Contrato de encargo del tratamiento

Última actualización: 8 de octubre de 2026

Cuando una empresa usa Horaval para registrar la jornada de su plantilla, la empresa es la responsable de los datos de esas personas. Horaval los trata por su cuenta y solo para prestarle el servicio. Este contrato fija las reglas de ese tratamiento, como exigen el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

1. Partes y aceptación

Responsable del tratamiento («el cliente»): la empresa o profesional establecido en España que contrata Horaval, identificado con los datos que facilita al darse de alta.

Encargado del tratamiento («Horaval»):

Este contrato forma parte de las Condiciones generales de contratación. El cliente lo acepta al marcar la casilla de aceptación, que no aparece premarcada, y pulsar «Suscribirme con obligación de pago». Horaval conserva constancia de la aceptación (fecha, hora y versión aceptada). Es un contrato por escrito en formato electrónico, válido según el artículo 28.9 del RGPD. Si el cliente necesita una copia firmada, puede pedirla en hola@horaval.es.

En lo relativo a protección de datos, si hay contradicción entre este contrato y las demás condiciones, prevalece este contrato.

2. Objeto

Horaval trata, por cuenta del cliente, los datos personales necesarios para prestar el servicio de registro de jornada y gestión horaria descrito en las Condiciones generales de contratación. Horaval no decide los fines ni los medios esenciales del tratamiento: los decide el cliente.

3. Duración

Este contrato dura lo mismo que la suscripción. Al terminar la suscripción, sigue aplicándose durante el plazo de devolución y supresión del apartado 11. El deber de confidencialidad se mantiene después de que el contrato termine.

4. Naturaleza y finalidad del tratamiento

Finalidad: que el cliente lleve el registro diario de jornada de su personal, gestione sus horarios, ausencias e incidencias, y pueda consultar y exportar esa información.

Operaciones que realiza Horaval: recogida a través del servicio, registro, almacenamiento, organización, consulta, cálculo de jornada, generación de informes, envío de avisos a las personas que el cliente designe, copias de seguridad cuando las haya, exportación, devolución y supresión.

Horaval no usa estos datos para fines propios, no los vende y no los comunica a terceros. Solo acceden a ellos las personas que el cliente autoriza en el servicio, los subencargados del apartado 8 y las autoridades cuando lo exija la ley.

5. Personas afectadas y datos tratados

5.1. Personas afectadas (interesados):

• Personas trabajadoras del cliente cuya jornada se registra.
• Usuarios autorizados por el cliente: administradores, responsables de equipo y, si el cliente lo decide, su asesoría laboral, con acceso de consulta y exportación.
• Personas que el cliente designe como destinatarias de avisos por correo electrónico.

5.2. Categorías de datos:

• Identificativos y de contacto: nombre, apellidos, NIF o NIE, correo electrónico y teléfono. También otros campos de la ficha que el cliente decida completar, como fecha de nacimiento o sexo.
• Datos de acceso: correo electrónico con el que se entra y, si el usuario entra con una cuenta de un proveedor de identidad externo, el nombre, el correo y el identificador de esa cuenta.
• Fichajes: fecha y hora de entrada, salida y pausas, forma de fichaje y dirección IP desde la que se ficha.
• Correcciones de fichajes: solicitudes de cambio con su motivo y quién las hace. El fichaje original se conserva.
• Ausencias (vacaciones, permisos y bajas, según las registre el cliente) e incidencias de jornada.
• Ubicación: solo en los términos del apartado 5.4.
• Informes de jornada en PDF y CSV generados en el servicio.
• Datos técnicos: datos de la sesión, direcciones IP permitidas que configure el cliente y registros de acceso (fecha, hora, IP y navegador o dispositivo, cuando el sistema de autenticación los registre).
• Datos del dispositivo para los avisos de fichaje: solo si el cliente activa el aviso push y la persona usa la aplicación para Android: el token de notificaciones push de su dispositivo y un identificador de instalación, asociados a su cuenta. El texto del aviso es genérico y no incluye el nombre de la persona ni el de la empresa.

