Política de privacidad

Esta versión se aplicará desde su publicación y comunicación a las personas afectadas, con la aceptación o autorización que corresponda. No modifica retroactivamente derechos adquiridos.

1 Responsable y contacto

Esta política explica cómo se trata la información personal al utilizar Kronos, su sitio web, aplicación Android y canales de soporte. El prestador es Eduardo Josue Montoya Acuña, cédula 1-1746-0327, quien utiliza MoonByte como marca comercial. Correo: moonbytesolutions@gmail.com. WhatsApp: +506 7082 3658. Domicilio: San Felipe, Alajuelita, San José, Costa Rica, Urbanización Bellotas, casa 9K.

Para contratación, facturación, administración de cuentas de servicio, seguridad y atención de solicitudes propias, MoonByte decide las finalidades del tratamiento y actúa como responsable. Respecto de los registros que la empresa incorpora para administrar a sus empleados, la empresa determina su finalidad y MoonByte presta el tratamiento técnico por su cuenta, conforme a instrucciones válidas y al servicio contratado.

La empresa debe informar a sus empleados antes de incorporarlos, justificar el tratamiento y obtener los consentimientos que correspondan. Crearles una cuenta no sustituye ese deber. Esta distribución de funciones no elimina las responsabilidades legales propias de MoonByte ni los derechos de las personas.

2 Información que puede tratarse

Cuenta y relación con la empresa: nombre, identificación cuando se solicite, usuario, correo, empresa, rol, departamento, puesto y datos de vinculación laboral que la empresa registre. Se tratan credenciales protegidas y datos de verificación y recuperación de acceso; nunca se solicita la contraseña del correo ni del banco.

Actividad del servicio: fechas y horas, descripciones, servicios de monto fijo, importes y tarifas que se ingresen, plazos, aprobaciones, correcciones, pagos y abonos registrados, aceptaciones, rechazos, notificaciones y reportes. Esta información puede revelar aspectos económicos de una persona y merece especial cuidado.

Documentos aportados: imágenes, facturas, comprobantes y archivos que los usuarios adjunten. Pueden contener datos de terceros. Quien los aporte debe limitarse a lo necesario y ocultar información ajena a la finalidad del registro.

Soporte y sugerencias: título, descripción, área relacionada, imágenes opcionales, correo, identificación de usuario y empresa, y teléfono opcional para responder por WhatsApp. Se usan para atender el pedido y valorar mejoras, no para publicar el contenido ni contactar con publicidad.

Información técnica y constancias: dirección IP, fechas de acceso, acciones y resultados del sistema, identificadores de sesión y del dispositivo o de notificaciones cuando se utilicen, errores y versiones aceptadas de los documentos. Los registros no deben contener contraseñas, tokens completos ni copias innecesarias de los adjuntos.

3 Finalidades y carácter de los datos

Los datos se usan para crear y proteger cuentas, vincular usuarios con su empresa, permitir el registro y revisión de horas y servicios, mostrar saldos y movimientos, generar reportes, entregar avisos, resolver incidencias, gestionar la contratación y cumplir obligaciones legales aplicables. No se utilizarán para vender perfiles personales ni para publicidad ajena al servicio.

Los campos necesarios se identificarán en cada formulario. Negarse a proporcionar los datos indispensables puede impedir crear la cuenta o realizar la operación correspondiente; no impide solicitar información o ejercer derechos por los canales de contacto. El teléfono de WhatsApp para sugerencias y los adjuntos señalados como opcionales pueden omitirse sin impedir el envío del formulario.

Cuando el tratamiento requiera consentimiento, se solicitará de forma expresa, informada y específica. No se entenderá otorgado por silencio o casillas previamente marcadas. Las finalidades opcionales, como comunicaciones comerciales si llegaran a ofrecerse, requerirán una decisión separada y no condicionarán el acceso al servicio.

La lectura o aceptación general de una política no autoriza por sí sola cualquier tratamiento de datos sensibles. No deben cargarse datos de salud, biométricos, íntimos u otros ajenos al servicio. Antes de incorporar categorías sensibles deberá verificarse una habilitación válida, las restricciones legales y las medidas que correspondan.

4 Quién puede acceder

Los usuarios accederán a la información que corresponda a su rol y relación con la empresa. Administradores y jefes autorizados podrán consultar los registros necesarios para sus funciones. No se habilitará el acceso de una empresa a los datos de otra por el hecho de compartir la plataforma.

MoonByte y las personas de soporte autorizadas podrán acceder únicamente cuando sea necesario para operación, seguridad, cumplimiento o atención de una incidencia, con confidencialidad y permisos limitados. El panel técnico no autoriza un uso personal de los datos.

