Política de Privacidad, Protección y Procesamiento de Datos

Kronio LLC, sociedad de responsabilidad limitada constituida bajo las leyes del Estado de Delaware, Estados Unidos de América (en adelante, "Kronio", "nosotros" o "la Empresa"), opera la plataforma de gestión de asistencia y control de personal accesible a través del sitio web www.kronio.io, la aplicación web app.kronio.io y las aplicaciones móviles disponibles en App Store y Google Play Store (colectivamente, el "Servicio").

La presente Política de Privacidad, Protección y Procesamiento de Datos (en adelante, la "Política") establece de manera unificada cómo Kronio recopila, usa, almacena, protege, transfiere y procesa los datos personales de las personas físicas que interactúan con el Servicio, así como los compromisos asumidos por Kronio en su rol de procesador de datos por cuenta de sus Clientes.

Esta Política aplica a las siguientes categorías de personas:

• Clientes: empresas o personas físicas que contratan el Servicio.
• Usuarios Administradores: representantes del Cliente que gestionan la cuenta.
• Empleados / Colaboradores: trabajadores cuyos datos son gestionados a través del Servicio por indicación del Cliente.
• Visitantes: personas que acceden al sitio web informativo www.kronio.io.

La aceptación de los Términos y Condiciones del Servicio por parte del Cliente implica el conocimiento y aceptación de esta Política, la cual se incorpora por referencia al contrato celebrado entre Kronio y el Cliente. Los compromisos establecidos en las Secciones 11 a 17 constituyen obligaciones contractuales de Kronio frente al Cliente en relación con el procesamiento de datos personales de empleados. Las condiciones comerciales del servicio (precios, planes, pagos, reembolsos, terminación del contrato) están reguladas en los Términos y Condiciones, disponibles en kronio.io/terminos (mismo contenido en kronio.io/terms) .

Esta Política ha sido redactada para cumplir con las legislaciones de privacidad de los principales países de América Latina donde opera Kronio, incluyendo:

• Argentina: Ley 25.326 de Protección de Datos Personales y sus disposiciones complementarias.
• Brasil: Lei Geral de Proteção de Dados Pessoais (LGPD) — Lei No. 13.709/2018.
• Colombia: Ley 1581 de 2012 y Decreto 1377 de 2013.
• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).
• Perú: Ley 29733 de Protección de Datos Personales.
• Chile: Ley 19.628 sobre Protección de la Vida Privada (y su reforma en curso).
• Ecuador: Ley Orgánica de Protección de Datos Personales (LOPDP).
• Uruguay: Ley 18.331 de Protección de Datos Personales.

A efectos de la presente Política, se aplicarán las siguientes definiciones:

3.1 Datos del Cliente (empresa o contratante)

3.2 Datos de Empleados / Colaboradores

3.3 Datos recopilados automáticamente

Al utilizar la plataforma, Kronio puede recopilar automáticamente:

• Dirección IP del dispositivo.
• Tipo de dispositivo, sistema operativo y versión de navegador o aplicación.
• Registros de acceso (logs) al sistema.
• Cookies y tecnologías similares (ver Sección 10).

Esta sección es de carácter especial y obligatorio. Los datos biométricos son una categoría sensible protegida con mayor rigor por todas las legislaciones de privacidad de América Latina.

4.1 Qué es Kronio Klock

Kronio Klock es una funcionalidad opcional del Servicio que permite el registro de asistencia mediante reconocimiento facial desde un dispositivo fijo (tablet o computadora) instalado en las instalaciones del Cliente.

4.2 Qué datos biométricos se procesan

• Captura de imagen facial del empleado en el momento del fichaje.
• Generación de un vector matemático (embedding o plantilla biométrica) que representa las características faciales del empleado.
• El sistema compara el vector capturado en tiempo real con la plantilla registrada para verificar la identidad.

