Ugovor o obradi podataka (AVV) — Verzija za Hrvatsku

1. Predmet i trajanje

(1) Izvršitelj obrade voditelju obrade stavlja na raspolaganje softver NymTime kao softver kao uslugu (Software-as-a-Service): planiranje rasporeda rada, evidenciju radnog vremena pametnim telefonom zaposlenika na NFC oznakama (zamjenski evidentiranje putem lokacije s provjerom geolokacije bez NFC-a), provjeru lokacije u trenutku evidentiranja, evidentiranje stanki prema pravilu koje odabere voditelj obrade, odsutnosti, podatke o dostupnosti, zamjenu smjena, obavijesti tvrtke (oglasna ploča), konto sati, analizu sati, izvoz za obračun plaća te po izboru pohranu dokumenata, uključujući uvid zaposlenika na kojega se odnose, dokumente o plaćama, podatke o prometu po lokaciji i interne troškove osoblja. Pritom obrađuje osobne podatke u ime voditelja obrade.

(2) Trajanje ovog sporazuma određuje se prema ugovoru o korištenju (opći uvjeti poslovanja, nymtime.com/agb). Prestaje zajedno s ugovorom o korištenju; točka 10. vrijedi i nakon toga, sve dok svi podaci ne budu vraćeni ili izbrisani.

(3) Podaci voditelja obrade pohranjuju se isključivo u podatkovnim centrima unutar Europske unije. Tijekom prijenosa prolaze kroz obrnuti proxy (reverse proxy) Cloudflarea; e-poruke i push obavijesti šalju se putem usluga navedenih u Prilogu 2. Prijenose u treće zemlje do kojih pritom dolazi i njihovu osnovu (članak 45. i članak 46. stavak 2. točka (c) Opće uredbe o zaštiti podataka) navodi Prilog 2.

(4) Ako kupac u skladu s § 12. st. 5. općih uvjeta poslovanja dopusti da NymTime koriste poduzeća koja su s njim povezana, voditelj obrade osobnih podataka zaposlenika pojedine lokacije jest poduzeće koje je u Back Officeu upisano kao poslodavac te lokacije (Prilog 4.). Kupac sklapa ovaj sporazum u vlastito ime i istodobno u ime i za račun svakog povezanog poduzeća navedenog u Prilogu 4., na temelju punomoći koju mu je to poduzeće dalo; svako od tih poduzeća time je voditelj obrade podataka svojih lokacija u smislu ovog sporazuma i članka 28. Opće uredbe o zaštiti podataka. Kupac jamči da mu je punomoć dana prije upisa te je na zahtjev dokazuje izvršitelju obrade. Upute (točka 3.), obavijesti i izvješća prema ovom sporazumu kupac daje i prima objedinjeno za sva povezana poduzeća; prava iz točke 11. ostvaruje u njihovo ime, osim ako prisilni propisi zahtijevaju neposredno postupanje povezanog poduzeća. Svako povezano poduzeće ostaje odgovorno za zakonitost obrade podataka svojih zaposlenika (članak 5. stavak 2. i članak 24. Opće uredbe o zaštiti podataka); za podatke lokacije primjenjuje se dio B države u kojoj se lokacija nalazi. Za lokacije bez upisanog povezanog poduzeća voditelj obrade jest kupac.

2. Vrsta i svrha obrade, kategorije podataka i ispitanici

(1) Vrsta i svrha obrade, kategorije osobnih podataka i kategorije ispitanika opisani su u Prilogu 1. Ukratko: upravljanje matičnim podacima, raspored rada, evidencija radnog vremena prema pravu države lokacije, odsutnosti, rezultat provjere lokacije pri evidentiranju, podaci o uređajima, poruke zaposlenika te — ako ih voditelj obrade koristi — dokumenti i podaci o troškovima osoblja, u svakom slučaju u svrhu planiranja rasporeda osoblja, ispunjavanja obveza evidentiranja iz radnog prava i pripreme obračuna plaća.

(2) Ne pohranjuju se GPS koordinate, putovi ni profili kretanja. Rezultat provjere lokacije bilježi se samo u trenutku evidentiranja tijekom smjene kao „unutar“, „izvan“ ili „lokacija nije dostupna“, s vremenom i točnošću; utvrđivanje lokacije u pozadini ne provodi se. Provjera se provodi samo na lokacijama na kojima je dopušta pravo države lokacije i na kojima je voditelj obrade nije isključio; voditelj obrade osigurava da su koraci koje zahtijeva to pravo ispunjeni prije njezine upotrebe (dio B).

(3) Razlog odsutnosti „bolovanje“ bilježi se bez dijagnoze i bez navođenja uzroka bolesti. Posebne kategorije osobnih podataka iz članka 9. Opće uredbe o zaštiti podataka osim toga su predmet obrade samo ako voditelj obrade koristi funkciju „liječnička potvrda“: potvrda o početku i očekivanom trajanju nesposobnosti za rad podatak je koji se odnosi na zdravlje. Voditelj obrade smije je pohraniti samo ako je smije zahtijevati prema pravu države u kojoj je zaposlenik zaposlen (propise navodi dio B); pravna osnova je članak 9. stavak 2. točka (b) Opće uredbe o zaštiti podataka u vezi s tim propisima i člankom 88. Opće uredbe o zaštiti podataka. Izvršitelj obrade ograničava pristup tim dokumentima na osobe koje je voditelj obrade za to ovlastio i na zaposlenika na kojega se odnose te ne analizira njihov sadržaj. Voditelj obrade osigurava da se u poljima za slobodan tekst i u ostalim dokumentima ne pohranjuju dijagnoze ni drugi podaci koji se odnose na zdravlje.

