Contrato de encargo del tratamiento

Versión 1.0 · 15 de agosto de 2026 · art. 28 del Reglamento (UE) 2016/679

Este documento es el contrato de encargado del tratamiento que rige el acceso de RNOVA SECURITY, S.L.L. a los datos personales que la empresa cliente trata en Dakoku. Forma parte del contrato de servicio. No sustituye las obligaciones de la empresa como responsable.

1. Partes

Responsable del tratamiento: la persona física o jurídica que contrata Dakoku y determina los fines y medios del tratamiento de los datos de sus trabajadores y usuarios (en adelante, el Responsable).

Encargado del tratamiento: RNOVA SECURITY, S.L.L., NIF B74073883, Calle Antonio Machado 41, Bajo A, 33420 Lugones, Siero (Asturias), correo enrique@datosempresariales.com, DPD dpo@datosempresariales.com (en adelante, el Encargado).

La marca comercial del servicio es Dakoku. El Encargado presta el software, el alojamiento y, cuando se contrata, la implantación y el soporte.

2. Objeto y duración

El Encargado trata datos personales por cuenta del Responsable para prestar Dakoku: registro de jornada, solicitudes de vacaciones, incidencias y correcciones de fichaje, informes, documentación laboral y acuses, y las cuentas de acceso de la empresa.

El encargo dura mientras esté vigente el contrato de servicio y, después, el tiempo imprescindible para devolver o suprimir los datos según la cláusula 13, salvo obligación legal de conservación que recaiga sobre el Encargado.

3. Naturaleza y finalidad

Tratamiento automatizado en servidores del Encargado, en España. Finalidad: ejecutar las instrucciones del Responsable para que su empresa pueda registrar jornada, conservar evidencias y gestionar la documentación asociada al servicio. El Encargado no trata esos datos para finalidades propias ni elabora perfiles comerciales de los trabajadores.

4. Categorías de interesados

• Personas trabajadoras de la empresa cliente y, en su caso, otras personas a las que el Responsable dé de alta para registrar jornada.
• Usuarios de la aplicación (administradores, mandos, asesoría a la que el Responsable conceda acceso).
• Personas de contacto de la empresa a efectos de facturación, soporte e implantación.

5. Categorías de datos

Según lo que el Responsable configure y cargue:

• Identificación y contacto: nombre, apellidos, NIF, correo, teléfono, número o código interno.
• Datos laborales de configuración: centro, horario, tipo de jornada, fechas de alta y baja en el sistema.
• Registro de jornada: marcas de entrada, salida y pausa; fecha y hora; origen de la marca; dirección IP; y, solo si el Responsable activa la geolocalización, latitud, longitud y precisión.
• Ausencias y vacaciones: solicitudes, estados y saldos que la empresa gestione en el sistema. Dakoku no es un módulo de IT ni de permisos retribuidos: esos conceptos, si se anotan, se tipan en el registro.
• Correcciones e incidencias: solicitudes, motivos, resolución, autor y marca de tiempo. El registro original no se sobrescribe.
• Documentación y acuse: textos o documentos que el Responsable entrega; constancia de lectura o aceptación; y, en el acuse digital, texto aceptado, hash SHA-256, fecha, IP, agente de usuario e identificadores de sesión o de verificación. No se captura huella ni otros datos biométricos.
• Cuentas y seguridad: identificador de usuario, hash de contraseña, configuración de MFA, registro de accesos y de actividad.

El Encargado no solicita categorías especiales (salud, afiliación sindical, biometría, etc.). Si el Responsable las introduce en campos libres o en un documento, es él quien debe tener base jurídica.

6. Instrucciones

El Encargado solo trata los datos según este contrato, la configuración que el Responsable haga en la aplicación y las instrucciones documentadas que reciba. Si una instrucción infringe el RGPD, el Encargado lo advertirá. El soporte técnico (incluido el acceso de superadmin a un cliente activo) queda registrado y se usa solo para prestar el servicio.

7. Confidencialidad

Las personas autorizadas del Encargado están sujetas a deber de confidencialidad. El acceso se limita a lo necesario para implantación, soporte, mantenimiento y seguridad.

8. Seguridad

El Encargado aplica las medidas del anexo II y las describe en la página de seguridad. Incluyen, entre otras: cifrado en tránsito (HTTPS/TLS), aislamiento de cada cliente en su propia base de datos, contraseñas con función resumen, MFA opcional, registro de accesos y de escrituras, y copias fuera del servidor de producción. No se afirma una certificación ISO 27001 ni un sello eIDAS de firma cualificada: el acuse del trabajador es evidencia de firma simple.

