1. Objeto

Con este aviso de protección de datos, le informamos sobre el tratamiento que hacemos de sus datos personales si usted
• utilizar la aplicación para empleados Staffice (“App”), o
• visitar la interfaz web en aap.staffice.app de la interfaz web, por ejemplo, para utilizar funciones de la aplicación en el navegador o para iniciar sesión como administrador o editor en el back-end.

También le explicamos los derechos que le asisten en virtud del Reglamento General de Protección de Datos (RGPD) de la UE.

En lo sucesivo, la aplicación para empleados y la interfaz web se denominarán conjuntamente “MAPP”.

Además, se aplica la información general sobre protección de datos para empleados de su respectiva empresa.

2. Persona responsable y responsable de la protección de datos

El responsable del tratamiento somos nosotros, ATINO GmbH, Springorumallee 2, 44795 Bochum, Deutschland, info@atino.de, 02345200890

Datos de contacto del responsable de la protección de datos: René Rautenberg, ATINO GmbH, Springorumallee 2, 44795 Bochum, Deutschland

3. Cuenta de usuario y datos maestros

Para poder utilizar MAPP, necesita una cuenta de usuario. Puede crearlo usted mismo o podemos crearlo nosotros.

Los siguientes datos maestros se asignan a la cuenta de usuario:

• Datos de acceso (por ejemplo, correo electrónico y contraseña)
• Datos de contacto (por ejemplo, nombre, dirección de correo electrónico profesional, número de teléfono)
• Datos organizativos (por ejemplo, empresa, departamento, grupos, función, supervisor)
• Funciones y derechos (por ejemplo, derechos de lectura y edición de entradas)

No es necesario su número de teléfono móvil para utilizar MAPP.

También podemos utilizar su dirección de correo electrónico en el marco de MAPP para correos electrónicos relacionados con el sistema, por ejemplo, notificación de avisos de protección de datos modificados o notificaciones de flujo de trabajo (por ejemplo, autorizaciones concedidas). Como parte del proceso de registro, es posible que reciba un correo electrónico en la dirección de correo electrónico de su empresa pidiéndole que haga clic en un enlace. Esto es para asegurarse de que la dirección de correo electrónico se le asigna a usted.

Por lo general, almacenamos los datos maestros en MAPP durante la vigencia de su cuenta de usuario; esto corresponde al período de su empleo con o para nosotros. Sus datos también se eliminarán si usted o nosotros eliminamos su cuenta de usuario, por ejemplo, si interrumpimos la aplicación para empleados en su conjunto o si usted decide que ya no desea utilizar MAPP. Para eliminar su cuenta de usuario, póngase en contacto con nosotros (info@atino.de).

Dentro de MAPP, sus datos de contacto y de organización son generalmente visibles para todos los demás usuarios de MAPP de nuestra empresa.

El suministro de sus datos para la cuenta de usuario es opcional. Sin embargo, no puede utilizar MAPP sin sus datos. No hay obligación de utilizar MAPP.

4. Funciones individuales de la aplicación

A continuación le explicamos cómo tratamos sus datos cuando utiliza las distintas funciones de MAPP. También puede describir funciones que (aún) no están a su disposición.

4.1. Chat

Puedes utilizar la función de chat para enviar mensajes a otros empleados (chat individual) y a grupos (chat de grupo). El chat está disponible para todos los usuarios de MAPP de nuestra empresa.

Además de los propios mensajes de chat, también se guardan la fecha/hora en que se enviaron y el estado de lectura del mensaje. El remitente de un mensaje en el chat individual puede ver sí —pero no cuándo— usted como destinatario ha leído un mensaje. También puedes subir una foto de perfil que podrán ver todos los usuarios del chat.

Utilizamos los datos para ofrecerle la función de chat. El contenido del chat es una comunicación comercial (similar a un correo electrónico) a la que se aplican nuestras normas generales de comunicación comercial, a menos que se indique lo contrario.

