Skip to main content

Conector de Odoo para BambooHR

Política de privacidad

Esta política cubre el módulo de Odoo «Odoo Connector by Flexigotech» para BambooHR y el servicio OAuth que usa. La web flexigotech.com tiene su propia política de privacidad. Texto de referencia: en caso de duda prevalece la versión en inglés.

Quiénes somos

Flexibles y Accesorios Gobe, S.L., que vende software con la marca FlexigoTech, desarrolla el módulo de Odoo «Odoo Connector by Flexigotech» y opera el servicio OAuth de bamboohr.connect.flexigotech.com. NIF B56727993. Calle Roger de Llúria 54, principal 1.ª B, 08009 Barcelona (España). Contacto: comercial@flexigobe.com.

Cómo funciona la integración

El módulo se ejecuta dentro de la propia base de datos de Odoo del cliente. Los datos de los empleados viajan directamente entre la cuenta de BambooHR del cliente y su Odoo, y nunca pasan por servidores de Flexigotech. Nuestro servicio OAuth solo se ocupa de la autorización: cambia el código de un solo uso por los tokens de acceso y de refresco, se los entrega una vez al Odoo del cliente y los refresca cuando ese Odoo lo pide.

El servicio guarda los datos de autorización (state, verificador PKCE, relevo de un solo uso) 15 minutos como máximo. Para que cada Odoo pueda refrescar sus tokens sin riesgo, guarda cifrada la última respuesta de refresco 2 minutos como máximo. Guarda además un registro de empresas conectadas sin ningún token: el ID y el subdominio de la empresa en BambooHR, el host y el identificador de la base de datos de Odoo del cliente, un hash de la clave de conexión y fechas. Cada entrada se borra 30 días después de que la conexión se revoque o deje de refrescarse. El servicio nunca guarda datos de empleados. Su registro de accesos web está apagado (solo se registran las comprobaciones de salud), y las direcciones IP se usan en memoria para limitar el ritmo y nunca se guardan.

Datos que trata el módulo en el Odoo del cliente

Solo las categorías que el cliente activa:

El módulo nunca trata la etnia, los datos EEO, la condición de veterano, las tarjetas de crédito ni datos personales de los dependientes más allá del número de hijos y, si se activa, el nombre y la fecha de nacimiento del cónyuge. No pide scopes específicos de salud. Aun así, las categorías de ausencia, los ficheros del empleado y los campos personalizados que elija el cliente pueden contener datos de categoría especial, como bajas por enfermedad o permisos parentales. El servicio OAuth trata el subdominio de BambooHR de la empresa y, de forma pasajera, los identificadores del administrador que autoriza la app.

Finalidad y base jurídica

Los datos se tratan solo para prestar la integración que configura el cliente, que es el responsable del tratamiento. Flexigotech no vende ni cede los datos, no elabora perfiles con ellos ni los usa para publicidad, y no los usa para entrenar ni mejorar ningún sistema de IA.

Subencargados

Netcup GmbH (Alemania) aloja el servicio OAuth. Si el cliente aloja Odoo con Odoo S.A. (Odoo.sh), Odoo S.A. es su propio proveedor.

Conservación y supresión

Cuando el cliente desconecta con el asistente de desconexión, el módulo borra en el acto los tokens y todos los datos espejo de BambooHR, y el cliente elige si los registros que creó se conservan desvinculados, se anonimizan o se borran. Si la conexión termina sin el asistente (la app se desinstala en BambooHR, se cierra la cuenta de BambooHR o se revoca la autorización), el módulo borra los datos espejo automáticamente 25 días después. En los sistemas de Flexigotech solo queda el registro de conexiones descrito arriba, durante 30 días. Si se nos pide, confirmamos la supresión por escrito.

Derechos de las personas

Los empleados ejercen sus derechos (acceso, rectificación, supresión, limitación, portabilidad, oposición) ante su empleador, que controla los dos sistemas. Si una solicitud nos llega a nosotros, la remitimos al cliente correspondiente en un plazo de 5 días hábiles.

Acceso de soporte

Flexigotech entra en el Odoo de un cliente solo cuando el cliente lo pide, solo para ese caso de soporte, y registra cada acceso. Las copias de soporte de una base de datos se quedan sin tokens y con los datos personales anonimizados, y se borran en 30 días. Los datos de los clientes nunca se introducen en herramientas de IA.

Seguridad

TLS en todo el tráfico; PKCE y códigos de state y de relevo de un solo uso; tokens que solo pueden leer los administradores del sistema de Odoo; almacenamiento cifrado y de corta duración en el servicio OAuth; webhooks verificados con HMAC; scopes de mínimo privilegio; ni tokens ni datos personales en los registros. Comunicamos los incidentes de seguridad a BambooHR y a los clientes afectados en los plazos de nuestros acuerdos y de la ley aplicable.

Cambios

Avisamos a los clientes con antelación de cualquier cambio importante en los datos a los que accede el conector.

Última actualización: 7 de octubre de 2026.