Política de privacidad

1. Quién responde de qué

Hay dos papeles distintos y conviene no confundirlos, porque determinan a quién hay que reclamar.

Tu empresa es la responsable. Ella decide si se usa Cronoria, si se activa la geolocalización, con qué perímetro y durante cuánto tiempo se guarda cada cosa. Si eres trabajador y quieres que se borre o se rectifique algo de tu expediente laboral, tienes que pedírselo a ella.

Cronoria es el encargado. Trata esos datos por cuenta de tu empresa y solo siguiendo sus instrucciones, conforme al Acuerdo de encargo de tratamiento. No los usa para nada propio.

Hay una excepción: los datos de la persona que contrata el servicio y los que hacen falta para que el servicio funcione con seguridad. De esos responde Beartez — Manuel Jurado Reula directamente, y están en el apartado 3.

2. Quién es Cronoria y cómo contactar

3. Datos de los que responde Cronoria

Son los de quien contrata y administra el servicio, no los del día a día de la plantilla.

3.1 Contratación y facturación

Qué: nombre y correo de contacto, denominación de la empresa, NIF, domicilio fiscal, plan contratado, importes y facturas. Para qué: dar de alta la cuenta, cobrar y facturar. Base: el contrato y las obligaciones fiscales. Cuánto: mientras dure la relación y después los plazos fiscales y mercantiles (seis años en general).

3.2 Cuentas de administración y soporte

Qué: nombre, correo, rol, y el contenido de los tickets e incidencias que abras. Para qué: atenderte y dejar constancia de lo que se hizo. Base: el contrato y el interés legítimo en mantener trazabilidad. Cuánto: los tickets cerrados se borran automáticamente al año.

3.3 Seguridad

Qué: dirección IP, agente de usuario (navegador o app), identificador y nombre del dispositivo, hora del último acceso y registro de acciones sensibles. Para qué: autenticar, impedir que la misma cuenta se use desde dos sitios a la vez, detectar abusos e investigar incidentes. Base: el contrato y el interés legítimo en la seguridad. Cuánto: el registro de auditoría, dos años.

3.4 Pagos

Cronoria nunca recibe ni guarda el número de tu tarjeta. Los datos de pago se introducen en el entorno de quien cobra. Hoy hay tres canales vivos, y cada empresa usa uno solo:

• Web — Gescomnet. Cobra con su propio terminal y emite la factura. Cronoria guarda el importe, el plan, la fecha, el número de factura y una referencia interna del cobro.
• App de iPhone y iPad — Apple. La compra la procesa Apple. Cronoria recibe el identificador de la transacción y la fecha de vencimiento para activar la suscripción.
• App de Android — Google Play. La compra la procesa Google con Play Billing y la factura la emite Google. Cronoria recibe el identificador del pedido y el comprobante de compra para activar la suscripción.

Base: el contrato y las obligaciones fiscales. Detalle de cada proveedor en Subencargados y transferencias.

3.5 Comunicaciones comerciales

Solo se envían si hay base para hacerlo, y todas llevan la forma de darse de baja. No hay perfilado publicitario ni cesión a terceros con fines comerciales.

4. Datos que se recogen de los trabajadores

Todo lo de este apartado se trata por cuenta de la empresa empleadora. La lista es la real: es lo que la aplicación guarda de verdad. Muchas de estas funciones están apagadas salvo que la empresa las encienda, y se dice en cada una.

4.1 Cuenta y perfil

Qué: nombre, correo, contraseña cifrada, rol, idioma, tema visual, jornada semanal pactada y horario asignado. Para qué: identificarte y aplicar tu horario. Cuánto: mientras estés dado de alta; después, lo que diga el apartado 9.

4.2 Fichajes y jornada

Qué: hora de entrada, de salida y de cada pausa, con su tipo; las observaciones que escribas si la empresa activa ese campo; una huella criptográfica de cada tramo cerrado, para poder demostrar que no se ha alterado; y, en fichajes hechos desde el móvil, si la hora del teléfono era fiable en ese momento. Para qué: el registro diario de jornada que exige la ley.

