Qué conviene tener claro
Un software externo de control horario no desplaza automáticamente todas las obligaciones de la empresa. El proveedor puede alojar, mantener o procesar los datos, pero el responsable sigue necesitando saber quién decide la finalidad, quién opera el sistema y qué límites contractuales existen.
Ese punto importa porque muchas incidencias de privacidad no nacen en la pantalla de fichaje, sino en los accesos administrativos, subencargos, exportaciones o soportes técnicos que rodean a la herramienta.
Qué dice la fuente oficial
La AEPD recuerda en sus preguntas frecuentes que los encargados del tratamiento tienen obligaciones propias y que el responsable debe elegir solo a quienes ofrezcan garantías suficientes. También detalla el contenido mínimo que debe incluir el contrato de encargo: objeto, duración, finalidad, categorías de datos, instrucciones, subcontratación y asistencia al responsable, entre otros extremos.
En un sistema de fichaje esto resulta especialmente relevante porque el proveedor puede tener acceso a horarios, incidencias, identificadores, ubicaciones y otra información laboral sensible para la organización.
Cómo bajarlo a la operativa diaria
La empresa debería revisar no solo el contrato principal, sino también los perfiles de acceso reales. Qué puede ver soporte, quién administra, si existen subencargados, dónde se alojan los datos y cómo se gestionan altas, bajas y permisos.
También conviene desconfiar de los contratos excesivamente genéricos. Un encargo bien definido debe aterrizar el tratamiento concreto y no limitarse a una fórmula estándar sin conexión con el sistema realmente implantado.
Puntos que merece la pena dejar cerrados
- Confirmar el papel del proveedor y qué operaciones realiza realmente sobre los datos.
- Revisar que el contrato de encargo recoja el contenido mínimo exigible.
- Mapear perfiles de acceso técnicos, administrativos y de soporte.
- Controlar subencargados, ubicaciones de tratamiento y condiciones de asistencia.
- Actualizar permisos cuando cambien funciones, centros o personas administradoras.
Errores frecuentes o zonas grises
- Firmar un contrato marco genérico sin revisarlo frente al sistema concreto usado por la empresa.
- Dar acceso amplio de soporte o administración sin necesidad real.
- No saber si existen subencargados o dónde se alojan los datos.
- Pensar que contratar un proveedor externo exonera al responsable de revisar garantías y permisos.
Cómo ayuda una herramienta bien implantada
FicharNet encaja mejor cuando la arquitectura de accesos está bien definida y el proveedor opera dentro de un marco contractual claro. Eso reduce exposición innecesaria y mejora la gobernanza del tratamiento.
La tecnología ayuda, pero la seguridad jurídica depende también de cómo se reparten y documentan las responsabilidades.