Política de Privacidad

Respecto a los datos personales de los representantes y administradores de las Organizaciones que contratan el Servicio, el Responsable del Tratamiento es:

• Titular: Erick Moises Hernández Quiñones (persona física, empresario individual)
• NIF: 06713923Q
• Nombre comercial: Geozly
• Domicilio: Avenida República Argentina 93, puerta 25, 46701 Gandía (Valencia), España
• Correo electrónico de contacto: contact@geozly.com

Respecto a los datos personales de los empleados de las Organizaciones (trabajadores, supervisores, personal de oficina) tratados a través de la Plataforma:

• El Responsable del Tratamiento es la Organización empleadora, quien determina los fines y medios del tratamiento.
• Geozly actúa como Encargado del Tratamiento, tratando los datos por cuenta y según las instrucciones documentadas de la Organización.
• Del canal interno de informaciones (apartado 6.VI) la Responsable es también la Organización, y conviene decir quiénes son ahí los interesados: quien informa puede no ser empleado suyo-un ex trabajador, alguien en un proceso de selección, personal de un proveedor o un voluntario- y no necesita cuenta en la Plataforma.
• Con una excepción: lo que una persona escribe en la sección Comunicación del panel, para pedir una funcionalidad o reportar un error, lo trata Geozly como Responsable, también cuando quien escribe es un empleado con el rol de Supervisor o de Viewer, porque ese canal y su finalidad los decide Geozly y no la Organización (apartado 6.V).

Una Organización puede autorizar a su asesoría laboral a entrar en la Plataforma por un portal propio (apartado 7.1 ter). Respecto de las personas de esa asesoría:

• De su espacio de trabajo -su equipo, sus códigos de nómina, sus plantillas y la configuración de su cartera- la Responsable es la asesoría, y Geozly actúa como su Encargado conforme a los Términos para asesorías.
• Lo que la asesoría hace con los datos de una Organización es tratamiento de esa Organización, que es su Responsable, y también lo es el rastro que deja en su registro de auditoría.
• De la seguridad de su cuenta -el doble factor obligatorio y las sesiones del portal de asesoría- el Responsable es el Titular, porque de ella responde ante todas las Organizaciones a cuyos datos da acceso el portal.
• Cuando una asesoría pide acceso a una Organización, ésta ve, antes de decidir, el correo verificado de la persona de la asesoría que envía la solicitud, porque es lo único que una asesoría falsa no puede copiar de la real.

Un trabajador firma en la Plataforma en dos casos: su registro de jornada de un mes, cuando la Organización lo cierra y pide la firma, y un documento que le entrega, cuando la Organización lo pide, al publicarlo o después, o cuando el propio trabajador decide firmarlo sin que se lo pidan (apartado 3.1). Cada firma lleva un registro de evidencias, que se escribe una sola vez, en el momento de firmar, y permite comprobar sin depender de Geozly que existía sin cambios a la hora del sello. No lo tienen las firmas del registro mensual hechas antes de que la Plataforma lo guardara, ni el acuse de recibo simple de un documento, que sigue guardando sólo lo que dice la fila de documentos entregados.

El registro de evidencias de una firma guarda lo siguiente.

• Qué se firmó. El mes y las huellas del registro sellado que se firmó, o el documento, con su nombre, su categoría, la huella SHA-256 de su contenido, su tamaño, y quién lo subió, quién lo publicó y quién pidió la firma, con su correo y la fecha. El nombre de quien cerró el mes, en la firma mensual.
• Quién firmó. Su nombre y su NIF tal como los tiene la Organización, su cuenta, su correo de acceso, y la razón social y el CIF de la Organización.
• De dónde salen esa identidad y ese correo. Quién dio de alta su ficha y cuándo, si su correo de acceso estaba verificado, cuándo y cómo se verificó, cuándo activó la cuenta y desde qué dirección IP, cuándo cambió por última vez el correo de acceso y si salió el aviso a la dirección anterior, cuándo y por qué vía se fijó la contraseña. Las firmas hechas antes del 8 de octubre de 2026 guardan además si el correo era de un dominio de la empresa y si la persona había declarado que su buzón era personal.
• La autenticación de ese momento. Si la persona se autenticó por última vez antes de firmar con contraseña o con Google, cuándo, y un identificador de la sesión que no permite usarla.
• El código de un solo uso, si lo hubo. Por qué vía se envió y a qué dirección, siempre enmascarada, para qué operación valía, cuándo se emitió, cuándo caducaba y cuándo se validó, cuántos intentos fallaron y el identificador del correo que lo llevó. Nunca el código.
• El acto. El texto íntegro que la persona leyó antes de firmar, el botón que pulsó, en la firma mensual su respuesta y sus observaciones, en un finiquito su elección, y la hora de cada paso: la última vez que descargó el documento antes de firmar, cuándo pidió el código, cuándo lo validó y cuándo firmó.
• El contexto técnico. La dirección IP y, cuando el servidor lo recibe, el puerto de origen de la conexión, porque con la dirección IP sola un operador de telefonía no siempre puede saber de qué cliente se trata. Además, el navegador o la app, la versión de la app y la hora del servidor.
• La plataforma. La versión de la Plataforma y la de la Política de firma y evidencias.

La huella SHA-256 del registro se guarda junto a la firma y la Plataforma comprueba cada noche que el registro sigue dándola. El registro no se modifica después. A la firma se le añaden luego su sello de tiempo y, en la firma mensual, la marca de superada si cambia el registro de jornada que se firmó.

El nivel de la firma lo decide el servidor. La Organización puede pedir una firma simple o una avanzada, y una firma sólo sale avanzada si en ese momento se cumplen todas sus condiciones, que explica la Política de firma y evidencias. Si la cuenta o el inicio de sesión no las cumplen, la firma se hace igual, como simple, y su registro dice por qué. La Plataforma ofrece el nivel avanzado desde el 4 de octubre de 2026.

El código de un solo uso sólo se envía cuando se firma en avanzado, porque lo pide la Organización o porque el trabajador lo elige al firmar un documento por su cuenta, y va siempre al correo de acceso de la persona, nunca a otro correo que tenga la Organización. El código no se guarda en ningún sitio. Mientras existe la petición se guarda una huella que sólo sirve para comprobarlo, y la petición entera se borra 90 días después de que el código caduque, haya acabado o no en una firma, porque lo que el registro de evidencias necesita de ella queda copiado en él al firmar.

El sello de tiempo. Después de firmar, la Plataforma pide a FreeTSA, una autoridad de sellado de tiempo, que selle la hora del registro de evidencias. A FreeTSA sólo se le envía la huella SHA-256 del registro, 32 bytes que no permiten reconstruirlo, y nunca un documento, un nombre ni ningún otro dato personal (apartado 7.2). Si FreeTSA no contesta, la firma no espera: el sello se vuelve a pedir más tarde y, mientras tanto, la firma consta con el sello pendiente.

El aviso de que se ha firmado. Al terminar, la persona recibe en su correo de acceso un aviso con la fecha, la hora, el nivel de la firma y el principio de la huella de su registro de evidencias, para que tenga una copia que no depende de Geozly. No lleva ningún enlace ni ningún archivo, y no se puede desactivar, porque avisa de un acto hecho en su nombre.

La declaración de buzón personal. Hasta el 8 de octubre de 2026, la firma avanzada pedía que la persona declarara que sólo ella entraba en el buzón de su correo de acceso. Ya no se pide. Las declaraciones hechas hasta entonces se conservan, con la dirección declarada, la versión del texto, la fecha, la dirección IP y el navegador o la app, porque respaldan las firmas avanzadas que se hicieron con ellas.

Quién descarga las pruebas. Cada firma con registro de evidencias tiene un certificado en PDF y un paquete de evidencias, un archivo ZIP con el registro, el sello y lo necesario para comprobarlos sin Geozly. Los descarga la propia persona, desde su cuenta y mientras tenga acceso en esa Organización (su ficha activa y, en un documento, que no se haya retirado); cuando ya no lo tiene, se los pide a la Organización, que es la responsable. Los descargan también, en la firma mensual, el Owner o el Admin de su Organización; en la firma de un documento, además, el Supervisor que pueda leer ese documento (apartado 3.1). Quien los descarga ve todo lo que guarda el registro, también la dirección IP de quien firmó y el historial de su correo de acceso. Cada descarga queda anotada en el registro de auditoría de la Organización, salvo las del soporte de Geozly en una sesión de suplantación (apartado 9.2). El trabajador puede descargar además, desde la sección de documentos, el certificado de los acuses de un documento suyo, que sólo recoge lo que hizo él, sus descargas, acuses y firmas, con su propia dirección IP y su dispositivo, nunca los de otra persona, y descargarlo queda anotado como un acceso más en el historial del documento.

Si Geozly deja de prestar el servicio de firma, lo avisará con al menos dos meses de antelación. Si cesa sólo el servicio de firma, las evidencias, los documentos firmados y todo lo demás siguen en la Plataforma como hasta entonces y hasta su plazo de siempre, con Geozly como encargado de cada Organización. Si cesa todo el Servicio, después del cese conservará las evidencias de cada firma y de cada acuse de recibo el tiempo que tendrían si su Organización se diera de baja el día del cese (apartado 8). En los dos casos, quien firmó, la Organización o un juzgado las pueden pedir en contact@geozly.com. Para poder comprobar las firmas del registro mensual que no tienen registro de evidencias, conservará también los manifiestos de las copias selladas que citan, y el de un cierre de mes lleva las horas de toda la plantilla con jornada ese mes, también de quien no firmó. Si cesa todo el Servicio, los documentos firmados no forman parte de esas evidencias y, desde la fecha del cese, siguen el apartado 20.4 de los Términos.

• Coordenadas GPS (latitud y longitud) en cada uno de los cuatro fichajes que admite una jornada: entrada, inicio de pausa, fin de pausa y salida.
• Precisión del GPS del dispositivo en metros.
• Marca temporal del dispositivo en el momento de la captura.
• Las coordenadas y su precisión en un aviso del trabajador, sólo si éste deja marcada la casilla de la ubicación al enviarlo (apartado 6.8).
• Si la Organización activa el recorrido de la jornada para un trabajador, la posición de su móvil mientras tiene la jornada abierta, con su hora y su precisión (apartado 6.9).

Los datos de geolocalización se recogen en el momento en que el trabajador realiza un fichaje: entrada, inicio de pausa, reanudación tras pausa y salida. Hay dos excepciones. Una es el aviso del apartado 6.8, que el propio trabajador decide enviar y en el que la ubicación es opcional. La otra es el recorrido de la jornada del apartado 6.9. No hay seguimiento continuo de la ubicación salvo que la Organización active el recorrido de la jornada para una persona, y entonces sólo mientras tiene la jornada abierta y nunca en las pausas.

La verificación de presencia por geolocalización es una funcionalidad configurable por la Organización para cada ubicación de trabajo. La Organización puede optar por no requerir verificación GPS, en cuyo caso no se recogerán datos de geolocalización.

Esa opción no alcanza al aviso del apartado 6.8, cuya ubicación no la decide la Organización sino el trabajador, aviso por aviso. Tampoco alcanza al recorrido de la jornada del apartado 6.9, que la Organización activa aparte, persona a persona, y que no depende de que una ubicación exija verificación.

