Politica de Privacidad

Ultima actualizacion: 13 de agosto de 2026

1. Responsable y encargado del tratamiento

En Fichagram conviven dos tratamientos distintos, con responsables distintos. Conviene distinguirlos porque determinan a quien dirigirse para ejercer los derechos:

Datos de los trabajadores (fichajes, jornadas, geolocalizacion): el responsable es cada empresa o autonomo que contrata el servicio (en adelante, el "Cliente"), porque es quien esta obligado a llevar el registro de jornada. Fichagram actua como encargado del tratamiento conforme al articulo 28 del RGPD, procesando esos datos por cuenta y bajo las instrucciones del Cliente.
Datos de la cuenta del Cliente (razon social, NIF/CIF, email, telefono, domicilio fiscal y facturacion): el responsable es Alejandro Freire Arias y Daniel Caruncho Mourente, titulares de Fichagram, que los tratan para prestar y facturar el servicio.

Ambos tratamientos se realizan conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Organica 3/2018 (LOPDGDD).

Datos de contacto:
Fichagram — info@fichagram.com

2. Datos que tratamos

Fichagram trata las siguientes categorias de datos personales:

Datos de la cuenta del Cliente: nombre o razon social, NIF/CIF, email, telefono, domicilio fiscal.
Datos de empleados: nombre completo, identificador de Telegram (chat_id), empresa a la que pertenecen, y su jornada semanal prevista (que dias trabaja y cuantas horas), necesaria para saber que dias cabe esperar un fichaje.
Datos de fichaje: fecha y hora de entrada/salida de jornada y proyecto, duracion, nombre del proyecto.
Datos de geolocalizacion: coordenadas GPS (latitud y longitud) en el momento de fichar entrada y salida.
Datos de ausencia: dias de vacaciones, permisos, festivos y bajas medicas de cada trabajador, con las fechas y una observacion opcional que introduce el Cliente. La indicacion de que una ausencia corresponde a una baja medica constituye un dato relativo a la salud (categoria especial, art. 9 RGPD). Fichagram no solicita ni almacena diagnosticos, partes medicos ni ningun otro detalle clinico: unicamente el hecho de la ausencia y su duracion, que es lo minimo necesario para justificar los dias sin registro de jornada. El Cliente, como responsable, debe abstenerse de introducir informacion clinica en el campo de observaciones.
Registro de auditoria: acciones realizadas sobre los registros de fichaje (creacion, modificacion, cierre, archivado), incluyendo identificador del usuario que realiza la accion, fecha y hora, y valores anteriores y posteriores.
Identificador de Telegram del administrador: chat_id del administrador para recibir alertas laborales automaticas.
Datos de uso de la web: paginas visitadas, pais aproximado, tipo de dispositivo y tiempos de carga, recogidos de forma agregada para medir el rendimiento del sitio. Sin cookies ni identificadores persistentes, por lo que no permiten identificar a una persona ni construir un perfil. Se tratan con Vercel Analytics y Vercel Speed Insights, del mismo proveedor que aloja la web.
Tokens de acceso temporal: tokens criptograficos de un solo uso generados para que los empleados consulten sus propios fichajes (24 horas) o para acceso de inspeccion (72 horas). No contienen datos personales; unicamente vinculan un identificador aleatorio con un empleado o empresa.