4.3 Base legal para el tratamiento biométrico

El tratamiento de datos biométricos requiere una base legal específica en cada jurisdicción. Kronio opera como Encargado del Tratamiento; es responsabilidad del Cliente (empleador) asegurar la base legal correspondiente según la ley aplicable:

4.4 Activación de Klock — Declaración del Cliente

La funcionalidad Kronio Klock estará desactivada por defecto. El Cliente deberá activarla de forma expresa en la configuración del Servicio. Al activar Kronio Klock, el Cliente declara y garantiza que:

• Ha obtenido el consentimiento informado, libre, específico e inequívoco de cada empleado antes de registrar sus datos biométricos, o cuenta con otra base legal válida según la legislación de su país.
• Ha informado a cada empleado sobre: (a) qué datos biométricos se recopilan; (b) para qué finalidad; (c) quién los trata; (d) por cuánto tiempo; (e) sus derechos como titular.
• El consentimiento ha sido documentado y puede ser acreditado ante la autoridad de control competente.
• Ha evaluado si existen medios alternativos de verificación de identidad menos intrusivos.
• Cuenta con un procedimiento para que el empleado pueda revocar su consentimiento y conocen sus consecuencias.
• Ha realizado una Evaluación de Impacto Relativa a la Protección de Datos (DPIA/EIPD) cuando la legislación aplicable lo exija (Brasil, Colombia, Ecuador).

4.5 Almacenamiento y seguridad de datos biométricos

• Los vectores biométricos (embeddings) se almacenan cifrados con estándares AES-256.
• Las imágenes faciales originales capturadas en cada fichaje pueden ser almacenadas temporalmente según la configuración del Cliente.
• Los datos biométricos se eliminan definitivamente al desactivar la funcionalidad Klock o al terminar el contrato de servicio, en un plazo máximo de 30 días.
• Kronio no comparte datos biométricos con terceros, salvo los subprocesadores listados en el Anexo A que proporcionan infraestructura de almacenamiento con garantías equivalentes.

Kronio NO utiliza los datos personales de empleados para finalidades distintas a la prestación del Servicio contratado. Los datos de empleados NO son utilizados para publicidad, perfilado comercial ni venta a terceros.

Kronio LLC está constituida en Delaware, Estados Unidos. Como consecuencia, el tratamiento y almacenamiento de datos personales implica una transferencia internacional desde los países de América Latina donde operan los Clientes hacia Estados Unidos.

8.1 Mecanismos de transferencia

Kronio implementa los siguientes mecanismos para garantizar un nivel adecuado de protección en las transferencias internacionales:

• Cláusulas contractuales de protección de datos incorporadas en los Términos y Condiciones del Servicio y en la presente Política.
• Medidas técnicas de seguridad equivalentes a las exigidas en el país de origen de los datos.
• Compromisos contractuales de los subprocesadores que operan fuera de la región.

8.2 Mecanismo equivalente a Cláusulas Contractuales Estándar

La presente Política, junto con los Términos y Condiciones del Servicio, constituye el mecanismo contractual que rige las transferencias internacionales de datos entre el Cliente (Responsable) y Kronio (Encargado), con el objetivo de proporcionar un nivel de protección equivalente al ofrecido por las Cláusulas Contractuales Estándar (SCC/CCT) reconocidas internacionalmente.

En caso de que una jurisdicción específica requiera mecanismos adicionales de transferencia (como certificación, acuerdo bilateral, registro ante la autoridad local o cláusulas específicas), el Cliente podrá solicitarlo a Kronio mediante comunicación escrita a privacidad@kronio.io, y Kronio adoptará las medidas complementarias necesarias dentro de un plazo razonable.

Dependiendo de la legislación aplicable en su país, usted tiene derecho a:

9.1 Cómo ejercer sus derechos

Para ejercer cualquiera de los derechos anteriores, el titular puede:

• Enviar una solicitud a: privacidad@kronio.io
• Indicar en el asunto: "Ejercicio de derechos — [Nombre del país]"
• Incluir: nombre completo, correo electrónico registrado, descripción del derecho que desea ejercer, y copia de documento de identidad.

