Fichaje con GPS y foto.
Imposible de discutir.

Cada sitio tiene una geocerca: un punto y un radio en metros. Cuando el trabajador ficha, la app lee las coordenadas del GPS y la precisión que reporta el propio teléfono (por ejemplo, ±12 m). Con la fórmula de haversine calcula la distancia real al centro del sitio y la compara con el radio más esa precisión. Si cabe, el fichaje se acepta en el teléfono.

La parte que hace la diferencia es la revalidación server-side. El servidor no confía en el resultado que envía la app: vuelve a calcular la distancia con las mismas coordenadas y la misma precisión, y decide por su cuenta. Si el teléfono dijo «dentro» y el servidor dice «fuera», el fichaje no se sella: queda en estado REVIEW y un manager lo aprueba o lo rechaza con un motivo que se guarda en la auditoría. Ni el trabajador ni el administrador pueden saltarse ese paso ni editar el resultado después.

La foto de fichaje existe para una sola cosa: demostrar que quien ficha es quien dice ser, en ese momento y en ese lugar. Trax no hace reconocimiento facial ni compara caras con una base de datos; la foto la revisa una persona de tu organización cuando hace falta, igual que se revisaría una firma en un parte de papel.

Las fotos se guardan en un bucket privado, aislado por organización, y solo se sirven con URLs firmadas que caducan a la hora. Nadie fuera de tu cuenta puede abrirlas, ni siquiera con el enlace. Los datos de cada organización están separados por RLS (row level security) en la base de datos, así que un cliente de Trax nunca ve fichajes, fotos ni sitios de otro. Y la ubicación se captura únicamente al pulsar entrada o salida: la app no lee el GPS en segundo plano ni construye una traza del recorrido del trabajador durante el día.

Sótanos, cuartos de máquinas, plantas bajas de obra, fincas en las afueras: buena parte del trabajo de campo ocurre sin cobertura. Trax está diseñado offline primero. El identificador del fichaje nace en el teléfono, no en el servidor, así que el registro existe desde el primer segundo aunque no haya red. Se guardan el GPS, la precisión, la hora del dispositivo y la foto tal como se capturaron.

Cuando vuelve la señal, la cola de sincronización envía los fichajes en el orden causal en que ocurrieron (entrada antes que salida, aunque se hayan tomado con horas de diferencia). El servidor revalida cada uno contra la geocerca con los datos originales, no con la hora ni la ubicación de cuando se recuperó la cobertura. Si un fichaje offline cayó fuera del radio, entra en revisión igual que uno online. El manager ve en el historial que se sincronizó más tarde, pero las horas facturables son las reales.