Borrador pendiente de revisión jurídica

Política de privacidad

Versión 1.0 · Última actualización: ‹fecha de publicación›

1. Quién es el responsable

2. A quién se dirige esta política y en qué papel actúa TALENTION

TALENTION presta, bajo la marca TalentionHR, una plataforma en la nube de gestión de personas y control horario dirigida a empresas. Esta política informa de forma conjunta a dos colectivos, en los que TALENTION desempeña papeles distintos:

Si usted es trabajador de una empresa que utiliza TalentionHR, la información completa sobre el tratamiento de sus datos laborales debe facilitársela su empresa, como responsable. El apartado 4 de esta política describe, con transparencia, qué hace la plataforma con sus datos y qué papel tiene TALENTION. Los tratamientos que TALENTION realiza por cuenta propia y que también pueden afectarle figuran en el apartado 3.

Esta política se refiere a la plataforma TalentionHR (app.talentionhr.es). El tratamiento de los datos de quienes visitan el sitio talentionhr.es o contactan con TALENTION a través de sus formularios, y la gestión comercial de esos contactos, se rigen por la política de privacidad de ese sitio.

3. Tratamientos de los que TALENTION es responsable

En la tabla siguiente se describen los tratamientos que TALENTION realiza por cuenta propia, con sus finalidades, la base jurídica que los legitima y los plazos de conservación aplicables.

TALENTION no elabora perfiles con fines comerciales ni adopta decisiones automatizadas con efectos jurídicos sobre los interesados. En los tratamientos de este apartado no se tratan datos de menores de edad. TALENTION no utiliza los datos de las empresas cliente ni de sus empleados para entrenar sistemas de inteligencia artificial ni los cede a terceros con fines comerciales.

Facilitar los datos solicitados en los formularios es necesario para atender la petición; los campos marcados como obligatorios son imprescindibles y, de no facilitarse, no podrá tramitarse la solicitud.

4. Uso de la plataforma TalentionHR: información para los empleados de las empresas cliente

4.1 Quién es el responsable de sus datos

Cuando su empresa utiliza TalentionHR, su empresa es la responsable del tratamiento de sus datos como trabajador: decide qué módulos activa, qué datos se recogen, quién puede verlos y durante cuánto tiempo se conservan. TALENTION actúa como encargado del tratamiento (art. 28 RGPD), en virtud del contrato de prestación de servicios y del acuerdo de encargo suscritos con su empresa, y solo trata sus datos siguiendo las instrucciones documentadas de esta.

Por ello, para ejercer sus derechos o conocer los detalles concretos del tratamiento (finalidades, plazos, destinatarios) debe dirigirse a su empresa, normalmente a través del departamento de recursos humanos. TALENTION colaborará con su empresa para atender sus solicitudes (véase apartado 8).

TALENTION trata además, como responsable y para fines propios, algunos datos de los usuarios de la plataforma: las consultas de soporte, las comunicaciones de servicio y novedades, la seguridad y la trazabilidad del personal de TALENTION y la atención de derechos. Esos tratamientos se describen en el apartado 3.

4.2 Qué datos trata la plataforma

Dependiendo de los módulos contratados por su empresa, la plataforma puede tratar las siguientes categorías de datos. Muchos de ellos los introduce la propia persona trabajadora (al aceptar la invitación, en su perfil o al fichar) y otros los introduce el personal autorizado de su empresa.

4.3 Quién puede ver sus datos dentro de su empresa

El acceso a la información está limitado por roles y permisos que configura su empresa. Con carácter general:

• Usted accede a sus propios datos.
• Su responsable directo puede ver el registro de jornada y las solicitudes de su equipo. De las personas de su equipo solo ve los datos personales de identificación y contacto (DNI, fecha de nacimiento, domicilio, correo y teléfono personales y similares) si su empresa le ha concedido el permiso «Ver datos personales de los empleados»; el teléfono de emergencia no depende de ese permiso.
• El personal de recursos humanos y los administradores pueden acceder a la información de toda la plantilla según los permisos asignados. Los roles de Administrador y de RR. HH. tienen por defecto los permisos de ver datos personales de los empleados, ver datos de salud (justificantes médicos y discapacidad) y ver las nóminas de todos los empleados. Su empresa puede concederlos a otros roles y quitárselos al rol de RR. HH., pero no puede quitárselos al rol de Administrador, que los conserva siempre.
• El IBAN y el número de la Seguridad Social los ven, además de la propia persona, el Administrador, el personal de RR. HH. y cualquier usuario que tenga el permiso «Editar empleados», aunque no tenga el de ver datos personales. Ese mismo permiso «Editar empleados» abre también los datos personales de identificación y contacto (DNI, fecha de nacimiento, domicilio, correo y teléfono personales y similares).

