Política de privacidad
Última actualización: 2 de septiembre de 2026 · Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD)
Esta página cubre esta web. Los datos de jornada de los trabajadores de una empresa cliente son otra cosa y se explican en el apartado 8: ahí la empresa es la responsable y Kakuat solo su encargado.
1. Responsable del tratamiento
- Identidad
- David Giménez Escudé
- NIF
- 38121613X
- Domicilio
- Carrer Terque 44, 2º 1ª — 08225 Terrassa (Barcelona), España
- Contacto
- kakuat@kakuat.com
No hay delegado de protección de datos designado: no concurre ninguno de los supuestos del artículo 37.1 del RGPD.
2. Qué tratamos y para qué
En esta web solo hay un tratamiento: la lista de espera.
- Avisarte por correo cuando abramos el alta para tu sector.
- Saber por qué sectores y tamaños de empresa hay más interés, para priorizar.
No enviamos comunicaciones comerciales de terceros, no hacemos perfilado y no tomamos decisiones automatizadas sobre ti.
3. Base legítima
Tu consentimiento (artículo 6.1.a del RGPD), que prestas marcando la casilla del formulario. Guardamos la fecha y hora en que la marcaste porque el artículo 7.1 nos exige poder demostrar que consentiste.
Puedes retirarlo cuando quieras escribiendo a kakuat@kakuat.com. Retirarlo no afecta a la licitud del tratamiento anterior.
4. Qué datos guardamos
- Tu dirección de correo electrónico.
- El sector y el tramo de plantilla que eliges.
- La fecha y hora del consentimiento.
Nada más. Ni nombre, ni teléfono, ni dirección IP, ni cookies de seguimiento: el principio de minimización del artículo 5.1.c no es una recomendación.
5. Destinatarios y encargados
No cedemos tus datos a nadie. Para prestar el servicio nos apoyamos en un único proveedor:
- Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Alemania) — alojamiento y envío del correo transaccional con el que te avisaremos. Los servidores, el buzón de correo y las copias de seguridad están en Finlandia (Helsinki) y Alemania (Falkenstein).
Si incorporamos otro proveedor, actualizaremos esta lista antes de hacerlo.
6. Transferencias internacionales
No hacemos transferencias fuera del Espacio Económico Europeo. Todo permanece en la Unión Europea.
Los ficheros que suben los trabajadores (documentación de prevención) y las fotos del quiosco se guardan en el mismo servidor de la Unión Europea que el resto, nunca en un almacenamiento público, y sólo se sirven a través de la aplicación previa identificación.
7. Cuánto lo conservamos
Tu correo se conserva hasta que abramos el alta para tu sector y, como máximo, 24 meses desde que te apuntaste. Pasado ese plazo sin haber abierto, se borra.
Si retiras el consentimiento o pides la supresión, se borra en un plazo máximo de 30 días.
El borrado a los 24 meses lo ejecuta un proceso automático diario; la supresión a petición se atiende a mano dentro del plazo.
8. Los datos de jornada de los trabajadores
Cuando una empresa usa Kakuat, los datos de sus trabajadores —fichajes, horas, ausencias y, si el centro lo exige, la ubicación en el momento de fichar— los trata la empresa como responsable. Kakuat es únicamente encargado del tratamiento, y actúa siguiendo sus instrucciones, con un contrato de encargo conforme al artículo 28 del RGPD, que se firma con cada empresa cliente antes de tratar ningún dato de sus trabajadores.
Lo que eso significa en la práctica:
- Si eres trabajador y quieres acceder a tus datos o rectificarlos, dirígete a tu empresa, que es quien decide sobre ellos. Nosotros no podemos atender esa solicitud por nuestra cuenta.
- El registro es obligatorio para la empresa por el artículo 34.9 del Estatuto de los Trabajadores, y debe conservarse cuatro años a disposición del trabajador, sus representantes y la Inspección de Trabajo.
- La ubicación, cuando se recoge, solo se usa para comprobar si el fichaje ocurrió en el centro de trabajo. No hay seguimiento continuo, ni fuera de la jornada, ni en teletrabajo. El artículo 90 de la LOPDGDD lo prohíbe y el sistema no lo hace.
- No usamos biometría. Ni huella, ni reconocimiento facial. Son datos del artículo 9 del RGPD y en control de presencia no concurre ninguna excepción que lo permita. La identificación es por contraseña, PIN o tarjeta.
-
La foto del quiosco. Si la empresa usa una tablet compartida para
fichar con PIN, el sistema toma una fotografía en el momento del fichaje y la
conserva 90 días para poder resolver una disputa sobre quién
fichó. La mira una persona; no se procesa por medios técnicos para identificar a
nadie, así que no es un dato biométrico del artículo 9. Pasados los 90 días se
borra automáticamente.
Sólo puede verla un responsable de tu empresa, y cada consulta queda registrada: quién la miró y cuándo. - Los datos técnicos asociados al fichaje (ubicación, huella de dispositivo, dirección IP) se anonimizan a los 12 meses. El fichaje en sí sobrevive los cuatro años de ley.
- La documentación de prevención (formación, reconocimientos médicos, carnés) se conserva mientras dura la relación laboral y cuatro años más desde la baja. No es un dato de vigilancia: acredita que la empresa cumplió, y la Inspección puede pedirla dentro de ese plazo. Pasado el plazo se borra automáticamente, fichero incluido. Cada empresa puede acortarlo.
El registro de actividades de tratamiento y la evaluación de impacto están escritos y a disposición de cualquier cliente que los pida.
9. Tus derechos
Puedes ejercer estos derechos escribiendo a kakuat@kakuat.com:
- Acceso, rectificación y supresión.
- Limitación del tratamiento y oposición.
- Portabilidad.
- Retirada del consentimiento.
Responderemos en el plazo máximo de un mes, prorrogable a tres si la solicitud es compleja, en cuyo caso te avisaremos. Si crees que no te hemos atendido bien, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
10. Seguridad
Medidas del artículo 32 del RGPD que aplicamos hoy:
- Cifrado en tránsito con HTTPS / TLS.
- Contraseñas almacenadas con función de derivación (nunca en claro).
- Control de acceso por roles y aislamiento estricto entre empresas.
- Límite de peticiones por IP en el acceso y el alta.
- Registro de auditoría de quién consulta y modifica qué.
- Copias de seguridad diarias en dos ubicaciones de la Unión Europea, con retención de 30 días y 12 meses, y restauración probada.
- Servidores en la Unión Europea (Finlandia).
- Procedimiento de notificación de brechas a la AEPD en 72 horas (artículo 33).
Preferimos decir lo que hacemos a decir lo que queda bien: hoy no hay doble factor de autenticación ni cifrado de la base de datos en reposo. Ambas cosas están en la lista, y esta página se actualizará cuando dejen de estarlo.