Seguridad y privacidad

TimeTracking lo usan organizaciones: empleadores, ETT y sus clientes. Para las horas, asignaciones y aprobaciones que su organización almacena en TimeTracking, su organización es la responsable del tratamiento y TimeTracking es el encargado del tratamiento. Tratamos esos datos solo siguiendo sus instrucciones documentadas, y los ajustes que elige en la app, como si la ubicación está activada y durante cuánto tiempo se conserva, cuentan como esas instrucciones.

Nuestro contrato de encargo del tratamiento (DPA) forma parte de las condiciones y se acepta con ellas al registrarse. Cubre la confidencialidad, las medidas de seguridad, la notificación de brechas, los subencargados, la ayuda con las solicitudes de los interesados, las auditorías y la supresión al final del contrato. Para los datos de cuenta, facturación y sitio web, TimeTracking es el responsable del tratamiento, tal como se describe en la política de privacidad.

• Contrato de encargo del tratamiento
• Política de privacidad
• Condiciones del servicio

Todas las conexiones, entre navegador, app móvil, API y base de datos, usan TLS 1.2 o superior, con HSTS en timetracking.tech. En reposo, la base de datos, el almacenamiento de archivos y las copias de seguridad usan cifrado de disco AES-256 con claves gestionadas por el proveedor.

Los enlaces mágicos para aprobaciones son tokens aleatorios de 256 bits. Solo almacenamos un hash de cada token; los enlaces caducan a los 14 días, se pueden revocar y son de un solo uso para aprobar.

Cada cambio en hojas de horas, asignaciones, periodos, aprobaciones, exportaciones y conflictos se registra en un registro de auditoría de solo anexado: quién cambió qué, cuándo, desde qué origen, con el valor anterior y el nuevo. El registro de auditoría no se puede editar ni eliminar. Los periodos bloqueados no se pueden modificar, solo corregir con una nueva línea de referencia, y las exportaciones llevan un hash de contenido para poder reproducirlas.

Cuando un cliente aprueba horas, abre un enlace mágico seguro y firma con un código de un solo uso enviado a su email. La aprobación registra el nombre del firmante, su cargo, la decisión, la hora, la dirección IP y el navegador. Se trata de una firma electrónica simple según el Reglamento eIDAS, y ofrece a ambas partes un registro claro de quién aceptó qué horas.

• Aprobación por el cliente

TimeTracking usa IA (Anthropic Claude) para funciones como leer las hojas de horas que envían los clientes por email, señalar anomalías como horas imposibles o duplicados, y clasificar registros. El resultado de la IA es siempre una sugerencia. Las extracciones con poca confianza pasan a revisión humana, y la IA no puede aprobar, enviar ni eliminar nada. Las aprobaciones, las exportaciones y las decisiones de nómina las toman personas.

El email entrante se trata como datos: el modelo solo puede rellenar un esquema de extracción fijo y no puede desencadenar acciones. Los datos de los clientes no se usan para entrenar modelos de IA. Está previsto ejecutar el modelo a través de AWS Bedrock en la UE (Fráncfort); hasta que esté activo, la lista de subencargados muestra el estado actual. Puede desactivar las funciones de IA para su organización.

• Lector de hojas de horas con IA

Si cree haber encontrado una vulnerabilidad de seguridad, comuníquela a nuestra dirección de seguridad. Incluya una descripción del problema, la URL o el componente afectado, los pasos para reproducirlo, el impacto previsto y cómo podemos contactarle. Las capturas de pantalla o una breve prueba de concepto ayudan.

Pedimos una divulgación coordinada: denos un tiempo razonable para investigar y corregir el problema antes de compartirlo públicamente. No acceda, modifique ni elimine datos que no sean suyos, no degrade el servicio para los demás y deje de hacer pruebas en cuanto haya demostrado el problema.

• Contacto