Quiénes somos

PUNCH360 es una aplicación de control de asistencia operada desde Montreal, Quebec, Canadá. Este aviso aplica al sitio punch360.app, a la aplicación web punch360.app/app y al panel de administración.

Responsable de la protección de la información personal: el administrador de PUNCH360. Puede escribirle en cualquier momento a contacto@punch360.app.

Dos papeles distintos

Cuando una empresa usa PUNCH360 para registrar la asistencia de su personal, la empresa es la responsable de la información de sus empleados: decide qué registrar y para qué. PUNCH360 actúa como proveedor de servicios (encargado) y trata esa información solo para prestar el servicio y según las instrucciones de la empresa. Esa relación se detalla en el Acuerdo de tratamiento de datos.

PUNCH360 es responsable directo de la información de los administradores de cuenta y de las personas que llenan el formulario de contacto del sitio.

Información que recopilamos

• Administradores de empresa: nombre, correo, teléfono, puesto, nombre y datos de contacto de la empresa, logotipo e imágenes de portada, zona horaria y la configuración del panel.
• Empleados: nombre, puesto y, si la empresa los agrega, correo, teléfono y foto de perfil. Un NIP de 4 o 6 dígitos que se guarda cifrado; nadie, ni siquiera PUNCH360, puede leerlo.
• Registros de asistencia: fecha y hora de cada entrada, salida, pausa y salida del sitio; el sitio de trabajo; la ubicación del teléfono en el momento exacto del ponche (si el empleado la permite); solicitudes de corrección, notas y el historial de cambios hechos por la empresa.
• Formulario de contacto del sitio: nombre, correo, empresa, teléfono, número de empleados y mensaje.
• Datos técnicos: identificadores de sesión, fecha y hora de acceso y la dirección IP que reciben nuestros proveedores al servir la aplicación. No usamos cookies publicitarias ni herramientas de rastreo de terceros.

Ubicación al ponchar

PUNCH360 no sigue al empleado. La ubicación del teléfono se toma una sola vez, en el instante en que el empleado pulsa el botón para ponchar, y sirve para confirmar en qué sitio de trabajo se hizo el registro.

• El teléfono pide permiso antes de compartir la ubicación. El empleado puede negarlo: el ponche se guarda igual, marcado como «sin ubicación».
• No se registra la ubicación fuera de los ponches, ni en segundo plano, ni con la aplicación cerrada.
• Las coordenadas exactas se borran automáticamente a los 90 días. Después solo se conserva el nombre del sitio donde se hizo el registro.
• Solo la empresa empleadora y el propio empleado pueden ver sus registros.

Para qué usamos la información

• Prestar el servicio: registrar asistencia, calcular horas, mostrar reportes y permitir correcciones.
• Proteger las cuentas: verificar el acceso, limitar intentos, detectar abusos y conservar un historial de cambios.
• Comunicarnos con usted: responder solicitudes, activar cuentas y avisar de cambios importantes en el servicio.
• Cumplir obligaciones legales.

No vendemos ni alquilamos información personal, no la usamos para publicidad y no la compartimos con terceros para sus propios fines.

Con quién se comparte

Usamos proveedores que procesan la información en nuestro nombre y bajo contrato:

• Supabase: base de datos, inicio de sesión y almacenamiento de imágenes. Servidores en Oregón, Estados Unidos.
• Netlify: publicación del sitio y de la aplicación (red de distribución global, empresa de Estados Unidos).
• OpenStreetMap y su servicio de búsqueda de direcciones (Nominatim): mapas y conversión de direcciones de los sitios.
• GeoJS: ciudad aproximada a partir de la dirección IP, solo para mostrar la ciudad en el panel cuando la empresa aún no tiene sitios.
• Have I Been Pwned: comprobación de contraseñas filtradas. Solo recibe los primeros 5 caracteres de una huella cifrada; nunca la contraseña.
• Google Fonts: tipografía de la interfaz.

Su información se guarda y se procesa fuera de Quebec y fuera de Canadá, principalmente en Estados Unidos. Antes de usar a cada proveedor evaluamos que ofrezca una protección adecuada. También podemos divulgar información cuando la ley lo exija.