Cada acceso a fotografías de fichaje y a acciones sensibles queda registrado en el registro de auditoría.

4.4 Comunicaciones a terceros

• Inspección de Trabajo y representación legal de los trabajadores: su empresa puede generar un enlace temporal de acceso al registro de jornada de la plantilla (nombre, departamento, centro y desglose diario) para atender requerimientos de la Inspección de Trabajo o facilitar el acceso a la representación legal de los trabajadores, conforme al art. 34.9 ET. Cada consulta queda registrada.

• Proveedores de TALENTION (subencargados): los indicados en el apartado 5 como encargados, que prestan servicios de infraestructura necesarios para el funcionamiento de la plataforma.

• Otros terceros: TALENTION no comunica sus datos a ningún otro tercero, salvo obligación legal o requerimiento de autoridad competente, en cuyo caso informará a su empresa cuando sea legalmente posible.

4.5 Notificaciones

La plataforma genera avisos dentro de la aplicación y, si su empresa activa ese canal, por correo electrónico. Los recordatorios de fichaje pueden estar activados por defecto por su empresa; consulte con ella la configuración aplicable y su derecho a la desconexión digital (art. 88 LOPDGDD). El texto de los correos sobre solicitudes puede indicar el tipo de solicitud a la que se refieren y, si se rechaza, el motivo que haya escrito quien la rechaza, salvo en las bajas médicas, cuyas notificaciones no indican ni el tipo ni el motivo.

4.6 Acceso del personal de TALENTION a su cuenta

Para prestar soporte técnico, el personal autorizado de TALENTION puede, a petición de su empresa o para resolver una incidencia abierta, acceder temporalmente a la plataforma con la visión de un usuario concreto («sesión de asistencia»). Ninguna sesión se abre sin indicar el motivo y la referencia del ticket, correo o consulta que la origina. Para entrar como un usuario que no sea Administrador ni de RR. HH. hace falta, además, una incidencia concreta de ese usuario: una consulta de soporte suya o la referencia de la incidencia recibida por teléfono o correo.

Estas sesiones tienen una duración máxima de dos horas, exigen verificación en dos pasos del técnico, quedan registradas con identidad del técnico, usuario afectado, motivo, referencia, fecha, hora y dirección IP, y pueden ser revocadas en cualquier momento. Al iniciarse una sesión, la plataforma avisa por correo al usuario afectado. Los administradores de su empresa disponen en la plataforma de una pantalla con el histórico de las sesiones de asistencia (técnico, usuario afectado, motivo, referencia, inicio, fin y estado) y con el número de acciones registradas durante cada una, sin la dirección IP ni el navegador del técnico, y pueden revocar una sesión en curso. Cuando una sesión es anterior al registro de ese recuento o ya ha vencido su plazo de conservación (180 días), la pantalla indica que el número no está disponible. Además, el Administrador puede consultar y exportar la auditoría de la empresa, que muestra las filas de su registro de auditoría (fecha, acción, autor, recurso y, si el acto se hizo en una sesión de asistencia, la referencia de esa sesión) y una lista acotada de actuaciones del personal de TALENTION sobre la cuenta (fecha, acción, técnico y recurso, sin detalle). La plataforma no muestra el detalle del registro de actividad de la aplicación y no registra, con carácter general, las consultas de datos que el técnico hace durante una sesión (salvo los accesos sensibles del apartado 4.3). El personal de TALENTION está sujeto a deber de confidencialidad y solo accede a lo estrictamente necesario para resolver la incidencia.

5. Destinatarios, encargados y subencargados

TALENTION utiliza los siguientes proveedores para prestar el servicio. Hostinger International Ltd. (servidor y correo) y Amazon Web Services actúan como encargados (o subencargados, respecto de los datos de las empresas cliente). Stripe recibe datos de los que TALENTION es responsable (apartado 3), no los datos de la plantilla de las empresas cliente. GitHub y OpenStreetMap Foundation no reciben datos personales de la plataforma, por lo que no son encargados. Con cada encargado rige su acuerdo de tratamiento de datos (art. 28 RGPD), que forma parte de las condiciones del servicio aceptadas al contratarlo: el de Hostinger, que cubre servidor y correo, y el de Amazon Web Services.

Los servicios de notificaciones push (Expo, Apple, Google) y de sincronización de calendarios (Google Calendar, Microsoft 365) están preparados en la plataforma pero no están activos. Si se activaran, TALENTION actualizará esta política y el listado de subencargados comunicado a las empresas cliente con antelación.

