Tratamiento de datos

01Roles: responsable y encargado

Respecto de los datos del personal (nombre, documento de identidad y marcas de asistencia), la empresa cliente es la responsable de la base de datos: decide la finalidad, los medios y a quién registra. HoraCheck es el encargado del tratamiento: procesa esos datos siguiendo las instrucciones de la empresa y solo para prestar el servicio.

02Objeto del tratamiento

El tratamiento tiene por objeto permitir el registro de asistencia mediante códigos QR, la identificación del empleado al marcar, el cálculo de horas, tardías y descansos, y la generación de reportes para la empresa responsable.

03Datos tratados

• Nombre completo del empleado.
• Documento de identidad: cédula costarricense, DIMEX o pasaporte.
• Marcas de entrada, salida y descansos, con fecha y hora.
• Tarifa por hora configurada por la empresa para los cálculos.
• Datos técnicos del escaneo (dispositivo y navegador) para validar el registro y prevenir suplantación.

04Finalidad y límites

HoraCheck trata estos datos exclusivamente para prestar el servicio a la empresa responsable. No los usa para fines propios, no los vende ni los cede a terceros con fines comerciales, y no los combina con datos de otras empresas. Cada empresa opera en un entorno aislado: los datos de un cliente no son accesibles para otro.

05Obligaciones de HoraCheck

• Tratar los datos solo conforme a las instrucciones de la empresa responsable.
• Guardar confidencialidad sobre los datos, incluso tras finalizar la relación.
• Aplicar medidas de seguridad técnicas y organizativas adecuadas.
• No recurrir a subencargados sin un marco de confidencialidad y seguridad equivalente.

06Obligaciones de la empresa responsable

• Contar con base legal para registrar la asistencia de su personal.
• Informar a sus empleados sobre el tratamiento y, cuando corresponda, recabar su consentimiento.
• Configurar correctamente empleados, tarifas y eventos, y mantener los datos exactos.
• Atender, como responsable, las solicitudes de derechos de su personal.

07Subencargados

Para operar el servicio, HoraCheck se apoya en proveedores de infraestructura que actúan como subencargados, entre ellos servicios de alojamiento en la nube, base de datos gestionada, almacenamiento de exportaciones y procesamiento de pagos. Todos están sujetos a obligaciones de confidencialidad y seguridad. A solicitud, podemos informar el listado vigente de subencargados.

08Ubicación de los datos

Los datos se almacenan en infraestructura en la nube de proveedores reconocidos. Cuando el alojamiento implique servidores fuera de Costa Rica, procuramos que existan garantías adecuadas de protección conforme a la Ley 8968 y su reglamento. Las fechas y horas visibles para el usuario se manejan en la zona horaria de Costa Rica.

09Medidas de seguridad

• Cifrado de la información en tránsito.
• Control de acceso por roles y aislamiento de datos entre empresas.
• Validación de los códigos QR del lado del servidor y prevención de registros duplicados.
• Sesiones de autenticación de corta duración, revocables desde el servidor.
• Registros de auditoría de cada intento de registro de asistencia.

10Gestión de incidentes

Si detectamos un incidente de seguridad que afecte datos personales tratados por cuenta de una empresa, se lo notificaremos sin demora indebida, con la información disponible sobre el alcance y las medidas adoptadas, para que la empresa cumpla sus obligaciones como responsable.

11Derechos del personal

Las personas titulares tienen derecho de acceso, rectificación, cancelación y oposición sobre sus datos. Como estos datos pertenecen a la base de la empresa responsable, las solicitudes deben dirigirse a ella. También pueden acudir a la Agencia de Protección de Datos de los Habitantes (PRODHAB).

12Retención y devolución

Por su carácter de planilla, los registros de asistencia, pago y auditoría no se borran de forma definitiva; se anulan conservando la trazabilidad. Al terminar la relación de servicio, la empresa puede solicitar la exportación de sus datos dentro de un plazo razonable. Después, los datos se eliminan o se bloquean, salvo aquellos que debamos conservar por mandato legal.