Política de privacidad

1. Responsable del tratamiento

Responsable	Basora
Contacto en materia de protección de datos	privacidad@basora.app

2. Dos papeles distintos según el dato

Es importante distinguir dos situaciones, porque las obligaciones son distintas:

• Basora como responsable. Respecto de los datos de las personas que contratan el servicio y de quienes visitan esta web: datos de contacto, facturación y uso de la plataforma.
• Basora como encargado del tratamiento. Respecto de los datos de las personas trabajadoras que la empresa cliente introduce en la aplicación (fichajes, turnos, datos de plantilla). En este caso el responsable es la empresa empleadora, que decide qué datos trata y para qué; Basora solo los trata siguiendo sus instrucciones y en los términos del correspondiente contrato de encargo (art. 28 RGPD).

Si eres una persona trabajadora y quieres ejercer tus derechos sobre tus fichajes, dirígete en primer lugar a tu empresa. Si necesitas ayuda para localizar al responsable, escríbenos y te orientamos.

3. Datos que tratamos y con qué finalidad

Categoría de datos	Finalidad	Base jurídica
Datos de la empresa cliente y de la persona administradora: nombre, NIF/CIF, dirección, teléfono, correo electrónico.	Alta de la cuenta, prestación del servicio, soporte y facturación.	Ejecución del contrato (art. 6.1.b RGPD) y obligación legal en materia fiscal y contable.
Datos de acceso: correo electrónico, contraseña cifrada, fecha y hora de acceso, dirección IP.	Autenticación, seguridad de la cuenta y trazabilidad.	Ejecución del contrato e interés legítimo en la seguridad del servicio (art. 6.1.f RGPD).
Datos de la plantilla del cliente: nombre, DNI, rol, fechas de alta y baja, datos bancarios si el cliente los introduce.	Gestión de usuarios, asignación de turnos y elaboración del registro de jornada.	Tratamiento por cuenta del cliente responsable (art. 28 RGPD).
Registros de jornada: entradas, salidas, pausas, marca temporal, dirección IP y registro de auditoría de modificaciones.	Cumplimiento de la obligación de registro diario de jornada y su puesta a disposición de la persona trabajadora, la representación sindical y la Inspección de Trabajo.	Obligación legal del cliente empleador: art. 34.9 del Estatuto de los Trabajadores y RDL 8/2019.
Datos de facturación y pago tratados por la pasarela.	Cobro de la suscripción y emisión de facturas.	Ejecución del contrato y obligación legal.
Credenciales de acceso a Google Business Profile, solo si el cliente conecta voluntariamente su ficha.	Publicar fotografías y responder reseñas desde la aplicación.	Consentimiento del cliente (art. 6.1.a RGPD), revocable en cualquier momento desconectando la integración.

No realizamos decisiones automatizadas con efectos jurídicos ni elaboramos perfiles con fines publicitarios. No vendemos ni cedemos datos a terceros con finalidades comerciales.

4. Plazos de conservación

• Registros de jornada: 4 años como mínimo. La normativa exige conservar el registro diario de jornada durante cuatro años y mantenerlo a disposición de las personas trabajadoras, sus representantes y la Inspección de Trabajo. Por ese motivo la aplicación no permite eliminar fichajes dentro de ese plazo.
• Datos de cuenta y contenidos: mientras la suscripción esté vigente. Tras la baja se conservan 30 días adicionales para permitir la recuperación de la cuenta, salvo los registros de jornada sujetos al plazo legal anterior.
• Datos de facturación: durante los plazos de prescripción fiscal y contable aplicables (con carácter general, hasta 6 años).
• Comunicaciones de soporte: mientras sean necesarias para atender la consulta y acreditar su resolución.

5. Destinatarios y encargados

Para prestar el servicio recurrimos a los siguientes proveedores, que tratan datos por nuestra cuenta bajo contrato de encargo:

Proveedor	Finalidad	Ubicación
Stripe Payments Europe, Ltd.	Gestión de suscripciones, cobros y facturación.	Irlanda (UE)
Google Ireland Ltd.	Google Business Profile: publicación de fotos y respuesta a reseñas. Solo si el cliente conecta voluntariamente su ficha de Google.	Irlanda (UE)

Además, los datos podrán comunicarse a las administraciones públicas cuando exista obligación legal, señaladamente a la Inspección de Trabajo y Seguridad Social en el marco de una actuación inspectora.

6. Transferencias internacionales

Los proveedores indicados prestan el servicio desde la Unión Europea. Si alguno realizase tratamientos fuera del Espacio Económico Europeo, se ampararán en una decisión de adecuación de la Comisión Europea o en cláusulas contractuales tipo, con las garantías adicionales que correspondan.

7. Medidas de seguridad

• Cifrado del tráfico mediante HTTPS y contraseñas almacenadas con funciones de hash.
• Control de acceso por roles: administración, empleado, representación sindical e inspección.
• Registro de auditoría de toda modificación de un fichaje, con autor, fecha y valor anterior.
• Verificación de la dirección de correo antes de activar la cuenta.
• Copias de seguridad periódicas de la base de datos.

8. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento cuando el tratamiento se base en él, escribiendo a privacidad@basora.app e indicando el derecho que deseas ejercer. Responderemos en el plazo máximo de un mes.

Ten en cuenta que el derecho de supresión no alcanza a los registros de jornada durante el plazo legal de conservación de 4 años, porque su mantenimiento responde a una obligación legal.

Si consideras que no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es), C/ Jorge Juan 6, 28001 Madrid.

9. Cambios en esta política

Podemos actualizar esta política para reflejar cambios normativos o del servicio. Si el cambio es sustancial, lo comunicaremos por correo electrónico a las cuentas activas antes de que surta efecto.