El acceso a la geolocalización del dispositivo requiere la concesión expresa de permisos por parte del trabajador a través de su navegador web o aplicación PWA. El trabajador puede revocar este permiso en cualquier momento desde la configuración de su dispositivo.

El recorrido de la jornada sólo lo registra la aplicación móvil, que pide el permiso de ubicación mínimo con el que funciona y, en un móvil personal, nunca pide el de usar la ubicación siempre. Si el trabajador retira el permiso, el recorrido deja de registrarse y su jornada queda con un hueco, que la Plataforma no rellena ni trata como un incumplimiento.

Si la Organización declaró que el recorrido se registra con móviles personales, o con unos de la empresa y otros personales, el trabajador puede elegir en la aplicación no usar su móvil para el recorrido, sin que eso cambie nada de sus fichajes, y volver a aceptarlo cuando quiera. Mientras tanto no se registra nada, y ese tiempo aparece como un tramo sin posiciones con el motivo "El trabajador no ha aceptado usar su móvil personal para el recorrido", nunca como un incumplimiento. La Organización ve ese hecho en la ficha de la persona.

El tratamiento de datos de geolocalización se rige por el principio de minimización de datos: para verificar la presencia dentro de la geovalla configurada únicamente se recogen las coordenadas del momento puntual del fichaje. La de un aviso no se compara con ninguna geovalla, y sólo existe si el trabajador decide incluirla.

El recorrido de la jornada recoge mucho más, y por eso sólo existe para las personas que nombra una declaración firmada por la Organización. Es la Organización quien valora y afirma en esa declaración que el recorrido es idóneo, necesario y proporcionado para lo que declara, y que no le basta un medio menos intrusivo, como los avisos y los kilómetros declarados (apartado 6.9).

Conforme al artículo 90 de la LOPDGDD, la Organización empleadora, en su condición de Responsable del Tratamiento, deberá informar previamente y de modo expreso, claro e inequívoco a los trabajadores y, en su caso, a sus representantes legales (RLT), acerca de la existencia y características del sistema de geolocalización, así como del ejercicio de los derechos previstos en los artículos 15 a 22 RGPD. Geozly proporciona la herramienta tecnológica pero no sustituye este deber de información, que recae íntegramente en la Organización.

Las Organizaciones con plan Professional disponen de una pantalla que muestra sobre un mapa a los trabajadores que tienen la jornada abierta en ese momento, con su nombre, su fotografía de perfil si la tiene, si está trabajando o en pausa, y su último punto conocido. La pantalla se actualiza sola cada treinta segundos mientras permanece abierta.

Sin el recorrido de la jornada, el punto que se muestra no es una posición en vivo: es la coordenada del último fichaje del trabajador -su entrada o una de sus pausas- o, si es posterior, la de su último aviso con ubicación de esa misma jornada (apartado 6.8), salvo que el teléfono declarara esa ubicación como simulada, en cuyo caso el aviso no mueve el punto. Si la Organización ha activado el recorrido de la jornada para esa persona (apartado 6.9), el punto es el último de su recorrido cuando es más reciente que los otros dos, salvo que el teléfono lo declarara simulado, y entonces es el último punto que registró la aplicación con la jornada abierta. Si la persona ya no tiene el recorrido activo, o eligió no usar su móvil personal para él, el mapa no la sitúa por su recorrido. La propia pantalla dice de dónde sale el punto y cuánto tiempo hace: en un fichaje, desde que se tomó la coordenada, en un aviso, desde que se envió, con una posición tomada como mucho unos dos minutos antes, y en el recorrido, desde que el teléfono tomó ese punto. La Plataforma no consulta la ubicación del dispositivo para alimentar este mapa; sólo reutiliza las coordenadas que ya recogió en los momentos de los apartados 6.2, 6.8 y 6.9. Un fichaje sin coordenadas aparece en una lista aparte, sin punto en el mapa.

Sólo es visible mientras la jornada está abierta: al fichar la salida el trabajador desaparece del mapa, y fuera de su jornada no existe seguimiento alguno. Únicamente pueden verlo los Usuarios con rol Supervisor, Admin u Owner de la propia Organización.

Este uso no se apoya en ninguna base jurídica distinta de las ya declaradas en el apartado 4 para el control horario con geolocalización, para los avisos del trabajador y, con el recorrido activo, para el recorrido de la jornada, ni amplía los datos que se recogen. El deber de información del artículo 90 LOPDGDD descrito en el apartado 6.6 comprende también esta funcionalidad cuando la Organización la utiliza.

En las Organizaciones con plan Professional, el trabajador puede enviar a su Organización un aviso mientras tiene la jornada abierta, también durante una pausa. El aviso lleva siempre la hora a la que se envía y, sólo si el trabajador los incluye, su ubicación, un texto y una fotografía. Al menos uno de los tres tiene que ir. No es un fichaje: no abre ni cierra la jornada, no cambia las horas trabajadas y no forma parte del registro de jornada que se exporta, se sella o se entrega a la inspección.

La ubicación es opcional. La casilla que la incluye viene marcada y el trabajador puede desmarcarla antes de enviar, en cuyo caso el aviso sale sin ella. La aplicación sólo pide la posición al dispositivo al abrir la pantalla de envío, para no hacerle esperar, al volver a marcar la casilla, y al pulsar Enviar si la que tenía es de hace más de dos minutos o si no la consiguió. Si se cierra la pantalla, la posición no se envía. Si se desmarca la casilla, tampoco, salvo que se vuelva a marcar. En cualquier caso, el teléfono puede terminar la consulta que ya había empezado. Puede ser una posición aproximada, de kilómetros de precisión, si el trabajador sólo ha concedido la ubicación aproximada o si el navegador la calcula a partir de la red. La coordenada de un aviso no se compara con el perímetro de ningún centro de trabajo ni genera ninguna alerta. Si el dispositivo declara que la posición es simulada, el aviso se guarda igual y queda marcado como tal.

La fotografía se hace con la cámara desde la propia pantalla del aviso, y la Plataforma la guarda sin sus metadatos de ubicación, fecha y dispositivo: antes de almacenarla la vuelve a codificar y descarta los datos que el teléfono guarda dentro de una foto, entre ellos las coordenadas del sitio donde se hizo, y sólo conserva el perfil de color, que no dice nada de quién ni de dónde. Así, quien desmarca la ubicación no la envía sin saberlo escondida en los datos de la foto, aunque lo que se vea en la imagen sí puede decir dónde se hizo. Se guarda cifrada en reposo, como el resto de los archivos subidos, y sólo se sirve a quien puede ver el aviso.

Quién lo ve. El propio trabajador, en su registro, y los Usuarios con rol Supervisor, Admin u Owner de su Organización, que lo reciben en la campana de notificaciones del panel, lo ven dentro del registro de jornada y en la lista de avisos, y, si lleva ubicación, en el mapa del apartado 6.7 mientras dure la jornada, salvo que el teléfono la haya declarado simulada. La notificación de la campana repite el nombre del trabajador y el principio del texto, y se borra con las demás notificaciones. No lo ve la asesoría laboral, ni el inspector con acceso de sólo lectura, ni viaja en las notificaciones automáticas hacia sistemas de terceros del apartado 7.4.

Sin conexión. Si la aplicación no tiene red, guarda el aviso en el propio teléfono, con la foto si la lleva, y lo envía al recuperarla, con el mismo límite de 24 horas que un fichaje sin conexión. Pasado ese límite ya no se envía.

Una vez enviado, nadie puede editarlo ni borrarlo desde la Plataforma, ni el trabajador ni la Organización, y se elimina entero, con su texto, su ubicación y su fotografía, a los 4 años de enviarse (apartado 8). Los datos de un aviso no se comunican a ningún tercero ni añaden ningún proveedor nuevo: se guardan en el mismo servidor y en las mismas copias de seguridad que el resto de los datos de la Plataforma.

En las Organizaciones con plan Professional, la Organización puede activar el recorrido de la jornada para una o varias personas concretas. Mientras está activo, la aplicación móvil de esa persona toma su posición cada 50 metros o cada 60 segundos, lo que ocurra antes, así que con el móvil quieto toma igualmente un punto por minuto. Lo hace desde que ficha la entrada o la vuelta de una pausa hasta que ficha una pausa o la salida, también con la aplicación cerrada o sin usarla en Android, y en iPhone con la aplicación en segundo plano o la pantalla bloqueada, pero no si se cierra del todo, y envía los puntos a la Plataforma. Con ellos la Organización ve el recorrido de cada jornada, su distancia estimada y, mientras la jornada está abierta, su última posición en el mapa del apartado 6.7. No hay recorrido de nadie para quien la Organización no lo haya activado, ni durante las pausas fichadas. Si la jornada sigue abierta porque se olvidó fichar una pausa o la salida, la aplicación puede seguir registrando hasta 30 minutos después del fin previsto del turno, o hasta 10 horas después de la entrada si no hay turno o el turno es por horas, y la Plataforma no guarda nada que llegue después de ese límite. Si luego se corrige la jornada, esos puntos se borran, salvo los que retenga una reclamación abierta, que se bloquean (apartado "Cuánto se guarda").

Quién lo activa y qué declara. Sólo el Owner de la cuenta de la Organización, firmando con un código que recibe por correo una declaración que nombra a cada persona. En ella la Organización dice para qué quiere el recorrido y con qué base jurídica, por qué no le bastan los avisos y los kilómetros declarados, si podrá usarlo para tomar medidas disciplinarias, si lo enseñará o enviará a sus clientes, si los móviles son de la empresa o personales, cuándo informó a cada persona y a sus representantes, y cuánto tiempo se conservan los puntos. Afirma además que informó antes a cada persona con todo lo que exigen el artículo 90 de la LOPDGDD y el artículo 13 del RGPD, que valoró que el recorrido es idóneo, necesario y proporcionado, que hizo la evaluación de impacto que sube con la declaración y que lo ha anotado en su registro de actividades de tratamiento. Geozly no revisa la evaluación de impacto ni valora la justificación: guarda lo que se firma, con su huella y un sello de tiempo, como prueba de lo que declaró la Organización. Quien entra después en la plantilla no queda cubierto, y añadir a alguien exige una declaración nueva que le nombre.

Qué se recoge. De cada punto, la hora del teléfono, la latitud y la longitud, la precisión en metros, si el teléfono declara la posición como simulada y la hora a la que el punto llega a la Plataforma. Nada más: ni la velocidad, ni la altitud, ni el rumbo, ni el nivel de batería, ni ningún otro dato del teléfono. Si el trabajador pausa el recorrido, se guarda también cuándo y por qué motivo.

