Contrato de encargado del tratamiento

Artículo 28 del Reglamento (UE) 2016/679 · Actualizado el 24 de septiembre de 2026

Borrador preparado a partir de la configuración del producto. Debe revisarlo un abogado antes de su publicación.

1. Partes

Responsable del tratamiento: la empresa cliente que contrata Activea, identificada en su cuenta.

Encargado del tratamiento: WEB BINARY LEVEL, S.L.U., NIF B16700882, con domicilio en C/L'Ermita, 125, 2.º C, 03530 La Nucía (Alicante).

Este contrato forma parte de las condiciones generales de contratación y se acepta al contratar.

2. Objeto, duración, naturaleza y finalidad

El Encargado trata datos personales por cuenta del Responsable para prestarle el servicio Activea, durante toda la vigencia de la relación. La finalidad es el registro diario de jornada que exige el art. 34.9 del Estatuto de los Trabajadores y, solo si el Responsable la activa, la verificación de presencia durante la jornada.

3. Datos y personas afectadas

Personas afectadas: trabajadores del Responsable y personas usuarias de su panel.

Categorías de datos:

Identificativos: nombre, código de empleado y, si lo hay, correo.
Datos de jornada: horas de inicio, fin y pausas.
Si la verificación está activa: contadores de actividad por minuto (número de pulsaciones y movimiento del ratón, no su contenido), indicadores técnicos de si la actividad procede de un dispositivo físico, y si hay una reunión en curso.
Identificadores técnicos del equipo y registros de acceso.

Datos que no se tratan en ningún caso, por limitación del propio producto y no por configuración: el contenido de lo que se escribe, imágenes de cámara, datos biométricos y ubicación.

4. Instrucciones documentadas

El Encargado trata los datos solo conforme a las instrucciones documentadas del Responsable. La configuración que el Responsable establece en su panel constituye esas instrucciones, y cada cambio queda registrado con su autor, su fecha y el detalle de lo que cambia. Si el Encargado considera que una instrucción infringe la normativa, lo comunicará de inmediato al Responsable.

5. Obligaciones del Encargado

Confidencialidad: las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad.
Seguridad (art. 32 RGPD): cifrado de las comunicaciones; firma de cada registro en el equipo y encadenamiento criptográfico que permite detectar cualquier alteración o recorte; segundo factor obligatorio para todo acceso a datos de otras personas; control de acceso por roles; registro de cada consulta de datos personales, visible para el propio trabajador; y copias de seguridad.
Derechos de los interesados: asistir al Responsable en su atención. Cada trabajador dispone de un portal donde consulta sus datos, quién los ha consultado y por qué, y puede presentar disconformidades.
Asistencia (arts. 32 a 36 RGPD): ayudar al Responsable en la evaluación de impacto y en la información a los interesados. El servicio genera los documentos de información a la plantilla y a su representación, personalizados con la configuración vigente.
Violaciones de seguridad: notificarlas al Responsable sin dilación indebida y, en todo caso, en un plazo máximo de cuarenta y ocho horas desde que tenga conocimiento, con la información necesaria para que pueda cumplir sus propias obligaciones.
Demostración del cumplimiento: poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías en condiciones razonables.

6. Subencargados

El Responsable autoriza con carácter general la intervención de los siguientes subencargados. El Encargado le avisará con antelación de cualquier cambio, y el Responsable podrá oponerse.

Alojamiento de los datos: en la UE.
Envío de notificaciones por correo: selfhosted.

La pasarela de pago (Stripe) trata datos de facturación del Responsable, no datos de su plantilla, y por eso no figura como subencargado de este tratamiento.

7. Fin del tratamiento

Al terminar la relación, y a elección del Responsable, el Encargado devolverá los datos en un formato estructurado o los suprimirá, salvo que una norma exija conservarlos.

Aviso importante: el Responsable está obligado a conservar el registro de jornada durante cuatro años. Por eso, salvo instrucción expresa en contrario, la baja de un plan de pago no suprime los datos: la cuenta pasa al plan gratuito y el registro se sigue conservando a disposición del Responsable, de sus trabajadores y de la Inspección de Trabajo.

8. Obligaciones del Responsable

El Responsable garantiza que dispone de base jurídica para el tratamiento; que informa a los trabajadores y a su representación antes de instalar el agente (art. 89 LOPDGDD y art. 64 ET); y que la verificación de presencia, si la activa, es proporcionada a su finalidad.