Какво се случва с данните на Вашия екип

Данните за служителите и фирмата (отчитане на времето, графици, документи) се хостват в ЕС (Hetzner Online GmbH, център за данни Фалкенщайн). Cloudflare доставя уебсайта и пренасочва трафика към услугата (там връзката се декриптира и криптира отново); имейлите се изпращат от Resend, плащанията минават през Stripe. Всички обработващи и предавания към трети държави са изброени в декларацията за поверителност и в договора за обработване.

• Доставчик на хостинга на услугата е Hetzner Online GmbH, Гунценхаузен (DE), център за данни Фалкенщайн — посочен с наименование, седалище и местоположение в Приложение 2 към договора за обработване на лични данни; там Cloudflare е посочен като доставчик на уебсайта и обратен прокси пред услугата, заедно с Resend (имейл) и Expo (push известия).
• Сертифициране по ISO 27001 и физически контрол на достъпа са изисквания към този доставчик.
• Административен достъп само чрез лични профили със SSH ключове; без общ профил.

При пренос и при съхранение. Данните за достъп са извън изходния код, кодовете за вход — само като хеш със сол.

• Пренос изключително чрез TLS 1.2 или по-нова версия.
• Базата данни е на носител, криптиран с LUKS (dm-crypt, AES-XTS).
• Приложението криптира документите с AES-256-GCM преди съхранението им; ключовете са само на сървърите на приложението.
• pgBackRest криптира резервните копия на базата данни с AES-256, преди да бъдат съхранени в обектно хранилище в ЕС.

Всеки NFC таг съдържа чип NXP NTAG424 DNA. Той е настроен така, че при всяко докосване създава еднократен, криптографски подписан код, който сървърът на NymTime проверява; записан код не може да се използва повторно. Ключът на чипа не се разкрива нито на телефона, нито на потребителите.

• При всяко докосване чипът създава от своя таен ключ, серийния си номер и вътрешен брояч нова контролна сума (SUN/CMAC) и я добавя към адреса.
• Броячът се движи само нагоре. Повторното подаване на записано докосване се отхвърля, защото стойността на брояча му вече е използвана.
• Ключът на чипа не се разкрива нито на телефона, нито на потребителите; проверката се извършва от сървъра на NymTime.
• Методът е проектиран да предотвратява копия: имитация на NFC тага би имала същия адрес, но не и валиден ключ — нейният код се отхвърля („bad_cmac“).
• Освен това телефонът подписва всеки запис със собствена двойка ключове, а на един човек е свързано точно едно устройство.

NymTime не съхранява координати и маршрути — нито от проверката на присъствието, нито другаде.

• Съхранява се само дали телефонът е бил „в зоната“ или „извън“ в момента на отбелязването, с момента и точността в метри.
• Проверката се извършва само при отбелязване по време на смяната — без проследяване във фонов режим, никога преди или след нея.
• Проверката на местоположението по подразбиране е изключена и може да се включи едва когато фирмата е изпълнила стъпките за своята държава — в зависимост от държавата и размера на фирмата например информиране на служителите, споразумение с работническия съвет или консултация, оценка на въздействието върху защитата на данните и срок на изчакване. Предоставяме образците; преценката в конкретния случай прави Вашият правен консултант.
• Необработените събития за присъствие се обобщават след три месеца.

Кой какво вижда, решава Вашата фирма. При нормална работа ние не виждаме нищо.

• Система за права, базирана на роли и разрешения: мениджърите са ограничени до своите обекти, данните за заплати и разходи за персонал виждат само ръководството и упълномощените от него мениджъри.
• Вход в Back Office с имейл адрес и парола. Паролата никога не се съхранява като открит текст, а като scrypt хеш със собствена сол; след 10 неуспешни опита достъпът се блокира временно, а заявките на адрес и на IP адрес са ограничени.
• По избор за цялата фирма: двуфакторен вход с времеви код от приложение за удостоверяване (TOTP). Без вход чрез SMS — телефонен номер не е нужен за достъпа.
• При нормална работа NymTime няма достъп до данните на клиентите. Достъп на поддръжката само след като го разрешите, с обхват, продължителност и възможност за оттегляне по всяко време.
• Всяко действие, свързано със сигурността, е в журнала: кой, какво, кога, преди и след. Журналът може само да се допълва — правило в базата данни не позволява промяна и изтриване.

Срокове по вид данни, настройваеми — но никога под законовия минимум.

• Записи за работното време 84 месеца (минимум 12 месеца по § 26 AZG, § 132 BAO), документи за заплати 84 месеца.
• Необработени събития за присъствие 3 месеца, съобщения от служители 12 месеца, известия 6 месеца.
• Ежедневно изпълнение автоматично изтрива и анонимизира и записва какво е направило.
• Изтриването е с времеви печат (меко изтриване); архивираните профили се анонимизират след изтичане на срока.

Вашата фирма е администратор, NymTime е обработващ лични данни. Договорът за това е част от покупката и може да бъде прочетен по всяко време.

• Договор за обработване на лични данни по чл. 28, параграф 3 от ОРЗД с категории данни (Приложение 1), други обработващи лични данни (подизпълнители) (Приложение 2) и технически и организационни мерки (Приложение 3).
• Образците за стъпките на Вашата държава (информиране на служителите, клауза в договора, споразумение с работническия съвет, оценка на въздействието върху защитата на данните) Back Office създава на езика на държавата и на немски.
• Уведомяване за нарушения на сигурността на личните данни към Вас в рамките на 48 часа; има регистър на дейностите по обработване по чл. 30, параграф 2 от ОРЗД.

По-кратък списък от това, което правим — и поне толкова важен.

• Без бисквитки на уебсайта, без анализи, без тракери; в Back Office само строго необходими и функционални бисквитки (декларация за поверителност, раздел 4). Шрифтовете доставяме сами — без връзка с Google Fonts или друга услуга за шрифтове.
• Без предоставяне или продажба на данни, без реклама, без профилиране.
• Без обучение на модели с изкуствен интелект с Вашите данни.
• Без координати, без профили на движението, без аудиозаписи, без снимки при отбелязване — изображения само когато служителите сами качат документ, например болничен лист.
• Без диагнози при болничен — само периодът и статусът.