Los proveedores de alojamiento, base de datos, correo y notificaciones tratarán la información necesaria para sus funciones, conforme a sus contratos y obligaciones de protección. Algunos también actúan como responsables de los datos de sus propias cuentas, seguridad y funcionamiento. Esos tratamientos se describen en sus políticas; no les autorizamos a comercializar los expedientes laborales alojados en Kronos.

Si una autoridad exige información mediante un requerimiento válido, se proporcionará lo estrictamente procedente. Una cesión a un tercero que actúe para finalidades propias deberá contar con la autorización que legalmente corresponda; esta política no constituye un consentimiento genérico a futuras cesiones.

5 Proveedores y ubicación

Google Cloud (Google): alojamiento de la aplicación web y sus servicios de conexión con Android, archivos adjuntos y registros técnicos necesarios para operar. Puede procesar datos de cuentas, solicitudes, comprobantes y comunicaciones que pasan por el servidor. Política del proveedor: https://cloud.google.com/terms/cloud-privacy-notice .

MonsterASP.NET: alojamiento de la base de datos SQL Server, donde se conservan cuentas, empresas, vínculos de empleados y registros operativos de horas, servicios, pagos y auditoría. Sus servicios incluyen mecanismos propios de respaldo. Información del proveedor: https://www.monsterasp.net/Privacy/ y https://www.monsterasp.net/Terms/ .

Google Drive (Google): almacenamiento de los respaldos administrados por MoonByte en una cuenta de acceso restringido. Las copias incluyen la base de datos, archivos adjuntos y los elementos de configuración necesarios para recuperar el servicio. Se cifran antes de enviarse a Drive, incluidos sus nombres de archivo; las claves de recuperación se custodian por separado con acceso restringido. La integración utiliza la cuenta de MoonByte y no solicita acceso al Drive personal de los usuarios de Kronos. Google puede tratar los metadatos técnicos necesarios para prestar el almacenamiento. La conservación de estas copias se describe en el apartado 7. Información del proveedor: https://policies.google.com/privacy .

Firebase Cloud Messaging (Google): entrega de notificaciones a Android mediante identificadores de instalación y tokens de notificación. Los avisos enviados por Kronos contienen un mensaje genérico e identificadores internos que permiten abrir el registro correspondiente; no contienen nombres de empleados ni importes de pagos. El detalle se consulta dentro de Kronos con autorización. Firebase también procesa datos técnicos del servicio. Información: https://firebase.google.com/support/privacy .

Google Gmail y servicio de correo SMTP: envío de mensajes de verificación, recuperación y atención, y recepción de consultas y sugerencias en moonbytesolutions@gmail.com. Se tratan direcciones de correo, contenido del mensaje y los adjuntos que se envíen. Las sugerencias incluyen usuario, empresa y datos de contacto necesarios para responder. Información: https://policies.google.com/privacy .

Google Fonts: suministro de las tipografías de la web mediante solicitudes del navegador a Google. Estas solicitudes comunican la dirección IP y datos técnicos de la conexión. Esta función no se utiliza en Kronos para crear perfiles publicitarios. Información: https://fonts.google.com/faq .

WhatsApp (Meta): canal opcional de contacto cuando una persona escribe al número de soporte o solicita respuesta por ese medio. WhatsApp procesa el número y la información necesaria para prestar su servicio conforme a sus condiciones. No se envía automáticamente por WhatsApp la base de datos de Kronos. Puede elegirse el correo como alternativa. Información: https://www.whatsapp.com/legal/privacy-policy .

Ubicación y tratamiento internacional. La infraestructura de estos proveedores puede tratar información fuera de Costa Rica. Google utiliza infraestructura internacional y Firebase Cloud Messaging es un servicio global. MonsterASP.NET informa que sus servicios europeos utilizan Alemania, con copias de recuperación en Finlandia, y que ofrece alojamiento en Estados Unidos cuando el cliente lo selecciona. Esto describe las ubicaciones posibles del proveedor, no asegura que Kronos utilice todas ellas. La ubicación aplicable depende de los recursos contratados; puede solicitarse a MoonByte información sobre el alojamiento concreto.

MoonByte mantendrá un registro de sus proveedores y ubicaciones contratadas, verificará las condiciones de tratamiento y aplicará las salvaguardas y autorizaciones exigibles. Informará los cambios relevantes antes de que impliquen nuevas finalidades o destinatarios. Esta política no sustituye un consentimiento específico cuando la ley lo requiera.

6 Conservación durante el servicio

Mientras la relación permanezca activa se conservará la información necesaria para prestar el servicio y mantener la trazabilidad pertinente. No se borrará automáticamente toda una empresa al cumplir cinco años. Tampoco se conservará todo indefinidamente: se revisarán necesidad, finalidad y obligaciones aplicables por categoría.

Los datos de un empleado que ya no pertenezca a la empresa requieren una revisión específica; la continuidad de la empresa no justifica por sí sola conservar para siempre todos los datos de antiguos empleados. La existencia de un saldo o una reclamación puede justificar la conservación limitada de los registros relacionados, no de toda información ajena al asunto.

7 Cierre de la empresa y eliminación

Al terminar efectivamente el servicio se bloqueará el acceso operativo. Durante noventa días naturales los datos operativos se conservarán de manera restringida exclusivamente para gestionar una exportación autorizada, reactivación o atención de derechos y obligaciones pendientes. La empresa puede instruir una eliminación anterior cuando sea procedente; no debe mantenerse una copia por conveniencia si ha desaparecido su justificación.

Al vencer ese plazo se eliminarán los datos operativos y adjuntos mediante un proceso verificado. Una obligación legal concreta o reclamación que requiera conservación se documentará, delimitará y revisará. Solo se retendrán los registros necesarios y con acceso restringido hasta que finalice la causa, no toda la empresa de manera indefinida.

Las facturas de MoonByte por prestar Kronos, los documentos contractuales y las constancias mínimas necesarias pueden tener plazos distintos. Se conservarán por el tiempo exigible para su finalidad y obligaciones legales, con revisión al terminar ese plazo. Los cinco años de conservación de determinada documentación tributaria no se aplican como regla indiscriminada a todos los datos de empleados.

Respaldos administrados por MoonByte. La política de recuperación establece una copia diaria de la base de datos y los archivos necesarios, con acceso restringido y protección durante su traslado y almacenamiento. Las copias ordinarias se conservan en una ventana móvil máxima de treinta días. No constituyen un archivo histórico permanente ni se utilizan para otras finalidades. La frecuencia diaria no garantiza ausencia total de pérdida entre copias.

Tras eliminar datos de los sistemas activos, sus copias ordinarias administradas por MoonByte caducarán en un máximo de treinta días adicionales. En un cierre con noventa días de conservación restringida, el plazo ordinario de estas copias puede alcanzar ciento veinte días desde el cierre. Si se restaura un respaldo, se reaplicarán las eliminaciones antes de habilitar nuevamente los datos.

Ciclos propios de proveedores. Los plazos anteriores se refieren a las copias controladas por MoonByte. MonsterASP.NET informa respaldos disponibles durante catorce días y copias de recuperación ante desastres de hasta treinta y un días. Firebase informa que los identificadores de instalación se conservan hasta solicitar su eliminación mediante sus mecanismos y que su retirada de sistemas activos y respaldos puede tardar hasta ciento ochenta días desde esa solicitud. Estos identificadores no son una copia completa del expediente del empleado. MoonByte gestionará las solicitudes y desvinculará los accesos que correspondan; la eliminación local no significa eliminación instantánea en toda la infraestructura de terceros.

Cualquier conservación excepcional por una obligación legal o una reclamación se documentará y limitará a lo necesario. Las copias residuales no se reutilizarán para reactivar información eliminada ni para nuevos fines. Los archivos que la empresa o el usuario hayan descargado quedan bajo su propio control y deben gestionarse conforme a sus obligaciones.

La eliminación afecta los registros de la empresa solicitante; no suprime relaciones válidas de una cuenta con otra empresa. Se mantendrá una constancia mínima de la eliminación y su motivo, sin reproducir el expediente completo ni sus adjuntos.

Una persona puede solicitar la eliminación de su cuenta y de los datos que proceda suprimir sin solicitar el cierre de toda la empresa. Se verificará su identidad y se retirarán los accesos correspondientes. Los registros indispensables para una obligación pendiente, comprobación de pagos o defensa de una reclamación se conservarán de forma limitada mientras exista una justificación válida. Se explicará qué se elimina y qué se conserva, por qué y hasta cuándo o bajo qué criterio. Desactivar una cuenta no equivale a borrar sus datos.

8 Seguridad e incidentes

Se aplicarán controles de acceso, aislamiento por empresa, protección de credenciales, comunicaciones seguras, registro de acciones relevantes y medidas de recuperación adecuadas al riesgo. Ningún sistema puede garantizar ausencia absoluta de incidentes; esta precisión no exime de adoptar medidas razonables ni de responder por incumplimientos.

Ante un incidente se evaluará su alcance, se contendrá el acceso indebido, se conservará la evidencia necesaria y se informará a las personas, empresas o autoridades cuando corresponda, conforme a los plazos y requisitos aplicables. Los usuarios deben reportar accesos sospechosos y no compartir credenciales.

