INICIAR SESIÓN

Política de Privacidad

Nuestro compromiso

Theresa nace de una convicción: la gestión laboral debe ser transparente, respetuosa con la ley y protectora tanto del trabajador como del empresario. Esa misma filosofía rige cómo tratamos los datos personales. Creemos en la transparencia total y en el cumplimiento legal a la vista de todos, sin letra pequeña.

Esta Política de Privacidad explica qué datos tratamos, con qué finalidad, durante cuánto tiempo, dónde se alojan y con qué proveedores trabajamos. La presentamos de forma clara y completa porque consideramos que entender qué pasa con tus datos es un derecho, no un trámite.

Responsable y rol de Theresa

Es importante distinguir dos figuras:

  • Responsable del tratamiento: la empresa o profesional que contrata Theresa para gestionar el fichaje y la documentación de sus empleados. Es quien decide qué datos se tratan y con qué fin.
  • Encargado del tratamiento: Theresa (Theresa Software S.L.). Tratamos los datos de los empleados por cuenta y según las instrucciones del cliente (la empresa), nunca para fines propios distintos de la prestación del servicio.

Esto significa que, respecto a los datos de los trabajadores que fichan, Theresa actúa como proveedor tecnológico al servicio de la empresa contratante. Si eres un empleado y quieres ejercer tus derechos sobre tus datos, tu interlocutor principal es tu empresa; no obstante, te ayudaremos a canalizar cualquier solicitud.

Cuando se trata de los datos de navegación del Sitio Web y de los datos de contacto comercial de quienes nos solicitan información, Theresa actúa como Responsable.

Datos de contacto en materia de privacidad

  • Email de privacidad / protección de datos: DPD@theresa.es
  • Titular: Theresa Software S.L. — B05767173 — Calle Costa do Veedor 50, 3.º, 15703 Santiago de Compostela

Qué datos tratamos y con qué finalidad

a) Datos de empleados (tratados por cuenta del cliente)

Para la prestación del servicio de control horario y gestión documental tratamos:

  • Datos identificativos: nombre, apellidos, DNI/NIE, dirección, ciudad, teléfono, correo electrónico y puesto de trabajo.
  • Datos de registro de jornada: tipo de evento (entrada, salida, inicio y fin de pausa), fecha y hora exactas, modalidad presencial o remota.
  • Datos técnicos del fichaje: dirección IP del dispositivo, identificador del navegador (user-agent) y, en su caso, el token del código QR utilizado. Estos datos garantizan la integridad y autenticidad del registro mediante una firma criptográfica (HMAC-SHA256).
  • Geolocalización (solo si se activa voluntariamente): ver apartado específico más abajo.

Finalidad: cumplir con la obligación legal de registro de jornada (Real Decreto-ley 8/2019), garantizar la integridad e inmutabilidad de los registros, y permitir a la empresa gestionar el tiempo de trabajo de su plantilla conforme a la normativa laboral.

Base jurídica: el cumplimiento de una obligación legal del empleador y la ejecución de la relación laboral. Theresa los trata en virtud del contrato de encargo de tratamiento suscrito con la empresa cliente.

b) Datos de firma digital y documentación laboral

Para la firma electrónica avanzada de documentos (contratos, nóminas, certificados) tratamos:

  • Firma manuscrita capturada en pantalla y sus trazos (coordenadas y presión).
  • Fotografía del DNI (anverso y reverso) del firmante.
  • Nombre, DNI, IP, navegador y, en su caso, ubicación del firmante en el momento de la firma.
  • Huellas criptográficas (hash SHA-256) del documento original y del documento firmado, que garantizan que el documento no ha sido alterado.
  • Método de verificación de identidad empleado (passkey/WebAuthn o código temporal TOTP).

