v1.2 · 08.08.2026
Fecha: 08.08.2026 Versión: 1.0 Ámbito de aplicación: Art. 28 RGPD, Art. 32 RGPD, Art. 82 RGPD, LOPDGDD Partes del contrato: flowgeist (Encargado del tratamiento) ↔ Cliente (Responsable del tratamiento)
El presente contrato de encargado del tratamiento (AVV) regula los derechos y obligaciones entre el Responsable del tratamiento (en adelante, „Cliente”) y el Encargado del tratamiento (en adelante, „flowgeist”) en relación con el tratamiento de datos personales en el marco del uso de la plataforma SaaS CombiJornada (planificación de horarios de trabajo y turnos / Jornada-Management).
El contrato sirve para el cumplimiento de las obligaciones del art. 28 RGPD así como de las correspondientes disposiciones de la ley española de protección de datos (LOPDGDD — Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales) y se aplica de forma complementaria a las condiciones generales (AGB) para CombiJornada.
(1) El objeto de este contrato es el tratamiento de datos personales por parte de flowgeist en el marco de la prestación de la plataforma CombiJornada (plataforma de planificación de horarios de trabajo y turnos / Jornada-Management) para el Cliente.
(2) El AVV se aplica durante toda la duración del uso de la plataforma CombiJornada por parte del Cliente y finaliza con la terminación del contrato SaaS subyacente.
(3) Tras la terminación del contrato, las disposiciones sobre supresión y devolución de datos (§ 3 apdo. 7) siguen vigentes.
(1) El tratamiento de datos personales por parte de flowgeist se realiza en el marco de la plataforma CombiJornada con las siguientes categorías de datos:
| Categoría de datos | Descripción | Ejemplos |
|---|---|---|
| Datos maestros | Datos básicos de identificación y contacto | Nombre, apellido, correo electrónico, nombre de empresa, dirección |
| Datos de horario de trabajo | Datos para el registro de horarios de trabajo | Inicio de trabajo, fin de trabajo, pausas, horas extraordinarias |
| Datos de planificación de turnos y servicios | Datos para la planificación de turnos y servicios | Horarios de turnos, asignación de servicios, asignación de empleados |
| Datos de vacaciones y ausencias | Datos para la gestión de vacaciones y ausencias | Solicitudes de vacaciones, estado de aprobación, días de enfermedad |
| Datos de acceso | Datos de autenticación | NextAuth + JWT, hash de contraseña, Session-Token, roles de usuario |
| Documentos | Archivos cargados | Contratos de trabajo, planificaciones de turnos en PDF, certificados de ausencia |
| Datos de auditoría | Registro de accesos al sistema | Horas de inicio de sesión, acciones, direcciones IP, identificadores de usuario |
| Datos de facturación | Datos de pago y facturación | Stripe Customer ID, dirección de facturación |
(2) Categorías de personas interesadas:
(3) Finalidades del tratamiento: registro de horarios de trabajo, planificación de turnos, gestión de vacaciones, reporting, Employee-Self-Service, facturación, seguridad y registro de auditoría.
(4) El tratamiento se realiza exclusivamente en el marco de las instrucciones del Responsable del tratamiento (art. 28 apdo. 3 let. a RGPD). El Responsable del tratamiento confirma que las instrucciones están en consonancia con los requisitos legales (en particular RGPD, LOPDGDD, derecho laboral español).
flowgeist trata los datos personales del Responsable del tratamiento de forma estrictamente confidencial. flowgeist garantiza que todas las personas que, en el marco del encargo, tengan acceso a datos personales están sujetas a confidencialidad conforme al art. 28 apdo. 3 let. b RGPD y art. 29 RGPD. La obligación de confidencialidad se mantiene más allá de la finalización del contrato.
flowgeist implementa y mantiene medidas técnicas y organizativas adecuadas (TOMs) conforme al art. 32 RGPD para garantizar un nivel de protección adecuado al riesgo. Las TOMs están documentadas en el anexo de este contrato y comprenden en particular:
flowgeist encarga a los siguientes subencargados del tratamiento (art. 28 apdo. 2 y apdo. 4 RGPD):
| Subencargado del tratamiento | Sede | Servicio | Transferencia a países terceros |
|---|---|---|---|
| Hetzner Online GmbH | Alemania (Falkenstein) | Hosting, PostgreSQL 16, Redis, Backup | Ninguna (UE) |
| Stripe Payments Europe, Ltd. | Irlanda (IE) / EE. UU. (US, matriz) | Procesamiento de pagos | EU-US Data Privacy Framework + SCC |
| AWS S3 (Amazon Web Services, Inc.) | EE. UU. / UE | Almacenamiento de archivos (documentos, PDFs) | EU-US Data Privacy Framework + SCC |
flowgeist celebra con todos los subencargados del tratamiento los correspondientes acuerdos AVV conforme al art. 28 apdo. 4 RGPD. Para transferencias a países terceros se utilizan cláusulas contractuales tipo (SCC) y el EU-US Data Privacy Framework (DPF).