Cuánto, y aquí hay que ser exactos: mientras tu empresa siga dada de alta en Cronoria, y en todo caso un mínimo de cuatro años. Los cuatro años del art. 34.9 del Estatuto de los Trabajadores son el suelo que la ley impone a tu empresa, no un techo: Cronoria no borra ningún fichaje por antigüedad mientras la empresa esté activa, porque el responsable de esos datos es ella y decidir cuánto conservarlos por encima del mínimo legal le corresponde a ella. Lo que sí es automático es el final: cuando la empresa se da de baja, todo el registro queda bloqueado y se borra al cumplirse los cuatro años (apartado 11).

4.3 Dónde estabas al fichar

Qué: una coordenada en cada cambio de tramo, y no solo dos. Se guarda al abrir y al cerrar cada tramo, así que una jornada deja la posición de la entrada, la de cada pausa que empieza, la de cada vuelta de la pausa y la de la salida: quien hace un descanso a media mañana y otro para comer puede dejar seis u ocho posiciones a lo largo del día, no dos. Cuándo: solo si la aplicación —o el navegador, al fichar desde la web— tiene concedido el permiso de ubicación. Para qué: acreditar que el fichaje se hizo donde correspondía. Cuánto: 60 días por defecto. Cumplido el plazo, el fichaje se queda y la coordenada se borra: la hora tiene que durar cuatro años, el lugar no.

4.4 El recorrido durante la jornada

Qué: una sucesión de posiciones con su hora, precisión, altitud, velocidad y rumbo. Cuándo: apagado por defecto. Solo se recoge si la empresa activa el modo de reparto o transporte, y únicamente entre el fichaje de entrada y el de salida: durante las pausas no se guarda nada, y al cerrar la jornada el GPS se apaga. El servidor rechaza cualquier posición capturada fuera de ese intervalo, con un margen de un minuto a cada lado que existe solo para absorber el desfase entre el reloj del teléfono y el del servidor: una lectura tomada justo antes del fichaje puede sellarse un instante después.

Cada cuánto: una posición cada 30 segundos como máximo en Android; en iPhone, cada vez que te desplazas unos 30 metros. Cuánto: 60 días por defecto, y entonces se borra entero.

Precisión. El servidor descarta toda lectura con más de 500 metros de error. Además, la aplicación de Android filtra antes y no llega a enviar las que pasan de 100 metros. La de iPhone hace lo mismo desde agosto de 2026: hasta entonces se conformaba con el tope del servidor y guardaba lecturas mucho peores. Ya no. Las dos aplicaciones descartan en el propio teléfono lo que pase de 100 metros, y tu empresa puede afinar ese límite. Se dice porque cambia lo que el recorrido demuestra: una lectura imprecisa pintada en un mapa parece una posición real, y media hora de ellas no sitúa a nadie en una calle concreta.

4.5 Entradas y salidas del perímetro

Qué: el hecho de haber salido de la zona de trabajo o de haber vuelto, con la hora, la coordenada, la precisión, la distancia al borde y cuánto tiempo se estuvo fuera. Cuándo: solo si la empresa ha dibujado un perímetro (hasta cinco zonas). No se avisa a la primera: hacen falta tres lecturas seguidas fuera, separadas 30 segundos, a más de 50 metros del borde y sostenidas al menos dos minutos. Es a propósito, para que un error del GPS no genere una acusación. Para qué: que la empresa pueda comprobar el cumplimiento del puesto. Puede derivar en un expediente disciplinario. Cuánto: el evento y su resolución se conservan; la coordenada y las lecturas en bruto se borran a los 60 días por defecto.

4.6 Detección de inmovilidad (sensores de movimiento)

Qué: si el teléfono lleva un rato quieto durante la jornada. Para saberlo se leen los sensores de movimiento del aparato: la clasificación de actividad del sistema operativo (quieto, andando, en vehículo), el número de pasos del contador del teléfono en esa ventana y cuánto se movió la posición del GPS. Se guarda desde cuándo está quieto, cuánto tiempo, dónde y el resumen de esas señales. Cuándo: solo durante la jornada activa. Cuánto tarda: hoy se avisa a partir de 10 minutos parado. Para qué: detectar que alguien ha dejado el móvil fichando y se ha ido.

