In breve
- Raccogliamo solo ciò che serve a CLIMB per funzionare: i dati del tuo account e i registri delle presenze e dei dipendenti che le aziende vi gestiscono.
- Il tuo datore di lavoro controlla i tuoi dati lavorativi. Noi li trattiamo per suo conto.
- Non tracciamo la tua posizione, non vendiamo dati e il nostro sito web non utilizza cookie di profilazione o tracciamento. I video vengono caricati da YouTube solo se premi play.
- I dati sono archiviati nel Regno Unito o nell’UE; trattamenti autorizzati possono avvenire anche negli Stati Uniti o in Sri Lanka con adeguate garanzie. Puoi chiedere in qualsiasi momento di accedere ai tuoi dati, rettificarli o cancellarli.
1. Chi siamo#
CLIMB è realizzato da BeGOOD Solutions Ltd (“noi”, “ci”), una società registrata in Inghilterra e Galles con numero di registrazione 16854996, presso 128 City Road, London EC1V 2NX. Siamo registrati presso l’Information Commissioner’s Office (ICO) con il numero ZC286091.
Questa informativa copre il nostro sito web (climb.begood.solutions), l’app CLIMB per i dipendenti, l’app CLIMB Coach per titolari e responsabili, le relative versioni web eseguite nel browser e i servizi sottostanti. Per qualsiasi domanda sui tuoi dati, scrivi a privacy@begood.solutions.
2. Il nostro ruolo: titolare o responsabile del trattamento#
Ai sensi della normativa britannica sulla protezione dei dati, svolgiamo due ruoli distinti.
- Siamo il titolare del trattamento (controller) per le informazioni sui visitatori del sito web, sulle persone che ci contattano e sui dati dell’account che utilizzi per accedere a CLIMB. Decidiamo noi come utilizzare tali informazioni e questa informativa lo spiega.
- Siamo il responsabile del trattamento (processor) per le informazioni lavorative che un’azienda inserisce in CLIMB riguardo alle proprie persone, come le schede dei dipendenti e le presenze. L’azienda (il tuo datore di lavoro, se lavori per un cliente CLIMB) è il titolare del trattamento: decide cosa raccogliere e perché, e noi trattiamo i dati solo su sua istruzione, secondo i termini sul trattamento dei dati contenuti nei nostri termini di servizio.
Se utilizzi CLIMB tramite il tuo datore di lavoro, ai tuoi dati lavorativi si applica l’informativa sulla privacy del tuo datore di lavoro, che rappresenta il primo punto di contatto per domande o richieste in merito. Noi lo assisteremo nel risponderti.
3. Cosa raccogliamo#
Quando visiti il nostro sito web
Utilizziamo un servizio di analisi per contare le visualizzazioni di pagina, vedere su quali elementi cliccano gli utenti, misurare la velocità di caricamento delle pagine e rilevare eventuali errori sul sito. Non utilizza cookie né memorizza nulla nel tuo browser, non ti identifica e non ti traccia su altri siti web. Registra informazioni come la pagina visitata, il punto cliccato, il sito di provenienza, il tipo di browser e dispositivo e il paese approssimativo. Distingue le visite ripetute tramite un codice generato dal tuo indirizzo IP e dal browser che cambia ogni giorno e non può ricondurre a te; l’indirizzo IP in sé non viene conservato. Il nostro fornitore di hosting conserva inoltre log del server di breve durata, inclusi gli indirizzi IP, per mantenere il sito sicuro e funzionante.
Quando guardi un video
Il nostro sito web mostra video dei prodotti ospitati su YouTube, un servizio di Google. Nulla viene caricato da YouTube finché non premi play. Quando lo fai, il tuo browser si collega alla modalità di privacy avanzata di YouTube (youtube-nocookie.com). YouTube riceve il tuo indirizzo IP, informazioni sul browser e sul dispositivo e la pagina in cui ti trovavi, e può memorizzare informazioni nel tuo browser per riprodurre il video e misurare come viene guardato. Google decide come usare queste informazioni in qualità di titolare autonomo, secondo la propria informativa sulla privacy (policies.google.com/privacy), e può trattarle negli Stati Uniti.