(4) Dodatno izvršitelj obrade u ime voditelja obrade obrađuje: podatke zaposlenika o dostupnosti (dobrovoljan podatak za planiranje; nije pripravnost na radnom mjestu ni pripravnost u smislu prava o radnom vremenu, ne daje pravo na naknadu), ponude i prihvaćanja pri zamjeni smjena (kolegicama i kolegama s iste lokacije i u istoj ulozi vidljivi su ime, uloga odnosno odjel i vrijeme predmetne smjene — nikakvi podaci o prisutnosti ni o radnom učinku), kontaktne podatke koje je zaposlenik sam učinio vidljivima kolegicama i kolegama (privola u skladu s člankom 6. stavkom 1. točkom (a) Opće uredbe o zaštiti podataka, zadana postavka „isključeno“, povlačenje u bilo kojem trenutku u skladu s člankom 7. stavkom 3. Opće uredbe o zaštiti podataka s trenutačnim učinkom u aplikaciji), potvrde o čitanju obavijesti tvrtke (oglasna ploča) te evidentirane stanke i kratke stanke zajedno s napomenom „Stanka nije evidentirana“. Napomena služi isključivo ispravku evidencije radnog vremena i nije sankcija ni ocjena radnog učinka; ispravak uz obrazloženje provodi osoba voditelja obrade.

(5) Podaci o prometu po lokaciji koje voditelj obrade unosi ili uvozi za pokazatelje odnose se na lokaciju, a ne na osobe, i sami po sebi nisu osobni podaci; analiziraju se samo u vezi s troškovima osoblja, koji su dostupni isključivo Upravi voditelja obrade i menadžerima koje ona za to ovlasti.

3. Upute voditelja obrade (članak 28. stavak 3. točka (a))

(1) Izvršitelj obrade obrađuje osobne podatke isključivo prema zabilježenim uputama voditelja obrade, osim ako je obradu obvezan provesti prema pravu Unije ili Austrije; u tom slučaju izvršitelj obrade o toj obvezi obavješćuje voditelja obrade prije obrade, osim ako to pravo zabranjuje.

(2) Upute se daju konfiguracijom u Back Officeu — osobito lokacije i zona lokacije, uloge i ovlasti, pravilo o stankama po lokaciji, rok za podatke o dostupnosti, obveza odobrenja pri zamjeni smjena, vidljivost dokumenata zaposlenicima, rokovi čuvanja, uključivanje i isključivanje NFC-a i provjere lokacije pri evidentiranju po lokaciji, omogućavanje pristupa podrške (Postavke → Pretplata → Pristup podrške), izvoz i brisanje — te u pisanom obliku na office@nymtime.com, pri čemu je dovoljna e-poruka (ugovoreni oblik prema § 886. ABGB-a, austrijski Opći građanski zakonik). Voditelj obrade određuje koji su njegovi korisnici ovlašteni davati upute (uloga Uprava).

(3) Ako izvršitelj obrade smatra da je uputa nedopuštena prema propisima o zaštiti podataka, bez odgađanja o tome obavješćuje voditelja obrade i smije obustaviti njezino izvršavanje dok uputa ne bude potvrđena ili izmijenjena.

4. Povjerljivost (članak 28. stavak 3. točka (b))

(1) Izvršitelj obrade osigurava da su se sve osobe ovlaštene za obradu obvezale na poštovanje povjerljivosti ili da podliježu odgovarajućoj zakonskoj obvezi o povjerljivosti te da ta obveza traje i nakon prestanka njihove djelatnosti.

(2) Izvršitelj obrade pri redovitom radu ne pristupa sadržajima korisničkog računa kupca. Pristup podrške moguć je samo ako ga voditelj obrade izričito omogući u Back Officeu — s opsegom, trajanjem i mogućnošću povlačenja u bilo kojem trenutku. Svaki pristup bilježi se s vremenom, osobom i radnjom u revizijskom zapisniku voditelja obrade.

5. Sigurnost obrade (članak 28. stavak 3. točka (c), članak 32.)

(1) Izvršitelj obrade poduzima tehničke i organizacijske mjere opisane u Prilogu 3. i održava ih tijekom cijelog trajanja ugovora. Redovito ih preispituje i prilagođava najnovijim dostignućima.

(2) Izvršitelj obrade smije razvijati mjere i zamijeniti ih jednakovrijednima, pod uvjetom da se razina zaštite ne smanji. Bitne promjene dokumentiraju se u Prilogu 3. i prikazuju voditelju obrade u Back Officeu.

6. Podizvršitelji obrade (članak 28. stavci 2. i 4., stavak 3. točka (d))

(1) Voditelj obrade daje opće odobrenje za angažiranje podizvršitelja obrade (drugih izvršitelja obrade) navedenih u Prilogu 2. Sa svakim podizvršiteljem obrade postoji ugovor kojim mu se nameću iste obveze zaštite podataka kakve ovaj sporazum nameće izvršitelju obrade.

(2) Ako izvršitelj obrade namjerava angažirati ili zamijeniti podizvršitelja obrade, o tome obavješćuje voditelja obrade najmanje 30 dana unaprijed e-poštom i u Back Officeu. Voditelj obrade u tom roku može uložiti prigovor iz važnog razloga povezanog sa zaštitom podataka; ako se ne postigne dogovor, svaka strana može otkazati ugovor o korištenju s učinkom na kraju tekućeg mjeseca.

(3) Prijenos osobnih podataka u treću zemlju izvan Europskoga gospodarskog prostora provodi se samo ako su ispunjeni uvjeti iz članaka 44. do 49. Opće uredbe o zaštiti podataka (odluka o primjerenosti ili standardne klauzule o zaštiti podataka u skladu s člankom 46. stavkom 2. točkom (c) Opće uredbe o zaštiti podataka). Izvršitelj obrade odgovara za podizvršitelje obrade kao za vlastito postupanje.

7. Pomoć u vezi s pravima ispitanika (članak 28. stavak 3. točka (e))

(1) Izvršitelj obrade odgovarajućim tehničkim i organizacijskim mjerama pomaže voditelju obrade da u zakonskim rokovima odgovori na zahtjeve ispitanika za pristup, ispravak, brisanje, ograničenje obrade, prenosivost podataka i prigovor (članci 15. do 22. Opće uredbe o zaštiti podataka).

(2) U tu su svrhu u proizvodu dostupni: uvid u vlastitu evidenciju vremena i njezin mjesečni izvoz u aplikaciji za zaposlenike (članci 15. i 20. Opće uredbe o zaštiti podataka); izvoz svih podataka zaposlenika iz Back Officea; ispravci sa zapisnikom; arhiviranje, anonimizacija i brisanje prema rokovima čuvanja; u aplikaciji za zaposlenike zahtjev zaposlenika za brisanje njegova računa, koji se prosljeđuje voditelju obrade na odluku (evidencija radnog vremena čuva se tijekom zakonskog razdoblja prema dijelu B).

