RGPD y Datos
Por qué nace Theresa
Theresa no es una herramienta de fichaje más. Nace observando un mercado que, demasiado a menudo, falla en lo esencial:
- Aplicaciones cuyos registros no son inmutables, que permiten modificar o borrar fichajes a posteriori, dejando indefenso tanto al trabajador como al empresario ante una inspección.
- Plataformas que ofrecen formaciones u obligaciones que luego no quedan guardadas en ninguna parte, sin trazabilidad ni prueba de su cumplimiento.
- Sistemas que, por diseño, facilitan la explotación laboral al no tener en cuenta ni la ley ni la realidad del día a día de las empresas.
- Falta de transparencia sobre dónde acaban los datos y quién los maneja.
Theresa nace para corregir eso: registros inmutables y verificables, cumplimiento normativo real, trazabilidad completa y transparencia total. Esta sección explica nuestro enfoque del RGPD precisamente porque creemos que el cumplimiento debe estar a la vista de todos.
Marco normativo aplicable
Theresa trata datos personales conforme a:
- El Reglamento (UE) 2016/679 (RGPD).
- La Ley Orgánica 3/2018 (LOPDGDD) de Protección de Datos Personales y garantía de los derechos digitales.
- El Real Decreto-ley 8/2019, de medidas urgentes de protección social y de lucha contra la precariedad laboral, que regula el registro obligatorio de jornada.
- Las directrices y guías de la Agencia Española de Protección de Datos (AEPD), especialmente en materia de control horario y geolocalización laboral.
Reparto de responsabilidades
| Figura | Quién es | Qué decide |
|---|---|---|
| Responsable del tratamiento | La empresa cliente que contrata Theresa | Qué datos se tratan y para qué |
| Encargado del tratamiento | Theresa (Theresa Software S.L.) | Trata los datos siguiendo las instrucciones del cliente |
Theresa firma con cada cliente un contrato de encargo de tratamiento conforme al artículo 28 del RGPD, que regula las obligaciones, las medidas de seguridad y el uso de subencargados.
Principios que aplicamos
- Minimización: solo tratamos los datos necesarios para el registro de jornada y el cumplimiento legal.
- Integridad e inmutabilidad: cada registro de fichaje incorpora una firma criptográfica (HMAC-SHA256). Los registros son de tipo append-only: no se sobrescriben ni se borran, garantizando su valor probatorio.
- Confidencialidad y cifrado: determinados campos sensibles se almacenan cifrados (cifrado Fernet, AES-128 con verificación de integridad). Toda la comunicación viaja cifrada por HTTPS.
- Datos en la UE: ver la sección sobre ubicación de datos en la Política de Privacidad. El compromiso es mantener los datos personales dentro de la Unión Europea.
Datos especialmente sensibles
- Geolocalización: voluntaria, nunca por defecto. El fichaje funciona por código o QR sin GPS. Solo se registra la ubicación si el usuario activa el GPS y concede permiso expreso, conforme a las directrices de la AEPD sobre geolocalización laboral (proporcionalidad y minimización).
- Fotografía de DNI: se utiliza exclusivamente en el proceso de firma electrónica avanzada, para verificar la identidad del firmante. No se emplea para otros fines.
- Theresa no trata datos biométricos (ni huella dactilar ni reconocimiento facial).
Grabaciones del asistente de IA
Las conversaciones con nuestro asistente de IA en la web se conservan un máximo de 30 días desde la última interacción y no se utilizan para entrenar ni mejorar modelos. No se analizan con fines de perfilado, no se venden y no se ceden con fines comerciales. Es un compromiso firme.
Derechos de las personas interesadas
Acceso, rectificación, supresión, oposición, limitación y portabilidad. Canal de contacto: DPD@theresa.es. Autoridad de control: Agencia Española de Protección de Datos (www.aepd.es).