Acord de prelucrare a datelor (AVV) — Versiunea pentru România

1. Obiect și durată

(1) Persoana împuternicită de operator pune la dispoziția operatorului software-ul NymTime ca Software-as-a-Service: planificarea programului de lucru, evidența timpului de lucru cu smartphone-ul angajatului la etichete NFC (alternativ, pontaj prin locație cu verificare geografică, fără NFC), verificarea locației în momentul înregistrării, înregistrarea pauzelor potrivit regulii alese de operator, absențe, indicații de disponibilitate, schimb de ture, comunicări ale companiei (avizier), cont de ore, analiza orelor, export pentru salarizare, precum și, opțional, stocarea documentelor, inclusiv consultarea lor de către angajatul vizat, documente salariale, date privind cifra de afaceri pe locație și costuri interne de personal. În acest cadru, prelucrează date cu caracter personal în numele operatorului.

(2) Durata prezentului acord se stabilește potrivit contractului de utilizare (condițiile generale, nymtime.com/agb). Acesta încetează odată cu contractul de utilizare; punctul 10 se aplică în continuare, până când toate datele au fost returnate sau șterse.

(3) Datele operatorului sunt stocate exclusiv în centre de date din Uniunea Europeană. În timpul transmiterii, acestea trec prin proxy-ul invers (reverse proxy) al Cloudflare; e-mailurile și notificările push sunt trimise prin serviciile enumerate în anexa 2. Transferurile către țări terțe care au loc în acest context și temeiul lor (art. 45 și art. 46 alin. (2) lit. (c) din RGPD) sunt indicate în anexa 2.

(4) Dacă clientul permite, potrivit § 12 alin. (5) din condițiile generale, utilizarea NymTime de către întreprinderi afiliate cu acesta, operator pentru datele cu caracter personal ale angajaților unei locații este întreprinderea înregistrată în Back Office ca angajator al acelei locații (anexa 4). Clientul încheie prezentul acord în nume propriu și, totodată, în numele și în baza împuternicirii fiecărei întreprinderi afiliate menționate în anexa 4; fiecare dintre aceste întreprinderi este astfel operator pentru datele locațiilor sale în sensul prezentului acord și al art. 28 din RGPD. Clientul garantează că împuternicirea i-a fost acordată înainte de înregistrare și o dovedește persoanei împuternicite de operator, la cerere. Instrucțiunile (punctul 3), comunicările și notificările prevăzute de prezentul acord sunt date și primite de client în mod centralizat pentru toate întreprinderile afiliate; drepturile prevăzute la punctul 11 sunt exercitate de client în numele acestora, cu excepția cazului în care dreptul imperativ impune acțiunea directă a unei întreprinderi afiliate. Fiecare întreprindere afiliată rămâne responsabilă pentru legalitatea prelucrării datelor angajaților săi (art. 5 alin. (2) și art. 24 din RGPD); datelor unei locații li se aplică Partea B a statului în care este situată aceasta. Pentru locațiile fără întreprindere afiliată înregistrată, operator este clientul.

2. Natura și scopul prelucrării, categoriile de date și persoanele vizate

(1) Natura și scopul prelucrării, categoriile de date cu caracter personal și categoriile de persoane vizate sunt descrise în anexa 1. Pe scurt: gestionarea datelor de bază, programul de lucru, evidența timpului de lucru potrivit dreptului statului locației, absențele, rezultatul verificării locației la înregistrare, datele dispozitivelor, mesajele angajaților, precum și — în măsura în care sunt utilizate de operator — documentele și datele privind costurile de personal, în fiecare caz în scopul planificării personalului, al îndeplinirii obligațiilor de evidență prevăzute de dreptul muncii și al pregătirii salarizării.

(2) Nu se stochează coordonate GPS, trasee sau profiluri de deplasare. Rezultatul verificării locației se înregistrează numai în momentul unei înregistrări în timpul unei ture, ca „în zonă”, „în afara zonei” sau „locație indisponibilă”, cu momentul și precizia; nu are loc nicio determinare a locației în fundal. Verificarea are loc numai în locațiile în care dreptul țării locației o permite și în care operatorul nu a dezactivat-o; operatorul se asigură că pașii impuși de acest drept sunt parcurși înainte de utilizarea ei (Partea B).

(3) Motivul de absență „concediu medical” se înregistrează fără diagnostic și fără indicarea cauzei bolii. Categoriile speciale de date cu caracter personal potrivit art. 9 din RGPD fac în plus obiectul prelucrării numai în măsura în care operatorul utilizează funcția „certificat medical”: certificatul privind începutul și durata probabilă a incapacității de muncă reprezintă o dată privind sănătatea. Operatorul îl poate stoca numai în măsura în care îl poate solicita potrivit dreptului statului în care este angajat salariatul (dispozițiile sunt indicate în Partea B); temeiul juridic este art. 9 alin. (2) lit. (b) din RGPD coroborat cu aceste dispoziții și cu art. 88 din RGPD. Persoana împuternicită de operator limitează accesul la aceste documente la persoanele autorizate în acest sens de operator și la angajatul vizat și nu analizează conținutul lor. Operatorul se asigură că în câmpurile de text liber și în alte documente nu sunt stocate diagnostice și nici alte date privind sănătatea.

