Zmluva o spracúvaní osobných údajov (AVV) — Verzia pre Slovensko

1. Predmet a trvanie

(1) Sprostredkovateľ poskytuje prevádzkovateľovi softvér NymTime ako softvér ako službu (software as a service): plánovanie zmien, evidenciu pracovného času smartfónom zamestnanca na NFC tagoch (náhradne záznam s overením pracoviska bez NFC), overenie pracoviska v okamihu záznamu, evidenciu prestávok v práci podľa pravidla zvoleného prevádzkovateľom, neprítomnosti, údaje o dostupnosti, výmenu zmien, oznamy firmy (nástenka), časové konto, prehľad hodín, export na spracovanie miezd, ako aj voliteľne ukladanie dokumentov vrátane nahliadnutia dotknutým zamestnancom, mzdové dokumenty, údaje o tržbách za prevádzku a interné mzdové náklady. Pritom spracúva osobné údaje v mene prevádzkovateľa.

(2) Trvanie tejto dohody sa riadi zmluvou o používaní (obchodné podmienky, nymtime.com/agb). Končí sa spolu so zmluvou o používaní; bod 10 platí aj potom, kým nie sú všetky údaje vrátené alebo vymazané.

(3) Údaje prevádzkovateľa sa ukladajú výlučne v dátových centrách v Európskej únii. Pri prenose prechádzajú reverzným proxy serverom spoločnosti Cloudflare; e-maily a push notifikácie sa odosielajú prostredníctvom služieb uvedených v prílohe 2. Prenosy do tretích krajín, ku ktorým pritom dochádza, a ich právny základ (čl. 45 a čl. 46 ods. 2 písm. c) GDPR) uvádza príloha 2.

(4) Ak zákazník podľa § 12 ods. 5 obchodných podmienok nechá NymTime používať podniky, ktoré sú s ním prepojené, je prevádzkovateľom osobných údajov zamestnancov prevádzky ten podnik, ktorý je v Back Office zapísaný ako zamestnávateľ tejto prevádzky (príloha 4). Zákazník uzatvára túto dohodu vo vlastnom mene a zároveň v mene a na základe plnomocenstva každého prepojeného podniku uvedeného v prílohe 4; každý z týchto podnikov je tak prevádzkovateľom údajov svojich prevádzok v zmysle tejto dohody a čl. 28 GDPR. Zákazník ubezpečuje, že plnomocenstvo mu bolo udelené pred zápisom, a na požiadanie ho sprostredkovateľovi preukáže. Pokyny (bod 3), oznámenia a hlásenia podľa tejto dohody udeľuje a prijíma zákazník súhrnne za všetky prepojené podniky; práva podľa bodu 11 za ne vykonáva, pokiaľ kogentné právo nevyžaduje priamy postup prepojeného podniku. Každý prepojený podnik zostáva zodpovedný za zákonnosť spracúvania údajov svojich zamestnancov (čl. 5 ods. 2 a čl. 24 GDPR); pre údaje prevádzky platí časť B štátu, v ktorom sa nachádza. Pre prevádzky bez zapísaného prepojeného podniku je prevádzkovateľom zákazník.

2. Povaha a účel spracúvania, kategórie údajov a dotknuté osoby

(1) Povaha a účel spracúvania, kategórie osobných údajov a kategórie dotknutých osôb sú opísané v prílohe 1. V skratke: správa základných údajov, rozpis zmien, evidencia pracovného času podľa práva štátu prevádzky, neprítomnosti, výsledok overenia pracoviska pri zázname, údaje o zariadeniach, hlásenia zamestnancov a — ak ich prevádzkovateľ používa — dokumenty a údaje o mzdových nákladoch, vždy na účel plánovania nasadenia personálu, plnenia povinností evidencie podľa pracovného práva a prípravy spracovania miezd.

(2) Neukladajú sa žiadne súradnice GPS, trasy ani profily pohybu. Výsledok overenia pracoviska sa zaznamenáva len v okamihu záznamu počas zmeny ako „v zóne“, „mimo zóny“ alebo „poloha nie je k dispozícii“ s časom a presnosťou; zisťovanie polohy na pozadí sa nevykonáva. Overenie prebieha len v prevádzkach, v ktorých ho právo krajiny prevádzky pripúšťa a v ktorých ho prevádzkovateľ nevypol; prevádzkovateľ zabezpečí, aby kroky vyžadované týmto právom boli splnené pred jeho použitím (časť B).

(3) Dôvod neprítomnosti „práceneschopnosť“ sa zaznamenáva bez diagnózy a bez uvedenia príčiny choroby. Osobitné kategórie osobných údajov podľa čl. 9 GDPR sú okrem toho predmetom spracúvania len vtedy, ak prevádzkovateľ používa funkciu „potvrdenie o práceneschopnosti (lekárske potvrdenie)“: potvrdenie o začiatku a predpokladanom trvaní pracovnej neschopnosti je údajom týkajúcim sa zdravia. Prevádzkovateľ ho smie uložiť len vtedy, ak ho smie požadovať podľa práva štátu, v ktorom je zamestnanec zamestnaný (predpisy uvádza časť B); právnym základom je čl. 9 ods. 2 písm. b) GDPR v spojení s týmito predpismi a čl. 88 GDPR. Sprostredkovateľ obmedzí prístup k týmto dokumentom na osoby, ktoré na to prevádzkovateľ oprávnil, a na dotknutého zamestnanca a ich obsah nevyhodnocuje. Prevádzkovateľ zabezpečí, aby sa do polí s voľným textom a do iných dokumentov neukladali diagnózy ani iné údaje týkajúce sa zdravia.