9. Subencargados

El Responsable autoriza con carácter general a los subencargados del anexo III. El Encargado informará de altas o sustituciones con antelación razonable para que el Responsable pueda oponerse. El Encargado impone a los subencargados obligaciones equivalentes a las de este contrato.

10. Transferencias internacionales

El servicio se aloja en España. No está prevista una transferencia de datos del tenant a un país tercero para prestar Dakoku. Si en el futuro interviniera un proveedor que implique transferencia, se aplicarán las garantías del capítulo V del RGPD y se actualizará el anexo III.

11. Derechos de las personas

Quien quiera ejercer acceso, rectificación, supresión, oposición, limitación o portabilidad sobre datos tratados en Dakoku debe dirigirse al Responsable (su empresa). El Encargado ayudará al Responsable, en la medida que el producto lo permita: cada trabajador ve sus registros; el administrador exporta informes y el volcado JSON del tenant; los accesos quedan registrados.

Las solicitudes dirigidas al Encargado sobre datos de un tenant se reenviarán al Responsable, salvo que una autoridad competente exija otra cosa.

12. Brechas de seguridad

Si el Encargado tiene conocimiento de una violación de seguridad que afecte a datos del Responsable, se lo comunicará sin dilación indebida, con la información disponible para que el Responsable pueda cumplir los arts. 33 y 34 del RGPD cuando proceda. La decisión de notificar a la AEPD o a los interesados corresponde al Responsable, salvo que la ley imponga un deber propio al Encargado. El procedimiento operativo está en brechas.php.

13. Devolución y supresión

Al causar baja, el Responsable puede exportar el histórico (JSON desde la aplicación; informes CSV/PDF; y, si lo pide, copia técnica SQL). El procedimiento está en la política de cancelación y portabilidad.

La baja lógica bloquea el acceso y no borra la base de datos. No hay borrado automático. La supresión física solo se hace bajo instrucción escrita del Responsable, cuando no quede una obligación de conservación que deba atender el Encargado, y queda registrada. Hasta entonces los datos siguen a disposición del Responsable para que pueda cumplir el plazo de 4 años del art. 34.9 del Estatuto de los Trabajadores, que es suyo.

14. Auditoría e información

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este encargo y permitirá las auditorías razonables, con preaviso, sin poner en riesgo la seguridad de otros clientes ni secretos ajenos al tenant. La página de seguridad y este contrato son la información pública de partida.

15. Responsabilidad y ley aplicable

Cada parte responde de las infracciones que le sean imputables conforme al RGPD. El Encargado no decide si una persona debe registrar jornada ni sustituye el criterio jurídico del Responsable. Este contrato se rige por la legislación española. Los tribunales competentes serán los que correspondan según la normativa aplicable.

La aceptación del servicio Dakoku implica la aceptación de esta versión, salvo que las partes firmen un anexo distinto. La versión vigente es la publicada en dakoku.es/encargado.php.

Anexo I — Descripción del tratamiento

• Operaciones: recogida, registro, organización, conservación, consulta, comunicación al Responsable y a quien este autorice, exportación y, bajo instrucción, supresión.
• Conservación en servicio: el plazo lo configura el Responsable (4 años por defecto para el registro de jornada y acuses ligados). La cadena de auditoría de fichajes no se incluye en la purga ordinaria.
• Lugar: infraestructura contratada en España (anexo III).

Anexo II — Medidas de seguridad (resumen)

• HTTPS en la aplicación y HSTS en el servidor.
• Una base de datos y un usuario MySQL por cliente. Credenciales de esas bases cifradas en la maestra.
• Contraseñas con password_hash (bcrypt). MFA TOTP disponible.
• Sesión con cookie segura, HttpOnly y SameSite=Lax; caducidad por inactividad; regeneración de identificador al entrar.
• CSRF en escrituras; registro de actividad y de accesos.
• Documentos y evidencias de acuse en base de datos o generados al vuelo; no se publican en una URL adivinable.
• Copias periódicas fuera del servidor de producción.

Detalle en seguridad. Este anexo no es una certificación.

Anexo III — Subencargados autorizados

El correo transaccional del producto (bienvenida, incidencias, OTP de acuse cuando aplica) se envía desde el mismo servidor, sin un proveedor de correo masivo externo. No hay prestador de sello de tiempo (TSA) contratado: el PAdES, si se aplica, usa certificado propio de RNOVA. Let’s Encrypt emite certificados TLS y no trata el contenido del tenant. Si algo de esto cambia, se actualizará este anexo.

Registro de actividades del encargado (art. 30.2): rat-encargado.php.