(4) În completare, persoana împuternicită de operator prelucrează în numele operatorului: indicațiile de disponibilitate ale angajaților (indicație voluntară pentru planificare; nu constituie timp de disponibilitate la locul de muncă sau timp de gardă în sensul dreptului privind timpul de lucru și nu dă naștere unui drept la remunerație), ofertele și acceptările din schimbul de ture (pentru colegele și colegii de la aceeași locație și cu același rol sunt vizibile numele, rolul, respectiv departamentul, și orele turei în cauză — nu și date privind prezența sau performanța), datele de contact făcute vizibile de angajat însuși pentru colegele și colegii săi (consimțământ potrivit art. 6 alin. (1) lit. (a) din RGPD, presetare „dezactivat”, retragere oricând potrivit art. 7 alin. (3) din RGPD, cu efect imediat în aplicație), confirmările de citire ale comunicărilor companiei (avizier), precum și pauzele și pauzele scurte înregistrate, împreună cu mențiunea „Pauza nu a fost înregistrată”. Mențiunea servește exclusiv corectării evidenței timpului de lucru și nu constituie o sancțiune sau o evaluare a performanței; corectura este efectuată, cu motivare, de o persoană a operatorului.

(5) Datele privind cifra de afaceri pe locație pe care operatorul le introduce sau le importă pentru indicatori se referă la locație, nu la persoane, și nu sunt în sine date cu caracter personal; acestea sunt analizate numai în legătură cu costurile de personal, care sunt accesibile exclusiv Conducerii operatorului și managerilor autorizați de aceasta în acest sens.

3. Instrucțiunile operatorului (art. 28 alin. (3) lit. (a))

(1) Persoana împuternicită de operator prelucrează date cu caracter personal numai pe baza instrucțiunilor documentate ale operatorului, cu excepția cazului în care este obligată la prelucrare în temeiul dreptului Uniunii sau al dreptului austriac; în acest caz, persoana împuternicită de operator informează operatorul cu privire la această obligație înainte de prelucrare, cu excepția cazului în care dreptul interzice acest lucru.

(2) Instrucțiunile se dau prin configurarea din Back Office — în special locațiile și zona locației, rolurile și drepturile, regula privind pauzele pe locație, termenul pentru indicațiile de disponibilitate, obligația de aprobare la schimbul de ture, vizibilitatea documentelor pentru angajați, termenele de păstrare, activarea și dezactivarea NFC și a verificării locației la înregistrare pentru fiecare locație, activarea accesului de asistență (Setări → Abonament → Acces asistență), exportul și ștergerea — precum și în scris la office@nymtime.com, fiind suficient un e-mail (formă convenită potrivit § 886 ABGB (Codul civil general austriac, Allgemeines bürgerliches Gesetzbuch)). Operatorul stabilește care dintre utilizatorii săi sunt autorizați să dea instrucțiuni (rolul Conducere).

(3) Dacă persoana împuternicită de operator consideră că o instrucțiune este inadmisibilă din perspectiva legislației privind protecția datelor, informează imediat operatorul și poate suspenda executarea până la confirmarea sau modificarea instrucțiunii.

4. Confidențialitate (art. 28 alin. (3) lit. (b))

(1) Persoana împuternicită de operator garantează că toate persoanele autorizate să efectueze prelucrarea s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate și că această obligație continuă după încetarea activității lor.

(2) În funcționarea obișnuită, persoana împuternicită de operator nu accesează conținutul contului clientului. Accesul de asistență este posibil numai dacă operatorul îl activează în mod expres în Back Office — cu stabilirea sferei, a duratei și cu posibilitatea retragerii oricând. Fiecare acces se înregistrează cu momentul, persoana și acțiunea în jurnalul de audit al operatorului.

5. Securitatea prelucrării (art. 28 alin. (3) lit. (c), art. 32)

(1) Persoana împuternicită de operator ia măsurile tehnice și organizatorice descrise în anexa 3 și le menține pe întreaga durată a contractului. Aceasta le verifică periodic și le adaptează la stadiul actual al tehnologiei.

(2) Persoana împuternicită de operator poate dezvolta măsurile și le poate înlocui cu măsuri echivalente, cu condiția ca nivelul de protecție să nu scadă. Modificările esențiale se documentează în anexa 3 și sunt afișate operatorului în Back Office.

6. Subîmputerniciți (art. 28 alin. (2) și (4), alin. (3) lit. (d))

(1) Operatorul acordă autorizarea generală pentru recrutarea celorlalte persoane împuternicite de operator enumerate în anexa 2 (denumite în continuare „subîmputerniciți”). Cu fiecare subîmputernicit există un contract care îi impune aceleași obligații privind protecția datelor ca cele impuse persoanei împuternicite de operator prin prezentul acord.

(2) Dacă persoana împuternicită de operator intenționează să recruteze sau să înlocuiască un subîmputernicit, informează operatorul cu cel puțin 30 de zile înainte, prin e-mail și în Back Office. Operatorul poate formula obiecții în acest termen pentru un motiv important legat de protecția datelor; dacă nu se ajunge la un acord, fiecare parte poate rezilia contractul de utilizare cu efect la sfârșitul lunii în curs.

(3) Un transfer de date cu caracter personal către o țară terță din afara Spațiului Economic European are loc numai dacă sunt îndeplinite condițiile prevăzute la art. 44–49 din RGPD (decizie privind caracterul adecvat sau clauze standard de protecție a datelor potrivit art. 46 alin. (2) lit. (c) din RGPD). Persoana împuternicită de operator răspunde pentru subîmputerniciți ca pentru propriile acțiuni.

7. Asistență în privința drepturilor persoanelor vizate (art. 28 alin. (3) lit. (e))

(1) Persoana împuternicită de operator asistă operatorul, prin măsuri tehnice și organizatorice adecvate, pentru ca acesta să poată răspunde, în termenele legale, cererilor persoanelor vizate privind accesul, rectificarea, ștergerea, restricționarea prelucrării, portabilitatea datelor și opoziția (art. 15–22 din RGPD).

