Informativa sulla privacy

1. Introduzione

Qrew (“noi”, “ci”, “nostro”) si impegna a proteggere la tua privacy. Questa Informativa spiega come raccogliamo, utilizziamo, comunichiamo e proteggiamo i tuoi dati personali quando usi la nostra piattaforma SaaS di rilevazione delle presenze e i servizi collegati.

Trattiamo i dati personali nel rispetto del Regolamento generale sulla protezione dei dati dell'UE (GDPR) e della normativa italiana vigente in materia di protezione dei dati personali.

2. Titolare del trattamento

Il titolare del trattamento è Arcanode di Alessandro Pasqualetti, che opera con il nome commerciale Qrew, con sede legale in Via Corte, Panicale — 55041 Camaiore (LU), Italia, partita IVA IT02755170467. Puoi contattare il referente per la protezione dei dati all'indirizzo [email protected].

Non è stato designato un Responsabile della protezione dei dati (DPO): il titolare non rientra nei criteri di cui all'art. 37 del GDPR. Le richieste relative ai diritti dell'interessato indicati di seguito sono gestite direttamente dal titolare.

3. Dati che raccogliamo

Dati dell'account: nome, indirizzo e-mail, numero di telefono, nome dell'azienda.
Dati dei lavoratori: numero di telefono, nome visualizzato, orari di entrata e uscita, coordinate GPS (rilevate solo al momento della timbratura e durante le sessioni attive per i controlli del perimetro di geofence — nessun tracciamento continuo della posizione viene memorizzato), identificativi del dispositivo.
Dati biometrici e di verifica: foto di verifica (codificate in base64, memorizzate nel database dell'applicazione), punteggi di rilevamento della presenza (liveness), credenziali passkey WebAuthn.
Dati di fingerprint del dispositivo: hash del rendering canvas, vendor/renderer WebGL, fingerprint AudioContext, risoluzione dello schermo, fuso orario, hardware concurrency, font installati, plugin del browser — utilizzati esclusivamente per l'anti-spoofing e il punteggio di affidabilità del dispositivo (vedi la sezione 4).
Dati di utilizzo: durata delle sessioni, assegnazioni delle sedi, calcoli delle paghe, registrazioni delle penalità, registrazioni delle pause, log di audit di conformità.
Dati di fatturazione: il paese approssimativo dedotto dall’indirizzo IP della richiesta (tramite Cloudflare) al momento del checkout, utilizzato esclusivamente per mostrare e addebitare i prezzi in una valuta locale (EUR, GBP o USD). Nessuna posizione precisa viene memorizzata e la deduzione non è usata per alcun altro scopo.
Log di server e di sicurezza: quando raggiungi i nostri siti o la nostra API, il server web registra nei log di accesso i metadati della connessione — indirizzo IP, data e ora, risorsa richiesta, codice di stato HTTP, volume di dati trasferito e informazioni su browser e pagina di provenienza (User-Agent e Referer). Il tuo indirizzo IP viene inoltre conservato nei registri di autenticazione, registrazione e audit di conformità dell’applicazione come misura di sicurezza e per adempiere a obblighi di legge. Questi dati sono usati solo per mantenere sicuro il servizio, indagare abusi e misurare il traffico in forma aggregata (vedi le sezioni 7 e 8); non servono mai a creare un profilo individuale del visitatore. Le statistiche aggregate di traffico sono prodotte sul nostro stesso server con AWStats, che anonimizza (hash) gli indirizzi dei visitatori e risolve localmente la geolocalizzazione a livello di paese.

4. Base giuridica del trattamento

Esecuzione del contratto: trattamento necessario per erogare il servizio di rilevazione delle presenze.
Legittimo interesse: prevenzione delle frodi, sicurezza, miglioramento del servizio.
Consenso: notifiche push, verifica fotografica facoltativa.
Obbligo di legge: adempimento degli obblighi di conservazione previsti dalla normativa sul lavoro.

5. Conservazione dei dati

I dati personali presenti nel database operativo sono conservati per la durata del rapporto di lavoro attivo del lavoratore più 30 giorni, periodo durante il quale i lavoratori possono visualizzare, esportare o eliminare i propri dati tramite il Pannello privacy.

