Vyhlásenie o ochrane osobných údajov — Verzia pre Slovensko

1. Prevádzkovateľ

Prevádzkovateľom v zmysle čl. 4 bodu 7 GDPR je LazyHead e.U., majiteľ Andrii Snikhovskyi, Morizgasse 2/2/14, 1060 Viedeň, Rakúsko, e-mail: office@nymtime.com.

Uplatňuje sa všeobecné nariadenie o ochrane údajov (GDPR) a doplnkovo rakúsky zákon o ochrane údajov (Datenschutzgesetz, DSG), najmä § 1 DSG (základné právo na zachovanie tajomstva osobných údajov, ústavné ustanovenie) a § 24 DSG (sťažnosť na rakúsky Úrad na ochranu údajov, Datenschutzbehörde). Na spracúvanie v súvislosti so zamestnaním sa okrem toho uplatňuje čl. 88 GDPR a predpisy štátu, v ktorom sú zamestnanci zamestnaní (časť B).

Zodpovedná osoba nie je určená. Podmienky čl. 37 ods. 1 GDPR nie sú splnené: nie sme orgánom verejnej moci, naše hlavné činnosti nespočívajú v rozsiahlom pravidelnom a systematickom monitorovaní osôb a nespracúvame vo veľkom rozsahu osobitné kategórie osobných údajov v zmysle čl. 9 GDPR. Otázky týkajúce sa ochrany osobných údajov adresujte na office@nymtime.com.

2. Prehľad: tri skupiny dotknutých osôb

Rozlišujeme tri skupiny, pre ktoré platia rozdielne pravidlá:

• Návštevníci webovej stránky nymtime.com (oddiely 3 až 5): technické údaje o prístupe a kontaktné žiadosti.
• Zákazníci a záujemcovia (oddiely 6 a 7): uzavretie zmluvy, platba cez Stripe, zákaznícky účet v Back Office.
• Zamestnanci našich zákazníkov (oddiel 8): rozpis zmien, pracovný čas a dochádzka — tu je zamestnávateľ prevádzkovateľom a LazyHead e.U. sprostredkovateľom podľa čl. 28 GDPR.

3. Návšteva webovej stránky (protokoly servera)

Pri otvorení stránky spracúva webový server technicky nevyhnutné údaje: IP adresu, dátum a čas prístupu, otvorenú adresu, objem prenesených údajov, stavový kód HTTP, typ prehliadača a operačný systém, ako aj odkazujúcu stránku (referrer).

Účel: doručenie stránky, odvrátenie útokov, analýza chýb. Právny základ: čl. 6 ods. 1 písm. f) GDPR — náš oprávnený záujem na bezpečnej a stabilnej prevádzke webovej stránky a služby. Doba uchovávania: protokoly našich vlastných serverov (rozhranie služby a webový server) obsahujú IP adresy; rotujú sa podľa veľkosti (najviac päť súborov po 10 MB na službu), spravidla sa po niekoľkých dňoch prepíšu a vymažú sa najneskôr po 30 dňoch. Nedochádza k ich spájaniu s inými údajmi ani k ich vyhodnocovaniu na marketingové účely.

Hosting: služba NymTime (aplikácia, databáza, úložisko súborov, záložné kópie) je prevádzkovaná u spoločnosti Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Nemecko, v dátovom centre Falkenstein (Nemecko, región fsn1). Databáza je uložená na nosičoch údajov šifrovaných pomocou LUKS; záložné kópie databázy sa šifrujú pomocou pgBackRest (AES-256) a ukladajú sa do objektového úložiska (Object Storage) spoločnosti Hetzner v tom istom regióne. Webovú stránku nymtime.com hosťuje a doručuje Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 Mníchov / Cloudflare, Inc., San Francisco, USA) na platforme Cloudflare Workers. Cloudflare okrem toho presmerúva celú dátovú prevádzku na adresy api.nymtime.com, app.nymtime.com a admin.nymtime.com na naše servery (reverzný proxy server s ochranou pred útokmi na preťaženie): šifrovanie TLS končí v Cloudflare, spojenie z Cloudflare na naše servery je znovu šifrované pomocou TLS. Cloudflare tak technicky spracúva všetky údaje prenášané medzi prehliadačom alebo aplikáciou a službou — aj údaje zamestnancov našich zákazníkov —, neukladá však žiadny obsah služby; do vyrovnávacej pamäte sa ukladajú len statické súbory webovej stránky a aplikácií (skripty, písma, obrázky) a Cloudflare k tomu vedie protokoly o spojeniach na odvrátenie útokov. Spoločnosť Cloudflare, Inc. je certifikovaná podľa rámca pre ochranu osobných údajov medzi EÚ a USA (EU-US Data Privacy Framework) (rozhodnutie Európskej komisie o primeranosti z 10. júla 2023, čl. 45 GDPR); doplnkovo sa uplatňujú štandardné zmluvné doložky Európskej komisie zo zmluvy o spracúvaní osobných údajov spoločnosti Cloudflare (čl. 46 ods. 2 písm. c) GDPR). S oboma poskytovateľmi je uzavretá zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR.