(2) În acest scop, produsul pune la dispoziție: consultarea și exportul lunar al propriilor înregistrări ale timpului de lucru în aplicația pentru angajați (art. 15 și 20 din RGPD); exportul tuturor datelor unui angajat din Back Office; corecturi cu jurnal; arhivare, anonimizare și ștergere potrivit termenelor de păstrare; în aplicația pentru angajați, cererea angajatului de ștergere a contului său, care este transmisă operatorului spre decizie (evidența timpului de lucru rămâne păstrată pe durata legală potrivit Părții B).

(3) Dacă o persoană vizată adresează o cerere direct persoanei împuternicite de operator, aceasta o transmite imediat operatorului și nu îi răspunde ea însăși, cu excepția cazului în care primește instrucțiuni în acest sens de la operator.

8. Notificarea încălcărilor securității datelor cu caracter personal (art. 28 alin. (3) lit. (f), art. 33)

(1) Persoana împuternicită de operator notifică operatorului orice încălcare a securității datelor cu caracter personal fără întârzieri nejustificate, cel târziu în 48 de ore de la data la care a luat cunoștință de aceasta, prin e-mail la adresa persoanei de contact. Notificarea cuprinde informațiile prevăzute la art. 33 alin. (3) din RGPD: natura încălcării, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor afectate, consecințele probabile, măsurile luate și propuse, precum și un punct de contact.

(2) Persoana împuternicită de operator asistă operatorul la notificarea autorității de supraveghere în termen de 72 de ore (art. 33) și la informarea persoanelor vizate (art. 34) și documentează toate încălcările, împreună cu efectele lor și cu măsurile de remediere.

9. Evaluarea impactului asupra protecției datelor și consultarea (art. 28 alin. (3) lit. (f), art. 35 și 36)

(1) Înregistrarea sistematică a prezenței angajaților poate face necesară o evaluare a impactului asupra protecției datelor potrivit art. 35 alin. (3) lit. (a) din RGPD. Persoana împuternicită de operator pune în acest scop la dispoziția operatorului un model de evaluare a impactului asupra protecției datelor pentru NymTime și informațiile tehnice despre produs și îl asistă la o eventuală consultare prealabilă a autorității de supraveghere (art. 36).

(2) Efectuarea evaluării impactului asupra protecției datelor pentru propria utilizare, încadrarea dacă dreptul țării respective impune pentru verificarea locației un contract colectiv de muncă sau un acord cu reprezentanții salariaților, o consultare, o informare sau un consimțământ, precum și încheierea, respectiv obținerea acestora revin operatorului. Persoana împuternicită de operator pune la dispoziție în acest scop liste de verificare pe țări și modele; acestea nu blochează nicio funcție și nu înlocuiesc consultanța juridică.

10. Ștergerea și returnarea după încetarea contractului (art. 28 alin. (3) lit. (g))

(1) După încetarea contractului de utilizare, operatorul își poate exporta integral datele din Back Office timp de 30 de zile (Excel, CSV, documente în formatul original). După expirarea acestui termen, persoana împuternicită de operator șterge toate datele cu caracter personal ale operatorului, cu excepția cazului în care dreptul Uniunii sau dreptul austriac impune persoanei împuternicite de operator înseși stocarea lor; în acest caz, prelucrarea se limitează la păstrare. Obligațiile de păstrare ale operatorului (potrivit dreptului statului locației, Partea B) rămân obligația proprie a acestuia (§ 14 alin. (3) din condițiile generale); operatorul le îndeplinește prin exportul efectuat la timp.

(2) Ștergerea se confirmă operatorului în scris, la cerere. Copiile de siguranță sunt suprascrise cel târziu la 35 de zile după ștergerea datelor primare.

(3) Pe durata contractului, operatorul poate arhiva, anonimiza sau șterge anumiți angajați și poate stabili el însuși termenele de păstrare pentru fiecare tip de date, în limitele valorilor minime legale. O rulare zilnică aplică termenele și înregistrează în jurnal numărul și tipul de date ale înregistrărilor șterse.

11. Dovezi și verificări (art. 28 alin. (3) lit. (h))

(1) Persoana împuternicită de operator pune la dispoziția operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 din RGPD, în special prezentul acord, anexele, evidența potrivit art. 30 alin. (2) din RGPD și rapoartele privind verificarea măsurilor tehnice și organizatorice.

(2) Operatorul sau un auditor mandatat de acesta și obligat la confidențialitate poate verifica respectarea prezentului acord, după o notificare prealabilă rezonabilă de cel puțin 14 zile, în timpul programului obișnuit de lucru, cel mult o dată pe an calendaristic, cu excepția cazului în care o încălcare a securității datelor cu caracter personal sau o dispoziție a autorității de supraveghere impune o verificare suplimentară. Persoana împuternicită de operator contribuie la verificări.

(3) Persoana împuternicită de operator informează imediat operatorul dacă, în opinia sa, o instrucțiune încalcă RGPD sau alte dispoziții privind protecția datelor ale Uniunii sau ale Austriei.

12. Răspundere și dispoziții finale

(1) Răspunderea părților se stabilește potrivit art. 82 din RGPD și, în rest, potrivit § 15 din condițiile generale. În raporturile dintre părți, fiecare parte răspunde pentru încălcarea obligațiilor care îi revin potrivit prezentului acord și RGPD.