Si la empresa lo apaga, no se recoge. Con la detección desactivada el servidor no guarda ni la ubicación, ni el número de pasos, ni la clasificación de actividad, ni ninguna otra señal: solo queda constancia de que un teléfono con la configuración antigua todavía en memoria envió un aviso, y se descarta. Y tampoco se avisa a nadie.

El permiso. Hace falta el de actividad física o movimiento. Hay una segunda opción que la empresa puede activar y que conviene conocer: si la tiene puesta, la aplicación no te deja iniciar la jornada hasta que concedas ese permiso. Igual que con la ubicación (§4.3), eso convierte el permiso en una condición para fichar desde el móvil, y tu empresa tiene que haberlo informado antes y por escrito.

Cuánto se guarda: la ubicación y las señales del teléfono —pasos, clasificación de actividad, variación del GPS y las lecturas en bruto— se borran a los 60 días por defecto. Lo que sobrevive es el hecho: cuándo se detectó, cuánto duró la inmovilidad y en qué quedó la revisión. Ese resto se conserva mientras tu empresa lo conserve, porque puede sustentar —o desmontar— un expediente disciplinario.

Este tratamiento no decide nada por sí solo: genera un aviso pendiente de revisar. Quien decide es una persona de la empresa (§12).

4.7 Ausencias y justificantes

Qué: el tipo de ausencia, las fechas, la descripción que escribas y el documento que adjuntes. Ese documento puede ser un parte médico, es decir, datos de salud. Para qué: tramitar la ausencia. Cómo se guarda: el fichero se almacena cifrado y solo se puede abrir desde la aplicación, con sesión iniciada y permiso para verlo. Cuánto: el fichero se borra automáticamente al año por defecto; el hecho de la ausencia sigue en el expediente. Los documentos que se suben y no se llegan a asociar a nada se borran a los siete días.

4.8 Sanciones y alegaciones

Qué: la sanción, su gravedad, los hechos, la prueba que adjunte la empresa, tus alegaciones y los documentos que aportes en ellas. Para qué: el procedimiento disciplinario y tu derecho de defensa. Cuánto: los ficheros adjuntos se borran al año por defecto; el expediente se conserva mientras pueda haber reclamación. Una sanción en borrador no es visible para la persona sancionada hasta que la empresa la comunica.

4.9 Avisos, tickets y notificaciones

Qué: los avisos que te manda la aplicación y tus preferencias sobre ellos; los tickets de soporte que abras. Cuánto: los avisos se borran a los 90 días; los tickets cerrados, al año.

4.10 Dispositivo, sesión y conexión

Qué: un identificador del dispositivo generado por la aplicación al instalarse, el nombre del aparato (por ejemplo «iPhone de Marta»), la dirección IP y el agente de usuario de cada inicio de sesión, y el testigo de notificaciones de tu móvil junto con la versión de la app: en iPhone y iPad lo asigna Apple, y en Android lo asigna Google. Ese testigo es lo que permite que un aviso llegue a tu aparato y no al de otra persona, y por eso los dos servicios están declarados como encargados en el apartado 7. Si aceptas las condiciones al darte de alta, se guarda también la IP y la fecha de esa aceptación. Para qué: mantener la sesión, permitir cerrarla en remoto, cumplir la regla de una sola sesión por persona, enviar avisos y poder demostrar quién aceptó qué y cuándo. Cuánto: mientras el dispositivo esté vinculado; los testigos de notificaciones se desactivan solos cuando dejan de existir. Cómo se quita: cerrando la sesión desde la app se revoca el dispositivo; al borrar la cuenta desaparecen todos.

No se usa ningún identificador publicitario ni se hace huella digital del navegador.

4.11 Registro de auditoría

Qué: qué acción se hizo, quién y cuándo, para las operaciones que importan (altas, bajas, cambios de configuración, exportaciones, borrados). Para qué: poder reconstruir lo que pasó. Cuánto: dos años.

