Política de Privacidad

1. Introducción

En Shifty AI SL (en adelante, “Shifty”), nos comprometemos a proteger la privacidad de los datos personales de nuestros usuarios, trabajadores y clientes. Esta política de privacidad describe cómo recopilamos, utilizamos y protegemos tus datos personales de conformidad con el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).

Esta política se aplica a todos los usuarios —trabajadores, empresas o visitantes— y a todos los medios operados por Shifty: la web www.shifty.es y sus subpáginas, las aplicaciones móviles para iOS y Android, y cualquier otro canal digital. Se complementa con nuestros Términos y Condiciones de Uso y con la Política de Cookies, que forman parte integrante de las condiciones del servicio.

Al utilizar nuestros servicios, aceptas las condiciones de esta política de privacidad. Si no estás de acuerdo, por favor, no utilices nuestros servicios.

2. Responsable del tratamiento de datos

Shifty AI SL es el responsable del tratamiento de los datos personales recogidos a través de la plataforma web y aplicación móvil de Shifty.

3. Datos personales que recopilamos

Shifty recopila las siguientes categorías de datos personales en función de tu relación con la plataforma:

3.1. Datos proporcionados directamente por el usuario

• Datos de identificación: nombre, apellidos, DNI/NIE/pasaporte, fecha de nacimiento, nacionalidad, fotografía de perfil, fotografía de verificación (selfie) capturada durante el alta.
• Datos de contacto: dirección postal, número de teléfono, correo electrónico.
• Datos laborales y profesionales: biografía, currículum (CV), experiencia profesional, nivel de estudios, formación, idiomas, categorías profesionales, referencias laborales, certificaciones.
• Documentación legal: número de afiliación a la Seguridad Social, permisos de trabajo, permiso de conducir, certificados de manipulador de alimentos y otra documentación exigible para la prestación del servicio.
• Datos bancarios: número de cuenta (IBAN) para la gestión de pagos.
• Contenido multimedia: vídeos de entrevistas, vídeo de presentación, vídeos que grabas al inscribirte en una oferta de empleo, fotografías de perfil y fotografía de verificación (selfie) capturada durante el alta. La fotografía de verificación se conserva como referencia visual del expediente y no se somete a tratamiento biométrico.
• Datos de categorías especiales (sensibles): información relacionada con tu salud o condición física —en particular, los justificantes médicos presentados como motivo de cancelación de un turno—, tratados únicamente cuando sea estrictamente necesario para la prestación del servicio y siempre con tu consentimiento explícito previo (art. 9.2.a RGPD).

3.2. Datos generados por el uso de la plataforma

• Datos de uso: interacciones con la plataforma, turnos aceptados, rechazados, cancelados o completados, valoraciones y reseñas recibidas y emitidas, historial de candidaturas, disponibilidad horaria y preferencias.
• Sistema de puntos y reputación: saldo de puntos, historial de penalizaciones, cancelaciones, ausencias (no-shows) y suspensiones.
• Datos de geolocalización: recopilamos puntos de tu ubicación cuando usas la aplicación —al abrirla, al solicitar un anuncio o al fichar entrada y salida del turno— con la finalidad de mostrarte ofertas de trabajo cercanas a ti, mejorar la precisión de los anuncios que te recomendamos, verificar tu presencia en los centros de trabajo y prevenir el uso fraudulento del servicio. Con esos puntos y la dirección que nos das estimamos también tu zona de residencia habitual, para calcular cuánto tardas en llegar a cada centro de trabajo y recomendarte turnos cercanos. Solo se recogen mientras la aplicación está abierta —nunca en segundo plano sin tu interacción explícita— y siempre que hayas concedido el permiso de ubicación al sistema operativo de tu dispositivo. Puedes retirar el permiso en cualquier momento desde los ajustes de tu móvil; en ese caso dejaremos de recibir datos de tu posición, aunque algunas funcionalidades como el fichaje por geolocalización podrían quedar afectadas.
• Datos técnicos del dispositivo: dirección IP, tipo de dispositivo, sistema operativo, versión de la aplicación, identificadores únicos del dispositivo, datos de registro de actividad (logs).
• Datos de comunicaciones: mensajes intercambiados dentro de la plataforma entre trabajadores y empresas, y entre compañeros de un mismo turno o coche. Los mensajes del chat entre trabajadores y empresas pasan por un sistema automático que bloquea los que comparten teléfonos, correos o enlaces. Las llamadas de seguimiento que te hace el equipo de Shifty pueden transcribirse para resumirlas.