(2) Se aplică dreptul austriac, cu excluderea normelor conflictuale ale dreptului internațional privat. Ca instanță competentă exclusivă se convine, potrivit § 104 JN (Legea austriacă privind competența instanțelor, Jurisdiktionsnorm) — în cazul operatorilor cu sediul într-un alt stat membru, în plus potrivit art. 25 din Regulamentul (UE) nr. 1215/2012 (Bruxelles I bis) — instanța competentă material pentru Viena, Innere Stadt. Modificările și completările prezentului acord necesită forma scrisă; părțile convin în acest sens, potrivit § 886 ABGB, asupra unei forme simplificate, fiind suficient un e-mail la adresa înregistrată. Același lucru se aplică și renunțării la această cerință.

(3) Acceptarea electronică a prezentului acord la cumpărare sau, dacă persoana împuternicită de operator a creat contul clientului la cerere, la prima autentificare a Conducerii în Back Office — cu momentul, versiunea, suma de control (SHA-256) a textului documentului acceptat, adresa IP și utilizatorul — se înregistrează în contul clientului și este considerată încheiere în format electronic în sensul art. 28 alin. (9) din RGPD. În caz de contradicții între prezentul acord și condițiile generale, prezentul acord prevalează în aspectele privind protecția datelor.

Anexa 1 — Obiectul prelucrării: categorii de date, persoane vizate, scopuri

Categorii de date cu caracter personal (pentru fiecare categorie: date — scop — temeiul juridic al operatorului):

