1. Partes y objeto
El cliente (la empresa que contrata Turnible) es el responsable del tratamiento de los datos de su equipo y de sus clientes. Turnible es el encargado del tratamiento: los trata por cuenta del cliente, solo para prestar el servicio contratado y siguiendo sus instrucciones, que son las que da al configurar y usar Turnible. Este contrato cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018.
2. Duración
Dura lo mismo que la suscripción y, después, lo necesario para devolver o suprimir los datos según el apartado 10.
3. Datos e interesados
Identificación y contacto; puesto, rol y centro; turnos y horas de contrato; datos de la ficha que rellenen la persona o la empresa (DNI o NIE, número de la Seguridad Social, IBAN, teléfono y contacto de emergencia), que solo ven la persona, la propietaria y los encargados con permiso de documentos personales; fichajes; ausencias y vacaciones, incluidas bajas médicas (dato de salud: que existe la baja, sus fechas y, si la persona lo adjunta, el justificante, que solo ven ella y sus responsables); coste por hora si el cliente lo introduce; documentos que se les entregan y su lectura. Si el centro activa la geovalla del fichaje desde el móvil, la ubicación se comprueba en el momento de fichar y solo se guarda si la persona estaba dentro, nunca dónde estaba.
Nombre, teléfono, correo y detalles de las reservas hechas en la página pública de reservas.
4. Obligaciones de Turnible
- Tratar los datos solo según las instrucciones del cliente y avisarle si alguna infringe la normativa.
- Garantizar que las personas autorizadas a tratarlos se han comprometido a la confidencialidad.
- Aplicar las medidas de seguridad del artículo 32 del RGPD (apartado 6).
- Ayudar al cliente a atender los derechos de las personas y a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
- Poner a disposición del cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con aviso previo.
5. Subencargados
El cliente autoriza a Turnible a usar estos proveedores, que tratan los datos con obligaciones equivalentes a las de este contrato:
| Proveedor | Servicio | Ubicación y garantías |
|---|---|---|
| Supabase | Base de datos, autenticación, archivos y funciones del servidor | Región de la UE; cláusulas contractuales tipo |
| Vercel | Alojamiento de la aplicación web | Cláusulas contractuales tipo y Marco de Privacidad de Datos UE-EE. UU. |
| Expo (650 Industries) | Envío de notificaciones a los teléfonos, a través de Apple y Google (título y texto del aviso) | Cláusulas contractuales tipo |
| Resend | Envío de correos del servicio | Cláusulas contractuales tipo |
| Google (API de Gemini) | Turnible IA (solo si el cliente la tiene activada; se puede desactivar en Configuración, Funciones). Con el plan de la API que usa Turnible, Google puede revisar y usar las consultas para mejorar sus productos: no se envían DNI, IBAN ni datos de salud, y si el cliente no lo quiere puede desactivar Turnible IA | Cláusulas contractuales tipo |
| Stripe | Cobro de la suscripción (solo datos de facturación del cliente) | Cláusulas contractuales tipo y Marco de Privacidad de Datos UE-EE. UU. |
Avisaremos con al menos 30 días antes de añadir o cambiar un subencargado; el cliente puede oponerse por motivos razonables y, si no hay solución, cancelar sin penalización.
6. Medidas de seguridad
- Cifrado en tránsito (TLS) y en reposo.
- Aislamiento de los datos de cada empresa con políticas de seguridad a nivel de fila y permisos por rol.
- Registro de jornada inalterable: los fichajes no se modifican ni se borran; se corrigen con traza de quién, cuándo y por qué.
- Registro de auditoría de los cambios sensibles (roles, correcciones, turnos publicados, contratos).
- PIN de fichaje guardados con hash, límites de intentos y copias de seguridad.
7. Violaciones de seguridad
Turnible notificará al cliente, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga constancia, cualquier violación de seguridad que afecte a sus datos, con la información disponible para que el cliente pueda notificarla a la autoridad y a las personas afectadas cuando corresponda.
8. Derechos de las personas
Si una persona ejerce ante Turnible sus derechos sobre datos del cliente, se lo trasladaremos al cliente en un plazo máximo de 5 días laborables para que responda. Turnible le ayudará con las herramientas de la aplicación (exportación, rectificación, baja).
9. Transferencias internacionales
Si un subencargado trata datos fuera del Espacio Económico Europeo, se hará con una garantía del capítulo V del RGPD, como una decisión de adecuación o cláusulas contractuales tipo.
10. Fin del encargo
Al terminar la suscripción, el cliente puede exportar sus datos durante 30 días. Después Turnible los suprime, incluidas las copias en un máximo de 30 días más, salvo lo que la ley obligue a conservar: el registro de jornada, hasta cumplir cuatro años desde cada fichaje (art. 34.9 del Estatuto de los Trabajadores), bloqueado y solo a disposición del cliente, de la persona trabajadora y de las autoridades.