Acuerdo de tratamiento de datos de Turnoly

Última actualización: septiembre de 2026 · Versión: 2026-09

Esta traducción se facilita para su consulta. En caso de discrepancia, prevalecerá la versión alemana.

1. Parties, Scope and Conclusion

Este acuerdo de procesamiento de contratos (ATD) regula el procesamiento de datos personales en nombre del uso del B2B-SaaS Turnoly exclusivamente dirigido a clientes empresariales según el arte. 28 RGPD. Las partes contratantes son el cliente de negocios designado en el Acuerdo de Usuario de Turnoly subyacente como el controlador y el siguiente proveedor como el procesador:

Oezer Software
Inhaber: Murat Özer
Pfaffenbrunnenstraße 16c
63456 Hanau
Deutschland
E-Mail: kontakt@turnoly.com

El cliente decide sobre los propósitos y contenidos esenciales del procesamiento de sus datos de empleados y usuarios. Oezer Software procesa estos datos de acuerdo con este ATD en nombre del cliente (datos de pedido). Los derechos y obligaciones del cliente como controlador siguen sin ser afectados.

No todo el procesamiento por Oezer Software es el procesamiento de pedidos. En la medida en que Oezer Software procesa datos para sus propias obligaciones legales, la gestión de su propia relación contractual o sus propios propósitos de facturación y decide por sus propios propósitos y medios, esto se hace bajo su propia responsabilidad de protección de datos. La delimitación depende del procesamiento real respectivo, no sólo del nombre de los datos.

Este ATD, incluidos sus anexos, pasa a formar parte de la relación contractual de Turnoly mediante un acuerdo documentado por separado entre las partes. La mera publicación de este texto no formaliza ningún contrato. La versión acordada entre las partes es la determinante; la presente versión es la 2026-09. La versión jurídicamente vinculante se facilita en alemán.

2. Asunto: materia y duración

El tema es la provisión del software Turnoly basado en la nube para la planificación de cambios, gestión de empleados, registro de tiempo y gestión de ausencias, incluyendo el procesamiento asociado de datos de pedido.

El procesamiento se lleva a cabo durante el uso subyacente y la relación contractual, incluida una fase de prueba gratuita acordada. Este ATD también se aplica en la medida necesaria para el posterior almacenamiento, devolución y eliminación de datos de pedidos basados en instrucciones.

3. Tipo y propósito del procesamiento

El procesamiento comprende, de conformidad con las funciones utilizadas, en particular la recogida y adquisición, el pedido, el almacenamiento, la lectura, las consultas, el uso, la modificación, la transmisión necesaria, la disposición para la exportación, así como la restricción y eliminación de los datos del pedido.

• Gestión de organizaciones y cuentas, gestión de empleados y gestión de usuarios y autorizaciones.
• Autenticación de usuarios autorizados y gestión de sus accesos.
• planificación de turnos, gestión del espacio de trabajo y asignación de empleados.
• Grabación del tiempo, correcciones del tiempo, confirmaciones, cuentas del tiempo y evaluaciones.
• administración de licencias y ausencias.
• Notificaciones internas y comunicaciones transaccionales necesarias para su uso.
• Disposición técnica, seguridad y protección contra el uso indebido en el contexto del procesamiento del orden.

El procesamiento depende del alcance acordado de los servicios y de las instrucciones documentadas del cliente. El uso de los datos de pedido para los propios propósitos de marketing de Oezer Software no es el tema de este orden.

4. Tipos de datos y sujetos de datos

Dependiendo de la configuración y la entrada del cliente, en particular se pueden procesar los siguientes datos personales:

• Referencia organizativa: ID de organización, asignación de negocios y configuración.
• Datos de empleados y usuarios: nombre, apellido, nombre corto, cumpleaños, dirección de correo electrónico, número de teléfono, dirección, nota de texto gratuito, idioma, roles y permisos, así como estado activo, archivo y login.
• Datos de empleo y planificación: tipo de empleo, arreglos de tiempo de trabajo, disponibilidad, espacios de trabajo, asignaciones de turno, fecha, inicio y fin, pausas, comentarios y repeticiones.
• Datos del tiempo: tiempos de estampación y estampación, pausas, correcciones del tiempo, estado de confirmación y información de la cuenta del tiempo.
• Fechas de licencia y ausencia: derechos de licencia, días de licencia, categorías y fechas de ausencia, permiso de estatus y reglas de crédito.
• Datos de autenticación y seguridad: Hahes de contraseña, información de sesión y ficha, y información de seguridad relacionada con terminales y PIN.
• Datos de comunicación: notificaciones internas, destinatarios de correo electrónico y contenido de mensaje transaccional necesario.

