Договор за обработване на лични данни (AVV) — Редакция за България

1. Предмет и срок

(1) Обработващият лични данни предоставя на администратора софтуера NymTime като софтуер като услуга (Software-as-a-Service): график за работа, отчитане на работното време чрез смартфона на служителя на NFC тагове (като заместител — геопроверено отбелязване чрез местоположението без NFC), проверка на местоположението в момента на записа, отчитане на почивките в работния ден съгласно избраното от администратора правило, отсъствия, данни за наличността, размяна на смени, съобщения на фирмата (табло за обяви), баланс на часовете, анализ на часовете, експорт за изчисляването на заплатите, както и по избор съхранение на документи, включително преглед от засегнатия служител, документи за заплати, данни за оборота по обекти и вътрешни разходи за персонал. При това той обработва лични данни от името на администратора.

(2) Срокът на настоящия договор се определя от договора за използване (общи условия, nymtime.com/agb). Той се прекратява с договора за използване; точка 10 продължава да се прилага и след това, докато всички данни бъдат върнати или изтрити.

(3) Данните на администратора се съхраняват изключително в центрове за данни в рамките на Европейския съюз. По време на предаването те преминават през обратния прокси сървър (reverse proxy) на Cloudflare; електронните писма и push известията се изпращат чрез посочените в приложение 2 услуги. Извършваните при това предавания на данни на трети държави и тяхното основание (член 45 и член 46, параграф 2, буква в) от ОРЗД) са посочени в приложение 2.

(4) Когато клиентът предоставя NymTime за ползване на свързани с него предприятия съгласно § 12, ал. 5 от общите условия, администратор на личните данни на служителите на даден обект е предприятието, вписано в Back Office като работодател на този обект (приложение 4). Клиентът сключва настоящия договор от свое име и едновременно от името и за сметка на всяко свързано предприятие, посочено в приложение 4, въз основа на предоставено от него пълномощие; по този начин всяко от тези предприятия е администратор на данните на своите обекти по смисъла на настоящия договор и на член 28 от ОРЗД. Клиентът гарантира, че пълномощието е било предоставено преди вписването, и при поискване го доказва пред обработващия лични данни. Указанията (точка 3), съобщенията и уведомленията по настоящия договор клиентът дава и получава обединено за всички свързани предприятия; правата по точка 11 той упражнява от тяхно име, доколкото императивни правни норми не изискват пряко действие на свързаното предприятие. Всяко свързано предприятие остава отговорно за законосъобразността на обработването на данните на своите служители (член 5, параграф 2 и член 24 от ОРЗД); за данните на даден обект се прилага Част Б на държавата, в която той се намира. За обекти без вписано свързано предприятие администратор е клиентът.

2. Естество и цел на обработването, категории данни и субекти на данните

(1) Естеството и целта на обработването, категориите лични данни и категориите субекти на данните са описани в приложение 1. В обобщение: управление на основните данни, график за работа, отчитане на работното време съгласно правото на държавата на обекта, отсъствия, резултат от проверката на местоположението при записа, данни за устройствата, съобщения на служителите, както и — доколкото администраторът ги използва — документи и данни за разходите за персонал, всички с цел планиране на персонала, изпълнение на задълженията за отчитане по трудовото право и подготовка на изчисляването на заплатите.

(2) Не се съхраняват GPS координати, маршрути или профили на движение. Резултатът от проверката на местоположението се записва само в момента на запис по време на смяна като „в зоната“, „извън зоната“ или „местоположението не е налично“, заедно с момента и точността; определяне на местоположението във фонов режим не се извършва. Проверката се извършва само в обекти, в които правото на държавата на обекта я допуска и администраторът не я е изключил; администраторът гарантира, че изискваните от това право стъпки са изпълнени преди използването ѝ (Част Б).

(3) Причината за отсъствие „болничен“ се записва без диагноза и без посочване на причината за заболяването. Специални категории лични данни по член 9 от ОРЗД са предмет на обработването освен това само доколкото администраторът използва функцията „Болничен лист“: удостоверението за началото и очакваната продължителност на временната неработоспособност представлява данни за здравословното състояние. Администраторът може да го съхранява само доколкото има право да го изисква съгласно правото на държавата, в която служителят е нает (разпоредбите са посочени в Част Б); правното основание е член 9, параграф 2, буква б) от ОРЗД във връзка с тези разпоредби и член 88 от ОРЗД. Обработващият лични данни ограничава достъпа до тези документи до лицата, оправомощени за това от администратора, и до засегнатия служител и не анализира тяхното съдържание. Администраторът гарантира, че в полетата за свободен текст и в други документи не се съхраняват диагнози и други данни за здравословното състояние.