(4) Doplnkovo sprostredkovateľ v mene prevádzkovateľa spracúva: údaje zamestnancov o dostupnosti (dobrovoľný údaj na plánovanie; nejde o pracovnú pohotovosť v zmysle práva pracovného času a nevzniká nárok na odmenu), ponuky a prijatia pri výmene zmien (pre kolegyne a kolegov tej istej prevádzky a tej istej roly sú viditeľné meno, rola, resp. oddelenie a časy dotknutej zmeny — žiadne údaje o dochádzke ani výkone), kontaktné údaje, ktoré zamestnanec sám sprístupnil kolegyniam a kolegom (súhlas podľa čl. 6 ods. 1 písm. a) GDPR, predvolené nastavenie „vypnuté“, odvolanie kedykoľvek podľa čl. 7 ods. 3 GDPR s okamžitým účinkom v aplikácii), potvrdenia o prečítaní oznamov firmy (nástenka), ako aj zaznamenané prestávky v práci a krátke prestávky vrátane upozornenia „Prestávka nezaznamenaná“. Upozornenie slúži výlučne na opravu evidencie pracovného času a nie je sankciou ani hodnotením výkonu; opravu vykoná osoba prevádzkovateľa s odôvodnením.

(5) Údaje o tržbách za prevádzku, ktoré prevádzkovateľ zadá alebo importuje pre ukazovatele, sa týkajú prevádzky, a nie osôb, a samy osebe nie sú osobnými údajmi; vyhodnocujú sa len v spojení s mzdovými nákladmi, ktoré sú prístupné výlučne Vedeniu prevádzkovateľa a manažérom, ktorým ich Vedenie sprístupnilo.

3. Pokyny prevádzkovateľa (čl. 28 ods. 3 písm. a))

(1) Sprostredkovateľ spracúva osobné údaje výlučne na základe zdokumentovaných pokynov prevádzkovateľa, pokiaľ mu spracúvanie neukladá právo Únie alebo Rakúska; v takom prípade sprostredkovateľ informuje prevádzkovateľa o tejto právnej požiadavke pred spracúvaním, pokiaľ to toto právo nezakazuje.

(2) Pokyny sa udeľujú konfiguráciou v Back Office — najmä prevádzky a zóna prevádzky, roly a oprávnenia, pravidlo pre prestávky pre každú prevádzku, lehota na zadanie údajov o dostupnosti, povinnosť schválenia pri výmene zmien, viditeľnosť dokumentov pre zamestnancov, lehoty uchovávania, zapínanie a vypínanie NFC a overenia pracoviska pri zázname pre každú prevádzku, povolenie prístupu podpory (Nastavenia → Predplatné → Prístup podpory), export a vymazanie —, ako aj písomne na office@nymtime.com, pričom postačuje e-mail (dohodnutá forma podľa § 886 ABGB, rakúsky Všeobecný občiansky zákonník, Allgemeines bürgerliches Gesetzbuch). Prevádzkovateľ určí, ktorí z jeho používateľov sú oprávnení udeľovať pokyny (rola Vedenie).

(3) Ak sa sprostredkovateľ domnieva, že pokyn je z hľadiska ochrany osobných údajov neprípustný, bezodkladne o tom informuje prevádzkovateľa a smie jeho vykonanie pozastaviť, kým prevádzkovateľ pokyn nepotvrdí alebo nezmení.

4. Dôvernosť (čl. 28 ods. 3 písm. b))

(1) Sprostredkovateľ zaručuje, že všetky osoby oprávnené spracúvať osobné údaje sa zaviazali zachovávať dôvernosť informácií alebo podliehajú primeranej zákonnej povinnosti zachovávať dôvernosť informácií a že tento záväzok trvá aj po skončení ich činnosti.

(2) Sprostredkovateľ pri bežnej prevádzke nepristupuje k obsahu zákazníckeho účtu. Prístup podpory je možný len vtedy, ak ho prevádzkovateľ v Back Office výslovne povolí — s rozsahom, trvaním a možnosťou kedykoľvek ho odvolať. Každý prístup sa zaznamenáva s časom, osobou a úkonom v protokole zmien prevádzkovateľa.

5. Bezpečnosť spracúvania (čl. 28 ods. 3 písm. c), čl. 32)

(1) Sprostredkovateľ prijme technické a organizačné opatrenia opísané v prílohe 3 a udržiava ich počas celého trvania zmluvy. Pravidelne ich preveruje a prispôsobuje najnovšiemu stavu techniky.

(2) Sprostredkovateľ smie opatrenia ďalej rozvíjať a nahrádzať rovnocennými, ak sa úroveň ochrany nezníži. Podstatné zmeny sa zdokumentujú v prílohe 3 a zobrazia sa prevádzkovateľovi v Back Office.

6. Ďalší sprostredkovatelia (čl. 28 ods. 2 a 4, ods. 3 písm. d))

(1) Prevádzkovateľ udeľuje všeobecné povolenie na zapojenie ďalších sprostredkovateľov uvedených v prílohe 2. S každým ďalším sprostredkovateľom je uzavretá zmluva, ktorá mu ukladá rovnaké povinnosti týkajúce sa ochrany údajov, aké táto dohoda ukladá sprostredkovateľovi.

(2) Ak sprostredkovateľ zamýšľa zapojiť alebo nahradiť ďalšieho sprostredkovateľa, informuje prevádzkovateľa najmenej 30 dní vopred e-mailom a v Back Office. Prevádzkovateľ môže v tejto lehote namietať z dôležitého dôvodu týkajúceho sa ochrany údajov; ak nedôjde k dohode, môže každá strana vypovedať zmluvu o používaní ku koncu prebiehajúceho mesiaca.

(3) Prenos osobných údajov do tretej krajiny mimo Európskeho hospodárskeho priestoru sa uskutoční len vtedy, ak sú splnené podmienky čl. 44 až 49 GDPR (rozhodnutie o primeranosti alebo štandardné zmluvné doložky podľa čl. 46 ods. 2 písm. c) GDPR). Sprostredkovateľ zodpovedá za ďalších sprostredkovateľov ako za vlastné konanie.

7. Pomoc pri uplatňovaní práv dotknutých osôb (čl. 28 ods. 3 písm. e))

(1) Sprostredkovateľ pomáha prevádzkovateľovi vhodnými technickými a organizačnými opatreniami vybavovať v zákonných lehotách žiadosti dotknutých osôb o prístup, opravu, vymazanie, obmedzenie spracúvania, prenosnosť údajov a námietky (čl. 15 až 22 GDPR).

