Contrato de encargo del tratamiento

Versión 1.1 · 24 de agosto de 2026 · art. 28 del Reglamento (UE) 2016/679

Este documento es el contrato de encargado del tratamiento que rige el acceso de RNOVA SECURITY, S.L.L. a los datos personales que la empresa cliente trata en Dakoku. Forma parte del contrato de servicio. No sustituye las obligaciones de la empresa como responsable.

1. Partes

Responsable del tratamiento: la persona física o jurídica que contrata DAKOKU y determina los fines y medios del tratamiento de los datos personales que incorpora o gestiona mediante el servicio, incluidos, según las funcionalidades utilizadas, datos de trabajadores, usuarios, clientes, personas de contacto y otras personas relacionadas con su actividad (en adelante, el Responsable).

Encargado del tratamiento: RNOVA SECURITY, S.L.L., NIF B74073883, Calle Antonio Machado 41, Bajo A, 33420 Lugones, Siero (Asturias), correo soporte@dakoku.es, DPD dpo@datosempresariales.com (en adelante, el Encargado).

La marca comercial del servicio es DAKOKU. El Encargado presta el software, alojamiento y, cuando corresponda, implantación y soporte.

2. Objeto y duración

El Encargado trata datos personales por cuenta del Responsable para prestar las funcionalidades de DAKOKU que este utilice, entre ellas:

• Registro de jornada.
• Vacaciones, ausencias, incidencias y correcciones.
• Informes y documentación laboral.
• Acuses y evidencias.
• Cuentas de acceso.
• Tareas y organización interna.
• Visitas y reuniones.
• Gestión de clientes y personas de contacto.
• Histórico de comunicaciones, actuaciones y seguimientos asociados a clientes.

El encargo cubre tanto la prueba de 14 días (cuando exista) como el servicio de pago. Durará lo que dure esa relación y, al terminar, el tiempo imprescindible para devolver, conservar temporalmente o suprimir los datos conforme a las instrucciones del Responsable y a este contrato.

3. Naturaleza y finalidad

El tratamiento se realiza mediante sistemas automatizados utilizados para la prestación de DAKOKU.

La finalidad del encargo es permitir que el Responsable utilice las funcionalidades contratadas para:

• Registrar y gestionar la jornada laboral.
• Gestionar documentación y evidencias relacionadas con el personal.
• Organizar tareas, visitas y reuniones.
• Gestionar clientes y personas de contacto.
• Mantener un histórico de comunicaciones, actuaciones y seguimientos relacionados con dichos clientes.

RNOVA SECURITY tratará estos datos únicamente siguiendo las instrucciones documentadas del Responsable y no los utilizará para finalidades propias ni para elaborar perfiles comerciales de los trabajadores, clientes o contactos incorporados por este.

4. Categorías de interesados

Según las funcionalidades utilizadas por el Responsable, podrán tratarse datos relativos a:

• Personas trabajadoras.
• Usuarios de la aplicación.
• Administradores, responsables y mandos de la empresa.
• Personas de asesoría u otros usuarios autorizados por el Responsable.
• Clientes que sean personas físicas.
• Representantes, empleados y personas de contacto de clientes que sean personas jurídicas.
• Potenciales clientes o personas de contacto incorporadas legítimamente por el Responsable.
• Personas relacionadas con tareas, reuniones, visitas o actuaciones registradas en DAKOKU.

5. Categorías de datos

Según lo que el Responsable configure o incorpore:

Identificación y contacto

• Nombre y apellidos.
• NIF u otros identificadores, cuando proceda.
• Correo electrónico.
• Teléfono.
• Empresa u organización.
• Cargo o relación con la organización.
• Código interno u otros datos identificativos necesarios.

Datos laborales

• Centro de trabajo.
• Horarios.
• Tipo de jornada.
• Altas y bajas.
• Fichajes, pausas, incidencias y correcciones.
• Vacaciones y ausencias.
• Documentos laborales y acuses.
• Dirección IP y, únicamente cuando se active, datos de geolocalización asociados al fichaje.

Organización

• Tareas.
• Persona asignada.
• Fechas y estados.
• Prioridades.
• Visitas.
• Reuniones.
• Seguimiento de actuaciones.

Clientes e histórico

• Datos identificativos y de contacto del cliente o de sus personas de contacto.
• Empresa u organización relacionada.
• Comunicaciones y actuaciones registradas por el Responsable.
• Historial cronológico de la relación.
• Visitas y reuniones.
• Tareas generadas o vinculadas al cliente.
• Comentarios, notas y seguimientos introducidos por usuarios autorizados.

El Responsable deberá evitar incorporar categorías especiales de datos personales en notas, comentarios o campos libres salvo que exista una base jurídica adecuada y su tratamiento resulte necesario.

6. Instrucciones

El Encargado solo trata los datos según este contrato, la configuración que el Responsable haga en la aplicación y las instrucciones documentadas que reciba. Si una instrucción infringe el RGPD, el Encargado lo advertirá. El soporte técnico (incluido el acceso de superadmin a un cliente activo) queda registrado y se usa solo para prestar el servicio.

7. Confidencialidad

Las personas autorizadas del Encargado están sujetas a deber de confidencialidad. El acceso se limita a lo necesario para implantación, soporte, mantenimiento y seguridad.

8. Seguridad

El Encargado aplica las medidas del anexo II y las describe en la página de seguridad. Incluyen, entre otras: cifrado en tránsito (HTTPS/TLS), aislamiento de cada cliente en su propia base de datos, contraseñas con función resumen, MFA opcional, registro de accesos y de escrituras, y copias fuera del servidor de producción. No se afirma una certificación ISO 27001 ni un sello eIDAS de firma cualificada: el acuse del trabajador es evidencia de firma simple.