• Date de bază: nume, adresă de e-mail, număr de telefon, post, rol, alocarea la locație, număr de personal, tipul de angajare, data angajării și data încetării — administrare, program de lucru, decontare — art. 6 alin. (1) lit. (b) și (c) din RGPD.
• Date contractuale (acord): timpul de lucru contractual (ore pe săptămână, lună sau an), categoria de angajare (normă întreagă, timp parțial, tineri sub 18 ani, ucenicie, sezonier, altele), perioada de referință pentru calculul mediei, contractul colectiv de muncă aplicabil, dreptul la concediu de odihnă în zile, fiecare cu data de început a valabilității și istoricul versiunilor — program de lucru, cont de ore, soldul concediului de odihnă, verificarea limitelor prevăzute de dreptul privind timpul de lucru — art. 6 alin. (1) lit. (b) și (c) din RGPD.
• Program de lucru: ture planificate, roluri, necesar minim de personal, ture libere, momentele publicării și ale confirmării (cine a publicat programul și când, când l-a văzut și l-a confirmat angajatul), modificări după publicare, cu motivare — planificarea personalului, dovada comunicării la timp — art. 6 alin. (1) lit. (b) și (c) din RGPD.
• Disponibilități: indicație pe zi sau pe jumătate de zi („disponibil”, „prefer să nu”, „indisponibil”), momentul introducerii — indicație voluntară pentru planificare, nu constituie timp de disponibilitate la locul de muncă sau timp de gardă în sensul dreptului privind timpul de lucru — art. 6 alin. (1) lit. (b) din RGPD.
• Schimb de ture: oferta, răspunsurile colegelor și colegilor de la aceeași locație și cu același rol (vizibile pentru aceștia: numele, rolul, respectiv departamentul, orele turei), decizia superiorului, rezultatul verificării limitelor prevăzute de dreptul privind timpul de lucru — planificarea personalului — art. 6 alin. (1) lit. (b) din RGPD.
• Partajarea datelor de contact (Contacte): indicatorul dacă angajatul și-a făcut vizibile numărul de telefon și adresa de e-mail pentru colegele și colegii de la aceeași locație, împreună cu momentul acordării și al unei eventuale retrageri — accesibilitatea în cadrul echipei — consimțământ potrivit art. 6 alin. (1) lit. (a) din RGPD, presetare „dezactivat”, retragere oricând potrivit art. 7 alin. (3) din RGPD.
• Comunicări ale companiei (avizier): text, afiș (imagine sau PDF, fără metadatele imaginii), destinatari (locații, departamente), valabilitate, confirmare de citire și de luare la cunoștință pentru fiecare angajat, cu momentul — dovada luării la cunoștință a informațiilor companiei — art. 6 alin. (1) lit. (b) și (f) din RGPD; fără control al performanței.
• Evidența timpului de lucru: începutul și sfârșitul efective, pauze (neplătite; blocuri de pauză planificate pe tură, plătite sau neplătite, precum și o pauză confirmată de conducerea locației, cu persoana care a operat-o) și pauze scurte, împreună cu indicatorul „Pauza nu a fost înregistrată”, metoda de pontaj (NFC sau pontaj prin locație fără NFC), jurnalul abaterilor în cazul timpului de lucru contractual (zile confirmate „conform planificării”, orele efective în cazul unei abateri, semnalarea angajatului și confirmarea superiorului), contul de ore pe perioadă de decontare (ore contractuale, ore creditate, sold, report și închiderea perioadei), corecturi cu motivare și persoana care le-a operat — obligația de evidență potrivit dreptului statului locației (Partea B) — art. 6 alin. (1) lit. (c) din RGPD.
• Absențe: tipul (concediu de odihnă, concediu medical, timp liber compensatoriu, concediu pentru îngrijirea unui membru al familiei, sărbătoare legală, concediu special, formare profesională, neplătit), perioada, statusul, persoana care a operat; la concediul medical fără diagnostic — program de lucru, plata în continuare a remunerației — art. 6 alin. (1) lit. (b) și (c) din RGPD.
• Verificarea locației la înregistrare: rezultatul „în zonă”, „în afara zonei” sau „locație indisponibilă”, cu momentul și precizia în metri; fără coordonate, fără trasee — plauzibilitatea înregistrării — potrivit dreptului țării locației (Partea B); art. 88 din RGPD.
• Dovezi ale configurării (conformitate): informațiile operatorului privind țara, mărimea întreprinderii și reprezentanții salariaților, acordurile și procesele-verbale încărcate, data evaluării impactului asupra protecției datelor, luările la cunoștință și consimțămintele fiecărui angajat, cu momentul și versiunea documentului, retragerile — dovada că pașii impuși de dreptul național au fost parcurși înainte de utilizarea funcției — art. 6 alin. (1) lit. (c) și (f) din RGPD, pentru consimțăminte art. 7 din RGPD.
• Datele dispozitivelor: identificatorul dispozitivului, cheia publică, modelul și versiunea sistemului de operare, tokenul push pentru notificări, statusul (activ, înlocuit, blocat), momentul înregistrării — un dispozitiv per persoană, protecție împotriva falsificării — art. 6 alin. (1) lit. (f) din RGPD.
• Documente (opțional): înregistrarea la asigurările sociale, informarea scrisă privind condițiile esențiale de muncă, contractul de muncă, dovezi cu eventuala dată de expirare, documente solicitate de companie și încărcate de angajat, fluturași de salariu și fișe fiscale anuale, cu câmpuri propuse automat și mențiune de verificare, fiecare cu indicatorul dacă documentul este vizibil în aplicație pentru angajatul vizat — dosarul de personal, pregătirea salarizării — art. 6 alin. (1) lit. (c) din RGPD coroborat cu dreptul statului locației (Partea B); aceste documente pot conține numere naționale de identificare (de exemplu numărul de asigurare socială), pe care operatorul le stochează numai în limitele dreptului statului său. Documentele salariale sunt vizibile numai pentru Conducere, pentru persoanele autorizate în mod expres de operator și pentru angajatul vizat; fiecare acces este înregistrat în jurnal. Păstrare: documentele salariale potrivit tipului de date „documentele salariale” (termenul și începutul acestuia potrivit Părții B), celelalte documente potrivit tipului de date „documentele angajaților”.
• Certificat medical (opțional): începutul și durata probabilă a incapacității de muncă, fără diagnostic — dovada concediului medical și plata în continuare a remunerației — dată privind sănătatea, art. 9 alin. (2) lit. (b) din RGPD coroborat cu dispoziția statului în care este angajat salariatul, potrivit căreia angajatorul poate solicita certificatul (Partea B). Dacă incapacitatea de muncă este comunicată electronic printr-o instituție de asigurări sociale, operatorul stochează numai informația care i se cuvine, fără diagnostic; dacă un certificat conține un cod de diagnostic, operatorul îl face ilizibil înainte de încărcare. Acces numai pentru Conducere, pentru persoanele autorizate în mod expres în acest sens de operator și pentru angajatul vizat; fiecare acces este înregistrat în jurnal. Păstrare potrivit tipului de date „documentele angajaților”.
• Costuri de personal (opțional, vizibile pentru Conducere și pentru managerii autorizați de aceasta („costuri de personal”)): salariul brut cu istoric (suma, unitatea, numărul de salarii pe an, orele săptămânale, tipul de angajare, rata costurilor angajatorului), sporuri, avansuri, ajustări cu istoric — calcul intern — art. 6 alin. (1) lit. (f) din RGPD.
• Date privind cifra de afaceri pe locație (opțional): cifra de afaceri zilnică și valoarea-țintă — indicatorul ponderii costurilor de personal — nu sunt date cu caracter personal; sunt analizate numai împreună cu costurile de personal.
• Jurnale: jurnalul de audit (cine, ce, când, înainte/după), notificări — dovadă, securitate — art. 5 alin. (2) și art. 32 din RGPD.
• Categorii de persoane vizate: salariații, prestatorii independenți (freie Dienstnehmer), lucrătorii temporari, stagiarii și ucenicii operatorului. Utilizatorii Back Office (Conducere, manageri, consultanță fiscală) și persoana de contact a operatorului nu fac obiectul prezentului acord; pentru datele acestora, persoana împuternicită de operator este ea însăși operator (politica de confidențialitate, secțiunile 6 și 7).
• Scopuri: planificarea personalului; îndeplinirea obligației de evidență a timpului de lucru, inclusiv a pauzelor, potrivit dreptului statului locației; plauzibilitatea înregistrării; gestionarea absențelor; organizarea disponibilităților, a schimbului de ture și a comunicărilor companiei; stocarea și punerea la dispoziție a documentelor de personal; pregătirea salarizării; securitatea și trasabilitatea sistemului.
• Păstrare (modificabilă de operator în limitele valorilor minime legale): valorile standard și valorile minime pentru evidența timpului de lucru, jurnalul de audit, documentele angajaților (tipul de date „employee_documents”, inclusiv dovezile încărcate și certificatele medicale), documentele salariale, costurile de personal și profilurile arhivate ale angajaților (ulterior anonimizare) sunt indicate în Partea B potrivit dreptului statului locației; evenimentele brute de prezență 3 luni, mai puțin acolo unde dreptul statului o impune (Partea B); notificările 6 luni. Disponibilitățile, schimburile de ture și confirmările de citire se șterg odată cu programul de lucru, respectiv cu comunicarea aferentă, cel târziu după 12 luni.

Anexa 2 — Subîmputerniciți autorizați

Situația la 28 septembrie 2026. Persoana împuternicită de operator recrutează următorii subîmputerniciți; lista actuală poate fi consultată în Back Office la Setări → Abonament.

