Conformité RGPD
Dernière mise à jour : septembre 2026
Notre engagement
Qrew est conçu selon le principe de protection des données dès la conception (privacy by design). Nous respectons le Règlement général sur la protection des données de l’UE (RGPD 2016/679) et le Code italien de protection des données personnelles (D.Lgs. 196/2003, tel que modifié par le D.Lgs. 101/2018).
Responsable du traitement
Arcanode di Alessandro Pasqualetti — une entreprise individuelle (impresa individuale) exerçant sous le nom commercial Qrew, dont le siège social est situé à Via Corte, Panicale — 55041 Camaiore (LU), Italia, numéro de TVA IT02755170467 — est le responsable du traitement. Les demandes relatives à la protection des données sont à adresser à [email protected]. Aucun DPO n’est désigné (l’art. 37 du RGPD n’en impose pas pour cette activité).
Base légale du traitement
| Finalité | Base légale |
|---|---|
| Fourniture du service de suivi du temps | Exécution du contrat (art. 6, par. 1, point b) |
| Calculs de paie | Exécution du contrat + obligation légale |
| Géorepérage GPS | Intérêt légitime — prévention de la fraude (art. 6, par. 1, point f) |
| Vérification photo | Consentement (art. 6, par. 1, point a) — activation par le tenant ; les salariés ne téléversent des photos qu’au pointage |
| Notifications push | Consentement (art. 6, par. 1, point a) |
| Journal d’audit | Intérêt légitime — preuve de conformité |
| Empreinte d’appareil | Intérêt légitime — lutte contre l’usurpation (art. 6, par. 1, point f). Signaux collectés : hash canvas, fournisseur/moteur WebGL, empreinte AudioContext, résolution d’écran, fuseau horaire, parallélisme matériel, polices installées, plugins du navigateur. Aucun cookie n’est déposé à cette fin. Le hash sert uniquement à vérifier que le pointage provient d’un appareil connu et à attribuer un score de confiance ; il n’est utilisé ni à des fins de profilage, ni de publicité, ni de suivi intersites. |
Droits de la personne concernée
Vous disposez des droits suivants au titre du RGPD :
- Accès (art. 15) : demandez une copie de vos données personnelles.
- Rectification (art. 16) : corrigez les données inexactes.
- Effacement (art. 17) : demandez la suppression (« droit à l’oubli »).
- Limitation (art. 18) : limitez la manière dont nous utilisons vos données.
- Portabilité (art. 20) : recevez vos données dans un format lisible par machine.
- Opposition (art. 21) : opposez-vous au traitement fondé sur l’intérêt légitime.
Adressez vos demandes à [email protected]. Nous répondons sous 30 jours.
Conservation des données
Les données personnelles opérationnelles (profil, sessions, coordonnées GPS, empreintes d’appareil, photos) sont conservées pendant toute la durée du contrat de travail actif du salarié, plus 30 jours. Les enregistrements utiles à la paie sont conservés 10 ans, comme l’exige le droit du travail italien (art. 2949 Codice Civile). Les journaux d’audit sont conservés 10 ans à titre de preuve de conformité opposable devant un tribunal. Les autres données personnelles sont supprimées dans les 30 jours suivant la clôture du compte ou la demande d’effacement de la personne concernée, selon la première échéance atteinte.
Transferts internationaux
Toutes les données sont stockées dans des centres de données situés dans l’UE. Sous-traitants :
- Stripe (paiements) — maintient des clauses contractuelles types de l’UE pour tout sous-traitement hors EEE.
- WAHA / WhatsApp (messagerie) — Meta Platforms Ireland Ltd. Données traitées selon l’avenant de traitement des données UE de Meta.
- VPS d’hébergement — situé dans l’UE ; fichiers de la base sur des volumes chiffrés au repos.
Notification des violations de données
En cas de violation de données personnelles, nous notifierons l’autorité de contrôle (Garante per la protezione dei dati personali) dans les 72 heures et informerons les personnes concernées sans retard injustifié lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés.
Registre des activités de traitement
Nous tenons un registre détaillé de toutes les activités de traitement, comme l’exige l’art. 30 du RGPD. Ce registre est tenu à la disposition de l’autorité de contrôle sur demande.