Informativa sulla privacy

In vigore dal 23 Ottobre 2026. Ultimo aggiornamento: 23 Ottobre 2026.

Questa informativa spiega quali dati personali tratta ClockWitness, per quale scopo, su quale base giuridica, per quanto tempo e quali diritti ha su di essi. Si applica in tutto il mondo: qualunque sia il paese in cui vive o lavora, garantiamo a tutte le persone il livello di protezione del Regolamento generale sulla protezione dei dati (GDPR) dell'Unione europea.

Chi siamo e come contattarci

ClockWitness è fornito da Espírito Rebelde Publicidade e Marketing Lda.

Indirizzo: Rua da Fábrica 222, Armazém 2, 4470-768 Maia, Portugal

Numero di registrazione: 509360378

Contatto per la privacy e la protezione dei dati (RPD): Bruna Teixeira, privacy@clockwitness.com. Usi questo indirizzo per qualsiasi domanda su questa informativa o sui suoi dati.

Chi decide sui suoi dati

ClockWitness è usato da aziende, i nostri clienti, per registrare il tempo di lavoro dei loro team. Per questo, a seconda dei dati, abbiamo uno di due ruoli:

Dati dello spazio di lavoro — le ore, le schermate, l'attività e la posizione dei collaboratori di un'azienda cliente. È l'azienda (il datore di lavoro) a decidere quali dati vengono raccolti, per quale scopo e per quanto tempo: è lei il titolare del trattamento. ClockWitness è il responsabile del trattamento: tratta questi dati solo per conto dell'azienda e secondo le sue istruzioni.
Dati dell'account, di fatturazione e del sito — in questo caso il titolare del trattamento è ClockWitness.

Se lavora per un'azienda che usa ClockWitness e ha una domanda o una richiesta sui suoi dati dello spazio di lavoro, contatti prima il suo datore di lavoro: è lui a decidere su quei dati. Se ci contatta direttamente, inoltreremo la richiesta all'azienda e la aiuteremo a rispondere.

Quali dati trattiamo e perché

Usiamo i dati solo per scopi di lavoro: fornire il servizio, fatturarlo, mantenerlo sicuro e rispettare la legge. Non vendiamo dati personali, non li usiamo per la pubblicità e non creiamo profili di marketing.

Dati dell'account

Nome, indirizzo email, password (conservata solo come hash, mai in chiaro), azienda, ruolo (titolare, responsabile o collaboratore), lingua e fuso orario e, se attiva l'autenticazione a due fattori, il segreto di quel secondo fattore. Registriamo anche i dispositivi collegati all'account (nome del computer, versione del sistema operativo e dell'agente) e, in un registro di audit, le azioni importanti, con data, ora e indirizzo IP. Servono a creare e gestire l'account, autenticare chi accede e proteggere il servizio.

Ore e registrazioni del tempo

Inizio e fine di ogni sessione di lavoro, pause, progetto e attività, descrizioni delle attività svolte e correzioni apportate alle registrazioni. Se l'azienda usa queste funzionalità, anche orari, turni, assenze e ferie, e tariffe orarie per calcolare gli stipendi o fatturare ai propri clienti.

Schermate

Mentre una sessione è in registrazione sul computer, l'agente desktop acquisisce schermate di tutti i monitor, con la frequenza stabilita dall'azienda (per impostazione predefinita, circa una ogni 2 minuti). L'azienda può disattivare le schermate per tutto il team o per singole persone. Ogni consultazione delle schermate di un'altra persona viene annotata nel registro di audit.

Attività

Per intervallo di tempo: se c'è stata attività di tastiera e mouse (mai ciò che viene scritto né quali tasti vengono premuti), i periodi di inattività e un riepilogo statistico del ritmo dei movimenti del mouse, usato per segnalare schemi che sembrano automatici — un segnale da far esaminare a una persona, mai una decisione automatica. Se l'azienda lo mantiene attivo, anche il nome delle applicazioni e il titolo delle finestre in primo piano e il tempo trascorso in ciascuna. ClockWitness non è un keylogger e non registra video dello schermo.

