HorablyContrato de encargo de tratamiento
Última actualización: 2 de octubre de 2026
Este contrato regula el tratamiento de datos personales que Horably realiza por cuenta de sus clientes, conforme al artículo 28 del RGPD. Se entiende aceptado al contratar el servicio y forma parte de las Condiciones del servicio.
1. Partes
Responsable del tratamiento: el Cliente (la empresa o profesional que contrata Horably y registra en la aplicación a las personas de su equipo).
Encargado del tratamiento: Eric Morera Flotats, con NIF 47719724Z y domicilio en Avinguda Madrid, 9, esc. B, 1º 4ª, 08028 Barcelona (Barcelona) («Horably»).
2. Objeto
Horably trata datos personales por cuenta del Cliente únicamente para prestarle el servicio de control horario descrito en las Condiciones.
3. Descripción del tratamiento
| Concepto | Detalle |
|---|---|
| Naturaleza y finalidad | Alojamiento, almacenamiento, consulta, cálculo y exportación de registros de jornada, permisos, bolsa de horas, mensajes y documentos del Cliente |
| Categorías de personas | Personas trabajadoras del Cliente y su responsable |
| Categorías de datos | Identificación (nombre, correo, foto opcional), PIN protegido, fichajes y pausas, correcciones, permisos y ausencias, firmas mensuales, mensajes y documentos que el Cliente decida subir. Posibles datos de salud si el Cliente adjunta justificantes médicos. |
| Duración | La del servicio, más el plazo de exportación posterior indicado en el apartado 9 |
4. Obligaciones de Horably
- Tratar los datos solo siguiendo las instrucciones documentadas del Cliente (las funciones de la aplicación y este contrato) y no usarlos para fines propios.
- Garantizar que las personas autorizadas para tratar los datos se han comprometido a la confidencialidad.
- Aplicar las medidas de seguridad descritas en el apartado 6.
- No ceder los datos a terceros salvo obligación legal, y no transferirlos fuera del Espacio Económico Europeo sin las garantías del capítulo V del RGPD.
- Ayudar al Cliente, con medios técnicos y organizativos razonables, a atender los derechos de las personas afectadas, y trasladarle sin demora las solicitudes que reciba directamente.
- Avisar al Cliente sin dilación indebida, y en todo caso en un máximo de 48 horas, desde que tenga constancia de una brecha de seguridad que afecte a sus datos, con la información disponible.
- Ayudar al Cliente en evaluaciones de impacto y consultas previas cuando proceda.
- Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso y sin interferir en el servicio.
- Informar al Cliente si considera que una instrucción infringe la normativa de protección de datos.
5. Subencargados
El Cliente autoriza con carácter general la contratación de los subencargados siguientes, con los que Horably mantiene contratos que imponen obligaciones equivalentes a las de este contrato:
| Subencargado | Función | Ubicación |
|---|---|---|
| Supabase | Base de datos y funciones de servidor | UE (Irlanda) |
| Netlify | Alojamiento de la aplicación | Red global (CDN) |
| Cloudflare | DNS y seguridad | Red global |
| Resend | Correos del servicio | UE (Irlanda) |
Horably informará al Cliente de cualquier cambio previsto en esta lista con al menos 15 días de antelación; el Cliente podrá oponerse por motivos razonables y, si no se alcanza una solución, cancelar el servicio.
6. Medidas de seguridad
- Cifrado de las comunicaciones (HTTPS).
- PIN almacenados con hash y sal, con bloqueo temporal tras intentos fallidos.
- Control de acceso por roles y separación de los datos de cada negocio.
- Registro de cambios en los fichajes: las correcciones conservan el dato original.
- Copias de seguridad gestionadas por el proveedor de base de datos.
- Registro técnico de errores sin contenido de fichajes.
7. Obligaciones del Cliente
- Contar con una base jurídica para tratar los datos de su plantilla (en general, el cumplimiento de la obligación legal de registro de jornada) e informar a las personas afectadas.
- No subir datos que no sean necesarios; en particular, datos de salud solo cuando la ley o el convenio lo requieran.
- Custodiar los accesos y gestionar los PIN de su equipo.
- Conservar el registro de jornada durante el plazo legal (cuatro años), exportándolo cuando proceda.
8. Derechos de las personas afectadas
Corresponde al Cliente, como responsable, atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad de su plantilla. Horably colaborará según el apartado 4.
9. Fin del servicio
Al terminar el servicio, el Cliente dispone de al menos 90 días para exportar sus datos. Pasado ese plazo, Horably los suprimirá, incluidas las copias, salvo que el Cliente solicite por escrito su conservación o que una ley obligue a conservarlos.
10. Responsabilidad y ley aplicable
Se aplican las limitaciones de las Condiciones del servicio, sin perjuicio de lo que disponga el artículo 82 del RGPD. Este contrato se rige por la ley española.