Cuánto tiempo la conservamos

• Coordenadas de ubicación de los ponches: 90 días.
• Registros de asistencia, correcciones y su historial: mientras la cuenta de la empresa esté activa.
• Al cerrar la cuenta de la empresa: entregamos una copia si la pide y borramos la información en un máximo de 90 días.
• Formulario de contacto: hasta 24 meses, o antes si lo pide.
• Sesiones de empleados: vencen a las 12 horas sin actividad; las sesiones temporales sin uso se eliminan cada día.

Cómo la protegemos

• Conexión cifrada (HTTPS) en todo el sitio y la aplicación.
• Cada empresa solo puede ver su propia información; el servidor lo verifica en cada consulta.
• NIP y contraseñas guardados cifrados; límites de intentos con bloqueo progresivo.
• Verificación en dos pasos para el administrador de la plataforma.
• Historial de quién corrigió o eliminó cada registro, cuándo y por qué.
• Acceso del personal de PUNCH360 limitado a lo necesario para dar soporte.

Ningún sistema es infalible. Si ocurre un incidente que ponga en riesgo su información, actuaremos como se describe en la sección «Incidentes».

Sus derechos

Usted puede pedir en cualquier momento:

• Acceso: saber qué información tenemos sobre usted y recibir una copia.
• Rectificación: corregir información inexacta o incompleta.
• Cancelación o supresión: que borremos su información cuando ya no sea necesaria.
• Oposición o retiro del consentimiento para un uso determinado.
• Portabilidad: recibir sus datos en un formato estructurado y de uso común.

En México estos derechos se conocen como derechos ARCO. Si vive en Estados Unidos, le reconocemos los mismos derechos, además de los que le otorgue la ley de su estado.

Cómo ejercer sus derechos

• Escriba a contacto@punch360.app con su nombre, el derecho que desea ejercer y la empresa con la que se relaciona.
• Podremos pedirle un dato para confirmar su identidad antes de entregar o cambiar información.
• Respondemos en un máximo de 30 días naturales (Quebec y resto de Canadá) o 20 días hábiles (México); en Estados Unidos, en un máximo de 45 días o el plazo menor que fije la ley de su estado. El trámite es gratuito.
• Si usted es empleado, también puede dirigirse a su empleador, que es el responsable de sus registros; le ayudaremos a responder.

Si no queda satisfecho, puede acudir a la autoridad de su lugar de residencia: la Commission d’accès à l’information du Québec, el Commissariat à la protection de la vie privée du Canada; en México, la autoridad federal de protección de datos personales en posesión de particulares; o, en Estados Unidos, la oficina del fiscal general (Attorney General) de su estado o la Federal Trade Commission.

Incidentes

Si detectamos un acceso no autorizado, una pérdida o una divulgación de información personal:

• Lo contenemos de inmediato para reducir el daño.
• Evaluamos si existe riesgo de perjuicio grave para las personas afectadas.
• Avisamos a la empresa cliente sin demora y, a más tardar, en 72 horas desde que lo confirmamos.
• Cuando hay riesgo de perjuicio grave, avisamos también a las personas afectadas y a la autoridad correspondiente.
• Registramos cada incidente, aunque no requiera aviso.

Menores de edad

PUNCH360 está dirigido a empresas y a sus trabajadores. No recopilamos a sabiendas información de menores de 14 años.

Cambios a este aviso

Si cambiamos este aviso, publicaremos la nueva versión en esta página con su fecha. Si el cambio es importante, avisaremos a los administradores de cuenta antes de que entre en vigor.

Who we are

PUNCH360 is an attendance-tracking app operated from Montreal, Quebec, Canada. This policy covers the punch360.app website, the web app at punch360.app/app and the administration panel.

Person in charge of the protection of personal information: the PUNCH360 administrator. You can write to them at any time at contacto@punch360.app.

Two different roles

When a company uses PUNCH360 to record its staff’s attendance, the company is responsible for its employees’ information: it decides what is recorded and why. PUNCH360 acts as a service provider (processor) and handles that information only to provide the service and according to the company’s instructions. That relationship is described in the Data Processing Agreement.

PUNCH360 is directly responsible for the information of account administrators and of people who fill out the contact form on the website.