El Responsable del tratamiento otorga por la presente la autorización general para el encargo de los subencargados del tratamiento anteriormente mencionados (art. 28 apdo. 2 RGPD). flowgeist informa al Responsable del tratamiento sobre cambios significativos en las relaciones de subencargo.
flowgeist asiste al Responsable del tratamiento en el cumplimiento de las solicitudes de acceso, rectificación, supresión, limitación y portabilidad de datos por parte de los interesados (art. 28 apdo. 3 let. e RGPD). La asistencia se presta dentro de las posibilidades técnicas de la plataforma.
flowgeist asiste al Responsable del tratamiento en la realización de una evaluación de impacto relativa a la protección de datos conforme al art. 35 RGPD, en la medida en que las actividades de tratamiento lo requieran (art. 28 apdo. 3 let. f RGPD). Esto comprende la puesta a disposición de información relevante sobre el tratamiento y las TOMs.
flowgeist notifica al Responsable del tratamiento sin demora, a más tardar dentro de las 24 horas tras tener conocimiento de ello, cualquier violación de la protección de datos personales que pueda ser relevante para el Responsable del tratamiento (art. 28 apdo. 3 let. g, art. 33 RGPD). La notificación incluye:
flowgeist documenta todas las violaciones de datos personales incluyendo las medidas adoptadas.
Tras la finalización de la relación de encargo, flowgeist suprime los datos personales del Responsable del tratamiento dentro de los 30 días, siempre que no existan obligaciones legales de conservación que se opongan. La devolución de los datos en un formato estructurado, común y legible por máquina puede realizarse dentro de los 30 días tras la finalización del contrato a petición del Responsable del tratamiento.
Plazos de conservación:
| Categoría de datos | Plazo de conservación | Base jurídica |
|---|---|---|
| Datos maestros | 30 días tras la finalización del contrato | RGPD art. 5 apdo. 1 let. e |
| Datos de horario de trabajo | 4 años | Art. 34 Estatuto de los Trabajadores |
| Datos de planificación de turnos y servicios | 4 años | Art. 34 Estatuto de los Trabajadores |
| Datos de vacaciones y ausencias | 4 años | Derecho laboral español |
| Audit-Logs | 3 años | Art. 6 apdo. 1 let. f RGPD |
| Datos de facturación | 10 años | § 147 AO / Art. 67 LGT (España) |
flowgeist trata los datos personales exclusivamente en el marco de las instrucciones documentadas del Responsable del tratamiento (art. 28 apdo. 3 let. a RGPD). Las instrucciones pueden emitirse en forma de texto (correo electrónico). flowgeist documenta todas las instrucciones.
En la medida en que flowgeist considere que una instrucción infringe disposiciones de protección de datos (RGPD, LOPDGDD o derecho laboral español), flowgeist lo señalará sin demora al Responsable del tratamiento (art. 28 apdo. 3 let. a frase 2 RGPD).
(1) El Responsable del tratamiento es el único responsable de la licitud del tratamiento de datos (art. 28 apdo. 3 RGPD) y del cumplimiento de los requisitos legales, en particular:
(2) El Responsable del tratamiento garantiza que los interesados (empleados) son informados sobre el tratamiento de datos conforme a los arts. 13/14 RGPD y que existen las bases jurídicas necesarias (en particular art. 6 apdo. 1 let. b, art. 88 RGPD, art. 22 LOPDGDD).
(3) El Responsable del tratamiento es responsable del cumplimiento de las obligaciones de información y cooperación con el comité de empresa o la representación de los trabajadores (conforme al derecho laboral español, en particular art. 64 Estatuto de los Trabajadores).
(4) El Responsable del tratamiento revisa y aprueba los subencargados del tratamiento mencionados en el § 3 apdo. 3.
(5) El Responsable del tratamiento asume la responsabilidad de la corrección, integridad y actualidad de los datos introducidos en la plataforma CombiJornada.
(1) El Responsable del tratamiento tiene derecho a controlar el cumplimiento de las obligaciones de flowgeist conforme al art. 28 RGPD. Esto comprende en particular:
(2) flowgeist asiste al Responsable del tratamiento en controles y auditorías en la medida adecuada y razonable. La realización de auditorías se lleva a cabo previa concertación de cita (al menos 4 semanas antes) y respetando los secretos empresariales de flowgeist.