Cuándo no se recoge. La aplicación deja de registrar en cuanto el trabajador ficha una pausa o la salida, cuando la Plataforma le contesta que la jornada está cerrada o que esa persona ya no está cubierta por una declaración, y como mucho 30 minutos después del fin previsto de su turno o, si no tiene turno o su turno es por horas, 10 horas después de la entrada, y entonces se lo dice. Ese límite lo aplica también la Plataforma, que no guarda ningún punto posterior. La Plataforma descarta sin guardarlo todo punto que caiga fuera de una jornada abierta, dentro de una pausa, dentro de un permiso por horas aprobado de esa persona o en un momento en que no estaba cubierta. Un permiso por horas puede ser una visita médica, y dónde estuvo en ese rato podría revelar un dato de salud. Un punto descartado ya se había tomado en el teléfono y se había enviado, aunque no se guarde. Si después se corrige la jornada o se aprueba un permiso por horas que cubre un tramo, los puntos que quedan fuera del tiempo de trabajo resultante se borran en el acto, salvo los que retenga una reclamación abierta, que se bloquean. Y el trabajador puede pausar el recorrido sin pausar la jornada, por un permiso o una visita médica, o por horas sindicales.

Lo que ve el trabajador. Antes de pedir ningún permiso, la aplicación le enseña lo que la Organización ha declarado: para qué se usa, si puede usarse para medidas disciplinarias, si se comparte con clientes, cuánto se conserva, con qué móvil se registra, cuándo dice la Organización que le informó y si dice que hay representación de los trabajadores. Geozly no comprueba esas respuestas, así que si algo no coincide con lo que le explicaron, el trabajador es quien puede decírselo a su Organización. Si la Organización declaró móviles personales o mixtos, la misma pantalla le ofrece no usar su móvil para el recorrido (apartado 6.4). Mientras registra, el teléfono lo indica: en iPhone con el indicador de ubicación del sistema y en Android con una notificación del servicio. En Android 14 o posterior la persona puede apartarla, y si no ha permitido las notificaciones de Geozly, Android la muestra en su lista de apps activas en lugar de en la cortina. Desde la versión web no se registra nada.

Lo que no es. El recorrido no forma parte del registro de jornada. No entra en la cadena de integridad de los fichajes, no cambia las horas trabajadas y no sale en las exportaciones del registro, en la copia sellada, en el acceso de la inspección ni en lo que ve la asesoría laboral. No genera alertas. La distancia es una estimación que calcula el servidor descartando los puntos poco precisos, los simulados y los saltos imposibles, y que dice cuánto tiempo faltó posición. Un tramo sin posiciones puede deberse a que la persona estaba parada, a la falta de cobertura o al ahorro de batería del móvil, y no indica por sí solo ningún incumplimiento. La distancia nunca se paga sola: se le ofrece al trabajador al declarar sus kilómetros y él la confirma o la cambia.

Quién lo ve. Los Usuarios con rol Supervisor, Admin u Owner de la Organización, en el detalle de cada registro y en el mapa del apartado 6.7 mientras dura la jornada, y pueden descargar el recorrido de un registro en CSV. Cada vez que uno de ellos abre o descarga el recorrido de otra persona queda anotado en el registro de auditoría de la Organización, sin coordenadas, salvo las lecturas del soporte de Geozly en una sesión de suplantación (apartado 9.2). El propio trabajador ve su recorrido en el detalle de sus registros, en la aplicación y en la web, y lo puede descargar. La línea se dibuja en el navegador de quien la mira con la API de JavaScript de Google Maps y, en la aplicación, en el propio teléfono con el SDK de Maps de Google. En los dos casos el mapa pide a Google las imágenes de la zona que se enseña, y como se encuadra sobre el recorrido, esa zona coincide aproximadamente con la del recorrido. Google trata además, como responsable independiente según sus condiciones, la IP y los datos técnicos del navegador o del teléfono de quien mira el mapa (apartado 7.2). El SDK de Maps guarda además en el teléfono un identificador seudónimo propio, que según la documentación de Google sirve para contar los usuarios activos del SDK, fuera de nuestro control. Si el mapa no está disponible, la aplicación dibuja la línea sola, sin mapa de fondo. Si la Organización declaró que enseñará el recorrido a sus clientes, esa comunicación la hace ella, fuera de la Plataforma, y le corresponde haberles nombrado como destinatarios al informar a cada persona.

Cuánto se guarda. Los puntos se borran solos al vencer el plazo que la Organización declara al activarlo, que es de 30 días si no dice otro. Si su única finalidad es localizar en tiempo real, el plazo no puede pasar de 30 días, y con cualquier otra, de 12 meses. Por encima de 90 días la Organización tiene que escribir el motivo en la declaración. El Owner o un Admin pueden ordenar borrar antes el recorrido de una persona, entero o un tramo, por ejemplo para atender una solicitud de supresión u oposición, y pueden retener un tramo más allá de su plazo mientras dure una reclamación concreta. La retención gana sobre cualquier borrado: un punto retenido que alcanzaría el plazo, la corrección de una jornada, un permiso por horas, el fin de la cobertura o una orden de borrado no se borra, sino que se bloquea. Deja de verse en el mapa y en el detalle del registro, sólo sale, marcado, en la descarga en CSV que se entrega para esa reclamación, y se borra cuando se levanta la retención, si para entonces ya le tocaba. La distancia y los tramos sin posición, que no localizan a nadie, siguen el plazo de las coordenadas de la jornada. La declaración, lo que le pasa después y la evaluación de impacto que cita se conservan hasta tres años después de que termine la cobertura de esa declaración, también si la Organización cierra su cuenta, porque son la prueba de lo que declaró. Después de que termine el servicio, Geozly las conserva debidamente bloqueadas, sólo mientras puedan derivarse responsabilidades de su relación con la Organización (artículo 33.4 de la LOPDGDD). Una evaluación de impacto subida que ninguna declaración cita se borra a los 30 días (apartado 8).

Derechos. Las solicitudes de acceso, rectificación, supresión y limitación se dirigen a la Organización (apartado 10.2). Donde la base es el interés legítimo, el trabajador puede además oponerse (art. 21 RGPD). Donde es la ejecución del contrato, puede pedir la portabilidad (art. 20 RGPD). Y siempre puede reclamar ante la AEPD (apartado 10.5).

El papel de Geozly. Geozly trata el recorrido como Encargado de la Organización, y la declaración firmada es la instrucción documentada que sigue (art. 28.3.a RGPD y apartado 11.6 de los Términos). Si Geozly considera que una instrucción infringe la normativa de protección de datos, se lo dice a la Organización, y la decisión sigue siendo de ella. Sólo puede suspender una declaración, o todas las de la Organización, por un requerimiento de la Agencia Española de Protección de Datos o de un juzgado, a petición de la propia Organización o por un impago o una bajada de plan que retira la recogida, y volver a activarlo exige una declaración nueva. Aparte de eso, la recogida se para sola mientras la cuenta de la Organización está desactivada o bloqueada por una factura impagada, o mientras su plan no incluye el recorrido, y vuelve sola cuando deja de ser así. Y Geozly puede detener a la vez la recogida de todas las Organizaciones si un problema técnico o legal lo exige, y reanudarla después. Ninguna de esas paradas borra nada, y mientras duran la Organización puede seguir leyendo y descargando el recorrido ya recogido, retirar a personas y ordenar borrarlo. La evaluación de impacto subida sólo la abre, dentro de la Organización, el Owner. Geozly sólo la abre ante una reclamación o un requerimiento, y cada apertura queda anotada, con su motivo, en el registro de auditoría de la Organización. Si la Organización la pide, Geozly le facilita su evaluación de impacto de referencia, que incluye el recorrido. Esa evaluación de referencia no sustituye la de la Organización ni es una revisión de la suya. El recorrido no añade ningún proveedor nuevo: los puntos se guardan en el mismo servidor y en las mismas copias de seguridad que el resto de los datos de la Plataforma.

Del archivo, nada. Ya entonces el documento cargado no se almacenaba: se leía en memoria y sólo sobrevivían sus metadatos - quién lo subió, cuándo, cuántas filas salieron y qué se creó con ellas -. Esos metadatos siguen su plazo de siempre y se eliminan a los 365 días de que el trabajo quede cerrado.

Del proveedor, tampoco. Geozly no conserva copia de lo que se envió en su día ni recibe nada de ellos. Lo que aquellos proveedores hicieran con los datos que recibieron mientras el tratamiento existió se regía por los acuerdos descritos en la versión anterior de esta Política, que sigue disponible en el historial de versiones.

Geozly mantiene configuradas las credenciales y el orden de preferencia de tres proveedores de inteligencia artificial, y una pantalla interna donde el personal de Geozly puede reordenarlos. No hay ningún código que los llame. Se conserva porque es la instalación sobre la que se apoyaría una funcionalidad futura, y desmontarla para volver a montarla no protege a nadie.

Se dice aquí, y no sólo en la documentación interna, porque la diferencia importa: tener un proveedor configurado no es tratar datos con él. Si alguna vez una funcionalidad de Geozly vuelve a enviar datos personales a un modelo de lenguaje, esta Política lo dirá antes de que ocurra, con el mismo detalle con el que lo decía cuando existía la importación asistida.

Conviene separarlo para que nadie deduzca de lo anterior más de lo que dice. El chat de ayuda de las páginas públicas sí envía lo que se escribe en él a un modelo de inteligencia artificial, cuyo proveedor está fuera de la Unión Europea. Es un tratamiento distinto y con otra base jurídica, pero no es de otro responsable: el chat lo presta Chaizly, cuyo titular es la misma persona física, con el mismo NIF, que el titular de Geozly. Por eso aquí no existe un contrato de encargo del artículo 28, y no por descuido: ese artículo gobierna a un encargado que sea otra persona, y nadie puede contratarse consigo mismo.

El chat se aloja en un servidor de Contabo, dentro de la Unión Europea. Lo único que sale de ella es el contenido de la conversación cuando va al modelo que la contesta. Chaizly recibe además los datos técnicos de la visita: dirección IP, navegador y página desde la que se escribe. Las conversaciones se conservan un año, porque son atención previa a cualquier contrato y su finalidad se agota al responder.

No se carga con la página: se pinta un botón, y hasta que alguien lo pulsa no se descarga nada ni se contacta con nadie. Antes de abrirlo se advierte de lo que ocurre con lo que se escriba.

Las Organizaciones con plan Professional pueden habilitar un canal opcional que permite al trabajador fichar desde un chat de Telegram, sin instalar nada. Hacen falta dos decisiones independientes y ninguna sustituye a la otra: la Organización tiene que habilitar el canal, y después cada trabajador decide en el propio chat, al abrir la invitación de su empresa o un enlace generado desde su perfil, si vincula o no su cuenta de Telegram. Nadie queda vinculado por decisión de su empresa, y quien no lo use ficha exactamente igual desde la aplicación, desde la web o desde el kiosco.

La ubicación NO viaja por Telegram. Cuando el trabajador ficha entrada o salida se abre una ventana servida por el Titular que lee el GPS del dispositivo y lo envía directamente a sus servidores. Telegram no recibe ninguna coordenada.

El chat es un mando a distancia, no un registro.El bot muestra unos botones y confirma la acción con dos palabras, como "Entrada registrada" o "Pausa iniciada", sin decir la hora, porque el propio mensaje de Telegram ya lleva la suya. El registro de jornada, con su hora fiel y su sello, se guarda en Geozly y se consulta allí.

