• Responsable del tratamiento: la organización cliente que contrata Shukkin (en adelante, el Cliente).
• Encargado del tratamiento: Antonino Dell'Albani, NIE Y0718688K, con domicilio en Carrer del Trencapinyons, 7, 07817 Sant Jordi de ses Salines, Illes Balears, España (en adelante, Shukkin).

Shukkin trata los datos solo para prestar el servicio contratado: registro de jornada, horarios, turnos, ausencias, documentos y notificaciones. El tratamiento consiste en recoger, registrar, almacenar, consultar, modificar, exportar, comunicar al propio Cliente y suprimir datos, de forma automatizada, además de dar soporte técnico.

Este contrato dura lo que dure el servicio, más los plazos de exportación y bloqueo de la cláusula 12.

Interesados: las personas trabajadoras, responsables, administradores y gestores externos (como la asesoría) que el Cliente da de alta.

Datos: los enumerados en la política de privacidad, apartado «Datos que tratamos por encargo de tu empresa». Shukkin no necesita categorías especiales de datos. Si el Cliente las incluye, por ejemplo en un documento justificante de una baja, responde de que su tratamiento sea lícito.

Shukkin trata los datos únicamente siguiendo las instrucciones documentadas del Cliente. La configuración y el uso que el Cliente hace del servicio constituyen esas instrucciones. Si Shukkin considera que una instrucción infringe la normativa de protección de datos, se lo comunicará al Cliente de inmediato.

Las personas autorizadas a acceder a los datos se comprometen por escrito a mantener su confidencialidad, también después de terminar el encargo, y solo acceden cuando hace falta para dar soporte o mantener el servicio.

Shukkin aplica las medidas técnicas y organizativas del artículo 32 del RGPD descritas en el anexo I, y las revisa a medida que el servicio evoluciona.

El Cliente autoriza de forma general a Shukkin a recurrir a los subencargados de la lista de subencargados. Shukkin avisará por email a los propietarios de la organización con al menos 15 días de antelación antes de añadir o sustituir uno. Si el Cliente se opone por motivos razonables de protección de datos y no se encuentra una solución, puede dar por terminado el servicio sin penalización. Shukkin impone a cada subencargado las mismas obligaciones de protección de datos que este contrato y sigue respondiendo de su cumplimiento.

Shukkin solo transfiere datos fuera del Espacio Económico Europeo con las garantías del capítulo V del RGPD, como las cláusulas contractuales tipo de la Comisión Europea o el Marco de Privacidad de Datos UE-EE. UU. Hoy el único subencargado que almacena datos fuera del EEE es Loops (Estados Unidos), con cláusulas contractuales tipo; el tráfico web pasa por la red global de Cloudflare con las mismas garantías.

Si un interesado se dirige a Shukkin para ejercer sus derechos, Shukkin trasladará la solicitud al Cliente en un plazo máximo de dos días hábiles y no la responderá por su cuenta. Shukkin ayuda al Cliente a atenderlas con las herramientas del servicio (consulta, corrección y exportación de datos) y, si hace falta, con asistencia directa.

Shukkin notificará al Cliente cualquier violación de la seguridad de los datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de ella. La notificación incluirá la información del artículo 33.3 del RGPD de que disponga, y Shukkin colaborará con el Cliente para contenerla y, si procede, comunicarla a la autoridad y a los afectados.

Cuando termina el servicio, el Cliente dispone de 90 días para pedir la exportación completa de sus datos. Pasado ese plazo, Shukkin los suprime, con una excepción: los registros de jornada se conservan bloqueados (art. 32 LOPDGDD) hasta que se cumplan cuatro años desde cada fichaje, el plazo del artículo 34.9 del Estatuto de los Trabajadores, solo para ponerlos a disposición del Cliente, de la Inspección de Trabajo o de los juzgados. Después se suprimen.

El Cliente puede pedir por escrito que se suprima todo de inmediato, asumiendo él la conservación del registro de jornada. Las copias de seguridad se borran a los 35 días de rotarlas.

Shukkin ayuda al Cliente a cumplir los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto y las consultas previas, y le facilita la información necesaria para demostrar el cumplimiento de este contrato, por ejemplo respondiendo a cuestionarios de seguridad.

El Cliente, o un auditor que designe sujeto a confidencialidad, puede realizar una auditoría avisando con 30 días de antelación, en horario laboral, a su cargo y como máximo una vez al año, salvo que se haya producido una violación de seguridad.

Shukkin lleva el registro de las categorías de actividades de tratamiento que efectúa por cuenta de sus clientes (art. 30.2 RGPD).

Este contrato se rige por la legislación española y, para cualquier controversia, las partes se someten a los juzgados y tribunales de Eivissa. En materia de protección de datos, prevalece sobre cualquier otra condición del servicio.

• Cifrado en tránsito (TLS) en todo el tráfico entre navegadores, kioscos y servidores.
• Servidores en centros de datos de Alemania, con una réplica de la base de datos en otro centro para recuperarse ante desastres.
• Base de datos accesible solo desde la red privada, nunca desde Internet.
• Copias de seguridad diarias, con incrementales cada hora, cifradas con AES-256 antes de salir del servidor y guardadas con jurisdicción de la UE.
• Separación de datos entre organizaciones en cada consulta.
• Acceso por roles dentro de cada organización, contraseñas y PIN guardados con hash, y kioscos vinculados de forma explícita por un administrador.
• Registro de auditoría de los cambios en los datos.
• Monitorización de errores sin nombres ni emails, solo con identificadores internos.

La lista vigente está en la página de subencargados.