Cap programari ven un mòdul anomenat "incompliment", així que gairebé tothom diu "complim la normativa". La pregunta que cal fer no és si compleixen, és com ho fan: si el compliment és conseqüència de com està construït el sistema, o una capa afegida a sobre que es pot saltar amb un parell de clics d’administrador.
Hi ha una manera senzilla de distingir-ho: mirar què passa quan algú amb permisos d’administrador intenta fer alguna cosa que no hauria de fer. Si el sistema li ho permet sense deixar rastre, el compliment és una promesa. Si no li ho permet -o li ho permet però queda constància-, el compliment és al disseny.
Registre de jornada: l’exigència és a la traçabilitat
El registre de jornada és obligatori des del 2019 (art. 34.9 de l’Estatut dels Treballadors), però el que de debò comprova un inspector, segons el Criteri Tècnic 101/2019 de la Inspecció de Treball, és si el registre és fiable. Cantevia registra els fitxatges amb una cadena de hashes pensada precisament per resistir aquest tipus d’inspecció: un marcatge mai s’esborra, només s’anul·la deixant constància de qui ho ha fet i per què, amb l’original sempre disponible.
PRL: la formació i la vigilància no són un PDF solt
La prevenció de riscos laborals no es compleix arxivant un PDF de formació un cop l’any. El mòdul de Persones de Cantevia porta la formació, el lliurament d’EPI i la vigilància de la salut (art. 22 de la Llei de Prevenció de Riscos Laborals) per persona, cosa que permet saber en qualsevol moment qui té una revisió pendent o un curs caducat, en lloc de reconstruir-ho amb una auditoria quan ja cal la resposta.
Signatura electrònica: evidència que no depèn de la memòria de ningú
Cada signatura a Cantevia afegeix un segell de temps RFC 3161, emès per FreeTSA (un prestador independent), verificable amb eines estàndard sense dependre que Cantevia continuï existint. No és un segell de temps qualificat eIDAS, i convé saber-ho si es necessita aquest nivell exacte de reconeixement legal -però sí que genera un expedient d’evidències per document: qui va signar, quan, des de quina IP, si la signatura va ser dibuixada o escrita. Això és el que un client o un tribunal acaba demanant, no la promesa que "hi ha signatura electrònica".
L’aïllament entre empreses també és compliment
El compliment normatiu no acaba a la jornada, la prevenció de riscos i la signatura electrònica: també depèn que les dades d’una empresa no es barregin mai amb les d’una altra. Cantevia aïlla les dades -i fins i tot l’emmagatzematge de fitxers- per empresa, cosa especialment rellevant per a expedients de PRL, nòmines o contractes.
Una barreja accidental entre organitzacions en una plataforma multi-empresa no és una fallada estètica: és una bretxa de protecció de dades amb conseqüències legals pròpies, al marge de si el registre de jornada o la vigilància de la salut estan ben portats. El disseny ha de resoldre els dos fronts alhora.
El compliment normatiu no es compra com una casella marcada en una taula comparativa. Es comprova preguntant què passa exactament quan alguna cosa es fa malament, i veient si el sistema deixa rastre o l’esborra.