• Găzduirea serviciului (servere, bază de date, stocare de fișiere, copii de siguranță): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Germania — centrul de date Falkenstein (Germania, regiunea fsn1), Object Storage în aceeași regiune. Garanție: acord de prelucrare a datelor potrivit art. 28 din RGPD; nicio prelucrare în afara UE.
• Găzduirea și livrarea site-ului nymtime.com, precum și redirecționarea întregului trafic de date către api.nymtime.com, app.nymtime.com și admin.nymtime.com (proxy invers, criptarea transportului, protecție împotriva atacurilor de supraîncărcare): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 München / Cloudflare, Inc., San Francisco, SUA). Conexiunea TLS se termină la Cloudflare; Cloudflare prelucrează astfel, din punct de vedere tehnic, toate datele transmise, inclusiv datele angajaților, în timpul transmiterii, dar nu stochează conținut al serviciului — sunt stocate temporar numai fișiere statice, precum și jurnale de conexiune pentru respingerea atacurilor. Garanție: acord de prelucrare a datelor potrivit art. 28 din RGPD; transfer în SUA pe baza certificării în temeiul Cadrului UE-SUA privind confidențialitatea datelor (art. 45 din RGPD) și a clauzelor standard de protecție a datelor (art. 46 alin. (2) lit. (c) din RGPD).
• Trimiterea e-mailurilor (linkuri de autentificare și de invitație, coduri de activare ale aplicației pentru angajați, notificări, comunicări privind contractul și plata, facturi): Resend, Inc., San Francisco, SUA — trimitere prin Amazon Simple Email Service în regiunea eu-west-1 (Irlanda). Date prelucrate: adresa destinatarului, subiectul, conținutul și starea livrării mesajului. Garanție: Data Processing Addendum din 28.09.2026 (art. 28 din RGPD); transfer în SUA pe baza Cadrului UE-SUA privind confidențialitatea datelor (art. 45 din RGPD) și a clauzelor standard de protecție a datelor (art. 46 alin. (2) lit. (c) din RGPD).
• Notificări push către aplicația pentru angajați: Expo (650 Industries, Inc., SUA), livrare către dispozitive prin Apple Push Notification service (Apple Inc.), respectiv Firebase Cloud Messaging (Google). Date prelucrate: tokenul push al dispozitivului, identificatorul și tipul notificării, un text general fără conținut cu caracter personal. Garanție: acord de prelucrare a datelor potrivit art. 28 din RGPD; transfer în SUA pe baza Cadrului UE-SUA privind confidențialitatea datelor (art. 45 din RGPD) și a clauzelor standard de protecție a datelor (art. 46 alin. (2) lit. (c) din RGPD).
• Recunoașterea automată a câmpurilor din documente (numai dacă operatorul activează această funcție): furnizor cu prelucrare în UE, fără utilizarea datelor în scopuri de antrenare — va fi adăugat aici înainte de activarea funcției; până atunci, funcția este dezactivată.
• Căutarea adreselor în Back Office (sugestii la introducerea adresei unei locații): Komoot GmbH, Hauptstraße 35, 12159 Berlin, Germania (serviciul Photon, servere în UE; baza de date OpenStreetMap, ODbL 1.0). Se transmite exclusiv textul adresei introduse; cererea este făcută de serverul nostru, nu de browser. Datele angajaților nu sunt transmise. Ca soluție de rezervă în caz de indisponibilitate: Nominatim al OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Regatul Unit — cu fundația nu se poate încheia un acord de prelucrare a datelor; serviciul primește numai textul adresei și este interogat numai ca soluție de rezervă. Pentru serviciul public Photon, Komoot nu oferă un acord de prelucrare a datelor; se transmite numai textul introdus al adresei locației, nicio dată a angajaților.

Pentru completitudine — operatori independenți, nu subîmputerniciți: Comisia Europeană, Rue de la Loi 200, 1049 Bruxelles, Belgia (confirmarea codului de TVA al operatorului în sistemul de schimb de informații privind TVA VIES; se transmit numai codul de țară și codul de TVA, temei juridic art. 6 alin. (1) lit. (c) din RGPD coroborat cu § 11 alin. (1a) UStG 1994 (Legea austriacă privind taxa pe valoarea adăugată); fără date ale angajaților), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irlanda (procesarea plăților, facturarea și gestionarea abonamentului pentru operator în calitate de client; transferuri către Stripe, Inc. (SUA) în temeiul Cadrului UE-SUA privind confidențialitatea datelor și al clauzelor standard de protecție a datelor), precum și Österreichische Post AG, Rochusplatz 1, 1030 Viena, sau un serviciu de curierat (livrarea etichetelor NFC la adresa comercială sau de livrare; primește exclusiv date de expediere: firma, persoana de contact, adresa, după caz numărul de telefon). Niciunul dintre acești destinatari nu prelucrează date ale angajaților operatorului.

Anexa 3 — Măsuri tehnice și organizatorice (art. 32 din RGPD)

Persoana împuternicită de operator pune în aplicare în special următoarele măsuri:

• Controlul accesului fizic și al accesului la sisteme: funcționarea serviciului exclusiv în centre de date din UE; controlul accesului fizic și certificarea potrivit ISO 27001 sunt cerințe impuse furnizorului de găzduire a serviciului (Hetzner Online GmbH, anexa 2); acces administrativ numai prin conturi personale cu chei SSH, autentificare cu doi factori pentru consola de administrare, de asemenea ca cerință impusă furnizorului de găzduire; niciun cont utilizat în comun.
• Controlul accesului în produs: sistem de autorizare bazat pe roluri și drepturi (Conducere, manageri, angajați, alte roluri cu drepturi individuale), limitarea managerilor la locațiile alocate; datele privind costurile de personal numai pentru Conducere; certificatele medicale și documentele salariale numai pentru Conducere, pentru persoanele autorizate în mod expres de operator și pentru angajatul vizat, fiecare acces la acestea fiind înregistrat în jurnal; autentificarea în Back Office prin conturi de acces personale, cu adresa de e-mail ca identificator de utilizator și o parolă stocată exclusiv ca valoare hash cu sare aleatorie (scrypt) — stabilirea parolei printr-un link de unică folosință (valabil 24 de ore), resetarea printr-un link de unică folosință (valabil 1 oră), confirmarea unei noi adrese de e-mail cu un cod trimis la noua adresă, blocare timp de 15 minute după 10 încercări eșuate, încheierea tuturor sesiunilor existente la fiecare schimbare a parolei, cookie de sesiune care expiră după 14 zile, autentificare opțională cu doi factori (aplicație TOTP, activabilă de operator pentru întreaga companie, coduri de recuperare numai ca valoare hash, secretul TOTP stocat criptat); activarea aplicației pentru angajați printr-un cod de unică folosință trimis la adresa de e-mail înregistrată (valabilitate limitată, cel mult 5 încercări, cereri limitate pe adresă și pe adresă IP); accesările sunt înregistrate în jurnal.
• Asocierea dispozitivului: exact un dispozitiv activ per angajat; pereche de chei criptografice în memoria securizată a dispozitivului; fiecare pontaj este semnat de dispozitiv; un dispozitiv nou este asociat numai după confirmarea unui cod primit prin e-mail și dovada prezenței la locație (etichetă NFC sau verificarea locației) — dispozitivul anterior este blocat automat, compania este notificată, iar schimbarea este înregistrată în jurnal; compania poate bloca oricând un dispozitiv.
• Etichete NFC: NXP NTAG 424 DNA, configurate pentru un mesaj dinamic, semnat criptografic, la fiecare atingere (Secure Unique NFC), cu verificarea contorului — concepute pentru a împiedica copierea și reluarea; cheia cipului nu este dezvăluită nici telefonului, nici utilizatorilor; codul QR de pe plăcuța locației duce numai la pagina de descărcare a aplicației pentru angajați și nu constituie o metodă de pontaj; pontaj prin locație fără NFC numai în zona locației.
• Reducerea la minimum a datelor: fără stocarea coordonatelor sau a traseelor; la pontaj fără fotografii — imaginile ajung în sistem numai ca documente încărcate de angajatul însuși (de exemplu un certificat medical); din locație, numai rezultatul verificării la înregistrare („în zonă”, „în afara zonei”, „locație indisponibilă”, momentul, precizia); fără determinarea locației în fundal; verificare numai în timpul turei și numai în locațiile în care dreptul țării o permite și în care operatorul nu a dezactivat-o; evenimentele brute sunt șterse după 3 luni, mai devreme acolo unde dreptul țării o impune; notificări push fără conținut cu caracter personal.
• Criptare: transmitere exclusiv prin TLS 1.2 sau o versiune superioară (până la proxy-ul invers al Cloudflare și de acolo din nou criptat până la serverele serviciului); baza de date se află pe volume criptate cu LUKS (dm-crypt, AES-XTS) la furnizorul de găzduire; documentele sunt criptate de aplicație înainte de stocarea în Object Storage cu AES-256-GCM, cheile aflându-se numai pe serverele aplicației; copiile de siguranță ale bazei de date sunt criptate de pgBackRest înainte de stocarea în Object Storage cu AES-256; cheile și datele de acces în afara codului sursă; parolele și codurile de autentificare numai ca valoare hash cu sare aleatorie.
• Integritate și trasabilitate: jurnal de audit imuabil (adăugarea permisă, modificarea și ștergerea împiedicate printr-o regulă a bazei de date) pentru toate acțiunile relevante pentru securitate; numai ștergere logică (soft delete) cu marcaj temporal; corecturi ale timpului de lucru cu motivare, persoana care le-a operat și valoarea anterioară.
• Jurnalele serverelor: jurnalele serverelor aplicației (interfață, server web) conțin adrese IP, dar nu și conținut al documentelor sau date salariale; acestea sunt rotite în funcție de dimensiune (cel mult cinci fișiere de câte 10 MB per serviciu) și sunt șterse cel târziu după 30 de zile.
• Disponibilitate: două servere de baze de date cu replicare continuă; copii de siguranță zilnice (complete săptămânal, diferențiale zilnic, plus arhivarea continuă a jurnalelor de tranzacții) cu păstrare de până la 35 de zile, criptate în Object Storage al furnizorului de găzduire din UE; test lunar automat de restaurare; monitorizare cu alertare; stocarea temporară a pontajelor pe dispozitiv în caz de pierdere a conexiunii.
• Separare: separarea logică a datelor clienților prin cheia organizației în fiecare interogare; medii separate pentru dezvoltare, testare și producție; fără date de producție în mediile de testare sau de dezvoltare.
• Păstrare și ștergere: termene configurabile pentru fiecare tip de date, cu valori minime legale impuse; rulare zilnică automatizată de ștergere și anonimizare, cu jurnal; returnare și ștergere potrivit punctului 10.
• Acces de asistență: niciun acces al persoanei împuternicite de operator la datele clienților în funcționarea obișnuită; acces numai după activarea de către operator, cu sfera, durata și posibilitatea retragerii oricând; fiecare acces este înregistrat în jurnal.
• Organizare: obligarea tuturor celor implicați la confidențialitate; proces documentat pentru încălcările securității datelor, cu notificare în termen de 48 de ore; evidența activităților de prelucrare potrivit art. 30 alin. (2) din RGPD; verificarea anuală a acestor măsuri; actualizări de securitate într-un termen rezonabil; principiile protecției datelor începând cu momentul conceperii și în mod implicit (art. 25 din RGPD) în procesul de dezvoltare.