Enumerado, para que pueda comprobarse. Telegram puede ver: que esa cuenta de Telegram ha hablado con el bot de Geozly, desde el primer mensaje y aunque al final no se conecte nada; la hora a la que se pulsa cada botón y, porque los mensajes permanecen en el chat, la hora de cada entrada, salida y pausa hecha por esta vía; si en ese momento hay una jornada abierta, si hay una pausa en curso y si se puede fichar ahora desde ese chat, porque de eso dependen los botones que ofrece el panel; si se abre en ese chat el enlace de otra empresa, que el trabajador trabaja o ha trabajado para más de una, porque el bot le avisa de que el chat pasa a fichar para ella; al abrir una invitación, si la empresa que la envía tiene activado el fichaje por Telegram; que el trabajador ha vinculado otra cuenta de Telegram, si lo hace, porque el bot avisa a la anterior; y que su cuenta de Geozly está bloqueada, si lo está, porque el bot se lo dice para que sepa por qué no puede fichar y cómo desconectarse. Telegram no puede ver: el nombre ni el documento de identidad del trabajador; para qué empresa trabaja, tampoco cuando hay más de una; su turno ni su centro de trabajo; su ubicación; ni el historial de fichajes guardado en Geozly o las horas que la Organización le calcula.

Sobre la segunda línea de esa lista conviene la misma franqueza. El chat no es un mensaje sino un archivo: las confirmaciones se acumulan en la cuenta del trabajador y cada una lleva la marca de tiempo del propio Telegram, de modo que el uso continuado deja allí la secuencia fechada de sus entradas, salidas y pausas hechas por este canal. Lo que no sale de Geozly es el registro de jornada ni el cómputo de horas que la Organización hace con él.

Y sobre la tercera, que se pueda fichar o no desde el chat no depende sólo del turno. Si la empresa de ese chat ha dejado de poder fichar por Telegram, porque ha apagado el canal, porque ya no lo tiene en su plan, porque el trabajador ha causado baja en ella o porque la empresa está desactivada o ha cerrado, el chat lo dice con la misma frase sea cual sea el motivo, de modo que Telegram sabe que desde ahí no se puede fichar, pero no por qué. Las tres últimas líneas son avisos que el bot da porque le sirven al trabajador: saber, al abrir una invitación, que esa empresa no tiene el canal activado; enterarse en el chat de siempre de que su fichaje por Telegram ha pasado a otra cuenta, que es lo que le permite reaccionar si no lo ha hecho; y saber por qué no puede fichar, y cómo desconectar el chat, si su cuenta está bloqueada. Por eso se declaran en vez de callarse.

Sobre lo primero de esa lista conviene ser explícito, porque no tiene arreglo técnico y por tanto sólo cabe declararlo. Desde el 20 de septiembre de 2026 el consentimiento para este canal se presta dentro del propio chat, con un botón de aceptar y otro de rechazar, y no en una pantalla de Geozly. Eso es más garantista -la decisión se toma en la aplicación de la persona y en una cuenta que es suya, no en una pantalla que abrió porque se lo pidió su empleador- pero tiene una consecuencia inevitable: para poder preguntar hay que entrar, de modo que Telegram ve el contacto antes de que nadie acepte nada, y lo ve también si la respuesta es que no. Por eso las dos vías por las que se llega al chat lo advierten antes de abrirlo: el correo con el que la empresa envía su invitación y la tarjeta del perfil desde la que el trabajador genera su propio enlace. Es lo único que permite decidir no abrir el chat.

Hasta el 19 de septiembre de 2026 el panel sí llevaba el nombre de la empresa, el estado, la hora de entrada, el turno y el centro de trabajo, y esta Política lo declaraba así. Se retiraron. El mensaje del bot no es un dato en tránsito que se pueda cifrar: es la pantalla que lee el trabajador, y Telegram sólo muestra texto plano, de modo que la única reducción posible era dejar de enviarlos.

El identificador de la cuenta de Telegram, el identificador del chat, el alias público si lo tiene, la empresa para la que ficha ese chat, que es la de la última invitación que aceptó en él o, en los vínculos creados antes de que la fijara siempre una invitación, la que quedó fijada entonces, el identificador del mensaje del panel, la versión del texto de consentimiento que aceptó y las fechas de vinculación y de última actividad. Nada de esto se usa para otra cosa que hacer funcionar el canal.

De cada invitación o enlace para conectar Telegram, haya llegado a usarse o no, guarda a qué persona se envió, qué empresa lo emitió, qué administrador lo envió o, si lo generó el propio trabajador desde su perfil, que no lo envió nadie, y cuándo se creó, cuándo caducaba y cuándo se usó o se retiró. El enlace no se guarda, sólo una huella que no permite reconstruirlo, y como sirve una sola vez y caduca a los treinta minutos, lo que se conserva no permite conectar nada. Todo ello se borra treinta días después de que la invitación deje de servir, porque se acepta o se rechaza en el chat, porque se retira o porque caduca, lo que ocurra antes.

Quién envió cada invitación, a quién y cuándo, y que un trabajador se generó un enlace desde su perfil, quedan además en el registro de auditoría de la empresa, con el plazo de los registros de auditoría. De ahí lee la ficha del trabajador cuándo le invitó la empresa por última vez, y así nadie reenvía una invitación a ciegas.

El fichaje en sí se apoya en las mismas bases que cualquier otro fichaje (apartado 4). Lo que necesita consentimiento explícito es el envío de esos mensajes a Telegram FZ-LLC, empresa domiciliada en Emiratos Árabes Unidos: artículo 49.1.a del RGPD, en los términos del apartado 7.3, que explica también qué riesgo concreto se asume.

El fichaje por Telegram no puede detectar si el dispositivo está simulando su posición, porque una ventana web no tiene acceso a ese dato del sistema operativo. Queda por tanto al mismo nivel de fiabilidad que el fichaje desde el navegador, que la Plataforma ya acepta, y por debajo del fichaje desde la aplicación instalada en un dispositivo Android. Se indica aquí porque la Organización debe conocerlo al decidir si habilita el canal.

El trabajador puede desvincular su cuenta en cualquier momento desde su perfil en la aplicación o en la web, o escribiendo /desvincular al bot. Al hacerlo se borra el vínculo y el bot deja de escribirle. Los mensajes que ya estén en el chat son suyos y solo él puede borrarlos, porque están en su cuenta de Telegram y no en la Plataforma.

Cada trabajador tiene en la aplicación y en la web una pantalla, Directorio, donde encuentra a las personas de su Organización agrupadas por departamento, para saber quién es quién y poder localizarlas. El directorio nace cerrado, y mientras la Organización no lo abra nadie ve a nadie en él. Está disponible en todos los planes.

Cuando la Organización lo abre, muestra siempre de cada persona su nombre y apellidos, el departamento en el que está, o que no tiene ninguno, y si es la responsable de ese departamento. De partida muestra también su fotografía de perfil, si la tiene, y la Organización puede dejar de mostrarla. Su correo electrónico y su teléfono no se muestran de partida. Sólo se ven si la Organización los enciende, cada uno por separado, en un departamento o para las personas sin departamento (apartado 6.IV.2).

El correo y el teléfono son los de contacto que constan en la ficha del trabajador en esa Organización, los mismos que ven sus gestores. No tienen por qué ser corporativos, y si en la ficha figura un móvil o un correo personal, es ése el que se muestra cuando la Organización los enciende. La fotografía es la de su perfil. El directorio no guarda una copia de estos datos, así que enseña en cada consulta lo que haya en la ficha.

Sólo aparecen las personas activas de la Organización, y sólo las ve quien también lo es. Quien se da de baja o se desactiva deja de aparecer en la siguiente consulta del directorio, y nadie ve a personas de otra Organización.

Abrir o cerrar el directorio, a quién se abre y qué muestra lo decide la Organización, que es la Responsable del Tratamiento, por medio de su Propietario o de un Administrador, y nunca de uno cuya ficha de trabajador esté desactivada. Ningún otro rol de la Organización puede cambiar esa configuración. El soporte de Geozly puede cambiarla también en nombre de la Organización, por ejemplo cuando ella le pide ayuda para configurarla, desde una sesión de soporte con la cuenta de su Propietario o de un Administrador. Lo que cambie queda en el registro de auditoría de la Organización, que identifica por su correo al operador que lo hizo.

El directorio tiene tres estados, y la Organización puede pasar de uno a otro cuando quiera.

• Cerrado. Nadie ve a nadie. Es el estado en el que nace.
• Toda la empresa. Cada persona activa ve a todas las demás personas activas de su Organización.
• Con límites. La Organización decide qué departamentos no ven a cuáles, y cada sentido se decide por separado. Puede decidir, por ejemplo, que toda la plantilla vea a Recepción y que a Recursos Humanos, fuera de su propia gente, sólo la vea Dirección. Al abrirlo con límites estando cerrado, cada departamento empieza viéndose sólo a sí mismo, y las personas sin departamento sólo entre sí, y después la Organización decide en la página de cada departamento a quién más ve y quién más le ve. Un departamento que se cree mientras el directorio está con límites también nace viéndose sólo a sí mismo, sin ver a ningún otro grupo ni ser visto por ninguno, tampoco por las personas sin departamento, hasta que la Organización decida en su página a quién más ve y quién más le ve. Al pasar a con límites desde toda la empresa se aplican sólo los límites que ya tuviera guardados, y sin ninguno todos se siguen viendo. Hay tres cosas que no se pueden limitar. Un departamento ve siempre a sus propios miembros, las personas sin departamento se ven siempre entre sí y cada trabajador se ve siempre a sí mismo.

Antes de abrir el directorio, la Plataforma pide confirmación a quien lo abre, le dice qué se mostrará de las personas de cada grupo y le recuerda que antes tiene que informar a su plantilla de qué se va a mostrar y a quién. Pasar de con límites a toda la empresa también se confirma si hay límites guardados, porque deja de aplicarlos, y el servidor no acepta ninguno de los dos cambios sin su confirmación. Cerrarlo no pide confirmación, porque sólo oculta.

Qué se muestra de cada persona lo decide su departamento, con tres casillas, una para la fotografía, otra para el correo y otra para el teléfono, y las personas que no tienen departamento tienen sus propias tres casillas. De partida la fotografía está encendida y el correo y el teléfono apagados, y un departamento que se cree después nace con esas mismas casillas. Las casillas se pueden cambiar también con el directorio cerrado, y al abrirlo se muestra lo que digan en ese momento.

Con límites, cambiar a alguien de departamento puede cambiar también quién le ve, y por eso sólo puede hacerlo el Propietario o un Administrador, aunque no se haya fijado ningún límite. Lo mismo vale para borrar un departamento que todavía tiene personas, aunque estén desactivadas, porque las deja sin departamento. Con el directorio abierto a toda la empresa puede hacerlo también un Supervisor, salvo que el cambio haga visible algún dato de esa persona que su grupo de antes no mostraba, porque eso es publicarlo y sólo puede hacerlo el Propietario o un Administrador. Con el directorio cerrado, cambiar a alguien de departamento no enseña nada a nadie. Reactivar a alguien no cuenta como cambio de departamento, porque vuelve a las reglas que ya le aplicaban. Las personas sin departamento forman su propio grupo, Sin departamento, y por eso no se puede crear un departamento con ese nombre ni dárselo a uno que ya existe.