(3) flowgeist pone a disposición del Responsable del tratamiento, a petición, los justificantes necesarios (certificados, informes de auditoría) en la medida en que no sean confidenciales.
(1) El tratamiento primario de datos personales se realiza en Alemania (Hetzner Online GmbH, Falkenstein). Una transferencia a países terceros (fuera de la UE/EEE) se produce en:
AWS S3 (EE. UU.): Almacenamiento de archivos a través de AWS S3. AWS está certificado bajo el EU-US Data Privacy Framework (DPF). Adicionalmente se celebran cláusulas contractuales tipo (SCC) de la Comisión Europea.
Stripe (EE. UU.): Procesamiento de pagos a través de Stripe Payments Europe, Ltd. (Irlanda). Stripe Inc. (EE. UU.) como matriz está certificada bajo el EU-US Data Privacy Framework. Adicionalmente se aplican cláusulas contractuales tipo (SCC).
(2) flowgeist ha realizado una evaluación de impacto de la transferencia (TIA) conforme al art. 46 RGPD para ambas transferencias a países terceros. Los resultados de la TIA confirman que no existen motivos para dudar de un nivel de protección adecuado. La TIA se actualiza periódicamente (al menos anualmente).
(3) flowgeist informa sin demora al Responsable del tratamiento cuando circunstancias nuevas o modificadas afecten a la transferencia a países terceros y requieran una adaptación de la TIA o de las medidas de protección.
(4) El Responsable del tratamiento es responsable de informar a los interesados sobre la transferencia a países terceros conforme a los arts. 13/14 RGPD.
(1) La responsabilidad se rige por el art. 82 RGPD así como por las disposiciones legales. flowgeist responde frente al Responsable del tratamiento por los daños causados por una infracción de las obligaciones de este AVV o del RGPD, conforme a las disposiciones legales.
(2) flowgeist responde de forma ilimitada por dolo y negligencia grave. Por negligencia leve, flowgeist solo responde en caso de infracción de una obligación contractual esencial (obligación cardinal), cuya infracción ponga en peligro la consecución del propósito del contrato, y solo en la cuantía del daño típicamente previsible.
(3) La responsabilidad por daños indirectos, daños consecuentes y lucro cesante se limita, en la medida en que sea legalmente admisible, al daño típicamente previsible.
(4) Las limitaciones de responsabilidad anteriores no se aplican a los daños por lesiones de vida, cuerpo o salud ni a los casos de responsabilidad legal imperativa.
(1) Este AVV se rige, en la medida en que sea legalmente admisible, por el Derecho alemán con exclusión del Derecho de compraventa internacional (CISG). Para contratos con clientes con sede en España se aplica de forma complementaria el Derecho español, en la medida en que no dispongan otra cosa las disposiciones imperativas de la UE (en particular el RGPD).
(2) La jurisdicción es, en la medida en que sea legalmente admisible, Mettmann (Alemania). Para litigios con clientes españoles se acuerda, en la medida en que sea legalmente admisible, la sede del cliente en España como jurisdicción.
(3) Si disposiciones individuales de este contrato fueran nulas o inejecutables, la validez de las restantes disposiciones no se verá afectada. Las partes se comprometen a sustituir las disposiciones nulas por otras que se aproximen lo más posible a su finalidad económica.
(4) Las modificaciones y complementos de este contrato requieren forma textual. Esto se aplica también a la derogación de este requisito formal.
(5) Este AVV forma parte del contrato SaaS para CombiJornada y se aplica de forma complementaria a las AGB.
Encargado del tratamiento: flowgeist Titular: Ralf Carsjens Eidamshauser Straße 13 40822 Mettmann Alemania Correo electrónico: info@flowgeist.de Protección de datos: datenschutz@flowgeist.de
Responsable del tratamiento (Cliente):
Nombre/Empresa: ________________________ Dirección: ________________________ Correo electrónico: ________________________ Fecha: ________________________
Las medidas técnicas y organizativas detalladas (TOMs) están documentadas en un documento separado:
Referencia: TOMs CombiJornada — Medidas técnicas y organizativas (fecha: 08.08.2026, versión 1.0)
Las TOMs comprenden:
| Versión | Fecha | Cambios principales |
|---|---|---|
| 1.0 | 08.08.2026 | Primera versión como AVV específico para CombiJornada |
flowgeist (Encargado del tratamiento) Ralf Carsjens Fecha: ______________
Cliente (Responsable del tratamiento) Nombre: ______________ Fecha: ______________
© 2026 flowgeist – Ralf Carsjens · Todos los derechos reservados