(2) Na tento účel sú v produkte k dispozícii: nahliadnutie do vlastnej evidencie času a jej mesačný export v aplikácii pre zamestnancov (čl. 15 a 20 GDPR); export všetkých údajov zamestnanca z Back Office; opravy s protokolom; archivácia, anonymizácia a vymazanie podľa lehôt uchovávania; v aplikácii pre zamestnancov žiadosť zamestnanca o vymazanie jeho účtu, ktorá sa postúpi prevádzkovateľovi na rozhodnutie (evidencia pracovného času zostáva zachovaná počas zákonnej doby podľa časti B).

(3) Ak dotknutá osoba adresuje žiadosť priamo sprostredkovateľovi, sprostredkovateľ ju bezodkladne postúpi prevádzkovateľovi a sám na ňu neodpovedá, pokiaľ ho na to prevádzkovateľ nepoverí.

8. Oznamovanie porušení ochrany osobných údajov (čl. 28 ods. 3 písm. f), čl. 33)

(1) Sprostredkovateľ oznámi prevádzkovateľovi každé porušenie ochrany osobných údajov bezodkladne, najneskôr do 48 hodín po tom, ako sa o ňom dozvedel, e-mailom na adresu kontaktnej osoby. Oznámenie obsahuje údaje podľa čl. 33 ods. 3 GDPR: povahu porušenia, dotknuté kategórie a približný počet osôb a záznamov, pravdepodobné následky, prijaté a navrhované opatrenia, ako aj kontaktné miesto.

(2) Sprostredkovateľ pomáha prevádzkovateľovi pri oznámení dozornému orgánu do 72 hodín (čl. 33) a pri oznámení dotknutým osobám (čl. 34) a dokumentuje všetky porušenia vrátane ich následkov a prijatých nápravných opatrení.

9. Posúdenie vplyvu na ochranu údajov a konzultácia (čl. 28 ods. 3 písm. f), čl. 35 a 36)

(1) Systematická evidencia dochádzky zamestnancov môže vyžadovať posúdenie vplyvu na ochranu údajov podľa čl. 35 ods. 3 písm. a) GDPR. Sprostredkovateľ na to poskytne prevádzkovateľovi vzor posúdenia vplyvu na ochranu údajov pre NymTime a technické údaje o produkte a pomáha mu pri prípadnej predchádzajúcej konzultácii s dozorným orgánom (čl. 36).

(2) Vykonanie posúdenia vplyvu na ochranu údajov pre vlastné použitie, posúdenie, či právo príslušnej krajiny vyžaduje na overenie pracoviska kolektívnu zmluvu alebo dohodu so zamestnaneckou radou, konzultáciu, informovanie alebo súhlas, ako aj ich uzavretie, resp. získanie, sú vecou prevádzkovateľa. Sprostredkovateľ na to poskytuje kontrolné zoznamy pre jednotlivé krajiny a vzory; tie neblokujú žiadnu funkciu a nenahrádzajú právne poradenstvo.

10. Vymazanie a vrátenie po skončení zmluvy (čl. 28 ods. 3 písm. g))

(1) Po skončení zmluvy o používaní môže prevádzkovateľ svoje údaje počas 30 dní úplne exportovať z Back Office (Excel, CSV, dokumenty v pôvodnom formáte). Po uplynutí tejto lehoty sprostredkovateľ vymaže všetky osobné údaje prevádzkovateľa, pokiaľ právo Únie alebo rakúske právo neukladá samotnému sprostredkovateľovi povinnosť ich uchovávať; v takom prípade sa spracúvanie obmedzí na uchovávanie. Povinnosti prevádzkovateľa týkajúce sa uchovávania (podľa práva štátu prevádzky, časť B) zostávajú jeho vlastnou povinnosťou (§ 14 ods. 3 obchodných podmienok); plní ich včasným exportom.

(2) Vymazanie sa prevádzkovateľovi na požiadanie písomne potvrdí. Záložné kópie sa prepíšu najneskôr 35 dní po vymazaní primárnych údajov.

(3) Počas trvania zmluvy môže prevádzkovateľ jednotlivých zamestnancov archivovať, anonymizovať alebo vymazať a sám určiť lehoty uchovávania pre každý druh údajov v rámci zákonných minimálnych hodnôt. Denný beh uplatňuje lehoty a zaznamenáva do protokolu počet a druh vymazaných záznamov.

11. Preukazovanie a audity (čl. 28 ods. 3 písm. h))

(1) Sprostredkovateľ poskytne prevádzkovateľovi všetky informácie potrebné na preukázanie splnenia povinností stanovených v čl. 28 GDPR, najmä túto dohodu, prílohy, záznamy podľa čl. 30 ods. 2 GDPR a správy o preverení technických a organizačných opatrení.

(2) Prevádzkovateľ alebo ním poverený audítor zaviazaný mlčanlivosťou smie po primeranom oznámení najmenej 14 dní vopred počas obvyklého pracovného času preveriť dodržiavanie tejto dohody, najviac raz za kalendárny rok, pokiaľ ďalší audit nevyžaduje porušenie ochrany osobných údajov alebo nariadenie dozorného orgánu. Sprostredkovateľ pri auditoch spolupracuje.

(3) Sprostredkovateľ bezodkladne informuje prevádzkovateľa, ak sa domnieva, že pokyn porušuje GDPR alebo iné predpisy Únie alebo Rakúska týkajúce sa ochrany údajov.

12. Zodpovednosť a záverečné ustanovenia

(1) Zodpovednosť zmluvných strán sa riadi čl. 82 GDPR a inak § 15 obchodných podmienok. Vo vzájomnom vzťahu zmluvných strán zodpovedá každá strana za porušenie povinností, ktoré jej vyplývajú z tejto dohody a z GDPR.

