Protección de datos personales

1. Responsable del tratamiento

Entidad: GRUPO HARES INNOVACION S.L.

NIF/CIF: B09966839

Domicilio: Carretera Villaverde a Vallecas, 295, Bloque 3, 4º puerta, 28031 Madrid (Madrid), España

Email de contacto: info@grupohares.com

Delegado/a de Protección de Datos (si aplica): No consta públicamente.

2. Datos que tratamos

• Datos de contacto y navegación: nombre, email, teléfono, empresa y solicitudes que nos envías.
• Datos de la plataforma: identificación de las personas usuarias (nombre, apellidos, email, DNI o NIE), departamento, centro de trabajo, rol y modalidad presencial o remota, registros de fichaje (entrada, salida, pausas y clasificación de horas ordinarias, extraordinarias, nocturnas y festivas), ausencias y justificantes, historial de modificaciones de los registros, PIN del kiosko y datos técnicos del dispositivo, como identificadores y notificaciones push.
• Ubicación en el fichaje: solo cuando la empresa activa la geolocalización por zonas, la ubicación en el momento de fichar.
• Documentos del gestor documental: nóminas y resúmenes de horas, contratos, documentos de identidad y certificados, justificantes de ausencias y documentos de empresa. Los justificantes pueden contener datos de salud (categoría especial, artículo 9 RGPD).
• Gastos y kilometraje: la imagen completa de cada ticket o factura, que puede incluir nombre, NIF, comercio, importes y datos parciales de pago, además de los kilómetros y las categorías de gasto declarados por el empleado.
• Mensajes de WhatsApp: los mensajes que la persona trabajadora envía para fichar o pedir información, tratados para atender su solicitud.
• Datos necesarios para facturación, soporte, seguridad y cumplimiento normativo.
• Con tu consentimiento analítico (Google Analytics), página de entrada, dominio de referencia y etiquetas de campaña. Si envías una solicitud, su procedencia podrá asociarse al contacto en nuestro CRM para evaluar qué campañas generan oportunidades y ventas. Puedes retirar este consentimiento en la configuración de cookies.

Cuando tratamos datos de las personas trabajadoras de una empresa cliente, la empresa es la responsable del tratamiento y Wakeup360 actúa como encargado, según el contrato de encargo de tratamiento.

3. Prestación del servicio

Tratamos los datos para dar de alta a clientes, gestionar usuarios, prestar el control horario, las ausencias, los turnos, el gestor documental y el soporte.

Base jurídica para clientes y contacto: ejecución del contrato (art. 6.1.b RGPD).

Geolocalización en el fichaje

Si la empresa activa la geolocalización por zonas, la plataforma registra la ubicación solo en el momento del fichaje. No hay seguimiento continuo ni se consulta la ubicación fuera de la jornada. La empresa debe informar previamente a sus empleados de este tratamiento y, cuando proceda, cumplir con las obligaciones ante la representación legal de los trabajadores.

Base jurídica: cumplimiento de la obligación de registro de jornada (art. 34.9 del Estatuto de los Trabajadores) y facultad de control de la actividad laboral (art. 20 ET), en aplicación del artículo 6.1.c RGPD. La empresa es la responsable de este tratamiento y Wakeup360 su encargado.

Gestor documental

Tratamos los documentos que la empresa sube (nóminas, contratos, documentos de identidad, certificados, justificantes y documentos de empresa) para almacenarlos, compartirlos con quien la empresa autorice y gestionar su firma y el envío de informes. Las herramientas de inteligencia artificial no acceden a estos documentos; solo se usan para leer los tickets del módulo de gastos.

Base jurídica: la empresa, como responsable, determina la base aplicable a cada documento (en general, cumplimiento de obligaciones laborales, art. 6.1.c RGPD). Los justificantes con datos de salud se tratan para gestionar ausencias y obligaciones laborales (art. 9.2.b RGPD).

Gastos y kilometraje

Tratamos los tickets, facturas y kilometraje que la empresa o sus empleados registran para liquidar los gastos. Cuando el módulo de gastos está activo, la imagen de cada ticket se envía a un modelo de inteligencia artificial para leer automáticamente sus datos (fecha, importe, comercio y categoría). El modelo puede ser el de Anthropic o el de OpenAI, según la configuración de cada empresa.

Base jurídica: cumplimiento de obligaciones laborales y de liquidación de gastos (art. 6.1.b y 6.1.c RGPD). La empresa es la responsable de este tratamiento y Wakeup360 su encargado.

4. Cumplimiento legal

Tratamos datos para atender obligaciones legales (fiscales, mercantiles, laborales y de seguridad).

Base jurídica: cumplimiento de obligaciones legales (art. 6.1.c RGPD).

5. Comunicaciones comerciales

Podemos enviarte información sobre mejoras, novedades y contenidos relacionados con el servicio.

Base jurídica: consentimiento o interés legítimo, según el caso (art. 6.1.a y 6.1.f RGPD).

6. Seguridad y prevención de fraude

Aplicamos medidas de control técnico para proteger la plataforma, detectar accesos no autorizados y garantizar trazabilidad.

Base jurídica: interés legítimo (art. 6.1.f RGPD).

