozly perquè executi les mesures tècniques necessàries.

Si l'empleat no obté resposta de la seva Organització en el termini legal, pot escriure a Geozly, que traslladarà la sol·licitud a l'Organització i l'ajudarà a atendre-la, però no la pot decidir pel seu compte. L'empleat també pot reclamar davant de l'Agència Espanyola de Protecció de Dades (apartat 10.5).

L'excepció són les evidències de signatura després d'un cessament del servei de signatura o de tot el Servei (apartat 3.4): en tots dos casos, qui va signar, l'Organització o un jutjat les poden demanar a contact@geozly.com. L'altra excepció són les peticions de funcionalitats i els informes d'error del panell (apartat 6.V), el Responsable dels quals és Geozly: els drets sobre aquelles dades s'exerceixen directament davant de Geozly, a contact@geozly.com.

Els representants i administradors d'Organitzacions podran exercir els seus drets directament davant de Geozly a través dels canals de contacte indicats a l'apartat 15.

Les sol·licituds d'exercici de drets s'atendran en el termini màxim d'un (1) mes des de la seva recepció. Aquest termini es podrà prorrogar dos (2) mesos més en cas de sol·licituds especialment complexes o nombroses, informant l'interessat dins del primer mes.

Sens perjudici de qualsevol altre recurs administratiu o judicial, l'interessat té dret a presentar una reclamació davant de l'Agència Espanyola de Protecció de Dades (AEPD) (www.aepd.es) o davant de l'autoritat de control competent al seu Estat membre de residència habitual, lloc de treball o lloc de la presumpta infracció.

La Plataforma desa al navegador les dades de sessió de la taula següent, estrictament necessàries per al funcionament del Servei. Unes van al localStorage, que comparteixen totes les pestanyes, i altres al sessionStorage, que és propi de cada pestanya i s'esborra en tancar-la.