Contrato de encargo de tratamiento

Última revisión: 27 de octubre de 2026.

Partes y objeto

Este contrato, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018, lo forman la empresa que crea su cuenta en Ejercia y acepta las condiciones (la responsable) y Xiverno Tecnologías y Eventos, S.L., NIF B05814041 (la encargada). Regula el tratamiento de los datos personales de la plantilla de la responsable que la encargada hace para prestar el servicio Ejercia. Se acepta al crear la cuenta y dura lo mismo que el servicio.

Qué se trata

Personas: los trabajadores que la responsable da de alta y las personas a las que da acceso al panel.
Datos: nombre y apellidos, NIF o NIE, email (opcional), jornada pactada y días de trabajo, horas de entrada, pausas y salida, origen del fichaje, correcciones y sus motivos, ausencias (tipo y fechas, sin diagnóstico), firmas mensuales y, solo si la responsable la activa, la ubicación en el momento de fichar redondeada a unos 10 metros.
Finalidad: llevar el registro de jornada (artículo 34.9 del Estatuto de los Trabajadores), gestionar ausencias, calcular horas y facilitar el acceso de la plantilla, sus representantes y la Inspección de Trabajo.
Operaciones: recogida, registro, conservación, consulta, cálculo, comunicación a quien la responsable indique (por ejemplo, la Inspección mediante un enlace de solo lectura) y supresión.

Obligaciones de la encargada

Tratar los datos solo siguiendo las instrucciones documentadas de la responsable, que son las que da al usar Ejercia, y no usarlos para fines propios.
Garantizar la confidencialidad de las personas autorizadas a tratarlos.
Aplicar medidas de seguridad adecuadas (artículo 32 del RGPD): conexiones cifradas, contraseñas y PIN cifrados, control de acceso por perfiles, registro sellado con huellas encadenadas y copias de seguridad.
Ayudar a la responsable a atender los derechos de las personas y a cumplir sus obligaciones de seguridad, evaluaciones de impacto y consultas previas.
Notificar a la responsable, sin dilación indebida y en todo caso en menos de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible.
Al terminar el servicio, devolver a la responsable los datos (el registro descargable) y después suprimirlos, salvo que la ley obligue a conservarlos.
Poner a disposición de la responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso.

Subencargados

La responsable autoriza de forma general a la encargada a recurrir a otros encargados para prestar el servicio, con las mismas obligaciones de protección de datos. Hoy son los siguientes; cualquier cambio se avisará con antelación para que la responsable pueda oponerse:

Vercel Inc. (alojamiento de la aplicación, que se ejecuta en Frankfurt, Alemania).
Upstash Inc. (base de datos, en la Unión Europea).
Resend (envío de correos de la aplicación: invitaciones, avisos y recuperación de contraseña).
Stripe Payments Europe Ltd. (cobro del plan Pro; los datos de la tarjeta los trata directamente Stripe y nunca llegan a Ejercia).

Obligaciones de la responsable

Tener una base legal para el tratamiento, informar a su plantilla (también de la ubicación al fichar, antes de activarla), dar instrucciones lícitas, vigilar el cumplimiento y no introducir en Ejercia datos que no hagan falta para el registro.