Política de Privacidad

Respecto a los datos personales de los representantes y administradores de las Organizaciones que contratan el Servicio, el Responsable del Tratamiento es:

• Titular: Erick Moises Hernández Quiñones (persona física, empresario individual)
• NIF: 06713923Q
• Nombre comercial: Geozly
• Domicilio: Avenida República Argentina 93, puerta 25, 46701 Gandía (Valencia), España
• Correo electrónico de contacto: contact@geozly.com

Respecto a los datos personales de los empleados de las Organizaciones (trabajadores, supervisores, personal de oficina) tratados a través de la Plataforma:

• El Responsable del Tratamiento es la Organización empleadora, quien determina los fines y medios del tratamiento.
• Geozly actúa como Encargado del Tratamiento, tratando los datos por cuenta y según las instrucciones documentadas de la Organización.

• Coordenadas GPS (latitud y longitud) en cada uno de los cuatro fichajes que admite una jornada: entrada, inicio de pausa, fin de pausa y salida.
• Precisión del GPS del dispositivo en metros.
• Marca temporal del dispositivo en el momento de la captura.

Los datos de geolocalización se recogen exclusivamente en el momento en que el trabajador realiza un fichaje: entrada, inicio de pausa, reanudación tras pausa y salida. No se realiza seguimiento o rastreo continuo de la ubicación del trabajador.

La verificación de presencia por geolocalización es una funcionalidad configurable por la Organización para cada ubicación de trabajo. La Organización puede optar por no requerir verificación GPS, en cuyo caso no se recogerán datos de geolocalización.

El acceso a la geolocalización del dispositivo requiere la concesión expresa de permisos por parte del trabajador a través de su navegador web o aplicación PWA. El trabajador puede revocar este permiso en cualquier momento desde la configuración de su dispositivo.

El tratamiento de datos de geolocalización se rige por el principio de minimización de datos: únicamente se recogen las coordenadas necesarias para verificar la presencia dentro de la geovalla configurada, y solo en el momento puntual del fichaje.

Conforme al artículo 90 de la LOPDGDD, la Organización empleadora, en su condición de Responsable del Tratamiento, deberá informar previamente y de modo expreso, claro e inequívoco a los trabajadores y, en su caso, a sus representantes legales (RLT), acerca de la existencia y características del sistema de geolocalización, así como del ejercicio de los derechos previstos en los artículos 15 a 22 RGPD. Geozly proporciona la herramienta tecnológica pero no sustituye este deber de información, que recae íntegramente en la Organización.

Las Organizaciones con plan Professional disponen de una pantalla que muestra sobre un mapa a los trabajadores que tienen la jornada abierta en ese momento, con su nombre, su fotografía de perfil si la tiene, si está trabajando o en pausa, y su último punto conocido. La pantalla se actualiza sola cada treinta segundos mientras permanece abierta.

El punto que se muestra no es un rastro en vivo: es la coordenada del último fichaje del trabajador -su entrada o una de sus pausas-, y la propia pantalla dice cuánto tiempo hace que se tomó. La Plataforma no consulta la ubicación del dispositivo para alimentar este mapa; sólo reutiliza las coordenadas que ya recogió en los momentos del apartado 6.2. Un fichaje sin coordenadas aparece en una lista aparte, sin punto en el mapa.

Sólo es visible mientras la jornada está abierta: al fichar la salida el trabajador desaparece del mapa, y fuera de su jornada no existe seguimiento alguno. Únicamente pueden verlo los Usuarios con rol Supervisor, Admin u Owner de la propia Organización.

Este uso no se apoya en ninguna base jurídica distinta de la ya declarada en el apartado 4 para el control horario con geolocalización, ni amplía los datos que se recogen. El deber de información del artículo 90 LOPDGDD descrito en el apartado 6.6 comprende también esta funcionalidad cuando la Organización la utiliza.

Del archivo, nada. Ya entonces el documento cargado no se almacenaba: se leía en memoria y sólo sobrevivían sus metadatos - quién lo subió, cuándo, cuántas filas salieron y qué se creó con ellas -. Esos metadatos siguen su plazo de siempre y se eliminan a los 365 días de que el trabajo quede cerrado.

