Privacy · KeenHour

Versione: bozza del 30 ottobre 2026.

Chi tratta i tuoi dati

Il titolare del trattamento dei dati descritti in questa pagina è «ragione sociale da completare», «sede legale da completare», partita IVA «partita IVA da completare» («KeenHour», «noi»). Per qualunque domanda sui tuoi dati scrivi a privacy@keenhour.com.

Questa informativa riguarda i dati che trattiamo per conto nostro: il tuo account, la fatturazione dell'abbonamento, la sicurezza del servizio e questo sito.

I contenuti dei workspace (task, commenti, ore, rischi, documenti, allegati e i dati delle persone che vi compaiono) li tratta come titolare l'azienda o lo studio che ha aperto il workspace. KeenHour li tratta per suo conto, come responsabile del trattamento, secondo l'accordo sul trattamento dei dati. Per quei dati rivolgiti prima a chi ti ha invitato nel workspace: noi lo aiutiamo a risponderti.

Quali dati trattiamo, perché e per quanto tempo

Il tuo account

Dati: nome, email, password (conservata solo come impronta crittografica, mai in chiaro), fuso orario, preferenze di notifica; il segreto della verifica in due passaggi e i codici di recupero, se la attivi.
Perché: creare il tuo account, farti accedere in sicurezza, mandarti le notifiche che scegli e le email che servono al servizio (inviti, recupero della password, fine della prova).
Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b GDPR).
Per quanto: finché non elimini l'account. Le ore che hai registrato restano nel workspace senza il tuo nome, come «Ex membro», perché servono all'azienda per i suoi conti.

La fatturazione dell'abbonamento

Dati: ragione sociale, partita IVA o codice fiscale, indirizzo, codice destinatario o PEC, email per le fatture.
Perché: emettere le fatture dell'abbonamento.
Base giuridica: obbligo di legge (art. 6, par. 1, lett. c) ed esecuzione del contratto.
Per quanto: 10 anni dall'emissione della fattura, come le scritture contabili (art. 2220 del Codice civile).

I pagamenti con carta li gestisce Stripe: i dati della carta li riceve e li conserva Stripe, non KeenHour.

La sicurezza del servizio

Dati: indirizzo IP, tipo di browser, registri delle richieste e degli accessi. I registri contengono identificativi, mai password, email o contenuti dei workspace.
Perché: proteggere il servizio da abusi e da accessi non autorizzati, limitare i tentativi di accesso, trovare e correggere gli errori.
Base giuridica: legittimo interesse alla sicurezza del servizio e dei dati di tutti i clienti (art. 6, par. 1, lett. f).
Per quanto: i registri 30 giorni; i contatori dei tentativi da qualche minuto a qualche ora.

Lo spazio Academy

Se arrivi da un corso di KeenHour Academy: l'identificativo del tuo account dell'Academy, collegato al tuo account KeenHour, e gli esercizi dei corsi caricati. Lo spazio resta modificabile fino a sei mesi dopo la fine del tuo accesso al corso, poi in sola lettura.

Base giuridica: esecuzione del contratto.
Per quanto: finché non elimini l'account.

Accesso con Google o Microsoft, calendario collegato, notifiche push

Solo se li usi.

Dati: se entri con Google o Microsoft, l'identificativo del tuo account presso di loro, l'email e il nome che ci mandano (la password resta a loro). Se colleghi il calendario, il permesso di scrivere nel calendario «Scadenze KeenHour» del tuo account, conservato cifrato, e l'elenco degli eventi che ci abbiamo scritto. Con Google, se dai anche il permesso sugli eventi, e con Outlook, gli eventi del tuo calendario principale da 30 giorni fa a un anno da oggi: titolo, descrizione, luogo, orari, ripetizione, invitati con le loro risposte, promemoria e link della videochiamata (Google Meet o Microsoft Teams). Se attivi le notifiche push, l'indirizzo e le chiavi del tuo browser per riceverle e il nome del dispositivo (per esempio «Chrome su Android»).
Perché: farti entrare senza un'altra password; tenere le tue scadenze nel tuo calendario e spostarle da lì; con Google o Outlook, avere gli stessi eventi nel Calendario di KeenHour e nel tuo Google Calendar o Outlook, con le modifiche dell'uno nell'altro; con Outlook, aggiungere a un evento la riunione Microsoft Teams, se la scegli; mandarti le notifiche sul telefono.
Base giuridica: esecuzione del contratto, su tua richiesta.
Per quanto: finché non scolleghi, disattivi o elimini l'account. Scollegando Google o Outlook, gli eventi arrivati da lì spariscono da KeenHour; quelli creati in KeenHour restano, anche nel tuo calendario, perché sono riunioni con i loro invitati.

Google e Microsoft trattano i dati del tuo account presso di loro come titolari autonomi, con le loro informative. Nel calendario «Scadenze KeenHour» scriviamo numero, titolo e scadenza dei tuoi task, il nome del workspace, dello Space e della lista e il collegamento al task. Senza il permesso sugli eventi, con Google vediamo solo quel calendario. Con il permesso, e con Outlook, che non ha un permesso a parte, gli eventi del tuo calendario principale arrivano nel workspace che scegli e li vedi solo tu: ai colleghi risulti «occupato», e non escono con l'esportazione del workspace. Gli eventi che crei in KeenHour vanno nel tuo Google Calendar o in Outlook con i loro invitati, e l'invito lo manda Google o Outlook. Se per un evento scegli Microsoft Teams, chiediamo a Outlook di creare la riunione insieme all'evento e teniamo il suo link. L'uso e il trasferimento ad altre app delle informazioni ricevute dalle API di Google (l'accesso, il calendario e Google Drive) rispettano la Google API Services User Data Policy, compresi i requisiti di «Limited Use» (uso limitato): non le vendiamo, non le usiamo per pubblicità né per addestrare modelli di intelligenza artificiale, e non le passiamo ad altri se non per far funzionare il calendario e i file collegati. Il contenuto delle notifiche push arriva cifrato al tuo browser: il servizio che le consegna (di Google, Mozilla, Apple o Microsoft, secondo il browser) non lo legge.

File da Google Drive, OneDrive e Dropbox

Solo se colleghi il tuo account Google o Microsoft, da Connettori, o scegli un file da Dropbox, per collegare file a task, documenti e commenti. Il proprietario e gli admin del workspace possono spegnere ognuno dei tre servizi per tutto il workspace.

Dati: con Google Drive, l'identificativo e l'email del tuo account Google e il permesso «drive.file» (un token d'accesso e uno di rinnovo, conservati cifrati): vediamo solo i file che scegli tu nel selettore di Google, mai il resto del tuo Drive. Con OneDrive e SharePoint, solo con un account Microsoft di lavoro o della scuola, l'identificativo e l'email del tuo account e il permesso di leggere in sola lettura i file a cui hai accesso, che serve al selettore di Microsoft per sfogliarli (anche questo un token, conservato cifrato). Con Dropbox non c'è nessun collegamento e non conserviamo nessun accesso al tuo account. Di ogni file collegato teniamo il nome, il tipo, l'indirizzo, la dimensione e l'ultima modifica, che leggiamo dal servizio con il tuo permesso, e chi l'ha collegato e quando. Per Dropbox teniamo il nome, il link di condivisione e, se c'è, la dimensione, che il suo selettore ci consegna; il tipo lo ricaviamo dall'estensione.
Perché: farti collegare ai task, ai documenti e ai commenti i file che restano sul servizio, così che chi vede il task, il documento o il commento li apra lì, con i permessi che ha su quel servizio.
Base giuridica: esecuzione del contratto, su tua richiesta.
Per quanto: finché il collegamento resta; un file collegato, finché resta nel task, nel documento o nel commento: lo toglie chi l'ha collegato, il proprietario o un admin. Scollegando Google Drive o OneDrive revochiamo il suo permesso, per quanto il servizio lo consente, e smettiamo di leggere i tuoi file; i file già collegati restano nei task, nei documenti e nei commenti (nome e link) finché qualcuno non li toglie. Puoi revocare il permesso anche dal servizio: per Google da Account Google › Sicurezza › App e servizi di terze parti, per Microsoft dal portale My Apps (myapps.microsoft.com). Eliminando il tuo account KeenHour il collegamento si toglie. Il link di condivisione di Dropbox resta com'è: se non deve più aprirsi, puoi disattivarlo da Dropbox.

Google, Microsoft e Dropbox trattano i dati del tuo account presso di loro come titolari autonomi, con le loro informative. Il nome, il tipo, l'indirizzo, la dimensione e l'ultima modifica dei file collegati (per Dropbox, il nome e il link di condivisione) sono contenuto del workspace: li trattiamo per conto di chi ha aperto il workspace, secondo l'accordo sul trattamento dei dati, ed escono con l'esportazione del workspace. I file non li scarichiamo né li copiamo: restano sul servizio, e chi apre un file collegato lo apre lì, con i permessi che ha su quel servizio (per Dropbox, chi vede il task, il documento o il commento lo apre con i permessi del link di condivisione). Per ciò che riceviamo da Google Drive vale la dichiarazione sull'uso limitato dei dati delle API di Google fatta nella sezione su Google, qui sopra.

GitHub e GitLab collegati al workspace

Solo se il proprietario o un admin del workspace li collega, da Connettori.

Dati: con GitHub, l'organizzazione o l'account dove è installata l'app KeenHour e l'elenco dei repository che le dai; il permesso che GitHub ci dà per verificare che l'installazione sia tua lo usiamo una volta e non lo conserviamo. Con GitLab, l'identificativo e il nome utente del tuo account e il permesso di accedervi (un token, conservato cifrato), che usiamo solo per elencare i tuoi progetti e per creare o togliere i loro webhook.
Perché: collegare i repository al workspace, così che branch, pull request, merge request e commit compaiano nei task.
Base giuridica: esecuzione del contratto, su tua richiesta.
Per quanto: finché il collegamento resta. Scollegando GitLab togliamo i webhook e revochiamo il permesso; puoi revocarlo anche da GitLab (Preferences › Applications), e togliere l'app dalle impostazioni del tuo account o dell'organizzazione su GitHub.

GitHub e GitLab trattano i dati del tuo account presso di loro come titolari autonomi, con le loro informative. Ciò che arriva dai repository collegati (i nomi dei branch, i titoli delle pull request e delle merge request, i messaggi dei commit e i nomi dei loro autori) è contenuto del workspace: lo trattiamo per conto di chi ha aperto il workspace, secondo l'accordo sul trattamento dei dati. Il codice non lo scarichiamo.

Slack collegato al workspace, accesso con Slack

Solo se il proprietario o un admin del workspace installa l'app KeenHour in Slack, da Connettori; l'accesso, le notifiche in privato e i task da Slack solo se li usi.

Dati: dell'installazione, il nome e l'identificativo del workspace Slack, l'identificativo dell'app e il suo permesso (un token, conservato cifrato), chi l'ha installata e quando; per ogni canale scelto in uno Space, l'identificativo e il nome del canale. Se entri con Slack o colleghi il tuo account Slack, l'identificativo del tuo account e del tuo workspace Slack, il nome di quel workspace, l'email e il nome che Slack ci manda (la password resta a Slack). Se crei task con /keenhour o da un messaggio, l'ultima lista che hai usato, per riproportela, per 90 giorni.
Perché: mandare gli aggiornamenti degli Space nei canali scelti e le tue notifiche in un messaggio privato; creare task da Slack a nome tuo, con i tuoi permessi; farti entrare senza un'altra password.
Base giuridica: esecuzione del contratto, su tua richiesta.
Per quanto: finché l'app resta installata o il tuo account Slack resta collegato. Togliendo l'app da Connettori revochiamo il suo permesso; puoi toglierla anche dalle impostazioni del workspace Slack. Il tuo account Slack lo scolleghi da Account › Sicurezza, le notifiche in privato le spegni da Account › Notifiche.

Slack tratta i dati del tuo account presso di lui come titolare autonomo, con la sua informativa. Ciò che mandiamo nei canali e nei messaggi privati (titoli, persone, scadenze e collegamenti di task, rischi, commesse, approvazioni, situazioni e riunioni annunciate) e ciò che arriva da Slack quando crei un task (il testo del messaggio, il nome del suo autore e il link) è contenuto del workspace: lo trattiamo per conto di chi ha aperto il workspace, secondo l'accordo sul trattamento dei dati. I messaggi arrivati in Slack li conserva Slack, con le regole del vostro workspace Slack.

Zoom collegato al tuo account

Solo se colleghi il tuo account Zoom, da Connettori, per aggiungere una riunione Zoom agli eventi del calendario.

Dati: l'identificativo e l'email del tuo account Zoom, e il permesso di creare, modificare ed eliminare le tue riunioni e di leggere il tuo profilo (un token, conservato cifrato). Degli eventi a cui aggiungi Zoom mandiamo a Zoom il titolo, l'inizio, la durata e il fuso; da Zoom teniamo l'identificativo e il link di ogni riunione.
Perché: creare la riunione Zoom di un evento, di cui sei l'organizzatore su Zoom, e tenerla allineata quando l'evento cambia o viene eliminato.
Base giuridica: esecuzione del contratto, su tua richiesta.
Per quanto: finché il collegamento resta. Scollegando Zoom revochiamo il suo permesso, per quanto Zoom lo consente; le riunioni già create restano su Zoom, con i loro link negli eventi. Puoi revocare il permesso anche dal tuo account Zoom. Eliminando il tuo account KeenHour il collegamento si toglie.

Zoom tratta i dati del tuo account presso di lui come titolare autonomo, con la sua informativa. Il titolo, l'inizio, la durata e il fuso che mandiamo a Zoom sono contenuto del workspace: li trattiamo per conto di chi ha aperto il workspace, secondo l'accordo sul trattamento dei dati. Non mandiamo a Zoom la descrizione degli eventi né gli invitati.

Le email che ci scrivi

Perché: risponderti e risolvere quello che ci chiedi.
Base giuridica: esecuzione del contratto o legittimo interesse a rispondere.
Per quanto: il tempo di chiudere la richiesta, poi al massimo 2 anni.

Cookie

Usiamo solo cookie tecnici, necessari a far funzionare il servizio:

kh_session: la sessione dopo l'accesso, per 7 giorni;
kh_2fa: la sfida della verifica in due passaggi, per 5 minuti;
kh_device: riconosce un browser da cui hai già effettuato l'accesso, per 90 giorni, così un ufficio non resta chiuso fuori per i tentativi sbagliati di altri;
kh_sso: l'accesso con Google, Microsoft o Slack in corso, o il collegamento del calendario o dei file con Google o Microsoft, per 10 minuti;
kh_slack: l'installazione dell'app Slack in corso, per 10 minuti;
kh_code: il collegamento con GitHub o GitLab in corso, per 10 minuti;
kh_zoom: il collegamento con Zoom in corso, per 10 minuti;
kh_theme: il tema chiaro o scuro che scegli, per un anno.

Nel browser teniamo anche kh_push_device, quale dei tuoi dispositivi è questo, per disattivarne le notifiche push.

Nessuno strumento di analisi o di pubblicità di terze parti: per questo non ti chiediamo il consenso con un banner (art. 122 del Codice privacy, linee guida del Garante del 10 giugno 2021).

A chi li affidiamo

I dati sono ospitati in Unione europea. Li trattano per nostro conto solo i fornitori che servono al servizio: server e database, archivio dei file, copie di sicurezza, invio delle email, monitoraggio degli errori e, se il proprietario del workspace accende l'intelligenza artificiale, il fornitore del modello, che elabora in Unione europea e non usa i dati per addestrare modelli. Quel fornitore è Amazon Web Services EMEA (Lussemburgo), con Amazon Bedrock nella regione UE: AWS non conserva le richieste e non le passa ad Anthropic, l'azienda che fa il modello Claude. La società madre di AWS è statunitense, e la legge degli Stati Uniti (CLOUD Act) può obbligarla a consegnare dati anche se sono ospitati in Unione europea: per questo all'AI mandiamo solo ciò che serve alla domanda, con i nomi delle persone sostituiti da pseudonimi. Ognuno è vincolato da un accordo sul trattamento; l'elenco è nell'accordo sul trattamento dei dati.

Stripe tratta i dati di pagamento come titolare autonomo, con la sua informativa. Può trasferirli fuori dall'Unione europea con le garanzie previste dal GDPR (decisione di adeguatezza o clausole contrattuali tipo).

Non vendiamo i tuoi dati e non li usiamo per pubblicità.

Copie di sicurezza

Il database ha una copia di sicurezza ogni notte, conservata 14 giorni; i file degli allegati hanno le versioni precedenti per 30 giorni. Un dato eliminato sparisce subito dal servizio, e dalle copie quando scadono.

I tuoi diritti

Puoi chiederci di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile da una macchina e opporti ai trattamenti basati sul legittimo interesse (artt. 15–22 GDPR). Molte cose le fai da solo: nome e preferenze dal profilo, l'eliminazione dall'account; il proprietario di un workspace ne scarica l'esportazione completa, anche in sola lettura.

Per tutto il resto scrivi a privacy@keenhour.com: rispondiamo entro un mese. Puoi anche presentare reclamo al Garante per la protezione dei dati personali.

Modifiche

Se cambiamo questa informativa aggiorniamo la versione in cima alla pagina; se il cambiamento riguarda come usiamo i tuoi dati, te lo scriviamo prima per email.