Písma sa doručujú ako súčasť samotnej webovej stránky. Nenadväzuje sa žiadne spojenie s Google Fonts ani s inými poskytovateľmi písiem; nenačítavajú sa žiadne skripty, obrázky ani obsah tretích strán.

4. Súbory cookie a podobné technológie (§ 165 ods. 3 TKG 2021)

Webová stránka nymtime.com: Táto webová stránka neukladá žiadne súbory cookie a nepoužíva lokálne úložisko (Local Storage, Session Storage) na opätovné rozpoznanie. Nie sú do nej zapojené žiadne analytické, štatistické ani reklamné služby. Jazykové nastavenie vyplýva výlučne z otvorenej jazykovej cesty webovej stránky (napr. /, /en, /fr) a neukladá sa.

Back Office (aplikácia pre zákazníkov na app.nymtime.com): Back Office ukladá tieto súbory cookie: nt_session — náhodný, podpísaný identifikátor relácie po prihlásení, čitateľný len pre server (HttpOnly), platnosť končí po 14 dňoch alebo odhlásením; nt_role — rola prihlásenej osoby, aby sa zobrazilo zodpovedajúce rozhranie; nt_locale — zvolený jazyk; nt_location — naposledy zvolená prevádzka. nt_role, nt_locale a nt_location neobsahujú mená ani kontaktné údaje a ich platnosť končí po 12 mesiacoch. Okrem toho Back Office ukladá v lokálnom úložisku prehliadača (Local Storage) nastavenia ovládania: zvolené zobrazenie rozpisu zmien pre každú prevádzku a to, či bolo skryté upozornenie na nastavenie. V prevádzkovateľskej konzole admin.nymtime.com, ktorá je prístupná len pracovníkom LazyHead e.U., sa súbor cookie relácie nazýva nt_platform. Tieto súbory cookie a záznamy sú nevyhnutne potrebné na výslovne požadovanú službu alebo ukladajú len nastavenia, ktoré si používateľka alebo používateľ sami zvolili; podľa § 165 ods. 3 TKG 2021 (rakúsky zákon o telekomunikáciách, Telekommunikationsgesetz 2021) sa na to nevyžaduje súhlas. Právnym základom súvisiaceho spracúvania údajov je čl. 6 ods. 1 písm. b) GDPR (plnenie zmluvy). Súbory cookie na analytické alebo reklamné účely Back Office neukladá.

Platba: Platba prebieha cez Stripe Checkout na doméne stripe.com. Súbory cookie, ktoré sa tam ukladajú, podliehajú zodpovednosti a zásadám používania súborov cookie spoločnosti Stripe (https://stripe.com/de-at/legal/cookies-policy); na našej webovej stránke sa nenačítava žiadny skript Stripe.

Lišta so súhlasom so súbormi cookie preto nie je potrebná. Ak by sme v budúcnosti používali súbory cookie, ktoré nie sú nevyhnutné, alebo služby tretích strán, vopred získame súhlas podľa § 165 ods. 3 TKG 2021 a čl. 6 ods. 1 písm. a) GDPR a toto vyhlásenie aktualizujeme.

5. Kontaktný formulár a e-mail

Ak použijete kontaktný formulár alebo nám napíšete e-mail, spracúvame meno, e-mailovú adresu, voliteľne firmu a počet prevádzok, zvolenú tému a obsah Vašej správy. Účel: odpoveď na žiadosť, zaslanie vyžiadaných vzorov (AVV, dohoda so zamestnaneckou radou, vyhlásenie o súhlase, posúdenie vplyvu na ochranu údajov), príprava uzavretia zmluvy.

Právny základ: čl. 6 ods. 1 písm. b) GDPR (vykonanie opatrení pred uzavretím zmluvy na Vašu žiadosť), ako aj pre nadviazanie kontaktu e-mailom Váš súhlas udelený vo formulári podľa čl. 6 ods. 1 písm. a) GDPR, ktorý môžete kedykoľvek odvolať s účinkom do budúcnosti.