Del proveedor, tampoco. Geozly no conserva copia de lo que se envió en su día ni recibe nada de ellos. Lo que aquellos proveedores hicieran con los datos que recibieron mientras el tratamiento existió se regía por los acuerdos descritos en la versión anterior de esta Política, que sigue disponible en el historial de versiones.

Geozly mantiene configuradas las credenciales y el orden de preferencia de tres proveedores de inteligencia artificial, y una pantalla interna donde el personal de Geozly puede reordenarlos. No hay ningún código que los llame. Se conserva porque es la instalación sobre la que se apoyaría una funcionalidad futura, y desmontarla para volver a montarla no protege a nadie.

Se dice aquí, y no sólo en la documentación interna, porque la diferencia importa: tener un proveedor configurado no es tratar datos con él. Si alguna vez una funcionalidad de Geozly vuelve a enviar datos personales a un modelo de lenguaje, esta Política lo dirá antes de que ocurra, con el mismo detalle con el que lo decía cuando existía la importación asistida.

Conviene separarlo para que nadie deduzca de lo anterior más de lo que dice. El chat de ayuda de las páginas públicas sí envía lo que se escribe en él a un modelo de inteligencia artificial, cuyo proveedor está fuera de la Unión Europea. Es un tratamiento distinto y con otra base jurídica, pero no es de otro responsable: el chat lo presta Chaizly, cuyo titular es la misma persona física, con el mismo NIF, que el titular de Geozly. Por eso aquí no existe un contrato de encargo del artículo 28, y no por descuido: ese artículo gobierna a un encargado que sea otra persona, y nadie puede contratarse consigo mismo.

El chat se aloja en un servidor de Contabo, dentro de la Unión Europea. Lo único que sale de ella es el contenido de la conversación cuando va al modelo que la contesta. Chaizly recibe además los datos técnicos de la visita: dirección IP, navegador y página desde la que se escribe. Las conversaciones se conservan un año, porque son atención previa a cualquier contrato y su finalidad se agota al responder.

No se carga con la página: se pinta un botón, y hasta que alguien lo pulsa no se descarga nada ni se contacta con nadie. Antes de abrirlo se advierte de lo que ocurre con lo que se escriba.

Las Organizaciones con plan Professional pueden habilitar un canal opcional que permite al trabajador fichar desde un chat de Telegram, sin instalar nada. Hacen falta dos decisiones independientes y ninguna sustituye a la otra: la Organización tiene que habilitar el canal, y después cada trabajador decide si vincula o no su cuenta de Telegram, desde su propio perfil. Nadie queda vinculado por decisión de su empresa, y quien no lo use ficha exactamente igual desde la aplicación, desde la web o desde el kiosco.

La ubicación NO viaja por Telegram. Cuando el trabajador ficha entrada o salida se abre una ventana servida por el Titular que lee el GPS del dispositivo y lo envía directamente a sus servidores. Telegram no recibe ninguna coordenada.

El chat es un mando a distancia, no un registro.El bot muestra unos botones y confirma la acción con dos palabras —“Entrada registrada”, “Pausa iniciada”—, sin decir la hora, porque el propio mensaje de Telegram ya lleva la suya. El registro de jornada, con su hora fiel y su sello, se guarda en Geozly y se consulta allí.

Enumerado, para que pueda comprobarse. Telegram puede ver: que esa cuenta de Telegram ha hablado con el bot de Geozly, desde el primer mensaje y aunque al final no se conecte nada; la hora a la que se pulsa cada botón y, porque los mensajes permanecen en el chat, la hora de cada entrada, salida y pausa hecha por esta vía; y si en ese momento hay una jornada abierta, si hay una pausa en curso y si se puede fichar ya, porque de eso depende qué botón ofrece el panel. Telegram no puede ver: el nombre ni el documento de identidad del trabajador; para qué empresa trabaja; su turno ni su centro de trabajo; su ubicación; ni el historial de fichajes guardado en Geozly o las horas que la Organización le calcula.