(4) Допълнително обработващият лични данни обработва от името на администратора: данните за наличността на служителите (доброволно посочване за целите на планирането; не е дежурство, нито време на разположение по смисъла на правото относно работното време, и не поражда право на възнаграждение), предложенията и приемането при размяна на смени (за колегите от същия обект и със същата роля са видими името, ролята или отделът и часовете на съответната смяна — без данни за присъствие или за работата), контактните данни, които самият служител е споделил с колегите си (съгласие по член 6, параграф 1, буква а) от ОРЗД, настройка по подразбиране „изключено“, оттегляне по всяко време съгласно член 7, параграф 3 от ОРЗД с незабавно действие в приложението), потвържденията за прочитане на съобщенията на фирмата (табло за обяви), както и отчетените почивки в работния ден и кратки почивки заедно със забележката „Почивката не е отчетена“. Забележката служи единствено за коригиране на отчета на работното време и не е санкция, нито оценка на работата; корекцията се извършва от лице на администратора с обосновка.

(5) Данните за оборота по обекти, които администраторът въвежда или импортира за показатели, се отнасят до обекта, а не до лица, и сами по себе си не са лични данни; те се анализират само във връзка с разходите за персонал, които са достъпни единствено за ръководството на администратора и за мениджърите, на които то е предоставило достъп за това.

3. Указания на администратора (член 28, параграф 3, буква а) от ОРЗД)

(1) Обработващият лични данни обработва лични данни само по документирано нареждане на администратора, освен ако е длъжен да извърши обработването по силата на правото на Съюза или на Австрия; в този случай той информира администратора за това задължение преди обработването, освен ако правото забранява това.

(2) Указанията се дават чрез конфигурацията в Back Office — по-специално обекти и зона на обекта, роли и права, правило за почивките за всеки обект, срок за посочване на наличността, изискване за одобрение при размяна на смени, видимост на документите за служителите, срокове за съхранение, включване и изключване на NFC и на проверката на местоположението при записа за всеки обект, разрешаване на достъпа за поддръжка (Настройки → Абонамент → Достъп за поддръжка), експорт и изтриване — както и писмено на office@nymtime.com, като е достатъчно електронно писмо (договорена форма съгласно § 886 ABGB — Австрийски общ граждански кодекс, Allgemeines bürgerliches Gesetzbuch). Администраторът определя кои от неговите потребители имат право да дават указания (роля „Ръководство“).

(3) Ако обработващият лични данни счита, че дадено указание е недопустимо от гледна точка на правото в областта на защитата на данните, той незабавно информира администратора и може да спре изпълнението до потвърждаването или изменението на указанието.

4. Поверителност (член 28, параграф 3, буква б) от ОРЗД)

(1) Обработващият лични данни гарантира, че всички лица, оправомощени да обработват личните данни, са поели задължение за поверителност или са задължени по закон да спазват подходящо задължение за поверителност и че това задължение продължава да действа и след прекратяване на дейността им.

(2) При обичайната работа обработващият лични данни няма достъп до съдържанието на профила на клиента. Достъп за поддръжка е възможен само ако администраторът изрично го разреши в Back Office — с обхват, продължителност и възможност за оттегляне по всяко време. Всеки достъп се записва с момента, лицето и действието в журнала на действията на администратора.

5. Сигурност на обработването (член 28, параграф 3, буква в) и член 32 от ОРЗД)

(1) Обработващият лични данни прилага описаните в приложение 3 технически и организационни мерки и ги поддържа през целия срок на договора. Той ги преглежда редовно и ги привежда в съответствие с достиженията на техническия прогрес.

(2) Обработващият лични данни може да развива мерките и да ги заменя с равностойни, доколкото нивото на защита не се понижава. Съществените промени се документират в приложение 3 и се показват на администратора в Back Office.

6. Други обработващи лични данни (член 28, параграфи 2 и 4 и параграф 3, буква г) от ОРЗД)

(1) Администраторът дава общо разрешение за ангажирането на посочените в приложение 2 други обработващи лични данни. С всеки друг обработващ лични данни е сключен договор, който му налага същите задължения за защита на данните, каквито настоящият договор налага на обработващия лични данни.

(2) Ако обработващият лични данни възнамерява да ангажира или да замени друг обработващ лични данни, той информира администратора най-малко 30 дни предварително по електронна поща и в Back Office. В рамките на този срок администраторът може да направи възражение по важна причина, свързана със защитата на данните; ако не бъде постигнато съгласие, всяка от страните може да прекрати договора за използване, считано от края на текущия месец.

(3) Предаване на лични данни на трета държава извън Европейското икономическо пространство се извършва само ако са изпълнени условията на членове 44—49 от ОРЗД (решение относно адекватното ниво на защита или стандартни договорни клаузи съгласно член 46, параграф 2, буква в) от ОРЗД). Обработващият лични данни отговаря за другите обработващи лични данни като за собствените си действия.

7. Съдействие при упражняване на правата на субектите на данните (член 28, параграф 3, буква д) от ОРЗД)

(1) Обработващият лични данни подпомага администратора чрез подходящи технически и организационни мерки да отговаря в законовите срокове на искания на субектите на данните за достъп, коригиране, изтриване, ограничаване на обработването, преносимост на данните и възражение (членове 15—22 от ОРЗД).