(3) Ako ispitanik zahtjev uputi izravno izvršitelju obrade, izvršitelj ga bez odgađanja prosljeđuje voditelju obrade i na njega sam ne odgovara, osim ako mu to voditelj obrade naloži.

8. Izvješćivanje o povredama osobnih podataka (članak 28. stavak 3. točka (f), članak 33.)

(1) Izvršitelj obrade voditelja obrade izvješćuje o svakoj povredi osobnih podataka bez odgađanja, a najkasnije 48 sati nakon što sazna za nju, e-poštom na adresu kontaktne osobe. Izvješće sadržava podatke iz članka 33. stavka 3. Opće uredbe o zaštiti podataka: prirodu povrede, predmetne kategorije i približan broj ispitanika i evidencija podataka, vjerojatne posljedice, poduzete i predložene mjere te kontaktnu točku.

(2) Izvršitelj obrade pomaže voditelju obrade pri izvješćivanju nadzornog tijela u roku od 72 sata (članak 33.) i pri obavješćivanju ispitanika (članak 34.) te dokumentira sve povrede zajedno s njihovim posljedicama i mjerama za popravljanje.

9. Procjena učinka na zaštitu podataka i savjetovanje (članak 28. stavak 3. točka (f), članci 35. i 36.)

(1) Sustavno evidentiranje prisutnosti zaposlenika može zahtijevati procjenu učinka na zaštitu podataka u skladu s člankom 35. stavkom 3. točkom (a) Opće uredbe o zaštiti podataka. Izvršitelj obrade voditelju obrade u tu svrhu stavlja na raspolaganje predložak procjene učinka na zaštitu podataka za NymTime i tehničke podatke o proizvodu te mu pomaže pri eventualnom prethodnom savjetovanju s nadzornim tijelom (članak 36.).

(2) Provedba procjene učinka na zaštitu podataka za vlastitu uporabu, procjena zahtijeva li pravo pojedine države za provjeru lokacije kolektivni ugovor ili sporazum s radničkim vijećem, savjetovanje, informiranje ili privolu te njihovo sklapanje odnosno pribavljanje obveza su voditelja obrade. Izvršitelj obrade za to stavlja na raspolaganje kontrolne popise po državama i predloške; oni ne blokiraju nijednu funkciju i ne zamjenjuju pravni savjet.

10. Brisanje i vraćanje nakon prestanka ugovora (članak 28. stavak 3. točka (g))

(1) Nakon prestanka ugovora o korištenju voditelj obrade može 30 dana u cijelosti izvoziti svoje podatke iz Back Officea (Excel, CSV, dokumenti u izvornom formatu). Nakon isteka tog roka izvršitelj obrade briše sve osobne podatke voditelja obrade, osim ako pravo Unije ili austrijsko pravo samog izvršitelja obrade obvezuje na pohranu; u tom se slučaju obrada ograničava na čuvanje. Obveze čuvanja voditelja obrade (prema pravu države lokacije, dio B) ostaju njegova vlastita obveza (§ 14. st. 3. općih uvjeta poslovanja); ispunjava ih pravodobnim izvozom.

(2) Brisanje se voditelju obrade na zahtjev potvrđuje u pisanom obliku. Sigurnosne kopije prebrisuju se najkasnije 35 dana nakon brisanja primarnih podataka.

(3) Tijekom trajanja ugovora voditelj obrade može pojedine zaposlenike arhivirati, anonimizirati ili izbrisati te sam odrediti rokove čuvanja po vrsti podataka unutar zakonskih najmanjih vrijednosti. Dnevni postupak provodi rokove i bilježi broj i vrstu izbrisanih zapisa.

11. Dokazi i revizije (članak 28. stavak 3. točka (h))

(1) Izvršitelj obrade voditelju obrade stavlja na raspolaganje sve informacije potrebne za dokazivanje poštovanja obveza utvrđenih u članku 28. Opće uredbe o zaštiti podataka, osobito ovaj sporazum, priloge, evidenciju iz članka 30. stavka 2. Opće uredbe o zaštiti podataka i izvješća o preispitivanju tehničkih i organizacijskih mjera.

(2) Voditelj obrade ili revizor kojeg on ovlasti, a koji je obvezan na povjerljivost, smije nakon primjerene najave od najmanje 14 dana tijekom uobičajenog radnog vremena provjeriti poštovanje ovog sporazuma, najviše jednom u kalendarskoj godini, osim ako povreda osobnih podataka ili nalog nadzornog tijela zahtijeva daljnju provjeru. Izvršitelj obrade sudjeluje u revizijama.

(3) Izvršitelj obrade bez odgađanja obavješćuje voditelja obrade ako smatra da se uputom krši Opća uredba o zaštiti podataka ili druge odredbe Unije ili Austrije o zaštiti podataka.

12. Odgovornost i završne odredbe

(1) Odgovornost stranaka određuje se prema članku 82. Opće uredbe o zaštiti podataka, a u preostalom dijelu prema § 15. općih uvjeta poslovanja. U međusobnom odnosu stranaka svaka strana odgovara za povredu obveza koje ima prema ovom sporazumu i Općoj uredbi o zaštiti podataka.

(2) Primjenjuje se austrijsko pravo uz isključenje kolizijskih pravila međunarodnog privatnog prava. Kao isključiva mjesna nadležnost prema § 104. JN-a (austrijski Zakon o nadležnosti sudova, Jurisdiktionsnorm) — kod voditelja obrade sa sjedištem u drugoj državi članici dodatno prema članku 25. Uredbe (EU) br. 1215/2012 (Uredba Bruxelles I.a) — ugovara se stvarno nadležni sud za Beč, Innere Stadt. Izmjene i dopune ovog sporazuma zahtijevaju pisani oblik; stranke za to prema § 886. ABGB-a ugovaraju olakšani oblik, dovoljna je e-poruka na pohranjenu adresu. To vrijedi i za ukidanje tog zahtjeva.