3.3. Datos de las empresas clientes

• Identificación de la empresa: razón social, CIF/NIF, domicilio social e inscripción registral.
• Usuarios de la empresa: nombre, apellidos, cargo, correo electrónico y teléfono de las personas que operan la cuenta.
• Datos comerciales: logotipo, fotografías de los establecimientos y descripción de la actividad.
• Datos financieros y contractuales: datos de facturación, historial de pagos (las tarjetas se procesan a través del proveedor de pagos), plan contratado y condiciones de facturación.

3.4. Datos obtenidos de terceros

• Empresas de Trabajo Temporal (ETT): datos contractuales, de alta laboral y nóminas cuando el servicio se presta bajo la modalidad Shifty + ETT.
• Anteriores empleadores: comentarios, datos de rendimiento y valoraciones sobre turnos previos realizados a través de la plataforma.
• Entidades bancarias y proveedores de pago: confirmaciones de transacciones y datos necesarios para la gestión de cobros y pagos.
• Fuentes públicas: datos accesibles en registros públicos, conforme a la legislación aplicable.

3.5. Firma manuscrita de documentos en la app

Algunos documentos se firman desde la aplicación dibujando tu firma en la pantalla del móvil, por ejemplo el justificante de entrega de los equipos de protección individual (EPI) de tu puesto. Estos documentos los prepara y los emite Shifty.

• Qué datos se recogen: el trazo de tu firma, del que se guarda solo su forma, sin la velocidad ni la presión con que la dibujas, y que no se somete a tratamiento biométrico; la fecha y la hora de la firma, según el reloj de nuestros servidores; el texto exacto que firmas, que incluye tus datos identificativos y los del turno, junto con su huella digital (SHA-256), que permite comprobar que el texto no se ha alterado; y los datos técnicos que recoge el anexo de firma del documento: su referencia, el método de firma, que te identificaste con tu sesión en la aplicación, el sistema operativo y la versión de la aplicación desde los que firmaste, y el registro de cuándo se preparó, se firmó y se generó el documento. Para la firma no se recogen tu dirección IP ni identificadores de tu dispositivo.
• Para qué: para poder acreditar que recibiste el documento y que aceptaste su contenido, por ejemplo que se te entregaron los equipos de protección individual de tu puesto.
• Base legal: la ejecución de la relación que mantienes con Shifty como usuario de la plataforma (Art. 6.1.b RGPD) y nuestro interés legítimo en poder acreditar la entrega y la aceptación del documento y, en su caso, defendernos ante una reclamación (Art. 6.1.f RGPD).
• Quién lo ve: tú, que puedes pedirnos una copia del documento firmado en cualquier momento, y el personal autorizado de Shifty. La empresa en la que prestas el turno no tiene acceso a tu firma ni al documento firmado.
• Cuánto tiempo se conserva: el justificante de entrega de EPI firmado, 5 años desde la firma. Un documento que no llega a firmarse porque se anula o caduca, 12 meses desde ese momento.
• Si te das de baja: los documentos que tuvieras pendientes de firmar se anulan en ese momento y se conservan 12 meses. Los que ya habías firmado se conservan hasta que se cumplan los 5 años desde la firma, porque son la prueba de la entrega.

4. Finalidades del tratamiento

Tus datos personales serán tratados para las siguientes finalidades:

5. Base legal para el tratamiento

El tratamiento de tus datos personales se realiza con base en las siguientes legitimaciones conforme al artículo 6 del RGPD:

• Ejecución de un contrato o medidas precontractuales (Art. 6.1.b): cuando el tratamiento es necesario para la prestación de los servicios contratados o para dar respuesta a tu solicitud de registro.
• Cumplimiento de obligaciones legales (Art. 6.1.c): cuando el tratamiento es necesario para cumplir con la legislación laboral, fiscal, mercantil o de Seguridad Social aplicable.
• Consentimiento expreso del usuario (Art. 6.1.a): para el envío de comunicaciones comerciales, el tratamiento de datos sensibles y cualquier otra finalidad que requiera tu consentimiento. Puedes retirar tu consentimiento en cualquier momento.
• Interés legítimo (Art. 6.1.f): cuando el tratamiento es necesario para la mejora de nuestros servicios, la prevención de fraude, el funcionamiento de los sistemas de recomendación o la defensa de reclamaciones legales.