Doba uchovávania: do konečného vybavenia žiadosti, najdlhšie 6 mesiacov po poslednej správe; ak dôjde k uzavretiu zmluvy, platia lehoty zmluvného vzťahu (oddiel 10). Príjemcovia: správy z kontaktného formulára doručuje náš server do našej schránky prostredníctvom služby na odosielanie e-mailov Resend (sprostredkovateľ, oddiel 7).

Žiadosti zákazníkov o podporu (support@nymtime.com, § 10 ods. 5 obchodných podmienok): spracúvame meno, e-mailovú adresu, firmu, obsah žiadosti a súvisiacu korešpondenciu, aby sme mohli na žiadosť odpovedať a odstrániť poruchy. Právny základ: čl. 6 ods. 1 písm. b) GDPR (plnenie zmluvy o používaní), ako aj čl. 6 ods. 1 písm. f) GDPR — náš oprávnený záujem na tom, aby sme mohli sledovať opakujúce sa poruchy a preukázať kvalitu podpory. Doba uchovávania: 12 mesiacov po uzavretí žiadosti. K prístupu do zákazníckeho účtu pritom dochádza len po výslovnom povolení zákazníkom (oddiel 7).

6. Nákup a jeho vybavenie (Stripe)

Pri nákupe cez nymtime.com/kaufen zaznamenávame údaje o Vašom podniku (obchodné meno, ulica, PSČ a obec, krajina, voliteľne IČ DPH), počet prevádzok, počet dodatočne objednaných NFC tagov, meno, priezvisko a e-mailovú adresu kontaktnej osoby, voliteľne telefónne číslo na otázky k objednávke a k doručeniu, voliteľne odlišnú dodaciu adresu a čas Vášho súhlasu so všeobecnými obchodnými podmienkami a so zmluvou o spracúvaní osobných údajov, osobitného prijatia ustanovení uvedených v § 1 ods. 5 obchodných podmienok a prípadného súhlasu s uvedením ako referencie (§ 16 ods. 4 obchodných podmienok). Účel: uzavretie zmluvy, zriadenie zákazníckeho účtu, fakturácia, zaslanie NFC tagov. Právny základ: čl. 6 ods. 1 písm. b) GDPR (plnenie zmluvy), ako aj čl. 6 ods. 1 písm. c) GDPR v spojení s § 11 UStG (rakúsky zákon o dani z pridanej hodnoty, Umsatzsteuergesetz) a § 132 BAO (rakúsky daňový poriadok, Bundesabgabenordnung) (povinnosti týkajúce sa fakturácie a uchovávania). Pri údajoch kontaktnej osoby podnikového zákazníka je právnym základom čl. 6 ods. 1 písm. f) GDPR — náš oprávnený záujem na plnení zmluvy s podnikom. Pri potvrdení obchodných podmienok a zmluvy o spracúvaní osobných údajov — pri nákupe alebo, ak sme zákaznícky účet na žiadosť zriadili sami, pri prvom prihlásení Vedenia do Back Office — zaznamenávame čas, verziu a kontrolný súčet dokumentov (SHA-256 potvrdeného textu), IP adresu a potvrdzujúceho používateľa (preukazovanie podľa čl. 5 ods. 2 GDPR; právny základ čl. 6 ods. 1 písm. f)).

Zaslanie NFC tagov: Na doručenie NFC tagov zahrnutých v cene a doobjednaných NFC tagov odovzdávame obchodné meno, meno kontaktnej osoby a obchodnú alebo dodaciu adresu — pri doručení kuriérom navyše telefónne číslo, ak bolo uvedené — spoločnosti Österreichische Post AG alebo kuriérskej službe. Doručovacia služba je pri doručovaní samostatným prevádzkovateľom; údaje zamestnancov sa jej neodovzdávajú. Právny základ: čl. 6 ods. 1 písm. b) GDPR. Zasielacie údaje uchovávame do uplynutia záručnej lehoty na NFC tagy (12 mesiacov, § 3 ods. 3 obchodných podmienok; zákonná zodpovednosť za vady podľa § 922 a nasl. ABGB, rakúsky Všeobecný občiansky zákonník, Allgemeines bürgerliches Gesetzbuch, tým zostáva nedotknutá) a ako súčasť faktúry podľa § 132 BAO.