Por lo general, los mensajes se conservan aunque se elimine su cuenta de usuario, ya que los mensajes siguen estando en los buzones de los destinatarios (de forma similar a un correo electrónico). No es posible borrar mensajes individuales después de haberlos enviado.

Los mensajes de chat son eliminados rutinariamente por nosotros después de un cierto período de tiempo. Véase también el apartado 9.4.

Solo los usuarios que participan directamente en el chat tienen acceso a los mensajes. Los mensajes de los chats individuales se cifran de extremo a extremo y tampoco podemos acceder a su contenido. Los mensajes del chat de grupo se cifran durante el transporte, pero están disponibles en el servidor sin cifrar y sólo pueden verlos los administradores.

4.2. Encuestas

Si participa en una encuesta, sus respuestas no se asignarán a su cuenta de usuario (encuesta anónima). Solo contamos el número de respuestas por pregunta o el texto de respuesta para los campos de texto libre para determinar el resultado agregado de la encuesta. Estos datos no se añaden a su cuenta de usuario. Sólo registramos «que» ha participado en la encuesta para evitar votaciones múltiples. Cuando finalice la encuesta, también se borrará la información de que ha participado en ella.

Una vez que haya enviado su respuesta, ya no podrá borrarla ni modificarla.
Salvo que se indique lo contrario, la participación en las encuestas es voluntaria.

Los detalles sobre la protección de datos, como la finalidad del uso, los destinatarios y el período de almacenamiento, pueden especificarse en la información adicional sobre protección de datos para la encuesta.

4.3. Solicitudes y notificaciones (por ejemplo, partes de enfermedad, solicitudes de vacaciones)

Si utiliza MAPP para enviarnos solicitudes o notificaciones relativas a su relación laboral (por ejemplo, partes de enfermedad o solicitudes de vacaciones) utilizando funciones especialmente previstas a tal efecto, recibiremos los datos o contenidos que introduzca, así como la fecha y hora de envío. Un empleado responsable (por ejemplo, del departamento de RR. HH.) recibe los datos de nuestra parte. En este sentido, la MAPP no es más que un canal de comunicación adicional.
Si envías fotos en tus aplicaciones y notificaciones que fueron tomadas dentro de la app de empleado, las fotos serán borradas inmediatamente después de enviarlas. Si seleccionas fotos de la galería de tu smartphone, la imagen permanecerá en tu dispositivo.

Los fines, el período de almacenamiento, la base jurídica y los destinatarios también se rigen por nuestra información general sobre protección de datos para empleados.

4.4. Contribuciones de contenido (por ejemplo, en la intranet o en el tablón de anuncios)

Si publica contenido en MAPP (por ejemplo, en la intranet o en el tablón de anuncios), ya sea en su función de usuario, editor o administrador, el contenido, su nombre y datos de contacto, así como la fecha y hora de la publicación, son visibles en general para todos los usuarios de MAPP de nuestra empresa.

Las contribuciones permanecen almacenadas hasta que usted o un empleado responsable de la redacción las eliminan. En caso de supresión, se eliminará el propio mensaje o todos los datos identificativos (propiedad del autor). En general, las contribuciones son visibles para todos los usuarios del MAPP de nuestra empresa.

5. Notificaciones en dispositivos móviles (notificaciones push)

Podemos enviarle notificaciones push a su dispositivo final si funciona con el sistema operativo iOS o Android. Las notificaciones push son mensajes que se muestran en tu dispositivo final, aunque no estés utilizando la aplicación para empleados. Por tanto, es una función del proveedor del sistema operativo y no de la propia aplicación para empleados.

Puede personalizar la recepción de notificaciones push en el menú de configuración de la aplicación para empleados. También puede desactivar el envío de nuestras notificaciones push en los ajustes del sistema operativo de su dispositivo móvil.

Utilizamos notificaciones push, por ejemplo, para informarle sobre mensajes de chat entrantes. MAPP también puede utilizarse sin la función de empuje.

