Webhooks en RRHH: automatizar avisos sin programar

Casi todas las tareas manuales de un departamento de personal son la misma tarea repetida: enterarse de algo y avisar a alguien. Alguien pide vacaciones y hay que decírselo a su responsable. Un turno se queda sin cobertura y hay que avisar al encargado. Un contrato temporal vence en quince días y alguien tiene que acordarse.

Un webhook automatiza justo eso, y sin programar nada: es un aviso que el sistema envía por su cuenta a otro sistema cuando ocurre un hecho concreto. La parte que se pasa por alto es que ese aviso viaja con datos de personas, sale del sistema donde estaban protegidos y, si está mal configurado, llega a las once de la noche.

TL;DR

Un webhook es un aviso automático que un sistema envía a una dirección de otro sistema cuando ocurre un hecho; no hay que consultar nada, la información llega sola.

Se diferencia de una API en el sentido del flujo: la API se consulta; el webhook notifica.

Cada aviso debe llevar el mínimo dato necesario: el art. 28 de la LOPDGDD obliga a determinar medidas apropiadas valorando riesgos como la usurpación de identidad o el fraude.

Enviar notificaciones fuera del tiempo de trabajo choca con el derecho a la desconexión digital del art. 88 de la LOPDGDD, que obliga a una política interna previa audiencia de los representantes.

Un webhook no es un registro: la obligación del art. 34.9 del ET se cumple con el registro conservado cuatro años, no con el aviso que se envió.

Qué es exactamente y en qué se diferencia de una API

Los dos mecanismos conectan sistemas, pero el flujo va en direcciones opuestas.

	API	Webhook
Quién inicia	El sistema que quiere el dato	El sistema donde ocurre el hecho
Cuándo ocurre	Cuando alguien pregunta	Cuando pasa algo
Uso típico	Volcar los fichajes del mes a nómina	Avisar de que se ha solicitado una ausencia
Coste de estar al día	Consultas repetidas «por si acaso»	Ninguna consulta: la información llega
Requiere programar	Normalmente sí	No necesariamente: basta una dirección de destino

En la práctica se complementan. La integración con nómina se hace por API, porque lo que se necesita es un volcado periódico completo, materia tratada en la guía sobre integración del control horario con el software de nómina. El aviso de que a alguien le queda un día de vacaciones por caducar se hace por webhook, porque es un hecho puntual que no tiene sentido ir a buscar.

El planteamiento general de las conexiones con otros sistemas está en la guía sobre integración por API del registro de jornada con el ERP.

Qué avisos merece la pena automatizar

La regla útil: automatizar lo que hoy alguien vigila a mano y produce un coste cuando se le pasa.

Solicitudes que esperan aprobación. Una petición de ausencia que lleva tres días parada es una petición que acabará resolviéndose por WhatsApp. El aviso al responsable, en el canal donde ya trabaja, cierra ese hueco.

Fichajes que faltan. Quien olvida marcar la salida no lo sabe hasta fin de mes, cuando reconstruirlo es más difícil. Un aviso el mismo día convierte un problema en una corrección trivial. El procedimiento correcto está en la guía sobre cómo corregir un fichaje erróneo.

Turnos sin cobertura tras un cambio. Cuando alguien cae de baja, el hueco se ve en el cuadrante pero nadie lo mira hasta la víspera.

Descansos en riesgo. Un aviso cuando la combinación de dos turnos deja menos de las doce horas del artículo 34.3 del ET vale más que un informe mensual, porque llega cuando todavía se puede cambiar.

Umbrales de horas. El tope de ochenta horas extraordinarias anuales del artículo 35.2 del ET se alcanza sin que nadie lo advierta. Un aviso al 75 % del cupo da margen para decidir.

Vencimientos. Fin de contrato temporal, fin de periodo de prueba, caducidad del saldo de horas de la distribución irregular —que en defecto de pacto es de doce meses, según el artículo 34.2 del ET—.