Las personas afectadas son en particular administradores y planificadores del cliente, empleados con o sin una cuenta de usuario, usuarios invitados, así como empleados desactivados, archivados o antiguos, en la medida en que sus datos todavía se almacenan por error. Los datos de la tarjeta de pago y la tarjeta de crédito no se describen aquí los datos de empleados de Turnoly; el procesamiento de pagos se clasifica por separado en el Apéndice 1.

5. Enfermedad y categorías especiales de datos personales

Turnoly contiene la categoría de ausencia fija “Sick”. Las entradas corresponsales pueden incluir datos de salud y, por tanto, categorías especiales de datos personales por tipo. 9 RGPD. Las notas de texto, los comentarios y las categorías de ausencias autodefinidas también pueden contener esos datos.

Turnoly no recopila actualmente ningún diagnóstico, certificado o documentos médicos sobre campos estructurados destinados a este fin. Sin embargo, no sigue que la ausencia o los datos de texto gratuitos introducidos por los clientes nunca contengan datos de salud.

El cliente es para una base legal suficiente de su procesamiento, incluyendo las condiciones necesarias según el arte. 9 RGPD, y responsable de la información necesaria a los sujetos de datos. Limita las entradas y las autorizaciones de acceso a lo que es necesario para el propósito respectivo. Los diagnósticos innecesarios, los detalles médicos u otra información confidencial no deben introducirse en campos de texto gratuitos. Oezer Software considera las posibles categorías especiales de datos en las medidas de protección.

6. Instrucciones y obligaciones documentadas del cliente

Los procesos de software Oezer ordenan datos exclusivamente sobre instrucciones documentadas del cliente, también en relación con una transferencia a terceros países o a organizaciones internacionales. Las instrucciones pueden derivarse de este VV, el contrato principal, así como configuraciones documentadas y actos de uso de personas autorizadas en Turnoly. Las instrucciones complementarias se transmiten en forma documentable, por ejemplo por correo electrónico.

Si Oezer Software está obligado a procesar por la ley de la Unión o un Estado miembro, informará al cliente de esta obligación legal antes de procesar, a menos que la ley en cuestión prohíba dicha comunicación por razones importantes de interés público.

Si Oezer Software tiene una instrucción para las violaciones de protección de datos, informa al cliente inmediatamente. El procesamiento de que se trate podrá suspenderse hasta que se aclare legalmente; las obligaciones jurídicas obligatorias no se vean afectadas.

El cliente garantiza instrucciones legales, gestiona los permisos de sus usuarios y proporciona la información necesaria para la ejecución del pedido. Sigue siendo responsable de la legalidad de los propósitos, datos y procesamiento especificados por él. Esto no exime al Software Oezer de sus propias obligaciones legales y contractuales.

7. Confidencialidad y seguridad

Oezer Software garantiza que las personas autorizadas a procesar están obligadas a mantener la confidencialidad o están sujetas a un deber legal apropiado de confidencialidad. El acceso se limita a las personas y los datos necesarios para la tarea respectiva.

Oezer Software aplica las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD. El anexo 2 describe las medidas técnicas tomadas como base y las obligaciones organizativas de este ATD.

Las medidas pueden desarrollarse teniendo en cuenta el estado del arte, los costos de aplicación, la naturaleza, el alcance, las circunstancias y los propósitos del procesamiento y los riesgos para los sujetos de datos. El nivel requerido de protección no debe reducirse injustificadamente. Los cambios relevantes se documentan y se explican al cliente bajo petición.

