Política de privacidad

Quién es responsable, y de qué

Hay que distinguir dos situaciones, porque no se rigen igual:

• Datos de la persona que contrata o prueba el servicio (la propietaria de la cuenta y sus administradores): el responsable es el titular, Pol Orriols Macho, NIF ES47637731Q, C/ Melzo 6, 08720 Vilafranca del Penedès (Barcelona, España). Correo de contacto: hola@trap3.shop.
• Datos del equipo de trabajo que el negocio introduce en la aplicación: el responsable es el propio negocio. El titular actúa como encargado del tratamiento, siguiendo sus instrucciones, en los términos del Anexo de protección de datos.

Qué datos se tratan

• De la propietaria y los administradores: nombre, correo electrónico y su actividad dentro de la aplicación (qué publicó, qué decisiones tomó y cuándo). Para entrar pueden usar su cuenta de Google o un código de un solo uso que se envía a su correo. Si entran con Google, Trap3 Rosters recibe de Google únicamente su nombre y su correo, los usa solo para identificar a la persona y no pide acceso a nada más de su cuenta.
• Del negocio: razón fiscal, NIF, dirección, teléfono, correo, persona de contacto y logotipo.
• De cada trabajador: nombre, teléfono, correo, documento de identidad si el negocio lo rellena, fotografía si la sube la propia persona, idioma, condiciones de contrato, locales, roles, disponibilidad, ausencias y vacaciones con su tipo y motivo, turnos asignados y horas trabajadas.

Para qué

Para prestar el servicio: organizar cuadrantes, avisar de los turnos, dar acceso a cada persona a su propia información y conservar el histórico laboral del negocio.

Base legal

• Para los datos de quien contrata: la ejecución del contrato o del acuerdo de prueba.
• Para los datos del equipo: el negocio es quien determina la base legal, normalmente la relación laboral y sus obligaciones legales.

Qué medidas de seguridad hay

• Los datos de contacto e identidad de trabajadores y del negocio (correo, teléfono, documento de identidad o NIF), así como el tipo y el motivo de las ausencias y las notas de vacaciones, se guardan cifrados dentro de la base de datos, con llaves custodiadas aparte.
• Las copias de seguridad se cifran en su totalidad antes de salir del servidor.
• Todo el tráfico viaja por HTTPS.
• Cada cuenta está aislada de las demás: ninguna puede ver los datos de otra.

Cuánto tiempo se conservan

• Registros técnicos que pueden contener datos personales (dirección IP, correo parcialmente oculto): 15 días como máximo.
• Copias de seguridad cifradas: 7 días en el servidor y 30 días en el almacenamiento externo.
• Copia semanal completa del servidor realizada por el proveedor de alojamiento: se conservan las dos últimas.
• Datos del equipo: mientras dure la relación con el negocio. Cuando una persona deja la empresa, el negocio puede borrar sus datos personales conservando únicamente las horas y turnos bajo un código anónimo. El histórico de jornada suele conservarse cuatro años por obligación legal del propio negocio.
• Códigos de acceso: no se guarda el código, solo una huella que permite comprobarlo, y se elimina un día después de caducar. Sesiones: 30 días desde la última visita.

Con quién se comparten

Solo con los proveedores necesarios para prestar el servicio:

• Alojamiento del servidor: Hostinger International Ltd., 61 Lordou Vironos Street, Larnaca 6023, Chipre. El servidor donde funciona la aplicación está en Francia, y las copias semanales completas del servidor que realiza el proveedor de alojamiento se almacenan en Países Bajos.
• Correo transaccional: Sendinblue SAS (Brevo), 17 rue de Salneuve, 75017 París, Francia, inscrita en el RCS de París con el número 498 019 298. Trata los datos dentro de la Unión Europea. Recibe el nombre y el correo de la persona a la que se envía un aviso o un código de acceso, ya sea alguien del equipo, la propietaria o un administrador, e incorpora una medición de aperturas configurada en modo anónimo.
• Almacenamiento de la copia de seguridad diaria: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublín 2, Irlanda. La copia va cifrada y Google no puede leer su contenido. La información asociada a ese almacenamiento puede tratarse fuera del Espacio Económico Europeo, con las garantías previstas por la normativa europea para esas transferencias.
• Entrada con Google: cuando la propietaria o un administrador eligen entrar con su cuenta de Google, Google Cloud EMEA Limited trata esos datos de acceso, y ese tratamiento puede producirse también fuera del Espacio Económico Europeo con esas mismas garantías.
• Pagos: hoy el servicio es gratuito y no se cobra nada. Cuando sea de pago, los cobros los gestionará Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublín 2, D02FX04, Irlanda. Trap3 Rosters no guarda datos de tarjeta: se introducen directamente en Stripe.

Derechos de las personas

Cualquier persona puede pedir acceder a sus datos, corregirlos, suprimirlos, limitar u oponerse a su tratamiento y obtener una copia portable. Los trabajadores deben dirigirse a su empresa, que es quien decide sobre sus datos; el titular de la herramienta la asistirá en lo que necesite. También puede presentarse una reclamación ante la Agencia Española de Protección de Datos.

Para ejercerlos: hola@trap3.shop.