(2) Platí rakúske právo s vylúčením kolíznych noriem medzinárodného práva súkromného. Ako výlučne príslušný súd sa podľa § 104 JN (rakúsky zákon o súdnej právomoci a príslušnosti, Jurisdiktionsnorm) — pri prevádzkovateľoch so sídlom v inom členskom štáte navyše podľa čl. 25 nariadenia (EÚ) č. 1215/2012 (Brusel Ia) — dohodol vecne príslušný súd pre Viedeň, Innere Stadt. Zmeny a doplnenia tejto dohody vyžadujú písomnú formu; zmluvné strany sa na to podľa § 886 ABGB dohodli na zjednodušenej forme, postačuje e-mail na uloženú adresu. To platí aj pre zrušenie tejto požiadavky.

(3) Elektronické potvrdenie tejto dohody pri nákupe alebo, ak sprostredkovateľ zriadil zákaznícky účet na žiadosť, pri prvom prihlásení Vedenia do Back Office — s časom, verziou, kontrolným súčtom (SHA-256) potvrdeného textu dokumentu, IP adresou a používateľom — sa zaznamená v zákazníckom účte a považuje sa za uzavretie v elektronickej podobe v zmysle čl. 28 ods. 9 GDPR. Pri rozporoch medzi touto dohodou a obchodnými podmienkami má táto dohoda v otázkach ochrany osobných údajov prednosť.

Príloha 1 — Predmet spracúvania: kategórie údajov, dotknuté osoby, účely

Kategórie osobných údajov (pri každej kategórii: údaje — účel — právny základ prevádzkovateľa):