El trabajador no puede ocultar sus propios datos ni salir del directorio por su cuenta. Qué se muestra de él lo decide la Organización para todo su departamento, o para todas las personas sin departamento, y hoy la Plataforma no permite hacer una excepción con una sola persona. Lo que sigue en su mano es lo de siempre, borrar su fotografía de perfil o cambiar el teléfono de su ficha.

Con el directorio abierto, cada trabajador ve en su pantalla quién le ve, toda la empresa o los departamentos concretos, con alguien dentro, cuyas personas le ven, y qué ven de él. Cuando alguien le ve, su propia fila aparece tal como la ven los demás, de modo que puede comprobar en cualquier momento qué se está compartiendo de él sin tener que preguntarlo. Se le dice qué grupo le ve aunque la Organización haya ocultado ese grupo a todos los demás, porque saber quién ve los propios datos es un derecho de la persona y pesa más que esconder el nombre de un grupo. Con el directorio cerrado, su pantalla le dice que el directorio de su empresa está cerrado.

Los Usuarios con rol Supervisor, Admin u Owner disponen además de una pantalla de organigrama con el árbol de departamentos de la Organización, de qué departamento depende cada uno, quién es su responsable y sus miembros activos, con su nombre y su fotografía, y también las personas activas que no tienen departamento. Esos mismos roles organizan el árbol, nombran a los responsables y mueven a las personas de un departamento a otro, con las reglas del apartado 6.IV.2. Un responsable tiene que ser miembro activo de su departamento y deja de figurar como tal al salir de él o al desactivarse. Es una pantalla de gestión, que funciona igual con el directorio abierto o cerrado y no pasa por sus límites, pero no abre ningún dato nuevo, porque esos roles ya acceden a la ficha de toda la plantilla (apartado 7.1). Los trabajadores no la ven.

La base coherente con el diseño, que la Organización tiene que confirmar como Responsable, es el art. 6.1.f) Interés legítimo, el suyo en que la plantilla pueda localizarse y comunicarse para organizar el trabajo. No se propone el consentimiento, por la asimetría de la relación laboral, ni la ejecución del contrato, porque que cada persona pueda ver el correo o el teléfono de las demás rara vez es necesario para cumplir el contrato de cada una.

Apoyarse en el interés legítimo obliga a la Organización a ponderarlo frente a los derechos de su plantilla y a documentar esa ponderación. Geozly no la presume, pero el diseño aporta lo que la sostiene. El directorio nace cerrado y sólo lo abre la Organización. De cada persona que aparece se muestran siempre el nombre y apellidos, el departamento y si es su responsable, de partida también la fotografía, salvo que la Organización decida dejar de mostrarla, y el correo y el teléfono sólo si la Organización decide mostrarlos, cada uno por separado, en cada departamento y en el grupo de las personas sin departamento. Sólo los ven personas activas de la misma Organización y dentro de la Plataforma. La Organización puede además limitar quién ve a quién. Cada trabajador ve qué se comparte de él y quién lo ve, y puede borrar su fotografía de perfil cuando quiera. En contra pesa que, con el directorio abierto, la fotografía se muestra si nadie decide lo contrario, que el correo y el teléfono de la ficha pueden ser personales y que un trabajador puede no esperar que toda la empresa vea sus datos. Por eso conviene que la Organización revise qué correo y qué teléfono figuran en las fichas antes de encenderlos, y que sólo los encienda donde sean de trabajo.

La Organización debe informar a su plantilla de este tratamiento conforme al artículo 13 del RGPD antes de abrir el directorio y, como el correo y el teléfono de la ficha se recogieron para otra cosa, antes de empezar a mostrarlos a los compañeros (artículo 13.3). Por eso el directorio no se abre solo y la Plataforma se lo recuerda a quien lo abre. Cada trabajador puede oponerse por motivos relacionados con su situación particular (artículo 21 del RGPD), y la solicitud se dirige a la Organización por el cauce del apartado 10.2. Como hoy la Plataforma no permite ocultar a una sola persona, la Organización puede atenderla apagando ese dato en su departamento, o en el grupo de las personas sin departamento, limitando qué departamentos lo ven o cerrando el directorio.

Estos datos se muestran en el directorio sólo para que la plantilla pueda encontrarse y ponerse en contacto. Geozly no los usa para ninguna otra finalidad, la pantalla no permite exportarlos ni descargarlos, no interviene ningún proveedor nuevo y no se comunican a ningún tercero. El directorio no lo ve la asesoría laboral (apartado 7.1 ter) ni viaja en las notificaciones automáticas hacia sistemas de terceros del apartado 7.4.

El directorio no es una copia. Se calcula en cada consulta a partir de la ficha de cada persona y de la configuración de la Organización, y la Plataforma no guarda ninguna lista de quién aparecía en él ni de lo que mostraba. Por eso un cambio en la ficha, una baja o un cambio de configuración se nota en la siguiente consulta, y los datos que enseña siguen el plazo de conservación de la ficha del trabajador (apartado 8). Consultar el directorio no se anota en el registro de auditoría. Sí se anota cada cambio que alguien hace de lo que se comparte y de quién ve a quién, con el antes y el después.

Las fotografías de los compañeros que muestra el directorio no se guardan en el dispositivo. La aplicación móvil las mantiene sólo en memoria mientras se usa y las descarta al cerrar la sesión, y la web las recibe con la instrucción de que el navegador no las almacene. Así, que la Organización deje de compartirlas o cierre el directorio, que alguien se vaya de la empresa o que se cierre la sesión en un teléfono compartido no deja esas fotos guardadas en el teléfono ni en el ordenador.

El panel tiene una sección, Comunicación, donde cualquier usuario del panel de una Organización, sea cual sea su rol, puede pedir a Geozly una funcionalidad nueva, sumarse a una que ya pidió otra persona, retirarse de ella y reportar un error. Participar es voluntario. Los trabajadores no la tienen ni en la aplicación ni en su área web.

Este tratamiento lo decide Geozly y no la Organización, así que Geozly es su Responsable, también cuando quien escribe es un empleado. La finalidad es recoger y atender esas peticiones y esos reportes, decidir qué se construye y corregir los fallos, y la base es el interés legítimo de Geozly (art. 6.1.f RGPD), con la ponderación del apartado 4.

De cada petición y de cada reporte, los usuarios del panel de todas las Organizaciones ven:

• el título y la descripción que escribió quien la creó;
• su estado y, si Geozly la rechaza, el motivo del rechazo;
• la fecha en que se creó y la del último cambio de estado;
• en las peticiones, el número de personas que la piden;
• si la ha pedido o lo ha reportado la propia persona que lo está mirando.

Nadie más que Geozly ve quién escribió cada petición o cada reporte, quién se sumó a una petición ni desde qué Organización, y pedir una funcionalidad, sumarse a ella, retirarse o reportar un error no queda anotado en el registro de auditoría de la Organización, porque ese registro lo leen sus administradores. Geozly sí ve quién escribió cada una, quién se sumó o se retiró y cuándo, y desde qué Organización.

El texto, en cambio, es público para todas las Organizaciones. Antes de enviarlo, el formulario avisa de que lo verán todas las empresas que usan Geozly, sin el nombre de quien lo escribe ni el de su empresa, y pide no incluir datos de otras personas.

Geozly puede editar o borrar el título y la descripción de una petición o de un reporte para quitar datos que no debían estar. El historial de lo que Geozly hace sobre cada una guarda que se editó, quién lo hizo y cuándo, pero nunca el título ni la descripción anteriores, porque conservarlos sería conservar justo lo que se quería quitar. Lo que el historial sí conserva son los motivos de rechazo, uno por cada cambio, porque los escribe Geozly y son públicos.

Un reporte de error sigue publicado aunque se borre la cuenta de quien lo escribió, ya sin autor. Una petición de funcionalidad sigue publicada mientras alguien la pida. Cuando no queda nadie, porque las personas que la pedían se retiraron, se borraron sus cuentas o Geozly las quitó a petición suya, deja de verse en el panel, pero no se borra: Geozly conserva su texto, ya sin autor, hasta que decide borrarla. Los plazos de conservación están en el apartado 8. Un sub-encargado no recibe nada distinto de lo que recibe por el resto de la Plataforma (alojamiento y copias de seguridad).

Como Geozly es el Responsable de este tratamiento, los derechos sobre estos datos se ejercen directamente ante Geozly, escribiendo a contact@geozly.com, y no ante la Organización (apartado 10.2). Quien quiera dejar de figurar en una petición puede retirarse desde el propio panel mientras la petición no esté implementada ni rechazada; si lo está, o si quiere que se borre del todo que la pidió, lo pide por ese cauce y Geozly borra su vínculo con la petición desde su consola, dejando constancia en el historial de que quitó a una persona, sin decir a quién. Un reporte de error no se puede retirar desde el panel, y su supresión, o la de un dato dentro de cualquier texto, se pide igual y la ejecuta Geozly con la moderación del apartado anterior.

Si tu empresa ha activado el canal interno de informaciones que exige la Ley 2/2023, Geozly es quien pone la herramienta, y tu empresa es quien lo gestiona: quien lee las comunicaciones, quien decide qué hacer con ellas y quien responde de los plazos. Para abrirlo, tu empresa ha tenido que declarar que tiene aprobado su procedimiento y que ha designado a su Responsable del Sistema y lo ha comunicado a la autoridad. Esas dos cosas son suyas; Geozly no las puede hacer por ella ni comprobarlas.

Puedes usar el canal aunque ya no trabajes ahí, aunque estés en un proceso de selección, aunque trabajes para un proveedor o aunque colabores como voluntario. No hace falta tener cuenta en Geozly, y no se te crea ninguna.

La ley obliga a admitir comunicaciones anónimas y a responderlas igual. Si eliges el modo anónimo, no guardamos tu nombre ni tus datos de contacto, y el único modo de volver a tu expediente es el código que te damos al enviarlo. Lo que sí se guarda es lo que escribes y la fecha y hora en que lo envías, porque la ley nos obliga a registrarlas.

Y se guarda el día en que vuelves por primera vez después de que la empresa te haya respondido, que no lo obliga ninguna ley. Es lo que abre el plazo a partir del cual la empresa puede suprimir el contenido del expediente, algo que decide quien lo instruye y que no depende de que tú lo pidas; ese plazo se abre también a los treinta días del cierre del expediente si no vuelves. Al suprimirlo se borra también la respuesta que te dio, que es la única copia que tienes de ella. Se guarda un día y no una hora para que nadie pueda deducir del producto el momento en que estabas leyendo: la hora de tus visitas no queda en tu expediente, ni en tu credencial, ni junto a tu comunicación. La guardan dos sitios, y los dos están dichos aquí: el límite de ritmo del párrafo siguiente, bajo un seudónimo del día, y el registro de quien entrega esta página, que apunta cada visita como lo haría cualquier web (apartado 6.VI.5). La marca del día desaparece cuando se suprime el contenido de tu expediente, y después ya no se vuelve a escribir.