8. Derechos y apoyo en materia de datos

Oezer Software apoya al cliente en vista de la naturaleza del procesamiento en la medida de lo posible con medidas técnicas y organizativas adecuadas en respuesta a las solicitudes presentadas en virtud del Capítulo III RGPD, en particular para el acceso, rectificación, eliminación, restricción de procesamiento y portabilidad de datos, así como otros derechos relevantes de sujeto de datos.

Si las solicitudes de datos de pedido son recibidas directamente por Oezer Software, serán enviadas al cliente inmediatamente. Oezer Software no decide por su propio contenido, sino que actúa de acuerdo con las instrucciones del cliente, en la medida en que no hay obligación legal de actuar de otra manera.

Teniendo en cuenta el tipo de procesamiento y la información disponible, Oezer Software también apoya al cliente en sus obligaciones según el arte. 32 a 36 RGPD, en particular para medidas de seguridad, notificaciones y notificaciones de infracciones de datos, evaluaciones de los efectos de la protección de datos y consultas necesarias de la autoridad supervisora. Esto no garantiza que el cliente cumpla con todas sus propias obligaciones de protección de datos.

9. Violaciones de datos personales

Oezer Software informa al cliente sin demoras indebidas tan pronto se tome conciencia de una violación de la protección de los datos del pedido. La información no depende del hecho de que Oezer Software ya conoce la evaluación final del riesgo del cliente.

Cuando esté disponible, la notificación incluirá la naturaleza del incumplimiento, las categorías y el número aproximado de personas afectadas y conjuntos de datos, un medio de contacto para más información, las consecuencias probables y las medidas adoptadas o propuestas para remediar y mitigar los efectos adversos. Cualquier información que falta se añadirá gradualmente sin demora indebida.

Oezer Software toma medidas apropiadas para contener y aclarar el incidente y apoya al cliente con información disponible en sus obligaciones según el arte. 33 y 34 RGPD. La decisión sobre las notificaciones y notificaciones que debe iniciar el cliente sigue siendo con el cliente, a menos que la ley disponga otra cosa.

10. Otros procesadores

El cliente da la autorización general por escrito para el uso de otros procesadores para los servicios descritos en este ATD. Los proveedores de servicios utilizados en el momento de la conclusión y sus funciones se enumeran en el Apéndice 1; el procesamiento de pagos, que se clasifica por separado en ellos, no es el procesamiento de pedidos de suma global de los datos de los empleados.

Oezer Software informará al Cliente con antelación de cualquier implicación o reemplazo de nuevos procesadores. Antes de su uso, el cliente recibe una oportunidad razonable de oponerse por razones justificadas bajo la ley de protección de datos.

En caso de objeción motivada, las partes considerarán medidas de salvaguardia apropiadas o una alternativa razonable. Si la objeción no puede resolverse, se acordará una solución legal para el desempeño afectado antes del cambio afectado. La autorización no se utilizará de manera que el derecho de apelación sea ineficaz.

Oezer Software obliga contractualmente a otros procesadores a las mismas obligaciones de protección de datos pertinentes para su procesamiento, en particular para proporcionar garantías suficientes para medidas técnicas y organizativas adecuadas. Oezer Software sigue siendo responsable ante el cliente para el cumplimiento de las obligaciones de protección de datos de estos otros procesadores.

11. Procesamiento y transferencias internacionales de terceros países

Los proveedores de servicios utilizados también pueden procesar datos personales fuera de la Unión Europea y del Espacio Económico Europeo. Una ubicación de la base de datos primaria o una función de servidor no significa que todo el procesamiento asociado tenga lugar exclusivamente en Alemania.

Las transferencias de datos de orden a terceros países sólo tienen lugar en el marco de las instrucciones documentadas y en cumplimiento de los requisitos del Capítulo V RGPD. Cuando sea necesario, Oezer Software utiliza mecanismos de transferencia apropiados, como una decisión de adecuación aplicable para la transmisión específica o cláusulas contractuales estándar, complementadas con las medidas de protección adicionales necesarias.

El mecanismo legalmente apropiado depende de la transmisión específica y de los documentos contractuales aplicables. No se garantiza un mecanismo concreto, independientemente de su aplicación continua. A petición, Oezer Software proporcionará al cliente la información necesaria para evaluar las transmisiones.