5.3. Datos de salud y otras categorías especiales. Horaval no está pensado para tratar categorías especiales de datos (artículo 9 del RGPD). Aun así, el tipo de ausencia (por ejemplo, «incapacidad temporal») puede revelar información sobre la salud de la persona. Registrarlo es decisión del cliente, que lo ampara en el artículo 9.2.b del RGPD (obligaciones en materia laboral y de Seguridad Social); Horaval le aplica las mismas medidas de seguridad que al resto de datos. En los motivos de ausencia, incidencias y notas, el cliente debe usar descripciones genéricas y no escribir diagnósticos, partes médicos ni otra información de salud.

5.4. Ubicación. La ubicación está desactivada por defecto. Solo se toma si el cliente la activa para una persona trabajadora concreta. Cuando está activada:

• el dispositivo pide la posición únicamente en el momento de fichar, nunca en segundo plano ni de forma continua;
• se guardan la latitud, la longitud y la precisión de ese fichaje;
• si la persona no concede el permiso, el fichaje se registra igualmente, se anota que no se dio la ubicación y se genera una incidencia.

La posición la calcula el propio dispositivo (el navegador o los servicios de ubicación del sistema operativo), que no es un proveedor contratado por Horaval.

6. Instrucciones del cliente

Horaval trata los datos solo siguiendo las instrucciones documentadas del cliente, también en lo relativo a transferencias internacionales. Son instrucciones este contrato, las Condiciones generales de contratación, la configuración que el cliente hace en el servicio y las indicaciones que envíe por escrito a hola@horaval.es.

Si una instrucción, a juicio de Horaval, infringe el RGPD u otra norma de protección de datos, Horaval lo comunicará de inmediato al cliente y podrá no ejecutarla hasta que el cliente la confirme o la modifique.

Si la ley obliga a Horaval a tratar los datos de otro modo, por ejemplo ante un requerimiento de una autoridad, informará al cliente antes, salvo que la ley lo prohíba.

7. Obligaciones de Horaval

7.1. Confidencialidad. Solo accede a los datos el personal de DAVE FORMACIÓN S.C.A. que lo necesita para prestar, mantener o dar soporte al servicio. Horaval garantiza que ese personal se ha comprometido a guardar confidencialidad y que ese compromiso continúa tras dejar su puesto.

7.2. Seguridad (artículo 32 del RGPD). Horaval aplica, entre otras, estas medidas:

• La base de datos y el almacenamiento de informes se alojan en la Unión Europea (región de Irlanda del proveedor de infraestructura). Los tratamientos que salen de ella se indican en los apartados 8 y 9.
• Cifrado de las comunicaciones entre el navegador o la aplicación y los servidores (HTTPS/TLS).
• Control de acceso por roles con reglas de seguridad a nivel de fila en la base de datos: cada usuario accede solo a los datos de las empresas en las que tiene un rol y con los permisos de ese rol. La asesoría puede consultar y exportar, pero no modificar registros.
• Acceso mediante enlace o código enviado al correo o con un proveedor de identidad externo. Horaval no guarda contraseñas de los usuarios.
• Fichajes no modificables: ni los usuarios ni la aplicación pueden editar o borrar un fichaje, porque la base de datos lo impide. Las correcciones se registran como anotaciones nuevas, con motivo, que conservan el fichaje original. La supresión prevista en el apartado 11 se ejecuta con un procedimiento técnico controlado.
• Integridad verificable: cada fichaje se encadena con el anterior de la misma persona mediante una huella SHA-256, de modo que una alteración se puede detectar. Los informes emitidos quedan registrados con su huella SHA-256.
• Informes guardados en un almacenamiento privado, no accesible públicamente.
• Cookies de sesión del panel con los atributos HttpOnly, Secure y SameSite.
• Claves y credenciales de los servicios guardadas en un almacén de secretos cifrado, fuera del código.
• Avisos por correo diseñados para no incluir NIF, detalle de fichajes ni motivos de ausencia.