(3) Elektronička potvrda ovog sporazuma pri kupnji ili, ako je izvršitelj obrade postavio korisnički račun kupca na zahtjev, pri prvoj prijavi Uprave u Back Office — s vremenom, verzijom, kontrolnim zbrojem (SHA-256) potvrđenog teksta dokumenta, IP adresom i korisnikom — bilježi se u korisničkom računu kupca i smatra se sklapanjem u elektroničkom obliku u smislu članka 28. stavka 9. Opće uredbe o zaštiti podataka. U slučaju proturječja između ovog sporazuma i općih uvjeta poslovanja u pitanjima zaštite podataka prednost ima ovaj sporazum.

Prilog 1. — Predmet obrade: kategorije podataka, ispitanici, svrhe

Kategorije osobnih podataka (za svaku kategoriju: podaci — svrha — pravna osnova voditelja obrade):

• Matični podaci: ime, adresa e-pošte, broj telefona, radno mjesto, uloga, dodjela lokaciji, osobni broj zaposlenika, vrsta zaposlenja, datum početka i prestanka zaposlenja — upravljanje, raspored rada, obračun — članak 6. stavak 1. točke (b) i (c) Opće uredbe o zaštiti podataka.
• Ugovorni podaci (sporazum): ugovoreno radno vrijeme (sati tjedno, mjesečno ili godišnje), kategorija zaposlenja (puno radno vrijeme, nepuno radno vrijeme, maloljetnici mlađi od 18 godina, naukovanje, sezonski rad, ostalo), referentno razdoblje, primjenjivi kolektivni ugovor (Kollektivvertrag), pravo na godišnji odmor u danima, u svakom slučaju s početkom valjanosti i poviješću verzija — raspored rada, konto sati, stanje godišnjeg odmora, provjera granica iz prava o radnom vremenu — članak 6. stavak 1. točke (b) i (c) Opće uredbe o zaštiti podataka.
• Raspored rada: planirane smjene, uloge, najmanji broj osoblja, otvorene smjene, vremena objave i potvrde (tko je i kada objavio plan, kada ga je zaposlenik vidio i potvrdio), izmjene nakon objave s obrazloženjem — planiranje rasporeda osoblja, dokaz o pravodobnom obavješćivanju — članak 6. stavak 1. točke (b) i (c) Opće uredbe o zaštiti podataka.
• Dostupnost: podatak po danu ili poludnevu („dostupan“, „nerado“, „nije dostupan“), vrijeme unosa — dobrovoljan podatak za planiranje, nije pripravnost na radnom mjestu ni pripravnost u smislu prava o radnom vremenu — članak 6. stavak 1. točka (b) Opće uredbe o zaštiti podataka.
• Zamjena smjena: ponuda, odgovori kolegica i kolega s iste lokacije i u istoj ulozi (njima vidljivo: ime, uloga odnosno odjel, vrijeme smjene), odluka rukovoditelja, rezultat provjere granica iz prava o radnom vremenu — planiranje rasporeda osoblja — članak 6. stavak 1. točka (b) Opće uredbe o zaštiti podataka.
• Vidljivost kontakata (kontakti): oznaka je li zaposlenik svoj broj telefona i adresu e-pošte učinio vidljivima kolegicama i kolegama s iste lokacije, zajedno s vremenom davanja i eventualnog povlačenja — dostupnost unutar tima — privola u skladu s člankom 6. stavkom 1. točkom (a) Opće uredbe o zaštiti podataka, zadana postavka „isključeno“, povlačenje u bilo kojem trenutku u skladu s člankom 7. stavkom 3. Opće uredbe o zaštiti podataka.
• Obavijesti tvrtke (oglasna ploča): tekst, plakat (slika ili PDF, bez metapodataka slike), krug primatelja (lokacije, odjeli), valjanost, potvrda o čitanju i upoznavanju po zaposleniku s vremenom — dokaz o upoznavanju s informacijama tvrtke — članak 6. stavak 1. točke (b) i (f) Opće uredbe o zaštiti podataka; bez nadzora radnog učinka.
• Evidencija radnog vremena: stvarni početak i završetak, stanke (neplaćene; planirani blokovi stanki po smjeni, plaćeni ili neplaćeni, te stanka koju je potvrdilo vodstvo lokacije, s obrađivačem) i kratke stanke zajedno s oznakom „Stanka nije evidentirana“, način evidentiranja (NFC ili evidentiranje putem lokacije bez NFC-a), zapisnik odstupanja kod ugovorenog radnog vremena (potvrđeni dani „prema planu“, stvarna vremena u slučaju odstupanja, prijava zaposlenika i potvrda rukovoditelja), konto sati po obračunskom razdoblju (ugovoreni sati, priznati sati, saldo, prijenos i zaključenje razdoblja), ispravci s obrazloženjem i obrađivačem — obveza evidentiranja prema pravu države lokacije (dio B) — članak 6. stavak 1. točka (c) Opće uredbe o zaštiti podataka.
• Odsutnosti: vrsta (godišnji odmor, bolovanje, slobodno umjesto prekovremenog, dopust za njegu člana obitelji, blagdan, posebni dopust, osposobljavanje, neplaćeno), razdoblje, status, obrađivač; kod bolovanja bez dijagnoze — raspored rada, nastavak isplate plaće — članak 6. stavak 1. točke (b) i (c) Opće uredbe o zaštiti podataka.
• Provjera lokacije pri evidentiranju: rezultat „unutar“, „izvan“ ili „lokacija nije dostupna“ s vremenom i točnošću u metrima; bez koordinata, bez putova — vjerodostojnost evidentiranja — prema pravu države lokacije (dio B); članak 88. Opće uredbe o zaštiti podataka.
