Come proteggiamo i dati che le aziende inseriscono in KlokShift. È
l'Allegato III dell'accordo sul trattamento dei dati:
le misure tecniche e organizzative che ci impegniamo a mantenere. Accanto
a ogni misura c'è chi la garantisce, noi o il fornitore che ospita i dati.
In fondo c'è anche cosa non c'è ancora.
Documenti per le aziende clienti
1. Dove stanno i dati
- Database, file e accessi stanno da Supabase, in un data center dell'Unione Europea (Francoforte). Fornitore.
- I dischi sono cifrati con AES-256, e anche le eventuali copie del fornitore. Le comunicazioni sono cifrate in transito (TLS 1.2 o superiore). Fornitore, secondo il suo accordo sul trattamento dei dati consultato il 31 ottobre 2026.
- Gli altri fornitori che ricevono dati e cosa ricevono sono nell'elenco dei sub-responsabili.
2. Chi vede cosa
- Ogni lettura e ogni scrittura è filtrata dal database stesso, riga per riga, in base alla persona collegata e all'azienda di cui fa parte. Non dipende dall'app. Nostra.
- I dati si modificano solo con funzioni controllate del database, che verificano permessi e regole. Test automatici le provano a ogni modifica del codice prima della pubblicazione. Nostra.
- Chi gestisce ha solo i permessi che il titolare gli assegna (turni, team, ore, documenti, dati della sede) e solo sulle sedi scelte. Nostra.
- I documenti del team stanno in un archivio privato. Li apre solo chi ha il permesso «Documenti» su quella persona, oltre alla persona stessa. Le foto profilo sono invece pubbliche. Nostra.
- Le malattie le vedono solo i titolari e chi ha il permesso «Team» o «Ore» (le ore di malattia servono al riepilogo per il consulente). I colleghi vedono che una persona è assente, mai il motivo. Le notifiche non nominano la malattia, e una comunicazione di malattia non porta note libere. Nostra.
- L'app non raccoglie la posizione del telefono. Nostra.
3. Accessi
- Si entra con email confermata e password. Un'email confermata è anche l'unico modo per essere collegati alla propria scheda in un'azienda. Nostra.
- Gli inviti ai collaboratori usano un codice monouso: nel database ne conserviamo solo l'impronta, e l'account nasce solo quando chi è invitato sceglie la password. Nostra.
4. Chi di KlokShift accede ai dati
- KlokShift è una ditta individuale: l'unica persona autorizzata ad accedere ai dati delle aziende clienti è il fondatore, Mattia Caprioli, tenuto alla riservatezza. Nostra.
- L'area di amministrazione del fondatore richiede la verifica in due passaggi e registra ogni intervento. Non legge chat, documenti né note delle schede del team. Nostra.
- Con gli strumenti tecnici del fornitore il fondatore potrebbe leggere qualunque dato. Lo fa solo per un'assistenza richiesta dall'azienda, per risolvere un incidente o per un obbligo di legge, e limitandosi al necessario. Nostra.
5. Violazioni dei dati
Se ci accorgiamo che dati di un'azienda sono stati persi, alterati o letti da
chi non doveva, avvisiamo i suoi titolari senza ingiustificato ritardo e
comunque entro 48 ore da quando ce ne siamo accorti. Diciamo
cosa è successo, quali dati e quante persone riguarda, cosa abbiamo fatto e
cosa consigliamo. Ogni violazione resta annotata in un registro interno.
6. Fine del servizio
Quando un'azienda smette di usare il servizio, i suoi dati restano
consultabili ed esportabili per 12 mesi. Poi li cancelliamo entro 30 giorni,
file compresi. L'azienda può chiedere la cancellazione anche prima. I
dettagli sono nei termini e nell'accordo sul
trattamento dei dati.
7. Cosa non c'è ancora
Lo diciamo per chiarezza, perché un'azienda possa valutarlo:
- Copie di sicurezza (backup) del database. Oggi non ci sono. Un guasto grave del fornitore potrebbe far perdere dati. Arriveranno con il passaggio a un piano del fornitore che le include, e questa pagina lo dirà.
- Verifica in due passaggi per titolari e collaboratori. Oggi si entra con email e password.
- Blocco delle password già comparse in violazioni note. Oggi non c'è.
- Certificazioni di sicurezza di KlokShift, come ISO 27001 o SOC 2: non ne abbiamo.
Storico delle modifiche
| Versione | Data | Modifica |
|---|
| 1 | 31 ottobre 2026 | Prima pubblicazione |