Para la entrega de notificaciones push, debemos transferir el contenido de las notificaciones a un servicio técnico de su proveedor de sistema operativo. En el caso de los dispositivos con un sistema operativo Android, se trata de Google Ireland Limited Gordon House, Barrow Street Dublin 4, Irlanda y tiene lugar como parte del servicio “Firebase Cloud Messaging”; para iOS, se trata de Apple Inc., One Apple Park Way, Cupertino, California, EE. UU., 95014. Su dispositivo está técnicamente direccionado a través de un número de identificación seudonimizado que nos proporciona su proveedor de sistema operativo, que solo se aplica a nuestra aplicación y a su dispositivo específico. No transmitimos ninguna información que le identifique directamente, como su nombre o dirección de correo electrónico, al proveedor del sistema operativo.

La base para la transferencia de datos a los EE. UU., como tercer país inseguro en el sentido del GDPR, es la provisión de la funcionalidad push expresamente solicitada por usted, Art. 49 (1) b) GDPR (cumplimiento de contrato).

6. Tratamiento de datos con fines de análisis

6.1. Archivos de registro del servidor (interfaz web)

En principio, no guardamos ningún archivo de registro del servidor. Solo las activamos cuando es necesario en caso de resolución de problemas. En este caso se aplica lo siguiente:

Cuando accede a una página concreta de la interfaz web, nuestros servidores web registran en un archivo de registro la dirección (URL) de la página a la que se ha accedido, la fecha y hora del acceso, cualquier mensaje de error y, si procede, el sistema operativo y el software de navegación de su dispositivo final, así como el sitio web desde el que nos visita. También almacenamos la dirección IP de su ordenador en nuestros archivos de registro.

Los datos del archivo de registro son utilizados por nosotros exclusivamente para garantizar la funcionalidad de nuestros servicios (por ejemplo, para analizar errores, garantizar la seguridad del sistema y proteger contra el uso indebido) y se eliminan una vez resuelto el problema, a más tardar al cabo de 7 días, o se acortan de tal manera que ya no es posible establecer una referencia personal.

En la medida en que los datos de los archivos de registro se consideren datos personales en casos concretos, la base jurídica para el tratamiento de los datos de los archivos de registro es nuestro interés legítimo (análisis de errores, garantía de la seguridad del sistema y protección contra el uso indebido).

6.2. Estadísticas de uso

Recopilamos estadísticas de uso anónimas sobre qué funciones y páginas se utilizan y con qué frecuencia. Son simples contadores. No se asigna a su dispositivo ni a su cuenta de usuario ni a su nombre y no se crean perfiles seudonimizados. No se utilizan proveedores de servicios externos para recopilar estadísticas de uso.

7. Autorizaciones del sistema (apps)

La aplicación de empleado requiere las siguientes autorizaciones del sistema en su dispositivo final y las utiliza de la siguiente manera:

• Cámara: para hacer las fotos que tome en la aplicación para empleados y nos envíe (por ejemplo, solicitud de vacaciones)

• Memoria: para enviar fotos que haya guardado en su dispositivo final (por ejemplo, la foto de la aplicación de vacaciones de su galería)

• Acceso a Internet: para comunicarse con nuestros servidores, por ejemplo, para recuperar contenidos o enviar mensajes de chat

8. Cookies (interfaz web)

Las cookies son pequeños archivos de texto que se almacenan en el navegador de su dispositivo final y que se nos transmiten cada vez que visita nuestro sitio web.

Cuando inicia sesión en la interfaz web con su cuenta de usuario, nuestro servidor coloca una cookie en su ordenador: contiene un número de código aleatorio y es técnicamente necesaria porque sirve para reconocerle como usuario conectado. Esta cookie se elimina al cerrar el navegador (la denominada “cookie de sesión”).

9. Información adicional sobre la obligación de facilitar datos, la base jurídica, los destinatarios de los datos y el período de conservación

Salvo que se indique lo contrario en el presente aviso de protección de datos:

9.1. Obligación de poner a disposición

No está obligado a facilitar datos. La información obligatoria en los formularios de entrada se marca como tal, por ejemplo, con un asterisco (*).

