← Volver

Aviso de Privacidad

Última actualización: 12 de octubre de 2026

Resumen: este Aviso distingue dos tipos de datos que trata Hourly Board: los tuyos, como dueño o gerente con cuenta (aquí Hourly Board es responsable del tratamiento), y los de tus Empleados, que se generan cuando registran sus entradas y salidas en tu checador (aquí tú, el Cliente, eres el responsable y Hourly Board actúa como encargado, por tus instrucciones — la Sección 3 explica exactamente qué significa esto).

1. Responsable del tratamiento

2. Datos de Cuenta — donde Hourly Board es responsable

Si tienes una cuenta como dueño o gerente, recopilamos directamente de ti:

  • Nombre, correo electrónico y contraseña (almacenada como hash con bcrypt, nunca en texto plano).
  • Nombre de tu negocio, sus puntos de checado y su zona horaria.
  • Registros de uso del sistema (inicio de sesión, altas de Empleados y puntos de checado, correcciones que haces) y datos técnicos (dirección IP, tipo de dispositivo) por seguridad y para dar soporte.
  • Datos de facturación gestionados por Stripe — ver Sección 5. Hourly Board no almacena el número completo de tu tarjeta.

Finalidad: crear y operar tu cuenta, prestarte el Servicio, procesar tu suscripción, dar soporte, y cumplir obligaciones legales (por ejemplo, fiscales, respecto de los pagos que proceses a través nuestro).

Base legal: ejecución de la relación contractual (los Términos de Servicio que aceptas al registrarte) y tu consentimiento al crear la cuenta.

3. Datos de Empleados — donde Hourly Board es encargado

Para llevar tu registro de jornada, el Servicio trata los siguientes datos de tus Empleados:

  • Nombre, que tú capturas al darlos de alta.
  • Número de WhatsApp, solo si tú lo capturas, para abrir su chat al mandarle el enlace de alta. No se usa para nada más.
  • Por cada registro de entrada o salida: el tipo (entrada o salida), la fecha y hora del servidor, el punto de checado, y como evidencia la dirección IP y el navegador (user-agent) del teléfono desde el que se registró.
  • Vinculación del teléfono: un identificador guardado en una cookie httpOnly en el teléfono del Empleado, que se crea cuando abre el enlace de un solo uso que tú le envías. El Empleado no crea cuenta ni instala ninguna app.
  • Correcciones: cuando un registro se corrige, la corrección, su motivo y el Usuario que la hizo.

Ubicación al checar: para registrar una entrada o salida el Empleado debe permitir la ubicación en su navegador; en ese momento se guarda la ubicación de su teléfono, la precisión que el teléfono reporta y su distancia al punto de checado, para señalar las checadas hechas fuera del lugar de trabajo. Solo se lee en ese momento: el Servicio no rastrea la ubicación del Empleado en ningún otro. Sin ese permiso no se puede registrar la checada desde el teléfono; el Usuario puede capturarla como corrección. También se guarda la ubicación de cada punto de checado que fije un Usuario.

El Servicio no recaba imágenes de la cámara, contactos ni datos biométricos de tus Empleados.

Aquí Hourly Board no es responsable de esos datos — es encargado. Conforme a los artículos 49 a 51 del Reglamento de la LFPDPPP, tratamos los datos de tus Empleados únicamente siguiendo tus instrucciones (las que das al usar el Servicio), no decidimos para qué más se usan, y no les damos ningún fin distinto de llevar el registro de asistencia de tu negocio.

Esto significa que tú, el Cliente, eres el responsable frente a tus Empleados de cumplir la LFPDPPP respecto de sus datos — incluyendo, si aplica, tener tu propio aviso de privacidad como empleador que les informe que sus entradas y salidas se registran en un sistema como Hourly Board. Nosotros no tenemos, ni podemos tener, una relación directa de aviso de privacidad con tus Empleados: no son nuestros titulares de datos, son los tuyos.

El detalle contractual de esta relación encargado-responsable está en el Convenio de Tratamiento de Datos, que forma parte de tus Términos de Servicio desde el momento en que das de alta al primer Empleado.

4. Finalidades secundarias

Podemos usar datos agregados y anonimizados (por ejemplo, cuántos registros se hacen por día en todo el Servicio) para mejorar el Servicio. Esto nunca incluye identificar a un Empleado o Cliente en particular. Si en el futuro quisiéramos enviarte comunicaciones promocionales, será opcional y podrás darte de baja en cualquier momento sin afectar tu uso del Servicio.

5. Con quién compartimos datos

  • Railway — hospedaje de la aplicación y de la base de datos (Postgres), donde vive toda la información de tu cuenta, puntos de checado, Empleados y registros de asistencia, cifrada en reposo.
  • Stripe — procesamiento de pagos de tu suscripción; nombre, correo y monto de la transacción.
  • Resend — envío de los correos de tu cuenta (código de verificación, aviso de cobro y recuperación de contraseña).
  • Autoridades — únicamente en respuesta a un requerimiento legal válido.

No vendemos ni alquilamos datos a terceros, ni compartimos con brokers de datos o publicidad.

6. Derechos ARCO (solo aplica a Usuarios con cuenta)

Si tienes una cuenta como dueño o gerente, puedes ejercer en cualquier momento tus derechos de Acceso, Rectificación, Cancelación y Oposición sobre tus propios datos de cuenta, además de portabilidad, escribiendo a privacidad@hourlyboard.com. Respondemos en un máximo de 15 días hábiles.

Si eres un Empleado de un negocio que usa Hourly Board y quieres ejercer tus derechos sobre tus propios registros de entrada y salida, debes dirigirte directamente a tu empleador — es él quien tiene la relación de responsable respecto de tus datos, conforme a la Sección 3. Si tu empleador nos instruye a corregir o eliminar tus datos, lo haremos siguiendo esa instrucción, sin perjuicio de que los registros de asistencia se corrigen agregando una corrección y no borrando el original.

7. Plazos de retención

  • Datos de cuenta: mientras esté activa + 1 año tras su eliminación.
  • Datos de Empleados (nombre, registros de asistencia y sus correcciones): no se eliminan al cancelar la cuenta, porque el Cliente, como empleador, debe conservar su registro de jornada. El Cliente puede exportarlos en cualquier momento.
  • Registros de facturación: por el plazo que exija la legislación fiscal aplicable.
  • Logs técnicos: 90 días.

8. Medidas de seguridad

  • Comunicación cifrada mediante HTTPS/TLS.
  • Contraseñas con hash bcrypt — nunca en texto plano.
  • Sesión mediante JWT firmado, en cookie httpOnly, con expiración.
  • Teléfonos de Empleados vinculados con un enlace de un solo uso y una cookie httpOnly.
  • Registros de asistencia de solo agregado: no se pueden editar ni borrar desde el Servicio.
  • Acceso a datos de otra organización bloqueado a nivel de cada endpoint (verificado con pruebas automatizadas).

9. Transferencias internacionales

Railway, Stripe y Resend pueden alojar o procesar datos fuera de México, particularmente en Estados Unidos. Estas transferencias se realizan conforme al artículo 36 de la LFPDPPP, exigiendo a estos proveedores protecciones equivalentes o superiores a las que establece la ley mexicana.

10. INAI — autoridad de control

Si consideras que no atendimos correctamente tus derechos, puedes acudir al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI): www.inai.org.mx.

11. Cambios a este Aviso

Los cambios sustanciales se notificarán con al menos 15 días de anticipación por correo electrónico. La fecha de “última actualización” al inicio de esta página siempre refleja la versión vigente.