Finalidad: dotar a la firma de validez como firma electrónica avanzada, garantizar la identidad del firmante y la integridad del documento. Base jurídica: ejecución de la relación laboral y cumplimiento de obligaciones documentales.

c) Datos de navegación del Sitio Web

Base jurídica: nuestro interés legítimo en conocer y mejorar el funcionamiento del Sitio Web, y el consentimiento cuando proceda.

d) Datos de contacto comercial

Si nos solicitas información, una demo o nos escribes, tratamos los datos que nos facilites (nombre, empresa, email, teléfono) para atender tu solicitud. Base jurídica: tu consentimiento y/o la aplicación de medidas precontractuales.

Geolocalización: voluntaria y bajo tu control

El fichaje en Theresa funciona por defecto sin geolocalización: puede realizarse mediante código o código QR, sin necesidad de tener el GPS activado. La geolocalización es opcional y voluntaria: solo se registra la ubicación (latitud, longitud, precisión y distancia al centro de trabajo) si el usuario decide activar el fichaje por GPS y concede el permiso correspondiente en su dispositivo. El navegador siempre solicita ese permiso de forma explícita. Tratamos la geolocalización como un dato especialmente protegido y nunca se recoge de forma encubierta.

Dónde se alojan tus datos: siempre dentro de la Unión Europea

Este es uno de nuestros compromisos fundamentales. Theresa hace todo lo posible por mantener tus datos siempre dentro de la Unión Europea.

  • Servidores y almacenamiento: alojados en Hetzner Cloud, en Falkenstein (Alemania, UE). Los documentos, firmas y fotografías de DNI se guardan en disco en infraestructura europea, nunca fuera de la UE.
  • Base de datos: Supabase (PostgreSQL), región de Fráncfort (Alemania, UE).
  • Correo electrónico: Brevo, proveedor europeo.

Algunos servicios estrictamente necesarios para funciones técnicas concretas (procesar cobros o desarrollar funcionalidades de inteligencia artificial) pueden tener componentes en Estados Unidos. En esos casos, te garantizamos que no se transfieren datos personales de los usuarios ni de los empleados fuera de Europa: lo que se procesa es exclusivamente lo imprescindible para la función técnica (por ejemplo, una transacción de pago a través de Stripe), y nunca los datos de fichaje, documentación o identificación de tus trabajadores. Los datos personales de los usuarios no salen de Europa.

Conservación de los datos

  • Registros de jornada: la normativa (RDL 8/2019) obliga a conservarlos durante 4 años a disposición de los trabajadores, sus representantes y la Inspección de Trabajo. La decisión sobre su conservación y eliminación corresponde a la empresa cliente (Responsable del tratamiento).
  • Documentación y firmas: se conservan mientras dure la relación con el cliente y según las obligaciones legales aplicables.
  • Datos de contacto comercial: hasta que solicites su supresión o dejen de ser necesarios para la finalidad para la que se recabaron.
  • Cuando un cliente finaliza el servicio (offboarding), Theresa pone los datos a disposición de la empresa mediante exportación y no conserva copia más allá de lo necesario.

Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad de tus datos. Si eres empleado de una empresa cliente, dirígete a tu empresa (Responsable); te ayudaremos a canalizar la solicitud. Para cualquier consulta sobre privacidad puedes escribirnos a DPD@theresa.es.

Tienes también derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — www.aepd.es — si consideras que el tratamiento no se ajusta a la normativa.

Proveedores que nos ayudan a prestar el servicio (encargados/subencargados)

Trabajamos con un número reducido de proveedores tecnológicos, seleccionados por su cumplimiento del RGPD:

  • Hetzner Cloud (Alemania, UE) — alojamiento de servidores y almacenamiento.
  • Supabase (UE, Fráncfort) — base de datos.
  • Brevo (UE) — envío de correos electrónicos transaccionales.
  • Cloudflare — red de distribución y seguridad (proxy/CDN).
  • Stripe — procesamiento de pagos (solo datos de transacción, nunca datos de empleados).
  • OpenAI / ElevenLabs / Vapi — funcionalidades de inteligencia artificial y voz del asistente del Sitio Web (procesan únicamente el contenido de la interacción con el asistente, no los datos laborales de tu plantilla).