5. Geolocalización: las reglas

Lo que sí garantiza Cronoria por diseño:

• Fuera de la jornada no se recoge ninguna posición. El seguimiento arranca al fichar entrada y se apaga al fichar salida, y el servidor rechaza lo capturado fuera de ese intervalo salvo el minuto de margen por desfase de reloj que se explica en el apartado 4.4.
• Durante las pausas no se guarda recorrido.
• El recorrido continuo está apagado de fábrica; hay que activarlo empresa por empresa.
• Los datos de localización tienen un plazo propio y más corto que el resto, y se borran solos.
• No se venden datos de localización, no se usan para publicidad y no se comparten con nadie ajeno al servicio.

Si tu empresa no te ha informado de que esto está activo, puedes pedírselo a ella y, si no responde, reclamar ante la AEPD.

6. Los mapas los sirve OpenStreetMap

Cuándo pasa: solo al abrir una pantalla con mapa. Son tres: el detalle de un fichaje con recorrido, la pantalla de eventos del administrador y el editor del perímetro de trabajo. Si no abres ninguna, no hay ninguna conexión con OpenStreetMap.

Qué NO se le manda: tu nombre, tu correo, tu identificador de usuario ni las coordenadas exactas de tus posiciones. Las líneas del recorrido se dibujan encima, en tu propio dispositivo, con datos que vienen del servidor de Cronoria.

Quién es: OpenStreetMap Foundation, entidad sin ánimo de lucro registrada en el Reino Unido. Actúa como responsable independiente y aplica su propia política: osmfoundation.org/wiki/Privacy_Policy. No se le cede ningún dato personal; simplemente, la conexión parte de tu equipo.

Cómo evitarlo: no abrir las pantallas de mapa. La información del fichaje (hora, duración, coordenadas en cifras) se ve igual sin mapa. En la aplicación de Android, además, las imágenes del mapa se guardan solo en memoria y desaparecen al cerrarla: no queda rastro del recorrido en el almacenamiento del teléfono.

7. Quién más ve estos datos

Dentro de tu empresa: tú ves lo tuyo; el administrador ve el de toda su plantilla. Ninguna empresa ve datos de otra.

Fuera: solo los proveedores necesarios para que el servicio funcione (alojamiento, correo, registro de errores, cobro y distribución de las apps), cada uno con contrato y con acceso limitado a lo que necesita. La lista completa, con qué trata cada uno y dónde, está en Subencargados y transferencias. También se entregarán datos a jueces, a la Inspección de Trabajo o a otras autoridades cuando exista obligación legal.

No hay venta de datos, ni cesión a anunciantes, ni analítica de terceros.

8. Transferencias internacionales

Los datos se alojan íntegramente en el Espacio Económico Europeo: servidores, base de datos, copias de seguridad y correo, en España; el registro técnico de errores, en la Unión Europea.

Hay cuatro terceros con presencia fuera del EEE: el proveedor del registro de errores (con cláusulas contractuales tipo), Apple, Google y OpenStreetMap. Está detallado en la lista de subencargados.

Cómo se sostiene eso en el caso del registro de errores, al que Cronoria sí le envía contenido: lo que acompaña a cada error se depura en el servidor antes de salir. Se filtran por su nombre los campos que identifican a una persona —identificador de usuario, nombre, correo, teléfono, documento, dirección IP, identificador de dispositivo, coordenadas y cualquier credencial— y en su lugar viaja una marca que dice que había un dato y se omitió. Lo que llega es el mensaje del error, la traza y referencias internas de la operación, como el identificador de la empresa o el del lote afectado. No es una promesa de buena conducta: es un filtro en el único punto por el que pasan todos los envíos.

9. Cuánto se guarda cada cosa

Estos son los plazos de fábrica. Cada empresa puede acortar los suyos desde los ajustes, y las purgas de la tabla se ejecutan solas todos los días.

Hay una distinción que conviene entender antes de leerla, porque el RGPD obliga a publicar el plazo real y no el mínimo legal. Unas filas dicen un número de días: eso es un borrado automático, lo hace el sistema y no depende de nadie. Otras dicen «mientras la empresa lo conserve»: son los datos de los que tu empresa es responsable y que Cronoria no borra por su cuenta, porque no le corresponde decidirlo. Esos desaparecen del todo cuando la empresa se da de baja y vence el bloqueo de cuatro años (apartado 11).