Horaval revisa estas medidas y puede sustituirlas por otras equivalentes o mejores. Nunca reducirá el nivel de protección durante la vigencia del contrato.

7.3. Derechos de las personas. Las personas afectadas ejercen sus derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad) ante el cliente. Si una solicitud llega a Horaval, no la contestará: la trasladará al cliente en un plazo máximo de 3 días hábiles. Horaval ayudará al cliente a responder, facilitándole los datos y las exportaciones que necesite, sin coste adicional.

7.4. Brechas de seguridad. Si Horaval detecta una violación de seguridad que afecte a los datos del cliente, se lo notificará sin dilación indebida y, como máximo, en 48 horas desde que tenga conocimiento. La notificación se enviará al correo del administrador de la cuenta e incluirá, en la medida en que se conozca, la información del artículo 33.3 del RGPD: qué ha pasado, categorías y número aproximado de personas y registros afectados, consecuencias probables, medidas adoptadas o propuestas y un contacto. Si no se dispone de toda la información a la vez, se facilitará por fases. Notificar a la Agencia Española de Protección de Datos y, en su caso, a las personas afectadas corresponde al cliente, con la ayuda de Horaval.

7.5. Evaluaciones de impacto. Horaval facilitará al cliente, sin coste adicional, la información sobre el servicio que necesite para su evaluación de impacto (artículo 35 del RGPD) y, en su caso, para la consulta previa a la autoridad de control (artículo 36).

7.6. Registro de actividades. Horaval lleva el registro de las actividades de tratamiento que realiza como encargado (artículo 30.2 del RGPD).

7.7. Información y auditorías. Horaval pondrá a disposición del cliente la información necesaria para demostrar que cumple este contrato. Además, el cliente puede auditar ese cumplimiento, por sí mismo o mediante un auditor sujeto a confidencialidad, con estas reglas:

• como máximo una vez al año, salvo que haya habido una brecha, haya indicios fundados de incumplimiento o lo requiera una autoridad;
• con un preaviso de 30 días naturales;
• empezando por la revisión de documentación y cuestionarios; la verificación presencial solo si lo anterior no basta, en horario laboral y sin afectar a la seguridad ni a los datos de otros clientes;
• el coste de la auditoría corre a cargo del cliente, salvo que revele un incumplimiento relevante de Horaval;
• no incluye acceso a las instalaciones de los subencargados; su cumplimiento se acredita con la documentación contractual y de seguridad que esos proveedores publiquen o faciliten.

8. Subencargados

8.1. Autorización general. El cliente autoriza a Horaval a recurrir a los subencargados de esta lista para prestar el servicio. Horaval se obliga a que cada uno quede sujeto, por contrato, a obligaciones de protección de datos equivalentes a las de este contrato, y responde frente al cliente de su cumplimiento (artículo 28.4 del RGPD).

8.2. Lista de subencargados:

Incorporación de Google (Firebase Cloud Messaging). Este subencargado se incorpora con el aviso previo del apartado 8.3: se publica en esta página el 8 de octubre de 2026 y se aplicará a partir del 23 de octubre de 2026 (15 días naturales), y solo para los clientes que activen el aviso push. Quien se oponga puede ejercer los derechos del apartado 8.3.

8.3. Cambios de subencargados. Antes de añadir o sustituir un subencargado, Horaval avisará al cliente con al menos 15 días naturales de antelación. El aviso se enviará al correo del administrador de la cuenta y se publicará en esta página. En ese plazo el cliente puede oponerse por escrito, por motivos razonables de protección de datos. Si no se encuentra una solución, el cliente puede resolver la suscripción sin penalización y recibir la devolución de la parte proporcional no consumida del periodo ya pagado. Si por una urgencia de seguridad o de continuidad del servicio hubiera que sustituir un subencargado sin ese preaviso, Horaval avisará en cuanto sea posible y el cliente conservará el mismo derecho de oposición.

