Contrato de encargado del tratamiento

Última actualización: 26 de octubre de 2026 · Artículo 28 del Reglamento (UE) 2016/679 (RGPD)

Este contrato forma parte de las condiciones del servicio y se acepta al darse de alta. Regula el tratamiento de datos personales que BURIGROUP SOCIEDAD LIMITADA («el Encargado») realiza por cuenta de la empresa cliente («el Responsable») al prestar el servicio Factofel.

1. Objeto, naturaleza y finalidad

El Encargado trata los datos únicamente para prestar el servicio de control horario, registro de jornada y gestión de ausencias: almacenamiento, consulta, cálculo, exportación y conservación de los datos que introduce el Responsable o sus empleados.

2. Datos y personas afectadas

• Personas afectadas: empleados del Responsable y usuarios que este autorice.
• Datos: identificativos (nombre, DNI/NIE, email), laborales (horarios, fichajes con fecha y hora, vacaciones, ausencias y su tipo, horas extra) y, si el Responsable la incorpora, la fotografía del empleado. El servicio no trata datos biométricos.
• Los tipos de ausencia pueden revelar indirectamente información de salud (por ejemplo, una baja). El Responsable decide qué tipos usa y debe evitar incluir diagnósticos u otros datos sensibles en observaciones o comentarios.

3. Duración

Mientras esté vigente el servicio. Al finalizar, el Encargado pondrá los datos a disposición del Responsable para su descarga y los suprimirá en el plazo indicado en las condiciones del servicio, salvo obligación legal de conservarlos.

4. Obligaciones del Encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, incluidas las que da a través de la configuración del servicio.
• Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
• Aplicar medidas de seguridad adecuadas: cifrado de las comunicaciones (HTTPS), contraseñas cifradas, separación de los datos de cada cliente, control de accesos por roles, registro de las correcciones y copias de seguridad.
• No subcontratar sin informar al Responsable. Subencargados actuales: Hostinger International Ltd. (alojamiento) y Stripe Payments Europe Ltd. (pagos, solo datos de facturación). El Encargado informará de cualquier cambio para que el Responsable pueda oponerse.
• Ayudar al Responsable a atender los derechos de las personas afectadas y a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
• Notificar al Responsable, sin dilación indebida y a más tardar en 48 horas, cualquier violación de la seguridad de los datos de la que tenga conocimiento.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato.

5. Obligaciones del Responsable

• Disponer de una base jurídica para el tratamiento e informar a sus empleados (en particular, del registro de jornada y, si se usa, de la fotografía).
• Introducir solo los datos necesarios y mantenerlos actualizados.
• Custodiar sus credenciales y las claves de sus puestos de fichaje.

6. Transferencias internacionales

Los datos del Cliente se alojan en servidores de Hostinger International Ltd. situados en Estados Unidos (Carolina del Norte). El Cliente autoriza esta transferencia internacional, que se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914) incluidas en el contrato de encargo del tratamiento de Hostinger. Si el Encargado traslada el alojamiento a un centro de datos del Espacio Económico Europeo, lo comunicará al Cliente sin que ello requiera nueva autorización.