Partes y papeles

• La empresa cliente es la responsable de la información de sus empleados: decide qué se registra y con qué fin.
• PUNCH360 es el proveedor de servicios (encargado): trata esa información solo para prestar el servicio y siguiendo las instrucciones de la empresa, dadas a través de la configuración de la aplicación o por escrito.

Información tratada

• Personas: empleados y administradores de la empresa cliente.
• Datos: nombre, puesto, datos de contacto opcionales, foto opcional, NIP cifrado, registros de asistencia con fecha, hora, sitio y ubicación al ponchar, solicitudes de corrección, notas e historial de cambios.
• Finalidad: control de asistencia, cálculo de horas, reportes y administración de sitios y horarios.
• Duración: mientras la cuenta esté activa, con las reglas de conservación del Aviso de privacidad.

Compromisos de PUNCH360

• Usar la información solo para prestar el servicio; nunca para fines propios, publicidad o venta.
• Mantener medidas de seguridad adecuadas: cifrado en tránsito, aislamiento entre empresas verificado por el servidor, NIP y contraseñas cifrados, límites de intentos, verificación en dos pasos para el acceso de plataforma e historial de cambios.
• Limitar el acceso de su personal a lo necesario para dar soporte, con obligación de confidencialidad.
• Ayudar a la empresa a responder solicitudes de acceso, rectificación, supresión, oposición y portabilidad de sus empleados.
• Avisar a la empresa de cualquier incidente que afecte a su información sin demora y, a más tardar, en 72 horas desde que se confirme, con la información disponible para que pueda cumplir sus propias obligaciones.
• Al terminar el servicio, entregar una copia de la información si la empresa la pide y borrarla en un máximo de 90 días.

Subencargados

La empresa autoriza a PUNCH360 a usar los siguientes proveedores:

• Supabase: base de datos, autenticación y almacenamiento. Oregón, Estados Unidos.
• Netlify: publicación de la aplicación. Estados Unidos, red global.
• OpenStreetMap / Nominatim, GeoJS, Have I Been Pwned y Google Fonts: servicios auxiliares que no reciben registros de asistencia de los empleados.

PUNCH360 avisará a la empresa con al menos 30 días de anticipación antes de agregar o cambiar un subencargado que trate registros de los empleados. La empresa podrá oponerse por motivos razonables y, si no se encuentra una solución, cancelar sin penalidad.

Transferencias fuera de Quebec y de Canadá

La información se guarda en Estados Unidos. PUNCH360 evaluó que los proveedores ofrecen una protección adecuada, con cifrado, controles de acceso y compromisos contractuales de confidencialidad, y pondrá esa evaluación a disposición de la empresa si la solicita.

Obligaciones de la empresa cliente

• Informar a sus empleados del uso de PUNCH360 y, en particular, de la ubicación al ponchar.
• Contar con una base legal o el consentimiento necesario para registrar la asistencia y la ubicación.
• Cargar solo la información necesaria y mantenerla correcta.
• Controlar quién de su personal tiene acceso de administrador y proteger su contraseña y su NIP.

Auditoría

Una vez al año, o después de un incidente, la empresa puede pedir información razonable sobre las medidas de seguridad de PUNCH360. Responderemos por escrito en un máximo de 30 días.

Contacto

Para cualquier asunto de este acuerdo: contacto@punch360.app.

Parties and roles

• The client company is responsible for its employees’ information: it decides what is recorded and for what purpose.
• PUNCH360 is the service provider (processor): it handles that information only to provide the service and following the company’s instructions, given through the app’s settings or in writing.

Information processed

• People: employees and administrators of the client company.
• Data: name, position, optional contact details, optional photo, encrypted PIN, attendance records with date, time, site and location when punching, correction requests, notes and change history.
• Purpose: attendance tracking, hour calculations, reports and management of sites and schedules.
• Duration: while the account is active, under the retention rules of the Privacy Policy.

PUNCH360 commitments

• Use the information only to provide the service; never for its own purposes, advertising or sale.
• Maintain appropriate security measures: encryption in transit, server-verified isolation between companies, encrypted PINs and passwords, attempt limits, two-step verification for platform access and change history.
• Limit staff access to what is needed for support, under a duty of confidentiality.
• Help the company respond to its employees’ requests for access, correction, deletion, objection and portability.
• Notify the company of any incident affecting its information without delay and no later than 72 hours after confirming it, with the information available so it can meet its own obligations.
• When the service ends, provide a copy of the information on request and delete it within 90 days.

Sub-processors

The company authorizes PUNCH360 to use the following providers:

• Supabase: database, authentication and storage. Oregon, United States.
• Netlify: app hosting. United States, global network.
• OpenStreetMap / Nominatim, GeoJS, Have I Been Pwned and Google Fonts: auxiliary services that do not receive employee attendance records.

PUNCH360 will give the company at least 30 days’ notice before adding or replacing a sub-processor that handles employee records. The company may object on reasonable grounds and, if no solution is found, cancel without penalty.

Transfers outside Quebec and Canada

The information is stored in the United States. PUNCH360 assessed that its providers offer adequate protection, with encryption, access controls and contractual confidentiality commitments, and will make that assessment available to the company on request.

Client company obligations

• Inform its employees about the use of PUNCH360 and, in particular, about location when punching.
• Have a legal basis or the necessary consent to record attendance and location.
• Upload only the information needed and keep it accurate.
• Control which of its staff have administrator access and protect its password and PIN.

Audit

Once a year, or after an incident, the company may request reasonable information about PUNCH360’s security measures. We will reply in writing within 30 days.

Contact

For any matter under this agreement: contacto@punch360.app.

Parties et rôles

• L’entreprise cliente est responsable des renseignements de ses employés : elle décide de ce qui est enregistré et dans quel but.
• PUNCH360 est le fournisseur de services (sous-traitant) : il traite ces renseignements uniquement pour fournir le service, selon les instructions de l’entreprise données au moyen des paramètres de l’application ou par écrit.

Renseignements traités

• Personnes : employés et administrateurs de l’entreprise cliente.
• Données : nom, poste, coordonnées facultatives, photo facultative, NIP chiffré, pointages avec date, heure, site et position lors du pointage, demandes de correction, notes et historique des modifications.
• Finalité : gestion des présences, calcul des heures, rapports et gestion des sites et des horaires.
• Durée : tant que le compte est actif, selon les règles de conservation de la Politique de confidentialité.

Engagements de PUNCH360

• Utiliser les renseignements uniquement pour fournir le service; jamais à ses propres fins, à des fins publicitaires ou pour les vendre.
• Maintenir des mesures de sécurité adéquates : chiffrement en transit, isolement entre entreprises vérifié par le serveur, NIP et mots de passe chiffrés, limites de tentatives, vérification en deux étapes pour l’accès à la plateforme et historique des modifications.
• Limiter l’accès de son personnel à ce qui est nécessaire au soutien, sous obligation de confidentialité.
• Aider l’entreprise à répondre aux demandes d’accès, de rectification, de suppression, d’opposition et de portabilité de ses employés.
• Aviser l’entreprise de tout incident touchant ses renseignements sans délai et au plus tard 72 heures après l’avoir confirmé, avec l’information disponible pour lui permettre de remplir ses propres obligations.
• À la fin du service, remettre une copie des renseignements sur demande et les supprimer dans un délai maximal de 90 jours.

Sous-traitants ultérieurs

L’entreprise autorise PUNCH360 à recourir aux fournisseurs suivants :

• Supabase : base de données, authentification et stockage. Oregon, États-Unis.
• Netlify : hébergement de l’application. États-Unis, réseau mondial.
• OpenStreetMap / Nominatim, GeoJS, Have I Been Pwned et Google Fonts : services auxiliaires qui ne reçoivent pas les pointages des employés.

PUNCH360 avisera l’entreprise au moins 30 jours à l’avance avant d’ajouter ou de remplacer un sous-traitant qui traite les pointages des employés. L’entreprise pourra s’y opposer pour des motifs raisonnables et, faute de solution, résilier sans pénalité.

Communication à l’extérieur du Québec et du Canada

Les renseignements sont conservés aux États-Unis. PUNCH360 a évalué que ses fournisseurs offrent une protection adéquate, avec chiffrement, contrôles d’accès et engagements contractuels de confidentialité, et mettra cette évaluation à la disposition de l’entreprise sur demande.

Obligations de l’entreprise cliente

• Informer ses employés de l’utilisation de PUNCH360 et, en particulier, de la position lors du pointage.
• Disposer d’un fondement légal ou du consentement nécessaire pour enregistrer les présences et la position.
• N’ajouter que les renseignements nécessaires et les tenir à jour.
• Contrôler quels membres de son personnel ont un accès administrateur et protéger son mot de passe et son NIP.

Vérification

Une fois par année, ou après un incident, l’entreprise peut demander des renseignements raisonnables sur les mesures de sécurité de PUNCH360. Nous répondrons par écrit dans un délai maximal de 30 jours.

Nous joindre

Pour toute question relative à cette entente : contacto@punch360.app.