• Dokazi o postavljanju (usklađenost): podaci voditelja obrade o državi, veličini poduzeća i predstavništvu radnika, učitani sporazumi i zapisnici, datum procjene učinka na zaštitu podataka, potvrde o upoznavanju i privole po zaposleniku s vremenom i verzijom dokumenta, povlačenja — dokaz da su koraci koje zahtijeva nacionalno pravo provedeni prije upotrebe funkcije — članak 6. stavak 1. točke (c) i (f) Opće uredbe o zaštiti podataka, za privole članak 7. Opće uredbe o zaštiti podataka.
• Podaci o uređajima: identifikator uređaja, javni ključ, model i verzija operacijskog sustava, push token za obavijesti, status (aktivan, zamijenjen, blokiran), vrijeme registracije — jedan uređaj po osobi, zaštita od krivotvorenja — članak 6. stavak 1. točka (f) Opće uredbe o zaštiti podataka.
• Dokumenti (po izboru): prijava na socijalno osiguranje, pisana obavijest o bitnim uvjetima rada, ugovor o radu, potvrde zajedno s eventualnim datumom isteka, dokumenti koje tvrtka zatraži, a zaposlenik učita, platne liste i godišnje platne liste zajedno s automatski predloženim poljima s oznakom provjere, u svakom slučaju s oznakom je li dokument vidljiv zaposleniku na kojega se odnosi u aplikaciji — personalni dosje, priprema obračuna plaća — članak 6. stavak 1. točka (c) Opće uredbe o zaštiti podataka u vezi s pravom države lokacije (dio B); ti dokumenti mogu sadržavati nacionalne identifikacijske brojeve (primjerice broj socijalnog osiguranja), koje voditelj obrade pohranjuje samo u okviru prava svoje države. Dokumente o plaćama vide samo Uprava, osobe koje je voditelj obrade izričito ovlastio i zaposlenik na kojega se odnose; svaki se pristup bilježi. Čuvanje: dokumenti o plaćama prema vrsti podataka „dokumenti o plaćama“ (rok i njegov početak prema dijelu B), ostali dokumenti prema vrsti podataka „dokumenti zaposlenika“.
• Liječnička potvrda (po izboru): početak i očekivano trajanje nesposobnosti za rad bez dijagnoze — dokaz o bolovanju i nastavak isplate plaće — podatak koji se odnosi na zdravlje, članak 9. stavak 2. točka (b) Opće uredbe o zaštiti podataka u vezi s propisom države u kojoj je zaposlenik zaposlen, prema kojem poslodavac smije zahtijevati potvrdu (dio B). Ako se nesposobnost za rad prijavljuje elektronički putem nositelja socijalnog osiguranja, voditelj obrade pohranjuje samo podatak koji mu pripada, bez dijagnoze; ako potvrda sadržava šifru dijagnoze, prije učitavanja je čini nečitljivom. Pristup samo za Upravu, osobe koje je voditelj obrade za to izričito ovlastio i zaposlenika na kojega se odnosi; svaki se pristup bilježi. Čuvanje prema vrsti podataka „dokumenti zaposlenika“.
• Troškovi osoblja (po izboru, vidljivi Upravi i menadžerima koje ona ovlasti („troškovi osoblja“)): bruto plaća s poviješću (iznos, jedinica, broj plaća godišnje, tjedni sati, vrsta zaposlenja, stopa troškova poslodavca), dodaci, predujmovi, prilagodbe s poviješću — interna kalkulacija — članak 6. stavak 1. točka (f) Opće uredbe o zaštiti podataka.
• Podaci o prometu po lokaciji (po izboru): dnevni promet i ciljna vrijednost — pokazatelj udjela troškova osoblja — nisu osobni podaci; analiziraju se samo zajedno s troškovima osoblja.
• Zapisnici: revizijski zapisnik (tko, što, kada, prije/poslije), obavijesti — dokaz, sigurnost — članak 5. stavak 2. i članak 32. Opće uredbe o zaštiti podataka.
• Kategorije ispitanika: radnici, slobodni suradnici (freie Dienstnehmer), radnici ustupljeni putem agencije za privremeno zapošljavanje, praktikanti i naučnici voditelja obrade. Korisnici Back Officea (Uprava, menadžeri, porezno savjetovanje) i kontaktna osoba voditelja obrade nisu predmet ovog sporazuma; za njihove je podatke izvršitelj obrade sam voditelj obrade (izjava o zaštiti podataka, odjeljci 6. i 7.).
• Svrhe: planiranje rasporeda osoblja; ispunjavanje obveze evidentiranja radnog vremena, uključujući stanke, prema pravu države lokacije; vjerodostojnost evidentiranja; upravljanje odsutnostima; organizacija dostupnosti, zamjene smjena i obavijesti tvrtke; pohrana i stavljanje na raspolaganje dokumenata o zaposlenicima; priprema obračuna plaća; sigurnost i sljedivost sustava.
• Čuvanje (voditelj obrade može mijenjati unutar zakonskih najmanjih vrijednosti): zadane i najmanje vrijednosti za evidenciju radnog vremena, revizijski zapisnik, dokumente zaposlenika (vrsta podataka „employee_documents“, uključujući učitane potvrde i liječničke potvrde), dokumente o plaćama, troškove osoblja i arhivirane profile zaposlenika (nakon toga anonimizacija) navodi dio B prema pravu države lokacije; neobrađeni događaji prisutnosti 3 mjeseca, kraće ako to zahtijeva pravo države (dio B); obavijesti 6 mjeseci. Podaci o dostupnosti, zamjene i potvrde o čitanju brišu se zajedno s pripadajućim rasporedom rada odnosno obaviješću, najkasnije nakon 12 mjeseci.

