Política de privacidad

Última actualización: 8 de octubre de 2026

Esta política explica cómo tratamos los datos personales en Horaval, el servicio de registro de jornada de DAVE FORMACIÓN S.C.A., tanto en el servicio web de horaval.es como en la aplicación móvil Horaval para Android e iOS. Cumple el deber de información de los artículos 13 y 14 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. Quién es el responsable

2. En qué papel tratamos los datos

Horaval es un servicio para empresas y profesionales establecidos en España. No está dirigido a consumidores. Según de quién sean los datos y para qué se usen, actuamos en uno de estos dos papeles:

• Responsable del tratamiento de los datos que usamos en nuestra propia relación con clientes y contactos: los de las empresas y profesionales que contratan Horaval; los de sus personas de contacto y de quien administra la cuenta, para gestionar la suscripción, la facturación, el cobro y el soporte; los de las personas que nos escriben o nos llaman; y los de quienes visitan horaval.es. De esos datos trata esta política.
• Encargado del tratamiento (art. 28 RGPD) de los datos que el cliente registra en la aplicación: los de su plantilla (fichajes, ausencias, incidencias, informes y, si el cliente la activa para una persona concreta, la ubicación en el momento de fichar) y los de las personas usuarias que da de alta, incluidos sus accesos a la aplicación. El responsable de esos datos es el cliente; nosotros los tratamos solo por su cuenta y siguiendo sus instrucciones. Lo resumimos en el apartado 9 y lo regula el Contrato de encargo del tratamiento.

Una misma persona puede estar en los dos grupos. Por ejemplo, quien administra la cuenta es nuestra persona de contacto para la suscripción (ahí somos responsables) y, a la vez, usuaria de la aplicación (ahí somos encargados).

3. Qué datos tratamos y de dónde proceden

• Datos de la empresa cliente: razón social o nombre, CIF o NIF, domicilio fiscal y datos de contacto.
• Personas de contacto y administración de la cuenta: nombre, apellidos, correo electrónico, teléfono y cargo.
• Datos de contratación y facturación: modalidad contratada (anual o mensual), fechas de alta, renovación y baja, facturas, importes e IVA, y la constancia de la aceptación de las condiciones y de la autorización de cargo recurrente (fecha y hora, versión aceptada, modalidad, importe y periodicidad).
• Datos de pago: la referencia que la entidad de pago asigna a la tarjeta y, de cada cargo, el importe, la fecha, el resultado y los datos que identifican la operación, así como las devoluciones y contracargos. No vemos ni guardamos el número de la tarjeta, su fecha de caducidad ni su código de seguridad.
• Comunicaciones: los correos que nos envías, lo que nos consultas por teléfono y las solicitudes de soporte.
• Datos técnicos de la web: dirección IP, fecha y hora de la visita y datos del navegador que registra el servidor de horaval.es.

Origen. Casi todos los datos nos los facilitas tú. Si eres persona de contacto de un cliente y no fuiste tú quien contrató, tus datos de identificación y contacto profesional nos los ha dado ese cliente (art. 14 RGPD). La entidad de pago nos comunica la referencia de la tarjeta y el resultado de cada cobro.

Los datos de identificación, contacto, facturación y pago son necesarios para contratar. Sin ellos no podemos prestar ni facturar el servicio.

4. Para qué usamos los datos y con qué base jurídica

5. Cuánto tiempo conservamos los datos

Durante el bloqueo (art. 32 LOPDGDD) los datos no se usan: solo quedan a disposición de jueces y tribunales, del Ministerio Fiscal y de las administraciones públicas competentes, en particular de las autoridades de protección de datos. Al terminar el plazo, se suprimen.

