Política de privacidad

El responsable del tratamiento de los datos de tu cuenta es quien presta el servicio, identificado en Quiénes somos, al final de esta página.

Cuando una empresa usa PainelObra para gestionar a su equipo, es esa empresa la responsable de los datos que registra sobre sus trabajadores y clientes: horas, ubicación de los fichajes, partes, fotos. Nosotros actuamos como encargado del tratamiento: tratamos esos datos solo para prestar el servicio, según las instrucciones de la empresa y las reglas de la sección «Tratamiento de datos por cuenta de la empresa» de los Términos de uso.

Si trabajas en una empresa que usa PainelObra y tienes una pregunta sobre tus datos laborales, habla primero con tu empresa: es ella quien decide sobre ellos. Nosotros la ayudamos a responder.

No hemos designado un delegado de protección de datos, porque no estamos obligados a hacerlo. Cualquier solicitud sobre privacidad va al contacto indicado al final de esta página.

• Cuenta: correo, contraseña (guardada cifrada, nunca en texto), nombre, teléfono, país e idioma. Si entras con tu cuenta de Google, recibimos de Google el nombre, el correo y la imagen de perfil de esa cuenta.
• Empresa: nombre, código de adhesión y, si los rellenas, dirección, número fiscal, teléfono, correo y logotipo para el membrete de los partes.
• Trabajo: obras (nombre, cliente, localidad, presupuesto, notas), partes diarios, pendientes e incidencias, materiales, costes, cronograma, registros de seguridad y documentos.
• Fotos: las imágenes y los pies de foto, con el nivel de visibilidad que les des (equipo, cliente o gestión).
• Certificaciones: los archivos Excel que la empresa crea o sube en cada obra, con las versiones anteriores de cada uno.
• Fichaje: hora de entrada y de salida, obra y coordenadas GPS de cada fichaje; ver la sección siguiente.
• Remuneración: el precio por hora que la empresa defina para cada miembro. Solo el propietario y los gestores lo ven.
• Flota: vehículos, matrículas, kilómetros, fechas de inspección, seguro y revisión, repostajes y conductor asignado.
• Clientes de las obras: el correo de las personas que la empresa invita al portal del cliente, donde ven las fotos que la empresa marque para ellas.
• Pago: los datos de facturación los trata Stripe. Solo recibimos el estado de la suscripción y los últimos dígitos de la tarjeta; nunca el número completo.
• Registro de auditoría: quién hizo qué y cuándo, dentro de la empresa.
• Técnicos: dirección IP y datos de la petición en los registros del servidor, guardados poco tiempo por seguridad y diagnóstico.

Cuando alguien ficha, guardamos las coordenadas de ese momento y la distancia a la obra. Sirve para una sola cosa: mostrar a quien gestiona si el fichaje se hizo en la obra o fuera de ella, para poder validarlo.

Lo que no hacemos: no seguimos a nadie en tiempo real, no guardamos recorridos y no recogemos la ubicación fuera del momento del fichaje ni con la aplicación cerrada.

La ubicación la recoge el móvil solo con el permiso del sistema operativo, que puedes retirar en cualquier momento en los ajustes del dispositivo. Sin él, el fichaje sigue funcionando y queda marcado como sin ubicación.

Para la empresa que usa este registro: vigilar a los trabajadores tiene normas propias en cada país. En Portugal hay que informar previamente a los trabajadores y respetar los límites del Código del Trabajo; en Brasil se aplican la CLT y la LGPD. Cumplir esas normas es responsabilidad de la empresa.

• Prestar el servicio: gestionar la cuenta, guardar y mostrar el trabajo del equipo, sincronizar entre el móvil y la web. Base: ejecución del contrato contigo.
• Cobrar: tramitar suscripciones y emitir facturas. Base: ejecución del contrato y obligaciones legales de facturación.
• Seguridad y prevención de abusos: registros técnicos, límites de uso y registro de auditoría. Base: interés legítimo en mantener el servicio seguro y disponible.
• Comunicaciones del servicio: avisos sobre la cuenta, la suscripción y los cambios en estos documentos. Base: ejecución del contrato. No enviamos publicidad sin tu consentimiento.
• Entrar con Google: solo si eliges esa opción. Base: tu solicitud, en el marco del contrato.

No tomamos decisiones automatizadas con efectos jurídicos sobre nadie ni elaboramos perfiles. No vendemos datos personales, no los compartimos para publicidad y no los usamos para entrenar modelos de inteligencia artificial.