Prilog 2. — Odobreni podizvršitelji obrade

Stanje 28. rujna 2026. Izvršitelj obrade angažira sljedeće podizvršitelje obrade; aktualni popis može se pregledati u Back Officeu pod Postavke → Pretplata.

• Smještaj usluge na poslužitelju (poslužitelji, baza podataka, pohrana datoteka, sigurnosne kopije): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Njemačka — podatkovni centar Falkenstein (Njemačka, regija fsn1), objektna pohrana (Object Storage) u istoj regiji. Jamstvo: ugovor o obradi podataka u skladu s člankom 28. Opće uredbe o zaštiti podataka; nema obrade izvan EU-a.
• Smještaj i isporuka internetske stranice nymtime.com te prosljeđivanje cjelokupnog podatkovnog prometa prema api.nymtime.com, app.nymtime.com i admin.nymtime.com (obrnuti proxy, šifriranje prijenosa, zaštita od napada preopterećenjem): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 München / Cloudflare, Inc., San Francisco, SAD). TLS veza završava kod Cloudflarea; Cloudflare time tehnički obrađuje sve prenesene podatke, uključujući podatke o zaposlenicima tijekom prijenosa, ali ne pohranjuje sadržaje usluge — privremeno se pohranjuju samo statične datoteke te zapisnici veza radi obrane od napada. Jamstvo: ugovor o obradi podataka u skladu s člankom 28. Opće uredbe o zaštiti podataka; prijenos u SAD na temelju certifikacije prema okviru EU-a i SAD-a za privatnost podataka (članak 45. Opće uredbe o zaštiti podataka) i standardnih klauzula o zaštiti podataka (članak 46. stavak 2. točka (c) Opće uredbe o zaštiti podataka).
• Slanje e-pošte (poveznice za prijavu i pozivnice, aktivacijski kodovi aplikacije za zaposlenike, obavijesti, obavijesti o ugovoru i plaćanju, računi): Resend, Inc., San Francisco, SAD — slanje putem usluge Amazon Simple Email Service u regiji eu-west-1 (Irska). Obrađeni podaci: adresa primatelja, predmet, sadržaj i status dostave poruke. Jamstvo: Data Processing Addendum od 28.09.2026. (članak 28. Opće uredbe o zaštiti podataka); prijenos u SAD na temelju okvira EU-a i SAD-a za privatnost podataka (članak 45. Opće uredbe o zaštiti podataka) i standardnih klauzula o zaštiti podataka (članak 46. stavak 2. točka (c) Opće uredbe o zaštiti podataka).
• Push obavijesti aplikaciji za zaposlenike: Expo (650 Industries, Inc., SAD), dostava na uređaje putem usluge Apple Push Notification service (Apple Inc.) odnosno Firebase Cloud Messaging (Google). Obrađeni podaci: push token uređaja, identifikator i vrsta obavijesti, općeniti tekst bez osobnog sadržaja. Jamstvo: ugovor o obradi podataka u skladu s člankom 28. Opće uredbe o zaštiti podataka; prijenos u SAD na temelju okvira EU-a i SAD-a za privatnost podataka (članak 45. Opće uredbe o zaštiti podataka) i standardnih klauzula o zaštiti podataka (članak 46. stavak 2. točka (c) Opće uredbe o zaštiti podataka).
• Automatsko prepoznavanje polja u dokumentima (samo ako voditelj obrade aktivira tu funkciju): pružatelj usluga s obradom u EU-u, bez korištenja podataka u svrhu treniranja — bit će ovdje dodan prije aktivacije funkcije; do tada je funkcija deaktivirana.
• Pretraživanje adresa u Back Officeu (prijedlozi pri unosu adrese lokacije): Komoot GmbH, Hauptstraße 35, 12159 Berlin, Njemačka (usluga Photon, poslužitelji u EU-u; izvor podataka OpenStreetMap, ODbL 1.0). Prenosi se isključivo uneseni tekst adrese; upit šalje naš poslužitelj, a ne preglednik. Podaci o zaposlenicima ne prenose se. Zamjenski u slučaju prekida: Nominatim zaklade OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Ujedinjena Kraljevina — sa zakladom nije moguće sklopiti ugovor o obradi podataka; usluga prima samo tekst adrese i koristi se samo kao zamjenski put. Za javnu uslugu Photon Komoot ne nudi ugovor o obradi podataka; prenosi se samo uneseni tekst adrese lokacije, nikakvi podaci zaposlenika.

Radi potpunosti — samostalni voditelji obrade, a ne podizvršitelji obrade: Europska komisija, Rue de la Loi 200, 1049 Bruxelles, Belgija (potvrda PDV ID broja voditelja obrade u sustavu razmjene informacija o PDV-u VIES; prenose se samo oznaka države i PDV ID broj, pravna osnova članak 6. stavak 1. točka (c) Opće uredbe o zaštiti podataka u vezi s § 11. st. 1.a UStG-a 1994, austrijski Zakon o porezu na promet; bez podataka o zaposlenicima), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irska (obrada plaćanja, izdavanje računa i upravljanje pretplatom za voditelja obrade kao kupca; prijenosi društvu Stripe, Inc. (SAD) na temelju okvira EU-a i SAD-a za privatnost podataka i standardnih klauzula o zaštiti podataka) te Österreichische Post AG, Rochusplatz 1, 1030 Beč, ili kurirska služba (dostava NFC oznaka na poslovnu adresu ili adresu za dostavu; prima isključivo podatke za otpremu: naziv tvrtke, kontaktnu osobu, adresu, po potrebi broj telefona). Nijedan od tih primatelja ne obrađuje podatke zaposlenika voditelja obrade.

Prilog 3. — Tehničke i organizacijske mjere (članak 32. Opće uredbe o zaštiti podataka)

Izvršitelj obrade provodi osobito sljedeće mjere:

