Registro de actividades de tratamiento
Versión 2.0 · 15 de agosto de 2026
Documento sin terminar. Faltan por rellenar estos datos del titular: nombre, nif, domicilio, email. Se completan en src/lib/legal.ts.
Registro de las actividades de tratamiento de Tornia, conforme al artículo 30 del Reglamento (UE) 2016/679 (RGPD).
Identificación
- Titular
- [PENDIENTE: nombre y apellidos o razón social]
- NIF / CIF
- [PENDIENTE: NIF / CIF]
- Domicilio
- [PENDIENTE: dirección postal completa]
- Contacto en materia de datos
- [PENDIENTE: correo de contacto]
- Delegado de protección de datos
- No procede: no concurre ninguno de los supuestos del art. 37.1 del RGPD (ni autoridad pública, ni observación habitual a gran escala, ni tratamiento a gran escala de categorías especiales).
Parte A. Como responsable (art. 30.1)
Datos de quienes contratan y administran el servicio: el titular del negocio cliente y quien crea su cuenta. En esta parte es Tornia quien decide para qué se tratan.
| Apartado | Contenido |
|---|---|
| Fines y base jurídica | Alta del negocio, prestación del servicio contratado, soporte, facturación y constancia de la aceptación de las condiciones. Ejecución del contrato (art. 6.1.b) y obligaciones legales contables y fiscales (art. 6.1.c). |
| Categorías de interesados | Personas titulares o administradoras de los negocios clientes. |
| Categorías de datos | Identificativos y de contacto (nombre y correo electrónico), datos del negocio, identificador de la cuenta de acceso, y fecha, versión y autor de la aceptación de las condiciones. No se tratan categorías especiales de datos. |
| Categorías de destinatarios | Los encargados que figuran más abajo. La administración tributaria cuando la ley lo exija. No hay cesiones con fines comerciales. |
| Plazos de supresión | Mientras la cuenta esté activa. Tras la baja, 30 días de gracia y después supresión, salvo lo que deba conservarse por obligación legal o fiscal. |
Parte B. Como encargado (art. 30.2)
Datos de la plantilla de cada negocio cliente. Aquí el responsable es el negocio, y Tornia trata los datos únicamente por cuenta de él y siguiendo sus instrucciones, en los términos del contrato de encargado del tratamiento.
Responsables por cuenta de los que se trata: cada negocio de hostelería dado de alta en la aplicación, identificado en la propia base de datos con su denominación y su cuenta. La relación nominal se facilita a la autoridad de control si la solicita; no se publica aquí, porque publicarla sería publicar la cartera de clientes.
Categorías de tratamiento realizadas por cuenta de cada responsable:
| Categoría de tratamiento | Datos que abarca |
|---|---|
| Gestión de la plantilla | Nombre, correo electrónico si se le da acceso a la aplicación, puesto y capacidades, fecha de alta y de fin de contrato, horas de contrato, tipo de jornada y estado de alta o baja. |
| Documento de identidad | NIF o NIE, en tabla separada y accesible solo a quien gestiona el negocio, para identificar a la persona ante la gestoría y ante una inspección. |
| Retribución | Salario por hora, en tabla separada y visible solo para el jefe y, si este lo autoriza expresamente, para el administrador. |
| Organización del trabajo | Turnos, disponibilidad declarada, indisponibilidades temporales, horario fijo pactado, tareas asignadas y solicitudes de cambio, libranza o vacaciones. |
| Registro de jornada | Entradas y salidas con fecha y hora, sus correcciones con autor y motivo, y el código de fichaje del terminal del local. No se registra ubicación ni dato biométrico alguno. |
| Ausencias | Vacaciones, asuntos propios, otros permisos y baja médica. De la baja médica se registran únicamente el hecho y las fechas: ningún diagnóstico ni dato de salud. |
| Avisos | Notificaciones dentro de la aplicación y, en su caso, por correo electrónico, sobre horarios publicados, solicitudes e incidencias. |
Los plazos de conservación los fija cada responsable. Con carácter general se aplican los de la política de privacidad, y el registro de jornada se conserva cuatro años por exigencia del art. 34.9 del Estatuto de los Trabajadores.
Subencargados y transferencias internacionales
| Proveedor | Servicio | Ubicación |
|---|---|---|
| Supabase Inc. | Base de datos, autenticación y copias de seguridad | Irlanda (AWS eu-west-1), Unión Europea |
| Vercel Inc. | Alojamiento y entrega de la aplicación web | Irlanda (dub1), Unión Europea |
| Resend (Plus Five Five, Inc.) | Envío de avisos por correo electrónico | Estados Unidos, con cláusulas contractuales tipo de la UE |
Los proveedores que alojan la base de datos y la aplicación tratan los datos dentro de la Unión Europea, de modo que respecto de ellos no hay transferencia internacional. El envío de correo se presta desde Estados Unidos al amparo de las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46.2.c del RGPD); por ese canal solo viajan la dirección de correo y el texto del aviso.
Medidas de seguridad (art. 32)
- Cifrado en tránsito con TLS en todas las conexiones, y cifrado en reposo en el almacenamiento del proveedor de base de datos.
- La separación entre negocios la impone la propia base de datos, no el código de la aplicación: cada consulta queda limitada al negocio de quien la hace.
- Los datos más sensibles viven en tablas propias con acceso restringido: documento de identidad, salarios y códigos de fichaje.
- Los códigos de fichaje se guardan convertidos en un resumen criptográfico irreversible, ilegible incluso para quien administra el sistema, y con límite de intentos para frenar los ataques por prueba y error.
- La constancia de la aceptación de las condiciones no se puede reescribir desde la aplicación, ni siquiera por el titular del negocio.
- Copias de seguridad: el plan contratado hoy con el proveedor de base de datos no incluye copias automáticas, así que cada negocio debe descargarse periódicamente sus datos desde la propia aplicación (recomendamos guardar el registro de jornada de cada mes).
- El detalle está en la página de seguridad, incluida la lista de lo que todavía no se hace.
Actualización
Este registro se revisa cuando cambia una categoría de tratamiento, un subencargado o una medida de seguridad, y en todo caso al publicar una versión nueva de los documentos legales. La versión y la fecha son las que figuran al principio de esta página.