6. Veracidad de los datos

Los usuarios se comprometen a facilitar datos personales veraces, exactos, completos y actualizados, así como a comunicar cualquier modificación a través de la configuración de su perfil o escribiendo a soporte@shifty.es.

La falta de comunicación o la información incompleta, inexacta o falsa podrá dar lugar a la imposibilidad de prestar el servicio y, en su caso, a la suspensión o cancelación de la cuenta. La falsificación de documentos de identidad, justificantes médicos, certificados profesionales o cualquier otra documentación conllevará la expulsión inmediata y definitiva de la plataforma.

7. Encargados del tratamiento

Shifty permite el acceso a datos personales por parte de terceros que actúan como encargados del tratamiento conforme al artículo 28 del RGPD. Estos encargados no tratan los datos con fines propios ni distintos a los de Shifty, actúan siguiendo nuestras instrucciones documentadas, están obligados contractualmente a garantizar la confidencialidad y seguridad, y han sido seleccionados verificando que ofrecen garantías suficientes conforme al RGPD.

8. Cesiones y comunicaciones de datos a terceros

Además de los encargados del tratamiento descritos en el apartado anterior, Shifty podrá comunicar datos personales a los siguientes destinatarios, que los tratan como responsables independientes, exclusivamente para las finalidades descritas y cuando exista base jurídica para ello:

• Empresas clientes de la plataforma: los datos de tu perfil profesional (experiencia, tu CV con tu formación, idiomas y certificaciones, un resumen de tu perfil preparado con ayuda de inteligencia artificial, valoraciones, las categorías que Shifty te ha verificado, disponibilidad, fotografía de perfil, si tu cuenta está en pausa, cuándo usaste la aplicación por última vez y tu saldo de puntos con las penalizaciones que lo han hecho bajar, como cancelaciones tardías o ausencias) son visibles para las empresas con las que tienes relación a través de Shifty: aquellas a cuyos turnos u ofertas te apuntas, que te invitan, con las que has trabajado o de cuya plantilla formas parte. Las categorías que Shifty no te ha verificado, o en las que la verificación no fue aprobada, no se muestran a ninguna empresa. Cuando te inscribes en un turno, o cuando la empresa te invita a él, esa empresa accede además a tu nombre y apellidos, necesarios para gestionar el turno: identificarte en el centro de trabajo y cuadrar y liquidar las horas trabajadas. Solo los ve la empresa a la que pertenece ese turno, y solo respecto de las personas inscritas o invitadas a sus propios turnos. Tu teléfono solo lo ve la empresa de cuya plantilla o equipo formas parte. Si te inscribes en una oferta de empleo, la empresa de esa oferta ve también los vídeos que grabas para esa candidatura y el tiempo aproximado que tardas en llegar desde tu zona. Tu NIF o NIE y tu fecha de nacimiento no se comparten con la empresa, salvo que sea ella quien te contrata y te da de alta, como se explica a continuación.
  
  Si la empresa es tu empleadora directa: muchas empresas de Shifty contratan y dan el alta ellas mismas, sin ETT. Ocurre tanto con su plantilla propia como con las personas que se apuntan a sus turnos desde la plataforma. En esos casos quien te contrata es la empresa y no la ETT colaboradora. Como empleadora, y solo respecto de las personas a las que ella misma contrata, accede a los datos que la ley le exige para formalizar tu contrato y darte de alta en la Seguridad Social, que incluyen tu NIF o NIE, tu número de afiliación, tu domicilio, tu fecha de nacimiento, tu sexo, tu nacionalidad y las imágenes de tu documento de identidad, cuando la empresa las necesita para formalizar tu alta, y a tus datos bancarios para pagarte la nómina de los turnos que trabajes con ella. Si la empresa lo pide para tramitar tu alta, recibe también tu teléfono y tu correo electrónico. Estos datos pueden llegarle a ella o a la gestoría que nos indique. En esos casos la empresa es responsable del tratamiento de esos datos como empleadora tuya, con sus propias obligaciones.
  
