1. Who We Are
Chronica ("we", "us") is a people analytics platform that helps growing teams understand their workforce through data-driven insights, engagement surveys, AI-powered recommendations, and comprehensive HR management tools.
Our platform is available at hrchronica.com.
Contact: contact@hrchronica.com
2. What Data We Collect
Account Data
When you create an account, we collect:
- Name, email address, and password (hashed) during registration
- Company name, size, and country during setup
Employee Data (uploaded by your organization)
Your organization may upload and manage the following employee information:
- Names, email addresses, phone numbers, and addresses
- Job titles, departments, managers, start and end dates
- Salaries, contract types, and identification numbers (DNI/NIE/DPI)
- Emergency contacts
- Date of birth, gender, and nationality
In this context, your organization is the data controller and Chronica is the data processor. We process this data only as instructed by your organization to deliver platform features.
Platform Usage Data
As employees and administrators use the platform, the following data is generated:
- Product usage data generated through your use of Chronica features
Website Visitor Data
On our public-facing pages (landing page, pricing, this page), we collect:
- Pages visited, browser type, and device information (via LinkedIn Insight Tag and Google Analytics)
- IP address (not stored long-term)
3. Why We Collect It
- To provide our HR analytics and people management platform
- To process your account registration and authentication
- To enable your organization to manage employee data, surveys, assessments, payroll, and learning
- To send transactional emails (invitations, password resets, assignment notifications, payslip notifications)
- To improve our platform and fix issues
- To comply with applicable labor laws
Legal Basis (GDPR Art. 6)
For employee data, our processing is grounded in:
- Art. 6(1)(b) — Performance of an employment contract, which obligates the employer to keep records, run payroll, and manage the employment relationship; Chronica processes this data on the employer's behalf as the technical means to fulfill that obligation.
- Art. 6(1)(f) — Legitimate interest of the employer in efficient HR operations, performance management, and compliance traceability, balanced against the employee's interests.
- Art. 6(1)(c) — Compliance with legal obligation, where applicable labor or tax law mandates retention (e.g., Spanish payroll records for 4 years; Guatemalan payroll records for 5 years).
- Art. 9 — Special categories (health information, e.g., medical leave) are processed only on the basis of an employment-law obligation under Art. 9(2)(b), or explicit consent under Art. 9(2)(a).
For account-holder data (signups by company owners and admins), the legal basis is contract performance (Art. 6(1)(b)) under the Chronica subscription agreement, plus legitimate interest in service security and abuse prevention.
4. How We Use It
- Your organization's data is only accessible to authorized users within your organization (multi-tenant isolation)
- We use Stripe for payment processing — we never store credit card details
- We use Resend for transactional email delivery
- We use the LinkedIn Insight Tag on our public website pages (not inside the app) for anonymous visitor analytics
We do not sell, rent, or share your personal data with third parties for marketing purposes.
We do not use your employee data to train AI models.
AI features (Ask Chronica, course generation) process your data in-session only via Anthropic's API, which does not retain inputs.
5. Data Storage and Security
All data is hosted on dedicated infrastructure on servers located within the European Union. We employ:
- HTTPS/TLS encryption for all data in transit
- Passwords hashed using industry-standard algorithms (bcrypt)
- Multi-tenant architecture ensuring strict data isolation between organizations
- Role-based access control limiting data visibility within your organization
- Firewall protection and intrusion prevention
- Regular security audits and vulnerability assessments
For full details, see our Security page.
6. Your Rights (GDPR)
If you are in the European Economic Area, you have the right to:
Access
Request a copy of the personal data we hold about you.
Rectification
Request correction of inaccurate personal data.
Erasure
Request deletion of your personal data.
Portability
Receive your data in a structured, machine-readable format.
Restriction
Request we limit processing of your data.
Objection
Object to processing based on legitimate interest.
You may also withdraw consent at any time where processing is based on consent.