10. Tus derechos y cómo ejercerlos

Puedes pedir acceso a tus datos, que se corrijan, que se borren, que se limite su uso, oponerte a un tratamiento y llevártelos a otro sitio.

A quién escribir. Si eres trabajador y quieres rectificar o borrar algo del expediente laboral, la responsable es tu empresa: pídeselo a ella. Si quieres reclamar sobre los tratamientos propios de Cronoria (contratación, soporte, seguridad), escribe a privacidad@cronoria.com. Si nos escribes sobre datos laborales, trasladamos la petición a tu empresa y colaboramos con ella.

Plazo. Un mes, ampliable a tres si la petición es compleja; se te avisaría. Puedes reclamar en cualquier momento ante la AEPD.

Qué no se puede borrar a petición. El registro de jornada mientras corran los cuatro años, y los expedientes que hagan falta para defender o reclamar. No es una negativa nuestra: el RGPD lo permite expresamente (art. 17.3) cuando hay una obligación legal o una reclamación de por medio.

11. Borrar la cuenta

Se puede, y lo que ocurre depende de quién lo pida. Cómo se pide: hay dos vías y las dos hacen exactamente lo mismo. Desde la aplicación móvil, si tu versión incluye la pantalla de cuenta. Y desde la web, sin instalar nada, en cronoria.com/borrar-cuenta: escribes tu correo, te llega un enlace para comprobar que la cuenta es tuya, y al abrirlo ves qué se borra y qué se conserva con los plazos concretos de tu empresa antes de confirmar. Si prefieres no usar ninguna de las dos, siempre puedes pedirlo por escrito (punto 11.3).

11.1 Si eres trabajador

Se ejecuta en el acto y sin vuelta atrás. Antes de confirmar se te enseña la lista exacta de lo que va a desaparecer y de lo que se queda, con los plazos que tenga puestos tu empresa, y hay que escribir una palabra de confirmación: un toque perdido no borra nada.

Se borra de inmediato: tu acceso (el correo con el que entras queda anulado y la contraseña se destruye), todas tus sesiones abiertas, los identificadores de tus dispositivos para recibir avisos, tus avisos y tus preferencias. Desde ese momento la cuenta no existe para ti.

Se conserva, y esto hay que decirlo claro. La lista es completa: si algo sobrevive al borrado, está aquí. Es la misma que te enseña la aplicación —y la web— antes de que confirmes, generada por el mismo código, así que no puede haber dos versiones.

• Tu registro de jornada, con tu nombre. Mientras tu empresa siga dada de alta, y en todo caso un mínimo de cuatro años. Sin el nombre no acreditaría nada, y la obligación de guardarlo no es tuya sino de tu empresa: el art. 34.9 del Estatuto de los Trabajadores le exige poder enseñárselo a la Inspección de Trabajo.
• Tus ausencias, mientras dure esa obligación. El fichero del justificante sí se borra en su plazo propio (un año por defecto).
• Tus sanciones y tus alegaciones, si las hay, porque hacen falta para reclamar o defenderse (art. 17.3.e del RGPD). Esto te protege a ti también. Los documentos adjuntos se borran al año, como los justificantes; el expediente en sí lo conserva tu empresa.
• Tu recorrido GPS y los eventos de perímetro. El recorrido y las coordenadas vencen en su plazo normal (60 días por defecto) y no se adelanta a propósito: si borrarse la cuenta destruyera el rastro del día anterior, sería la forma de hacer desaparecer una prueba. El hecho de haber entrado o salido de la zona lo conserva tu empresa.
• Los avisos de inmovilidad, si tu empresa tenía la detección activada. La ubicación y las señales del teléfono (pasos, actividad, variación del GPS) se borran a los 60 días; queda cuándo se detectó, cuánto duró y en qué quedó la revisión.
• Tu horario asignado. Es lo que explica tus fichajes pasados: sin él, el registro no dice si hiciste de más o de menos.
• Tus tickets de soporte y sus mensajes. Los cerrados se borran solos al año.
• El registro de auditoría de lo que se hizo con tu cuenta, dos años. Incluye la anotación de este mismo borrado: sin ella no habría forma de demostrar que se ejecutó.
• Las condiciones que aceptaste, con la fecha y la dirección IP desde la que las aceptaste, mientras pueda discutirse el contrato. Es lo único de esta lista que hoy no tiene purga automática; si quieres que se borre, pídelo a privacidad@cronoria.com y se valora caso por caso.