9. Subencargados

El Responsable autoriza con carácter general a los subencargados del anexo III. El Encargado informará de altas o sustituciones con antelación razonable para que el Responsable pueda oponerse. El Encargado impone a los subencargados obligaciones equivalentes a las de este contrato.

10. Transferencias internacionales

El servicio se aloja en España. No está prevista una transferencia de datos del tenant a un país tercero para prestar Dakoku. Si en el futuro interviniera un proveedor que implique transferencia, se aplicarán las garantías del capítulo V del RGPD y se actualizará el anexo III.

11. Derechos de las personas

Quien quiera ejercer acceso, rectificación, supresión, oposición, limitación o portabilidad sobre datos tratados en Dakoku debe dirigirse al Responsable (su empresa). El Encargado ayudará al Responsable, en la medida que el producto lo permita: cada trabajador ve sus registros; el administrador exporta informes y el volcado JSON del tenant; los accesos quedan registrados.

Las solicitudes dirigidas al Encargado sobre datos de un tenant se reenviarán al Responsable, salvo que una autoridad competente exija otra cosa.

12. Brechas de seguridad

Si el Encargado tiene conocimiento de una violación de seguridad que afecte a datos del Responsable, se lo comunicará sin dilación indebida, con la información disponible para que el Responsable pueda cumplir los arts. 33 y 34 del RGPD cuando proceda. La decisión de notificar a la AEPD o a los interesados corresponde al Responsable, salvo que la ley imponga un deber propio al Encargado. El procedimiento operativo está en brechas.php.

13. Devolución y supresión

Al causar baja del servicio contratado, el Responsable puede exportar el histórico (JSON desde la aplicación; informes CSV/PDF; y, si lo pide, copia técnica SQL). El procedimiento está en la política de cancelación y portabilidad.

En el servicio contratado, la baja lógica bloquea el acceso y no borra la base de datos. No hay borrado automático por impago. La supresión física solo se hace bajo instrucción escrita del Responsable, cuando no quede una obligación de conservación que deba atender el Encargado, y queda registrada. Hasta entonces los datos siguen a disposición del Responsable para el plazo de 4 años del art. 34.9 del Estatuto de los Trabajadores, que es suyo.

En la prueba, si el Responsable no confirma la contratación en las 24 horas siguientes al fin de los 14 días, el espacio pasa a cola de baja: se bloquea el acceso y el Encargado elimina los datos a los 15 días desde el fin de esa ventana. Esa supresión no se aplica al servicio de pago ni a los registros que el Responsable deba conservar por ley fuera de Dakoku.

14. Auditoría e información

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este encargo y permitirá las auditorías razonables, con preaviso, sin poner en riesgo la seguridad de otros clientes ni secretos ajenos al tenant. La página de seguridad y este contrato son la información pública de partida.

15. Responsabilidad y ley aplicable

Cada parte responde de las infracciones que le sean imputables conforme al RGPD. El Encargado no decide si una persona debe registrar jornada ni sustituye el criterio jurídico del Responsable. Este contrato se rige por la legislación española. Los tribunales competentes serán los que correspondan según la normativa aplicable.

La aceptación del servicio Dakoku implica la aceptación de esta versión, salvo que las partes firmen un anexo distinto. La versión vigente es la publicada en dakoku.es/encargado.php.

Anexo I — Descripción del tratamiento

• Operaciones de tratamiento: recogida, registro, organización, estructuración, conservación, modificación, consulta, utilización, asociación, exportación, comunicación a las personas autorizadas por el Responsable y supresión conforme a sus instrucciones.
• Finalidades: prestación de las funcionalidades de control horario, documentación laboral, organización interna, gestión de tareas, reuniones, clientes, contactos e histórico de comunicaciones y actuaciones contratadas por el Responsable.
• Categorías de interesados: trabajadores, usuarios, clientes personas físicas, representantes y personas de contacto de clientes y demás personas cuyos datos incorpore legítimamente el Responsable en relación con las funcionalidades utilizadas.
• Categorías de datos: datos identificativos y de contacto, laborales, registro de jornada, organización, tareas, reuniones y datos relacionados con la gestión e histórico de clientes, conforme al apartado 5 del contrato.
• Conservación: durante la vigencia del servicio y posteriormente conforme a las instrucciones del Responsable, las obligaciones legales aplicables y el régimen de devolución y supresión previsto en este contrato.

Anexo II — Medidas de seguridad (resumen)

• HTTPS en la aplicación y HSTS en el servidor.
• Una base de datos y un usuario MySQL por cliente. Credenciales de esas bases cifradas en la maestra.
• Contraseñas con password_hash (bcrypt). MFA TOTP disponible.
• Sesión con cookie segura, HttpOnly y SameSite=Lax; caducidad por inactividad; regeneración de identificador al entrar.
• CSRF en escrituras; registro de actividad y de accesos.
• Documentos y evidencias de acuse en base de datos o generados al vuelo; no se publican en una URL adivinable.
• Copias periódicas fuera del servidor de producción.

Detalle en seguridad. Este anexo no es una certificación.

Anexo III — Subencargados autorizados

El correo transaccional del producto (bienvenida, incidencias, OTP de acuse cuando aplica) se envía desde el mismo servidor, sin un proveedor de correo masivo externo. No hay prestador de sello de tiempo (TSA) contratado: el PAdES, si se aplica, usa certificado propio de RNOVA. Let’s Encrypt emite certificados TLS y no trata el contenido del tenant. Si algo de esto cambia, se actualizará este anexo.

Registro de actividades del encargado (art. 30.2): rat-encargado.php.