Quando ci contatti
Se ci invii un’email, ad esempio per richiedere l’accesso anticipato, riceviamo il tuo nome, il tuo indirizzo email e qualsiasi informazione tu scelga di comunicarci sulla tua attività.
Quando hai un account CLIMB
- Dati dell’account: il tuo nome, indirizzo email e lo stato di verifica dell’email.
- Password: memorizzata esclusivamente come hash unidirezionale. Non vediamo né memorizziamo mai la password in chiaro.
- Autenticazione a due fattori: se attiva (obbligatoria per titolari e responsabili), la chiave usata dalla tua app di autenticazione e i codici di backup, entrambi crittografati.
- Passkey: se ne aggiungi una, la sua chiave pubblica, il nome assegnato (es. “iPhone”) e un contatore di utilizzo. L’impronta digitale, il volto e il PIN non lasciano mai il tuo telefono.
- La tua azienda e il tuo ruolo: a quali aziende appartieni, il tuo ruolo in ciascuna (titolare, responsabile o dipendente) e gli inviti che invii o ricevi, incluso l’indirizzo email della persona invitata.
- Registri di accesso e sicurezza: le sessioni attive con l’indirizzo IP e il dispositivo o browser da cui sono state create, e registri di breve durata dei tentativi di accesso per indirizzo IP, che utilizziamo per bloccare gli attacchi di indovinamento delle password.
Informazioni lavorative (trattate per conto del tuo datore di lavoro)
A seconda delle funzionalità utilizzate da un’azienda, queste possono includere:
- Schede dei dipendenti: nome, numero di matricola, recapiti e indirizzo.
- Presenze: orari di entrata e uscita, quale tag aziendale è stato toccato e in quale sede, ore lavorate e scansioni fallite o rifiutate, con il tipo di sistema operativo dello smartphone (iOS o Android) da cui proviene ogni scansione.
- Una cronologia delle modifiche che indica chi ha modificato una scheda o una presenza, cosa è cambiato e quando. I valori sensibili sono nascosti in questa cronologia.
Notifiche
Quando accedi a un’app CLIMB, questa registra il tuo telefono presso il nostro fornitore di notifiche push e lo collega al tuo ID utente CLIMB, affinché avvisi come un nuovo invito raggiungano la persona giusta. Il fornitore riceve un identificativo per l’app sul tuo telefono e dettagli di base sul dispositivo, come modello, sistema operativo e lingua. Ciò avviene indipendentemente dal fatto che tu consenta le notifiche, e il collegamento viene rimosso quando esci dall’account. Le notifiche vengono mostrate solo se le autorizzi e puoi disattivarle in qualsiasi momento nelle impostazioni del telefono.
Come utilizzi CLIMB
Registriamo quali schermate apri nelle app e le azioni principali che compi in CLIMB: creazione di un account, verifica dell’email, creazione di un’azienda, invito di una persona o accettazione di un invito, timbratura di entrata o uscita e registrazione di un tag NFC. Ogni evento è collegato al tuo ID utente CLIMB, alla tua azienda e, ove pertinente, al tuo ruolo o al metodo di timbratura (pulsante o tag), mai al tuo nome o indirizzo email e mai a ciò che hai digitato. I nostri server registrano le azioni principali; le app registrano le schermate. Se lavori per noi, questi record sono contrassegnati come interni per escluderli dalle nostre statistiche. Usiamo questi dati per capire quali funzioni vengono usate e dove le persone incontrano difficoltà.
Puoi disattivare questa funzione: “Condividi come uso l’app” in Account (o Impostazioni in CLIMB Coach). La scelta viene salvata sul tuo account, quindi si applica su ogni dispositivo e a ciò che i nostri server registrano. Le segnalazioni di arresto anomalo (crash report) vengono inviate comunque: cosa è andato storto, modello del telefono, versione del sistema e dell’app e il tuo ID utente CLIMB.