12. Regreso, mantenimiento y eliminación

Una vez terminados los servicios de procesamiento, los datos de pedido se devolverán o eliminarán a la elección del cliente; las copias existentes se eliminarán a menos que la legislación de la Unión o de los Estados Miembros requiera más almacenamiento. Un retorno, por ejemplo a través de una exportación técnicamente disponible, no sustituye la eliminación posterior de los datos de pedido que quedan con Oezer Software y sus otros procesadores. El cliente puede enviar una instrucción documentada a kontakt@turnoly.com.

A menos que se dé otra instrucción legal, el contrato incluirá la siguiente regulación de seguimiento acordada con la relación de uso:

• Fase de prueba sin suscripción posterior: Después del final de la fase de prueba gratuita de tres meses, el acceso está generalmente restringido o restringido. Leyendo. La organización y los datos de los clientes asociados se guardan generalmente durante 90 días desde el final de la fase de prueba.
• Suscripción pagada terminada: El uso regular permanece en principio hasta el final del período de facturación pagada. Después de esto, el acceso es fundamentalmente restringido o limitado. Leyendo. En principio, los datos se guardan durante 90 días desde el final efectivo del contrato, es decir. el final del último período de facturación.
• El tiempo de seguimiento sirve para el tiempo de fusible orientado a la instrucción o de fusible. Regreso de los datos disponibles y posible reactivación. Antes de la eliminación final, la reactivación por una nueva suscripción válida es posible en principio, en la medida en que la cuenta y los datos todavía existen.
• Después de la expiración del período de retención, se eliminarán los datos de la organización y de los pedidos asociados, en la medida en que no haya obligaciones legales de almacenamiento. Una instrucción desviadora del cliente para la devolución anterior o eliminación sigue siendo posible.
• Una mera interrupción del pago o atrasos no sólo activa la operación de extinción de 90 días descrita para una prueba regular o final del contrato.

La supresión no tiene que hacerse en cada copia técnica en el mismo segundo. En la medida en que los datos del pedido siguen figurando temporalmente en copias de seguridad o registros de proveedores técnicos, están protegidos contra su uso regular y eliminados en el marco de los ciclos de eliminación pertinentes, en la medida en que no existe obligación legal de almacenamiento. Hasta entonces, sólo podrán ser procesados con las medidas necesarias de protección y restauración o con fines legales obligatorios. Durante una restauración, se tienen en cuenta de nuevo las supresiones que ya se han iniciado. Las obligaciones de Oezer Software también se extienden a sus otros procesadores.

Los datos descargados por el propio cliente y los correos electrónicos ya entregados en el buzón de correo del destinatario, por otro lado, ya no están solamente en el área de disposición de Oezer Software. Para sus propios documentos de contrato y facturación legalmente almacenados, así como el procesamiento del proveedor de servicios de pago bajo su propia responsabilidad, se aplican las obligaciones legales pertinentes. Esto no da lugar a una excepción general a la eliminación de los datos del pedido.

13. Información, controles e inspecciones

Oezer Software proporciona al cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones según el arte. 28 RGPD y permite y contribuye a los exámenes, incluyendo las inspecciones, por el Cliente o un auditor designado por el Cliente.

Cuando sea posible, los cheques se realizarán con aviso previo razonable durante las horas normales del negocio. En caso de necesidad urgente, puede requerirse un aviso previo más corto o o omitido. El alcance y la aplicación tendrán en cuenta el propósito de la auditoría, la confidencialidad, la seguridad y los datos de otros clientes, y la evitación de perturbaciones innecesarias de las operaciones.

La documentación adecuada existente, los informes de prueba y las certificaciones se pueden utilizar primero para la demostración. Esto no resulta en la afirmación de la certificación efectiva ni en la exclusión de nuevos exámenes o derechos de control legal necesarios. Las instrucciones que, a juicio de Oezer Software, violan la ley de protección de datos serán reportadas inmediatamente al cliente.

