Il nostro impegno
Qrew è progettato secondo il principio di privacy by design. Rispettiamo il Regolamento generale sulla protezione dei dati dell’UE (GDPR 2016/679) e il Codice italiano in materia di protezione dei dati personali (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018).
Titolare del trattamento
Arcanode di Alessandro Pasqualetti — operante con il nome commerciale Qrew, con sede legale in Via Corte, Panicale — 55041 Camaiore (LU), Italia, partita IVA IT02755170467 — è il titolare del trattamento. Le richieste in materia di protezione dei dati vanno inviate a [email protected]. Non è stato designato un DPO (l'art. 37 del GDPR non lo richiede per questa attività).
Base giuridica del trattamento
| Finalità | Base giuridica |
|---|---|
| Erogazione del servizio di rilevazione delle presenze | Esecuzione del contratto (art. 6, par. 1, lett. b) |
| Calcolo delle paghe | Esecuzione del contratto + obbligo di legge |
| Geofencing GPS | Legittimo interesse — prevenzione delle frodi (art. 6, par. 1, lett. f) |
| Verifica fotografica | Consenso (art. 6, par. 1, lett. a) — attivazione facoltativa del tenant; i lavoratori caricano le foto solo in timbratura |
| Notifiche push | Consenso (art. 6, par. 1, lett. a) |
| Log di audit | Legittimo interesse — prova di conformità |
| Log di accesso e di sicurezza del server (indirizzo IP, metadati della richiesta) | Legittimo interesse — gestione e messa in sicurezza del servizio e indagine sugli abusi (art. 6, par. 1, lett. f); obbligo di legge per la traccia di audit |
| Misurazione aggregata del traffico del sito (AWStats, dai log del server) | Legittimo interesse — miglioramento del servizio (art. 6, par. 1, lett. f). Avviene lato server e senza cookie: gli indirizzi dei visitatori sono anonimizzati (hash) e solo la geolocalizzazione a livello di paese è risolta localmente. |
| Fingerprint del dispositivo | Legittimo interesse — anti-spoofing (art. 6, par. 1, lett. f). Segnali raccolti: hash del canvas, vendor/renderer WebGL, fingerprint AudioContext, risoluzione dello schermo, fuso orario, hardware concurrency, font installati, plugin del browser. Per questa finalità non viene impostato alcun cookie. L'hash serve unicamente a verificare che la timbratura provenga da un dispositivo noto e ad assegnare un punteggio di affidabilità; non è utilizzato per profilazione, pubblicità o tracciamento cross-site. |
Diritti dell'interessato
Ai sensi del GDPR ti spettano i seguenti diritti:
- Accesso (art. 15): richiedi una copia dei tuoi dati personali.
- Rettifica (art. 16): correggi i dati inesatti.
- Cancellazione (art. 17): richiedi la cancellazione (“diritto all’oblio”).
- Limitazione (art. 18): limita il modo in cui utilizziamo i tuoi dati.
- Portabilità (art. 20): ricevi i tuoi dati in un formato leggibile da dispositivo automatico.
- Opposizione (art. 21): opporti al trattamento basato sul legittimo interesse.
Invia le richieste a [email protected]. Rispondiamo entro 30 giorni.
Conservazione dei dati
I dati personali operativi (profilo, sessioni, coordinate GPS, fingerprint del dispositivo, foto) sono conservati per la durata del rapporto di lavoro attivo del lavoratore più 30 giorni. Le registrazioni rilevanti ai fini della paga sono conservate per 10 anni, come richiesto dalla normativa italiana sul lavoro (art. 2949 Codice Civile). I log di audit sono conservati per 10 anni come prova di conformità valida in sede giudiziaria. Gli altri dati personali sono eliminati entro 30 giorni dalla chiusura dell’account o dalla richiesta di cancellazione dell’interessato, a seconda di quale delle due si verifichi per prima.
Trasferimenti internazionali
Tutti i dati sono archiviati in data center nell'UE. Sub-responsabili e infrastruttura:
- Stripe (pagamenti) — adotta clausole contrattuali standard dell'UE per qualsiasi sub-trattamento al di fuori del SEE.
- WAHA / WhatsApp (messaggistica) — Meta Platforms Ireland Ltd. Dati trattati secondo l'EU Data Processing Addendum di Meta.
- Cloudflare (CDN e reverse proxy, sicurezza) — termina il TLS al proprio edge e filtra il traffico malevolo davanti a qrew.it, app.qrew.it e api.qrew.it.
- Contabo (hosting) — il nostro VPS, l’applicazione e il database sono situati in Germania (UE); i file del database sono su volumi crittografati a riposo.
- AWStats (misurazione del traffico) — software gratuito e open-source che eseguiamo sul nostro stesso server. Non è un destinatario terzo: elabora localmente i nostri log di accesso, non imposta cookie e anonimizza (hash) gli indirizzi dei visitatori.
Notifica delle violazioni dei dati
In caso di violazione dei dati personali, notificheremo l'evento all'autorità di controllo (Garante per la protezione dei dati personali) entro 72 ore e informeremo gli interessati senza ingiustificato ritardo qualora la violazione presenti un rischio elevato per i loro diritti e libertà.
Registro delle attività di trattamento
Teniamo un registro dettagliato di tutte le attività di trattamento, come richiesto dall'art. 30 del GDPR. Il registro è a disposizione dell'autorità di controllo su richiesta.