Le registrazioni rilevanti ai fini della paga (durata delle sessioni, retribuzioni orarie, calcoli degli straordinari) sono conservate per 10 anni, come richiesto dagli obblighi civilistici di tenuta delle scritture (art. 2949 Codice Civile). Anche i log di audit e le registrazioni della catena di custodia sono conservati per 10 anni come prova di conformità valida in sede giudiziaria.

Le foto di verifica vengono eliminate insieme ai dati di sessione del lavoratore quando questi esercita il diritto alla cancellazione (vedi la sezione 6). Le foto sono memorizzate nel database dell'applicazione e sono accessibili solo all'amministratore proprietario (il tenant che ha creato il luogo di lavoro).

Puoi richiedere una cancellazione anticipata, ove consentita dalla legge, tramite il Pannello privacy nell’app o scrivendo a [email protected].

6. I tuoi diritti (GDPR)

Diritto di accesso (art. 15)
Diritto di rettifica (art. 16)
Diritto alla cancellazione (art. 17)
Diritto alla limitazione del trattamento (art. 18)
Diritto alla portabilità dei dati (art. 20)
Diritto di opposizione (art. 21)

Per esercitare i tuoi diritti, scrivi a [email protected].

7. Responsabili e sub-responsabili del trattamento

Per erogare il servizio ci avvaliamo dei seguenti sub-responsabili:

Stripe (elaborazione dei pagamenti) — data center nell'UE con clausole contrattuali standard per qualsiasi sub-trattamento al di fuori del SEE.
WAHA (WhatsApp HTTP API) — utilizzato per inviare ai lavoratori i messaggi di verifica del PIN di timbratura e le notifiche push. I numeri di telefono e il contenuto dei messaggi sono trasmessi a Meta Platforms Ireland Ltd secondo la sua Business Policy. Vedi l'informativa sulla privacy di WhatsApp.
Server e-mail self-hosted Mailcow — e-mail transazionali (codici OTP, ricevute di fatturazione).
Cloudflare — rete CDN e reverse proxy posta davanti a qrew.it, app.qrew.it e api.qrew.it. Cloudflare termina la connessione TLS al proprio edge, filtra il traffico malevolo e inoltra le richieste al nostro server; fornisce inoltre la deduzione a livello di paese usata per la fatturazione (sezione 3) e può impostare i cookie tecnici descritti nella Cookie Policy. Il trattamento avviene all'interno della rete di Cloudflare. Vedi l'informativa sulla privacy di Cloudflare.
Contabo — la nostra API, l'applicazione e il database sono ospitati su un VPS Contabo situato in Germania (UE). I file del database sono archiviati su volumi crittografati a riposo.
AWStats — uno strumento gratuito e open-source di analisi dei log che eseguiamo sul nostro stesso server per produrre statistiche di traffico aggregate e non identificabili (visualizzazioni, paesi, browser). Legge i log di accesso del server web descritti nella sezione 3, non imposta cookie, anonimizza (hash) gli indirizzi dei visitatori nel proprio database, risolve localmente la geolocalizzazione a livello di paese da un file IP-country e non condivide alcun dato con terze parti.

Non trasferiamo dati personali verso paesi terzi senza adeguate garanzie (clausole contrattuali standard dell'UE o decisioni di adeguatezza).

8. Sicurezza

Adottiamo misure tecniche e organizzative adeguate, tra cui:

Crittografia a riposo (volume del database) e in transito: il TLS è terminato all’edge di Cloudflare e nuovamente cifrato tra l’edge e il nostro server di origine.
Cookie di sessione HttpOnly, Secure, SameSite=Lax in produzione.
Protezione CSRF tramite double-submit token.
Log di audit con verifica della catena di custodia tramite HMAC come prova in sede giudiziaria.
Fingerprint del dispositivo e punteggio di affidabilità per l'anti-spoofing.
Controllo degli accessi basato sui ruoli (un amministratore può accedere solo ai dati del proprio tenant).
Revisioni periodiche della sicurezza.

9. Modifiche

Potremmo aggiornare questa informativa. Le modifiche sostanziali saranno comunicate via e-mail o tramite notifica nell'app con almeno 30 giorni di preavviso rispetto alla loro efficacia.