Overenie IČ DPH (VIES): Ak pri nákupe alebo neskôr v Back Office uvediete IČ DPH, odovzdáme toto číslo spolu s kódom krajiny do overovacieho systému Európskej komisie (VIES, systém výmeny informácií o DPH) a uložíme výsledok, čas a číslo potvrdenia. Overenie opakujeme štvrťročne. Účel: správna fakturácia, najmä rozhodnutie o prenesení daňovej povinnosti (reverse charge). Príjemca: Európska komisia, Rue de la Loi 200, 1049 Brusel, Belgicko. Právny základ: čl. 6 ods. 1 písm. c) GDPR v spojení s § 11 ods. 1a a čl. 21 ods. 3 UStG 1994 (povinnosti týkajúce sa fakturácie a podávania hlásení). IČ DPH je identifikátorom podniku; osobným údajom je len vtedy, ak je priradené podniku jednotlivca.

Poskytovateľ platobných služieb: Platba (kreditná karta alebo inkaso SEPA) sa spracúva cez Stripe Checkout. Za spracovanie platby zodpovedá spoločnosť Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Írsko. Čísla kariet, bankové spojenia a bezpečnostné prvky získava a ukladá výlučne Stripe; LazyHead e.U. ich nikdy nedostane. Od Stripe dostávame identifikátor zákazníka a predplatného, stav platby, posledné štyri číslice platobného prostriedku a fakturačné údaje.

Prenos údajov do tretích krajín: Stripe Payments Europe, Ltd. môže prenášať údaje spoločnosti Stripe, Inc. (USA) a ďalším spoločnostiam skupiny. Základom je rozhodnutie Európskej komisie o primeranosti týkajúce sa rámca EU-US Data Privacy Framework, ktorému podlieha Stripe, Inc., ako aj štandardné zmluvné doložky Európskej komisie podľa čl. 46 ods. 2 písm. c) GDPR. Podrobnosti: https://stripe.com/de-at/privacy.

Faktúry a platobné doklady uchovávame podľa § 132 BAO sedem rokov od konca kalendárneho roka, v ktorom boli vystavené.

7. Zákaznícky účet a Back Office

Vyhľadávanie adries: Ak používateľka alebo používateľ v Back Office píše adresu prevádzky, pošleme zadaný text vyhľadávacej službe Photon spoločnosti Komoot GmbH, Hauptstraße 35, 12159 Berlín, Nemecko (servery v EÚ), aby sme získali návrhy adries; ak nie je služba dostupná, náhradne sa obrátime na Nominatim nadácie OpenStreetMap Foundation. Požiadavku odosiela náš server, nie prehliadač — IP adresa používateľky alebo používateľa sa neodovzdáva; text vyhľadávania nezaznamenávame do protokolu. Účel: zadanie adresy prevádzky. Právny základ: čl. 6 ods. 1 písm. f) GDPR (oprávnený záujem na bezchybnom zadaní adresy). Mapové údaje: © prispievatelia OpenStreetMap (ODbL 1.0).

Pri každej používateľke a každom používateľovi Back Office (Vedenie, manažéri, daňoví poradcovia) spracúvame meno, e-mailovú adresu, voliteľne telefónne číslo, rolu a priradenie k prevádzke, časy prihlásení, identifikátor relácie (súbor cookie nt_session, oddiel 4), ako aj protokol úkonov relevantných pre bezpečnosť (protokol zmien). Účel: poskytovanie služby, ochrana prístupu, spätná vysledovateľnosť zmien. Právny základ: čl. 6 ods. 1 písm. b) GDPR; pre protokol zmien navyše čl. 6 ods. 1 písm. f) GDPR (bezpečnosť, preukazovanie podľa čl. 5 ods. 2 GDPR). Pre tieto údaje používateľov sme sami prevádzkovateľom; nie sú predmetom zmluvy o spracúvaní osobných údajov, ktorá sa týka len údajov zamestnancov zákazníka (oddiel 8).