Cosa non raccogliamo
CLIMB non raccoglie la tua posizione geografica. Quando timbri, registra quale tag della tua sede hai toccato, non dove si trova il tuo telefono. Se in futuro aggiungeremo controlli opzionali della posizione, aggiorneremo prima questa informativa e le aziende che li attiveranno dovranno informare il personale su quando e perché viene usata la posizione. Non richiediamo categorie particolari di dati personali come informazioni sulla salute; ti preghiamo di non inserirle in CLIMB.
4. Come utilizziamo i dati e basi giuridiche#
- Per fornire CLIMB: creare e gestire il tuo account, permetterti di unirti alla tua azienda e utilizzare le funzionalità previste dal tuo ruolo. Base giuridica: esecuzione di un contratto.
- Per inviare email di servizio: verifica dell’email, reimpostazione della password e inviti. Fanno parte del servizio, quindi non è possibile disiscriversi finché si possiede un account. Base giuridica: esecuzione di un contratto.
- Per inviare notifiche push: registrare il tuo telefono presso il nostro fornitore di notifiche al momento dell’accesso, affinché gli avvisi raggiungano il destinatario corretto. Base giuridica: legittimo interesse a recapitare in modo affidabile gli avvisi di servizio. Le notifiche vengono mostrate solo dopo che le hai autorizzate sul dispositivo. Base giuridica: consenso, revocabile nelle impostazioni del telefono.
- Per mantenere CLIMB sicuro: prevenire frodi, abusi e accessi non autorizzati, anche tramite limitazione delle richieste (rate limiting) per indirizzo IP. Base giuridica: legittimo interesse a proteggere i nostri utenti e servizi.
- Per rispondere alle richieste e gestire l’accesso anticipato. Base giuridica: legittimo interesse a rispondere a chi ci contatta.
- Per comprendere e migliorare il nostro sito web e le app, utilizzando le statistiche del sito e i dati di utilizzo delle app (disattivabili). Base giuridica: legittimo interesse a migliorare il servizio.
- Per mostrare i video dei prodotti quando li richiedi: un video sul nostro sito web viene caricato da YouTube solo dopo che premi play. Base giuridica: consenso, che dai premendo play. Puoi revocarlo non riproducendo i video e cancellando i dati di YouTube dal tuo browser.
- Per adempiere agli obblighi di legge, come la conservazione delle scritture o la risposta a richieste legittime delle autorità. Base giuridica: obbligo legale.
Non vendiamo dati personali, non li utilizziamo per scopi pubblicitari e inviamo email di marketing solo su tua esplicita richiesta. CLIMB non prende decisioni automatizzate sulle persone che producano effetti giuridici o similmente significativi.
6. Trasferimenti internazionali#
Archiviamo i dati di CLIMB nel Regno Unito o nello Spazio Economico Europeo. Alcuni fornitori hanno sede negli Stati Uniti o vi accedono da lì, e la nostra società in Sri Lanka può accedere ai dati personali dallo Sri Lanka. Quando i dati personali escono dal Regno Unito, ci assicuriamo che siano protetti da una decisione di adeguatezza, come l’estensione britannica dell’EU-US Data Privacy Framework, oppure dall’International Data Transfer Agreement (IDTA) o relativo Addendum del Regno Unito. Scrivici per maggiori dettagli su queste garanzie.
7. Per quanto tempo conserviamo i dati#
- Le sessioni di accesso per titolari e responsabili terminano dopo 30 minuti di inattività e al massimo 12 ore dopo l’accesso; per i dipendenti durano fino a 30 giorni nell’app per smartphone. In un browser web, le sessioni di tutti gli utenti terminano dopo 30 minuti di inattività e al massimo 12 ore dopo l’accesso. Terminano immediatamente quando esci dall’account, reimposti la password, modifichi le impostazioni a due fattori o cambia il tuo ruolo. I registri dei tentativi di accesso e i link di verifica email e reimpostazione password scadono entro poche ore. I log di servizio sono conservati per 14 giorni e i registri degli eventi di sicurezza (come accessi e richieste bloccate) per 90 giorni. I dati di utilizzo dell’app e i crash report sono conservati fino a un anno.
- I dati dell’account vengono conservati finché il tuo account è aperto ed eliminati o resi anonimi entro 90 giorni dalla chiusura.