(2) За целта продуктът предлага: преглед и месечен експорт на собствените записи на работното време в приложението за служители (членове 15 и 20 от ОРЗД); експорт на всички данни на даден служител от Back Office; корекции с журнал; архивиране, анонимизиране и изтриване съгласно сроковете за съхранение; в приложението за служители — заявка на служителя за изтриване на профила му, която се препраща на администратора за решение (записите на работното време се запазват за законовия срок съгласно Част Б).

(3) Ако субект на данните отправи искане пряко до обработващия лични данни, той незабавно го препраща на администратора и не отговаря на него сам, освен ако администраторът му е дал указание за това.

8. Уведомяване за нарушения на сигурността на личните данни (член 28, параграф 3, буква е) и член 33 от ОРЗД)

(1) Обработващият лични данни уведомява администратора за всяко нарушение на сигурността на личните данни без ненужно забавяне, но не по-късно от 48 часа след като е узнал за него, по електронна поща на адреса на лицето за контакт. Уведомлението съдържа информацията по член 33, параграф 3 от ОРЗД: естеството на нарушението, засегнатите категории и приблизителния брой на лицата и на записите, вероятните последици, предприетите и предложените мерки, както и звено за контакт.

(2) Обработващият лични данни подпомага администратора при уведомяването на надзорния орган в срок от 72 часа (член 33) и при съобщаването на субектите на данните (член 34) и документира всички нарушения, включително последиците от тях и предприетите мерки за справяне с тях.

9. Оценка на въздействието върху защитата на данните и консултация (член 28, параграф 3, буква е) и членове 35 и 36 от ОРЗД)

(1) Систематичното отчитане на присъствието на заетите лица може да наложи оценка на въздействието върху защитата на данните съгласно член 35, параграф 3, буква а) от ОРЗД. За целта обработващият лични данни предоставя на администратора образец на оценка на въздействието върху защитата на данните за NymTime и техническата информация за продукта и го подпомага при евентуална предварителна консултация с надзорния орган (член 36).

(2) Извършването на оценката на въздействието върху защитата на данните за собственото използване, преценката дали правото на съответната държава изисква за проверката на местоположението колективен трудов договор или споразумение с работническия съвет, консултация, информиране или съгласие, както и сключването, съответно получаването им, са задължение на администратора. За целта обработващият лични данни предоставя контролни списъци за всяка държава и образци; те не блокират никоя функция и не заменят правната консултация.

10. Изтриване и връщане след прекратяване на договора (член 28, параграф 3, буква ж) от ОРЗД)

(1) След прекратяване на договора за използване администраторът може в продължение на 30 дни да експортира изцяло данните си от Back Office (Excel, CSV, документи в оригиналния им формат). След изтичането на този срок обработващият лични данни изтрива всички лични данни на администратора, освен ако правото на Съюза или австрийското право задължава самия обработващ лични данни да ги съхранява; в този случай обработването се ограничава до съхранението. Задълженията за съхранение на администратора (съгласно правото на държавата на обекта, Част Б) остават негово собствено задължение (§ 14, ал. 3 от общите условия); той ги изпълнява чрез своевременния експорт.

(2) Изтриването се потвърждава писмено на администратора при поискване. Резервните копия се презаписват не по-късно от 35 дни след изтриването на първичните данни.

(3) По време на срока на договора администраторът може сам да архивира, анонимизира или изтрива отделни служители и да определя сроковете за съхранение за всеки вид данни в рамките на законовите минимални стойности. Ежедневна процедура прилага сроковете и записва в журнал броя и вида на изтритите записи.

11. Доказателства и проверки (член 28, параграф 3, буква з) от ОРЗД)

(1) Обработващият лични данни предоставя на администратора цялата информация, необходима за доказване на изпълнението на задълженията, определени в член 28 от ОРЗД, по-специално настоящия договор, приложенията, регистъра по член 30, параграф 2 от ОРЗД и доклади за проверката на техническите и организационните мерки.

(2) Администраторът или възложен от него одитор, задължен да пази поверителност, може да проверява спазването на настоящия договор след разумно предизвестие от най-малко 14 дни в обичайното работно време, най-много веднъж на календарна година, освен ако нарушение на сигурността на личните данни или разпореждане на надзорния орган налага допълнителна проверка. Обработващият лични данни съдейства при проверките.

(3) Обработващият лични данни незабавно информира администратора, ако счита, че дадено указание нарушава ОРЗД или други разпоредби на Съюза или на Австрия относно защитата на данните.

12. Отговорност и заключителни разпоредби

(1) Отговорността на страните се урежда от член 82 от ОРЗД, а в останалата част — от § 15 от общите условия. В отношенията между страните всяка от тях отговаря за нарушаването на задълженията, които ѝ се възлагат по настоящия договор и по ОРЗД.

(2) Прилага се австрийското право с изключение на стълкновителните норми на международното частно право. Страните договарят съгласно § 104 JN (австрийски Закон за юрисдикцията, Jurisdiktionsnorm) — при администратори със седалище в друга държава членка и съгласно член 25 от Регламент (ЕС) № 1215/2012 (Регламент „Брюксел Ia“) — изключителната компетентност на родово компетентния съд за Wien, Innere Stadt (Виена, централен район). Измененията и допълненията на настоящия договор изискват писмена форма; за целта страните договарят съгласно § 886 ABGB облекчена форма — достатъчно е електронно писмо до съхранения адрес. Това се отнася и за отмяната на това изискване.