Ese código no se puede recuperar: no lo guardamos en claro y nadie, tampoco nosotros, puede regenerarlo. Y una cosa más que se guarda un rato y conviene que sepas: para que nadie pueda ir probando códigos hasta acertar, guardamos la hora de esos intentos y, en vez de la dirección de internet desde la que se hacen, un valor que sale de ella. Eso dura una hora desde tu último intento, así que la hora de un intento concreto puede quedarse hasta dos horas si haces varios seguidos. De ese valor no se vuelve a la dirección sin una clave que cambia cada día, y esa clave la tenemos nosotros, así que durante ese rato podríamos llegar a la dirección. No se guarda en ninguna tabla ni junto a tu comunicación y se borra solo, pero mientras dura lleva la hora del intento y tu comunicación también tiene la suya, así que se pueden cruzar.

Sólo las personas que tu empresa haya designado por escrito para instruir el expediente. No basta con ser administrador ni propietario de la cuenta: la ley lo encarga a una persona concreta, y en Geozly sólo el titular de la cuenta puede designarla.

El producto no le da a Geozly ninguna forma de leer una comunicación: cuando tu empresa nos pide ayuda y entramos en su cuenta, este canal nos rechaza siempre, también si quien nos lo pide es el propietario. Lo que no podemos prometerte es que sea imposible, porque tu comunicación se guarda en nuestros servidores y en sus copias de seguridad: a ellos llega un número mínimo de personas, con acceso restringido y sujeto a deber de secreto. Tampoco te decimos que ese acceso quede anotado en ningún sitio, porque no lo está, y preferimos decírtelo a que suene a una medida que no tenemos.

Lo que escribes, la categoría, la fecha y hora, y los archivos que adjuntes. Si a los tres meses de recibirla tu empresa no ha iniciado actuaciones de investigación, borramos el contenido y conservamos sólo el rastro mínimo de que el canal la recibió y la atendió, que es lo que la propia ley permite conservar para dejar constancia de que el sistema funcionó.

Y eso no depende de que tu empresa escriba una palabra en un formulario: para dar tu comunicación por resuelta tiene que haberla admitido a trámite antes, así que lo que se conserva es lo que tu empresa admitió a trámite. Lo que el producto sabe es eso, la admisión, y no si después se investigó. Si la han remitido al Ministerio Fiscal, se conserva aunque no la admitieran, porque esa remisión es un acto del que tu empresa puede tener que responder.

Y una cosa que vale para todo lo que se borra en Geozly y que aquí conviene repetir: lo suprimido desaparece de la Plataforma, pero puede seguir dentro de las copias de seguridad hasta que caduquen, como máximo siete meses después. Las copias externas no se pueden borrar antes de su plazo, ni siquiera por nosotros, que es justamente lo que las protege de un borrado malintencionado. Se usan sólo para recuperar el servicio tras un desastre, nunca para consultar nada, y el apartado 8 lo dice de todo el producto.

El libro de registro no guarda datos personales más de diez años, y a partir de ahí también el expediente queda reducido a ese rastro mínimo y del libro desaparecen tanto el nombre de quien hizo cada cosa como el detalle que escribió. Vencido ese plazo tu código deja de abrir nada, porque también se borra: hasta entonces sigue funcionando aunque el contenido se haya suprimido, para que puedas leer en qué quedó tu comunicación. Si tu empresa cierra su cuenta, todo esto se suprime a los treinta días, y antes de cerrarla tiene que haberse llevado los expedientes o haber renunciado a ellos por escrito.

De los archivos que adjuntes borramos los metadatos antes de guardarlos -una foto hecha con el móvil lleva dentro dónde se tomó-, y si envías en modo anónimo no guardamos el nombre del archivo. La página del canal no carga analítica, ni cookies de medición, ni chat, ni nada que nos avise de errores, y la dirección que abres no dice a qué empresa informas, porque el código de tu empresa va en el trozo del enlace que el navegador no manda a ningún servidor. De los registros de nuestro servidor, los que apuntan cada petición con la dirección de quien la hace, queda fuera el canal entero. Si algo se rompe de nuestro lado podemos enterarnos del error -y en ese apunte puede aparecer el número de un expediente o de una empresa, nunca lo que escribiste-, pero lo que nos llega no lleva la dirección desde la que entraste, ni tu navegador, ni nada que diga quién eres.

Lo que sí queda, y preferimos decírtelo: la página la sirve el proveedor que aloja nuestra web, y en su registro queda una línea diciendo que alguien abrió la página del canal, con la dirección de internet desde la que entraste, el navegador y la hora. Esa línea no lleva el código de tu empresa ni una palabra de lo que escribas.

Lo que no podemos hacer es nada sobre dos cosas: la fecha y hora de tu comunicación, que la ley obliga a registrar y que en una empresa pequeña reduce el número de personas que pudieron enviarla; y el equipo o la red desde los que escribes, porque si usas el ordenador o la wifi de tu empresa, quien los administra puede ver por dónde navegas.

La ley te permite informar directamente a la Autoridad Independiente de Protección del Informante, o a la autoridad autonómica que corresponda, en lugar del canal de tu empresa o después de él, y hacerlo no te quita ninguna protección. Si la persona de la que quieres informar es quien dirige tu empresa, ése es el cauce que tienes.

Los datos personales de los empleados son accesibles, dentro de la Plataforma, por los siguientes perfiles de usuario de la Organización, conforme a un sistema de control de acceso basado en roles:

• Propietario (owner): todo lo del Administrador y, además, lo que la Plataforma reserva al titular de la cuenta: la contratación del plan, la facturación y el programa de recomendación.
• Administrador (admin): acceso completo a todos los datos de empleados, registros de jornada, informes, registros de auditoría y configuración, con una excepción: las comunicaciones del canal interno de informaciones no las lee por ser Administrador, ni tampoco el Propietario, porque ahí el acceso es la designación por escrito que exige la Ley 2/2023 y no el rango (apartado 6.VI.3).
• Supervisor (supervisor): acceso a los datos de los empleados de la Organización, aprobación de permisos y gestión de turnos. Ese acceso alcanza a toda la plantilla de la Organización: la Plataforma no restringe a un Supervisor a un grupo, a un centro de trabajo ni a un subconjunto de trabajadores. No alcanza, en cambio, la firma mensual del registro de los demás trabajadores, ni sus respuestas, ni sus observaciones, ni el aviso de que alguien no está conforme, que sólo ven el Propietario y el Administrador. Sí alcanza la firma de los documentos que puede leer, con su certificado y su paquete de evidencias (apartado 3.4).
• Observador (viewer): es el rol más bajo y el que se asigna por defecto a un miembro nuevo. Consulta de sólo lectura de las pantallas de gestión que la Organización le habilite; no puede crear, modificar ni aprobar ningún dato de la Organización (sí puede pedir funcionalidades y reportar errores a Geozly, apartado 6.V), y no alcanza los datos que la Plataforma reserva a Supervisor o superior, entre ellos los permisos, las ausencias y los justificantes de los demás trabajadores.
• Trabajadores: quien es sólo trabajador no tiene ninguno de los cuatro roles anteriores; su acceso se limita a sus propios datos personales, registros de jornada e historial, con una excepción. En el directorio de la empresa ve el nombre de las personas de su Organización que ésta le deja ver, su departamento y la fotografía, el correo y el teléfono que la Organización muestre de ellas (apartado 6.IV).
• Asesoría laboral autorizada: no es un rol de la Organización ni ocupa ninguno de los anteriores. Entra por un portal propio, sólo si la Organización la autoriza, y sólo ve lo que describe el apartado 7.1 ter.

Los documentos que la Organización publica a su plantilla -nóminas y equivalentes- se almacenan en la infraestructura de Geozly y se sirven por las mismas dos puertas que el justificante de una ausencia (apartado 6.I): la ordinaria es una petición autenticada, y la segunda es un enlace firmado, de un solo archivo y válido cinco minutos, que la Plataforma emite a petición de quien ya está autenticado para que el visor de archivos del teléfono -que no puede presentar credenciales- pueda abrirlo. Ese enlace se re-autoriza al abrirse contra el estado del momento, pero no comprueba quién lo está abriendo, de modo que dentro de esos cinco minutos funciona para quien lo tenga; por eso se entrega únicamente al visor del propio dispositivo. Fuera de esa ventana no existe ninguna dirección que permita descargarlos sin autenticarse, y ni el correo de aviso ni ninguna notificación incluyen el archivo ni un enlace a él.

Como Encargado del Tratamiento, Geozly dispone del acceso técnico a esa infraestructura que es inherente a operarla, y lo limita al personal estrictamente necesario, sujeto al deber de confidencialidad del artículo 28.3.b del RGPD. Ese acceso se utiliza para mantener y restaurar el Servicio, nunca para consultar el contenido de los documentos de una Organización.

Cuando ese personal accede a un documento a través de la Plataforma, incluso en una sesión de soporte iniciada mediante suplantación, la lectura queda registrada en el historial de accesos del propio documento e identificada como acceso de soporte de Geozly, no como acceso de la Organización. Ese historial es consultable y exportable por la Organización, en cumplimiento del artículo 28.3.h del RGPD. Distingue cinco canales -el trabajador, la empresa, la asesoría laboral, el sistema y el soporte de Geozly-, y el canal lo decide la puerta por la que se entró, no la persona, porque una misma persona puede ser administradora de la empresa y asesora.

Geozly no lee el contenido de los archivos que publica la Organización. La propuesta de a qué trabajador corresponde cada nómina se calcula a partir del nombre del fichero. La excepción son los lotes de nóminas que sube una asesoría autorizada, cuyo texto se lee en el propio servidor para localizar el NIF de cada trabajador y no se guarda (apartado 7.1 ter). En ningún caso se envía el documento a un tercero ni a un proveedor de inteligencia artificial.

La Organización puede autorizar a su asesoría laboral a entrar en la Plataforma por un portal propio. La asesoría es encargada del tratamiento de la Organización, por el contrato del artículo 28 del RGPD que tienen entre ellas, y no es sub-encargada de Geozly, ni Geozly de ella: por eso no figura en la tabla del apartado 7.2, y su acceso no es una comunicación de datos (artículo 33.1 de la LOPDGDD).

Quién decide. Siempre la Organización, por medio de su Propietario o de un Administrador, que no puede ser a la vez miembro de esa asesoría. Si autoriza un Administrador, se avisa por correo al Propietario, salvo que haya apagado ese aviso. Ampliar después lo que puede hacer la asesoría exige volver a aceptar el texto con los permisos nuevos, y con las mismas reglas; retirarle permisos, no. Queda constancia de quién autorizó, cuándo, con qué capacidades y de la versión y la huella del texto que aceptó cada parte. La Organización y la asesoría pueden retirar el acceso en cualquier momento, y surte efecto en el acto.