6. Transferencias internacionales

Los ficheros y las copias de seguridad de la plataforma se almacenan en el Espacio Económico Europeo (Amazon Web Services, en Suecia y España). La ubicación de los demás proveedores figura en el apartado 5. Algunos proveedores tienen matriz fuera del EEE (Amazon Web Services, GitHub y Stripe), lo que puede implicar accesos remotos o transferencias. Cualquier transferencia se ampararía en las garantías del capítulo V del RGPD. En concreto: Amazon Web Services, cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914) incorporadas a su acuerdo de tratamiento y adhesión de Amazon.com, Inc. al Marco de Privacidad de Datos UE-EE. UU.; Stripe, adhesión de Stripe, LLC al Marco de Privacidad de Datos UE-EE. UU. y, en subsidio, cláusulas contractuales tipo; GitHub, que no recibe datos personales de la plataforma, adhesión al Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo. Puede solicitar información sobre estas garantías en privacidad@talentionhr.es.

7. Plazos de conservación

Los plazos de los tratamientos propios de TALENTION figuran en la tabla del apartado 3. Respecto a los datos tratados por cuenta de las empresas cliente, el plazo lo determina cada empresa como responsable, con las siguientes reglas aplicadas por la plataforma:

• Registro de jornada: la empresa, como empleadora, debe conservarlo cuatro años (art. 34.9 ET). La plataforma conserva cada fichaje hasta el 31 de diciembre del cuarto año siguiente al de su fecha. El borrado ordinario de fichajes desde la aplicación es lógico (los registros no se destruyen físicamente) para preservar su valor probatorio. Vencido el plazo, la plataforma elimina los fichajes y anonimiza la ficha de las personas dadas de baja que ya no tienen registro en plazo; no se anonimiza a quien tenga limitado el tratamiento de sus datos.

• Fotografías de fichaje asociadas a un fichaje: 30 días desde que se toman, plazo que cada empresa puede fijar entre 1 y 90 días.

• Registros de actividad de la aplicación (quién modificó qué, con IP): 180 días, con purga diaria automática.

• Registro de auditoría de la empresa: se conserva, como mínimo, cuatro años.

• Intentos fallidos de identificación en el kiosko: 90 días (el DNI no se guarda completo: se guarda seudonimizado junto con sus cuatro últimos caracteres).

• Recordatorios de fichaje: 7 días.

• Notificaciones dentro de la aplicación: 180 días desde su creación, estén leídas o no.

• Invitaciones a la plataforma: 30 días desde que se usan o caducan. Salvedad: la invitación del primer administrador de una cuenta de pago dada de alta por TALENTION nace sin caducidad y, mientras no se use, no se purga.

• Votos del foro: 365 días desde que la propuesta pasa a su estado final; se conserva el recuento y no se tocan la propuesta ni sus comentarios.

• Enlaces de acceso para la Inspección de Trabajo y la representación legal: 4 años desde que se revocan o caducan.

• Tokens de sesión caducados: se eliminan a las 24 horas de su caducidad. La sesión caduca tras 7 días de inactividad.

• Copias de seguridad: las copias de la base de datos se conservan de forma inmutable durante 35 días, y su ciclo completo de eliminación puede extenderse hasta un máximo de 72 días. Un dato suprimido en la plataforma puede permanecer en las copias durante ese periodo, sin que sea accesible para el uso ordinario del servicio.

• Datos de una prueba caducada: 30 días desde la caducidad de la prueba, tras los cuales se suprimen.

• Resto de datos (ficha de empleado, documentos, nóminas, justificantes, ausencias, propuestas y comentarios del foro, proyectos, retribuciones): se conservan mientras dure la relación contractual con la empresa cliente y hasta que esta los elimine o solicite su supresión, con los límites legales que correspondan. Los documentos, nóminas y firmas de una persona anonimizada se conservan el plazo que fije la empresa cliente y, si no fija ninguno, cuatro años desde la baja de la persona. El registro de las solicitudes de ejercicio de derechos en materia de protección de datos se conserva tres años desde la respuesta. El registro de las entregas del registro de jornada se conserva cuatro años desde cada entrega. Las nóminas y el registro retributivo de una persona que tiene limitado el tratamiento de sus datos se conservan, pero solo se tratan con su consentimiento, para la formulación, el ejercicio o la defensa de reclamaciones, para proteger los derechos de otra persona o por una obligación legal (art. 18.2 RGPD).