Right to lodge a complaint (Art. 77)
You may file a complaint with the supervisory authority in the country where you reside, work, or where the alleged GDPR violation took place. Examples:
- Spain — Agencia Española de Protección de Datos (AEPD) — aepd.es
- Germany — your federal-state data protection authority (host country of our servers)
- Other EU member states — your national supervisory authority
- Brazil — Autoridade Nacional de Proteção de Dados (ANPD)
Lodging a complaint with a supervisory authority does not require you to first contact us, but we recommend it as the fastest path to resolution.
Exercising your rights in-app
Two of these rights are available as direct in-app actions on your Profile page:
- Export My Data — generates a JSON file containing all personal data we hold about you, fulfilling Art. 15 (access) and Art. 20 (portability).
- Request Account Erasure — submits a formal Art. 17 erasure request to your employer's HR admin, who must execute it within 30 days. Erasure anonymizes your personally identifiable fields (name, email, phone, address, photo) and replaces them with placeholders. Ledger entries (payroll, audit log) are retained in anonymized form because applicable labor law requires their retention.
For all other rights, contact contact@hrchronica.com. We respond to all requests within 30 days.
7. Data Retention
| Scenario |
Retention |
| Active employee — full personal data |
Retained while employment is active and the tenant subscription is current. |
| Employee leaves the company (no erasure request) |
Personal data retained as part of the employer's HR records for as long as the employer's subscription is active and applicable labor law requires. |
| Employee exercises Art. 17 right to erasure |
Within 30 days, the employer's HR admin anonymizes personally identifiable fields (name, email, phone, address, photo, PII custom fields). Ledger entries (payroll, evaluations, audit log) are retained in anonymized form to comply with labor-law retention minimums (Spain: 4 years; Guatemala: 5 years). |
| Tenant subscription terminated |
Tenant data retained for 30 days after termination for recovery purposes, then deleted from primary storage. Backups containing the data age out under the backup retention below. |
| Website analytics (landing pages only) |
Anonymized, retained for up to 14 months (Google Analytics default). |
| Backups — local (Hetzner) |
14-day rolling retention; older snapshots overwritten daily by cron. |
| Backups — off-site (Backblaze B2 EU) |
30-day rolling retention via lifecycle rule; older versions hidden then deleted. |
8. Cookies and Tracking
| Cookie / Tag |
Type |
Purpose |
| auth_token |
Essential |
Session management and authentication |
| Google Analytics (GA4) |
Analytics |
Anonymous visitor analytics on public landing pages only — not loaded inside the app (since 2026-05-01) |
| LinkedIn Insight Tag |
Analytics |
Anonymous visitor analytics on public landing pages only — not loaded inside the app |
We do not use advertising cookies inside the application.
You can disable cookies in your browser settings. You can also opt out of Google Analytics by installing the Google Analytics Opt-out Browser Add-on.
9. Third-Party Services
We use the following third-party services to operate the platform:
| Sub-processor |
Country |
Purpose |
Transfer mechanism |
Privacy policy |
| Hetzner Online GmbH |
Germany (EU) |
Primary hosting (servers, application, database) |
Within EU; no transfer mechanism required. |
hetzner.com/legal/privacy-policy |
| Backblaze B2 |
EU (eu-central-003 region) |
Off-site encrypted backups |
Within EU; no transfer mechanism required for the EU-region bucket. |
backblaze.com/company/policies/privacy |
| Anthropic, PBC |
United States |
AI inference for in-app AI features (Ask Chronica, course generation, candidate match scoring) |
EU Standard Contractual Clauses (SCC, Modules 2 + 3 as applicable). Anthropic does not retain inputs for training. |
anthropic.com/privacy |
| Resend, Inc. |
United States |
Transactional email delivery (invitations, password resets, payslip notifications) |
EU Standard Contractual Clauses (SCC). |
resend.com/legal/privacy-policy |
| Stripe, Inc. |
United States |
Payment processing for Chronica's billing of the employer (no employee personal data shared with Stripe) |
EU Standard Contractual Clauses (SCC). |
stripe.com/privacy |
| Google (Analytics) |
United States |
Anonymous visitor analytics on public landing pages only (removed from in-app pages 2026-05-01; no employee personal data is sent) |
EU Standard Contractual Clauses (SCC). Anonymized; no employee personal data sent. |
policies.google.com/privacy |
| LinkedIn (Insight Tag) |
Ireland (LinkedIn Ireland) |
Anonymous visitor analytics on public landing pages only (not in-app) |
Within EU. |
linkedin.com/legal/privacy-policy |
10. Changes to This Policy
We may update this policy from time to time. We will notify active users of significant changes via email. The "Last updated" date at the top reflects the most recent revision.