Qué ve la asesoría. El nombre, los apellidos, el NIF, el código de nómina, el tipo de contrato y las fechas de alta y de baja de cada trabajador, la fecha en que se le desactivó en la Plataforma y si tiene una cuenta en la que recibir la nómina; su ubicación de cara a festividades si la Organización le ha asignado una, que es con la que se cuentan sus festivos, con su nombre, su municipio y su comunidad, o que no tiene ninguna, y sólo en el portal, porque el paquete mensual no lleva ubicaciones, salvo el recuento de centros de trabajo y de personas de la otra zona horaria que imprime su manifiesto, que dice cuántos centros de trabajo activos y cuántas personas con su ubicación de cara a festividades tiene la Organización en la otra zona horaria, en Canarias si la Organización tiene la hora peninsular, o fuera de Canarias si tiene la canaria, y que, si es una sola persona, dice en qué zona está la suya, y uno de esos centros puede ser el domicilio de quien teletrabaja, si la Organización lo ha dado de alta como ubicación; sus jornadas, con la entrada, la salida, las pausas, el total, si se verificaron dentro del perímetro, si fueron remotas, si se ficharon sin conexión, si se corrigieron y si las creó la Organización en lugar de ficharlas el trabajador; las correcciones de jornada, con quién las hizo, cuándo, por qué y qué horas cambiaron, con las de antes y las de después; las ausencias, con su tipo, su naturaleza, sus fechas, las horas concedidas y su estado, y por tanto la existencia y las fechas de una baja médica; las cantidades de la pre-nómina, incluidas las horas nocturnas, en festivo y en domingo, los kilómetros y los importes de los gastos aprobados; el estado de la cadena de integridad del registro de jornada, sólo como conclusión, que dice si tiene fallos detectados sin cerrar, cuántos y desde cuándo, y nunca la cadena misma, salvo su último hash y su número de eventos, que lleva el registro sellado si la Organización le permite generarlo; las alertas de su cartera, que nombran a cada trabajador afectado y dicen que fichó durante una baja o unas vacaciones aprobadas, que descansó menos de 12 horas entre dos días de trabajo, que pasó 14 días sin 36 horas seguidas de descanso, que fichó sin código de nómina, que estando activo no tiene ni jornadas ni ausencias en un periodo ya terminado, que al terminar el periodo de devengo tiene jornadas sin cerrar o ausencias sin aprobar, o que lleva 70 horas extra pagadas o más en el año natural, contadas también las de los meses anteriores a que la Organización la autorizara; las novedades del mes, con su tipo, su fecha, su importe y su nota, que viajan también en el paquete, y en el portal el nombre de quien registró cada una; las consultas que se hacen entre ella y la Organización, que pueden referirse a un trabajador, a un día o a una jornada, con todos sus mensajes, que son texto libre, el nombre de quien escribe cada mensaje y el de quien abre y cierra cada consulta; y, de las nóminas que subió ella, cuándo se publicó cada una, si cada trabajador la ha recibido, abierto, descargado o firmado su acuse, qué firma o acuse pidió la Organización, de qué tipo y con qué nivel, y si se firmó, nunca su contenido una vez entregada ni el registro de evidencias de la firma. Las jornadas, las correcciones y las ausencias las puede consultar de cualquier fecha, también de antes de que la Organización la autorizara. La pre-nómina la genera del mes de nómina que se está preparando o del anterior, y las alertas se miden sobre el mes que se está preparando, aunque esos meses empiecen antes de que la Organización la autorizara.

Cuando esa ubicación es un domicilio. Si la Organización ha dado de alta como ubicación el domicilio de quien teletrabaja y es su ubicación de cara a festividades, la asesoría ve el nombre, el municipio y la comunidad de ese domicilio. El nombre lo escribe la Organización y puede llevar el de la persona o el de su calle.

Lo que se puede deducir de ello. A una parte de la plantilla la ubicación de cara a festividades se la puso la Plataforma una sola vez, al crear ese campo, con la ubicación de más de la mitad de sus jornadas de los 90 días anteriores, así que de esas personas, mientras nadie la cambie, dice dónde fue la mayoría de sus jornadas de entonces, y a quien teletrabajaba casi siempre se la pudo poner en su domicilio. Las horas en festivo de una jornada cuyo registro o turno tiene ubicación se cuentan con los festivos de esa ubicación, y por eso apuntan a dónde se trabajó ese día. Por ejemplo, ocho horas en festivo en una fiesta local de Getafe, de alguien que tiene Madrid de cara a festividades, apuntan a que esa jornada fue en Getafe. Y si la jornada no tiene ubicación y la persona tampoco tiene ubicación de cara a festividades, se cuentan con los festivos de la comunidad y el municipio de su ficha, que son los de su domicilio, así que dejan deducir su comunidad y a veces su municipio. Ocho horas en festivo un 21 de septiembre en una Organización de Albacete apuntan a un domicilio en Logroño o en Oviedo, donde ese día es San Mateo. La Organización lo evita a partir de entonces dando a esa persona una ubicación de cara a festividades, que pasa a decidir sus festivos y que la asesoría ve con su nombre, su municipio y su comunidad. Si esa ubicación es su domicilio dado de alta como ubicación, la asesoría deja de deducirlo y pasa a verlo (párrafo anterior). Lo que ya salió no cambia, porque los paquetes ya generados y lo que la asesoría descargó conservan la cifra anterior, y el cambio, como cualquier cambio del municipio de la ficha, llega a la asesoría como regularización de los meses que ya importó, con la cifra anterior y la nueva, y como cambio posterior al paquete en los que no importó.

Qué no ve nunca, y ninguna Organización puede abrírselo: las coordenadas de ningún fichaje ni la distancia al centro, el mapa en vivo, el recorrido de la jornada con sus puntos y su distancia estimada, las fotografías, los justificantes médicos y de gastos, el correo y el teléfono de los trabajadores, la dirección de referencia desde la que se calculan sus desplazamientos, la dirección y los demás datos del domicilio de su ficha (la comunidad, la provincia, el municipio y el código postal), las alertas del panel de la Organización, las antifraude incluidas, y las marcas antifraude, las notas libres de la jornada, los avisos que los trabajadores envían a la Organización (apartado 6.8), las encuestas, los PIN de kiosco y el coste por hora o mensual. Que no vea el domicilio de la ficha no impide lo que dicen los párrafos anteriores, que vea el domicilio que la Organización haya dado de alta como ubicación de cara a festividades de esa persona ni que de las horas en festivo deduzca la comunidad y a veces el municipio de quien no tiene ubicación de cara a festividades.

El registro sellado. El registro de jornada sellado que la asesoría puede generar si el Propietario de la Organización se lo permite tampoco lleva el correo de nadie ni las notas de la jornada. De cada jornada lleva el nombre y el NIF del trabajador, la fecha, la entrada, la salida, las pausas, el total y la columna Origen, que dice si se fichó, con conexión o sin ella, si la creó la Organización, si se importó y si se corrigió. En CSV lleva además si se verificaron la entrada y la salida y la columna Auto-checkout, que dice si la jornada la cerró la Plataforma sola, y en PDF eso lo dice el origen. Al pie lleva el último hash de la cadena de integridad y su número de eventos.

Qué hace con ello. Cada mes recibe un paquete con las variables de la nómina. El correo que la avisa no lleva el fichero, ni ningún enlace, ni el nombre de ningún cliente ni de ningún trabajador: se descarga dentro del portal, que exige un segundo factor de autenticación. También puede subir las nóminas que calcula para que la Plataforma se las entregue a cada trabajador. Para repartirlas, la Plataforma lee el texto del PDF en su propio servidor, sin inteligencia artificial y sin enviarlo a nadie, sólo para encontrar el NIF de cada trabajador, y no guarda ese texto. Por defecto, una persona de la asesoría abre y revisa cada nómina antes de poder confirmar el lote. La asesoría puede elegir la asignación automática, en la que sólo revisa las que la Plataforma no da por seguras, como una página con el NIF de otra persona o sin el nombre de quien la recibe. En ese modo existe el riesgo de que una nómina llegue a otra persona, y la asesoría lo asume frente a la Organización tras aceptar una advertencia; la Organización ve en cada lote cómo se asignaron sus nóminas. La nómina llega al trabajador en nombre de su empresa, cuando la Organización la libera o, si lo aceptó, a las 8 de la mañana de la fecha de pago, nunca antes de las 8 de la mañana del día siguiente a confirmarla, para que siempre haya una noche en la que retenerla. Si una nómina llega a quien no era, se retira en el acto y, si la retira la asesoría, la Organización recibe aviso inmediato.

Qué queda registrado. Todo lo que hace la asesoría con los datos de una Organización queda en el registro de auditoría de esa Organización con el nombre de la asesoría, incluidas sus consultas, una vez al día por persona y por cosa consultada, y cada descarga. La Organización lo ve, aunque sin la dirección IP ni el navegador del asesor, que ninguna de las dos partes le enseña a la otra, y ve también la lista de todo lo que la asesoría descargó, con su fecha y su huella. Lo que la asesoría descarga sale de la Plataforma y se rige por su contrato con la Organización: Geozly no puede borrarlo.

Para el trabajador. Informarle de que su asesoría laboral trata sus datos le corresponde a la Organización, que es la Responsable (artículos 13 y 14 del RGPD), y el texto que acepta al autorizarla se lo recuerda. Los derechos se ejercen ante la Organización, como el resto (apartado 10).

Para la prestación del Servicio, el Titular recurre a los siguientes proveedores, que acceden a datos personales. La mayoría lo hace como sub-encargados del tratamiento (artículo 28 RGPD), es decir, tratando los datos únicamente por cuenta del Titular y siguiendo sus instrucciones. No todos: en Google Maps Platform y, respecto de los datos de pago, en Stripe, el proveedor decide por su cuenta los fines y los medios de lo que hace con los datos que recibe y actúa como responsable independiente, de modo que esa relación no se rige por un contrato de encargo. La columna Servicio lo indica en la fila de cada uno.

En la medida en que se utilicen servicios de proveedores ubicados fuera del Espacio Económico Europeo (EEE), el Titular garantizará que dichas transferencias se realizan con las garantías adecuadas exigidas por el RGPD, incluyendo:

• Decisiones de adecuación de la Comisión Europea.
• Cláusulas contractuales tipo aprobadas por la Comisión Europea.
• Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework), cuando el proveedor esté certificado.

Excepción declarada: el canal opcional de fichaje por Telegram. Telegram FZ-LLC está en Emiratos Árabes Unidos, un país sobre el que la Comisión Europea no ha adoptado ninguna decisión de adecuación, y su interfaz para bots no permite firmar ni cláusulas contractuales tipo ni un contrato de encargo. Por eso esta transferencia no se apoya en ninguna de las tres garantías anteriores, sino en el artículo 49.1.a del RGPD: el consentimiento explícito del propio trabajador, que antes de vincular su cuenta lee qué se va a enviar y qué riesgo asume. Es voluntaria por definición: nadie queda vinculado por decisión de su empresa, quien no la quiere ficha igual desde la app, desde la web o desde el kiosco, y quien la ha aceptado puede retirarla en cualquier momento desde su perfil o escribiendo /desvincular al bot.

Conviene saber qué significa en la práctica que no haya garantías adecuadas: los chats con bots de Telegram no van cifrados de extremo a extremo, los mensajes quedan en el historial del chat del trabajador, y ese historial está en la cuenta personal de esa persona, no en la Plataforma, así que ni su empresa ni el Titular pueden borrarlo. Solo puede hacerlo quien es dueño de la cuenta.