Y una advertencia de diseño: un webhook por cada evento del sistema produce ruido, y el ruido se ignora. La automatización que funciona es la que sustituye una vigilancia manual concreta, no la que replica el registro entero en otro canal.

Qué datos deben salir, y cuáles no

Un aviso automático es una comunicación de datos personales fuera del sistema que los custodia. Eso obliga a diseñarlo con criterio, no a activarlo por defecto.

El artículo 28.1 de la LOPDGDD establece que los responsables y encargados «determinarán las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme» con la normativa. Y su apartado 2 obliga a tener en cuenta, en particular, los mayores riesgos que podrían producirse

«cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional […]».

De ahí, tres reglas prácticas:

El aviso lleva un identificador, no el expediente. «Solicitud pendiente de aprobación de la persona con ficha 128» y un enlace al sistema es suficiente. El motivo de una ausencia médica no tiene que viajar a un canal de chat.
El destino importa tanto como el contenido. Un canal de equipo con veinte personas no es el sitio para un aviso individual sobre la jornada de alguien.
La dirección de destino es una credencial. Quien la conozca puede recibir los avisos. Se trata con el mismo cuidado que una contraseña, y se revoca cuando deja de usarse.

A esto se suma el deber del artículo 5 de la LOPDGDD: responsables, encargados y todas las personas que intervengan en cualquier fase del tratamiento están sujetos al deber de confidencialidad, obligación que se mantiene aun cuando haya finalizado la relación con el responsable o encargado.

Y una obligación de forma que en el ámbito laboral no es opcional: el artículo 87 de la LOPDGDD exige que el empleador establezca criterios de utilización de los dispositivos digitales respetando los estándares mínimos de protección de la intimidad, con participación de los representantes de los trabajadores en su elaboración, e informando de esos criterios a la plantilla. Si los avisos llegan al móvil, ahí es donde se documenta.

Los derechos que la plantilla puede ejercer sobre estos datos están recogidos en la guía sobre derechos del trabajador sobre los datos de fichaje.

La hora a la que llega el aviso

Es el efecto secundario que casi nadie anticipa. Una automatización se activa cuando ocurre el hecho, y los hechos ocurren a cualquier hora: un fichaje de cierre a las 23:40, una baja comunicada un domingo, una solicitud enviada de madrugada.

El artículo 88 de la LOPDGDD reconoce a los trabajadores y empleados públicos el derecho a la desconexión digital

«a fin de garantizar, fuera del tiempo de trabajo legal o convencionalmente establecido, el respeto de su tiempo de descanso, permisos y vacaciones, así como de su intimidad personal y familiar.»

Su apartado 3 concreta la obligación de la empresa:

«El empleador, previa audiencia de los representantes de los trabajadores, elaborará una política interna dirigida a trabajadores, incluidos los que ocupen puestos directivos, en la que definirán las modalidades de ejercicio del derecho a la desconexión y las acciones de formación y de sensibilización del personal sobre un uso razonable de las herramientas tecnológicas que evite el riesgo de fatiga informática.»

Nótese el inciso: incluidos los que ocupen puestos directivos. La automatización que despierta al responsable de turno a las tres de la madrugada no queda amparada por su categoría.

Tres decisiones de diseño resuelven el problema:

Ventana de envío. Los avisos que no son urgentes se acumulan y se entregan al inicio de la jornada del destinatario.
Excepciones definidas por escrito. Si hay avisos que sí deben llegar a cualquier hora —una incidencia de seguridad, un turno crítico sin cubrir—, se enumeran en la política interna en lugar de decidirse caso por caso.
Destinatario correcto según el turno. En una organización con turnos, el aviso debe ir a quien está de servicio, no siempre a la misma persona.

Lo que un webhook no sustituye

No sustituye al registro. El artículo 34.9 del ET obliga a garantizar el registro diario de jornada con el horario concreto de inicio y finalización de cada persona, y a conservarlo cuatro años a disposición de la plantilla, de sus representantes y de la Inspección de Trabajo y Seguridad Social. Un aviso enviado a un canal externo no es el registro, aunque contenga la misma hora. Lo que se enseña en una actuación inspectora es el registro conservado y exportable.