Information we collect

• Company administrators: name, email, phone, job title, company name and contact details, logo and cover images, time zone and panel settings.
• Employees: name, position and, if the company adds them, email, phone and profile photo. A 4- or 6-digit PIN stored encrypted; no one, not even PUNCH360, can read it.
• Attendance records: date and time of each clock-in, clock-out, break and site departure; the work site; the phone’s location at the exact moment of the punch (if the employee allows it); correction requests, notes and the history of changes made by the company.
• Website contact form: name, email, company, phone, number of employees and message.
• Technical data: session identifiers, access date and time, and the IP address our providers receive when serving the app. We do not use advertising cookies or third-party tracking tools.

Location when punching

PUNCH360 does not track employees. The phone’s location is taken once, at the moment the employee taps the punch button, to confirm at which work site the record was made.

• The phone asks for permission before sharing the location. The employee can refuse: the punch is still saved, marked “no location”.
• Location is never recorded outside punches, in the background or with the app closed.
• Exact coordinates are automatically deleted after 90 days. After that, only the name of the site where the record was made is kept.
• Only the employer and the employee can see their records.

How we use information

• To provide the service: record attendance, calculate hours, show reports and allow corrections.
• To protect accounts: verify access, limit attempts, detect abuse and keep a change history.
• To communicate with you: answer requests, activate accounts and announce important service changes.
• To meet legal obligations.

We do not sell or rent personal information, we do not use it for advertising, and we do not share it with third parties for their own purposes.

Who we share it with

We use providers that process information on our behalf and under contract:

• Supabase: database, sign-in and image storage. Servers in Oregon, United States.
• Netlify: hosting for the website and the app (global delivery network, United States company).
• OpenStreetMap and its address search service (Nominatim): maps and site address lookup.
• GeoJS: approximate city from the IP address, only to show the city on the panel when the company has no sites yet.
• Have I Been Pwned: leaked-password check. It only receives the first 5 characters of an encrypted fingerprint, never the password.
• Google Fonts: interface typography.

Your information is stored and processed outside Quebec and outside Canada, mainly in the United States. Before using each provider, we assess that it offers adequate protection. We may also disclose information when required by law.

How long we keep it

• Punch location coordinates: 90 days.
• Attendance records, corrections and their history: while the company account is active.
• When a company account is closed: we provide a copy on request and delete the information within 90 days.
• Contact form: up to 24 months, or sooner on request.
• Employee sessions: expire after 12 hours without activity; unused temporary sessions are deleted daily.

How we protect it

• Encrypted connection (HTTPS) across the website and the app.
• Each company can only see its own information; the server checks it on every request.
• PINs and passwords stored encrypted; attempt limits with progressive lockout.
• Two-step verification for the platform administrator.
• History of who corrected or deleted each record, when and why.
• PUNCH360 staff access limited to what is needed for support.

No system is infallible. If an incident puts your information at risk, we will act as described in the “Incidents” section.

Your rights

You may ask at any time for:

• Access: to know what information we hold about you and receive a copy.
• Correction: to fix inaccurate or incomplete information.
• Deletion: to erase your information when it is no longer needed.
• Objection or withdrawal of consent for a specific use.
• Portability: to receive your data in a structured, commonly used format.

In Mexico, these rights are known as ARCO rights. If you live in the United States, we give you the same rights, in addition to any rights your state’s law provides.

How to exercise your rights

• Write to contacto@punch360.app with your name, the right you wish to exercise and the company you are connected to.
• We may ask for one piece of information to confirm your identity before providing or changing information.
• We respond within 30 calendar days (Quebec and the rest of Canada) or 20 business days (Mexico); in the United States, within 45 days or any shorter period required by your state’s law. There is no charge.
• If you are an employee, you can also contact your employer, which is responsible for your records; we will help them respond.

If you are not satisfied, you can contact the authority where you live: the Commission d’accès à l’information du Québec, the Office of the Privacy Commissioner of Canada; in Mexico, the federal authority for the protection of personal data held by private parties; or, in the United States, your state’s Attorney General or the Federal Trade Commission.

Incidents

If we detect unauthorized access, loss or disclosure of personal information:

• We contain it immediately to reduce harm.
• We assess whether there is a risk of serious injury to the people affected.
• We notify the client company without delay and no later than 72 hours after confirming it.
• When there is a risk of serious injury, we also notify the people affected and the relevant authority.
• We record every incident, even when no notice is required.