Prihlásenie do Back Office: identifikátorom používateľa je e-mailová adresa používateľky alebo používateľa, k tomu heslo, ktoré si sami zvolia. Heslo si používateľka alebo používateľ nastaví cez jednorazový odkaz, ktorý pošleme na túto adresu a ktorý je platný 24 hodín; zabudnuté heslo sa obnoví cez jednorazový odkaz platný jednu hodinu. Zmenu uloženej e-mailovej adresy potvrdzujeme kódom zaslaným na novú adresu. Heslá ukladáme výlučne ako hašovaciu hodnotu (scrypt s náhodnou soľou) — v otvorenom texte ich nepoznáme a nemožno nám ich ani oznámiť. Po 10 po sebe nasledujúcich neúspešných pokusoch sa prístup na 15 minút zablokuje; prihlásenia, neúspešné pokusy, zmeny hesla a zablokovania sa zaznamenávajú do protokolu. Firma môže navyše aktivovať dvojfázové prihlásenie: časovo obmedzený jednorazový kód z autentifikačnej aplikácie (TOTP) spolu s kódmi na obnovenie; ukladá sa pritom len šifrované tajomstvo aplikácie a hašovacie hodnoty kódov na obnovenie. Právny základ: čl. 6 ods. 1 písm. b) GDPR pre samotné prihlásenie, čl. 6 ods. 1 písm. f) GDPR pre zablokovanie, dvojfázové prihlásenie a bezpečnostný protokol (náš a Váš oprávnený záujem na odvrátení neoprávnených prístupov). Aplikácia pre zamestnancov naďalej používa aktiváciu kódom zaslaným na uloženú e-mailovú adresu a viazanie presne jedného zariadenia (oddiel 8).

E-maily zo systému (prihlasovacie a pozývacie odkazy, aktivačné kódy aplikácie pre zamestnancov, notifikácie, oznámenia týkajúce sa zmluvy a platieb, faktúry) odosielame prostredníctvom spoločnosti Resend, Inc., San Francisco, USA, ako sprostredkovateľa. Resend odosiela správy prostredníctvom Amazon Simple Email Service v regióne eu-west-1 (Írsko); spracúvajú sa adresa príjemcu, predmet, obsah správy a stav doručenia. Na prenosy do spoločnosti Resend, Inc. v USA sa uplatňuje rámec EU-US Data Privacy Framework (čl. 45 GDPR) a štandardné zmluvné doložky Európskej komisie (čl. 46 ods. 2 písm. c) GDPR).

Ak si niekto v aplikácii pre zamestnancov vyžiada kód pre e-mailovú adresu, ktorá nie je uložená v žiadnej firme, pošleme na túto adresu raz (najviac raz za 24 hodín) upozornenie, že k nej neexistuje žiadny účet a že adresu treba zistiť u zamestnávateľa. Samotná aplikácia pritom nezobrazuje žiadny rozdiel oproti známej adrese. Spracúva sa len zadaná adresa a čas (na obmedzenie na jednu správu denne, potom sa vymažú). Právny základ: čl. 6 ods. 1 písm. f) GDPR — oprávnený záujem pomôcť osobám získať prístup bez toho, aby sa zverejnilo, ktoré adresy v systéme existujú.

Prístup prevádzkovateľa platformy: Pracovníci LazyHead e.U. nemajú prístup k údajom zamestnancov uloženým v zákazníckom účte. Prístup podpory je možný len vtedy, ak ho zákazník v Back Office v časti Nastavenia → Predplatné → Prístup podpory výslovne povolí — s rozsahom, trvaním a možnosťou kedykoľvek ho odvolať; každý prístup sa zaznamená v protokole zmien zákazníka.

8. Údaje zamestnancov našich zákazníkov (spracúvanie sprostredkovateľom, čl. 28 GDPR)

Prevádzkovateľom údajov zamestnancov je príslušný zamestnávateľ, ktorý NymTime používa. LazyHead e.U. spracúva tieto údaje výlučne v mene a podľa pokynov zamestnávateľa na základe zmluvy o spracúvaní osobných údajov (nymtime.com/avv). Informovanie zamestnancov podľa čl. 13 GDPR je povinnosťou zamestnávateľa; poskytujeme na to vzor, ktorý sa zobrazí v aplikácii pre zamestnancov pri prvom spustení a je tam v nastaveniach kedykoľvek k dispozícii v úplnom znení.

Spracúvané kategórie údajov: základné údaje (meno, kontaktné údaje, pozícia, prevádzka, osobné číslo, druh zamestnania), rozpis zmien (plánované zmeny, roly), evidencia pracovného času (skutočný začiatok, koniec, prestávky v práci a krátke prestávky, opravy s odôvodnením), časové konto (zostatok fond/skutočnosť v období nerovnomerného rozvrhnutia pracovného času firmy), neprítomnosti (dovolenka, práceneschopnosť, náhradné voľno, voľno na starostlivosť o blízku osobu a ďalšie druhy), výsledok overenia pracoviska pri zázname, údaje o zariadení (identifikátor zariadenia, verejný kľúč, model, stav), údaje o dostupnosti, ponuky a prijatia pri výmene zmien, potvrdenia o prečítaní oznamov firmy (nástenka), ako aj — len ak zákazník tieto funkcie používa — personálne dokumenty vrátane dokladov nahraných zamestnancom, mzdové dokumenty a interné údaje o mzdových nákladoch.