Sobre la segunda línea de esa lista conviene la misma franqueza. El chat no es un mensaje sino un archivo: las confirmaciones se acumulan en la cuenta del trabajador y cada una lleva la marca de tiempo del propio Telegram, de modo que el uso continuado deja allí la secuencia fechada de sus entradas, salidas y pausas hechas por este canal. Lo que no sale de Geozly es el registro de jornada ni el cómputo de horas que la Organización hace con él.

Sobre lo primero de esa lista conviene ser explícito, porque no tiene arreglo técnico y por tanto sólo cabe declararlo. Desde el 20 de septiembre de 2026 el consentimiento para este canal se presta dentro del propio chat, con un botón de aceptar y otro de rechazar, y no en una pantalla de Geozly. Eso es más garantista -la decisión se toma en la aplicación de la persona y en una cuenta que es suya, no en una pantalla que abrió porque se lo pidió su empleador- pero tiene una consecuencia inevitable: para poder preguntar hay que entrar, de modo que Telegram ve el contacto antes de que nadie acepte nada, y lo ve también si la respuesta es que no. Por eso la pantalla desde la que se empieza advierte de lo que va a ocurrir, que es lo único que permite decidir no abrir el chat.

Hasta el 19 de septiembre de 2026 el panel sí llevaba el nombre de la empresa, el estado, la hora de entrada, el turno y el centro de trabajo, y esta Política lo declaraba así. Se retiraron. El mensaje del bot no es un dato en tránsito que se pueda cifrar: es la pantalla que lee el trabajador, y Telegram sólo muestra texto plano, de modo que la única reducción posible era dejar de enviarlos.

El identificador de la cuenta de Telegram, el identificador del chat, el alias público si lo tiene, la última empresa para la que fichó por este canal, el identificador del mensaje del panel y las fechas de vinculación y de última actividad. Nada de esto se usa para otra cosa que hacer funcionar el canal.

El fichaje en sí se apoya en las mismas bases que cualquier otro fichaje (apartado 4). Lo que necesita consentimiento explícito es el envío de esos mensajes a Telegram FZ-LLC, empresa domiciliada en Emiratos Árabes Unidos: artículo 49.1.a del RGPD, en los términos del apartado 7.3, que explica también qué riesgo concreto se asume.

El fichaje por Telegram no puede detectar si el dispositivo está simulando su posición, porque una ventana web no tiene acceso a ese dato del sistema operativo. Queda por tanto al mismo nivel de fiabilidad que el fichaje desde el navegador, que la Plataforma ya acepta, y por debajo del fichaje desde la aplicación Android. Se indica aquí porque la Organización debe conocerlo al decidir si habilita el canal.

El trabajador puede desvincular su cuenta en cualquier momento desde su perfil en la aplicación o en la web, o escribiendo /desvincular al bot. Al hacerlo se borra el vínculo y el bot deja de escribirle. Los mensajes que ya estén en el chat son suyos y solo él puede borrarlos, porque están en su cuenta de Telegram y no en la Plataforma.

Los datos personales de los empleados son accesibles, dentro de la Plataforma, por los siguientes perfiles de usuario de la Organización, conforme a un sistema de control de acceso basado en roles:

• Propietario (owner): todo lo del Administrador y, además, lo que la Plataforma reserva al titular de la cuenta: la contratación del plan, la facturación y el programa de recomendación.
• Administrador (admin): acceso completo a todos los datos de empleados, registros de jornada, informes, registros de auditoría y configuración.
• Supervisor (supervisor): acceso a los datos de los empleados de la Organización, aprobación de permisos y gestión de turnos. Ese acceso alcanza a toda la plantilla de la Organización: la Plataforma no restringe a un Supervisor a un grupo, a un centro de trabajo ni a un subconjunto de trabajadores.
• Observador (viewer): es el rol más bajo y el que se asigna por defecto a un miembro nuevo. Consulta de sólo lectura de las pantallas de gestión que la Organización le habilite; no puede crear, modificar ni aprobar nada, y no alcanza los datos que la Plataforma reserva a Supervisor o superior, entre ellos los permisos, las ausencias y los justificantes de los demás trabajadores.
• Trabajadores: quien es sólo trabajador no tiene ninguno de los cuatro roles anteriores; su acceso se limita a sus propios datos personales, registros de jornada e historial.