Si el titular es un empleado cuyos datos fueron ingresados al Servicio por su empleador (Cliente), Kronio le redirigirá a su empleador, quien es el Responsable del Tratamiento. Kronio asistirá técnicamente al empleador para responder la solicitud.

Kronio responderá en los plazos establecidos por la ley aplicable:

9.2 Reclamación ante autoridades de control

Si no está satisfecho con nuestra respuesta, puede presentar una reclamación ante la autoridad de protección de datos de su país:

• Argentina: Agencia de Acceso a la Información Pública (AAIP) — www.argentina.gob.ar/aaip
• Brasil: Autoridade Nacional de Proteção de Dados (ANPD) — www.gov.br/anpd
• Colombia: Superintendencia de Industria y Comercio (SIC) — www.sic.gov.co
• México: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) — www.inai.org.mx
• Perú: Autoridad Nacional de Protección de Datos Personales (ANPDP)
• Ecuador: Superintendencia de Protección de Datos Personales — www.spdp.gob.ec
• Chile: Consejo para la Transparencia (en proceso de reforma)
• Uruguay: Unidad Reguladora y de Control de Datos Personales (URCDP) — www.datospersonales.gub.uy

Kronio utiliza cookies y tecnologías similares en su sitio web y aplicación web. Las cookies son archivos de texto pequeños que se almacenan en su dispositivo.

Al acceder al Servicio por primera vez, se le presentará un banner de consentimiento de cookies donde podrá gestionar sus preferencias. Puede modificar sus preferencias de cookies en cualquier momento desde la configuración del Servicio.

Cambiar preferencias de cookies (se mostrará de nuevo el banner)

Con respecto a los datos personales de los Empleados del Cliente, Kronio actúa exclusivamente como Encargado del Tratamiento (Procesador), siguiendo las instrucciones del Cliente, quien es el Responsable del Tratamiento.

En consecuencia:

• Kronio solo trata los datos de Empleados según las instrucciones documentadas del Cliente, expresadas a través de la configuración del Servicio y de las funcionalidades contratadas.
• Kronio no toma decisiones autónomas sobre los datos de Empleados que afecten a los titulares.
• El Cliente es responsable de asegurar que los datos de Empleados se ingresen al Servicio con la base legal adecuada.
• El Cliente es responsable de responder a los ejercicios de derechos de sus Empleados. Kronio colabora facilitando el acceso técnico a los datos cuando el Cliente así lo requiere.

En su rol de Encargado del Tratamiento, Kronio asume frente al Cliente los siguientes compromisos vinculantes:

12.1 Tratamiento conforme a instrucciones

Kronio trata los Datos Personales únicamente según las instrucciones documentadas del Cliente, expresadas mediante la configuración del Servicio, la aceptación de los Términos y Condiciones, y las solicitudes específicas que el Cliente realice por escrito. Si Kronio considera que una instrucción viola la legislación aplicable, lo notificará al Cliente de inmediato.

12.2 Confidencialidad

Kronio garantiza que las personas autorizadas para tratar los Datos Personales (empleados, contratistas, subprocesadores) están sujetas a obligaciones de confidencialidad. Dicha obligación se extiende más allá de la terminación del contrato de servicio.

12.3 Asistencia al Cliente

Kronio asiste al Cliente, en la medida de lo técnicamente posible, en el cumplimiento de sus obligaciones de:

• Responder a solicitudes de ejercicio de derechos de los Titulares (acceso, rectificación, supresión, portabilidad, oposición).
• Notificación de Brechas de Seguridad a las autoridades de control competentes.
• Realización de evaluaciones de impacto relativas a la protección de datos (EIPD/DPIA), cuando sean requeridas por la legislación aplicable.

12.4 No utilización de datos para fines propios

Kronio no utiliza los Datos Personales tratados por cuenta del Cliente para fines propios distintos a la prestación del Servicio, incluyendo publicidad, perfilado comercial, venta a terceros o cualquier otra finalidad no autorizada expresamente por el Cliente.

12.5 Información para demostrar cumplimiento

Kronio pone a disposición del Cliente, previa solicitud razonable, la información necesaria para demostrar el cumplimiento de los compromisos establecidos en esta Política.