Anexa 4 — Întreprinderi afiliate în calitate de operatori (punctul 1 alin. (4))

Anexa 4 este lista întreprinderilor afiliate pentru care clientul încheie prezentul acord potrivit punctului 1 alin. (4): denumirea, statul, adresa, codul de TVA (dacă a fost indicat) și locațiile al căror angajator este întreprinderea. Clientul ține lista în Back Office; versiunea în vigoare poate fi consultată acolo în orice moment, iar orice modificare a listei este considerată o instrucțiune documentată în sensul punctului 3. Cât timp nu este înregistrată nicio întreprindere afiliată, clientul este operator pentru toate locațiile.

B1. Temeiuri juridice în contextul ocupării unui loc de muncă

(1) Prelucrării în contextul ocupării unui loc de muncă i se aplică art. 88 din RGPD, Legea nr. 190/2018 privind măsuri de punere în aplicare a RGPD, în special art. 5 privind monitorizarea angajaților prin mijloace de comunicații electronice, și Codul muncii (Legea nr. 53/2003), în special art. 119 (evidența timpului de muncă) și art. 241–243 (regulamentul intern).

(2) Pontajul la eticheta NFC se întemeiază pe obligația legală de evidență prevăzută la art. 119 din Codul muncii (art. 6 alin. (1) lit. (c) din RGPD); acesta presupune ca operatorul să fi inclus regula privind evidența timpului de muncă în regulamentul intern și să o fi adus la cunoștința fiecărui angajat (art. 243 din Codul muncii). Verificarea locației la înregistrare (pct. 2 alin. (2) și anexa 1 Partea A) este o monitorizare în sensul art. 5 din Legea nr. 190/2018; temeiul juridic este art. 6 alin. (1) lit. (f) din RGPD, în condițiile cumulative ale acestei dispoziții — interes legitim preponderent, informare prealabilă obligatorie, completă și în mod explicit, consultarea prealabilă a sindicatului sau a reprezentanților salariaților, ineficiența dovedită a metodelor mai puțin intruzive în locația respectivă și păstrare de cel mult 30 de zile. Operatorul poate consemna în Back Office justificarea pentru fiecare locație, consultarea și evaluarea impactului asupra protecției datelor; cât timp acestea lipsesc, dezactivează verificarea locației pentru locația respectivă. Pentru locațiile din România nu se oferă verificarea locației în fundal.

B2. Evidența timpului de muncă

Evidența timpului de muncă (pct. 2 alin. (1) și anexa 1 Partea A) este evidența zilnică a orelor de muncă, cu ora de începere și de sfârșit, prevăzută la art. 119 din Codul muncii; temeiul juridic este art. 6 alin. (1) lit. (c) din RGPD coroborat cu această dispoziție. Persoana împuternicită de operator nu transmite date autorităților sau registrului general de evidență a salariaților (REVISAL); prezentarea către inspecția muncii și transmiterile se fac de operator.

B3. Certificatul de concediu medical și documentele

(1) Certificatul de concediu medical din România conține, pe lângă codul indemnizației, un cod de diagnostic. Operatorul îl încarcă în funcția „certificat medical” (anexa 1 Partea A) numai în măsura în care are dreptul să îl solicite potrivit dreptului român — în special Ordonanței de urgență a Guvernului nr. 158/2005 privind concediile și indemnizațiile de asigurări sociale de sănătate — și face codul de diagnostic ilizibil înainte de încărcare, în măsura în care nu are nevoie de el pentru salarizare și nu trebuie să îl păstreze în NymTime; temeiul juridic este art. 9 alin. (2) lit. (b) din RGPD coroborat cu aceste dispoziții și cu art. 88 din RGPD.

(2) Documentele prevăzute în anexa 1 Partea A includ în România, în special, contractul individual de muncă și actele adiționale la acesta, regulamentul intern cu luarea la cunoștință de către angajat și fluturașii de salariu; temeiul juridic este art. 6 alin. (1) lit. (c) din RGPD coroborat cu Codul muncii. Operatorul încarcă codul numeric personal (CNP) numai în limitele acestor dispoziții și ale art. 4 din Legea nr. 190/2018.

B4. Păstrarea

Valori standard pentru locațiile din România, modificabile de operator în limitele valorilor minime: evidența timpului de muncă 84 de luni (minimum 24 de luni); evenimentele brute de prezență 3 luni; rezultatul verificării locației („în zonă”, „în afara zonei”, precizia) este eliminat din înregistrarea de timp la 30 de zile după înregistrare, înregistrarea de timp rămânând (art. 5 lit. e) din Legea nr. 190/2018; nemodificabil pentru România); jurnalul de audit 84 de luni (minimum 24 de luni); documentele angajaților (categoria de date „employee_documents”) 84 de luni; documentele de salarizare 120 de luni (minimum 120 de luni); costurile de personal 84 de luni; notificările 6 luni; profilurile arhivate ale angajaților 84 de luni, apoi anonimizare. Obligațiile de păstrare potrivit legislației române a muncii, asigurărilor sociale, fiscale și contabile rămân obligații proprii ale operatorului (pct. 10 alin. (1) Partea A). Termenul pentru documentele de salarizare începe la sfârșitul anului calendaristic la care se referă calculul salarial (pentru fluturașii de salariu încărcați, la sfârșitul anului încărcării).

B5. Autoritatea de supraveghere

Autoritatea de supraveghere competentă pentru operator este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28–30, Sector 1, 010336 București, anspdcp@dataprotection.ro, www.dataprotection.ro. Pentru persoana împuternicită de operator este competentă Autoritatea austriacă pentru protecția datelor (Österreichische Datenschutzbehörde), Barichgasse 40–42, 1030 Viena, www.dsb.gv.at.