Política de privacidad

Kudeatu · Versión 1.1

1. Quién trata tus datos

Hay dos responsables distintos según el dato:

• Datos de tu cuenta como empresario (nombre, email, datos del negocio y de facturación): Kudeatu. Contacto: [email protected].
• Datos de la plantilla y de la actividad del establecimiento (fichajes, turnos, vacaciones, ausencias, documentos, mensajes, pedidos, caja y gastos): el negocio que te da de alta en la app. Kudeatu actúa solo como encargado del tratamiento por cuenta del negocio (art. 28 RGPD).

2. Qué datos tratamos

• Identificación y contacto: nombre, email, teléfono.
• Laborales: centro de trabajo, jornada, fichajes (hora de entrada, salida y pausas, modalidad presencial o a distancia y, solo si el centro lo tiene activado, la ubicación en el momento de fichar), turnos, vacaciones, ausencias y sus justificantes, nóminas y otros documentos que suba el negocio, y el coste de personal que introduzca el responsable.
• Avisos para no olvidar fichar (opcionales, los activa cada persona en su móvil): el propio móvil detecta si estás dentro o fuera de la zona del centro para recordarte fichar. Esa ubicación no sale del móvil, no se guarda ni se envía a nadie.
• Comunicaciones: mensajes entre el responsable y cada empleado.
• Actividad del negocio: proveedores, pedidos, stock, arqueos de caja, gastos con la foto del ticket o factura y facturas de compra.
• Registro de actividad: qué usuario hizo cada cambio y cuándo, para la seguridad y la trazabilidad.
• Técnicos: los imprescindibles para iniciar sesión de forma segura.

No usamos tus datos para publicidad, no hacemos perfiles ni los vendemos. La app no usa cookies publicitarias ni de análisis.

3. Para qué y con qué base legal

• Gestionar la relación laboral (turnos, vacaciones, ausencias, nóminas): ejecución del contrato de trabajo (art. 6.1.b RGPD).
• Registro diario de jornada: obligación legal (art. 34.9 del Estatuto de los Trabajadores; art. 6.1.c RGPD).
• Comprobar la ubicación al fichar, si el centro lo activa: interés legítimo del empleador en verificar el registro de jornada, con información previa a la plantilla (art. 90 LOPDGDD).
• Justificantes de bajas: obligación legal y gestión de la relación laboral (art. 9.2.b RGPD). Solo se pide el documento oficial, nunca el diagnóstico.
• Prestar el servicio al negocio: contrato de servicio (art. 6.1.b RGPD).

Ninguna decisión sobre las personas se toma de forma automatizada.

4. Cuánto tiempo

• Registro de jornada: 4 años (art. 34.9 ET).
• Nóminas y documentación laboral: mientras dure la relación y después durante los plazos de prescripción laborales, fiscales y de Seguridad Social (en general, 4 años).
• Mensajes, turnos y demás: mientras el negocio use la app. Si el negocio se da de baja, puede descargar una copia y los datos se borran en un plazo máximo de 90 días, salvo obligación legal de conservarlos.

5. Dónde están y quién más los ve

Los datos se guardan en Supabase (servidores en la Unión Europea), cifrados en tránsito y con control de acceso por usuario: cada empleado solo ve sus propios datos y el responsable ve los de su negocio.

Para prestar el servicio se usan estos proveedores (subencargados), todos con contrato de protección de datos:

• Supabase Inc. — Alojamiento, base de datos, archivos e inicio de sesión. Dónde: Unión Europea (región elegida en la UE). Qué datos: Todos los datos de la app.
• Anthropic PBC — Lectura automática (IA) de facturas de proveedores y tickets de gastos. Dónde: EE. UU. (cláusulas contractuales tipo de la Comisión Europea); no usa los datos para entrenar. Qué datos: La imagen o el PDF de la factura o ticket (no datos de empleados).
• Resend Inc. — Envío de los emails de la cuenta (registro, invitaciones, contraseña). Dónde: Unión Europea (servidores en Irlanda); empresa de EE. UU. con cláusulas contractuales tipo. Qué datos: Email y nombre de la persona a la que se escribe.
• Esri / MapTiler — Mapa de calles al configurar la dirección de un centro. Dónde: EE. UU. / Suiza. Qué datos: La zona del mapa que se ve y la dirección IP.
• Photon (Komoot) — Sugerencias de dirección al escribirla. Dónde: Alemania. Qué datos: El texto de la dirección que se escribe.
• Open-Meteo — El tiempo de cada día en los informes. Dónde: Suiza / UE. Qué datos: Las coordenadas del centro (no datos de personas).

Cuando un proveedor está fuera del Espacio Económico Europeo, la transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea o en el Marco de Privacidad de Datos UE-EE. UU. La lectura con IA de facturas y tickets envía solo la imagen del documento, y el proveedor no la usa para entrenar sus modelos.

6. Tus derechos

Puedes pedir acceso, rectificación, supresión, oposición, limitación y portabilidad de tus datos desde Ajustes → Legal y privacidad → Mis derechos, o escribiendo a el contacto de privacidad de ese negocio (datos de la plantilla) o a [email protected] (datos de tu cuenta de empresario). Se te responderá en un mes como máximo (art. 12.3 RGPD). Si no estás conforme puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Para borrar tu cuenta: dentro de la app, en Ajustes → Eliminar cuenta, o escribiendo a [email protected].