Posizione (app mobile)

Solo se l'azienda lo richiede e la persona concede l'autorizzazione alla posizione sul telefono: le coordinate GPS al momento dell'entrata e dell'uscita e il luogo di lavoro a cui corrispondono. Se l'azienda attiva l'entrata e l'uscita automatiche per zona, l'app invia la posizione per rilevare l'arrivo in un luogo di lavoro o l'uscita da esso. Non conserviamo il percorso né la posizione continua nel corso della giornata.

Fatturazione

Nome dell'azienda, paese, partita IVA, email del titolare dell'account, piano, numero di persone, storico di pagamenti e crediti, e gli identificativi di cliente e di metodo di pagamento che il fornitore di pagamenti ci restituisce. L'indirizzo di fatturazione e i dati della carta vengono inseriti direttamente nella pagina del fornitore di pagamenti; i dati della carta non passano mai dai nostri server.

Sito e comunicazioni

Quando visita il sito, i nostri server trattano l'indirizzo IP e i dati tecnici della richiesta (browser, pagina richiesta) per servire le pagine e prevenire abusi. Se richiede un account o si registra, trattiamo ciò che indica nel modulo (azienda, nome, email, telefono, dimensione del team, codice partner). Inviamo email di servizio (inviti, recupero della password, avvisi sul periodo di prova e sui pagamenti, report e avvisi che configura) e, se le attiva, notifiche del browser. Se ci scrive, usiamo il suo messaggio per rispondere. Per diagnosticare i guasti raccogliamo report tecnici sugli errori, configurati per escludere dati personali come indirizzi IP e cookie.

Base giuridica

Contratto — per creare e gestire l'account, fornire il servizio sottoscritto dall'azienda, fatturarlo e inviare le comunicazioni di servizio.
Legittimo interesse — per mantenere sicuri il sito e il servizio, prevenire abusi e frodi, tenere il registro di audit e diagnosticare gli errori. Lo facciamo in modo proporzionato, e può opporsi (vedi «I suoi diritti»).
Consenso — quando glielo chiediamo, ad esempio per attivare le notifiche del browser. Può revocarlo in qualsiasi momento, senza pregiudicare quanto fatto in precedenza.
Obbligo legale — per conservare i documenti di fatturazione per il periodo richiesto dalla legge e rispondere alle richieste legittime delle autorità.

Per i dati dello spazio di lavoro, è l'azienda, in qualità di titolare del trattamento, a stabilire la base giuridica (ad esempio, il contratto di lavoro, un obbligo legale di registrare l'orario di lavoro o il suo legittimo interesse) e a doverne informare il proprio team. In ogni caso, questi dati servono solo per scopi di lavoro.

Chi riceve i dati

Non vendiamo né affittiamo dati personali. Ci avvaliamo solo di servizi esterni di hosting, dove funzionano l'applicazione, il database, l'archiviazione delle schermate e i backup, e che trattano i dati solo secondo le nostre istruzioni; e di un fornitore di pagamenti, che elabora i pagamenti degli abbonamenti. Se attiva le notifiche del browser, queste vengono recapitate dal servizio di notifiche del suo browser, con il contenuto cifrato. All'interno di un'azienda cliente, ogni persona vede solo ciò che il suo ruolo consente. Comunichiamo dati alle autorità solo quando la legge lo richiede.

Trasferimenti internazionali

Ospitiamo i dati personali che trattiamo in data center nell'Unione europea e conserviamo i nostri backup nell'Unione europea, in forma cifrata.

Parte del nostro personale autorizzato e alcuni fornitori di servizi esterni (ad esempio servizi esterni di hosting, di infrastruttura, di pagamento, di email e di assistenza tecnica) possono accedere a dati personali o trattarli da paesi al di fuori dello Spazio economico europeo (SEE), compresi paesi che la Commissione europea non ha riconosciuto come in grado di garantire un livello adeguato di protezione dei dati. Quando ciò accade, trasferiamo dati personali, o ne consentiamo l'accesso, solo in base a una delle garanzie del capo V del GDPR:

una decisione di adeguatezza della Commissione europea relativa al paese interessato, compreso, per gli Stati Uniti, il quadro UE-USA per la protezione dei dati personali, quando il destinatario è certificato in base a esso; oppure
le clausole contrattuali tipo adottate dalla Commissione europea, insieme a una valutazione d'impatto del trasferimento e alle eventuali misure supplementari che questa riveli necessarie.

