Responsable

La empresa cliente que acepta este contrato al crear su cuenta

Encargado

Tribu Tabaiba SL (Cotta), CIF B19724582, hola@cotta.work

Finalidad

Llevar el registro diario de jornada de las personas trabajadoras del responsable (art. 34.9 ET y normativa de desarrollo) y facilitar su consulta y exportación

Duración

Mientras dure el servicio y, después, durante el plazo de conservación legal de cuatro años de los registros

• Interesados: personas trabajadoras del responsable dadas de alta en Cotta y la persona responsable que decide por WhatsApp.
• Datos: nombre, número de WhatsApp e identificador de WhatsApp, idioma, centro, horario previsto, fichajes (fechas y horas), pausas, correcciones y discrepancias, y mensajes intercambiados con Cotta relativos al registro.
• No se tratan datos de localización, biométricos ni de salud. Las notas de voz se interpretan de forma transitoria y no se conservan.

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son estas condiciones y la configuración que hace en el panel.
• Garantizar la confidencialidad de las personas autorizadas para tratarlos.
• Aplicar medidas de seguridad adecuadas: cifrado en tránsito, control de acceso por empresa, registros inalterables con cadena de huellas, copias de seguridad y restauración probada, y registro de accesos.
• Asistir al responsable para atender los derechos de las personas interesadas. Cada persona trabajadora puede consultar y descargar su propio registro en cualquier momento.
• Notificar al responsable, sin dilación indebida y en un máximo de 48 horas desde que se conozca, cualquier violación de la seguridad de los datos.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con aviso previo.

El responsable autoriza a los siguientes subencargados, necesarios para prestar el servicio:

• Meta Platforms Ireland Ltd. (WhatsApp Business): envío y recepción de mensajes.
• Railway Corporation: alojamiento de la aplicación y la base de datos en la región de Ámsterdam (UE).
• Google Ireland Ltd. (Gemini): interpretación transitoria de texto y voz, sin conservación de la entrada por parte de Cotta.
• Stripe Payments Europe Ltd.: facturación del cliente (no trata datos de la plantilla).
• Resend: envío de emails de acceso e informes al cliente y a su gestoría.

Comunicaremos por email cualquier cambio de subencargados con treinta días de antelación para que el responsable pueda oponerse. Cuando un subencargado trate datos fuera del Espacio Económico Europeo, se aplicarán las garantías del capítulo V del RGPD, como las cláusulas contractuales tipo o el Marco de Privacidad de Datos UE-EE. UU.

Al terminar el servicio, conservaremos los registros de jornada bloqueados durante el plazo legal de cuatro años para que el responsable pueda cumplir sus obligaciones de conservación y acceso, y los pondremos a su disposición cuando lo solicite. Transcurrido ese plazo, se suprimirán. Los datos de mensajería que no forman parte del registro se eliminan o anonimizan según los plazos descritos en la documentación del servicio.

El responsable garantiza que tiene base jurídica para el tratamiento (el cumplimiento de una obligación legal, art. 6.1.c RGPD), que ha informado a su plantilla y, cuando proceda, a su representación, y que las instrucciones que da a Cotta son conformes a la normativa.