6. Cómo funcionan los cobros con tarjeta

• Se paga con tarjeta Visa o Mastercard, en euros (EUR), a través del TPV Virtual de Redsys de Getnet Europe, Entidad de Pago, S.L.U. («la entidad de pago»).
• Los datos de la tarjeta se introducen en la página segura de la entidad de pago, que los recoge y trata como responsable, según su propia política de privacidad y sus obligaciones legales como entidad de pago. Horaval no ve ni almacena el número de la tarjeta.
• El primer pago exige autenticación reforzada del titular de la tarjeta (3D Secure). En ese pago la entidad de pago guarda la tarjeta y nos comunica una referencia (token). Es el único dato de la tarjeta que conservamos y con él no se puede conocer su número.
• Los cargos de renovación los inicia Horaval como comercio (operaciones iniciadas por el comercio), sin nueva autenticación. Los autorizas al contratar, marcando la casilla de aceptación de las condiciones y pulsando «Suscribirme con obligación de pago». Puedes revocar esa autorización dándote de baja de la suscripción.
• En cada cargo enviamos a la entidad de pago lo necesario para procesarlo (importe, referencia de la operación y referencia de la tarjeta), y ella nos comunica el resultado. Para completar el pago, la entidad de pago trata esos datos con las redes de tarjetas y con el banco emisor.
• Si hay una devolución o un contracargo, compartimos con la entidad de pago los datos de la operación y la constancia de tu aceptación y autorización para resolverlo.

El detalle del pago, las renovaciones, la baja, los recibos, las devoluciones y el contacto para incidencias de pago está en las Condiciones del pago online.

7. A quién comunicamos los datos

No vendemos datos personales. Estos proveedores tratan datos por nuestra cuenta, como encargados del tratamiento, para que podamos prestar el servicio:

Además, los datos pueden llegar a:

• Getnet Europe, Entidad de Pago, S.L.U., que procesa los cobros, las devoluciones y los contracargos como responsable (apartado 6).
• La Agencia Estatal de Administración Tributaria y otras administraciones públicas, cuando proceda por obligación legal.
• Jueces y tribunales, Ministerio Fiscal, Fuerzas y Cuerpos de Seguridad y la Agencia Española de Protección de Datos, cuando la ley lo exija.
• Google LLC: al visitar horaval.es, tu navegador descarga las tipografías de la web desde servidores de Google, que recibe tu dirección IP y datos técnicos del navegador.
• Microsoft o Google, cuando esa opción esté disponible y una persona usuaria decida entrar en la aplicación con su cuenta de ese proveedor: el proveedor verifica su identidad y nos comunica su nombre, correo e identificador de la cuenta. No recibe fichajes ni otros datos de jornada. Ese proveedor trata los datos bajo sus propias condiciones (Contrato de encargo del tratamiento, apartado 8.4).
• OpenStreetMap Foundation: si una persona usuaria de la aplicación pulsa «Ver el mapa», su navegador carga el mapa desde OpenStreetMap, que recibe su dirección IP y datos técnicos del navegador, además de las coordenadas del fichaje que se muestra. El mapa no se carga si no se pide.

8. Transferencias internacionales

Estos tratamientos implican que algunos datos salen del Espacio Económico Europeo o pueden consultarse desde fuera de él:

• Resend Inc. (EE. UU.): registro de los correos enviados. Garantías: adhesión de Resend al Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD) y cláusulas contractuales tipo aprobadas por la Comisión Europea, recogidas en su acuerdo de tratamiento de datos (art. 46.2.c RGPD).
• Supabase Inc. (EE. UU.): los datos se alojan en Irlanda, pero la empresa, su soporte y sus subencargados pueden acceder a ellos desde EE. UU. Garantía: cláusulas contractuales tipo aprobadas por la Comisión Europea, recogidas en su acuerdo de tratamiento de datos (art. 46.2.c RGPD).
• Google LLC (EE. UU.): dirección IP de quien visita horaval.es. Garantía: Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD).
• Google LLC (EE. UU.), Firebase Cloud Messaging: identificador del dispositivo y texto del aviso, al entregar notificaciones push en Android. Garantías: adhesión de Google al Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD) y cláusulas contractuales tipo recogidas en los términos de tratamiento de datos de Firebase (art. 46.2.c RGPD).
• OpenStreetMap Foundation (Reino Unido): dirección IP de quien pide el mapa y coordenadas mostradas. El Reino Unido cuenta con una decisión de adecuación de la Comisión Europea (art. 45 RGPD). El mapa puede servirse a través de una red de distribución con servidores fuera del Espacio Económico Europeo.

