Dónde están los datos de tu plantilla y cómo los cuidamos

Quién trata los datos

Tu empresa es la responsable; nosotros, el encargado

Cada empresa cliente decide qué datos de su plantilla suben al portal y para qué: es la responsable del tratamiento. Portal del Empleado (Digital Brains Marketing LLC) trata esos datos por cuenta de la empresa como encargado del tratamiento (art. 28 RGPD), siguiendo sus instrucciones y las condiciones del servicio. OVH SAS, que aloja los servidores, actúa como subencargado.

Los datos se alojan y se tratan en servidores de la Unión Europea. Digital Brains Marketing LLC, titular del servicio, es una sociedad constituida en Estados Unidos; el tratamiento por cuenta de cada empresa cliente se realiza en la UE conforme al RGPD y a las condiciones de encargo del servicio.

Infraestructura

• Alojamiento: servidor propio en el centro de datos de OVH en Estrasburgo (Francia), con contenedores separados para la web, la aplicación, la base de datos y los archivos.
• Cifrado en tránsito: TLS 1.2 y 1.3 con certificados Let's Encrypt renovados automáticamente; HSTS activo; cabeceras X-Content-Type-Options, X-Frame-Options y Referrer-Policy; política de contenido estricta (CSP) en el portal.
• Correo: los avisos salen por el servidor SMTP de OVH desde notificaciones@portalempleado.org.
• Copias de seguridad: copia diaria completa del servidor gestionada por OVH. Una restauración devuelve el servidor entero al estado de la última copia, así que se podrían perder hasta 24 horas de cambios. No existe todavía una copia propia por tabla o por empresa.

Acceso e identidad

• Las contraseñas se guardan con hash (bcrypt); nadie, ni nosotros, puede leerlas.
• Administración y RRHH usan siempre un segundo factor: aplicación de códigos (TOTP) o código por correo. Cualquier persona puede entrar con huella o Face ID (llaves de acceso WebAuthn), que sustituye a la contraseña y al código en ese acceso.
• Sesiones de 48 horas para quien gestiona y de 90 días, renovadas con el uso, para la plantilla; cada petición contrasta el rol del token con la ficha, y un administrador puede cerrar las sesiones de una persona al momento (móvil perdido).
• La clave del kiosko de fichaje se guarda con hash y una clave secreta del servidor; cinco claves erróneas bloquean unos minutos a esa persona, y probar números al azar bloquea la tablet.
• El alta de una empresa exige verificar el correo y pasa defensas anti-bot; el CIF evita empresas duplicadas.
• Las claves del portal (sesiones, cifrado del doble factor, base de datos y almacenamiento) se rotaron en agosto de 2026 y no viven en el código.

Separación de datos y trazabilidad

• Cada consulta se limita a la empresa del usuario (o a su grupo de empresas, si lo hay). Un empleado ve solo sus datos; una gestoría, solo las nóminas y documentos de los clientes que la han vinculado.
• Registro de auditoría con fecha, usuario, IP y navegador: accesos, cambios de fichas, subidas y firmas de nóminas, envíos a firma, correcciones del registro de jornada, cambios de configuración.
• Las evidencias de la firma electrónica (quién firmó, cuándo, desde dónde, huella del documento y sello de tiempo) se guardan aparte y quedan fuera de cualquier purga automática.

Firma electrónica

Firma electrónica avanzada según el Reglamento eIDAS: el firmante se identifica con un código enviado a su correo o con su passkey, la firma se estampa en el documento junto a una hoja de evidencias y se sella con un sello de tiempo RFC 3161 de DigiCert. DigiCert recibe únicamente la huella criptográfica del documento, nunca su contenido. Cualquiera puede comprobar un PDF firmado en la página pública de verificación.

Derechos, plazos y canal de denuncias

• Cada trabajador ejerce sus derechos de acceso, rectificación, supresión, oposición y portabilidad desde el propio portal o escribiendo a legal@portalempleado.org.
• Al causar baja, los datos se anonimizan a los 4 años y se borran a los 10 de forma automática; las nóminas siguen accesibles para el trabajador mientras existan (art. 29 del Estatuto de los Trabajadores).
• Canal de denuncias interno para que la plantilla comunique irregularidades de forma confidencial.

Quién más interviene

Proveedor	Para qué	Qué datos recibe	Dónde
OVH SAS	Alojamiento del servidor y correo saliente	Todos los datos del servicio, cifrados en tránsito	Francia (UE)
Stripe Payments Europe	Cobro de las suscripciones	Datos de facturación de la empresa cliente; nunca datos de la plantilla	Irlanda (UE)
DigiCert	Sello de tiempo de las firmas	Solo la huella criptográfica del documento	Servicio internacional; no recibe datos personales
OpenStreetMap (Nominatim)	Localizar las direcciones de los centros de trabajo	La dirección postal del centro; ningún dato de personas	Servicio internacional
Google Analytics	Estadísticas de la web pública	La etiqueta se carga en todo el dominio, pero solo se miden las páginas públicas y las pantallas de acceso y registro; la navegación dentro del portal no se registra. Sin consentimiento no se escriben cookies.	Según la configuración de consentimiento
Umami (analítica sin cookies)	Estadísticas de la web pública	Visitas de las páginas públicas, sin cookies ni identificadores personales	Servidor propio del titular, servido bajo nuestro dominio
Chat de ayuda (servidor propio, alojado en OVH SAS)	Guardar las conversaciones del chat de ayuda	Lo que se escribe en el chat y un identificador aleatorio del navegador; no tiene acceso a los datos del portal	Francia (UE)
OpenAI	Generar las respuestas automáticas del chat de ayuda	El texto de la conversación del chat; nada del portal	Estados Unidos, con cláusulas contractuales tipo de la Comisión Europea

Si hay un incidente

Si detectamos una brecha que afecte a datos personales, avisamos a la empresa cliente sin dilación indebida (art. 33.2 RGPD) con lo que ha pasado, a quién afecta y qué medidas hemos tomado, para que pueda cumplir con sus propias obligaciones. Contacto para incidentes y consultas de seguridad: legal@portalempleado.org.

Lo que todavía no tenemos

— Certificación ISO 27001 ni Esquema Nacional de Seguridad.

— Auditoría de seguridad externa publicada. Sí hubo dos revisiones internas de permisos y accesos, en junio y agosto de 2026, con todo lo encontrado corregido.

— Cifrado del disco en reposo: los datos están en un centro de datos con acceso físico controlado y todo el tráfico va cifrado, pero el almacenamiento no está cifrado adicionalmente.

Preferimos decirlo a prometerlo. Cuando algo de esta lista cambie, lo actualizaremos aquí.

Una nota importante

Esta página describe cómo funciona el servicio hoy. No constituye asesoramiento legal: para valorar las obligaciones concretas de tu empresa, consulta con tu asesor o con un profesional de protección de datos.