Chiunque acceda a dati personali da fuori del SEE deve proteggerli allo stesso livello che le dobbiamo ai sensi del GDPR, e mai con una protezione inferiore. In particolare: è vincolato da obblighi di riservatezza; riceve solo l'accesso necessario al suo ruolo; accede ai dati solo tramite connessioni cifrate e autenticate, e l'accesso viene registrato; non può conservare copie al di fuori dei nostri sistemi; e può usare i dati solo secondo le nostre istruzioni.

In casi eccezionali in cui nessuna di queste garanzie si applichi, ricorriamo solo a una deroga dell'articolo 49 del GDPR, ad esempio quando il trasferimento è necessario per eseguire un contratto con lei o su sua richiesta.

Può chiedere maggiori informazioni su queste garanzie, o una loro copia, scrivendo a privacy@clockwitness.com.

Per i clienti: se lei, o gli utenti che autorizza nel suo spazio di lavoro, accedete ai dati di ClockWitness da fuori del SEE, tale accesso avviene secondo le sue istruzioni e sotto la sua responsabilità in qualità di titolare del trattamento, e spetta a lei assicurarsi che rispetti le leggi sulla protezione dei dati che le si applicano.

Per quanto tempo conserviamo i dati

Schermate: per il periodo stabilito da ciascuna azienda cliente, tra 30 e 365 giorni (90 giorni per impostazione predefinita). Al termine del periodo vengono eliminate definitivamente.
Ore, attività, applicazioni e posizione: finché esiste l'account dell'azienda, fino a quando l'azienda lo chiude.
Dati dell'account: finché esiste l'account. Quando un'azienda chiude l'account, le consegniamo un'esportazione delle sue registrazioni e poi eliminiamo l'organizzazione, le sue registrazioni e le schermate archiviate.
Fatturazione: per il periodo richiesto dalla normativa fiscale e contabile.
Backup: i backup giornalieri del database vengono conservati per 30 giorni; gli altri backup ruotano e vengono sostituiti periodicamente. I dati eliminati scompaiono dai backup man mano che questi scadono.

I suoi diritti

Ha il diritto di accedere ai suoi dati e ottenerne una copia; di rettificare dati inesatti; di chiederne la cancellazione; di limitare il trattamento; di ricevere i suoi dati in un formato strutturato e di uso comune (portabilità); di opporsi al trattamento basato sul legittimo interesse; e di revocare il consenso in qualsiasi momento, quando il trattamento si basa su di esso.

Per esercitare questi diritti, scriva a privacy@clockwitness.com. Rispondiamo entro un mese; nei casi complessi questo termine può essere prorogato, e in tal caso la avviseremo. Possiamo chiederle di confermare la sua identità. Per i dati dello spazio di lavoro, rivolga la richiesta al suo datore di lavoro; se la invia a noi, la inoltreremo e aiuteremo l'azienda a rispondere.

Ha inoltre il diritto di proporre reclamo a un'autorità di controllo per la protezione dei dati, in particolare quella del paese in cui vive o lavora, o del paese in cui si è verificata la presunta violazione.

Sicurezza

Tutte le connessioni sono cifrate (HTTPS); le password e i token dei dispositivi sono conservati solo come hash; l'autenticazione a due fattori è disponibile per tutti e l'azienda può renderla obbligatoria; l'accesso alle schermate dipende dal ruolo di ciascuno ed è registrato; e i backup sono cifrati prima di lasciare il server. Maggiori dettagli nella pagina Sicurezza e privacy.

Cookie

Il sito usa solo cookie propri, nessuno pubblicitario né di analisi. L'elenco completo, con la finalità e la durata di ciascuno, è nell'Informativa sui cookie.

Decisioni automatizzate

Non prendiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogamente significativo su di lei.

Modifiche a questa informativa

Possiamo aggiornare questa informativa. La data dell'ultimo aggiornamento compare in cima a questa pagina; se le modifiche sono significative, avviseremo i titolari degli account via email.