Dos avisos prácticos. No puedes borrarte con la jornada abierta: la hora de salida la pones tú. Y si sigues trabajando en la empresa, dejarás de poder fichar desde la app y tendrían que darte de alta otra vez.

Antes del botón rojo, la aplicación te ofrece descargar la copia de tus datos. Hazlo.

11.2 Si eres el administrador de la empresa

La baja de la empresa no es un borrado inmediato: es una solicitud con un plazo de gracia de 30 días que puedes cancelar mientras no se haya ejecutado. Se pide desde los ajustes de empresa, en el panel web, y el plazo exacto se muestra al solicitarla. Arrastra a toda la plantilla, así que conviene avisar antes.

Al ejecutarse, la empresa queda bloqueada: nadie puede entrar, se borran los recorridos GPS y los justificantes, y el registro de jornada queda guardado sin acceso durante cuatro años. Cumplido ese plazo se borra todo automáticamente. Se hace así porque la obligación de conservar el registro sobrevive a la baja del servicio: si se borrara al darse de baja, la empresa incumpliría la ley al día siguiente.

11.3 Si no puedes o no quieres usar la aplicación

No hace falta tener Cronoria instalado para borrar la cuenta: la página cronoria.com/borrar-cuenta hace lo mismo desde cualquier navegador y no pide nada que no tengamos ya. Si prefieres que lo tramite una persona, escribe a privacidad@cronoria.com desde el correo con el que entras, indicando:

1. Que quieres borrar tu cuenta de Cronoria.
2. El nombre de tu empresa, para localizarla.
3. Si quieres antes la copia de tus datos.

Se comprueba que la petición es tuya y se tramita en el plazo del apartado 10: un mes como máximo, normalmente mucho menos. No hay que pagar nada ni justificar el motivo. Se aplican exactamente las mismas reglas de los dos puntos anteriores: lo que se borra, se borra; lo que la ley obliga a conservar, se conserva, y se te dice cuál es cuál.

Si escribes desde otra dirección se te pedirá alguna comprobación adicional. No es burocracia: sin ella, cualquiera podría borrar la cuenta de otra persona.

12. Decisiones automáticas

La aplicación detecta sola dos cosas: que alguien ha salido del perímetro de trabajo y que un teléfono lleva mucho rato quieto durante la jornada. En los dos casos lo único que hace es generar un aviso pendiente de revisión y enseñárselo al administrador.

Cronoria no sanciona a nadie, no descuenta horas y no toma ninguna decisión con efectos jurídicos. Quien decide es una persona de tu empresa, que tiene que valorar el caso, y tú puedes alegar. Si tu empresa usara estos avisos como si fueran una decisión automática, estaría incumpliendo el art. 22 del RGPD, y eso es responsabilidad suya.

13. Menores

Cronoria es un servicio profesional que se contrata entre empresas. No se dirige a menores ni se les ofrece directamente.

14. Seguridad

Contraseñas guardadas con función de derivación (nunca en claro), justificantes cifrados en el servidor, comunicaciones cifradas, control de accesos por rol y por empresa, una sola sesión activa por persona, límites de peticiones, registro de auditoría, copias de seguridad y procedimiento de gestión de incidentes. Si detectas un fallo de seguridad, escribe a seguridad@cronoria.com.

Por prudencia no se publican configuraciones internas concretas.

15. Cambios en esta política

Cuando cambie algo importante se avisará por medios razonables y se subirá la versión del documento, que queda registrada. Arriba, junto al título, está siempre la fecha de la versión vigente.