Al utilizar el Servicio, el Cliente declara y se compromete a:

• Contar con una base legal válida para el tratamiento de Datos Personales de sus empleados, incluyendo el consentimiento cuando la legislación aplicable lo exija (especialmente para datos biométricos y de ubicación).
• Proporcionar a los Titulares la información requerida por la legislación aplicable sobre el tratamiento de sus datos antes de su ingreso al Servicio, incluyendo la participación de Kronio como Encargado del Tratamiento.
• Obtener el consentimiento específico, informado, libre y expreso de cada empleado antes de activar las funcionalidades de reconocimiento facial (Kronio Klock) y geolocalización.
• Documentar y conservar los consentimientos obtenidos, de modo que puedan ser acreditados ante la autoridad de control competente.
• Garantizar la exactitud y actualización de los Datos Personales ingresados al Servicio.
• Responder a las solicitudes de ejercicio de derechos de los Titulares y coordinar con Kronio cuando la respuesta requiera acceso técnico a los datos.
• Notificar a Kronio inmediatamente sobre cualquier solicitud de ejercicio de derechos o reclamación de un Titular que pudiera afectar las obligaciones de Kronio.
• No utilizar el Servicio para realizar tratamientos que violen la legislación aplicable.

14.1 Autorización general

Al aceptar los Términos y Condiciones del Servicio y la presente Política, el Cliente autoriza de forma general a Kronio a subcontratar tratamientos de datos con los subprocesadores listados en el Anexo A.

14.2 Notificación de cambios

Kronio notificará al Cliente con al menos 30 días de antelación cualquier cambio previsto en la incorporación o sustitución de subprocesadores, mediante publicación en el sitio web y/o correo electrónico al Administrador de la cuenta. El Cliente tendrá 15 días para oponerse motivadamente. Si no se opone en dicho plazo, se entenderá que acepta el cambio.

Kronio podrá realizar cambios de subprocesadores con notificación simultánea o posterior al cambio cuando este sea necesario por razones de seguridad, continuidad del Servicio, cumplimiento legal urgente, o causa de fuerza mayor que impida cumplir el preaviso de 30 días.

14.3 Obligaciones de los subprocesadores

Kronio impone a cada subprocesador obligaciones equivalentes en materia de protección de datos a las establecidas en la presente Política, en particular:

• Confidencialidad de los datos tratados.
• Medidas de seguridad técnicas y organizativas equivalentes.
• Prohibición de tratamiento para fines distintos a los autorizados.
• Cooperación en auditorías y ejercicio de derechos.

Kronio permanece responsable ante el Cliente por los actos y omisiones de sus subprocesadores en la misma medida que si tratara los datos directamente.

15.1 Medidas técnicas y organizativas

Kronio implementa y mantiene medidas técnicas y organizativas apropiadas para proteger los datos personales contra acceso no autorizado, pérdida, alteración o divulgación, incluyendo:

• Cifrado de datos en tránsito mediante TLS 1.2 o superior.
• Cifrado de datos en reposo (AES-256 para datos sensibles y biométricos).
• Control de acceso basado en roles (RBAC) y principio de mínimo privilegio.
• Autenticación de dos factores (2FA) disponible para cuentas de administrador.
• Auditorías de seguridad periódicas y pruebas de vulnerabilidades.
• Copias de seguridad (backups) regulares y procedimientos de recuperación.
• Procedimientos documentados de respuesta ante incidentes de seguridad.

15.2 Notificación de brechas de seguridad al Cliente

En caso de detectar una Brecha de Seguridad que pueda afectar datos personales del Cliente, Kronio notificará al Cliente sin demora indebida desde la confirmación del incidente. Kronio realizará esfuerzos razonables para que dicha notificación se realice idealmente dentro de las 72 horas siguientes a la confirmación, cuando ello sea técnicamente posible y no comprometa la investigación del incidente.

