Política de Privacidad

Respecto a los datos personales de los representantes y administradores de las Organizaciones que contratan el Servicio, el Responsable del Tratamiento es:

• Titular: Erick Moises Hernández Quiñones (persona física, empresario individual)
• NIF: 06713923Q
• Nombre comercial: Geozly
• Domicilio: Avenida República Argentina 93, puerta 25, 46701 Gandía (Valencia), España
• Correo electrónico de contacto: contact@geozly.com

Respecto a los datos personales de los empleados de las Organizaciones (trabajadores, supervisores, personal de oficina) tratados a través de la Plataforma:

• El Responsable del Tratamiento es la Organización empleadora, quien determina los fines y medios del tratamiento.
• Geozly actúa como Encargado del Tratamiento, tratando los datos por cuenta y según las instrucciones documentadas de la Organización.

• Coordenadas GPS (latitud y longitud) en el momento del fichaje (check-in y check-out).
• Precisión del GPS del dispositivo en metros.
• Marca temporal del dispositivo en el momento de la captura.

Los datos de geolocalización se recogen exclusivamente en el momento en que el trabajador realiza un fichaje (entrada, salida o reanudación tras pausa). No se realiza seguimiento o rastreo continuo de la ubicación del trabajador.

La verificación de presencia por geolocalización es una funcionalidad configurable por la Organización para cada ubicación de trabajo. La Organización puede optar por no requerir verificación GPS, en cuyo caso no se recogerán datos de geolocalización.

El acceso a la geolocalización del dispositivo requiere la concesión expresa de permisos por parte del trabajador a través de su navegador web o aplicación PWA. El trabajador puede revocar este permiso en cualquier momento desde la configuración de su dispositivo.

El tratamiento de datos de geolocalización se rige por el principio de minimización de datos: únicamente se recogen las coordenadas necesarias para verificar la presencia dentro de la geovalla configurada, y solo en el momento puntual del fichaje.

Conforme al artículo 90 de la LOPDGDD, la Organización empleadora, en su condición de Responsable del Tratamiento, deberá informar previamente y de modo expreso, claro e inequívoco a los trabajadores y, en su caso, a sus representantes legales (RLT), acerca de la existencia y características del sistema de geolocalización, así como del ejercicio de los derechos previstos en los artículos 15 a 22 RGPD. Geozly proporciona la herramienta tecnológica pero no sustituye este deber de información, que recae íntegramente en la Organización.

La funcionalidad es estrictamente opt-in: solo se activa cuando un Administrador o Propietario de la Organización sube deliberadamente un archivo a través de la pantalla de importación. Geozly no procesa datos mediante IA fuera de este flujo. La Organización, en su condición de Responsable del Tratamiento, debe asegurarse de disponer de base jurídica suficiente para someter los datos de sus empleados a este tratamiento y, cuando proceda, informar a los trabajadores afectados conforme al artículo 13 RGPD.

El tratamiento se ampara en el artículo 6.1.b) RGPD (ejecución del contrato suscrito entre la Organización y el Titular para la prestación del Servicio) y, subsidiariamente, en el artículo 6.1.f) RGPD (interés legítimo de la Organización en automatizar la incorporación de los datos de sus empleados a la Plataforma de control horario que ha contratado).

El proceso no constituye una decisión individual automatizada en el sentido del artículo 22 RGPD. La extracción por IA es meramente preparatoria: los datos extraídos se muestran al Administrador o Propietario en una pantalla de revisión y solo se materializan en la Plataforma tras su confirmación expresa, pudiendo ser editados o descartados libremente. No se elabora ningún perfil ni se adopta decisión alguna que produzca efectos jurídicos sobre los trabajadores.

La extracción puede ser realizada, indistintamente y según disponibilidad, por cualquiera de los proveedores de modelos de lenguaje listados como sub-encargados en el apartado 7.2 (Google LLC – Gemini API, Anthropic PBC – Claude API y OpenAI, L.L.C. – API). El Titular ha contratado los planes comerciales (no gratuitos) de dichos proveedores, en los que está contractualmente excluido el uso de los datos enviados para el entrenamiento o mejora de los modelos.

Únicamente se transmite al proveedor de IA el contenido del archivo subido por el Administrador o Propietario. No se envían identificadores de la Organización, datos de fichaje, geolocalización ni ningún otro dato de la Plataforma ajeno al documento concreto cargado para esa importación.

En aplicación del principio de minimización de datos (artículo 5.1.c RGPD), el archivo cargado se procesa estrictamente en memoria y nunca se almacena en los sistemas del Titular. El documento es leído, enviado al proveedor de IA para su extracción y descartado en el mismo ciclo de la petición HTTP, sin que se persista en disco, base de datos, copias de seguridad ni ningún otro soporte de almacenamiento.

Únicamente se conservan los datos resultantes de la extracción (lista estructurada de empleados detectados), un mínimo de metadatos administrativos del trabajo de importación (nombre original del archivo, tipo MIME, tamaño en bytes, estado y marcas temporales) y, una vez confirmada la importación, los registros Employee creados. Estos datos se rigen por los plazos del apartado 8.