• Al finalizar el contrato: TALENTION facilita a la empresa la devolución de sus datos y, tras los plazos de descarga y de supresión de los Términos y condiciones, suprime la empresa entera. Antes de suprimirla, entrega a la empresa el paquete con su registro de jornada: la entrega consta cuando la empresa descarga el paquete o da una instrucción acreditada de suprimirlo. Si no consta la entrega, o la empresa ha dado instrucción de conservarlo, TALENTION no suprime la empresa y retiene su registro de jornada hasta que se resuelva. La obligación de conservar el registro de jornada durante cuatro años (art. 34.9 ET) corresponde a la empresa como empleadora. Quedan fuera de la supresión las constancias que enumera el apartado 3 (fila «Alta y gestión de la cuenta») y el expediente de facturación, y, de forma temporal, las copias de seguridad inmutables.

8. Sus derechos

Usted tiene derecho a acceder a sus datos, a rectificarlos, a suprimirlos, a limitar u oponerse a su tratamiento, a la portabilidad de los datos y a no ser objeto de decisiones individuales automatizadas. Cuando el tratamiento se base en el consentimiento, puede retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento anterior.

Si sus datos los trata TALENTION como responsable (apartado 3), puede ejercer sus derechos escribiendo a privacidad@talentionhr.es o por correo postal a la dirección del apartado 1, indicando el derecho que ejerce y acompañando, cuando sea necesario para verificar su identidad, copia de un documento identificativo. TALENTION responderá en el plazo máximo de un mes, prorrogable dos meses más en casos complejos.

Si usted es empleado de una empresa cliente (apartado 4), debe dirigir su solicitud a su empresa, que es la responsable. Si la recibe TALENTION, la trasladará a su empresa sin dilación y le informará de ello. Debe tener en cuenta que determinados datos, como el registro de jornada, deben conservarse por obligación legal durante cuatro años, por lo que la supresión puede quedar limitada conforme al art. 17.3.b RGPD.

Si considera que sus derechos no han sido atendidos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan, 6, 28001 Madrid). Le agradeceremos que, antes de hacerlo, nos permita resolver su solicitud contactando en privacidad@talentionhr.es.

9. Seguridad

TALENTION aplica medidas técnicas y organizativas orientadas a garantizar la confidencialidad, integridad y disponibilidad de los datos, entre ellas: cifrado de las comunicaciones (TLS y HSTS); cifrado en reposo de los ficheros almacenados en Amazon S3; contraseñas y PIN almacenados mediante funciones de hash robustas (bcrypt); contraseñas de al menos 12 caracteres, con letras y números, que se comprueban, cuando el servicio de consulta está disponible, contra listas públicas de contraseñas filtradas (la consulta envía solo los cinco primeros caracteres de una huella de la contraseña, nunca la contraseña ni datos de la persona); verificación en dos pasos disponible para todos los usuarios y obligatoria para el personal de TALENTION, y cada empresa puede hacerla obligatoria para los roles de Administrador y de RR. HH.; control de acceso por roles y permisos configurable por cada empresa, con permisos propios para los datos personales, los datos de salud y las nóminas; limitación del número de intentos de acceso; registro de auditoría con sellado criptográfico encadenado; copias de seguridad diarias e inmutables en una región distinta; separación lógica de los datos de cada empresa; contenedores endurecidos y despliegues sin interrupción; y un programa anual de pruebas de seguridad (análisis estático y dinámico y revisión manual) con plazos de corrección definidos. Las medidas se describen con más detalle en el acuerdo de encargo del tratamiento.

En caso de violación de la seguridad que afecte a datos personales, TALENTION la notificará a las empresas cliente afectadas sin dilación indebida, para que estas puedan cumplir con sus obligaciones de notificación a la autoridad de control y, en su caso, a los interesados (arts. 33 y 34 RGPD), y a la AEPD en los tratamientos de los que sea responsable.

10. Actualizaciones de esta política

TALENTION puede actualizar esta política para adaptarla a cambios normativos, técnicos u organizativos. Los cambios relevantes se comunicarán a las empresas cliente a través de la plataforma o por correo electrónico. La versión vigente es la publicada en talentionhr.es y en app.talentionhr.es, con su fecha de actualización.

Anexo I. Modelo de información básica para las empresas cliente

Los campos entre ‹ › los completa la empresa cliente.

Texto orientativo que la empresa cliente, como responsable, puede adaptar para informar a su plantilla (arts. 13 RGPD y 11 LOPDGDD) al invitarla a la plataforma. Deberá completarse con los datos de la empresa y los módulos efectivamente activados.