11. Contact
For questions about this policy or your data:
1. Quiénes somos
Chronica ("nosotros") es una plataforma de RR. HH., analítica de personas y nómina operada por Nicolás Farías Villa, disponible en hrchronica.com.
Bajo el RGPD, Chronica actúa como encargado del tratamiento; tu empleador (la empresa que utiliza Chronica) es el responsable del tratamiento de los datos de sus colaboradores.
Contacto: contact@hrchronica.com
2. Qué datos tratamos
Datos de la cuenta
Cuando creas una cuenta recopilamos: nombre, correo, contraseña (con hash), nombre de la empresa, tamaño y país.
Datos de colaboradores (cargados por tu empresa)
Tu empresa puede cargar y administrar: nombre, correo, teléfono y dirección; puesto, departamento, jefatura, fechas de inicio y fin; salario, tipo de contrato e identificación (DPI/DNI/NIE); contactos de emergencia; fecha de nacimiento, género y nacionalidad. Tu empresa es el responsable del tratamiento y Chronica es el encargado; tratamos estos datos solo siguiendo las instrucciones de tu empresa.
Datos de uso
Datos generados por el uso de la plataforma para entregar funcionalidades.
Datos del sitio público
En las páginas públicas (landing, precios, esta política) recopilamos páginas visitadas, navegador y dispositivo (vía LinkedIn Insight Tag y Google Analytics) e IP (no se conserva a largo plazo).
3. Por qué los tratamos
- Para proveer la plataforma de analítica de personas y gestión de RR. HH.
- Para registro y autenticación de la cuenta
- Para que tu empresa gestione datos de colaboradores, encuestas, evaluaciones, nómina y capacitación
- Para correos transaccionales (invitaciones, restablecimiento de contraseña, notificaciones de boletas)
- Para mejorar la plataforma y resolver incidencias
- Para cumplir con la legislación laboral aplicable
Base legal (Art. 6 RGPD)
- Art. 6(1)(b) — Ejecución del contrato laboral. Obliga al empleador a llevar registros, procesar la nómina y administrar la relación laboral; Chronica trata estos datos en nombre del empleador como medio técnico.
- Art. 6(1)(f) — Interés legítimo del empleador en operaciones eficientes de RR. HH., gestión del desempeño y trazabilidad de cumplimiento, equilibrado contra los intereses del colaborador.
- Art. 6(1)(c) — Cumplimiento de obligación legal, cuando la legislación laboral o tributaria exige conservación (p. ej., 4 años en España, 5 años en Guatemala).
- Art. 9 — Categorías especiales (datos de salud, p. ej., incapacidades) solo se tratan con base en obligación legal-laboral (Art. 9(2)(b)) o consentimiento explícito (Art. 9(2)(a)).
4. Cómo lo usamos
- Los datos de tu empresa solo son accesibles para usuarios autorizados dentro de tu empresa (aislamiento multi-inquilino).
- Usamos Stripe para pagos — nunca almacenamos tarjetas.
- Usamos Resend para correos transaccionales.
- Usamos LinkedIn Insight Tag en las páginas públicas (no dentro de la app) para analítica anónima.
No vendemos, alquilamos ni compartimos tus datos personales con terceros con fines de mercadotecnia.
