Acuerdo de tratamiento de datos
Versión 2, 1 de noviembre de 2026. Añade el registro en el sitio (visitantes, contratistas y entregas), la sincronización de directorios y los pases de sitio.
Este Acuerdo de tratamiento de datos ("DPA") forma parte del acuerdo entre Timeclock.Kiwi Limited, 151 Belford Street, Waverley, Dunedin 9013, Nueva Zelanda ("nosotros", "el Encargado") y la empresa que usa Timeclock.Kiwi ("tú", "el Responsable"). Se aplica cuando tratamos para ti datos personales cubiertos por el Reglamento General de Protección de Datos de la UE (RGPD), el UK GDPR o una ley similar, y cumple el artículo 28 del RGPD.
Un administrador acepta este DPA en nombre de su empresa marcándolo en la lista de comprobación del RGPD en Ajustes. Registramos quién lo aceptó y cuándo. Si este DPA y nuestras demás condiciones discrepan sobre datos personales, prevalece este DPA.
1. Qué tratamos
| Objeto y finalidad | Proporcionarte Timeclock.Kiwi: registrar tiempo de trabajo, horarios, trabajos, permisos y controles de seguridad, registrar la entrada y salida de visitantes en tus sitios y generar informes y exportaciones de nómina. |
|---|---|
| Duración | Mientras uses Timeclock.Kiwi y hasta que los datos se eliminen conforme a la sección 9. |
| Personas a las que se refieren los datos | Tus empleados, contratistas y otros trabajadores, y tus administradores y gestores. Si usas el registro en el sitio: visitantes, contratistas y repartidores que se registran en tus sitios, personas que invitas o añades a tu lista de vigilancia, y el personal de cualquier directorio que conectes para que los visitantes elijan a quién vienen a ver. |
| Tipos de datos personales | Nombres, correos, PIN; horas de entrada, salida y pausas; trabajos, tareas, notas y materiales; quiosco usado, dirección IP y ubicación GPS al fichar con la app móvil; horarios, disponibilidad, solicitudes de permiso e intercambio; habilidades; controles de seguridad, alertas y sus ubicaciones; notificaciones enviadas. |
| Datos de registro en el sitio | Para visitantes: nombre, empresa, móvil, correo, matrícula, tipo de visitante, a quién vinieron a ver, horas de entrada y salida, la lista de seguridad y los vídeos de inducción que aceptaron, su firma, una foto, documentos de contratista (tipo, número, emisor y caducidad, sin imágenes), la respuesta del anfitrión y, en los registros desde su propio teléfono, a qué distancia estaban del sitio. Para entradas de la lista de vigilancia: nombre, móvil, correo, los sitios a los que se aplica y tu motivo. Para personal del directorio: nombre, correo, móvil, cargo y oficina. |
| Categorías especiales de datos | No previstos. Timeclock.Kiwi no usa biometría: las fotos de visitantes solo se muestran a personas, para que el personal reconozca quién está en el sitio, y nunca se usan para reconocimiento facial. No incluyas datos de salud u otras categorías especiales en notas, motivos de permiso o de la lista de vigilancia salvo que tengas base legal para ello. |
2. Tus instrucciones
Tratamos los datos personales solo siguiendo tus instrucciones documentadas, que son este DPA, nuestras condiciones y la forma en que configuras y usas Timeclock.Kiwi, salvo que la ley exija otra cosa (en cuyo caso te avisamos antes, salvo que la ley lo prohíba). Te avisamos si creemos que una instrucción infringe la normativa de protección de datos.
3. Confidencialidad
Todas las personas de Timeclock.Kiwi que pueden acceder a tus datos están obligadas a la confidencialidad y solo acceden a ellos cuando es necesario para operar o dar soporte al servicio.
4. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas conforme al artículo 32, entre ellas:
- Cifrado de los datos en tránsito (HTTPS) y contraseñas con hash.
- Los datos de cada empresa se mantienen separados y cada solicitud se comprueba frente a la empresa y los permisos de la persona que ha iniciado sesión.
- Los gestores están limitados a las personas de los grupos que gestionan y a los visitantes de los sitios que gestionan.
- Los motivos de la lista de vigilancia solo se muestran a administradores y gestores, nunca en el quiosco. Los enlaces de los correos al anfitrión están firmados y solo sirven para esa visita.
- Las conexiones de directorio solo leen datos del personal. Sus claves se guardan en nuestros servidores y nunca se envían a los quioscos.
- Registros de actividad de los cambios en los registros horarios.
- Copias de seguridad periódicas y acceso a los servidores limitado a quienes los administran.
