Što se događa s podacima Vašeg tima

Podaci o zaposlenicima i tvrtki (evidencija radnog vremena, rasporedi, dokumenti) smješteni su u EU-u (Hetzner Online GmbH, podatkovni centar Falkenstein). Cloudflare isporučuje web-stranicu i prosljeđuje promet usluzi (veza se ondje dešifrira i ponovno šifrira); e-poštu šalje Resend, a plaćanja idu preko Stripea. Svi izvršitelji obrade i prijenosi u treće zemlje navedeni su u izjavi o zaštiti podataka i ugovoru o obradi podataka.

• Pružatelj usluge smještaja podataka je Hetzner Online GmbH, Gunzenhausen (DE), podatkovni centar Falkenstein — s tvrtkom, sjedištem i lokacijom naveden u Prilogu 2 ugovora o obradi podataka; Cloudflare je ondje naveden kao pružatelj web-stranice i obrnuti proxy ispred usluge, zajedno s Resendom (e-pošta) i Expoom (push obavijesti).
• Certifikacija prema ISO 27001 i fizička kontrola pristupa zahtjevi su prema tom pružatelju.
• Administrativni pristup samo putem osobnih računa sa SSH ključevima; nema zajedničkog računa.

Tijekom prijenosa i u mirovanju. Pristupni podaci nalaze se izvan izvornog koda, a kodovi za prijavu samo kao posoljeni hash.

• Prijenos isključivo putem TLS 1.2 ili novijeg.
• Baza podataka nalazi se na nosaču podataka šifriranom LUKS-om (dm-crypt, AES-XTS).
• Aplikacija šifrira dokumente algoritmom AES-256-GCM prije pohrane; ključevi se nalaze samo na aplikacijskim poslužiteljima.
• Sigurnosne kopije baze podataka pgBackRest šifrira algoritmom AES-256 prije pohrane u objektnu pohranu u EU-u.

Svaka NFC oznaka ima čip NXP NTAG424 DNA. Postavljen je tako da svaki dodir stvara jednokratni, kriptografski potpisani kod koji provjerava poslužitelj NymTimea; snimljeni kod ne može se ponovno upotrijebiti. Ključ čipa ne otkriva se ni telefonu ni korisnicima.

• Pri svakom dodiru čip iz svojeg tajnog ključa, serijskog broja i unutarnjeg brojača izvodi novi kontrolni zbroj (SUN/CMAC) i dodaje ga adresi.
• Brojač se samo povećava. Ponovno slanje snimljenog dodira odbija se jer je njegova vrijednost brojača već iskorištena.
• Ključ čipa ne otkriva se ni telefonu ni korisnicima; provjeru obavlja poslužitelj NymTimea.
• Postupak je osmišljen da spriječi kopije: replika NFC oznake imala bi istu adresu, ali ne i valjani ključ — njezin se kod odbija („bad_cmac“).
• Osim toga mobitel svaki zapis potpisuje vlastitim parom ključeva, a po osobi je vezan točno jedan uređaj.

NymTime ne pohranjuje koordinate ni kretanja — ni iz provjere prisutnosti ni na bilo koji drugi način.

• Pohranjuje se samo je li mobitel u trenutku evidentiranja bio „u zoni“ ili „izvan“, s vremenom i točnošću u metrima.
• Provjera se obavlja samo pri evidentiranju tijekom smjene — bez lociranja u pozadini, nikad prije ni poslije.
• Provjera lokacije prema zadanim je postavkama isključena i može se uključiti tek kada tvrtka obavi korake svoje države — ovisno o državi i veličini tvrtke, npr. obavješćivanje zaposlenika, sporazum s radničkim vijećem ili savjetovanje, procjenu učinka na zaštitu podataka i rok čekanja. Pružamo predloške; procjenu pojedinačnog slučaja daje Vaš pravni savjetnik.
• Neobrađeni događaji prisutnosti sažimaju se nakon tri mjeseca.

Tko što vidi, odlučuje Vaša tvrtka. Mi u redovnom radu ne vidimo ništa.

• Sustav ovlaštenja temeljen na ulogama i pravima: menadžeri su ograničeni na svoje lokacije, podatke o plaćama i troškovima osoblja vide samo Uprava i menadžeri koje ona ovlasti.
• Prijava u Back Office adresom e-pošte i lozinkom. Lozinka se nikad ne pohranjuje kao čisti tekst, nego kao scrypt hash s vlastitom soli; nakon 10 neuspjelih pokušaja pristup se privremeno blokira, a zahtjevi po adresi i IP adresi su ograničeni.
• Po izboru za cijelu tvrtku: dvofaktorska prijava s vremenskim kodom iz aplikacije za autentifikaciju (TOTP). Nema prijave SMS-om — telefonski broj nije potreban za pristup.
• NymTime u redovnom radu nema pristup podacima klijenata. Pristup podrške samo nakon što ga Vi omogućite, s opsegom, trajanjem i mogućnošću opoziva u bilo kojem trenutku.
• Svaka sigurnosno relevantna radnja nalazi se u zapisniku: tko, što, kada, prije i poslije. Zapisnik se može samo dopunjavati — izmjenu i brisanje sprječava pravilo baze podataka.

Rokovi po vrsti podataka, podesivi — ali nikad ispod zakonskog minimuma.

• Evidencija radnog vremena 84 mjeseca (najmanje 12 mjeseci prema § 26 AZG, § 132 BAO), dokumenti o plaćama 84 mjeseca.
• Neobrađeni događaji prisutnosti 3 mjeseca, javljanja 12 mjeseci, obavijesti 6 mjeseci.
• Dnevna obrada automatski briše i anonimizira te bilježi što je učinila.
• Brisanje se provodi s vremenskom oznakom (meko brisanje); arhivirani profili anonimiziraju se nakon isteka roka.

Vaša je tvrtka voditelj obrade, NymTime je izvršitelj obrade. Ugovor o tome dio je kupnje i može se pročitati u bilo kojem trenutku.

• Ugovor o obradi podataka prema čl. 28. st. 3. Opće uredbe o zaštiti podataka s kategorijama podataka (Prilog 1), podizvršiteljima obrade (Prilog 2) i tehničkim i organizacijskim mjerama (Prilog 3).
• Predloške za korake Vaše države (obavijest zaposlenicima, ugovorna odredba, sporazum s radničkim vijećem, procjena učinka na zaštitu podataka) Back Office izrađuje na jeziku države i na njemačkom.
• Obavješćivanje Vas o povredama osobnih podataka u roku od 48 sati; evidencija aktivnosti obrade prema čl. 30. st. 2. Opće uredbe o zaštiti podataka postoji.

Kraći popis od onoga što radimo — i barem jednako važan.

• Nema kolačića na web-stranici, nema analitike, nema alata za praćenje; u Back Officeu samo tehnički nužni i funkcionalni kolačići (izjava o zaštiti podataka, odjeljak 4). Fontove isporučujemo sami — nema veze s Google Fontsom ni drugom uslugom fontova.
• Nema prosljeđivanja ni prodaje podataka, nema oglašavanja, nema izrade profila.
• Nema treniranja modela umjetne inteligencije Vašim podacima.
• Nema koordinata, profila kretanja, snimanja zvuka ni fotografija pri evidentiranju — slike samo kada zaposlenici sami učitaju dokument poput potvrde o bolovanju.
• Nema dijagnoza kod bolovanja — samo razdoblje i status.