Accordo sul trattamento dei dati

Il cliente, l'azienda identificata nell'account, è il titolare del trattamento: decide quali dati vengono raccolti, per quale scopo e per quanto tempo. ClockWitness è il responsabile del trattamento: tratta i dati del cliente solo per suo conto e secondo le sue istruzioni.

ClockWitness è fornito da Espírito Rebelde Publicidade e Marketing Lda.

Indirizzo: Rua da Fábrica 222, Armazém 2, 4470-768 Maia, Portugal

Numero di registrazione: 509360378

Contatto per la privacy e la protezione dei dati (DPO): Bruna Teixeira, privacy@clockwitness.com.

Oggetto e finalità: fornire il servizio descritto nei Termini di servizio, ossia registrare e documentare il tempo di lavoro e gestire orari, assenze, report e fogli presenze, secondo le funzionalità che il cliente attiva.

Natura del trattamento: raccolta, hosting, conservazione, organizzazione, visualizzazione, esportazione e cancellazione dei dati.

Durata: finché i Termini di servizio sono in vigore e fino alla cancellazione dei dati del cliente, ai sensi della sezione 11.

Interessati: le persone che lavorano per il cliente (collaboratori, manager e proprietari dell'account) e altre persone che il cliente invita nell'account, ad esempio suoi clienti con accesso in sola lettura.

Categorie di dati: dati dell'account (nome, email, ruolo, lingua, fuso orario); dispositivi (nome del computer, versioni del sistema e dell'agente); registrazioni del tempo, pause, progetti e descrizioni delle attività; schermate; livello di attività di tastiera e mouse (mai ciò che viene digitato né quali tasti vengono premuti); nome delle applicazioni e titolo delle finestre, se il cliente lo mantiene attivo; posizione al momento dell'entrata e dell'uscita nell'app mobile, se il cliente la richiede; orari, assenze e buste paga; e il registro di audit.

Categorie particolari: il servizio non le richiede, ma possono comparire in schermate, titoli di finestre o note libere. Il cliente deve configurare il servizio e istruire il proprio team in modo da ridurre questo rischio.

Trattiamo i dati del cliente solo su sue istruzioni documentate, anche per quanto riguarda i trasferimenti al di fuori dello Spazio economico europeo (SEE). Le istruzioni sono i Termini di servizio, questo accordo, le impostazioni che il cliente sceglie nella dashboard (ad esempio schermate, frequenza, registrazione delle applicazioni, posizione e periodo di conservazione) e le altre istruzioni scritte che ci fornisce. Se la legge ci impone un trattamento diverso, ne informiamo prima il cliente, salvo che la legge lo vieti.

Se riteniamo che un'istruzione violi il GDPR o un'altra legge sulla protezione dei dati, ne informiamo immediatamente il cliente.

Il cliente ci concede un'autorizzazione scritta generale a ricorrere a sub-responsabili del trattamento, come servizi esterni di hosting, su cui funzionano l'applicazione, il database, l'archiviazione delle schermate e i backup.

L'elenco aggiornato dei sub-responsabili del trattamento è disponibile su richiesta, via email a privacy@clockwitness.com.

Avvisiamo i proprietari degli account via email prima di aggiungere o sostituire un sub-responsabile del trattamento, affinché il cliente possa opporsi per motivi ragionevoli. Se non troviamo una soluzione, il cliente può chiudere l'account prima che la modifica abbia effetto.

Imponiamo contrattualmente a ciascun sub-responsabile del trattamento obblighi di protezione dei dati equivalenti a quelli di questo accordo e restiamo responsabili nei confronti del cliente del loro adempimento.

Ospitiamo i dati del cliente in data center nell'Unione europea, e i nostri backup sono conservati nell'Unione europea, cifrati.

Se nostro personale autorizzato o un sub-responsabile del trattamento accede ai dati del cliente da un paese al di fuori del SEE, ciò avviene solo sulla base di una delle garanzie del capo V del GDPR: una decisione di adeguatezza della Commissione europea (compreso, per gli Stati Uniti, il Quadro UE-USA per la protezione dei dati personali, quando il destinatario è certificato ai sensi di esso) oppure le clausole contrattuali tipo adottate dalla Commissione europea, accompagnate da una valutazione d'impatto del trasferimento e dalle misure supplementari che risultino necessarie. I dettagli sono nella sezione «Trasferimenti internazionali» dell'Informativa sulla privacy.

Se il cliente, o utenti da lui autorizzati, accedono ai dati dall'esterno del SEE, tale accesso avviene secondo le istruzioni e sotto la responsabilità del cliente.

Aiutiamo il cliente a rispondere alle richieste di esercizio dei diritti degli interessati. Il servizio stesso gli consente di: mostrare a ciascuna persona i propri registri e le proprie schermate; correggere le registrazioni del tempo, con ogni correzione registrata; disattivare le schermate per tutta l'azienda o per persone specifiche e disattivare la registrazione delle applicazioni; ed esportare i registri in CSV e PDF.

Quando il cliente ci chiede per iscritto la cancellazione di una persona già disattivata, cancelliamo le sue schermate, la registrazione di applicazioni e finestre, le coordinate GPS esatte, i dispositivi, le credenziali e le note libere, e sostituiamo la sua email con uno pseudonimo. Conserviamo le registrazioni del tempo di lavoro e dei pagamenti che il cliente può essere tenuto per legge a conservare.

Se un interessato ci contatta direttamente in merito a dati del cliente, inoltriamo la richiesta al cliente senza ingiustificato ritardo e non rispondiamo nel merito, salvo istruzione del cliente.

Il cliente può, in qualsiasi momento, esportare i propri registri (restituzione) e richiedere la chiusura dell'account. Alla chiusura, dopo aver generato un'esportazione completa dei registri, cancelliamo l'azienda, i suoi utenti, i suoi registri e le schermate conservate, salvo che la legge ci imponga di conservare alcuni dati. Le immagini delle schermate non fanno parte delle esportazioni.

L'esportazione di chiusura viene inviata al titolare via e-mail, come collegamento personale per scaricarla. Il collegamento funziona senza accedere, anche dopo l'eliminazione dell'account, per 30 giorni; trascorso tale termine smette di funzionare e il file viene eliminato dai nostri server.

I dati cancellati scompaiono dai backup man mano che questi scadono: i backup giornalieri del database vengono conservati per 30 giorni e gli altri ruotano e vengono sostituiti periodicamente.