  Fuera de ese supuesto, es decir cuando el alta la gestiona la ETT colaboradora, no se comparten con la empresa tu NIF o NIE, tu fecha de nacimiento, las imágenes de tus documentos de identidad, tu número de Seguridad Social, tu dirección postal, tus datos bancarios ni ningún justificante médico, ni se facilita ningún dato para fines distintos de la gestión del turno.
  
  Tu correo electrónico puede facilitarse a la empresa, o a la organización de un evento, cuando es necesario para gestionar tu participación en el turno (por ejemplo, para acreditarte en el acceso), y a las empresas con las que ya has trabajado o de cuya plantilla formas parte, para poder contactarte.
• Empresas de Trabajo Temporal (ETT) colaboradoras: en modalidad Shifty + ETT, se compartirán los datos necesarios para la formalización del contrato de puesta a disposición, el alta en la Seguridad Social y la gestión de nóminas, incluidas las imágenes de tu documento de identidad, tu fotografía de perfil y la de verificación, para identificarte en el alta.
• Tus compañeros: las personas de un mismo turno o de un mismo coche compartido ven tu nombre, la inicial de tu apellido y tu fotografía de perfil mientras dura el grupo.
• Quien tenga el enlace de tu CV: si publicas tu CV con un enlace propio, quien tenga ese enlace ve tu nombre, tu fotografía, tu experiencia, tu formación y las valoraciones de las empresas, sin necesidad de tener cuenta en Shifty. Puedes despublicarlo cuando quieras, y el enlace deja de funcionar.
• Entidades bancarias: para la ejecución de transferencias, domiciliaciones y gestión de pagos.
• Administraciones públicas: Agencia Tributaria, Tesorería General de la Seguridad Social, Inspección de Trabajo y cualquier otra autoridad competente cuando sea exigido por ley.
• Autoridades judiciales y fuerzas de seguridad: juzgados, tribunales, Ministerio Fiscal y fuerzas y cuerpos de seguridad del Estado cuando exista requerimiento legal.
• Mutuas colaboradoras con la Seguridad Social: para asistencia sanitaria, salud laboral y prevención de riesgos laborales.
• Empresas del grupo Shifty: filiales que presten servicios de apoyo para mejorar la experiencia de usuario, con las garantías exigidas por el RGPD.

9. Transferencias internacionales de datos

Con carácter general, los datos personales se almacenan y procesan en servidores ubicados dentro del Espacio Económico Europeo (EEE). No obstante, algunos de nuestros encargados del tratamiento tienen servidores fuera del EEE. En particular:

• Stripe, Inc. (Estados Unidos) — procesamiento de pagos.
• PostHog, Inc. (Estados Unidos) — analítica de producto; los datos se alojan en servidores de la Unión Europea.
• Google LLC (Estados Unidos) — inteligencia artificial (Gemini), mapas y trayectos, notificaciones push y herramientas de oficina, en los términos del apartado 7.
• OpenAI, L.L.C. (Estados Unidos) — segunda lectura de documentos de identidad y selfie, transcripción de entrevistas, moderación del chat, transporte compartido y búsqueda en la base de conocimiento.
• Anthropic, PBC (Estados Unidos) — resumen del perfil profesional y revisión de la calidad del asistente virtual.
• Twilio Inc. (Estados Unidos) — envío de SMS.
• Meta Platforms (Estados Unidos) y Respond.io — mensajería de WhatsApp.
• Expo y Apple (Estados Unidos) — notificaciones push.
• Sentry (Estados Unidos) — informes de errores.
• Slack Technologies (Estados Unidos) — avisos internos del equipo.
• Vercel Inc. (Estados Unidos) — alojamiento de la web y del panel.

En todos estos casos, Shifty garantiza salvaguardas adecuadas conforme al RGPD: Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (art. 46.2.c RGPD), decisiones de adecuación de la Comisión Europea (como el Marco de Privacidad de Datos UE-EE.UU.) cuando resulten aplicables, y medidas técnicas y organizativas adicionales (cifrado, minimización de datos y retención limitada) para garantizar un nivel de protección equivalente al exigido por el RGPD.