7. Destinatarios y encargados

No vendemos datos personales. Podemos comunicar datos a:

• Proveedores tecnológicos que actúan como encargados o subencargados del tratamiento, detallados abajo.
• Administraciones públicas y autoridades competentes cuando exista obligación legal, incluida la Inspección de Trabajo.
• Terceros necesarios para el servicio contratado por el cliente, como su gestoría o asesoría autorizada.

Proveedores de la plataforma

• OVHcloud: alojamiento de los servidores y de la infraestructura de la plataforma.
• Google Cloud (Google Cloud Storage): almacenamiento de los documentos del gestor documental, en la región de Madrid (europe-southwest1).
• Meta Platforms Ireland Limited (WhatsApp Business Platform): transporte de los mensajes del fichaje por WhatsApp.
• SendGrid (Twilio Inc.): envío de correos transaccionales de la plataforma, como avisos y envío de documentos.
• Stripe Payments Europe, Ltd.: procesamiento de pagos y facturación del servicio.
• Google Ireland Limited (Google Analytics y Google Ads): medición del uso del sitio y de las campañas, solo con el consentimiento del usuario.
• Anthropic, PBC (Claude): lectura automática de los tickets del módulo de gastos, cuando la empresa tiene configurado este modelo.
• OpenAI, L.L.C.: lectura automática de los tickets del módulo de gastos, cuando la empresa tiene configurado este modelo.

Cuando Wakeup360 trata datos por cuenta de la empresa cliente, esta actúa como responsable, Wakeup360 como encargado y estos proveedores como subencargados en los servicios indicados. Esta identificación no sustituye el contrato de encargo de tratamiento.

Brechas de seguridad: si detectamos una violación de la seguridad de los datos que afecte a los datos de tu empresa, la comunicaremos a la empresa cliente en un plazo máximo de 48 horas desde que la conozcamos, con la naturaleza de la brecha, los datos afectados y las medidas adoptadas.

Cambios de proveedores

Antes de añadir o sustituir un proveedor que trate datos de la empresa cliente, se lo comunicaremos con 15 días naturales de antelación. La empresa podrá oponerse por motivos justificados de protección de datos. Si no se llega a una solución, podrá resolver el contrato.

8. Transferencias internacionales

Los documentos del gestor documental se almacenan en Madrid. Si algún proveedor trata datos fuera del Espacio Económico Europeo, por ejemplo para soporte o mensajería, se aplicarán garantías adecuadas, como las cláusulas contractuales tipo aprobadas por la Comisión Europea.

Google puede tratar datos de medición en Estados Unidos. En ese caso se aplican las garantías del Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo.

Anthropic, OpenAI y SendGrid son empresas estadounidenses. La lectura de los tickets implica una transferencia a Estados Unidos, que se realiza con las garantías del Marco de Privacidad de Datos UE-EE. UU. (si el proveedor está certificado) o con cláusulas contractuales tipo aprobadas por la Comisión Europea.

Medidas de seguridad

• Cifrado de los datos en tránsito (TLS) y en reposo.
• Control de acceso por roles: cada persona ve solo lo que su rol y sus permisos le permiten.
• Copias de seguridad diarias.
• Registro de accesos y de cambios en los datos.

Auditorías e información

La empresa cliente puede pedirnos la información necesaria para comprobar que cumplimos esta política y el contrato de encargo de tratamiento. Si requiere una auditoría presencial o técnica de un tercero, los costes correrán a cargo de la empresa y se planificará para no interrumpir el servicio.

9. Plazo de conservación

• Relación contractual: durante la vigencia del contrato. Al terminar, el cliente puede exportar sus datos. Después, se mantienen bloqueados durante los plazos de prescripción aplicables y se suprimen al final de ese plazo.
• Registro de jornada (incluida la ubicación asociada al fichaje): 4 años desde cada registro, conforme al artículo 34.9 del Estatuto de los Trabajadores. Durante ese plazo, solo están a disposición de la persona trabajadora, sus representantes legales, la Inspección de Trabajo y los órganos judiciales.
• Nóminas y resúmenes de horas del gestor documental: 4 años desde el fin de su periodo.
• Otros documentos del gestor documental: 4 años desde la fecha del documento.
• Tickets, facturas y kilometraje de gastos: 6 años desde el cierre del ejercicio en que se justifican, conforme al artículo 30 del Código de Comercio.
• Registro de envíos y consultas (fecha, versión del documento, IP y navegador): 15 días.
• Supresión: al borrar un documento, pasa a la papelera durante 15 días. La supresión definitiva se ejecuta a petición del cliente en un plazo máximo de 15 días.
• Fin del contrato: la empresa cliente puede exportar sus datos durante 30 días naturales desde la baja. Transcurrido ese plazo, los datos se bloquean según los plazos de este apartado y, después, se suprimen de forma irrecuperable.

10. Derechos de las personas

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad enviando un email a info@grupohares.com.

Si tratamos datos de los empleados de tu empresa actuamos como encargados. En ese caso, trasladaremos tu petición a la empresa cliente, que es la responsable y debe responderte.

Si consideras que no se han atendido correctamente, puedes presentar una reclamación ante la AEPD en www.aepd.es.

11. Menores de edad

Los servicios de Wakeup360 no están dirigidos a menores de edad sin autorización de sus representantes legales.

12. Cambios en esta política

Podremos actualizar esta política para adaptarla a cambios legales o de servicio. Publicaremos siempre la fecha de última actualización.