9 Derechos y solicitudes

Las personas pueden solicitar información sobre sus datos, acceder a ellos, corregirlos o pedir su supresión cuando proceda, y revocar el consentimiento en los términos legales. La revocación no tiene efecto retroactivo y puede impedir continuar una operación que dependa de ese tratamiento; no autoriza borrar información que deba conservarse por una obligación válida.

Las solicitudes se reciben gratuitamente en moonbytesolutions@gmail.com o por el WhatsApp indicado. Incluya su nombre, una forma de contacto, la empresa relacionada y una descripción de lo que solicita. Solo se pedirá la información proporcional necesaria para verificar identidad o representación; no se debe enviar de entrada una copia completa de la cédula ni credenciales.

Se resolverá lo que corresponda dentro del plazo legal aplicable, incluido el plazo de cinco días hábiles del artículo 7 de la Ley 8968 para las solicitudes que regula. La coordinación con una empresa no se utilizará para eludir ese plazo. Cuando la empresa determine el tratamiento, MoonByte canalizará la solicitud y colaborará; no exigirá que el empleado obtenga permiso del jefe para ejercer sus derechos.

Una respuesta negativa o parcial explicará el motivo y la información que deba mantenerse. El bloqueo de una cuenta, la finalización de la suscripción o una deuda comercial no eliminan el derecho a presentar solicitudes. La persona puede acudir a la Agencia de Protección de Datos de los Habitantes, PRODHAB, sin agotar previamente una reclamación privada.

10 Cookies y permisos de Android

La web utiliza cookies propias de autenticación y seguridad, mensajes temporales y almacenamiento local de preferencias. No incorpora herramientas de publicidad ni Google Analytics en su configuración descrita en esta versión. Si se incorporan herramientas opcionales de seguimiento, se informará y se solicitarán las autorizaciones aplicables antes de activarlas.

Cookie de acceso (.AspNetCore.Cookies): mantiene la sesión autenticada y permite comprobar los permisos. Es una cookie de sesión, sin persistencia solicitada por Kronos; se elimina al cerrar sesión y su conservación al cerrar el navegador depende de las opciones de restauración de este. El servidor puede invalidar el acceso aunque el navegador conserve la cookie.

Cookies de protección de formularios (.AspNetCore.Antiforgery.*): ayudan a impedir solicitudes fraudulentas. Son cookies de sesión y el sufijo puede variar entre instalaciones.

Cookie de mensajes temporales (.AspNetCore.Mvc.CookieTempDataProvider): permite mostrar confirmaciones o errores tras cambiar de página. Su contenido se consume y elimina al leer el mensaje, salvo que la operación requiera conservarlo para la siguiente vista.

Cookie de acceso técnico (Kronos.MoonByte): se utiliza únicamente en el acceso autorizado de soporte. Es de sesión; su autorización tiene una duración máxima configurada de treinta minutos, sin renovación automática por actividad.

Preferencia visual (kronos-theme): se guarda en el almacenamiento local del navegador, no como cookie, para recordar el tema claro u oscuro. Permanece hasta cambiarla o borrar los datos del sitio; no tiene una caducidad automática programada.

Puede eliminar cookies y preferencias desde la configuración del navegador. Bloquear los mecanismos necesarios puede impedir el inicio de sesión o el envío de formularios. La descarga de tipografías de Google Fonts descrita en el apartado 5 es una conexión externa distinta de las cookies propias de Kronos.

Android puede solicitar permisos para mostrar notificaciones o seleccionar imágenes y archivos cuando el usuario use esas funciones. Denegar un permiso opcional limita la función relacionada, no autoriza acceder a otros contenidos del dispositivo. La selección de una imagen no supone autorización para recopilar toda la galería.

Desactivar la visualización de notificaciones en Android no elimina por sí solo el identificador de instalación de Firebase. La desvinculación o eliminación de los identificadores asociados se atenderá mediante el proceso de gestión de datos cuando corresponda. La app utiliza sus propios mecanismos de autenticación y preferencias; las cookies web anteriores no son su mecanismo principal de acceso.

Los avisos pueden verse en una pantalla bloqueada según la configuración del teléfono. El usuario puede ajustar esa visibilidad. Las comunicaciones por correo o WhatsApp se limitan a la atención solicitada y al servicio; nunca se solicitarán contraseñas o códigos de autenticación por esos medios.

11 Cambios en la política

Cada versión tendrá fecha de vigencia e identificador. Los cambios relevantes se comunicarán antes de aplicarse y se solicitará nuevamente el consentimiento cuando corresponda. Las versiones anteriores se conservarán para acreditar qué información se proporcionó, sin utilizar esa constancia para ampliar retroactivamente los fines autorizados.