No usamos tus datos de empleado para entrenar modelos de IA.
Las funciones de IA (Ask Chronica, generación de cursos) procesan tus datos en sesión vía la API de Anthropic, que no retiene los inputs.
5. Almacenamiento y seguridad
Todos los datos se alojan en infraestructura dedicada en servidores ubicados dentro de la Unión Europea. Empleamos cifrado HTTPS/TLS en tránsito; contraseñas con hash bcrypt; arquitectura multi-inquilino con aislamiento estricto; control de acceso por roles; firewall y prevención de intrusiones; auditorías de seguridad regulares. Detalles completos en nuestra página de Seguridad.
6. Tus derechos (RGPD)
Si te encuentras en el Espacio Económico Europeo, tienes derecho a:
- Acceso — solicitar copia de tus datos personales (botón "Exportar mis datos" en tu Perfil).
- Rectificación — corregir datos inexactos.
- Supresión — botón "Solicitar eliminación de mi cuenta" en tu Perfil; se procesa en 30 días.
- Portabilidad — recibir tus datos en formato estructurado y legible (JSON).
- Limitación — pedir que limitemos el tratamiento.
- Oposición — oponerte al tratamiento basado en interés legítimo.
Derecho a presentar reclamación (Art. 77)
Puedes presentar una reclamación ante la autoridad de control del país donde residas, trabajes o donde haya ocurrido la presunta infracción del RGPD. Ejemplos:
- España — Agencia Española de Protección de Datos (AEPD) — aepd.es
- Otros estados miembros de la UE — tu autoridad nacional de protección de datos
- Guatemala — actualmente sin autoridad RGPD-equivalente; aplica la legislación local de protección al consumidor.
Cómo ejercer tus derechos en la app
Dos derechos son acciones directas en tu Perfil:
- Exportar mis datos — genera un JSON con todos los datos personales que tenemos sobre ti (Art. 15 acceso, Art. 20 portabilidad).
- Solicitar eliminación de mi cuenta — envía una solicitud formal de supresión (Art. 17) al administrador de RR. HH. de tu empleador, quien debe ejecutarla en 30 días. La supresión anonimiza tus campos identificables (nombre, correo, teléfono, dirección, foto) y los reemplaza con marcadores. Las entradas de libros mayores (nómina, auditoría) se conservan en forma anonimizada porque la legislación laboral aplicable lo exige.
Para el resto de derechos, contacta a contact@hrchronica.com. Respondemos a todas las solicitudes en 30 días.
7. Conservación de los datos
Datos de cuenta: durante la suscripción activa; eliminados a los 30 días del cierre. Datos de colaborador (sin solicitud de supresión): durante la suscripción del empleador y el período exigido por la legislación laboral aplicable. Solicitud de supresión Art. 17: anonimización dentro de 30 días por parte del administrador de RR. HH.; las entradas de nómina/auditoría se conservan en forma anonimizada según los mínimos legales (España 4 años, Guatemala 5 años). Backups locales (Hetzner): 14 días. Backups externos (Backblaze B2 UE): 30 días vía regla de ciclo de vida.
8. Cookies y rastreo
Cookies esenciales: auth_token para sesión y autenticación. Analítica anónima: Google Analytics (GA4) y LinkedIn Insight Tag en páginas públicas únicamente. No usamos cookies publicitarias dentro de la aplicación. Puedes desactivar cookies en la configuración de tu navegador.
9. Subencargados
- Hetzner Online GmbH (Alemania, UE) — alojamiento principal. Sin transferencia internacional.
- Backblaze B2 (UE eu-central-003) — backups cifrados externos. Sin transferencia internacional.
- Anthropic, PBC (EE. UU.) — inferencia de IA. Cláusulas Contractuales Tipo (CCT) de la UE.
- Resend, Inc. (EE. UU.) — correos transaccionales. CCT de la UE.