Para cualquier otra transferencia internacional que pudiera resultar necesaria en el futuro, Shifty aplicará igualmente las salvaguardas adecuadas conforme al RGPD y te informará previamente. Para más información o para ejercer tus derechos en relación con estas transferencias, escribe a soporte@shifty.es.

10. Plazos de conservación de los datos

Tus datos personales se conservarán durante los siguientes plazos:

Transcurridos los plazos indicados, los datos serán suprimidos o anonimizados de forma irreversible. En caso de existir un procedimiento judicial, administrativo o arbitral en curso, los datos relevantes se conservarán hasta la resolución firme del mismo.

11. Derechos del usuario

De conformidad con el RGPD y la LOPDGDD, tienes derecho a:

Cómo ejercer tus derechos

Desde la aplicación puedes corregir los datos de tu perfil y eliminar tu cuenta. Para recibir una copia de tus datos, y para cualquier otro derecho, envía una solicitud a soporte@shifty.es desde la dirección asociada a tu cuenta, indicando tu nombre completo, el derecho que deseas ejercer y una copia de tu DNI/NIE/pasaporte. Responderemos en un plazo máximo de un mes desde la recepción; en solicitudes especialmente complejas o numerosas, dicho plazo podrá ampliarse hasta dos meses adicionales, informándote dentro del primer mes.

El ejercicio de estos derechos es gratuito. No obstante, si las solicitudes son manifiestamente infundadas o excesivas, Shifty podrá cobrar un canon razonable o negarse a actuar conforme al artículo 12.5 del RGPD.

Reclamación ante la AEPD

Si consideras que se han vulnerado tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

12. Información específica sobre el derecho de oposición

Oposición al tratamiento basado en interés legítimo

Cuando el tratamiento se base en interés legítimo (art. 6.1.f RGPD), puedes oponerte en cualquier momento por motivos de tu situación particular. Shifty dejará de tratar tus datos para esa finalidad, salvo que acredite motivos legítimos imperiosos que prevalezcan sobre tus intereses o para la formulación, ejercicio o defensa de reclamaciones.

Oposición a marketing directo

Puedes oponerte en cualquier momento, de forma gratuita y sin necesidad de alegar motivo, al tratamiento de tus datos con fines de marketing directo. A partir de ese momento dejaremos de tratarlos para dicha finalidad. La oposición al marketing directo no afecta en ningún caso a la prestación del servicio ni a las comunicaciones operativas (confirmaciones de turno, recordatorios o alertas de seguridad).

Para ejercer el derecho de oposición, escribe a soporte@shifty.es o utiliza los mecanismos de baja incluidos en cada comunicación comercial.

13. Seguridad de los datos

Shifty implementa medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo, de conformidad con el artículo 32 del RGPD:

• Cifrado de datos en tránsito mediante protocolo TLS/SSL.
• Cifrado de datos sensibles almacenados (datos bancarios, documentos de identidad, justificantes médicos).
• Controles de acceso basados en roles y principio de mínimo privilegio.
• Autenticación segura de usuarios, incluyendo verificación por código.
• Seudonimización de datos de uso y registros técnicos.
• Copias de seguridad periódicas y procedimientos de recuperación ante desastres.
• Monitorización y detección de accesos no autorizados.
• Formación periódica del personal en materia de protección de datos.
• Evaluaciones periódicas de las medidas de seguridad implementadas.

En caso de producirse una brecha de seguridad que suponga un riesgo para tus derechos y libertades, Shifty lo notificará a la AEPD en un plazo máximo de 72 horas (art. 33 RGPD) y, cuando el riesgo sea alto, te informará sin dilación indebida (art. 34 RGPD).

14. Uso de cookies

La plataforma web de Shifty utiliza cookies y tecnologías similares. Para obtener información detallada sobre las cookies que utilizamos, su finalidad y cómo gestionarlas, consulta nuestra Política de Cookies.

