Nuestro compromiso
Qrew está construido con privacidad desde el diseño. Cumplimos el Reglamento General de Protección de Datos de la UE (RGPD 2016/679) y el Código italiano de protección de datos personales (D.Lgs. 196/2003, modificado por el D.Lgs. 101/2018).
Responsable del tratamiento
Arcanode di Alessandro Pasqualetti — que opera con el nombre comercial Qrew, con domicilio social en Via Corte, Panicale — 55041 Camaiore (LU), Italia, NIF/IVA IT02755170467 — es el responsable del tratamiento. Las solicitudes en materia de protección de datos deben dirigirse a [email protected]. No se ha nombrado DPD (el art. 37 del RGPD no lo exige para esta actividad).
Base jurídica del tratamiento
| Finalidad | Base jurídica |
|---|---|
| Prestación del servicio de control horario | Ejecución del contrato (art. 6, ap. 1, letra b) |
| Cálculo de nóminas | Ejecución del contrato + obligación legal |
| Geovalla GPS | Interés legítimo — prevención del fraude (art. 6, ap. 1, letra f) |
| Verificación fotográfica | Consentimiento (art. 6, ap. 1, letra a) — activación por el tenant; los empleados solo suben fotos al fichar |
| Notificaciones push | Consentimiento (art. 6, ap. 1, letra a) |
| Registro de auditoría | Interés legítimo — prueba de cumplimiento |
| Registros de acceso y de seguridad del servidor (dirección IP, metadatos de la solicitud) | Interés legítimo — operación y aseguramiento del servicio e investigación de abusos (art. 6, ap. 1, letra f) ; obligación legal para el rastro de auditoría |
| Medición agregada del tráfico del sitio (AWStats, a partir de los registros del servidor) | Interés legítimo — mejora del servicio (art. 6, ap. 1, letra f). Se ejecuta en el servidor y sin cookies: las direcciones de los visitantes se someten a funciones hash y solo se resuelve localmente la geolocalización a nivel de país. |
| Huella del dispositivo | Interés legítimo — prevención de la suplantación (art. 6, ap. 1, letra f). Señales recopiladas: hash del canvas, proveedor/motor WebGL, huella de AudioContext, resolución de pantalla, zona horaria, concurrencia de hardware, fuentes instaladas y complementos del navegador. Con esta finalidad no se instalan cookies. El hash se usa únicamente para comprobar que el fichaje procede de un dispositivo conocido y para asignar una puntuación de confianza; no se emplea para elaborar perfiles, publicidad ni seguimiento entre sitios. |
Derechos del interesado
Conforme al RGPD, te asisten los siguientes derechos:
- Acceso (art. 15): solicita una copia de tus datos personales.
- Rectificación (art. 16): corrige los datos inexactos.
- Supresión (art. 17): solicita la eliminación (“derecho al olvido”).
- Limitación (art. 18): limita el modo en que usamos tus datos.
- Portabilidad (art. 20): recibe tus datos en un formato legible por máquina.
- Oposición (art. 21): opónte al tratamiento basado en el interés legítimo.
Envía tus solicitudes a [email protected]. Respondemos en un plazo de 30 días.
Conservación de los datos
Los datos personales operativos (perfil, sesiones, coordenadas GPS, huellas del dispositivo y fotos) se conservan durante la vigencia de la relación laboral activa del empleado más 30 días. Los registros relevantes para la nómina se conservan 10 años, como exige la legislación laboral italiana (art. 2949 Codice Civile). Los registros de auditoría se conservan 10 años como prueba de cumplimiento válida ante un tribunal. Los demás datos personales se eliminan en un plazo de 30 días desde el cierre de la cuenta o desde la solicitud de supresión del interesado, según lo que ocurra primero.
Transferencias internacionales
Todos los datos se almacenan en centros de datos de la UE. Subencargados e infraestructura:
- Stripe (pagos) — mantiene cláusulas contractuales tipo de la UE para cualquier subtratamiento fuera del EEE.
- WAHA / WhatsApp (mensajería) — Meta Platforms Ireland Ltd. Los datos se tratan conforme al anexo de tratamiento de datos de la UE de Meta.
- Cloudflare (CDN y proxy inverso, seguridad) — termina el TLS en su borde (edge) y filtra el tráfico malicioso delante de qrew.it, app.qrew.it y api.qrew.it.
- Contabo (hosting) — nuestro VPS, la aplicación y la base de datos están ubicados en Alemania (UE); los archivos de la base se guardan en volúmenes cifrados en reposo.
- AWStats (medición del tráfico) — software libre y de código abierto que ejecutamos en nuestro propio servidor. No es un destinatario tercero: procesa nuestros registros de acceso localmente, no establece cookies y aplica funciones hash a las direcciones de los visitantes.
Notificación de violaciones de datos
En caso de violación de la seguridad de los datos personales, lo notificaremos a la autoridad de control (Garante per la protezione dei dati personali) en un plazo de 72 horas e informaremos a los afectados sin dilación indebida cuando la violación suponga un alto riesgo para sus derechos y libertades.
Registro de las actividades de tratamiento
Mantenemos un registro detallado de todas las actividades de tratamiento, como exige el art. 30 del RGPD. Este registro está a disposición de la autoridad de control cuando lo solicite.