Puedes pedir información sobre estas garantías en rgpd@daveformacion.es.

9. Datos que tratamos por cuenta de nuestros clientes

Cuando una empresa usa Horaval para llevar el registro diario de jornada de su personal (art. 34.9 del Estatuto de los Trabajadores), la responsable de los datos que registra en la aplicación es la empresa. Horaval actúa como encargado del tratamiento:

• Qué datos: los identificativos y de contacto de cada persona trabajadora que la empresa da de alta; sus fichajes (fecha, hora y tipo) y la dirección IP del dispositivo con el que ficha; ausencias, incidencias e informes de jornada; solo si la empresa la activa para esa persona, la ubicación en el momento de fichar, nunca en segundo plano; si la empresa activa los avisos de fichaje, el identificador del dispositivo (token de notificaciones push y un identificador de instalación) de las personas que usan la aplicación para Android; y los datos de acceso a la aplicación de las personas usuarias que da de alta la empresa (correo, identificador de la cuenta externa si entran con ella, sesiones y registros de acceso).
• Para qué: solo para prestar el servicio a la empresa, siguiendo sus instrucciones. No usamos estos datos para fines propios.
• Información a la plantilla: la empresa debe informar a sus personas trabajadoras de este tratamiento (arts. 13 y 14 RGPD) y, si activa la ubicación, hacerlo también en los términos del art. 90 LOPDGDD. Lo mismo vale para los avisos de fichaje: Horaval exige a la empresa, mediante una casilla obligatoria al encender el aviso push, confirmar que ha informado a su plantilla.
• Cuánto tiempo: lo decide la empresa, que por ley debe conservar los registros de jornada cuatro años (art. 34.9 del Estatuto de los Trabajadores). Al terminar el contrato, la empresa puede exportar sus datos durante 30 días naturales y después se suprimen, como detalla el apartado 11 del contrato de encargo.
• Derechos: si eres persona trabajadora o usuaria de la aplicación de una empresa cliente y quieres ejercer tus derechos sobre estos datos, dirígete a esa empresa. Si nos escribes a nosotros, trasladaremos tu solicitud a la empresa en un plazo máximo de 3 días hábiles y la ayudaremos a responder.

Las obligaciones de cada parte, las medidas de seguridad y los subencargados autorizados están en el Contrato de encargo del tratamiento.

10. La aplicación móvil Horaval

Además del servicio web, Horaval se usa desde la aplicación móvil Horaval para Android e iOS. La aplicación trata los datos descritos en el apartado 9, de los que la empresa cliente es responsable y Horaval encargado. Tres precisiones que importan a quien la usa:

• Permisos y límites de la aplicación: no accede a tus contactos, fotografías ni micrófono, ni a ningún otro contenido del dispositivo. No contiene publicidad ni rastreadores publicitarios, y no vendemos ni cedemos datos con fines comerciales.
• Geolocalización: puntual y opcional. Si la empresa activa esta función, la aplicación registra únicamente la ubicación en el instante exacto del fichaje, como dato asociado a esa entrada o salida. Nunca hay seguimiento continuo, ni en segundo plano, ni fuera del momento de fichar. Puedes denegar el permiso de ubicación en tu dispositivo y el fichaje sigue funcionando. Conforme al art. 90 LOPDGDD, la empresa empleadora debe informar de forma expresa, clara e inequívoca a las personas trabajadoras y, en su caso, a sus representantes, de la existencia y características de esta función antes de activarla. Horaval la entrega desactivada por defecto.
• Biometría: se queda en tu dispositivo. El desbloqueo por huella o reconocimiento facial usa exclusivamente el sistema biométrico del propio teléfono (Face ID, Touch ID o el sistema biométrico de Android) para liberar una clave de cifrado guardada en el almacén seguro del dispositivo. Horaval no recibe, no almacena y no trata ningún dato biométrico: la verificación ocurre íntegramente dentro del teléfono y ningún patrón biométrico sale de él. Por tanto, Horaval no realiza ningún tratamiento de categorías especiales de datos del art. 9 RGPD.
• Avisos de fichaje: opcionales y genéricos. Si la empresa los activa, la aplicación puede avisarte a la hora de entrada, de la pausa, de la vuelta y de la salida de tu horario. En Android y en iOS esos avisos se programan en tu propio teléfono. Además, si la empresa activa el aviso push, en Android el servidor de Horaval comprueba si ya has fichado lo esperado y, si no, envía el aviso a tu teléfono a través de Firebase Cloud Messaging (Google), el único servicio de terceros que incorpora la aplicación, usado solo para esto y sin analítica ni publicidad. Para poder enviártelo, la aplicación registra en el servidor un identificador de tu dispositivo (el token de notificaciones y un identificador de instalación) asociado a tu cuenta. El texto del aviso es genérico: no lleva tu nombre ni el de tu empresa, y Horaval no guarda si lo abres o lo ignoras. Es la empresa quien decide activar estos avisos y debe informarte de ello. Puedes apagarlos cuando quieras en los Ajustes de la aplicación.

Cuánto tiempo se conservan estos datos:

• Registro de jornada: cuatro años, plazo que impone el art. 34.9 del Estatuto de los Trabajadores. Durante ese periodo permanece a disposición de la persona trabajadora, de sus representantes legales y de la Inspección de Trabajo y Seguridad Social.
• Datos de cuenta de la persona usuaria: mientras dure su relación laboral con la empresa empleadora. Al causar baja, la cuenta se desactiva y los datos se conservan bloqueados solo el tiempo exigido por las obligaciones legales.
• Registros técnicos de seguridad de la aplicación: un máximo de doce meses.
• Identificador del dispositivo para los avisos (Android): se borra del servidor al cerrar sesión en la aplicación o al apagar los avisos y, en todo caso, cuando lleva 60 días sin usarse. Los avisos generados en el servidor se eliminan a los 30 días. Google elimina por su cuenta el identificador de instalación de Firebase tras el periodo de inactividad que fija en su documentación.

Al finalizar el contrato entre Horaval y la empresa cliente, los datos se devuelven a la empresa o se suprimen, según sus instrucciones, conforme al art. 28.3.g RGPD y al Contrato de encargo del tratamiento.

11. Tus derechos y cómo ejercerlos

Sobre los datos de los que Horaval es responsable, puedes ejercer estos derechos:

• Acceso: saber si tratamos tus datos y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: pedir que borremos tus datos cuando ya no sean necesarios, salvo que debamos conservarlos por ley.
• Oposición: oponerte a los tratamientos basados en interés legítimo por motivos relacionados con tu situación particular y, en todo caso, al envío de información comercial.
• Limitación: pedir que no usemos tus datos mientras comprobamos su exactitud o tu oposición, o que los conservemos cuando los necesites para formular o defender reclamaciones.
• Portabilidad: recibir en un formato estructurado los datos que nos facilitaste, cuando el tratamiento se base en el contrato o en tu consentimiento y se haga por medios automatizados.
• Retirar el consentimiento en cualquier momento, sin que afecte a lo tratado antes.
• No ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma similar.

Cómo: escribe a privacidad@horaval.es (o a rgpd@daveformacion.es) con el asunto «Protección de datos», o por correo postal a DAVE FORMACIÓN S.C.A. (Horaval · Protección de datos), Resid. Chapín, núm. 1, Bloque 3, Planta Bj, Pta. H, 11405 Jerez de la Frontera (Cádiz). Indica qué derecho ejerces y los datos que nos permitan identificarte. Solo te pediremos información adicional para confirmar tu identidad si tenemos dudas razonables (art. 12.6 RGPD).

El ejercicio de derechos es gratuito. Respondemos en el plazo de un mes, ampliable dos meses más si la solicitud es compleja; en ese caso te avisaremos dentro del primer mes (art. 12.3 RGPD).

12. Reclamación ante la AEPD

Si consideras que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es; sede electrónica sedeagpd.gob.es). No es obligatorio, pero te agradeceremos que antes nos escribas a hola@horaval.es para intentar resolverlo.

13. Seguridad

• La web horaval.es se sirve siempre por conexión cifrada (HTTPS).
• Los datos de la tarjeta no pasan por Horaval: se introducen en la página de la entidad de pago (apartado 6).
• La base de datos del servicio se aloja en la Unión Europea. El acceso se controla por roles y con reglas de seguridad a nivel de fila: cada usuario solo accede a los datos de las empresas en las que tiene un rol y con los permisos de ese rol.
• Las cookies de sesión de la aplicación solo viajan por conexión cifrada y no son accesibles desde el código de la página.
• El acceso no depende de contraseñas guardadas por Horaval: se entra con un enlace o código enviado al correo o con una cuenta externa.
• Las claves y secretos técnicos del servicio se guardan en un almacén cifrado, separado del código.
• Las personas que acceden a los datos en Horaval están sujetas al deber de confidencialidad (art. 5 LOPDGDD).

Si sufrimos una violación de seguridad que afecte a datos de los que somos responsables, la notificaremos a la AEPD sin dilación indebida y, si es posible, en un máximo de 72 horas, salvo que sea improbable que suponga un riesgo para las personas. Te la comunicaremos cuando pueda suponer un alto riesgo para tus derechos (arts. 33 y 34 RGPD). Si afecta a datos que tratamos por cuenta de un cliente, se lo notificaremos a él como prevé el Contrato de encargo del tratamiento.

14. Cookies

La web horaval.es no instala cookies ni guarda nada en tu navegador; al cargarla, tu navegador descarga las tipografías desde Google (apartados 7 y 8). La aplicación solo usa cookies técnicas propias: las que mantienen y protegen el inicio de sesión y las que recuerdan qué empresa has elegido si trabajas con varias. No usamos cookies de análisis ni de publicidad. Tienes el detalle en la Política de cookies.

15. Otras cuestiones

• Decisiones automatizadas: no elaboramos perfiles ni tomamos decisiones con efectos jurídicos basadas únicamente en tratamiento automatizado.
• Datos de terceros: si nos facilitas datos de otras personas (por ejemplo, personas de contacto de tu empresa), debes estar legitimado para hacerlo e informarles de esta política. De los datos que introduces en la aplicación responde el cliente, según el Contrato de encargo del tratamiento.
• Datos actualizados: comunícanos cualquier cambio en tus datos para que sigan siendo exactos.

16. Cambios en esta política

Si cambiamos esta política, publicaremos aquí la nueva versión con su fecha. Si el cambio afecta de forma relevante a cómo tratamos los datos de nuestros clientes, se lo comunicaremos por correo electrónico con al menos 30 días naturales de antelación, salvo que venga impuesto por una norma con un plazo menor, igual que los cambios de las Condiciones generales de contratación.

Versión del 8 de octubre de 2026. Se añaden los avisos de fichaje y el aviso push de la aplicación (apartados 7, 8, 9 y 10) y a Google (Firebase Cloud Messaging) como proveedor de ese envío. Para las empresas clientes que ya tenían cuenta, el aviso push no se aplicará antes del 23 de octubre de 2026, que es el plazo de aviso previo de 15 días del Contrato de encargo del tratamiento, y solo si la empresa lo activa.

17. Otros textos legales

• Aviso legal
• Condiciones generales de contratación
• Condiciones del pago online
• Contrato de encargo del tratamiento
• Política de cookies