15. Decisiones automatizadas y sistemas de recomendación

Shifty utiliza algoritmos de inteligencia artificial y sistemas automatizados con las siguientes finalidades:

• Recomendación de candidatos a empresas: análisis de perfil profesional, experiencia, categorías verificadas, valoraciones, disponibilidad y proximidad geográfica.
• Recomendación de turnos a trabajadores: turnos compatibles con tu perfil, disponibilidad y preferencias.
• Verificación de documentos de identidad: lectura de las fotos con inteligencia artificial, que puede aprobar o rechazar el documento por sí sola.
• Invitaciones y plazas automáticas: cuando la empresa lo elige, el sistema invita a trabajadores según su puntuación y el turno es para quien acepta primero; y las plazas que se liberan en una lista de espera pueden asignarse por puntuación.
• Puntos y penalizaciones: si tus puntos llegan a cero se bloquea tu acceso a los anuncios, y una cancelación tardía sin justificante válido aplica su penalización.
• Moderación del chat: se bloquean los mensajes que comparten teléfonos, correos o enlaces.

Conforme al artículo 22 del RGPD, tienes derecho a obtener información sobre la lógica aplicada, solicitar intervención humana, expresar tu punto de vista e impugnar cualquier decisión. Contacta con nosotros en soporte@shifty.es.

Asistente virtual de soporte (IA conversacional)

El chat de soporte dentro de la app puede responder mediante un asistente virtual basado en modelos de lenguaje (Anthropic, PBC). Se identificará como “asistente virtual” si preguntas expresamente si hablas con una persona. Sus funciones se limitan a responder preguntas sobre el funcionamiento de la plataforma, consultar tus propios datos (turnos, documentos, pagos) y crear incidencias de soporte cuando el caso requiere intervención humana.

El asistente virtual no toma decisiones con efectos jurídicos sobre ti: cualquier decisión sobre bloqueos, pagos, contratos o resolución de incidencias la adopta siempre una persona del equipo de Shifty. En cualquier momento puedes solicitar hablar con una persona del equipo y tu caso se escalará sin requisitos adicionales.

16. Edad mínima

Los servicios de Shifty están dirigidos exclusivamente a personas mayores de 18 años. No recopilamos conscientemente datos personales de menores de 18 años. Si detectamos que un menor se ha registrado en la plataforma, procederemos a la eliminación inmediata de sus datos y la cancelación de su cuenta.

Si eres padre, madre o tutor legal y crees que un menor ha proporcionado datos a Shifty, contacta con nosotros en soporte@shifty.es.

17. Comunicaciones comerciales

De conformidad con la LSSI-CE (art. 21), Shifty podrá enviarte comunicaciones comerciales y de marketing por medios electrónicos únicamente si has prestado tu consentimiento previo y expreso (art. 6.1.a RGPD). Esto incluye tanto la información promocional sobre la propia plataforma (nuevas funcionalidades, oportunidades, formación) como, en su caso, ofertas de terceros colaboradores.

Puedes revocar tu consentimiento en cualquier momento:

• A través del enlace de baja incluido en cada comunicación comercial.
• Enviando una solicitud a soporte@shifty.es.
• Desde los ajustes de notificaciones de tu cuenta en la plataforma.

La revocación no afectará a las comunicaciones operativas necesarias para la prestación del servicio (notificaciones de turnos, confirmaciones, alertas de seguridad, etc.).

18. Cambios en la política de privacidad

Shifty se reserva el derecho de modificar esta política en cualquier momento. En caso de cambios sustanciales, te notificaremos mediante notificación en la plataforma o correo electrónico. Se entenderá que aceptas los cambios si continúas utilizando los servicios después de haber sido informado.

19. Legislación aplicable y jurisdicción

Esta política de privacidad se rige por la legislación española y europea en materia de protección de datos, en particular:

• Reglamento (UE) 2016/679 (RGPD).
• Ley Orgánica 3/2018 (LOPDGDD).
• Ley 34/2002 (LSSI-CE).

Para cualquier controversia derivada de esta política, las partes se someterán a los Juzgados y Tribunales de Madrid, salvo que la normativa aplicable establezca un fuero distinto.

20. Contacto

Si tienes dudas o consultas sobre esta política de privacidad o sobre el tratamiento de tus datos personales: