Privacy

Draft · Legal review required · Updated October 26, 2026. Contact response procedures and release checks are incomplete.

What KeyHolder records

KeyHolder helps your company record work time and site completion. It records your company and crew identifiers, device sign-in identifier, assigned sites and their addresses, clock-in and clock-out times, travel and exception reasons, optional notes, checklist answers, and manager changes. Your company may supply a crew name.

Managers may import optional crew phone numbers and email addresses and provide an owner name and email during company setup. On iPhone and iPad, the manager workspace can open inside the app with separate manager access. Optional manual mileage records include entered miles, assigned origin and destination sites, time and the original shift identifier; corrections and voids retain the prior trip identifier and reason. They are work records, not a GPS route or reimbursement calculation. Optional manager recovery stores a verified email address and sends that address and a one-use sign-in or verification link through the configured mail service. Sign-in also stores credential identifiers, hashes, passkey public keys, sessions, verification challenges and failed-attempt state; private keys and biometric templates are not sent to the service.

Location and camera

KeyHolder uses location to support attendance records and check assigned-site boundaries, including while you are clocked out. Precise location helps check site attendance and flag gaps; background access lets site events work when the app is closed. Leaving a site never automatically clocks you out or deducts pay.

Assigned-site arrival and departure detection can remain enabled outside a shift. Supporting location fixes are recorded only while the app’s clock is running. On iPhone, when circular regions are unavailable, coarse significant-change locations can also be evaluated locally for assigned-site boundaries outside a shift; their raw coordinates are not retained as work evidence. Clock actions can send the latest supporting coordinates, accuracy and timestamp as location evidence alongside site-linked events and exception flags. This is not a continuous uploaded coordinate trail. Background behavior and battery use still require real-device verification before release.

Crew work photos are taken through KeyHolder’s camera flow; that evidence flow has no gallery picker. Manager forms can select roster CSV or branding image files separately. Camera access also supports scanning sign-in and job-site QR codes. iOS Photos permission descriptions cover linked camera APIs; this crew flow does not request access to saved photos. The app removes GPS and device metadata from work photos while preserving a capture timestamp; visible image content and separate work-record location remain identifiable. Work photos are queued locally while offline. Queued photo bytes are removed only after the server confirms a matching file hash; failed uploads remain for retry. Cleanup of temporary camera files still needs device verification.

Queued work-photo payloads, saved photo previews and camera-recovery records use local AES-256-GCM encryption with keys held in device secure storage. This does not encrypt every local record or prevent the company service from reading uploaded photos. Safe personal sign-out clears acknowledged local session data and replaces only an empty personal photo key. Pending work, photo references, stored photos/previews or camera/reason drafts block replacement; retained shared-member queues keep their keys. The Android app excludes app data from cloud backup and device transfer; this is not a recoverable-backup promise. Device persistence, temporary files and crash recovery still need device verification.

Shared devices and notifications

On a company shared device, assigned roster names and PIN verification data are stored for crew selection and unlocking. Online unlock sends the entered PIN for verification; the service retains verification material, lockout state and a hash of the resulting member session. That session expires after seven days and is bound to the member, device and PIN version. Expiry limits access; it does not promise deletion of every stored copy. Offline PIN checks do not themselves authorize uploads. Device battery level, charging state and last-seen time can be reported to managers. Personal and shared devices also report counts of pending work events and note acknowledgments with device observation and server receipt times. These snapshots are linked to the company, device and crew member and shown to managers to help identify unsent work; they do not include the pending content. Protect your PIN and lock the device when finished. Local personal clock notifications and iOS site-arrival notices are separate from remote job alerts. An arrival notice asks you to open KeyHolder and check saved work; it does not confirm a completed clock-in. Remote job alerts are unavailable in the default 0.1.0 app. Where supported by the installed build, optional remote notifications on personal devices use an Apple or Google push registration token. Availability depends on your installed app, phone settings and service configuration. If setup reports unavailable, check Notes and Schedule in the app for updates. The service sends the provider a notification type and note or schedule identifier with generic notification text, not the manager note body.

Why we use it and who can see it

We use these records for attendance, work checklists, exception review, payroll exports, and proof of work. Authorized managers in your company can see its records, notes and work photos. Managers can export payroll and proof reports and are responsible for protecting copies and sharing them only with appropriate recipients. Managers can also create client proof links that disclose selected work photos, crew first names, site/time and checklist evidence to link holders. Public photo derivatives have metadata removed; originals remain stored. Cloudflare hosts the service database and photo storage; authorized service operators may access data to run and support it. When a manager imports addresses without coordinates or looks up a site address, that address is sent to the U.S. Census geocoding service to propose a site pin. Managers can enter coordinates manually instead. Records are associated with your company and crew, not anonymous.

We do not sell personal information or use it for advertising or cross-app tracking. On Android, QR scanning uses Google ML Kit. Google receives app and device details, per-installation identifiers, scanner configuration, feature-use events, performance metrics and error codes for diagnostics and usage analytics. ML Kit processes camera images and scan results on this phone without sending them to Google. These pages use no analytics, advertising, or third-party scripts. The service stores hashed IP-derived rate-limit buckets to prevent abuse. Application logs contain generic operation failures and push-provider status, rather than work content or credentials. Cloudflare, push and mail providers may retain their own service logs; their configuration and retention still require verification. Google scanner-metric retention and request handling also require verification; deleting company records does not establish deletion of metrics already sent to Google.

Support correspondence

If you email us, we receive the address and information you choose to send for support or privacy requests. Opening an email link does not automatically attach work records or diagnostics. Do not send secrets or unrelated personal information.

How long we keep it

Time records and related event, checklist, exception, correction, crew note, read-receipt and audit records are kept for 3 × 365 days from server receipt or creation. Mileage events, corrections, voids and their reporting records inherit the original shift’s expiry, so a later submission does not restart that clock. Schedule assignments expire 3 × 365 days after their scheduled end or the server write, whichever is later. Stored payroll snapshots share their pay period’s 3 × 365-day retention from period creation. Work photos are kept for 365 days from upload; cleanup also removes their inline previews and additional stored file versions left by interrupted uploads. After those periods, the service’s daily cleanup deletes expired records and stored files; failed cleanup needs retry. Deployed cleanup must be verified before release. Company rosters, PIN verification data, device credentials, manager recovery addresses, review-access registries, push registrations, battery reports, the latest device/member queue snapshot, branding images, cached site geocoding, support correspondence, local journals and exported copies have no universal automatic deletion deadline; their deletion and retention rules need owner and legal review. Queue snapshots are replaced by newer observations and removed on crew deletion, device revocation or company removal; relevant shared-member access changes also remove them. Expiring sign-in challenges and rate-limit windows are pruned, but credential roots and failed-attempt lockouts do not share the work-record deadline. Note revision counters retain company/member identifiers without a separate automatic deadline; crew deletion removes its member counter and company removal clears the company counters. Raw clock-window projections are removed with their original shift.

Your choices and deletion

You can change camera, location and notification permissions in your phone settings. Native location journals can remain after sign-out; do not clear app data, reinstall or transfer devices as a way to recover pending work. Missing permissions may limit site detection or photo capture; report missing time to your manager. Signing out or uninstalling does not delete server records.

In the crew app, open Settings → Privacy & data → Delete my data to queue a deletion request, then use Outbox → Send now when connected. A received request awaits review; it does not immediately delete data. If a manager invokes crew deletion, the service replaces the roster name, disables crew access, removes push registrations, enrollment codes, assigned schedules and crew-addressed notes and receipts, and removes linked work photos and previews. Crew deletion also clears roster phone/email fields, PIN verification data, member sessions, crew passkeys and queue snapshots. Time records and their crew identifiers remain until expiry; audit history can still contain historical names. Crew and photo-identifier cleanup markers remain so scheduled sweeps can remove late uploads even after an initial successful deletion; company removal clears these crew/photo markers. Unattributed legacy photos may require separate review. Company deletion requires a separate confirmation within 24 hours, then schedules removal after seven days; cleanup retries failed removals and retains a company-identifier removal marker. Neither action removes previously exported copies. Managers can export company data, review crew requests and manage company deletion in Settings → Privacy & data. For the steps, access, correction or a request without sign-in, follow Account and data deletion. Some employment records may need to be retained if applicable law requires it; the owner must explain the specific records and retention period. The email contact below also accepts requests without app sign-in. Request handling must be verified before release.

Contact

Contact: The service operator is Synergistic Solutions Unlimited LLC. For privacy, access, correction or deletion requests, email jwatson@thinksynergy.biz. Include KeyHolder, your company and the request type; do not send passwords, PINs, sign-in codes or sensitive work photos. Mailing address, response timing and mailbox handling verification remain pending. This page does not submit a request.

Privacidad

Borrador · Requiere revisión legal · Actualizado el 26 de octubre de 2026. Faltan los procedimientos de respuesta y las verificaciones de lanzamiento.

Qué registra KeyHolder

KeyHolder ayuda a su empresa a registrar el tiempo trabajado y las tareas de cada sitio. Registra los identificadores de empresa, equipo y acceso del dispositivo; los sitios asignados y sus direcciones; las entradas y salidas; los motivos de traslado y excepciones; las notas opcionales; las respuestas de listas de tareas; y los cambios del gerente. Su empresa puede proporcionar el nombre del trabajador.

Los gerentes pueden importar teléfonos y correos opcionales del personal y proporcionar el nombre y correo del responsable al configurar la empresa. En iPhone y iPad, el espacio de gerentes puede abrirse dentro de la app con acceso independiente. Los registros opcionales de millas introducidas manualmente incluyen distancia, sitios asignados de origen y destino, hora e identificador del turno original; las correcciones y anulaciones conservan el identificador del viaje anterior y el motivo. Son registros de trabajo, no una ruta GPS ni un cálculo de reembolso. La recuperación opcional del acceso de gerente guarda un correo verificado y envía esa dirección y un enlace de acceso o verificación de un solo uso mediante el servicio de correo configurado. El acceso también guarda identificadores de credenciales, resúmenes criptográficos, claves públicas de acceso, sesiones, desafíos de verificación y estado de intentos fallidos; no se envían claves privadas ni plantillas biométricas al servicio.

Ubicación y cámara

KeyHolder usa la ubicación para respaldar los registros de asistencia y comprobar los límites de sitios asignados, incluso fuera de la jornada. La ubicación precisa ayuda a verificar la asistencia y señalar períodos sin ubicación. El acceso en segundo plano permite detectar eventos con la aplicación cerrada. Salir de un sitio nunca registra su salida ni descuenta pago automáticamente.

La detección de llegadas y salidas de sitios asignados puede seguir activa fuera de la jornada. Las ubicaciones de apoyo se registran solo mientras el reloj de la aplicación está en marcha. En iPhone, si no están disponibles las regiones circulares, las ubicaciones aproximadas por cambios significativos también pueden evaluarse localmente para los límites de sitios asignados fuera de la jornada; sus coordenadas sin procesar no se conservan como evidencia de trabajo. Las acciones de entrada y salida pueden enviar las últimas coordenadas de apoyo, su precisión y hora como evidencia junto con eventos del sitio y alertas de excepción. No se carga un recorrido continuo de coordenadas. El funcionamiento en segundo plano y el consumo de batería aún requieren verificación en dispositivos reales antes del lanzamiento.

Las fotos de trabajo del equipo se toman con la cámara de KeyHolder; ese flujo no tiene selector de galería. Los formularios de gerentes pueden seleccionar por separado archivos CSV del personal o imágenes de marca. La cámara también permite escanear códigos QR de acceso y de sitios de trabajo. Las descripciones del permiso de Fotos en iOS cubren las API de cámara vinculadas; este flujo del equipo no solicita acceso a fotos guardadas. La app elimina metadatos de GPS y dispositivo de las fotos de trabajo y conserva una hora de captura; el contenido visible y la ubicación separada del registro de trabajo siguen siendo identificables. Las fotos de trabajo esperan en el dispositivo si no hay conexión. Los datos de fotos en cola se eliminan solo cuando el servidor confirma una huella digital coincidente; si falla el envío, se conservan para reintentar. Aún falta verificar en un dispositivo la limpieza de archivos temporales de la cámara.

Los datos de fotos de trabajo pendientes, las vistas previas guardadas y los registros de recuperación de cámara usan cifrado local AES-256-GCM con claves en el almacenamiento seguro del dispositivo. Esto no cifra todos los registros locales ni impide que el servicio de la empresa lea las fotos cargadas. El cierre seguro de la sesión personal borra datos locales de sesión ya confirmados y reemplaza solo la clave de fotos de un almacén personal vacío. El trabajo pendiente, las referencias a fotos, las fotos y vistas previas guardadas o los borradores de cámara o motivos impiden reemplazarla; las colas conservadas de trabajadores en dispositivos compartidos mantienen sus claves. La app de Android excluye sus datos de copias en la nube y transferencias entre dispositivos; esto no promete una copia recuperable. La persistencia, los archivos temporales y la recuperación tras fallos aún requieren verificación en dispositivos.

Dispositivos compartidos y notificaciones

En un dispositivo compartido de la empresa, los nombres asignados y los datos de verificación de PIN se guardan para seleccionar al trabajador y desbloquear. El desbloqueo en línea envía el PIN introducido para verificarlo; el servicio conserva datos de verificación, estado de bloqueo y un resumen criptográfico de la sesión resultante. La sesión vence después de siete días y está vinculada al trabajador, dispositivo y versión del PIN. El vencimiento limita el acceso; no promete eliminar todas las copias guardadas. La comprobación del PIN sin conexión no autoriza por sí sola las cargas. Se pueden comunicar al gerente el nivel de batería, el estado de carga y la última conexión. Los dispositivos personales y compartidos también comunican cantidades de eventos de trabajo y confirmaciones de notas pendientes, con la hora de observación del dispositivo y de recepción del servidor. Estas muestras se vinculan a la empresa, dispositivo y trabajador y se muestran al gerente para identificar trabajo sin enviar; no incluyen el contenido pendiente. Proteja su PIN y bloquee el dispositivo al terminar. Los avisos locales del reloj personal y de llegada a sitios en iOS son distintos de las alertas remotas de trabajo. Un aviso de llegada pide abrir KeyHolder y comprobar el trabajo guardado; no confirma una entrada registrada. Las alertas remotas de trabajo no están disponibles en la app predeterminada de la versión 0.1.0. Cuando la versión instalada lo permite, las notificaciones remotas opcionales en dispositivos personales usan un token de Apple o Google. La disponibilidad depende de la aplicación instalada, los ajustes del teléfono y la configuración del servicio. Si la configuración indica que no está disponible, consulte Notas y Horario en la aplicación para ver las novedades. El servicio envía al proveedor el tipo de aviso y el identificador de la nota o del horario, con un texto genérico, no el contenido de la nota del gerente.

Para qué se usan y quién puede verlos

Usamos estos registros para asistencia, listas de tareas, revisión de excepciones, exportaciones para nómina y comprobantes de trabajo. Los gerentes autorizados de su empresa pueden ver sus registros, notas y fotos de trabajo. Pueden exportar informes de nómina y comprobantes; deben proteger las copias y compartirlas solo con destinatarios adecuados. Los gerentes también pueden crear enlaces para clientes que muestran fotos seleccionadas, nombres de pila, sitio, hora y tareas a quienes tengan el enlace. Se eliminan los metadatos de las copias públicas de fotos; los originales siguen guardados. Cloudflare aloja la base de datos y las fotos. Los operadores autorizados del servicio pueden acceder a los datos para mantenerlo y brindar asistencia. Cuando un gerente importa direcciones sin coordenadas o busca la ubicación de un sitio, esa dirección se envía al servicio de geocodificación del Censo de EE. UU. para proponer un punto. Los gerentes pueden introducir coordenadas manualmente. Los registros están asociados a su empresa y equipo; no son anónimos.

No vendemos información personal ni la usamos para publicidad o seguimiento entre aplicaciones. En Android, el escaneo QR usa Google ML Kit. Google recibe datos de la aplicación y del dispositivo, identificadores por instalación, ajustes del escáner, eventos de uso de funciones, métricas de rendimiento y códigos de error para diagnósticos y análisis de uso. ML Kit procesa las imágenes de la cámara y los resultados del escaneo en este teléfono sin enviarlos a Google. Estas páginas no usan análisis de visitas, publicidad ni scripts de terceros. El servicio guarda contadores de límites de solicitudes derivados de resúmenes criptográficos de direcciones IP para evitar abusos. Los registros de la aplicación contienen fallos genéricos de operaciones y estados del proveedor de notificaciones, sin contenido de trabajo ni credenciales. Cloudflare y los proveedores de notificaciones y correo pueden conservar sus propios registros del servicio; aún falta verificar su configuración y conservación. También falta verificar la conservación y gestión de solicitudes de métricas del escáner de Google; borrar registros de empresa no demuestra la eliminación de métricas ya enviadas a Google.

Correspondencia de ayuda

Si nos escribe, recibimos su dirección y la información que decida enviar para ayuda o solicitudes de privacidad. Abrir un enlace de correo no adjunta automáticamente registros ni diagnósticos. No envíe secretos ni información personal ajena a la solicitud.

Cuánto tiempo se conservan

Los registros de tiempo y los eventos, listas de tareas, excepciones, correcciones, notas del equipo, confirmaciones de lectura y auditorías relacionados se conservan durante 3 × 365 días desde su recepción o creación en el servidor. Los eventos de millas, correcciones, anulaciones y sus registros para informes heredan el vencimiento del turno original, por lo que enviarlos después no reinicia ese plazo. Los horarios asignados vencen 3 × 365 días después de su final programado o de su escritura en el servidor, lo que sea posterior. Los archivos de nómina guardados comparten la conservación de 3 × 365 días de su período, desde la creación del período. Las fotos de trabajo se conservan durante 365 días desde su carga; la limpieza también elimina sus vistas previas integradas y las versiones adicionales de archivos que hayan quedado de cargas interrumpidas. Después, la limpieza diaria del servicio elimina los registros y archivos vencidos; una limpieza fallida requiere otro intento. Debe verificarse la limpieza en el servicio publicado antes del lanzamiento. Las listas de equipos, datos de verificación de PIN, credenciales, correos de recuperación de gerentes, registros de acceso de revisión, registros de notificaciones, informes de batería, la última muestra de cola por dispositivo y trabajador, imágenes de marca, caché de geocodificación, correos de ayuda, diarios locales y copias exportadas no tienen un plazo universal de eliminación automática; sus reglas de conservación y eliminación requieren revisión del responsable y asesoría legal. Las muestras de cola se reemplazan con observaciones más recientes y se eliminan al borrar al trabajador, revocar el dispositivo o eliminar la empresa; también se eliminan con cambios pertinentes del acceso compartido. Se limpian los desafíos de acceso y períodos de límites vencidos, pero las credenciales raíz y bloqueos por intentos fallidos no comparten el plazo de registros de trabajo. Los contadores de revisión de notas conservan identificadores de empresa y trabajador sin un plazo automático propio; eliminar al trabajador borra su contador y eliminar la empresa borra los contadores de la empresa. Los registros derivados de los límites del turno se eliminan junto con el turno original.

Sus opciones y la eliminación de datos

Puede cambiar los permisos de cámara, ubicación y notificaciones en los ajustes del teléfono. Los diarios nativos de ubicación pueden permanecer después de cerrar sesión; no borre los datos de la app, reinstale ni transfiera dispositivos para recuperar trabajo pendiente. Sin ellos, la detección de sitios o las fotos pueden verse limitadas. Informe a su gerente si falta tiempo trabajado. Cerrar sesión o desinstalar no elimina los registros del servidor.

En la aplicación del equipo, abra Configuración → Privacidad y datos → Eliminar mis datos para guardar una solicitud; después use Envíos → Enviar ya cuando haya conexión. Una solicitud recibida espera revisión; no elimina datos de inmediato. Si un gerente ejecuta la eliminación de un trabajador, el servicio reemplaza su nombre en la lista, desactiva su acceso, elimina registros de notificaciones, códigos de acceso, horarios asignados y notas dirigidas al trabajador con sus confirmaciones, y elimina las fotos vinculadas y sus vistas previas. También se borran los teléfonos y correos del registro del trabajador, datos de verificación de PIN, sesiones del trabajador, claves públicas de acceso del equipo y muestras de cola. Los registros de tiempo y sus identificadores de trabajador permanecen hasta vencer; el historial de auditoría puede conservar nombres anteriores. Las marcas de limpieza con identificadores de trabajador y foto permanecen para eliminar cargas tardías mediante revisiones programadas, incluso después de una primera eliminación exitosa; al eliminar la empresa se borran esas marcas de trabajador y foto. Las fotos antiguas sin atribución pueden requerir revisión aparte. La eliminación de empresa requiere una confirmación adicional en un plazo de 24 horas y programa la eliminación para después de siete días; la limpieza reintenta los fallos y conserva una marca con el identificador de la empresa eliminada. Ninguna acción elimina copias ya exportadas. Los gerentes pueden exportar datos, revisar solicitudes y gestionar la eliminación de empresa en Configuración → Privacidad y datos. Para los pasos, acceso, corrección o una solicitud sin iniciar sesión, siga Eliminación de cuenta y datos. Puede ser necesario conservar ciertos registros laborales si la ley lo exige; el responsable debe explicar cuáles y por cuánto tiempo. El correo indicado abajo también permite solicitar sin acceder a la aplicación. Debe verificarse la gestión de solicitudes antes del lanzamiento.

Contacto

Contacto: El operador del servicio es Synergistic Solutions Unlimited LLC. Para privacidad, acceso, corrección o eliminación, escriba a jwatson@thinksynergy.biz. Indique KeyHolder, su empresa y el tipo de solicitud; no envíe contraseñas, PIN, códigos de acceso ni fotos sensibles. Faltan la dirección postal, los plazos de respuesta y la verificación del proceso de correo. Esta página no envía solicitudes.