Usamos un número reducido de proveedores, que tratan datos por nuestra cuenta, cada uno con su función y obligado por contrato a protegerlos:

• Supabase — base de datos, autenticación y almacenamiento de archivos. Los datos se guardan en servidores de la Unión Europea (Fráncfort, Alemania).
• Cloudflare — alojamiento de la web, red de distribución y protección contra ataques.
• Stripe — procesamiento de pagos y facturación.
• Google — envío de los correos del servicio (confirmación de cuenta y recuperación de contraseña) y, si la usas, la opción de entrar con una cuenta de Google.

Cuando añadamos o cambiemos un proveedor, actualizaremos esta lista; si eres una empresa cliente, te avisaremos antes para que puedas oponerte.

No compartimos tus datos con nadie más, salvo que una autoridad competente nos obligue legalmente, y en ese caso solo lo exigido.

La base de datos y las fotos se quedan en la Unión Europea. Cloudflare, Stripe y Google son empresas con sede en Estados Unidos y pueden tratar algunos datos fuera de la UE, por ejemplo para encaminar una petición o entregar un correo.

Esas transferencias están protegidas por el Marco de Privacidad de Datos UE-EE. UU., al que se han adherido estas empresas, y por las cláusulas contractuales tipo aprobadas por la Comisión Europea.

• Cuenta y contenidos: mientras exista la cuenta.
• Cuando borras la cuenta: borramos tus datos personales y tus fotos. Lo que pertenece a la empresa y creaste tú (un parte de obra, por ejemplo) puede quedarse en la empresa, sin identificarte, porque es registro de trabajo suyo.
• Cuando una empresa deja de pagar: pasa al plan gratuito y los datos se quedan donde están, en modo lectura. No se borra nada por dejar de pagar.
• Facturación: los registros de facturación se conservan durante el plazo que exige la ley fiscal; en Portugal, diez años.
• Registros técnicos: solo el tiempo necesario para la seguridad y el diagnóstico.
• Copias de seguridad: cuando existen, se sustituyen por ciclos; un dato borrado deja de figurar en ellas cuando se sustituyen.

Tienes derecho a acceder a tus datos, rectificarlos, suprimirlos, limitar u oponerte a su tratamiento, recibirlos en un formato portable y retirar un consentimiento que hayas dado, sin afectar a lo ya hecho sobre esa base.

Dos de ellos los ejerces tú solo, ahora, sin pedir nada a nadie: en Privacidad y datos hay un botón para exportarlo todo en un archivo JSON y otro para borrar la cuenta.

Para los demás, escríbenos al contacto del final de esta página. Respondemos en el plazo de un mes, prorrogable en los casos que permite la ley.

Si estás en Brasil, tienes también los derechos del artículo 18 de la LGPD, incluida la confirmación de que tratamos tus datos y la información sobre las entidades con quienes los compartimos.

Si crees que hemos tratado tus datos indebidamente, puedes reclamar ante la autoridad de control: en Portugal la CNPD, en Brasil la ANPD.

Usamos solo lo estrictamente necesario para que la web funcione:

• Sesión: cookies que mantienen la sesión iniciada.
• Idioma: una cookie que recuerda el idioma que elegiste.
• Preferencias: el almacenamiento local del navegador recuerda el tema claro u oscuro, los avisos que ya descartaste y tu recorrido reciente dentro del panel, para que el botón Volver sepa adónde llevarte.
• Pagos: en las páginas de pago, que son de Stripe, Stripe usa sus propias cookies para prevenir el fraude.

No usamos cookies publicitarias ni de seguimiento entre sitios, y no hay aviso de consentimiento porque no hay nada que lo necesite.

El acceso a los datos se decide en el servidor, fila a fila, mediante las reglas de la base de datos, y no solo por lo que muestra la pantalla. Las fotos y las certificaciones se guardan en un almacenamiento privado y se sirven mediante enlaces firmados y temporales.

Todo el tráfico va cifrado en tránsito y los datos están cifrados en reposo. Las contraseñas se guardan con algoritmos diseñados para ello y nunca podemos leerlas.

Si se produce una violación de datos que ponga en riesgo tus derechos, lo notificamos a la autoridad de control en un plazo de 72 horas y te avisamos sin dilación indebida. Si eres una empresa cliente, te avisamos a ti para que puedas cumplir tus propias obligaciones.

El servicio no está dirigido a menores de 16 años y no recogemos conscientemente datos de menores. Si sabemos de una cuenta en esas condiciones, la borramos.

Cuando esta política cambie de forma relevante, avisaremos por correo o dentro de la aplicación con al menos 30 días de antelación. La versión vigente y la fecha en que entró en vigor se indican siempre al principio de esta página.