Los documentos que la Organización publica a su plantilla -nóminas y equivalentes- se almacenan en la infraestructura de Geozly y se sirven por las mismas dos puertas que el justificante de una ausencia (apartado 6 bis): la ordinaria es una petición autenticada, y la segunda es un enlace firmado, de un solo archivo y válido cinco minutos, que la Plataforma emite a petición de quien ya está autenticado para que el visor de archivos del teléfono -que no puede presentar credenciales- pueda abrirlo. Ese enlace se re-autoriza al abrirse contra el estado del momento, pero no comprueba quién lo está abriendo, de modo que dentro de esos cinco minutos funciona para quien lo tenga; por eso se entrega únicamente al visor del propio dispositivo. Fuera de esa ventana no existe ninguna dirección que permita descargarlos sin autenticarse, y ni el correo de aviso ni ninguna notificación incluyen el archivo ni un enlace a él.

Como Encargado del Tratamiento, Geozly dispone del acceso técnico a esa infraestructura que es inherente a operarla, y lo limita al personal estrictamente necesario, sujeto al deber de confidencialidad del artículo 28.3.b del RGPD. Ese acceso se utiliza para mantener y restaurar el Servicio, nunca para consultar el contenido de los documentos de una Organización.

Cuando ese personal accede a un documento a través de la Plataforma, incluso en una sesión de soporte iniciada mediante suplantación, la lectura queda registrada en el historial de accesos del propio documento e identificada como acceso de soporte de Geozly, no como acceso de la Organización. Ese historial es consultable y exportable por la Organización, en cumplimiento del artículo 28.3.h del RGPD.

Geozly no lee el contenido de los archivos publicados. La propuesta de a qué trabajador corresponde cada nómina se calcula a partir del nombre del fichero, y en ningún momento se envía el documento a un tercero ni a un proveedor de inteligencia artificial.

Para la prestación del Servicio, el Titular recurre a los siguientes proveedores, que acceden a datos personales. La mayoría lo hace como sub-encargados del tratamiento (artículo 28 RGPD), es decir, tratando los datos únicamente por cuenta del Titular y siguiendo sus instrucciones. No todos: en Google Maps Platform y, respecto de los datos de pago, en Stripe, el proveedor decide por su cuenta los fines y los medios de lo que hace con los datos que recibe y actúa como responsable independiente, de modo que esa relación no se rige por un contrato de encargo. La columna Servicio lo indica en la fila de cada uno.

En la medida en que se utilicen servicios de proveedores ubicados fuera del Espacio Económico Europeo (EEE), el Titular garantizará que dichas transferencias se realizan con las garantías adecuadas exigidas por el RGPD, incluyendo:

• Decisiones de adecuación de la Comisión Europea.
• Cláusulas contractuales tipo aprobadas por la Comisión Europea.
• Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework), cuando el proveedor esté certificado.

Excepción declarada: el canal opcional de fichaje por Telegram. Telegram FZ-LLC está en Emiratos Árabes Unidos, un país sobre el que la Comisión Europea no ha adoptado ninguna decisión de adecuación, y su interfaz para bots no permite firmar ni cláusulas contractuales tipo ni un contrato de encargo. Por eso esta transferencia no se apoya en ninguna de las tres garantías anteriores, sino en el artículo 49.1.a del RGPD: el consentimiento explícito del propio trabajador, que antes de vincular su cuenta lee qué se va a enviar y qué riesgo asume. Es voluntaria por definición: nadie queda vinculado por decisión de su empresa, quien no la quiere ficha igual desde la app, desde la web o desde el kiosco, y quien la ha aceptado puede retirarla en cualquier momento desde su perfil o escribiendo /desvincular al bot.

Conviene saber qué significa en la práctica que no haya garantías adecuadas: los chats con bots de Telegram no van cifrados de extremo a extremo, los mensajes quedan en el historial del chat del trabajador, y ese historial está en la cuenta personal de esa persona, no en la Plataforma, así que ni su empresa ni el Titular pueden borrarlo. Solo puede hacerlo quien es dueño de la cuenta.