9.2. Base jurídica

MAPP es una herramienta de trabajo. El suministro por nuestra parte es voluntario, al igual que el uso por su parte. En este sentido, le proporcionamos la herramienta de trabajo para facilitar el cumplimiento de sus derechos y obligaciones en virtud de su contrato laboral. La base jurídica a este respecto es la ejecución de la relación laboral (ejecución del contrato, Art. 6 párrafo 1 lit. a GDPR, Sección 26 BDSG).

En la medida en que MAPP no se utiliza en el contexto directo de un contrato de trabajo, el suministro de datos tiene lugar en el marco de la ponderación de intereses y sirve para salvaguardar nuestro interés legítimo y el suyo en una plataforma de comunicación moderna que esté disponible en dispositivos móviles “en cualquier lugar y en cualquier momento” para mejorar y facilitar el intercambio de información entre nuestros empleados.

9.3. Destinatarios y exportación de datos

Dentro de la empresa responsable de la protección de datos, sus datos son recibidos por los departamentos pertinentes, por ejemplo, el departamento de RR. HH..

Para el funcionamiento técnico del servidor para la administración de notificaciones push y para la provisión de la interfaz web, podemos utilizar proveedores de servicios técnicos dentro de la UE vinculados por instrucciones en el marco del denominado procesamiento de pedidos, en particular para el funcionamiento y mantenimiento del servidor en el que se almacenan sus datos y se proporciona la interfaz web.

Actualmente, utilizamos Atino GmbH para este fin, que a su vez utiliza el proveedor de alojamiento Host Europe.

A menos que se indique lo contrario en este aviso de protección de datos, no transferimos sus datos a países fuera de la UE y del EEE para los que la Comisión de la UE no haya determinado que garantizan un nivel adecuado de protección de datos en comparación con la UE (no se transfieren a los denominados “terceros países inseguros”).

9.4. Duración del almacenamiento

Medimos el periodo de almacenamiento de sus datos en función de los fines específicos para los que los utilizamos. Además, estamos sujetos en parte a obligaciones legales de conservación y documentación, derivadas en particular del Código de Comercio alemán (HGB) y del Código Fiscal alemán (AO). Por último, el plazo de conservación también se evalúa en función de los plazos de prescripción legales, que suelen ser de tres años de conformidad con los artículos 195 y siguientes del Código Civil alemán (BGB), por ejemplo.

En el dispositivo en el que haya instalado la aplicación para empleados, los datos guardados por la aplicación para empleados se eliminarán si
• desinstalas la aplicación
• su cuenta de usuario finaliza o es eliminada.

En la medida en que sus datos se almacenan en nuestro servidor en el back-end, se aplican las explicaciones de este aviso de protección de datos.

10. Sus derechos GDPR

Por ley, estamos obligados a informarle de sus derechos en virtud del GDPR. A continuación explicamos estos derechos. Estos derechos le asisten en las condiciones de las respectivas normativas de protección de datos. La siguiente descripción no le otorga ningún otro derecho.

10.1. Información

Tiene derecho a solicitarnos confirmación sobre si procesamos datos personales que le conciernen; en tal caso, tiene derecho a información sobre estos datos personales y a la información detallada en el Art. 15 GDPR.

10.2. Corrección

Tiene derecho a obtener de nosotros sin demora indebida la rectificación de los datos personales inexactos que le conciernan y, en su caso, a completar los datos personales incompletos, art. 16 del RGPD.

10.3. Borrar

Tiene derecho a exigir que suprimamos inmediatamente los datos personales que le conciernen si se aplica uno de los motivos enumerados en el artículo 17 del RGPD, por ejemplo, si los datos ya no son necesarios para los fines perseguidos.

10.4. Restricción del tratamiento

Tiene derecho a exigir que restrinjamos el tratamiento si se cumple una de las condiciones enumeradas en el art. 18 del RGPD, por ejemplo, si se ha opuesto al tratamiento, mientras dure nuestra revisión.

10.5. Portabilidad de los datos

En determinadas condiciones, tiene derecho a recibir, transmitir y, cuando sea técnicamente posible, hacer que se transmitan los datos que le conciernan y que nos haya facilitado en un formato estructurado, de uso común y lectura mecánica, art. 20 del RGPD.