• Nadzor fizičkog pristupa i pristupa sustavima: rad usluge isključivo u podatkovnim centrima u EU-u; nadzor fizičkog pristupa i certifikacija prema normi ISO 27001 zahtjevi su prema pružatelju usluge smještaja (Hetzner Online GmbH, Prilog 2.); administrativni pristup samo putem osobnih računa sa SSH ključevima, dvofaktorska autentifikacija za administracijsku konzolu također kao zahtjev prema pružatelju usluge smještaja; nema zajednički korištenih računa.
• Nadzor pristupa u proizvodu: sustav ovlaštenja temeljen na ulogama i pravima (Uprava, menadžer, zaposlenik, daljnje uloge s pojedinačnim ovlastima), ograničenje menadžera na dodijeljene lokacije; podaci o troškovima osoblja samo za Upravu; liječničke potvrde i dokumenti o plaćama samo za Upravu, osobe koje je voditelj obrade izričito ovlastio i zaposlenika na kojega se odnose, pri čemu se svaki pristup njima bilježi; prijava u Back Office putem osobnih pristupa s adresom e-pošte kao korisničkim imenom i lozinkom koja se pohranjuje isključivo kao hash vrijednost sa slučajnom soli (scrypt) — postavljanje lozinke putem jednokratne poveznice (vrijedi 24 sata), ponovno postavljanje putem jednokratne poveznice (vrijedi 1 sat), potvrda nove adrese e-pošte kodom poslanim na novu adresu, blokada na 15 minuta nakon 10 neuspjelih pokušaja, prekid svih postojećih sesija pri svakoj promjeni lozinke, kolačić sesije koji istječe nakon 14 dana, dvofaktorska autentifikacija po izboru (TOTP aplikacija, voditelj obrade može je aktivirati za cijelu tvrtku, kodovi za oporavak samo kao hash vrijednost, TOTP tajna pohranjena šifrirano); aktivacija aplikacije za zaposlenike jednokratnim kodom poslanim na pohranjenu adresu e-pošte (ograničena valjanost, najviše 5 pokušaja, ograničen broj zahtjeva po adresi i IP adresi); pristupi se bilježe.
• Vezanje za uređaj: točno jedan aktivan uređaj po zaposleniku; kriptografski par ključeva u sigurnoj pohrani uređaja; svako evidentiranje uređaj potpisuje; novi uređaj veže se samo nakon potvrde koda poslanog e-poštom i dokaza o prisutnosti na lokaciji (NFC oznaka ili provjera lokacije) — dotadašnji uređaj pritom se automatski blokira, tvrtka se obavješćuje, a promjena se bilježi; tvrtka može uređaj blokirati u bilo kojem trenutku.
• NFC oznake: NXP NTAG 424 DNA, postavljene za dinamičnu, kriptografski potpisanu poruku pri svakom dodiru (Secure Unique NFC) s provjerom brojača — osmišljeno radi sprječavanja kopiranja i ponovne reprodukcije; ključ čipa ne otkriva se ni telefonu ni korisnicima; QR kod na pločici lokacije vodi samo do stranice za preuzimanje aplikacije za zaposlenike i nije način evidentiranja; evidentiranje putem lokacije bez NFC-a samo unutar zone lokacije.
• Smanjenje količine podataka: nema pohrane koordinata ni putova; pri evidentiranju nema fotografija — slike ulaze u sustav samo kao dokumenti koje je zaposlenik sam učitao (primjerice liječnička potvrda); od lokacije samo rezultat provjere pri evidentiranju („unutar“, „izvan“, „lokacija nije dostupna“, vrijeme, točnost); nema utvrđivanja lokacije u pozadini; provjera samo tijekom smjene i samo na lokacijama na kojima je dopušta pravo države i na kojima je voditelj obrade nije isključio; neobrađeni događaji brišu se nakon 3 mjeseca, kraće ako to zahtijeva pravo države; push obavijesti bez osobnog sadržaja.
• Šifriranje: prijenos isključivo putem protokola TLS 1.2 ili novijeg (do obrnutog proxyja Cloudflarea i odande ponovno šifrirano do poslužitelja usluge); baza podataka nalazi se na volumenima šifriranima pomoću LUKS-a (dm-crypt, AES-XTS) kod pružatelja usluge smještaja; dokumente aplikacija šifrira prije pohrane u objektnu pohranu algoritmom AES-256-GCM, a ključevi se nalaze samo na aplikacijskim poslužiteljima; sigurnosne kopije baze podataka pgBackRest šifrira prije pohrane u objektnu pohranu algoritmom AES-256; ključevi i pristupni podaci izvan izvornog koda; lozinke i kodovi za prijavu samo kao hash vrijednost sa slučajnom soli.
• Cjelovitost i sljedivost: nepromjenjiv revizijski zapisnik (dodavanje dopušteno, izmjena i brisanje spriječeni pravilom baze podataka) za sve radnje važne za sigurnost; samo meko brisanje (soft delete) s vremenskim žigom; ispravci radnog vremena s obrazloženjem, obrađivačem i prethodnom vrijednošću.
• Zapisnici poslužitelja: zapisnici aplikacijskih poslužitelja (sučelje, web-poslužitelj) sadržavaju IP adrese, ali ne i sadržaje dokumenata ili podatke o plaćama; rotiraju se prema veličini (najviše pet datoteka od po 10 MB po usluzi) i brišu se najkasnije nakon 30 dana.
• Dostupnost: dva poslužitelja baze podataka s kontinuiranom replikacijom; dnevne sigurnosne kopije (tjedno potpune, dnevno diferencijalne, uz kontinuirano arhiviranje zapisnika transakcija) s čuvanjem do 35 dana, šifrirane u objektnoj pohrani pružatelja usluge smještaja u EU-u; mjesečni automatski test oporavka; nadzor s uzbunjivanjem; privremena pohrana evidentiranja na uređaju u slučaju gubitka veze.
• Odvajanje: logičko odvajanje podataka kupaca ključem organizacije u svakom upitu; odvojena okruženja za razvoj, testiranje i produkcijski rad; nema produkcijskih podataka u testnim ni razvojnim okruženjima.
• Čuvanje i brisanje: rokovi koji se mogu konfigurirati po vrsti podataka s obveznim zakonskim najmanjim vrijednostima; dnevni automatizirani postupak brisanja i anonimizacije sa zapisnikom; vraćanje i brisanje u skladu s točkom 10.
• Pristup podrške: izvršitelj obrade pri redovitom radu nema pristup podacima kupaca; pristup samo nakon što ga omogući voditelj obrade, s opsegom, trajanjem i mogućnošću povlačenja u bilo kojem trenutku; svaki se pristup bilježi.
• Organizacija: obveza povjerljivosti svih uključenih osoba; dokumentirani postupak za povrede osobnih podataka s izvješćivanjem u roku od 48 sati; evidencija aktivnosti obrade u skladu s člankom 30. stavkom 2. Opće uredbe o zaštiti podataka; godišnje preispitivanje ovih mjera; sigurnosna ažuriranja u primjerenom roku; načela tehničke i integrirane zaštite podataka (članak 25. Opće uredbe o zaštiti podataka) u razvojnom procesu.

Prilog 4. — Povezana poduzeća kao voditelji obrade (točka 1. stavak 4.)