Por eso el canal envía lo mínimo que le permite funcionar. Una excepción del artículo 49 se sostiene o no según lo que se transfiera, y desde el 19 de septiembre de 2026 lo que Telegram puede ver es que esa cuenta de Telegram ha hablado con el bot -desde el primer mensaje y aunque al final no se conecte nada-; la hora a la que se pulsa cada botón y, como los mensajes se quedan en el chat, la de cada entrada, salida y pausa hecha por esta vía; si hay una jornada abierta, si hay una pausa en curso y si se puede fichar ahora desde ese chat, porque de ello dependen los botones que se ofrecen; si se abre en ese chat el enlace de otra empresa, que el trabajador trabaja o ha trabajado para más de una; al abrir una invitación, si la empresa que la envía tiene activado el fichaje por Telegram; que el trabajador ha vinculado otra cuenta de Telegram, si lo hace; y que su cuenta de Geozly está bloqueada, si lo está. Los tres últimos son avisos que el bot da porque le sirven al propio trabajador. No puede ver su nombre ni su documento de identidad, para qué empresa trabaja, su turno ni su centro de trabajo, su ubicación, ni el historial de fichajes guardado en Geozly o las horas que la Organización le calcula. Antes salían también el nombre de la empresa, el turno, el centro de trabajo y la hora de entrada, varias veces al día. Las dos listas se explican en el apartado 6.III.2. El mensaje no se cifra porque no es un dato en tránsito sino la pantalla misma que lee el trabajador: Telegram sólo muestra texto plano, y la única reducción posible era dejar de enviar.

Segundo caso declarado: el transporte del aviso push hasta un iPhone. Aquí el destinatario es una sociedad irlandesa, Apple Distribution International Ltd., de modo que la comunicación en sí no sale del Espacio Económico Europeo y no es una transferencia internacional. Lo que ocurre es otra cosa y conviene decirla: el acuerdo de desarrollador de Apple no acota por dónde viaja después la notificación -se reserva transmitirla a través de diversas redes públicas- y no somete ese servicio a un contrato de encargo, a diferencia de lo que Apple sí ofrece para iCloud, que esta Plataforma no usa. Es decir, no puede afirmarse que el trayecto se quede dentro del Espacio Económico Europeo, ni negarse.

La respuesta a esa indeterminación no es una cláusula, porque Apple no la ofrece, sino lo que se envía: el aviso no lleva el nombre del centro de trabajo y nunca nombra el tipo de permiso, de modo que no transporta ni la ubicación de nadie ni ningún dato de salud, y su contenido es el mismo texto que ya aparece en la pantalla de bloqueo del teléfono. El propio acuerdo de Apple advierte de que no debe incluirse información personal sensible en una notificación, y ésta es la medida que hace cierto que no se incluye. Quien no quiera recibirlas puede desactivarlas desde su perfil, y entonces por esta vía no sale nada.

El Titular no cederá datos personales a terceros salvo en los siguientes supuestos:

• Cuando exista una obligación legal de comunicación (requerimiento judicial, administrativo o fiscal).
• Cuando sea necesario para la defensa de los derechos e intereses legítimos del Titular.
• Con el consentimiento previo y expreso del interesado o de la Organización, según corresponda.

Además, la Organización puede configurar por su cuenta notificaciones automáticas hacia un sistema propio o de un tercero (webhooks): cuando lo hace, Geozly envía un aviso a la dirección que la Organización indique cada vez que ocurre el evento suscrito. El destino lo elige la Organización, que responde de él como Responsable del Tratamiento. El aviso está minimizado por diseño: contiene identificadores internos, marcas temporales y valores numéricos o de estado, y no incluye nombre, correo electrónico, documento de identidad, coordenadas ni texto libre.

• Cifrado de contraseñas: las contraseñas se almacenan utilizando algoritmos de hash seguros, nunca en texto plano. La única credencial que se conserva legible es el PIN de fichaje en tableta del apartado 3.1, y se conserva así porque la Plataforma lo asigna y alguien de la Organización tiene que poder leerlo para entregárselo al trabajador. No lo elige el Usuario, de modo que no es la contraseña que pueda estar usando en otro servicio, y lo único que autoriza es fichar en una tableta compartida.
• Autenticación basada en tokens: sistema de autenticación JWT (JSON Web Token) con tokens de acceso de corta duración y tokens de refresco, con renovación automática.
• Doble factor para las asesorías: el portal por el que una asesoría laboral entra en los datos de sus clientes exige, además de la contraseña, un código de una aplicación de autenticación, con códigos de recuperación de un solo uso. El secreto se guarda cifrado con una clave propia. Cada sesión del portal caduca a los 60 minutos sin uso y a las 10 horas en todo caso, la persona recibe aviso de cada una nueva, y nada del portal funciona en una sesión de soporte de Geozly.
• Comunicaciones cifradas: todas las comunicaciones entre el cliente y el servidor se realizan a través de protocolos seguros (HTTPS/TLS).
• Archivos cifrados en el servidor: desde el 23 de septiembre de 2026, todo archivo subido a la Plataforma (documentos y nóminas, justificantes de ausencia y de gasto, fotografías y logotipos) se guarda cifrado con AES-256-GCM, y los anteriores a esa fecha se cifraron el mismo día. La clave está en la configuración del servidor, fuera de la base de datos y de todas las copias de seguridad, así que una copia de los archivos que saliera del servidor, o un disco retirado, no se puede leer. No es cifrado de extremo a extremo: la Plataforma descifra los archivos para entregarlos a quien tiene derecho a verlos, y quien comprometiera el servidor en funcionamiento podría hacer lo mismo. La base de datos no está cifrada en reposo: los datos estructurados (fichajes, datos identificativos y retributivos) se protegen con el control de acceso descrito en este apartado.
• Copias de seguridad cifradas y fuera del servidor: cada día se hace una copia completa de la base de datos y de los archivos subidos, y se comprueba que está completa antes de darla por buena. Además de guardarse en el propio servidor, se cifra allí mismo antes de salir y se envía a un almacenamiento de Hetzner en Alemania (apartado 7.2). El servidor solo tiene la clave con la que se cifra, no la que descifra, que se custodia fuera de él, así que ni Hetzner ni quien llegara a entrar en el servidor pueden leer esas copias. Una vez enviadas quedan bloqueadas contra el borrado hasta que vence su plazo (apartado 8), de modo que tampoco se pueden destruir desde el servidor. Las copias que se quedan en el propio servidor llevan la base de datos sin cifrar, igual que en uso, y los archivos subidos cifrados, como están en el servidor.
• Control de acceso basado en roles (RBAC): sistema de permisos granular que limita el acceso a los datos según el rol del usuario (propietario, administrador, supervisor, observador y trabajador). La asesoría laboral autorizada no tiene ninguno de esos roles: entra por un espacio propio que sólo sirve lo que describe el apartado 7.1 ter.
• Aislamiento de datos por organización: cada Organización accede exclusivamente a sus propios datos, garantizado mediante identificadores de organización en cada solicitud.
• Renovación automática de sesiones: mecanismo de interceptores HTTP que gestionan la renovación de tokens de forma transparente y segura.
• Cierre de sesión seguro: la desconexión elimina todos los tokens de autenticación y datos de sesión del almacenamiento local del navegador.

• Registro de auditoría de las modificaciones: queda registrada toda acción que crea, modifica o elimina datos de la Organización, con el Usuario que la ejecutó -o la indicación de que la ejecutó el sistema, cuando la origina un proceso automático, que no tiene navegador ni dirección IP-, la fecha y la hora, la dirección IP cuando la acción llega en una petición de un cliente, y el detalle del cambio. Hay dos excepciones deliberadas. La primera es la respuesta a una encuesta anónima: no se registra, porque la anotación nombraría a quien respondió, el minuto y su dirección IP, que es exactamente lo que la Plataforma promete no saber. La segunda son las consultas y exportaciones que el personal de soporte de Geozly realiza dentro de una sesión de suplantación, que ni se anotan en este registro ni se muestran en él, por ser operación interna de Geozly y no un hecho sobre cómo la Organización gestiona su empresa; en cambio, todo lo que esa sesión crea, modifica o elimina sí se registra y sí se muestra, nombrando al operador. El acceso del personal de soporte a los documentos publicados a la plantilla queda además anotado en el historial del propio documento, conforme al artículo 7.1 bis. Con una asesoría laboral autorizada es al revés que con el soporte: de lo que hace con los datos de una Organización se anotan también sus lecturas, con el nombre de la asesoría, y la Organización lo ve (apartado 7.1 ter).
• Principio de mínimo privilegio: los usuarios acceden exclusivamente a las funcionalidades y datos que corresponden a su rol.
• Procedimiento de restablecimiento de contraseña seguro: proceso de recuperación mediante un código de un solo uso que llega al correo de la cuenta, que caduca a los treinta minutos, admite un número limitado de intentos y no va acompañado de ningún enlace.
• Altas controladas, por dos caminos distintos: el alta de una Organización nueva se produce por registro público en la Plataforma, sujeto a límites de frecuencia y seguido de la verificación de la dirección de correo electrónico mediante un código de un solo uso, que el panel reclama al entrar. La incorporación de trabajadores y de gestores a una Organización ya existente se realiza, en cambio, exclusivamente mediante invitación con token único emitida desde esa Organización: nadie puede incorporarse por su cuenta a una Organización ajena ni a los datos de su plantilla. Una asesoría laboral tampoco: sólo accede a los datos de una Organización con la autorización expresa de esa Organización (apartado 7.1 ter).

De conformidad con el RGPD y la LOPDGDD, los interesados tienen reconocidos los siguientes derechos en relación con sus datos personales:

Los empleados de las Organizaciones que deseen ejercer sus derechos deberán dirigirse en primer lugar a su Organización empleadora, que es el Responsable del Tratamiento de sus datos personales. La Organización canalizará la solicitud y, en su caso, instruirá a Geozly para que ejecute las medidas técnicas necesarias.

Si el empleado no obtiene respuesta de su Organización en el plazo legal, puede escribir a Geozly, que trasladará la solicitud a la Organización y le ayudará a atenderla, pero no puede decidirla por su cuenta, y puede reclamar ante la Agencia Española de Protección de Datos (apartado 10.5).

La excepción son las evidencias de firma después de un cese del servicio de firma o de todo el Servicio (apartado 3.4): en los dos casos, quien firmó, la Organización o un juzgado las pueden pedir en contact@geozly.com. La otra excepción son las peticiones de funcionalidades y los reportes de error del panel (apartado 6.V), cuyo Responsable es Geozly: los derechos sobre esos datos se ejercen directamente ante Geozly, en contact@geozly.com.

Los representantes y administradores de Organizaciones podrán ejercer sus derechos directamente ante Geozly a través de los canales de contacto indicados en el apartado 15.

Las solicitudes de ejercicio de derechos serán atendidas en el plazo máximo de un (1) mes desde su recepción. Este plazo podrá prorrogarse otros dos (2) meses en caso de solicitudes especialmente complejas o numerosas, informando al interesado dentro del primer mes.

Sin perjuicio de cualquier otro recurso administrativo o judicial, el interesado tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (www.aepd.es) o ante la autoridad de control competente en su Estado miembro de residencia habitual, lugar de trabajo o lugar de la presunta infracción.

La Plataforma guarda en el navegador los datos de sesión de la tabla siguiente, estrictamente necesarios para el funcionamiento del Servicio. Unos van en localStorage, que comparten todas las pestañas, y otros en sessionStorage, que es propio de cada pestaña y se borra al cerrarla.