Minors

PUNCH360 is intended for companies and their workers. We do not knowingly collect information from children under 14.

Changes to this policy

If we change this policy, we will post the new version on this page with its date. If the change is significant, we will notify account administrators before it takes effect.

Qui sommes-nous

PUNCH360 est une application de gestion des présences exploitée depuis Montréal, au Québec (Canada). Cette politique s’applique au site punch360.app, à l’application Web punch360.app/app et au panneau d’administration.

Personne responsable de la protection des renseignements personnels : l’administrateur de PUNCH360. Vous pouvez lui écrire en tout temps à contacto@punch360.app.

Deux rôles distincts

Lorsqu’une entreprise utilise PUNCH360 pour enregistrer les présences de son personnel, l’entreprise est responsable des renseignements de ses employés : elle décide quoi enregistrer et pourquoi. PUNCH360 agit comme fournisseur de services (sous-traitant) et ne traite ces renseignements que pour fournir le service, selon les instructions de l’entreprise. Cette relation est décrite dans l’Entente sur le traitement des données.

PUNCH360 est directement responsable des renseignements des administrateurs de compte et des personnes qui remplissent le formulaire de contact du site.

Renseignements recueillis

• Administrateurs d’entreprise : nom, courriel, téléphone, poste, nom et coordonnées de l’entreprise, logo et images de couverture, fuseau horaire et paramètres du panneau.
• Employés : nom, poste et, si l’entreprise les ajoute, courriel, téléphone et photo de profil. Un NIP de 4 ou 6 chiffres conservé chiffré; personne, pas même PUNCH360, ne peut le lire.
• Pointages : date et heure de chaque arrivée, départ, pause et départ du site; le site de travail; la position du téléphone au moment exact du pointage (si l’employé l’autorise); les demandes de correction, les notes et l’historique des modifications faites par l’entreprise.
• Formulaire de contact du site : nom, courriel, entreprise, téléphone, nombre d’employés et message.
• Données techniques : identifiants de session, date et heure d’accès, et adresse IP que reçoivent nos fournisseurs pour servir l’application. Nous n’utilisons ni témoins publicitaires ni outils de suivi de tiers.

Position lors du pointage

PUNCH360 ne suit pas les employés. La position du téléphone est prise une seule fois, au moment où l’employé touche le bouton de pointage, pour confirmer sur quel site le pointage a été fait.

• Le téléphone demande l’autorisation avant de partager la position. L’employé peut refuser : le pointage est quand même enregistré, avec la mention « sans position ».
• La position n’est jamais enregistrée en dehors des pointages, en arrière-plan ou lorsque l’application est fermée.
• Les coordonnées exactes sont supprimées automatiquement après 90 jours. Seul le nom du site du pointage est ensuite conservé.
• Seuls l’employeur et l’employé peuvent voir ses pointages.

Utilisation des renseignements

• Fournir le service : enregistrer les présences, calculer les heures, afficher les rapports et permettre les corrections.
• Protéger les comptes : vérifier l’accès, limiter les tentatives, détecter les abus et conserver un historique des modifications.
• Communiquer avec vous : répondre aux demandes, activer les comptes et annoncer les changements importants au service.
• Respecter nos obligations légales.

Nous ne vendons ni ne louons de renseignements personnels, nous ne les utilisons pas à des fins publicitaires et nous ne les communiquons pas à des tiers pour leurs propres fins.

Communication à des tiers

Nous faisons appel à des fournisseurs qui traitent les renseignements pour notre compte, sous contrat :

• Supabase : base de données, connexion et stockage des images. Serveurs en Oregon, aux États-Unis.
• Netlify : hébergement du site et de l’application (réseau de diffusion mondial, entreprise américaine).
• OpenStreetMap et son service de recherche d’adresses (Nominatim) : cartes et recherche d’adresses des sites.
• GeoJS : ville approximative à partir de l’adresse IP, seulement pour afficher la ville dans le panneau quand l’entreprise n’a pas encore de site.
• Have I Been Pwned : vérification des mots de passe divulgués. Ne reçoit que les 5 premiers caractères d’une empreinte chiffrée, jamais le mot de passe.
• Google Fonts : typographie de l’interface.