Prilog 4. jest popis povezanih poduzeća za koja kupac sklapa ovaj sporazum prema točki 1. stavku 4.: tvrtka, država, adresa, PDV ID broj (ako je naveden) i lokacije čiji je poslodavac to poduzeće. Kupac vodi popis u Back Officeu; ondje je u svakom trenutku dostupna njegova važeća verzija, a svaka izmjena popisa smatra se dokumentiranom uputom u smislu točke 3. Dok nije upisano nijedno povezano poduzeće, kupac je voditelj obrade za sve lokacije.

B1. Pravne osnove u kontekstu zaposlenja

(1) Na obradu u kontekstu zaposlenja primjenjuju se članak 88. Opće uredbe o zaštiti podataka, čl. 29. Zakona o radu (ZOR) i Zakon o provedbi Opće uredbe o zaštiti podataka. U skladu s čl. 29. st. 2. ZOR-a voditelj obrade unaprijed u pravilniku o radu utvrđuje koje podatke o zaposlenicima prikuplja, obrađuje, upotrebljava ili dostavlja; ako postoji radničko vijeće ili njegova prava ostvaruje sindikalni povjerenik, o tome odlučuje samo uz njegovu prethodnu suglasnost (čl. 151. st. 1. t. 7. i čl. 153. st. 3. ZOR-a; šutnja u roku od osam dana smatra se suglasnošću).

(2) Evidentiranje na NFC oznaci i provjeru lokacije pri evidentiranju (točka 2. st. 2. i Prilog 1. dijela A) voditelj obrade u Hrvatskoj koristi tek kada pravilnik o radu navodi te podatke i od njegove objave prođe osam dana, kada je potrebna suglasnost dana ili se smatra danom i kada postoji procjena učinka na zaštitu podataka iz B2.; za provjeru lokacije dodatno kada je njezina nužnost dokumentirana za svaku lokaciju. Te korake pohranjuje u Back Office.

B2. Procjena učinka na zaštitu podataka

Obrada osobnih podataka zaposlenika putem aplikacija ili sustava za nadzor nalazi se na popisu Agencije za zaštitu osobnih podataka u skladu s člankom 35. stavkom 4. Opće uredbe o zaštiti podataka (br. 13), a obrada podataka o lokaciji također (br. 11). U Hrvatskoj je procjena učinka na zaštitu podataka iz točke 9. st. 1. dijela A stoga potrebna za svaku uporabu NymTimea, i ako se koristi samo evidentiranje na NFC oznaci. Izvršitelj obrade stavlja na raspolaganje predložak procjene učinka na zaštitu podataka na hrvatskom jeziku (točka 9. st. 1. dijela A); njezina provedba obveza je voditelja obrade (točka 9. st. 2. dijela A).

B3. Evidencija radnog vremena

Evidencija radnog vremena (točka 2. st. 1. i Prilog 1. dijela A) služi vođenju evidencije o radnicima i radnom vremenu u skladu s čl. 5. ZOR-a i Pravilnikom o sadržaju i načinu vođenja evidencije o radnicima zaposlenim kod poslodavca (NN 55/2024); pravna osnova je članak 6. stavak 1. točka (c) Opće uredbe o zaštiti podataka u vezi s tim propisima. Izvršitelj obrade ne prenosi podatke tijelima javne vlasti.

B4. Dokaz o bolovanju i dokumenti

(1) Potvrda o privremenoj nesposobnosti za rad u Hrvatskoj se izdaje u sustavu Hrvatskog zavoda za zdravstveno osiguranje (HZZO). Voditelj obrade u funkciji „liječnička potvrda“ (Prilog 1. dijela A) pohranjuje samo potvrdu bez dijagnoze, ako je smije zahtijevati prema hrvatskom radnom pravu i pravu zdravstvenog osiguranja; pravna osnova je članak 9. stavak 2. točka (b) Opće uredbe o zaštiti podataka u vezi s tim propisima i člankom 88. Opće uredbe o zaštiti podataka.

(2) Dokumentima iz Priloga 1. dijela A u Hrvatskoj pripadaju osobito pisani ugovor o radu, dokumentacija o prijavi na obvezno osiguranje i obračuni plaće; pravna osnova je članak 6. stavak 1. točka (c) Opće uredbe o zaštiti podataka u vezi sa ZOR-om i hrvatskim poreznim propisima i propisima o socijalnom osiguranju. Osobni identifikacijski broj (OIB) voditelj obrade pohranjuje samo u okviru tih propisa.

B5. Čuvanje

Zadane vrijednosti za lokacije u Hrvatskoj, koje voditelj obrade može mijenjati unutar najmanjih vrijednosti: evidencija radnog vremena 84 mjeseca od isteka kalendarske godine (najmanje 72 mjeseca od isteka kalendarske godine; čl. 18. st. 3. Pravilnika, NN 55/2024: najmanje šest godina od isteka godine u kojoj je evidencija nastala); neobrađeni događaji prisutnosti 3 mjeseca; rezultat provjere lokacije („unutar“, „izvan“, točnost) uklanja se iz zapisa vremena 90 dana nakon evidentiranja, a zapis vremena ostaje; revizijski zapisnik 84 mjeseca (najmanje 24 mjeseca); dokumenti zaposlenika (vrsta podataka „employee_documents“) 84 mjeseca; dokumenti o plaćama 120 mjeseci (najmanje 120 mjeseci); troškovi osoblja 84 mjeseca; obavijesti 6 mjeseci; arhivirani profili zaposlenika 84 mjeseca, nakon toga anonimizacija. Obveze čuvanja prema ZOR-u, Pravilniku o sadržaju i načinu vođenja evidencije o radnicima zaposlenim kod poslodavca (NN 55/2024) — primjerice dokumentacija za mirovinsko osiguranje 40 godina (čl. 9. st. 1. t. 8.) — te hrvatskim poreznim i računovodstvenim propisima ostaju vlastita obveza voditelja obrade (točka 10. st. 1. dijela A). Rok za dokumente o plaćama počinje teći istekom kalendarske godine na koju se obračun odnosi (za učitane platne liste istekom godine učitavanja).

B6. Nadzorno tijelo

Nadležno nadzorno tijelo za voditelja obrade je Agencija za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, www.azop.hr. Za izvršitelja obrade nadležno je austrijsko tijelo za zaštitu podataka (Österreichische Datenschutzbehörde), Barichgasse 40–42, 1030 Beč, www.dsb.gv.at.