5. Subencargados
Nos autorizas a usar los subencargados siguientes. A cada uno le imponemos condiciones de protección de datos al menos tan estrictas como este DPA y seguimos siendo responsables de ellos. Actualizaremos esta lista al menos 30 días antes de añadir o sustituir un subencargado; si te opones por motivos razonables de protección de datos, puedes dejar de usar Timeclock.Kiwi y te reembolsaremos el tiempo prepagado no usado.
| Subencargado | Para qué | Datos | Ubicación |
|---|---|---|---|
| Postmark (ActiveCampaign, LLC) | Enviar correos como invitaciones, restablecimientos de contraseña, horarios y enlaces de exportación de datos | Nombre, dirección de correo, contenido del correo | Estados Unidos |
| Google Firebase Cloud Messaging (Google LLC) | Notificaciones push a la app móvil | Token del dispositivo, texto de la notificación | Estados Unidos |
| OpenStreetMap Foundation (Nominatim) | Convertir la posición GPS de un control de seguridad en una dirección | Solo coordenadas GPS, sin nombres | Reino Unido |
| Stripe, Inc. | Facturar a tu empresa | Nombre y correo del administrador, datos de facturación (sin datos de trabajadores) | Estados Unidos |
Las apps de nóminas y contabilidad que conectas (como Xero o QuickBooks) no son subencargados nuestros: tú decides enviarles datos conforme a tu propio acuerdo con ellas.
Lo mismo se aplica al directorio que conectas para el registro en el sitio (Microsoft Entra ID, Google Workspace u otro servicio con SCIM): solo leemos de él tu lista de personal, siguiendo tus instrucciones. Los vídeos de inducción se obtienen de donde los alojes, sin enviar datos personales. Los vídeos de YouTube se reproducen en el reproductor de YouTube en el quiosco, por lo que YouTube ve la dirección de internet del quiosco, pero no quién mira.
6. Dónde se guardan los datos
Tus datos se almacenan en Nueva Zelanda. La Comisión Europea ha decidido que Nueva Zelanda ofrece una protección adecuada (Decisión 2013/65/UE), al igual que el Reino Unido. Cuando un subencargado fuera de Nueva Zelanda, la UE o el Reino Unido recibe datos personales, nos basamos en una decisión de adecuación o en las cláusulas contractuales tipo de la Comisión Europea.
7. Ayudarte con los derechos de las personas
Timeclock.Kiwi te permite atender las solicitudes tú mismo: los trabajadores pueden ver y descargar sus datos y comunicar horas incorrectas en la app, y los administradores pueden exportar los datos de cualquier persona y corregir o eliminar registros. Administradores y gestores pueden buscar las visitas de un visitante en la página Visitantes y exportarlas, y los administradores pueden eliminar una visita o todo lo relativo a un visitante. Si un trabajador o visitante nos contacta directamente, te trasladamos la solicitud y no la respondemos salvo que nos lo pidas.
También te ayudamos, en la medida razonable, con la seguridad, la notificación de violaciones, las evaluaciones de impacto y la consulta a tu autoridad de control (artículos 32 a 36).
8. Violaciones de datos
Si tenemos conocimiento de una violación de datos personales que afecte a tus datos, te lo comunicamos sin demora indebida, con lo que sepamos sobre lo ocurrido, los datos y personas afectados, las consecuencias probables y lo que estamos haciendo, para que puedas cumplir tu propio deber de notificación en 72 horas.
9. Eliminación de datos
- Mientras uses Timeclock.Kiwi, eliges cuánto tiempo se conservan los registros horarios con el ajuste de conservación de datos, y los registros más antiguos se eliminan automáticamente.
- Las visitas, invitaciones y documentos de contratistas siguen el mismo ajuste de conservación. Las fotos de visitantes se eliminan 30 días después de la visita, sea cual sea el ajuste.
- Las entradas de la lista de vigilancia se conservan hasta que un administrador las quita, y entonces se eliminan. El personal del directorio se actualiza en cada sincronización, se quita cuando sale del directorio y se elimina por completo al desconectarlo.
- Un administrador puede cerrar tu cuenta en Ajustes. Se detiene la facturación, los quioscos dejan de funcionar y solo los administradores pueden iniciar sesión. Todo se elimina definitivamente 90 días después, y cada administrador recibe un correo al cerrarse la cuenta y otro 14 días antes de la eliminación. Hasta entonces puedes exportar tus registros o reabrir la cuenta.
- Conservamos nuestros propios registros de facturación (facturas y pagos) durante el tiempo que exige la legislación fiscal. No contienen datos de tus trabajadores.
- Los datos eliminados desaparecen de nuestras copias de seguridad a medida que estas se sustituyen.
10. Auditorías
Ponemos a tu disposición la información que razonablemente necesites para demostrar el cumplimiento del artículo 28 y respondemos a preguntas razonables por escrito. Si no es suficiente, puedes auditarnos (o encargarlo a un auditor independiente) una vez al año a tu cargo, con 30 días de preaviso y sin exponer datos de otros clientes.
11. Contacto
Preguntas sobre este DPA o tus datos: [email protected].