- Stripe, Inc. (EE. UU.) — procesamiento de pagos (sin datos personales de colaboradores). CCT de la UE.
- Google (Analytics) (EE. UU.) — analítica anónima en páginas públicas. CCT de la UE.
- LinkedIn (Irlanda) — analítica de visitantes en páginas públicas. Dentro de la UE.
10. Cambios a esta política
Podemos actualizar esta política periódicamente. Notificaremos por correo electrónico cualquier cambio sustantivo. La fecha "Última actualización" en la parte superior refleja la revisión más reciente.
11. Contacto
Para preguntas sobre esta política o tus datos:
1. Quem somos
Chronica ("nós") é uma plataforma de RH, análise de pessoas e folha de pagamento operada por Nicolás Farías Villa, disponível em hrchronica.com.
Sob o GDPR, Chronica atua como operador; o seu empregador (a empresa que utiliza Chronica) é o controlador dos dados dos colaboradores.
Contato: contact@hrchronica.com
2. Quais dados tratamos
Dados da conta
Quando você cria uma conta coletamos: nome, e-mail, senha (com hash), nome da empresa, porte e país.
Dados de colaboradores (carregados pelo seu empregador)
Seu empregador pode carregar e gerenciar: nome, e-mail, telefone e endereço; cargo, departamento, gerência, datas de início e fim; salário, tipo de contrato e identificação (RG/CPF/INE); contatos de emergência; data de nascimento, gênero e nacionalidade. Seu empregador é o controlador e Chronica é o operador; tratamos esses dados apenas conforme as instruções do empregador.
Dados de uso
Dados gerados pelo uso da plataforma para entregar funcionalidades.
Dados do site público
Nas páginas públicas (landing, preços, esta política) coletamos páginas visitadas, navegador e dispositivo (via LinkedIn Insight Tag e Google Analytics) e IP (não conservado por longo prazo).
3. Por que tratamos
- Para fornecer a plataforma de análise de pessoas e gestão de RH
- Para registro e autenticação da conta
- Para que seu empregador gerencie dados de colaboradores, pesquisas, avaliações, folha e treinamentos
- Para e-mails transacionais (convites, recuperação de senha, notificações de holerite)
- Para melhorar a plataforma e resolver incidentes
- Para cumprir com a legislação trabalhista aplicável
Base legal (Art. 6 GDPR)
- Art. 6(1)(b) — Execução do contrato de trabalho. Obriga o empregador a manter registros, processar folha e administrar a relação de emprego; Chronica trata esses dados em nome do empregador como meio técnico.
- Art. 6(1)(f) — Interesse legítimo do empregador em operações eficientes de RH, gestão de desempenho e rastreabilidade de conformidade, equilibrado contra os interesses do colaborador.
- Art. 6(1)(c) — Cumprimento de obrigação legal, quando a legislação trabalhista ou fiscal exige retenção (p. ex., 4 anos na Espanha, 5 anos na Guatemala).
- Art. 9 — Categorias especiais (dados de saúde, p. ex., atestados) somente são tratadas com fundamento em obrigação legal-trabalhista (Art. 9(2)(b)) ou consentimento explícito (Art. 9(2)(a)).
4. Como usamos
- Os dados do seu empregador são acessíveis apenas a usuários autorizados dentro da empresa (isolamento multi-inquilino).
- Usamos Stripe para pagamentos — nunca armazenamos cartões.
- Usamos Resend para e-mails transacionais.
- Usamos LinkedIn Insight Tag nas páginas públicas (fora do app) para análise anônima.
Não vendemos, alugamos nem compartilhamos seus dados pessoais com terceiros para marketing.
Não usamos seus dados de colaborador para treinar modelos de IA.
Os recursos de IA (Ask Chronica, geração de cursos) processam seus dados em sessão pela API da Anthropic, que não retém os inputs.
5. Armazenamento e segurança
Todos os dados ficam em infraestrutura dedicada em servidores localizados dentro da União Europeia. Empregamos criptografia HTTPS/TLS em trânsito; senhas com hash bcrypt; arquitetura multi-inquilino com isolamento estrito; controle de acesso por papéis; firewall e prevenção de intrusão; auditorias regulares. Detalhes completos na nossa página de Segurança.
6. Seus direitos (GDPR)
Se você está no Espaço Econômico Europeu, tem direito a:
- Acesso — solicitar cópia dos seus dados pessoais (botão "Exportar meus dados" no Perfil).
- Retificação — corrigir dados inexatos.
- Apagamento — botão "Solicitar exclusão da minha conta" no Perfil; processado em 30 dias.
- Portabilidade — receber seus dados em formato estruturado e legível (JSON).
- Limitação — pedir que limitemos o tratamento.
- Oposição — opor-se ao tratamento baseado em interesse legítimo.
Direito de reclamação (Art. 77)
Você pode apresentar uma reclamação à autoridade de controle do país onde reside, trabalha ou onde a suposta violação do GDPR ocorreu. Exemplos:
- Brasil — Autoridade Nacional de Proteção de Dados (ANPD)
- Espanha — Agencia Española de Protección de Datos (AEPD)
- Outros estados-membros da UE — sua autoridade nacional de proteção de dados
Como exercer seus direitos no app
Dois direitos são ações diretas no seu Perfil:
- Exportar meus dados — gera um JSON com todos os dados pessoais que mantemos sobre você (Art. 15 acesso, Art. 20 portabilidade).
- Solicitar exclusão da minha conta — envia uma solicitação formal de apagamento (Art. 17) ao administrador de RH do seu empregador, que deve executá-la em 30 dias. O apagamento anonimiza seus campos identificáveis (nome, e-mail, telefone, endereço, foto) e os substitui por marcadores. As entradas de razão (folha, auditoria) ficam retidas em forma anonimizada porque a legislação trabalhista aplicável exige.
Para os demais direitos, contate contact@hrchronica.com. Respondemos a todas as solicitações em 30 dias.
7. Retenção dos dados
Dados da conta: durante a assinatura ativa; excluídos em 30 dias após o encerramento. Dados de colaborador (sem solicitação de apagamento): durante a assinatura do empregador e pelo período exigido pela legislação trabalhista aplicável. Solicitação de apagamento Art. 17: anonimização em 30 dias pelo administrador de RH; entradas de folha/auditoria são mantidas em forma anonimizada conforme mínimos legais (Espanha 4 anos, Guatemala 5 anos). Backups locais (Hetzner): 14 dias. Backups externos (Backblaze B2 UE): 30 dias por regra de ciclo de vida.
8. Cookies e rastreamento
Cookies essenciais: auth_token para sessão e autenticação. Análise anônima: Google Analytics (GA4) e LinkedIn Insight Tag em páginas públicas apenas. Não usamos cookies de publicidade dentro do aplicativo. Você pode desabilitar cookies nas configurações do navegador.
9. Suboperadores
- Hetzner Online GmbH (Alemanha, UE) — hospedagem principal. Sem transferência internacional.
- Backblaze B2 (UE eu-central-003) — backups criptografados externos. Sem transferência internacional.
- Anthropic, PBC (EUA) — inferência de IA. Cláusulas Contratuais Padrão (SCC) da UE.
- Resend, Inc. (EUA) — e-mails transacionais. SCC da UE.
- Stripe, Inc. (EUA) — processamento de pagamentos (sem dados pessoais de colaboradores). SCC da UE.
- Google (Analytics) (EUA) — análise anônima em páginas públicas. SCC da UE.
- LinkedIn (Irlanda) — análise de visitantes em páginas públicas. Dentro da UE.
10. Alterações desta política
Podemos atualizar esta política periodicamente. Notificaremos por e-mail quaisquer alterações substantivas. A data "Última atualização" no topo reflete a revisão mais recente.
11. Contato
Para questões sobre esta política ou seus dados: