SSO en el software de RRHH: qué aporta el inicio de sesión único
Qué resuelve el inicio de sesión único en una herramienta de RRHH, qué no resuelve, y por qué el alta y la baja de accesos importan tanto como la contraseña.
El inicio de sesión único se vende como comodidad —una contraseña menos— y esa es su parte menos interesante. Lo que de verdad resuelve es un problema de gobierno: quién tiene acceso a qué, quién lo concedió y, sobre todo, cuánto tarda en desaparecer ese acceso cuando alguien se va de la empresa.
En una herramienta de RRHH esa pregunta pesa más que en casi cualquier otra, porque el registro de jornada tiene un régimen de acceso definido por ley y porque a su alrededor hay datos personales de toda la plantilla.
TL;DR
- El SSO permite entrar a varias aplicaciones con la identidad corporativa; el aprovisionamiento automatiza el alta, la modificación y la baja de las cuentas.
- Lo importante en RRHH no es la contraseña: es que la baja llegue el mismo día en que la persona deja la empresa.
- El artículo 34.9 del ET define quién puede acceder al registro: la propia persona trabajadora, sus representantes legales y la Inspección.
- El artículo 20 bis del ET y los artículos 87 a 91 de la LOPDGDD enmarcan los derechos digitales en el trabajo.
- En Tempika, el módulo de SSO y aprovisionamiento está en despliegue: figura como próximamente, no como disponible.
Qué es cada cosa
Se usan como sinónimos y no lo son.
SSO (inicio de sesión único). La persona se autentica una vez contra el proveedor de identidad de la empresa y entra en las aplicaciones sin volver a escribir credenciales en cada una. La aplicación de RRHH deja de guardar contraseñas y delega la autenticación.
Aprovisionamiento. El proveedor de identidad crea, modifica y desactiva las cuentas en la aplicación cuando cambia el directorio. Alguien entra en la empresa y su cuenta aparece; cambia de departamento y sus permisos se ajustan; se va y su cuenta se desactiva.
La segunda es la que resuelve el problema serio. El SSO sin aprovisionamiento mejora la experiencia de entrada y deja intacto el problema de las cuentas huérfanas.
Los cuatro problemas que resuelve en RRHH
1. La baja que llega tarde. Es el más grave y el más común. Cuando el alta y la baja de accesos se hacen a mano en cada herramienta, la lista de sistemas nunca está completa y siempre queda alguno donde la cuenta sigue viva. En una herramienta de RRHH esa cuenta puede seguir viendo datos de jornada, ausencias y contactos de toda la plantilla.
2. Los permisos que crecen y no menguan. Quien cambia de puesto acumula: conserva los permisos del anterior y suma los del nuevo. Al cabo de dos rotaciones hay perfiles con acceso a media organización sin que nadie lo haya decidido. El aprovisionamiento basado en atributos del directorio corrige eso automáticamente.
3. La contraseña compartida del kiosko. Frecuente en centros con terminal común. El SSO no la elimina por sí solo: lo que la elimina es que cada persona tenga su propio método de marcaje, con PIN individual o credencial propia. El planteamiento está en kiosko de fichaje con tablet y PIN.
4. La trazabilidad del acceso. Saber quién entró, cuándo y desde dónde deja de depender de la aplicación y pasa a estar centralizado. Cuando alguien discute una corrección del registro, esa información es la que responde a «quién pudo tocar esto».
Lo que el SSO no resuelve
No define quién debe ver qué. El SSO autentica; los permisos los define la aplicación. Un responsable de centro no debería ver el registro de otro centro, y eso es una decisión de roles, no de identidad.
No sustituye el marco de acceso legal. El artículo 34.9 del ET es explícito sobre a disposición de quién deben permanecer los registros durante los cuatro años de conservación: de las personas trabajadoras, de sus representantes legales y de la Inspección de Trabajo y Seguridad Social. Una implantación que dificulte a la propia persona consultar su registro no cumple mejor por tener inicio de sesión único.
No convierte el registro en inalterable. Son cosas distintas. Quién entra es una cosa; qué se puede modificar y qué rastro deja, otra. El procedimiento de corrección está en corrección de fichajes y proceso legal.
No exime de la política de derechos digitales. El artículo 88.3 de la LOPDGDD obliga al empleador, previa audiencia de los representantes de los trabajadores, a elaborar una política interna sobre desconexión digital dirigida a toda la plantilla, incluidos los puestos directivos. Y el artículo 87 regula el derecho a la intimidad en el uso de los dispositivos digitales puestos a disposición por el empleador. Ninguna de las dos cosas se resuelve con tecnología de acceso.
Cómo se decide quién ve qué
Antes de conectar nada conviene tener escrita la matriz de accesos. Cuatro perfiles bastan como punto de partida:
| Perfil | Debería ver | No debería ver |
|---|---|---|
| Persona trabajadora | Su propio registro completo, sus saldos y sus solicitudes | El registro de nadie más |
| Responsable de equipo o centro | El registro y el cuadrante de su ámbito | Otros centros, datos salariales |
| Administración de personal | Registro completo, resúmenes mensuales, exportaciones | — |
| Representación legal de los trabajadores | Los registros, conforme al art. 34.9 ET | — |
Ese reparto es el que después ejecuta el sistema de identidad. Sin él, el SSO se limita a abrir la puerta más rápido a todo el mundo.
Conviene además dejar constancia escrita del criterio, junto con el resto de la política de tiempo de trabajo: política de control horario de la empresa.
Preguntas antes de contratar
¿El SSO va en el precio o es un recargo? Es una diferencia relevante en herramientas de RRHH: algunos proveedores lo reservan a planes superiores.
¿Incluye aprovisionamiento o solo autenticación? Si solo hay SSO, las bajas siguen siendo manuales y el problema principal continúa abierto.
¿Qué pasa si cae el proveedor de identidad? Hace falta un plan: en una herramienta de fichaje, no poder autenticarse significa que nadie marca. Un método alternativo de marcaje —kiosko con PIN, QR— evita que un incidente de identidad se convierta en un día sin registro.
¿Cómo se refleja la baja en el registro histórico? Desactivar la cuenta no puede borrar los apuntes de esa persona: el artículo 34.9 obliga a conservar los registros cuatro años. Acceso y conservación son cosas distintas. El detalle está en conservar el registro de jornada cuatro años.
¿Qué se registra de cada acceso y cuánto se guarda? Es un tratamiento de datos personales más, y como tal necesita finalidad, plazo y quién puede consultarlo.
Preguntas frecuentes
¿Es obligatorio el SSO para cumplir el registro de jornada?
No. Ninguna norma lo exige. El artículo 34.9 del ET no impone tecnología: exige registro diario con inicio y fin concretos, organizado y documentado por la vía del propio precepto y conservado cuatro años.
¿Qué diferencia hay entre SSO y aprovisionamiento?
El SSO resuelve la autenticación; el aprovisionamiento crea, modifica y desactiva las cuentas desde el directorio corporativo. La baja automática es la ventaja que más pesa en RRHH.
¿Puede la empresa ver el registro de cualquier persona?
El artículo 34.9 sitúa los registros a disposición de las personas trabajadoras, de sus representantes legales y de la Inspección. Dentro de la empresa, quién accede a qué es una decisión de roles que conviene tener escrita y limitada a lo necesario.
¿El SSO mejora la seguridad del registro frente a manipulaciones?
No por sí solo. La integridad del registro depende de cómo se guarden y encadenen los apuntes y de qué rastro dejen las correcciones, no del método de entrada.
¿Qué pasa si el proveedor de identidad no está disponible?
Conviene tener un método de marcaje alternativo previsto. Un día sin poder fichar es un día sin registro, y el artículo 34.9 lo exige diario.
Cómo lo resuelve Tempika
Con honestidad sobre el estado actual: el módulo de SSO y aprovisionamiento con OIDC y Microsoft Entra figura en Tempika como próximamente, sin coste adicional en los planes que lo contemplan. Está construido y en despliegue; hasta que se active, no conviene contarlo como disponible.
Lo que sí está operativo hoy es la capa que decide quién ve qué: control de acceso por ámbito, de modo que un responsable de centro ve su centro y cada persona ve su propio registro, tal como el artículo 34.9 del ET plantea el acceso. Cada corrección guarda autor, fecha y motivo, y hay métodos de marcaje que no dependen de una sesión iniciada —kiosko en tablet con PIN, QR—, útiles precisamente el día en que la identidad corporativa falla.
Las exportaciones para un requerimiento salen desde el modo Inspección en CSV, XML y PDF. Puedes ver qué incluye cada plan en la página de precios o el detalle funcional en las funcionalidades de Tempika.
Contenido elaborado por el Equipo Tempika (Summum Marketing) con la redacción vigente del Estatuto de los Trabajadores y de la Ley Orgánica 3/2018 consultada en el BOE a 31 de julio de 2026. Tiene carácter informativo y no sustituye al asesoramiento jurídico especializado.
¿Lo ponemos en marcha hoy?
14 días gratis, sin tarjeta. Listo en 15 minutos.
Sin tarjeta · Sin permanencia · Baja en 1 clic