La notificación incluirá, en la medida en que se disponga de la información:

• Descripción de la naturaleza de la Brecha y categorías de datos afectados.
• Volumen aproximado de Titulares afectados.
• Consecuencias probables de la Brecha.
• Medidas adoptadas o propuestas para remediar la Brecha y mitigar sus efectos.
• Datos de contacto del responsable de seguridad de Kronio.

15.3 Notificación a autoridades y Titulares

Corresponde al Cliente determinar si la Brecha requiere notificación a la autoridad de control competente y/o a los Titulares afectados, conforme a la legislación aplicable. Kronio asistirá al Cliente en la preparación de dichas notificaciones cuando sea requerido.

Para demostrar el cumplimiento de los compromisos establecidos en la presente Política, Kronio pondrá a disposición del Cliente, previa solicitud razonable a privacidad@kronio.io:

• Documentación técnica sobre las medidas de seguridad implementadas.
• Certificaciones externas obtenidas (cuando estén disponibles), tales como SOC 2, ISO 27001, u otras equivalentes.
• Resúmenes de auditorías de seguridad internas o de proveedores.
• Información sobre subprocesadores y sus respectivas certificaciones.

Kronio responderá a las solicitudes de demostración de cumplimiento dentro de un plazo razonable, no superior a 30 días hábiles.

Para Clientes empresariales que requieran auditorías presenciales, evaluaciones específicas de seguridad o cuestionarios de cumplimiento detallados, Kronio podrá ofrecer dichas actividades como un servicio adicional, sujeto a negociación separada y con costos a cargo del Cliente.

17.1 Exportación durante la vigencia

El Cliente podrá exportar sus datos en cualquier momento durante la vigencia del contrato a través de las funcionalidades de exportación disponibles en el Servicio. Kronio recomienda al Cliente realizar una exportación completa antes de la terminación del contrato.

17.2 Período posterior a la terminación

Tras la terminación del contrato de servicio:

• Los datos del Cliente permanecerán disponibles para exportación durante 15 días adicionales.
• Transcurrido dicho período, Kronio procederá a la eliminación definitiva e irreversible de todos los Datos Personales del Cliente, incluyendo copias de seguridad y datos biométricos.
• Kronio emitirá una certificación de eliminación al Cliente si este lo solicita dentro de los 60 días siguientes a la terminación.

17.3 Excepciones

Kronio podrá conservar determinados datos más allá de los plazos anteriores únicamente cuando:

• Una obligación legal o reglamentaria aplicable a Kronio exija su conservación (en cuyo caso, el período y la base legal serán comunicados al Cliente).
• Los datos estén anonimizados de forma irreversible y no sean atribuibles a personas identificadas o identificables.

El Servicio de Kronio está dirigido exclusivamente a empresas y personas mayores de 18 años. Kronio no recopila intencionalmente datos personales de menores de edad. Si el Cliente registra empleados menores de 18 años (donde sea legalmente permitido), el Cliente es responsable de cumplir con las disposiciones especiales de protección de datos de menores aplicables en su jurisdicción.

Kronio se reserva el derecho de actualizar esta Política en cualquier momento. Cuando realicemos cambios significativos, notificaremos al Cliente mediante:

• Correo electrónico a la dirección registrada en la cuenta.
• Aviso destacado en la plataforma al iniciar sesión.
• Publicación de la versión actualizada en kronio.io/privacidad y kronio.io/policies (mismo contenido), con la nueva fecha de vigencia.

Los cambios entrarán en vigor 30 días después de la notificación, salvo que la ley exija un plazo mayor. El uso continuado del Servicio transcurrido ese plazo se considerará aceptación de los cambios. Si el Cliente no está de acuerdo con los cambios, podrá terminar el contrato conforme a las disposiciones de los Términos y Condiciones.

Las versiones anteriores de esta Política estarán disponibles bajo solicitud a privacidad@kronio.io para fines de auditoría o referencia histórica.

Kronio utiliza los siguientes subprocesadores para operar el Servicio. Esta lista se mantiene actualizada y los cambios se notifican conforme a la Sección 14.2.

Para consultas sobre subprocesadores específicos, contactar a privacidad@kronio.io.