No sustituye a la trazabilidad de las correcciones. Si un apunte se modifica, lo que acredita la modificación es el propio histórico con autor, fecha y motivo, no la notificación que se envió.

No garantiza la entrega. Los avisos automáticos fallan: el destino cambia, el canal se archiva, la red se cae. Una automatización sobre la que descansa una obligación legal necesita un mecanismo de reintento y un sitio donde queden los envíos fallidos, o acabará produciendo la peor situación posible: la de creer que alguien fue avisado.

No cubre la entrega de documentos obligatorios. El resumen mensual del personal a tiempo parcial del artículo 12.4.c) del ET y el resumen de horas extraordinarias del artículo 35.5 se entregan con el recibo de salarios. Un aviso de que están disponibles no es la entrega.

Preguntas frecuentes

¿Qué es un webhook?

Un aviso automático que un sistema envía a una dirección de otro sistema cuando ocurre un hecho determinado. A diferencia de una API, que se consulta, el webhook notifica sin que nadie pregunte.

¿Hace falta saber programar para usarlos?

Para recibirlos en herramientas que ya los admiten —canales de mensajería, plataformas de automatización, correo— basta con configurar la dirección de destino y elegir qué eventos se envían. Para integrarlos con un sistema propio sí hace falta desarrollo.

¿Puedo enviar datos de la plantilla a un canal de chat?

Con cautela y con el mínimo dato. El artículo 28 de la LOPDGDD obliga a determinar medidas apropiadas atendiendo al riesgo, y un canal compartido amplía el número de personas que ven el dato. Lo razonable es enviar un identificador y un enlace, no el contenido.

¿Puedo mandar avisos fuera del horario laboral?

El artículo 88 de la LOPDGDD reconoce el derecho a la desconexión digital y obliga al empleador a elaborar, previa audiencia de los representantes, una política interna que defina las modalidades de su ejercicio. Lo coherente es programar una ventana de envío y dejar las excepciones por escrito.

¿Un webhook sirve como registro de jornada?

No. La obligación del artículo 34.9 del ET se cumple con el registro diario conservado cuatro años y disponible para la plantilla, sus representantes y la Inspección, no con las notificaciones enviadas.

¿Qué pasa si un aviso no llega?

Que la tarea que dependía de él no se hace, y nadie se entera. Por eso cualquier automatización sobre la que descanse una obligación necesita reintentos y un registro de envíos fallidos que alguien revise.

Cómo lo resuelve Tempika

En Tempika los avisos automáticos se configuran por evento y por destinatario, sin desarrollo: solicitud pendiente de aprobación, fichaje incompleto del día, turno sin cobertura, descanso entre jornadas por debajo del mínimo o saldo de horas próximo a caducar. Cada aviso lleva lo justo para que quien lo recibe sepa qué tiene que hacer y un enlace para resolverlo dentro del sistema, en lugar de exportar el dato al canal.

La ventana de envío es configurable, de modo que lo que no es urgente espera al inicio de la jornada del destinatario en vez de llegar a medianoche. Y los envíos que fallan no desaparecen: quedan en una cola visible para que alguien pueda revisarlos, porque un aviso perdido en silencio es peor que no tener aviso.

Nada de eso sustituye al registro. Los fichajes siguen encadenándose mediante hash unos con otros —el verifyChain—, con las correcciones trazadas con autor, fecha y motivo, y el modo Inspección entrega el periodo completo en CSV, XML y PDF.

Puedes ver el detalle en las funcionalidades de Tempika o revisar cómo se conecta con el resto del sistema en la guía sobre integración por API con el ERP.

Contenido elaborado por el Equipo Tempika (Summum Marketing) con la redacción vigente de la LOPDGDD y del Estatuto de los Trabajadores consultada en el BOE a 31 de julio de 2026. Tiene carácter informativo y no sustituye al asesoramiento jurídico especializado.