14. Relación con el contrato principal y la responsabilidad

En este documento ATD y sus anexos se especifican las obligaciones de protección de datos de las partes. En caso de contradicción con otros acuerdos, este ATD tiene precedencia con respecto al procesamiento de órdenes. Además, siguen siendo aplicables los acuerdos permisibles del contrato principal y el condiciones generales, así como las disposiciones legales.

No se introduce ningún régimen de responsabilidad integral independiente. Reclamaciones de responsabilidad jurídica, en particular según el artículo. 82 El RGPD y los derechos obligatorios de las personas afectadas siguen sin verse afectados.

En la declaración separada de protección de datos figura más información sobre el procesamiento bajo su propia responsabilidad. No sustituye a este ATD.

Condiciones generales

Declaración de protección de datos

Imprint

Apéndice 1 - Proveedores de servicios y marco de procesamiento

Este Apéndice describe el uso del proveedor de servicios utilizado para la producción. La entidad proveedora de contratos respectiva, otros subcontratistas y los reglamentos de transferencia aplicables se basan en los documentos contractuales de proveedores realmente aplicables. Oezer Software debe garantizar los acuerdos y garantías de protección de datos necesarios para su uso; la mera mención aquí no los reemplaza.

A. IONOS – infraestructura de alojamiento

proveedor de servicios: IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Alemania. Función: provisión del servidor virtual para el sitio web público, la aplicación Turnoly SaaS y la base de datos de aplicaciones PostgreSQL primaria. El servidor es operado por Oezer Software a través de Coolify con Docker y Traefik. Se procesan los datos de aplicación, empleado, base de datos, conexión y protocolo necesarios para la operación.

El IONOS VPS productivo se encuentra en España dentro de la Unión Europea según la configuración del operador. En ella, el sitio web y la aplicación así como PostgreSQL 17 funcionan en la infraestructura de refrigeración privada; el puerto PostgreSQL no es accesible públicamente. Esta ubicación se refiere al servidor productivo configurado y no es otra garantía para todo el soporte, contrato, facturación o procesamiento de copia de seguridad de IONOS. Decisivo son los documentos contractuales y de protección de datos de IONOS realmente acordados.

B. Reenviar – entrega de correo electrónico transaccional

Función: Enviar correos electrónicos transaccionales requeridos. En particular, el nombre, la dirección de correo electrónico, la referencia de la empresa y el contenido necesario del mensaje, incluidos los enlaces de activación y restablecimiento, así como la comunicación de facturación, se procesan a tal efecto. Según el estado funcional actualmente utilizado, no se envían planes de cambio completos, períodos de enfermedad, diagnósticos o documentos de enfermedad a través de Resend.

Resend es propiedad de Plus Five Five, Inc. proporcionado y puede almacenar y procesar datos en particular en los EE.UU. El despliegue se lleva a cabo en el marco del acuerdo pertinente de protección de datos y los mecanismos de transferencia aplicables para la transferencia específica. No todos los envíos se utilizan para el procesamiento de pedidos; la comunicación de facturación propia debe clasificarse por separado según su propósito real.

Para los mensajes transaccionales, sólo se transmiten los datos necesarios para el envío respectivo. La entrega de correo electrónico puede implicar a otros proveedores en la vía de transmisión y el sistema de correo electrónico utilizado por el destinatario.

C. ALL-INKL – Dominios, DNS y correo electrónico de negocios

Función: Gestión de dominios y entradas de DNS, así como suministro de las entradas normales de correo electrónico de negocios de Oezer Software por ALL-INKL.COM – Neue Medien Münnich. En particular, se pueden procesar datos de dominio y DNS, así como datos de remitente, destinatario, encabezado y contenido de la comunicación comercial por correo electrónico. ALL-INKL no acoge la aplicación Turnoly o su base de datos PostgreSQL y no envía los correos electrónicos de aplicaciones transaccionales automatizados.

En la medida en que los datos del cliente se procesan en nombre en el contexto de la comunicación comercial por correo electrónico, ALL-INKL se incluirá de acuerdo con el desempeño real y los documentos contractuales aplicables. La gestión de dominio y DNS por sí sola no conduce automáticamente al procesamiento de datos de empleados almacenados en Turnoly.

D. Stripe – proveedor independiente de pago y facturación

Stripe no es un procesador adicional de manta para todos los datos de empleados Turnoly. En el contexto de la facturación, Stripe recibe en particular información de facturación de empresa y administrador, dirección de correo electrónico, ID de organización como metadate, así como información arancelaria y de suscripción. La información de pago se proporciona directamente a través de Stripe Checkout o Stripe Checkout. El portal del cliente es procesado. Turnoly no almacena números completos de tarjetas, CVC o IBAN.

Dependiendo del procesamiento específico, Stripe actúa bajo su propia responsabilidad o como procesador. Decisivo son los documentos contractuales de Stripe y los propósitos de procesamiento reales. Según el estado operativo actual, no se transmiten datos de desplazamiento de empleados ni de enfermedad a Stripe. Para las transferencias internacionales, se aplican las normas necesarias de protección y transferencia de datos.

Apéndice 2 - Medidas técnicas y organizativas

Las siguientes medidas técnicas describen el estado de aplicación probado en el que se basan. Las medidas de organización que se mencionan a continuación son obligaciones de este ATD y no una reclamación de certificaciones ya comprobadas o ciertas estructuras de organización internas.

A. Autenticación y protección del acceso

• Las contraseñas y el terminal PIN están protegidos por la escoria de escriptas saladas.
• ID de sesión y tokens credenciales se generan criptográficamente al azar.
• Las cookies de sesión son firmadas por HMAC; las cookies de autenticación usan HttpOnly y SameSite=Lax, así como Secure in the production environment.
• Las sesiones son validadas en el lado del servidor, rotadas y revocadas cuando se cambia la contraseña.
• Las fichas de activación y restablecimiento se asignan y se limitan en el tiempo.
• Las entradas de Terminal PIN están sujetas a límites de prueba y tiempos de bloqueo.

B. Permisos y segregación organizativa

• Los papeles y permisos se verifican en el lado del servidor.
• Las asignaciones de clientes y organizaciones limitan el acceso a la organización respectiva.
• El acceso a los recursos se verifica contra la organización asociada.

C. Interfaz técnica e integridad

• Los accesos a la base de datos son mediante el prisma y los accesos parametizados; las limitaciones de la base de datos y las transacciones apoyan la integridad. PostgreSQL 17 funciona dentro de la infraestructura de refrigeración privada, sin un puerto PostgreSQL accesible públicamente.
• Stripe webhooks se revisan basándose en su firma.
• Las tareas programadas del servidor usan autenticación que niega el acceso si la autorización falta o es inválida.
• Las plantillas de correo electrónico probadas utilizan el escape HTML.
• Las URL de producción usan HTTPS.

D. Obligaciones de organización

• Oezer Software limita el acceso autorizado en la medida necesaria y obliga a las personas autorizadas a acceder a la confidencialidad, en la medida en que no estén ya sujetas a un deber legal adecuado de confidencialidad.
• Las instrucciones, las medidas de seguridad pertinentes y sus cambios se documentan en la medida apropiada para el procesamiento.
• Los incidentes de seguridad reconocidos se tratarán debidamente; se cumplirán las obligaciones de información y apoyo con arreglo al presente informe periódico.
• Al utilizar otros procesadores, se garantizan los acuerdos de protección de datos necesarios, las medidas de protección y las garantías de transferencia.
• La eficacia de las medidas de protección se examinará periódicamente, evaluará y, cuando sea necesario, se ajustará de manera basada en el riesgo; la disponibilidad y la recuperabilidad se llevarán a cabo dentro de los límites establecidos por tipo. 32 El RGPD tiene en cuenta las medidas necesarias.
• La devolución, el almacenamiento limitado y la eliminación de los datos del orden se aplicarán, incluida la coordinación necesaria con otros procesadores de conformidad con la sección 12.

Las medidas no ofrecen una seguridad absoluta frente a la pérdida de datos, ni un nivel de disponibilidad determinado ni plazos fijos de recuperación. No se garantiza un cifrado propio completo de todos los datos almacenados por Turnoly, una certificación ISO propia ni un tratamiento exclusivamente en Alemania. La obligación de adoptar medidas adecuadas al riesgo conforme al artículo 32 del RGPD permanece plenamente vigente.