Por eso el canal envía lo mínimo que le permite funcionar. Una excepción del artículo 49 se sostiene o no según lo que se transfiera, y desde el 19 de septiembre de 2026 lo que sale hacia Telegram es que esa cuenta de Telegram ha hablado con el bot -desde el primer mensaje y aunque al final no se conecte nada-, la hora a la que se pulsa cada botón y, porque de ello depende qué botón se ofrece, si hay una jornada abierta, si hay una pausa en curso y si se puede fichar ya. Antes salían también el nombre de la empresa, el turno, el centro de trabajo y la hora de entrada, varias veces al día. La lista completa, con su contraparte de lo que no viaja, está en el apartado 6 quater.2. El mensaje no se cifra porque no es un dato en tránsito sino la pantalla misma que lee el trabajador: Telegram sólo muestra texto plano, y la única reducción posible era dejar de enviar.

El Titular no cederá datos personales a terceros salvo en los siguientes supuestos:

• Cuando exista una obligación legal de comunicación (requerimiento judicial, administrativo o fiscal).
• Cuando sea necesario para la defensa de los derechos e intereses legítimos del Titular.
• Con el consentimiento previo y expreso del interesado o de la Organización, según corresponda.

Además, la Organización puede configurar por su cuenta notificaciones automáticas hacia un sistema propio o de un tercero (webhooks): cuando lo hace, Geozly envía un aviso a la dirección que la Organización indique cada vez que ocurre el evento suscrito. El destino lo elige la Organización, que responde de él como Responsable del Tratamiento. El aviso está minimizado por diseño: contiene identificadores internos, marcas temporales y valores numéricos o de estado, y no incluye nombre, correo electrónico, documento de identidad, coordenadas ni texto libre.

• Cifrado de contraseñas: las contraseñas se almacenan utilizando algoritmos de hash seguros, nunca en texto plano. La única credencial que se conserva legible es el PIN de fichaje en tableta del apartado 3.1, y se conserva así porque la Plataforma lo asigna y alguien de la Organización tiene que poder leerlo para entregárselo al trabajador. No lo elige el Usuario, de modo que no es la contraseña que pueda estar usando en otro servicio, y lo único que autoriza es fichar en una tableta compartida.
• Autenticación basada en tokens: sistema de autenticación JWT (JSON Web Token) con tokens de acceso de corta duración y tokens de refresco, con renovación automática.
• Comunicaciones cifradas: todas las comunicaciones entre el cliente y el servidor se realizan a través de protocolos seguros (HTTPS/TLS).
• Archivos cifrados en el servidor: desde el 23 de septiembre de 2026, todo archivo subido a la Plataforma (documentos y nóminas, justificantes de ausencia y de gasto, fotografías y logotipos) se guarda cifrado con AES-256-GCM, y los anteriores a esa fecha se cifraron el mismo día. La clave está en la configuración del servidor, fuera de la base de datos y de todas las copias de seguridad, así que una copia de los archivos que saliera del servidor, o un disco retirado, no se puede leer. No es cifrado de extremo a extremo: la Plataforma descifra los archivos para entregarlos a quien tiene derecho a verlos, y quien comprometiera el servidor en funcionamiento podría hacer lo mismo. La base de datos no está cifrada en reposo: los datos estructurados (fichajes, datos identificativos y retributivos) se protegen con el control de acceso descrito en este apartado.
• Copias de seguridad cifradas y fuera del servidor: cada día se hace una copia completa de la base de datos y de los archivos subidos, y se comprueba que está completa antes de darla por buena. Además de guardarse en el propio servidor, se cifra allí mismo antes de salir y se envía a un almacenamiento de Hetzner en Alemania (apartado 7.2). El servidor solo tiene la clave con la que se cifra, no la que descifra, que se custodia fuera de él, así que ni Hetzner ni quien llegara a entrar en el servidor pueden leer esas copias. Una vez enviadas quedan bloqueadas contra el borrado hasta que vence su plazo (apartado 8), de modo que tampoco se pueden destruir desde el servidor. Las copias que se quedan en el propio servidor llevan la base de datos sin cifrar, igual que en uso, y los archivos subidos cifrados, como están en el servidor.
• Control de acceso basado en roles (RBAC): sistema de permisos granular que limita el acceso a los datos según el rol del usuario (administrador, supervisor, oficina, trabajador).
• Aislamiento de datos por organización: cada Organización accede exclusivamente a sus propios datos, garantizado mediante identificadores de organización en cada solicitud.
• Renovación automática de sesiones: mecanismo de interceptores HTTP que gestionan la renovación de tokens de forma transparente y segura.
• Cierre de sesión seguro: la desconexión elimina todos los tokens de autenticación y datos de sesión del almacenamiento local del navegador.