Vos renseignements sont conservés et traités à l’extérieur du Québec et du Canada, principalement aux États-Unis. Avant de recourir à chaque fournisseur, nous évaluons qu’il offre une protection adéquate. Nous pouvons aussi communiquer des renseignements lorsque la loi l’exige.

Durée de conservation

• Coordonnées de position des pointages : 90 jours.
• Pointages, corrections et leur historique : tant que le compte de l’entreprise est actif.
• À la fermeture du compte de l’entreprise : nous remettons une copie sur demande et supprimons les renseignements dans un délai maximal de 90 jours.
• Formulaire de contact : jusqu’à 24 mois, ou plus tôt sur demande.
• Sessions des employés : expirent après 12 heures d’inactivité; les sessions temporaires inutilisées sont supprimées chaque jour.

Mesures de protection

• Connexion chiffrée (HTTPS) sur l’ensemble du site et de l’application.
• Chaque entreprise ne voit que ses propres renseignements; le serveur le vérifie à chaque requête.
• NIP et mots de passe conservés chiffrés; limites de tentatives avec blocage progressif.
• Vérification en deux étapes pour l’administrateur de la plateforme.
• Historique de qui a corrigé ou supprimé chaque pointage, quand et pourquoi.
• Accès du personnel de PUNCH360 limité à ce qui est nécessaire au soutien.

Aucun système n’est infaillible. Si un incident met vos renseignements en danger, nous agirons comme décrit à la section « Incidents de confidentialité ».

Vos droits

Vous pouvez demander en tout temps :

• L’accès : savoir quels renseignements nous détenons sur vous et en recevoir une copie.
• La rectification : corriger des renseignements inexacts ou incomplets.
• La suppression : effacer vos renseignements lorsqu’ils ne sont plus nécessaires.
• L’opposition ou le retrait du consentement à une utilisation précise.
• La portabilité : recevoir vos données dans un format structuré et couramment utilisé.

Au Mexique, ces droits sont appelés droits ARCO. Si vous résidez aux États-Unis, nous vous reconnaissons les mêmes droits, en plus de ceux que vous accorde la loi de votre État.

Exercer vos droits

• Écrivez à contacto@punch360.app en indiquant votre nom, le droit que vous souhaitez exercer et l’entreprise avec laquelle vous êtes lié.
• Nous pourrions vous demander un renseignement pour confirmer votre identité avant de communiquer ou de modifier des renseignements.
• Nous répondons dans un délai maximal de 30 jours civils (Québec et reste du Canada) ou de 20 jours ouvrables (Mexique); aux États-Unis, dans un délai maximal de 45 jours ou le délai plus court prévu par la loi de votre État. La démarche est gratuite.
• Si vous êtes employé, vous pouvez aussi vous adresser à votre employeur, responsable de vos pointages; nous l’aiderons à répondre.

Si vous n’êtes pas satisfait, vous pouvez vous adresser à l’autorité de votre lieu de résidence : la Commission d’accès à l’information du Québec, le Commissariat à la protection de la vie privée du Canada; au Mexique, l’autorité fédérale de protection des données personnelles détenues par les particuliers; ou, aux États-Unis, le procureur général (Attorney General) de votre État ou la Federal Trade Commission.

Incidents de confidentialité

Si nous constatons un accès non autorisé, une perte ou une communication de renseignements personnels :

• Nous le contenons immédiatement pour réduire le préjudice.
• Nous évaluons s’il existe un risque de préjudice sérieux pour les personnes concernées.
• Nous avisons l’entreprise cliente sans délai et au plus tard 72 heures après l’avoir confirmé.
• S’il existe un risque de préjudice sérieux, nous avisons aussi les personnes concernées et l’autorité compétente.
• Nous tenons un registre de chaque incident, même lorsqu’aucun avis n’est requis.

Mineurs

PUNCH360 s’adresse aux entreprises et à leurs travailleurs. Nous ne recueillons pas sciemment de renseignements sur des enfants de moins de 14 ans.

Modifications

Si nous modifions cette politique, nous publierons la nouvelle version sur cette page avec sa date. Si le changement est important, nous aviserons les administrateurs de compte avant son entrée en vigueur.