10.6. Denuncia

Independientemente de cualquier otro recurso administrativo o judicial, tiene derecho a presentar una reclamación ante una autoridad de control si cree que el tratamiento de sus datos personales por nuestra parte infringe el GDPR, art. 77 GDPR. Puede ejercer este derecho ante una autoridad de control del Estado, miembro de su residencia habitual, lugar de trabajo o lugar de la presunta infracción. Los datos de contacto de las autoridades supervisoras en Alemania pueden consultarse en https://www.bfdi.bund.de/DE/Infothek/Anschriften_Links/anschriften_links-node.html.

10.7. Revocación (del consentimiento)

Si nos ha dado su consentimiento para la protección de datos, tiene derecho a revocarlo en cualquier momento con efectos para el futuro. Esto también se aplica a los consentimientos de protección de datos que nos dio antes de la entrada en vigor del GDPR.

10.8. Derecho de anulación

Además, tiene derecho a oponerse, que se explica al final de este documento.

11 Anexo: Explicación de términos

11.1. Términos

A continuación explicamos algunos de los términos jurídicos y técnicos utilizados en este aviso de protección de datos.
a) Procesador:
Los procesadores son proveedores de servicios que procesan sus datos para un fin específico y de acuerdo con nuestras instrucciones.
b) Datos personales:
Los datos personales (datos) son cualquier información relativa a una persona física identificada o identificable.
c) Tratamiento:
El tratamiento de datos personales es cualquier proceso relacionado con los datos personales, por ejemplo, la recogida a través de un formulario en línea, el almacenamiento en nuestros servidores o el uso para establecer contacto.
d) Dirección IP:
La dirección IP es un número que su proveedor de Internet asigna a su dispositivo final de forma temporal o permanente. Con una dirección IP completa es posible, por ejemplo, identificar al propietario de la conexión en casos concretos utilizando información adicional de su proveedor de acceso a Internet.

11.2. Base jurídica

El RGPD solo permite el tratamiento de datos personales si existe una base jurídica. Estamos legalmente obligados a informarle de la base jurídica para el tratamiento de sus datos.

A continuación explicamos la terminología utilizada.

Base jurídica	Designación	Explicación
Art. 6 párr. 1 lit. a) GDPR	Consentimiento	Esta base jurídica permite el tratamiento siempre y cuando usted nos haya dado su consentimiento.
Art. 6 párr. 1 lit. b) GDPR	Cumplimiento de contratos	Esta base jurídica permite el tratamiento en la medida en que sea necesario para el cumplimiento de un contrato con usted, incluidas las medidas precontractuales (por ejemplo, la ejecución del contrato de trabajo).
Artículo 6, apartado 1, letra f) del RGPD	Intereses legítimos	De acuerdo con esta base jurídica, estamos autorizados a tratar los datos en la medida en que sea necesario para proteger nuestros intereses legítimos (o los de terceros) y sus intereses en conflicto no prevalezcan sobre los mismos. A menos que se indique lo contrario, nuestros intereses residen en perseguir los fines de tratamiento indicados.

Derecho de oposición

También tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento de los datos personales que le conciernen, siempre que basemos el tratamiento en las letras e) o f) del apartado 1 del artículo 6 del RGPD. En ese caso, dejaremos de tratar estos datos a menos que podamos demostrar motivos legítimos imperiosos para el tratamiento que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sirva para el establecimiento, ejercicio o defensa de reclamaciones legales (Art. 21 GDPR).

Si utilizamos sus datos personales para publicidad directa (por ejemplo, por correo electrónico), tiene derecho a oponerse en cualquier momento a que los utilicemos para estos fines. Esto también se aplica a la elaboración de perfiles en la medida en que esté asociada a la publicidad directa. Por elaboración de perfiles se entiende el uso de datos personales para analizar o predecir determinados aspectos personales (por ejemplo, intereses).

Estado: 1 de enero de 2021