• Základné údaje: meno, e-mailová adresa, telefónne číslo, pozícia, rola, priradenie k prevádzke, osobné číslo, druh zamestnania, dátum nástupu a odchodu — správa, rozpis zmien, vyúčtovanie — čl. 6 ods. 1 písm. b) a c) GDPR.
• Zmluvné údaje (podmienky zamestnania): dohodnutý pracovný čas (hodiny za týždeň, mesiac alebo rok), kategória zamestnania (plný úväzok, čiastočný úväzok, mladiství do 18 rokov, učňovská príprava, sezónna práca, iné), obdobie nerovnomerného rozvrhnutia, uplatniteľná kolektívna zmluva (Kollektivvertrag), nárok na dovolenku v dňoch, vždy so začiatkom platnosti a históriou verzií — rozpis zmien, časové konto, stav dovolenky, kontrola limitov podľa práva pracovného času — čl. 6 ods. 1 písm. b) a c) GDPR.
• Rozpis zmien: plánované zmeny, roly, minimálne obsadenie, voľné zmeny, časy zverejnenia a potvrdenia (kto a kedy rozpis zverejnil, kedy ho zamestnanec videl a potvrdil), zmeny po zverejnení s odôvodnením — plánovanie nasadenia personálu, preukázanie včasného oznámenia — čl. 6 ods. 1 písm. b) a c) GDPR.
• Dostupnosť: údaj za deň alebo pol dňa („dostupný“, „nerád“, „nedostupný“), čas zadania — dobrovoľný údaj na plánovanie, nejde o pracovnú pohotovosť v zmysle práva pracovného času — čl. 6 ods. 1 písm. b) GDPR.
• Výmena zmien: ponuka, odpovede kolegýň a kolegov tej istej prevádzky a tej istej roly (pre nich viditeľné: meno, rola, resp. oddelenie, časy zmeny), rozhodnutie vedúceho zamestnanca, výsledok kontroly limitov podľa práva pracovného času — plánovanie nasadenia personálu — čl. 6 ods. 1 písm. b) GDPR.
• Sprístupnenie kontaktov (Kontakty): príznak, či zamestnanec zviditeľnil svoje telefónne číslo a e-mailovú adresu pre kolegyne a kolegov tej istej prevádzky, spolu s časom udelenia a prípadného odvolania — dostupnosť v tíme — súhlas podľa čl. 6 ods. 1 písm. a) GDPR, predvolené nastavenie „vypnuté“, odvolanie kedykoľvek podľa čl. 7 ods. 3 GDPR.
• Oznamy firmy (nástenka): text, plagát (obrázok alebo PDF, bez metaúdajov obrázka), okruh adresátov (prevádzky, oddelenia), platnosť, potvrdenie o prečítaní a o vzatí na vedomie za každého zamestnanca s časom — preukázanie oboznámenia sa s informáciami firmy — čl. 6 ods. 1 písm. b) a f) GDPR; žiadna kontrola výkonu.
• Evidencia pracovného času: skutočný začiatok a koniec, prestávky v práci (neplatené; plánované bloky prestávok pre každú zmenu, platené alebo neplatené, ako aj prestávka potvrdená vedúcim prevádzky s uvedením spracovateľa) a krátke prestávky vrátane príznaku „Prestávka nezaznamenaná“, spôsob záznamu (NFC alebo záznam s overením pracoviska bez NFC), protokol odchýlok pri zmluvnom pracovnom čase (potvrdené dni „podľa plánu“, skutočné časy pri odchýlke, hlásenie zamestnanca a potvrdenie vedúceho zamestnanca), časové konto za každé zúčtovacie obdobie (zmluvné hodiny, pripísané hodiny, zostatok, prenos a uzávierka obdobia), opravy s odôvodnením a uvedením spracovateľa — povinnosť evidencie podľa práva štátu prevádzky (časť B) — čl. 6 ods. 1 písm. c) GDPR.
• Neprítomnosti: druh (dovolenka, práceneschopnosť, náhradné voľno, voľno na starostlivosť o blízku osobu, sviatok, mimoriadne voľno, školenie, neplatené voľno), obdobie, stav, spracovateľ; pri práceneschopnosti bez diagnózy — rozpis zmien, náhrada mzdy — čl. 6 ods. 1 písm. b) a c) GDPR.
• Overenie pracoviska pri zázname: výsledok „v zóne“, „mimo zóny“ alebo „poloha nie je k dispozícii“ s časom a presnosťou v metroch; žiadne súradnice, žiadne trasy — hodnovernosť záznamu — podľa práva krajiny prevádzky (časť B); čl. 88 GDPR.
• Doklady o nastavení (compliance): údaje prevádzkovateľa o krajine, veľkosti podniku a zástupcoch zamestnancov, nahrané dohody a zápisnice, dátum posúdenia vplyvu na ochranu údajov, oboznámenia a súhlasy za každého zamestnanca s časom a verziou dokumentu, odvolania — preukázanie, že kroky vyžadované vnútroštátnym právom boli vykonané pred použitím funkcie — čl. 6 ods. 1 písm. c) a f) GDPR, pri súhlasoch čl. 7 GDPR.
• Údaje o zariadeniach: identifikátor zariadenia, verejný kľúč, model a verzia operačného systému, push token pre notifikácie, stav (aktívne, nahradené, zablokované), čas registrácie — jedno zariadenie na osobu, ochrana proti falšovaniu — čl. 6 ods. 1 písm. f) GDPR.
• Dokumenty (voliteľné): prihláška do sociálneho poistenia, písomná informácia o podstatných pracovných podmienkach, pracovná zmluva, doklady vrátane prípadného dátumu skončenia platnosti, podklady vyžiadané firmou a nahrané zamestnancom, výplatné pásky a ročné potvrdenia o mzde vrátane automaticky navrhnutých polí s poznámkou o kontrole, vždy s príznakom, či je dokument pre dotknutého zamestnanca viditeľný v aplikácii — osobný spis, príprava spracovania miezd — čl. 6 ods. 1 písm. c) GDPR v spojení s právom štátu prevádzky (časť B); tieto dokumenty môžu obsahovať vnútroštátne identifikačné čísla (napríklad číslo sociálneho poistenia), ktoré prevádzkovateľ ukladá len v rámci práva svojho štátu. Mzdové dokumenty vidí len Vedenie, osoby výslovne oprávnené prevádzkovateľom a dotknutý zamestnanec; každý prístup sa zaznamenáva do protokolu. Uchovávanie: mzdové dokumenty podľa druhu údajov „mzdové dokumenty“ (lehota a jej začiatok podľa časti B), ostatné dokumenty podľa druhu údajov „dokumenty zamestnancov“.
• Potvrdenie o práceneschopnosti (lekárske potvrdenie, voliteľné): začiatok a predpokladané trvanie pracovnej neschopnosti bez diagnózy — preukázanie práceneschopnosti a náhrada mzdy — údaj týkajúci sa zdravia, čl. 9 ods. 2 písm. b) GDPR v spojení s predpisom štátu, v ktorom je zamestnanec zamestnaný, podľa ktorého smie zamestnávateľ potvrdenie požadovať (časť B). Ak sa pracovná neschopnosť hlási elektronicky prostredníctvom inštitúcie sociálneho poistenia, prevádzkovateľ uloží len údaj, ktorý mu prináleží, bez diagnózy; ak potvrdenie obsahuje kód diagnózy, pred nahraním ho urobí nečitateľným. Prístup len pre Vedenie, osoby, ktoré na to prevádzkovateľ výslovne oprávnil, a dotknutého zamestnanca; každý prístup sa zaznamenáva do protokolu. Uchovávanie podľa druhu údajov „dokumenty zamestnancov“.
• Mzdové náklady (voliteľné, viditeľné pre Vedenie a manažérov, ktorým ich Vedenie sprístupnilo („Mzdové náklady“)): hrubá mzda s históriou (suma, jednotka, počet platov za rok, týždenné hodiny, druh zamestnania, sadzba nákladov zamestnávateľa), príplatky, preddavky, úpravy s históriou — interná kalkulácia — čl. 6 ods. 1 písm. f) GDPR.
• Údaje o tržbách za prevádzku (voliteľné): denná tržba a cieľová hodnota — ukazovateľ podielu mzdových nákladov — nie sú osobnými údajmi; vyhodnocujú sa len spolu s mzdovými nákladmi.
• Protokoly: protokol zmien (kto, čo, kedy, pred/po), notifikácie — preukazovanie, bezpečnosť — čl. 5 ods. 2 a čl. 32 GDPR.
• Kategórie dotknutých osôb: zamestnanci, osoby pracujúce na základe voľnej zmluvy o poskytovaní služieb (freie Dienstnehmer), dočasne pridelení zamestnanci, stážisti a učni prevádzkovateľa. Používatelia Back Office (Vedenie, manažéri, daňoví poradcovia) a kontaktná osoba prevádzkovateľa nie sú predmetom tejto dohody; pre ich údaje je sprostredkovateľ sám prevádzkovateľom (vyhlásenie o ochrane osobných údajov, oddiely 6 a 7).
• Účely: plánovanie nasadenia personálu; plnenie povinnosti evidovať pracovný čas vrátane prestávok v práci podľa práva štátu prevádzky; hodnovernosť záznamu; správa neprítomností; organizácia dostupnosti, výmeny zmien a oznamov firmy; ukladanie a sprístupňovanie personálnych dokumentov; príprava spracovania miezd; bezpečnosť a spätná vysledovateľnosť systému.
• Uchovávanie (prevádzkovateľ ho môže meniť v rámci zákonných minimálnych hodnôt): štandardné a minimálne hodnoty pre evidenciu pracovného času, protokol zmien, dokumenty zamestnancov (druh údajov „employee_documents“ vrátane nahraných dokladov a potvrdení o práceneschopnosti), mzdové dokumenty, mzdové náklady a archivované profily zamestnancov (potom anonymizácia) uvádza časť B podľa práva štátu prevádzky; nespracované udalosti dochádzky 3 mesiace, kratšie, kde to vyžaduje právo štátu (časť B); notifikácie 6 mesiacov. Údaje o dostupnosti, výmenách a potvrdenia o prečítaní sa vymažú spolu s príslušným rozpisom zmien, resp. oznamom, najneskôr po 12 mesiacoch.

Príloha 2 — Povolení ďalší sprostredkovatelia

Stav k 28. septembru 2026. Sprostredkovateľ využíva týchto ďalších sprostredkovateľov; aktuálny zoznam je k dispozícii v Back Office v časti Nastavenia → Predplatné.