• Registro de auditoría de las modificaciones: queda registrada toda acción que crea, modifica o elimina datos de la Organización, con el Usuario que la ejecutó -o la indicación de que la ejecutó el sistema, cuando la origina un proceso automático, que no tiene navegador ni dirección IP-, la fecha y la hora, la dirección IP cuando la acción llega en una petición de un cliente, y el detalle del cambio. Hay dos excepciones deliberadas. La primera es la respuesta a una encuesta anónima: no se registra, porque la anotación nombraría a quien respondió, el minuto y su dirección IP, que es exactamente lo que la Plataforma promete no saber. La segunda son las consultas y exportaciones que el personal de soporte de Geozly realiza dentro de una sesión de suplantación, que ni se anotan en este registro ni se muestran en él, por ser operación interna de Geozly y no un hecho sobre cómo la Organización gestiona su empresa; en cambio, todo lo que esa sesión crea, modifica o elimina sí se registra y sí se muestra, nombrando al operador. El acceso del personal de soporte a los documentos publicados a la plantilla queda además anotado en el historial del propio documento, conforme al artículo 7.1 bis.
• Principio de mínimo privilegio: los usuarios acceden exclusivamente a las funcionalidades y datos que corresponden a su rol.
• Procedimiento de restablecimiento de contraseña seguro: proceso de recuperación mediante enlace con token único de un solo uso, con verificación de identidad.
• Altas controladas, por dos caminos distintos: el alta de una Organización nueva se produce por registro público en la Plataforma, sujeto a límites de frecuencia y seguido de la verificación de la dirección de correo electrónico mediante un código de un solo uso, que el panel reclama al entrar. La incorporación de trabajadores y de gestores a una Organización ya existente se realiza, en cambio, exclusivamente mediante invitación con token único emitida desde esa Organización: nadie puede incorporarse por su cuenta a una Organización ajena ni a los datos de su plantilla.

De conformidad con el RGPD y la LOPDGDD, los interesados tienen reconocidos los siguientes derechos en relación con sus datos personales:

Los empleados de las Organizaciones que deseen ejercer sus derechos deberán dirigirse en primer lugar a su Organización empleadora, que es el Responsable del Tratamiento de sus datos personales. La Organización canalizará la solicitud y, en su caso, instruirá a Geozly para que ejecute las medidas técnicas necesarias.

No obstante, si el empleado no obtiene respuesta satisfactoria de su Organización en el plazo legalmente previsto, podrá dirigirse directamente a Geozly.

Los representantes y administradores de Organizaciones podrán ejercer sus derechos directamente ante Geozly a través de los canales de contacto indicados en el apartado 15.

Las solicitudes de ejercicio de derechos serán atendidas en el plazo máximo de un (1) mes desde su recepción. Este plazo podrá prorrogarse otros dos (2) meses en caso de solicitudes especialmente complejas o numerosas, informando al interesado dentro del primer mes.

Sin perjuicio de cualquier otro recurso administrativo o judicial, el interesado tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (www.aepd.es) o ante la autoridad de control competente en su Estado miembro de residencia habitual, lugar de trabajo o lugar de la presunta infracción.

La Plataforma utiliza el mecanismo de almacenamiento local del navegador (localStorage) para almacenar los siguientes datos estrictamente necesarios para el funcionamiento del Servicio:

La Plataforma puede utilizar un Service Worker para habilitar funcionalidades de aplicación web progresiva (PWA), como el almacenamiento en caché de recursos estáticos para mejorar el rendimiento. El Service Worker no recoge ni transmite datos personales adicionales.