(3) Електронното потвърждаване на настоящия договор при покупката или, ако обработващият лични данни е създал профила на клиента по заявка, при първото влизане на ръководството в Back Office — с момента, версията, контролната сума (SHA-256) на потвърдения текст на документа, IP адреса и потребителя — се записва в профила на клиента и се счита за сключване в електронна форма по смисъла на член 28, параграф 9 от ОРЗД. При противоречия между настоящия договор и общите условия по въпросите на защитата на данните предимство има настоящият договор.

Приложение 1 — Предмет на обработването: категории данни, субекти на данните, цели

Категории лични данни (за всяка категория: данни — цел — правно основание на администратора):

• Основни данни: име, адрес на електронна поща, телефонен номер, длъжност, роля, принадлежност към обект, служебен номер, вид заетост, дата на постъпване и на напускане — управление, график за работа, отчитане — член 6, параграф 1, букви б) и в) от ОРЗД.
• Договорни данни (споразумение): договорно работно време (часове на седмица, месец или година), категория заетост (пълно работно време, непълно работно време, непълнолетни под 18 години, чиракуване, сезонна заетост, друга), период на сумирано изчисляване, приложим колективен трудов договор, право на отпуск в дни, всяко с начална дата на действие и история на версиите — график за работа, баланс на часовете, остатък от отпуска, проверка на ограниченията по правото относно работното време — член 6, параграф 1, букви б) и в) от ОРЗД.
• График за работа: планирани смени, роли, минимален състав, свободни смени, моменти на публикуване и потвърждаване (кой и кога е публикувал графика, кога служителят го е видял и потвърдил), промени след публикуването с обосновка — планиране на персонала, доказване на своевременното оповестяване — член 6, параграф 1, букви б) и в) от ОРЗД.
• Наличност: посочване за всеки ден или половин ден („на разположение“, „по-скоро не“, „не съм на разположение“), момент на въвеждане — доброволно посочване за целите на планирането, не е дежурство, нито време на разположение по смисъла на правото относно работното време — член 6, параграф 1, буква б) от ОРЗД.
• Размяна на смени: предложение, отговори на колегите от същия обект и със същата роля (видими за тях: име, роля или отдел, часове на смяната), решение на ръководителя, резултат от проверката на ограниченията по правото относно работното време — планиране на персонала — член 6, параграф 1, буква б) от ОРЗД.
• Споделяне на контактите (контакти): отбелязване дали служителят е направил телефонния си номер и адреса си на електронна поща видими за колегите от същия обект, заедно с момента на даване на съгласието и на евентуалното му оттегляне — достъпност в екипа — съгласие по член 6, параграф 1, буква а) от ОРЗД, настройка по подразбиране „изключено“, оттегляне по всяко време съгласно член 7, параграф 3 от ОРЗД.
• Съобщения на фирмата (табло за обяви): текст, плакат (изображение или PDF, без метаданни на изображението), кръг от адресати (обекти, отдели), срок на валидност, потвърждение за прочитане и за запознаване от всеки служител с момента — доказване на запознаването с информацията на фирмата — член 6, параграф 1, букви б) и е) от ОРЗД; без контрол на работата.
• Записи на работното време: действително начало и край, почивки в работния ден (неплатени; планирани блокове за почивка за всяка смяна, платени или неплатени, както и почивка, потвърдена от ръководството на обекта, с посочване на обработилото лице) и кратки почивки заедно с отбелязването „Почивката не е отчетена“, начин на отбелязване (NFC или отбелязване чрез местоположението без NFC), дневник на отклоненията при договорно работно време (потвърдени дни „по план“, действителни часове при отклонение, съобщение на служителя и потвърждение от ръководителя), баланс на часовете за всеки отчетен период (договорни часове, признати часове, салдо, прехвърляне и приключване на периода), корекции с обосновка и обработило лице — задължение за отчитане съгласно правото на държавата на обекта (Част Б) — член 6, параграф 1, буква в) от ОРЗД.
• Отсъствия: вид (отпуск, болничен, компенсаторна почивка, отпуск за гледане на близък, официален празник, специален отпуск, обучение, неплатен), период, статус, обработило лице; при болничен — без диагноза — график за работа, запазване на възнаграждението — член 6, параграф 1, букви б) и в) от ОРЗД.
• Проверка на местоположението при записа: резултат „в зоната“, „извън зоната“ или „местоположението не е налично“ с момента и точността в метри; без координати, без маршрути — достоверност на записа — съгласно правото на държавата на обекта (Част Б); член 88 от ОРЗД.
• Доказателства за настройката (съответствие): данни на администратора за държавата, размера на предприятието и представителството на работниците и служителите, качени споразумения и протоколи, дата на оценката на въздействието върху защитата на данните, запознавания и съгласия на всеки служител с момента и версията на документа, оттегляния — доказване, че изискваните от националното право стъпки са изпълнени преди използването на функцията — член 6, параграф 1, букви в) и е) от ОРЗД, за съгласията — член 7 от ОРЗД.