3. Finalidad del tratamiento

Control horario obligatorio: cumplimiento del articulo 34.9 del Estatuto de los Trabajadores (Real Decreto Legislativo 2/2015), que obliga a las empresas a garantizar el registro diario de jornada.
Geolocalizacion: verificar que el fichaje se realiza desde el lugar de trabajo, conforme al articulo 20.3 del Estatuto de los Trabajadores (facultad de vigilancia y control del empresario).
Gestion de ausencias: llevar el control de las vacaciones, permisos y bajas, tanto para cumplir el derecho al descanso anual del articulo 38 ET como para justificar los dias en que no consta registro de jornada. Sin este dato, un dia de vacaciones seria indistinguible de un incumplimiento del registro horario.
Gestion del servicio: facturacion, soporte tecnico y comunicaciones relacionadas con la cuenta del Cliente.
Inalterabilidad de registros: una vez cerrado un fichaje, el registro se bloquea (campo x_locked) para garantizar su integridad conforme al articulo 34.9 ET y el borrador de Real Decreto de registro de jornada digital. Cualquier intento de modificacion de un registro bloqueado queda registrado en el log de auditoria.
Acceso del trabajador a sus registros: los empleados pueden consultar sus propios fichajes a traves de un enlace temporal generado desde el bot de Telegram, conforme al derecho de acceso previsto en el RGPD y la obligacion de puesta a disposicion del articulo 34.9 ET.
Acceso de inspeccion: el Cliente puede generar un enlace temporal de solo lectura para facilitar el acceso a los registros por parte de la Inspeccion de Trabajo y Seguridad Social u otros organismos competentes.

4. Base juridica

Registro horario: obligacion legal del empleador (art. 6.1.c RGPD + art. 34.9 ET).
Geolocalizacion: interes legitimo del empleador para verificar el lugar del fichaje (art. 6.1.f RGPD + art. 20.3 ET), previa informacion al trabajador y, en su caso, a los representantes de los trabajadores.
Vacaciones y permisos: obligacion legal del empleador (art. 6.1.c RGPD + arts. 34 y 38 ET).
Bajas medicas: el hecho de la baja es un dato de salud y su tratamiento se ampara en el articulo 9.2.b del RGPD —cumplimiento de obligaciones en materia de Derecho laboral y de seguridad social—, en relacion con el articulo 9.2.b de la LOPDGDD. No se basa en el consentimiento del trabajador y se limita a la existencia y duracion de la ausencia, sin dato clinico alguno.
Gestion contractual: ejecucion del contrato de servicio entre Fichagram y el Cliente (art. 6.1.b RGPD).
Obligaciones legales del prestador: conservacion de facturacion y atencion de requerimientos de autoridades competentes (art. 6.1.c RGPD).

El tratamiento de los datos de los trabajadores no se basa en su consentimiento: en una relacion laboral el consentimiento no se considera libremente prestado, y el registro de jornada es una obligacion legal del empleador que no depende de que el trabajador la acepte. El trabajador no puede, por tanto, oponerse al registro horario, pero si ejercer el resto de derechos descritos mas abajo.

5. Plazos de conservacion

Registros horarios (fechas, horas, duracion): 4 anos, conforme al articulo 34.9 del Estatuto de los Trabajadores.
Coordenadas GPS: maximo 3 meses desde el fichaje. Transcurrido ese plazo, las coordenadas se anonimizan automaticamente (se eliminan), conservando unicamente el registro horario.
Datos de ausencia (vacaciones, permisos, festivos y bajas): 4 anos, el mismo plazo que los registros horarios. El motivo es que son inseparables de ellos: son los que explican los dias sin fichaje, y conservarlos menos tiempo dejaria el registro con huecos injustificados justo en el periodo que la Inspeccion puede revisar.
Registro de auditoria: 4 anos, al igual que los registros horarios, para permitir la trazabilidad exigida por la normativa.
Datos de uso de la web: paginas visitadas, pais aproximado, tipo de dispositivo y tiempos de carga, recogidos de forma agregada para medir el rendimiento del sitio. Sin cookies ni identificadores persistentes, por lo que no permiten identificar a una persona ni construir un perfil. Se tratan con Vercel Analytics y Vercel Speed Insights, del mismo proveedor que aloja la web.
Tokens de acceso temporal: 24 horas (acceso de empleado) o 72 horas (acceso de inspeccion). Los tokens van firmados criptograficamente y llevan su propia fecha de caducidad: transcurrido el plazo dejan de ser validos y no permiten acceso alguno.
Datos de uso de la web: los conserva el proveedor de analitica de forma agregada; al no ir asociados a una persona identificable, no procede un plazo por interesado.
Datos de cuenta del Cliente: mientras dure la relacion contractual y, posteriormente, durante los plazos legales de prescripcion aplicables.
Copias de seguridad: se genera una copia semanal de los registros horarios y de las ausencias que los justifican en un almacenamiento independiente situado en la Union Europea, que se conserva el mismo plazo de 4 anos y se elimina despues automaticamente. Las copias no incluyen coordenadas GPS: si las incluyeran, la ubicacion sobreviviria en ellas al plazo de 3 meses declarado mas arriba.