Adicionalmente, los proveedores de IA podrán retener temporalmente el contenido del documento en sus propios sistemas conforme a sus políticas estándar para los planes comerciales de API, con la finalidad exclusiva de monitorización de abuso, seguridad y cumplimiento legal, por un periodo máximo de 30 días, transcurridos los cuales son eliminados de forma irreversible. El Titular no tiene actualmente contratada la modalidad de Zero Data Retention con dichos proveedores, por lo que esta retención de hasta 30 días es aplicable en sus sistemas (no en los del Titular). En ningún caso los datos enviados se utilizan para entrenar, reentrenar, mejorar o ajustar los modelos de los proveedores, conforme a las condiciones contractuales de los planes API de pago.

Los proveedores de IA están establecidos en EE.UU. y la transferencia se ampara en las garantías descritas en el apartado 7.3 (Marco UE-EE.UU. de Privacidad de Datos y/o Cláusulas Contractuales Tipo, según el proveedor).

Los datos personales de los empleados son accesibles, dentro de la Plataforma, por los siguientes perfiles de usuario de la Organización, conforme a un sistema de control de acceso basado en roles:

• Administradores de la Organización (org_admin): acceso completo a todos los datos de empleados, registros de jornada, informes, registros de auditoría y configuración.
• Supervisores: acceso a los datos de los empleados bajo su supervisión, aprobación de permisos y gestión de turnos.
• Personal de oficina (office): acceso limitado conforme a las funciones asignadas.
• Trabajadores (worker): acceso exclusivo a sus propios datos personales, registros de jornada e historial.

Para la prestación del Servicio, el Titular puede recurrir a los siguientes proveedores de servicios que acceden a datos personales como sub-encargados del tratamiento:

En la medida en que se utilicen servicios de proveedores ubicados fuera del Espacio Económico Europeo (EEE), el Titular garantizará que dichas transferencias se realizan con las garantías adecuadas exigidas por el RGPD, incluyendo:

• Decisiones de adecuación de la Comisión Europea.
• Cláusulas contractuales tipo aprobadas por la Comisión Europea.
• Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework), cuando el proveedor esté certificado.

El Titular no cederá datos personales a terceros salvo en los siguientes supuestos:

• Cuando exista una obligación legal de comunicación (requerimiento judicial, administrativo o fiscal).
• Cuando sea necesario para la defensa de los derechos e intereses legítimos del Titular.
• Con el consentimiento previo y expreso del interesado o de la Organización, según corresponda.

• Cifrado de contraseñas: las contraseñas se almacenan utilizando algoritmos de hash seguros, nunca en texto plano.
• Autenticación basada en tokens: sistema de autenticación JWT (JSON Web Token) con tokens de acceso de corta duración y tokens de refresco, con renovación automática.
• Comunicaciones cifradas: todas las comunicaciones entre el cliente y el servidor se realizan a través de protocolos seguros (HTTPS/TLS).
• Control de acceso basado en roles (RBAC): sistema de permisos granular que limita el acceso a los datos según el rol del usuario (administrador, supervisor, oficina, trabajador).
• Aislamiento de datos por organización: cada Organización accede exclusivamente a sus propios datos, garantizado mediante identificadores de organización en cada solicitud.
• Renovación automática de sesiones: mecanismo de interceptores HTTP que gestionan la renovación de tokens de forma transparente y segura.
• Cierre de sesión seguro: la desconexión elimina todos los tokens de autenticación y datos de sesión del almacenamiento local del navegador.

• Registro completo de auditoría: toda acción realizada en la Plataforma queda registrada con identificación del usuario, dirección IP, fecha/hora y detalle de los cambios, garantizando la trazabilidad completa.
• Principio de mínimo privilegio: los usuarios acceden exclusivamente a las funcionalidades y datos que corresponden a su rol.
• Procedimiento de restablecimiento de contraseña seguro: proceso de recuperación mediante enlace con token único de un solo uso, con verificación de identidad.
• Invitaciones verificadas: el alta de nuevos usuarios se realiza exclusivamente mediante sistema de invitación con token único, impidiendo el registro no autorizado.

De conformidad con el RGPD y la LOPDGDD, los interesados tienen reconocidos los siguientes derechos en relación con sus datos personales:

Los empleados de las Organizaciones que deseen ejercer sus derechos deberán dirigirse en primer lugar a su Organización empleadora, que es el Responsable del Tratamiento de sus datos personales. La Organización canalizará la solicitud y, en su caso, instruirá a Geozly para que ejecute las medidas técnicas necesarias.

No obstante, si el empleado no obtiene respuesta satisfactoria de su Organización en el plazo legalmente previsto, podrá dirigirse directamente a Geozly.

Los representantes y administradores de Organizaciones podrán ejercer sus derechos directamente ante Geozly a través de los canales de contacto indicados en el apartado 15.

Las solicitudes de ejercicio de derechos serán atendidas en el plazo máximo de un (1) mes desde su recepción. Este plazo podrá prorrogarse otros dos (2) meses en caso de solicitudes especialmente complejas o numerosas, informando al interesado dentro del primer mes.

Sin perjuicio de cualquier otro recurso administrativo o judicial, el interesado tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (www.aepd.es) o ante la autoridad de control competente en su Estado miembro de residencia habitual, lugar de trabajo o lugar de la presunta infracción.

La Plataforma utiliza el mecanismo de almacenamiento local del navegador (localStorage) para almacenar los siguientes datos estrictamente necesarios para el funcionamiento del Servicio:

La Plataforma puede utilizar un Service Worker para habilitar funcionalidades de aplicación web progresiva (PWA), como el almacenamiento en caché de recursos estáticos para mejorar el rendimiento. El Service Worker no recoge ni transmite datos personales adicionales.