• Данни за устройствата: идентификатор на устройството, публичен ключ, модел и версия на операционната система, push токен за известията, статус (активно, заменено, блокирано), момент на регистрацията — едно устройство на лице, защита срещу фалшифициране — член 6, параграф 1, буква е) от ОРЗД.
• Документи (по избор): регистрация в социалното осигуряване, писмена информация за съществените условия на труд, трудов договор, удостоверения заедно с евентуалната дата на изтичане, изискани от фирмата и качени от служителя документи, фишове за заплата и годишни фишове за заплата заедно с автоматично предложените полета с отбелязване за проверка, всеки с отбелязване дали документът е видим за засегнатия служител в приложението — лично досие, подготовка на изчисляването на заплатите — член 6, параграф 1, буква в) от ОРЗД във връзка с правото на държавата на обекта (Част Б); тези документи могат да съдържат национални идентификационни номера (например номер на социалното осигуряване), които администраторът съхранява само в рамките на правото на своята държава. Документите за заплати виждат само ръководството, лицата, изрично оправомощени от администратора, и засегнатият служител; всеки достъп се записва в журнал. Съхранение: документите за заплати — съгласно вида данни „Документи за заплати“ (срокът и началото му — съгласно Част Б), останалите документи — съгласно вида данни „Документи на служителите“.
• Болничен лист (по избор): начало и очаквана продължителност на временната неработоспособност без диагноза — доказване на болничния и запазване на възнаграждението — данни за здравословното състояние, член 9, параграф 2, буква б) от ОРЗД във връзка с разпоредбата на държавата, в която служителят е нает, съгласно която работодателят има право да изисква удостоверението (Част Б). Ако временната неработоспособност се съобщава електронно чрез осигурителна институция, администраторът съхранява само полагащата му се информация без диагноза; ако удостоверението съдържа код на диагноза, той го прави нечетлив преди качването. Достъп само за ръководството, лицата, изрично оправомощени за това от администратора, и засегнатия служител; всеки достъп се записва в журнал. Съхранение съгласно вида данни „Документи на служителите“.
• Разходи за персонал (по избор, видими за ръководството и за мениджърите, на които то е предоставило достъп („Разходи за персонал“)): брутна заплата с история (сума, единица, брой заплати годишно, седмични часове, вид заетост, коефициент на разходите на работодателя), добавки, аванси, корекции с история — вътрешна калкулация — член 6, параграф 1, буква е) от ОРЗД.
• Данни за оборота по обекти (по избор): дневен оборот и целева стойност — показател „дял на разходите за персонал“ — не са лични данни; анализират се само заедно с разходите за персонал.
• Журнали: журнал на действията (кой, какво, кога, преди/след), известия — доказване, сигурност — член 5, параграф 2 и член 32 от ОРЗД.
• Категории субекти на данните: работници и служители, лица по граждански договор за услуги, работници, предоставени от агенции за временна работа, стажанти и чираци на администратора. Потребителите на Back Office (ръководство, мениджъри, данъчен консултант) и лицето за контакт на администратора не са предмет на настоящия договор; за техните данни обработващият лични данни сам е администратор (Декларация за поверителност, раздели 6 и 7).
• Цели: планиране на персонала; изпълнение на задължението за отчитане на работното време, включително почивките в работния ден, съгласно правото на държавата на обекта; достоверност на записа; управление на отсъствията; организация на наличността, размяната на смени и съобщенията на фирмата; съхраняване и предоставяне на документите на персонала; подготовка на изчисляването на заплатите; сигурност и проследимост на системата.
• Съхранение (администраторът може да го променя в рамките на законовите минимални стойности): стандартните и минималните стойности за записите на работното време, журнала на действията, документите на служителите (вид данни „employee_documents“, включително качени удостоверения и болнични листове), документите за заплати, разходите за персонал и архивираните профили на служители (след това — анонимизиране) са посочени в Част Б съгласно правото на държавата на обекта; необработените събития за присъствие — 3 месеца, по-кратко, където правото на държавата го изисква (Част Б); известията — 6 месеца. Данните за наличността, размените и потвържденията за прочитане се изтриват заедно със съответния график за работа, съответно със съобщението, но не по-късно от 12 месеца.

Приложение 2 — Разрешени други обработващи лични данни

Към 28 септември 2026 г. Обработващият лични данни ангажира следните други обработващи лични данни; актуалният към съответния момент списък може да бъде видян в Back Office в Настройки → Абонамент.