8.4. Servicios de terceros que no son subencargados. Estos servicios solo intervienen si el usuario los elige o los pide:

• Inicio de sesión con Google o Microsoft. Cuando esa opción esté disponible y un usuario decida entrar con su cuenta de Google o de Microsoft, ese proveedor verifica su identidad y comunica a Horaval el nombre, el correo y un identificador de la cuenta. No recibe fichajes, ausencias ni otros datos de jornada. El usuario usa esa cuenta bajo las condiciones de su proveedor. El acceso mediante enlace o código enviado al correo no necesita ningún proveedor externo de identidad.
• Mapa de un fichaje. Si la ubicación está activada, el panel puede mostrar la posición de un fichaje sobre un mapa de OpenStreetMap. El mapa solo se carga cuando el usuario pulsa «Ver el mapa», y los enlaces de coordenadas de la tabla de fichajes solo se abren si el usuario pulsa en ellos. En ese momento el navegador de quien consulta se conecta con la OpenStreetMap Foundation (Reino Unido, país con decisión de adecuación de la Comisión Europea), que recibe las coordenadas y la IP de quien consulta, pero no el nombre ni el identificador de la persona trabajadora. El mapa puede servirse a través de una red de distribución con servidores fuera del Espacio Económico Europeo.

9. Transferencias internacionales

Horaval no transfiere datos fuera del Espacio Económico Europeo salvo en los casos indicados en los apartados 8.2 y 8.4, y siempre con las garantías del capítulo V del RGPD. Cualquier nueva transferencia se comunicará con el aviso previo del apartado 8.3.

10. Obligaciones del cliente

• Base jurídica. El cliente trata los datos para cumplir la obligación de registro diario de jornada del artículo 34.9 del Estatuto de los Trabajadores, que es una obligación legal (artículo 6.1.c del RGPD). Le corresponde organizar el registro como indica ese artículo: mediante negociación colectiva, acuerdo de empresa o decisión del empresario previa consulta con la representación legal de las personas trabajadoras.
• Informar a la plantilla. Debe informar a sus personas trabajadoras, antes de empezar, de que usa Horaval, qué datos se registran (incluida la dirección IP de cada fichaje), con qué finalidad, cuánto tiempo se conservan y cómo ejercer sus derechos (artículos 13 y 14 del RGPD).
• Decidir sobre la ubicación. Activar la ubicación es decisión del cliente, persona a persona, y no deriva de la obligación de registro de jornada. Si la activa, lo hace en el ejercicio de sus facultades de control (artículo 20.3 del Estatuto de los Trabajadores) y debe valorar que es necesaria y proporcionada, informar de forma expresa, clara e inequívoca a las personas afectadas y a su representación legal (artículo 90 de la LOPDGDD) y, cuando proceda, hacer una evaluación de impacto.
• Datos adecuados y exactos. Debe introducir solo los datos necesarios, mantenerlos actualizados y seguir lo indicado en el apartado 5.3 sobre datos de salud.
• Usuarios y accesos. Debe dar de alta solo a las personas que necesiten acceso, con el rol adecuado, retirarlo cuando dejen de necesitarlo y velar por que custodien sus accesos. Si da acceso a su asesoría, debe tener con ella el contrato de encargo que corresponda.
• Instrucciones lícitas. Debe dar a Horaval instrucciones conformes con la normativa de protección de datos.
• Conservación legal. La obligación de conservar los registros de jornada durante cuatro años, a disposición de las personas trabajadoras, de su representación legal y de la Inspección de Trabajo y Seguridad Social, es del cliente (artículo 34.9 del Estatuto de los Trabajadores). Horaval es la herramienta que le permite cumplirla mientras la suscripción está activa.