6. Derechos de los interesados

Los empleados cuyos datos se tratan a traves de Fichagram pueden ejercer los siguientes derechos ante el responsable del tratamiento (su empleador):

Acceso: obtener una copia de todos sus datos personales tratados.
Rectificacion: corregir datos inexactos.
Supresion: solicitar la eliminacion de datos (con las limitaciones legales de conservacion obligatoria).
Portabilidad: recibir sus datos en un formato estructurado y de uso comun (JSON).
Oposicion y limitacion: oponerse al tratamiento o solicitar su limitacion en los supuestos previstos por la normativa.

Fichagram proporciona al Cliente herramientas tecnicas para facilitar el ejercicio de estos derechos: exportacion de datos por empleado —que incluye tanto sus registros de jornada como sus ausencias—, anonimizacion de coordenadas GPS, y eliminacion de datos de geolocalizacion.

Asimismo, los interesados tienen derecho a presentar una reclamacion ante la Agencia Espanola de Proteccion de Datos (AEPD) — www.aepd.es.

7. Medidas de seguridad

Comunicaciones cifradas mediante HTTPS/TLS.
Cookies de sesion firmadas con HMAC-SHA256 y atributos httpOnly, secure, sameSite.
Proteccion CSRF mediante validacion de origen en todas las peticiones de escritura.
Limitacion de intentos de acceso (rate limiting) para prevenir ataques de fuerza bruta.
Validacion de entrada en todos los endpoints de la API.
Aislamiento multi-tenant: cada cliente solo puede acceder a los datos de sus propios empleados.
Inalterabilidad de registros: los fichajes cerrados se bloquean automaticamente, impidiendo su modificacion posterior. Cualquier intento de alteracion queda registrado en el log de auditoria.
Verificacion de integridad: los datos exportados incluyen un hash criptografico (SHA-256 / HMAC-SHA256) que permite verificar que no han sido manipulados.
Registro de auditoria: las operaciones que modifican o archivan registros desde el panel de administracion (anonimizacion de coordenadas, archivado de empleados y proyectos, gestion de incidencias) quedan registradas con identificacion del usuario, fecha y detalle de la operacion.
Tokens de acceso temporal firmados criptograficamente, con caducidad automatica y alcance limitado (solo lectura, solo datos del empleado o empresa correspondiente).

8. Destinatarios de los datos

No se comunican datos personales a terceros, salvo en los siguientes casos:

Proveedores de infraestructura estrictamente necesarios para prestar el servicio (alojamiento web, alojamiento del bot, sistema de gestion y almacenamiento de copias de seguridad), con los que se han suscrito los contratos de encargado del tratamiento exigidos por la normativa. Todos ellos tratan los datos en servidores situados dentro de la Union Europea.
Proveedores de pago, unicamente para tramitar el cobro de la suscripcion del Cliente.
Autoridades competentes cuando lo requiera la normativa aplicable, incluida la Inspeccion de Trabajo y Seguridad Social.

9. Caracter obligatorio de los datos

Los datos solicitados en los formularios de alta son necesarios para prestar el servicio: sin ellos no es posible crear la cuenta ni emitir la factura correspondiente. En cuanto a los datos de los trabajadores, su tratamiento deriva de la obligacion legal de registro de jornada que recae sobre el Cliente. El Cliente garantiza la veracidad de los datos que facilita y se compromete a comunicar cualquier modificacion.

10. Transferencias internacionales

Los datos se alojan en servidores situados en la Union Europea. No se realizan transferencias de datos a paises fuera del Espacio Economico Europeo salvo que sea estrictamente necesario para la prestacion del servicio (por ejemplo, servicios de infraestructura con clausulas contractuales tipo aprobadas por la Comision Europea).

11. Contacto

Para cualquier consulta relacionada con la privacidad o el tratamiento de datos personales, puedes escribir a: info@fichagram.com

Volver al registro