• Хостинг на услугата (сървъри, база данни, съхранение на файлове, резервни копия): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Германия — център за данни Falkenstein (Германия, регион fsn1), обектно хранилище (Object Storage) в същия регион. Гаранция: договор за обработване на лични данни съгласно член 28 от ОРЗД; без обработване извън ЕС.
• Хостинг и доставяне на уебсайта nymtime.com, както и пренасочване на целия трафик към api.nymtime.com, app.nymtime.com и admin.nymtime.com (обратен прокси сървър, криптиране при пренос, защита срещу атаки за претоварване): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 Мюнхен / Cloudflare, Inc., Сан Франциско, САЩ). TLS връзката завършва при Cloudflare; така Cloudflare технически обработва всички предавани данни, включително данните на заетите лица по време на предаването, но не съхранява съдържание на услугата — кешират се само статичните файлове, както и журнали на връзките за отблъскване на атаки. Гаранция: договор за обработване на лични данни съгласно член 28 от ОРЗД; предаване на САЩ въз основа на сертифицирането по Рамката за защита на данните между ЕС и САЩ (EU-US Data Privacy Framework, член 45 от ОРЗД) и на стандартните договорни клаузи (член 46, параграф 2, буква в) от ОРЗД).
• Изпращане на електронни писма (връзки за влизане и покани, кодове за активиране на приложението за служители, известия, съобщения във връзка с договора и плащанията, фактури): Resend, Inc., Сан Франциско, САЩ — изпращане чрез Amazon Simple Email Service в регион eu-west-1 (Ирландия). Обработвани данни: адрес на получателя, тема, съдържание и статус на доставката на съобщението. Гаранция: Data Processing Addendum от 28.09.2026 г. (член 28 от ОРЗД); предаване на САЩ въз основа на Рамката за защита на данните между ЕС и САЩ (член 45 от ОРЗД) и на стандартните договорни клаузи (член 46, параграф 2, буква в) от ОРЗД).
• Push известия до приложението за служители: Expo (650 Industries, Inc., САЩ), доставяне до устройствата чрез Apple Push Notification service (Apple Inc.), съответно Firebase Cloud Messaging (Google). Обработвани данни: push токен на устройството, идентификатор и вид на известието, общ текст без лично съдържание. Гаранция: договор за обработване на лични данни съгласно член 28 от ОРЗД; предаване на САЩ въз основа на Рамката за защита на данните между ЕС и САЩ (член 45 от ОРЗД) и на стандартните договорни клаузи (член 46, параграф 2, буква в) от ОРЗД).
• Автоматично разпознаване на полета в документи (само ако администраторът включи тази функция): доставчик с обработване в ЕС, без използване на данните за целите на обучение — ще бъде добавен тук преди включването на функцията; дотогава функцията е изключена.
• Търсене на адреси в Back Office (предложения при въвеждане на адрес на обект): Komoot GmbH, Hauptstraße 35, 12159 Берлин, Германия (услуга Photon, сървъри в ЕС; източник на данни OpenStreetMap, ODbL 1.0). Предава се единствено въведеният текст на адреса; заявката се отправя от нашия сървър, а не от браузъра. Данни на служители не се предават. Като заместител при отказ: Nominatim на OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Обединено кралство — с фондацията не може да бъде сключен договор за обработване на лични данни; услугата получава само текста на адреса и се използва само като резервен път. За публичната услуга Photon Komoot не предлага договор за обработване на данни; предава се само въведеният текст на адреса на обекта, без данни на служители.

За пълнота — самостоятелни администратори, а не други обработващи лични данни: Европейската комисия, Rue de la Loi 200, 1049 Брюксел, Белгия (потвърждаване на идентификационния номер по ДДС (UID номер) на администратора в системата за обмен на информация за ДДС VIES; предават се само кодът на държавата и идентификационният номер по ДДС, правно основание член 6, параграф 1, буква в) от ОРЗД във връзка с § 11, ал. 1a UStG 1994 — австрийски Закон за данъка върху оборота, Umsatzsteuergesetz 1994; без данни на служители), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Ирландия (обработка на плащанията, фактуриране и управление на абонамента за администратора като клиент; предаване на Stripe, Inc. (САЩ) съгласно Рамката за защита на данните между ЕС и САЩ и стандартни договорни клаузи), както и Österreichische Post AG, Rochusplatz 1, 1030 Виена, или куриерска услуга (доставка на NFC таговете на служебния адрес или адреса за доставка; получава единствено данни за пратката: фирма, лице за контакт, адрес, при необходимост телефонен номер). Никой от тези получатели не обработва данни на служителите на администратора.

Приложение 3 — Технически и организационни мерки (член 32 от ОРЗД)

Обработващият лични данни прилага по-специално следните мерки:

• Контрол на физическия достъп и на достъпа до системите: работа на услугата изключително в центрове за данни в ЕС; физическият контрол на достъпа и сертифицирането по ISO 27001 са изисквания към доставчика на хостинг на услугата (Hetzner Online GmbH, приложение 2); администраторски достъп само чрез персонални акаунти със SSH ключове, двуфакторно удостоверяване за конзолата за управление — също като изискване към доставчика на хостинг; без общо използвани акаунти.
• Контрол на достъпа в продукта: система за права, основана на роли и права (ръководство, мениджър, служител, други роли с отделни права), ограничаване на мениджърите до възложените им обекти; данните за разходите за персонал — само за ръководството; болничните листове и документите за заплати — само за ръководството, лицата, изрично оправомощени от администратора, и засегнатия служител, като всеки достъп до тях се записва в журнал; влизане в Back Office чрез персонални достъпи с адреса на електронна поща като потребителски идентификатор и парола, която се съхранява единствено като хеш стойност със случайна сол (scrypt) — задаване на паролата чрез еднократна връзка (валидна 24 часа), възстановяване чрез еднократна връзка (валидна 1 час), потвърждаване на нов адрес на електронна поща с код, изпратен на новия адрес, блокиране за 15 минути след 10 неуспешни опита, прекратяване на всички съществуващи сесии при всяка смяна на паролата, бисквитка за сесията с изтичане след 14 дни, двуфакторно удостоверяване по избор (TOTP приложение, което администраторът може да включи за цялата фирма, кодове за възстановяване само като хеш стойност, TOTP тайната се съхранява криптирана); активиране на приложението за служители с еднократен код, изпратен на съхранения адрес на електронна поща (ограничена валидност, най-много 5 опита, ограничен брой заявки за всеки адрес и IP адрес); достъпът се записва в журнал.
• Обвързване с устройство: точно едно активно устройство на служител; криптографска двойка ключове в защитеното хранилище на устройството; всяко отбелязване се подписва от устройството; ново устройство се обвързва само след потвърждаване на код, изпратен по електронна поща, и доказване на присъствие в обекта (NFC таг или проверка на местоположението) — при това досегашното устройство се блокира автоматично, фирмата се уведомява и смяната се записва в журнал; фирмата може по всяко време да блокира устройство.
• NFC тагове: NXP NTAG 424 DNA, настроени за динамично, криптографски подписано съобщение при всяко докосване (Secure Unique NFC) с проверка на брояча — предназначени да предотвратяват копиране и повторно възпроизвеждане; ключът на чипа не се разкрива нито на телефона, нито на потребителите; QR кодът върху табелката на обекта води само до страницата за изтегляне на приложението за служители и не е начин за отбелязване; отбелязване чрез местоположението без NFC — само в рамките на зоната на обекта.
• Свеждане на данните до минимум: без съхраняване на координати или маршрути; без снимки при отбелязването — изображения постъпват в системата само като документи, качени от самия служител (например болничен лист); от местоположението — само резултатът от проверката при записа („в зоната“, „извън зоната“, „местоположението не е налично“, момент, точност); без определяне на местоположението във фонов режим; проверка само по време на смяната и само в обекти, в които правото на държавата я допуска и администраторът не я е изключил; необработените събития се изтриват след 3 месеца, по-рано, където правото на държавата го изисква; push известия без лично съдържание.
• Криптиране: предаване изключително чрез TLS 1.2 или по-нова версия (до обратния прокси сървър на Cloudflare и оттам отново криптирано до сървърите на услугата); базата данни се намира на томове, криптирани с LUKS (dm-crypt, AES-XTS), при доставчика на хостинг; документите се криптират от приложението с AES-256-GCM преди съхраняването им в обектното хранилище, като ключовете се намират само на сървърите на приложението; резервните копия на базата данни се криптират от pgBackRest с AES-256 преди съхраняването им в обектното хранилище; ключовете и данните за достъп — извън изходния код; паролите и кодовете за влизане — само като хеш стойност със случайна сол.
• Цялостност и проследимост: непроменим журнал на действията (добавянето е разрешено, промяната и изтриването са предотвратени чрез правило в базата данни) за всички действия, свързани със сигурността; само логическо изтриване (soft delete) с времеви печат; корекции на работното време с обосновка, обработило лице и предишна стойност.
• Сървърни журнали: журналите на сървърите на приложението (интерфейс, уеб сървър) съдържат IP адреси, но не и съдържание на документи или данни за заплати; те се ротират според размера (най-много пет файла по 10 MB за всяка услуга) и се изтриват не по-късно от 30 дни.
• Наличност: два сървъра за бази данни с непрекъсната репликация; ежедневни резервни копия (седмично пълни, ежедневно диференциални, плюс непрекъснато архивиране на журналите на транзакциите) със съхранение до 35 дни, криптирани в обектното хранилище на доставчика на хостинг в ЕС; ежемесечен автоматичен тест за възстановяване; наблюдение с известяване при тревога; временно съхраняване на отбелязванията на устройството при загуба на връзка.
• Разделяне: логическо разделяне на данните на клиентите чрез ключ на организацията във всяка заявка; отделни среди за разработка, тестване и производствена работа; без производствени данни в средите за тестване или разработка.
• Съхранение и изтриване: конфигурируеми срокове за всеки вид данни с наложени законови минимални стойности; ежедневна автоматизирана процедура за изтриване и анонимизиране с журнал; връщане и изтриване съгласно точка 10.
• Достъп за поддръжка: при обичайната работа обработващият лични данни няма достъп до данните на клиентите; достъп само след разрешаване от администратора с обхват, продължителност и възможност за оттегляне по всяко време; всеки достъп се записва в журнал.
• Организация: задължение за поверителност на всички участници; документиран процес за нарушения на сигурността на личните данни с уведомяване в срок от 48 часа; регистър на дейностите по обработване съгласно член 30, параграф 2 от ОРЗД; ежегоден преглед на тези мерки; актуализации за сигурност в разумен срок; принципите за защита на данните на етапа на проектирането и по подразбиране (член 25 от ОРЗД) в процеса на разработка.