• Hosting služby (servery, databáza, úložisko súborov, záložné kópie): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Nemecko — dátové centrum Falkenstein (Nemecko, región fsn1), objektové úložisko (Object Storage) v tom istom regióne. Záruka: zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR; žiadne spracúvanie mimo EÚ.
• Hosting a doručovanie webovej stránky nymtime.com, ako aj presmerovanie celej dátovej prevádzky na api.nymtime.com, app.nymtime.com a admin.nymtime.com (reverzný proxy server, šifrovanie prenosu, ochrana pred útokmi na preťaženie): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 Mníchov / Cloudflare, Inc., San Francisco, USA). Spojenie TLS končí v Cloudflare; Cloudflare tak technicky spracúva všetky prenášané údaje vrátane údajov o zamestnancoch počas prenosu, neukladá však žiadny obsah služby — do vyrovnávacej pamäte sa ukladajú len statické súbory a k tomu protokoly o spojeniach na odvrátenie útokov. Záruka: zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR; prenos do USA na základe certifikácie podľa rámca pre ochranu osobných údajov medzi EÚ a USA (EU-US Data Privacy Framework, čl. 45 GDPR) a štandardných zmluvných doložiek (čl. 46 ods. 2 písm. c) GDPR).
• Odosielanie e-mailov (prihlasovacie a pozývacie odkazy, aktivačné kódy aplikácie pre zamestnancov, notifikácie, oznámenia týkajúce sa zmluvy a platieb, faktúry): Resend, Inc., San Francisco, USA — odosielanie prostredníctvom Amazon Simple Email Service v regióne eu-west-1 (Írsko). Spracúvané údaje: adresa príjemcu, predmet, obsah a stav doručenia správy. Záruka: Data Processing Addendum z 28. 9. 2026 (čl. 28 GDPR); prenos do USA na základe rámca EU-US Data Privacy Framework (čl. 45 GDPR) a štandardných zmluvných doložiek (čl. 46 ods. 2 písm. c) GDPR).
• Push notifikácie do aplikácie pre zamestnancov: Expo (650 Industries, Inc., USA), doručovanie do zariadení prostredníctvom Apple Push Notification service (Apple Inc.), resp. Firebase Cloud Messaging (Google). Spracúvané údaje: push token zariadenia, identifikátor a druh notifikácie, všeobecný text bez osobného obsahu. Záruka: zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR; prenos do USA na základe rámca EU-US Data Privacy Framework (čl. 45 GDPR) a štandardných zmluvných doložiek (čl. 46 ods. 2 písm. c) GDPR).
• Automatické rozpoznávanie polí v dokumentoch (len ak prevádzkovateľ túto funkciu aktivuje): poskytovateľ so spracúvaním v EÚ, bez použitia údajov na účely trénovania — doplní sa sem pred aktiváciou funkcie; dovtedy je funkcia deaktivovaná.
• Vyhľadávanie adries v Back Office (návrhy pri zadávaní adresy prevádzky): Komoot GmbH, Hauptstraße 35, 12159 Berlín, Nemecko (služba Photon, servery v EÚ; dátový základ OpenStreetMap, ODbL 1.0). Odovzdáva sa výlučne zadaný text adresy; požiadavku odosiela náš server, nie prehliadač. Údaje zamestnancov sa neodovzdávajú. Náhradne pri výpadku: Nominatim nadácie OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Spojené kráľovstvo — zmluvu o spracúvaní osobných údajov s nadáciou nie je možné uzavrieť; služba dostáva len text adresy a volá sa len ako náhradná cesta. Pre verejnú službu Photon spoločnosť Komoot neponúka zmluvu o spracúvaní osobných údajov; odovzdáva sa len zadaný text adresy prevádzky, žiadne údaje zamestnancov.

Pre úplnosť — samostatní prevádzkovatelia, nie ďalší sprostredkovatelia: Európska komisia, Rue de la Loi 200, 1049 Brusel, Belgicko (overenie IČ DPH prevádzkovateľa v systéme výmeny informácií o DPH VIES; odovzdáva sa len kód krajiny a IČ DPH, právny základ čl. 6 ods. 1 písm. c) GDPR v spojení s § 11 ods. 1a UStG 1994, rakúsky zákon o dani z pridanej hodnoty, Umsatzsteuergesetz 1994; žiadne údaje zamestnancov), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Írsko (spracovanie platieb, fakturácia a správa predplatného pre prevádzkovateľa ako zákazníka; prenosy do Stripe, Inc. (USA) v rámci EU-US Data Privacy Framework a štandardných zmluvných doložiek), ako aj Österreichische Post AG, Rochusplatz 1, 1030 Viedeň, alebo kuriérska služba (doručenie NFC tagov na obchodnú alebo dodaciu adresu; dostáva výlučne zasielacie údaje: firma, kontaktná osoba, adresa, prípadne telefónne číslo). Žiadny z týchto príjemcov nespracúva údaje zamestnancov prevádzkovateľa.

Príloha 3 — Technické a organizačné opatrenia (čl. 32 GDPR)

Sprostredkovateľ uplatňuje najmä tieto opatrenia:

• Kontrola vstupu a prístupu: prevádzka služby výlučne v dátových centrách v EÚ; fyzická kontrola vstupu a certifikácia podľa ISO 27001 sú požiadavkou na poskytovateľa hostingu služby (Hetzner Online GmbH, príloha 2); administrátorský prístup len cez osobné účty s kľúčmi SSH, dvojfázové prihlásenie do administračnej konzoly rovnako ako požiadavka na poskytovateľa hostingu; žiadny spoločne používaný účet.
• Kontrola prístupu v produkte: systém oprávnení založený na rolách a právach (Vedenie, manažér, zamestnanec, ďalšie roly s jednotlivými oprávneniami), obmedzenie manažérov na pridelené prevádzky; údaje o mzdových nákladoch len pre Vedenie; potvrdenia o práceneschopnosti a mzdové dokumenty len pre Vedenie, osoby výslovne oprávnené prevádzkovateľom a dotknutého zamestnanca, každý prístup k nim sa zaznamenáva do protokolu; prihlásenie do Back Office cez osobné účty s e-mailovou adresou ako identifikátorom používateľa a heslom, ktoré sa ukladá výlučne ako hašovacia hodnota s náhodnou soľou (scrypt) — nastavenie hesla cez jednorazový odkaz (platný 24 hodín), obnovenie cez jednorazový odkaz (platný 1 hodinu), potvrdenie novej e-mailovej adresy kódom zaslaným na novú adresu, zablokovanie na 15 minút po 10 neúspešných pokusoch, ukončenie všetkých existujúcich relácií pri každej zmene hesla, súbor cookie relácie s platnosťou 14 dní, voliteľné dvojfázové prihlásenie (aplikácia TOTP, prevádzkovateľ ho môže aktivovať pre celú firmu, kódy na obnovenie len ako hašovacia hodnota, tajomstvo TOTP uložené šifrovane); aktivácia aplikácie pre zamestnancov jednorazovým kódom zaslaným na uloženú e-mailovú adresu (obmedzená platnosť, najviac 5 pokusov, obmedzený počet požiadaviek na adresu a IP adresu); prístupy sa zaznamenávajú do protokolu.
• Viazanie na zariadenie: presne jedno aktívne zariadenie na zamestnanca; kryptografický pár kľúčov v zabezpečenom úložisku zariadenia; každý záznam príchodu a odchodu zariadenie podpíše; nové zariadenie sa naviaže len po potvrdení e-mailového kódu a preukázaní prítomnosti v prevádzke (NFC tag alebo overenie pracoviska) — doterajšie zariadenie sa pritom automaticky zablokuje, firma dostane notifikáciu a zmena sa zaznamená do protokolu; firma môže zariadenie kedykoľvek zablokovať.
• NFC tagy: NXP NTAG 424 DNA, nastavené na dynamickú, kryptograficky podpísanú správu pri každom dotyku (Secure Unique NFC) s kontrolou počítadla — navrhnuté tak, aby zabránili kopírovaniu a opätovnému prehratiu; kľúč čipu sa nezverejňuje ani telefónu, ani používateľom; QR kód na tabuľke prevádzky vedie len na stránku na stiahnutie aplikácie pre zamestnancov a nie je spôsobom záznamu príchodu alebo odchodu; záznam s overením pracoviska bez NFC len v zóne prevádzky.
• Minimalizácia údajov: žiadne ukladanie súradníc ani trás; pri zázname príchodu a odchodu žiadne fotografie — obrázky sa do systému dostanú len ako dokumenty, ktoré nahrá sám zamestnanec (napríklad potvrdenie o práceneschopnosti); z polohy len výsledok overenia pri zázname („v zóne“, „mimo zóny“, „poloha nie je k dispozícii“, čas, presnosť); žiadne zisťovanie polohy na pozadí; overenie len počas zmeny a len v prevádzkach, v ktorých ho právo krajiny pripúšťa a v ktorých ho prevádzkovateľ nevypol; nespracované udalosti sa vymažú po 3 mesiacoch, kratšie, kde to vyžaduje právo krajiny; push notifikácie bez osobného obsahu.
• Šifrovanie: prenos výlučne cez TLS 1.2 alebo vyšší (po reverzný proxy server Cloudflare a odtiaľ znovu šifrovane po servery služby); databáza je uložená na zväzkoch šifrovaných pomocou LUKS (dm-crypt, AES-XTS) u poskytovateľa hostingu; dokumenty aplikácia pred uložením do objektového úložiska šifruje pomocou AES-256-GCM, kľúče sú uložené len na aplikačných serveroch; záložné kópie databázy šifruje pgBackRest pred uložením do objektového úložiska pomocou AES-256; kľúče a prístupové údaje mimo zdrojového kódu; heslá a prihlasovacie kódy len ako hašovacia hodnota s náhodnou soľou.
• Integrita a spätná vysledovateľnosť: nemenný protokol zmien (pridávanie povolené, zmena a vymazanie znemožnené databázovým pravidlom) pre všetky úkony relevantné pre bezpečnosť; len mäkké vymazanie (soft delete) s časovou pečiatkou; opravy pracovného času s odôvodnením, spracovateľom a pôvodnou hodnotou.
• Protokoly servera: protokoly aplikačných serverov (rozhranie, webový server) obsahujú IP adresy, ale nie obsah dokumentov ani mzdové údaje; rotujú sa podľa veľkosti (najviac päť súborov po 10 MB na službu) a vymažú sa najneskôr po 30 dňoch.
• Dostupnosť: dva databázové servery s priebežnou replikáciou; denné záložné kópie (týždenne úplné, denne rozdielové, k tomu priebežná archivácia transakčných protokolov) s uchovávaním až 35 dní, šifrované v objektovom úložisku poskytovateľa hostingu v EÚ; mesačný automatický test obnovy; monitorovanie s poplachom; dočasné uloženie záznamov príchodu a odchodu v zariadení pri strate spojenia.
• Oddelenie: logické oddelenie údajov zákazníkov pomocou kľúča organizácie v každom dopyte; oddelené prostredia na vývoj, testovanie a produkčnú prevádzku; žiadne produkčné údaje v testovacích ani vývojových prostrediach.
• Uchovávanie a vymazanie: konfigurovateľné lehoty pre každý druh údajov s vynútenými zákonnými minimálnymi hodnotami; denný automatizovaný beh vymazania a anonymizácie s protokolom; vrátenie a vymazanie podľa bodu 10.
• Prístup podpory: žiadny prístup sprostredkovateľa k údajom zákazníkov pri bežnej prevádzke; prístup len po povolení prevádzkovateľom s rozsahom, trvaním a možnosťou kedykoľvek ho odvolať; každý prístup sa zaznamenáva do protokolu.
• Organizácia: záväzok všetkých zúčastnených zachovávať dôvernosť; zdokumentovaný postup pri porušeniach ochrany osobných údajov s oznámením do 48 hodín; záznamy o spracovateľských činnostiach podľa čl. 30 ods. 2 GDPR; každoročné preverenie týchto opatrení; bezpečnostné aktualizácie v primeranej lehote; zásady špecificky navrhnutej a štandardnej ochrany údajov (čl. 25 GDPR) v procese vývoja.