- Le informazioni lavorative vengono conservate per tutto il tempo in cui l’azienda utilizza CLIMB o secondo le sue istruzioni. Quando un’azienda lascia il servizio, può esportare i propri dati per 30 giorni, dopodiché li eliminiamo entro 90 giorni dalla chiusura dell’account. Le aziende restano responsabili della conservazione dei documenti richiesti dalla legge, come quelli per le buste paga.
- Le richieste di informazioni vengono conservate fino a 2 anni dal nostro ultimo contatto, a meno che non diventino parte di un rapporto contrattuale.
8. Come proteggiamo i dati#
- I dati sono crittografati in transito tra le app e i nostri server.
- Le password sono memorizzate solo come robusti hash unidirezionali e devono contenere almeno 12 caratteri. Le nuove password vengono verificate rispetto a un elenco pubblico di password esposte in violazioni di dati: solo i primi cinque caratteri dell’hash della password vengono inviati al servizio di verifica, mai la password stessa.
- Titolari e responsabili devono utilizzare l’autenticazione a due fattori e confermare nuovamente la propria identità (con un codice o una passkey) prima di eliminare schede, annullare turni, modificare tag o cambiare il ruolo di qualcuno.
- Le app si bloccano automaticamente quando non vengono usate (Climb dopo 30 minuti, Climb Coach dopo 2) e si sbloccano con il volto, l’impronta digitale o il codice del telefono. È il tuo telefono a effettuare questo controllo; noi non riceviamo mai dati biometrici. In un browser web, le app disconnettono l’utente dopo 15 minuti di inattività.
- L’accesso è protetto dalla verifica dell’email e dalla limitazione dei tentativi (rate limiting). Le app custodiscono la sessione nell’archivio sicuro dello smartphone; nel browser, in un cookie sicuro che il codice della pagina non può leggere e che altri siti non possono inviare.
- L’accesso è limitato in base al ruolo e le modifiche alle schede e alle presenze vengono registrate.
- I nostri fornitori di hosting crittografano i dati archiviati.
Nessun sistema è sicuro al 100%. Se una violazione dovesse interessare i tuoi dati personali mettendo a rischio i tuoi diritti, informeremo te (o l’azienda per cui li trattiamo) e l’Information Commissioner’s Office come richiesto dalla legge.
9. I tuoi diritti#
Ai sensi della legge britannica sulla protezione dei dati, puoi chiederci di:
- fornirti una copia dei tuoi dati personali;
- correggerli se sono inesatti o incompleti;
- eliminarli o limitarne il trattamento;
- interromperne l’utilizzo qualora ci basiamo sul legittimo interesse;
- inviarli a te o a un altro fornitore in un formato portabile.
Laddove ci basiamo sul tuo consenso, puoi revocarlo in qualsiasi momento. Per esercitare uno qualsiasi di questi diritti, invia un’email a privacy@begood.solutions. Risponderemo entro un mese. Per le informazioni lavorative, rivolgiti prima al tuo datore di lavoro: è lui il titolare di quei dati e noi lo aiuteremo a rispondere.
Se non sei soddisfatto di come gestiamo i tuoi dati, ti preghiamo di contattarci prima così da poter rimediare. Puoi anche presentare un reclamo all’Information Commissioner’s Office su ico.org.uk o chiamando il numero +44 303 123 1113.
11. Minori#
Il nostro sito web e i nostri servizi sono rivolti alle imprese e non sono destinati ai minori. Qualora un’azienda impieghi giovani lavoratori, è responsabile dell’utilizzo di CLIMB in modo lecito e appropriato per loro.
12. Modifiche a questa informativa#
Aggiorneremo questa informativa quando CLIMB o la normativa cambieranno, modificando la data in alto. Se una modifica incide in modo sostanziale su come utilizziamo i tuoi dati, informeremo i titolari di account via email o nelle app prima che entri in vigore.
13. Contattaci#
Domande o richieste sulla privacy: privacy@begood.solutions, oppure scrivici a BeGOOD Solutions Ltd, 128 City Road, London EC1V 2NX.