11. Conservación, devolución y supresión

11.1. Durante la suscripción. Horaval conserva los datos mientras la suscripción esté vigente y no elimina fichajes por su cuenta. Si el cliente necesita suprimir registros cuyo plazo legal de conservación ya ha vencido, o suprimir otros datos para atender un derecho de supresión, lo pedirá por escrito y Horaval lo hará mediante un procedimiento controlado que deje constancia.

11.2. Al terminar la suscripción.

• Hasta el final del periodo pagado. El cliente mantiene el acceso y puede descargar sus registros e informes desde el servicio.
• Devolución. Durante los 30 días naturales siguientes a la fecha de fin, el cliente puede pedir a hola@horaval.es la exportación de sus registros de jornada e informes en CSV y PDF, y una copia completa de sus datos en un formato estructurado de uso común (CSV o JSON), y Horaval se los facilitará.
• Supresión. Pasado ese plazo, Horaval suprimirá los datos de la base de datos y del almacenamiento en los 30 días naturales siguientes. Las copias de seguridad, si las hay, se eliminan en su ciclo ordinario de rotación. Si el cliente lo pide, Horaval le entregará un certificado de supresión.
• Excepción. Horaval solo conservará, debidamente bloqueados, los datos imprescindibles mientras puedan derivarse responsabilidades de su relación con el cliente o lo exija una ley (artículo 33 de la LOPDGDD).

Importante: tras la supresión, Horaval ya no podrá recuperar los registros. Como la conservación de cuatro años es obligación del cliente, antes de que termine la suscripción debe exportar y guardar todos los registros de jornada que aún esté obligado a conservar.

12. Responsabilidad

• Cada parte responde de los incumplimientos de este contrato y de la normativa de protección de datos que le sean imputables, y asume las sanciones administrativas que se le impongan por ellos.
• Si Horaval trata los datos para fines propios o en contra de las instrucciones del cliente, será considerado responsable de ese tratamiento (artículo 28.10 del RGPD) y responderá de él.
• Frente a las personas afectadas, la responsabilidad se rige por el artículo 82 del RGPD.
• Entre las partes, la responsabilidad total de Horaval derivada de este contrato se limita al importe que el cliente haya pagado por el servicio en los 12 meses anteriores al hecho que la cause. Este límite no se aplica en caso de dolo o culpa grave, en los supuestos del artículo 28.10 del RGPD ni cuando la ley no permita limitar la responsabilidad.

13. Datos que Horaval trata como responsable

Este contrato no cubre los datos que Horaval trata por decisión propia: los de la cuenta y la facturación del cliente, los de las personas que contactan con Horaval y los de quienes visitan la web. Esos tratamientos se explican en la Política de privacidad, y los pagos en las Condiciones del pago online.

14. Cambios, ley aplicable y contacto

Horaval puede actualizar este contrato para adaptarlo a cambios legales, técnicos o del servicio. La versión vigente es la publicada en esta página con su fecha. Los cambios que reduzcan las garantías del cliente se avisarán por correo electrónico con al menos 30 días naturales de antelación, y el cliente podrá resolver la suscripción en las condiciones del apartado 8.3. Los cambios de subencargados siguen ese mismo apartado.

Este contrato se rige por la legislación española. Para cualquier controversia, las partes, que contratan como empresas o profesionales, se someten a los Juzgados y Tribunales de Jerez de la Frontera (Cádiz), con renuncia expresa a cualquier otro fuero, igual que en el apartado 22 de las Condiciones generales de contratación.

Para cualquier cuestión sobre este contrato, escribe a hola@horaval.es.

15. Otras páginas legales

• Aviso legal
• Política de privacidad
• Condiciones generales de contratación
• Condiciones del pago online
• Contrato de encargo del tratamiento (esta página)
• Política de cookies