Príloha 4 — Prepojené podniky ako prevádzkovatelia (bod 1 ods. 4)

Príloha 4 je zoznam prepojených podnikov, za ktoré zákazník uzatvára túto dohodu podľa bodu 1 ods. 4: obchodné meno, štát, adresa, IČ DPH (ak bolo uvedené) a prevádzky, ktorých zamestnávateľom podnik je. Zákazník vedie zoznam v Back Office; jeho aktuálne znenie je tam kedykoľvek k dispozícii a každá zmena zoznamu sa považuje za zdokumentovaný pokyn v zmysle bodu 3. Kým nie je zapísaný žiadny prepojený podnik, je zákazník prevádzkovateľom pre všetky prevádzky.

B1. Právne základy v kontexte zamestnania

(1) Na spracúvanie v kontexte zamestnania sa vzťahujú čl. 6 a čl. 88 GDPR, zákon č. 18/2018 Z. z. o ochrane osobných údajov a § 13 ods. 4 zákona č. 311/2001 Z. z., Zákonník práce (ZP). Záznam pri NFC tagu je evidenciou podľa § 99 ZP, nie kontrolným mechanizmom v zmysle § 13 ods. 4 ZP; nie je uvedený v zozname spracovateľských operácií, ktoré podliehajú posúdeniu vplyvu na ochranu údajov, prevádzkovateľ si vyhotoví krátky záznam o preverení.

(2) Overenie pracoviska pri zázname (bod 2 ods. 2 a príloha 1 časti A) je kontrolným mechanizmom podľa § 13 ods. 4 ZP a predpokladá vážne dôvody spočívajúce v osobitnej povahe činností prevádzkovateľa, ako aj predchádzajúce upozornenie zamestnancov, napr. prácu mimo prevádzky alebo mobilnú prácu; na stálych prevádzkach s funkčným NFC tagom sa preto neponúka. Právnym základom je čl. 6 ods. 1 písm. f) GDPR s dôvodom zaznamenaným pre každú prevádzku. Predtým prevádzkovateľ prerokuje rozsah, spôsob a dobu trvania so zástupcami zamestnancov, ak pôsobia (§ 12 ods. 2 ZP), a informuje o nich zamestnancov; vykoná posúdenie vplyvu na ochranu údajov, pretože zoznam Úradu na ochranu osobných údajov Slovenskej republiky podľa čl. 35 ods. 4 GDPR uvádza lokalizačné údaje a monitorovanie zamestnancov (body 3 a 9). Tieto kroky zaznamená v Back Office (bod 9 časti A). Zisťovanie polohy na pozadí sa nevykonáva.

B2. Evidencia pracovného času

Záznamy pracovného času (bod 2 ods. 1 a príloha 1 časti A) slúžia na vedenie evidencie podľa § 99 ZP (začiatok a koniec každého časového úseku, v ktorom zamestnanec vykonával prácu); právnym základom je čl. 6 ods. 1 písm. c) GDPR v spojení s týmto ustanovením. Prestávky sa zaznamenávajú podľa § 91 ZP. Údaje o dostupnosti nie sú pracovnou pohotovosťou v zmysle § 96 ZP.

B3. Pracovná neschopnosť a dokumenty

(1) Na Slovensku sa dočasná pracovná neschopnosť potvrdzuje elektronicky (ePN); zamestnávateľ dostáva údaje od Sociálnej poisťovne bez diagnózy. Doklad o pracovnej neschopnosti (bod 2 ods. 3 a príloha 1 časti A) ukladá prevádzkovateľ len v rozsahu, v akom mu tento údaj patrí podľa zákona č. 462/2003 Z. z. o náhrade príjmu pri dočasnej pracovnej neschopnosti zamestnanca, a len bez diagnózy; právnym základom je čl. 9 ods. 2 písm. b) GDPR v spojení s týmto zákonom.

(2) K dokumentom podľa prílohy 1 časti A patria na Slovensku najmä pracovná zmluva a mzdové podklady; právnym základom je čl. 6 ods. 1 písm. c) GDPR. Rodné číslo ukladá prevádzkovateľ len v rámci zákonných predpisov (§ 78 ods. 4 zákona č. 18/2018 Z. z.).

B4. Uchovávanie

Predvolené hodnoty pre prevádzky na Slovensku, ktoré môže prevádzkovateľ meniť v rámci minimálnych hodnôt: záznamy pracovného času 84 mesiacov (minimum 24 mesiacov); surové udalosti prítomnosti 3 mesiace; výsledok overenia pracoviska — odporúča sa najviac 3 mesiace po uzávierke mesiaca; auditný protokol 84 mesiacov (minimum 24 mesiacov); dokumenty zamestnancov (typ údajov „employee_documents“, vrátane nahraných dokladov) 84 mesiacov; mzdové dokumenty 120 mesiacov (minimum 120 mesiacov; § 35 zákona č. 431/2002 Z. z. o účtovníctve: desať rokov); personálne náklady 84 mesiacov; oznámenia 6 mesiacov; archivované profily zamestnancov 84 mesiacov, potom anonymizácia. Zákonné povinnosti uchovávania zostávajú vlastnou povinnosťou prevádzkovateľa (bod 10 ods. 1 časti A). Lehota mzdových dokumentov začína koncom kalendárneho roka, na ktorý sa zúčtovanie vzťahuje (pri nahratých výplatných páskach koncom roka nahratia).

B5. Dozorný orgán

Príslušným dozorným orgánom pre prevádzkovateľa je Úrad na ochranu osobných údajov Slovenskej republiky, Galvaniho Business Centrum II, Galvaniho 7/B, 821 04 Bratislava, www.dataprotection.gov.sk. Príslušným dozorným orgánom pre sprostredkovateľa je rakúsky úrad na ochranu údajov (Österreichische Datenschutzbehörde, DSB), Barichgasse 40–42, 1030 Viedeň, www.dsb.gv.at.