Приложение 4 — Свързани предприятия като администратори (точка 1, ал. 4)

Приложение 4 съдържа списъка на свързаните предприятия, за които клиентът сключва настоящия договор съгласно точка 1, ал. 4: наименование, държава, адрес, идентификационен номер по ДДС (UID номер) (ако е посочен) и обектите, чийто работодател е предприятието. Клиентът води списъка в Back Office; актуалната му версия е достъпна там по всяко време, а всяка промяна на списъка се счита за документирано указание по смисъла на точка 3. Докато не е вписано нито едно свързано предприятие, клиентът е администратор за всички обекти.

B1. Правни основания в контекста на трудовите правоотношения

(1) За обработването в контекста на трудовите правоотношения се прилагат член 88 от ОРЗД, Законът за защита на личните данни (ЗЗЛД), по-специално чл. 25и, и Кодексът на труда (КТ), по-специално чл. 181 относно Правилника за вътрешния трудов ред.

(2) Когато въвежда с NymTime система за контрол на работното време, администраторът предварително приема в писмена форма правила и процедури с информация относно обхвата, задълженията и методите за прилагането им на практика и уведомява служителите за тях (чл. 25и, ал. 1, т. 3, ал. 2 и 3 ЗЗЛД). Проверката на местоположението при отбелязване (точка 2, ал. 2 и приложение 1 от Част А) предполага, че тези правила изрично я посочват, че администраторът е документирал за всеки обект преценката на законния интерес (член 6, параграф 1, буква „е“ от ОРЗД) и че предварително е информирал засегнатите служители; тя се използва само където е необходима, а не в постоянен обект с работещ NFC таг. Администраторът качва тези стъпки в Back Office. Проверка на местоположението във фонов режим не се предлага за обекти в България.

B2. Отчет на работното време

Отчетът на работното време (точка 2, ал. 1 и приложение 1 от Част А) служи за изчисляване на работното време съгласно Кодекса на труда (включително сумираното изчисляване по чл. 142 КТ) и Наредбата за работното време, почивките и отпуските; правното основание е член 6, параграф 1, буква „в“ от ОРЗД във връзка с тези разпоредби, а в останалата част — член 6, параграф 1, буква „б“ от ОРЗД. Обработващият лични данни не предава данни на органи на властта.

B3. Болничен лист и документи

(1) В България болничният лист се издава електронно и се предава на Националния осигурителен институт (НОИ). Във функцията „Болничен лист“ (приложение 1 от Част А) администраторът съхранява само данните, от които се нуждае съгласно българското трудово и осигурително право (Кодекса на труда, Кодекса за социалното осигуряване) — номер, начало и продължителност на временната неработоспособност —, без диагноза; ако документ съдържа код на диагнозата, той го заличава преди качването. Правното основание е член 9, параграф 2, буква „б“ от ОРЗД във връзка с тези разпоредби и член 88 от ОРЗД.

(2) Документите по приложение 1 от Част А включват в България по-специално трудовия договор и допълнителните споразумения към него, правилата по чл. 25и ЗЗЛД с доказателството за уведомяването и фишовете за заплати; правното основание е член 6, параграф 1, буква „в“ от ОРЗД във връзка с Кодекса на труда. Единния граждански номер (ЕГН) администраторът съхранява само в рамките на тези разпоредби.

B4. Съхранение

Стандартни стойности за обекти в България, които администраторът може да променя в рамките на минималните стойности: отчет на работното време 84 месеца (минимум 24 месеца); необработени събития за присъствие 3 месеца; резултатът от проверката на местоположението („в зоната“, „извън зоната“, точност) се премахва от записа за времето 90 дни след отбелязването, като записът за времето остава; журнал на действията 84 месеца (минимум 24 месеца); документи на служителите (категория данни „employee_documents“) 84 месеца; документи за заплати 600 месеца от края на календарната година (минимум 600 месеца; чл. 12, ал. 1, т. 1 от Закона за счетоводството (ЗСч): ведомости за заплати — 50 години, считано от 1 януари на отчетния период, следващ отчетния период, за който се отнасят); разходи за персонал 84 месеца; известия 6 месеца; архивирани профили на служители 84 месеца, след което се анонимизират. Задълженията за съхранение съгласно българското трудово, осигурително, данъчно и счетоводно законодателство остават собствено задължение на администратора (точка 10, ал. 1 от Част А).

B5. Надзорен орган

Компетентен надзорен орган за администратора е Комисията за защита на личните данни (КЗЛД), бул. „Проф. Цветан Лазаров“ 2, 1592 София, kzld@cpdp.bg, www.cpdp.bg. За обработващия лични данни компетентен е австрийският орган за защита на данните (Österreichische Datenschutzbehörde), Barichgasse 40–42, 1030 Виена, www.dsb.gv.at.