Prestávky v práci: Prestávky sa zaznamenávajú podľa pravidla zvoleného firmou — automaticky odpočítané, pridelené manažérom v zmene alebo zaznamenané zamestnancom tlačidlom. Ak pri zmene dlhšej ako šesť hodín nebola zaznamenaná žiadna prestávka, NymTime odpočíta zákonnú minimálnu prestávku v práci podľa práva štátu prevádzky, aby evidencia pracovného času nezostala nesprávna, a zobrazí manažérovi upozornenie „Prestávka nezaznamenaná“. Toto upozornenie slúži výlučne na opravu evidencie; nie je sankciou, hodnotením výkonu ani podkladom na napomenutie. Opravu vykoná osoba vo firme s odôvodnením; zamestnanec vidí opravy vo svojej aplikácii.

Evidencia pracovného času sa vytvára pre každú prevádzku podľa profilu krajiny štátu, v ktorom sa prevádzka nachádza, a sprístupňuje sa zamestnancovi v aplikácii.

Dostupnosť: Zamestnanci môžu uviesť, v ktoré dni sú dostupní, len neradi alebo nedostupní. Údaj je dobrovoľný, slúži výlučne na plánovanie a nie je pracovnou pohotovosťou v zmysle práva pracovného času; nevzniká z neho povinnosť nastúpiť do práce ani nárok na odmenu. Právomoc plánovať a zodpovednosť za rozpis zmien zostávajú zamestnávateľovi. Právny základ: čl. 6 ods. 1 písm. b) GDPR (plnenie pracovného pomeru).

Výmena zmien: Ak zamestnanec ponúkne zmenu na výmenu, kolegyne a kolegovia tej istej prevádzky s rovnakou rolou vidia meno, rolu, resp. oddelenie a časy dotknutej zmeny — nič viac. Kto výmenu prijme, zobrazí sa ponúkajúcemu zamestnancovi a vedúcemu zamestnancovi. Výmena nadobudne účinnosť, keď ju vedúci zamestnanec schváli alebo keď firma nastavila automatické schvaľovanie pre rovnaké zmeny. Právny základ: čl. 6 ods. 1 písm. b) GDPR; údaje o dochádzke ani výkone sa pritom nezverejňujú.

Kontaktné údaje pre kolegyne a kolegov (Kontakty): Telefónne číslo a e-mailová adresa zamestnanca sú pre ostatných zamestnancov prevádzky viditeľné len vtedy, ak to zamestnanec sám zapne v nastaveniach aplikácie. Predvolené nastavenie je „vypnuté“. Právny základ: súhlas podľa čl. 6 ods. 1 písm. a) GDPR, ktorý možno kedykoľvek odvolať s účinkom do budúcnosti (čl. 7 ods. 3 GDPR) — odvolaním prestanú byť kontaktné údaje okamžite viditeľné. Odvolanie nemá pre pracovný pomer nepriaznivé následky; bez sprístupnenia vidia kolegyne a kolegovia len meno, rolu, resp. oddelenie a iniciály. Vedúci zamestnanci vidia pracovné kontaktné údaje nezávisle od toho na základe čl. 6 ods. 1 písm. b) a f) GDPR.

Nástenka (oznamy firmy): Firma môže zverejňovať oznamy pre jednotlivé prevádzky alebo oddelenia alebo pre všetkých zamestnancov, prípadne s plagátom (obrázok alebo PDF); obrázky sa ukladajú bez vložených metaúdajov, ako je miesto snímky alebo údaje fotoaparátu. NymTime ukladá, kto oznam otvoril a — ak o to firma požiada — potvrdil, že ho vzal na vedomie, aby firma mohla preukázať oboznámenie sa s dôležitými informáciami firmy. Právny základ: čl. 6 ods. 1 písm. b) a f) GDPR. Potvrdenie o prečítaní nie je nástrojom na kontrolu pracovného výkonu; ďalšie vyhodnocovanie správania sa nevykonáva.

Dokumenty zamestnanca: Firma môže ukladať dokumenty a zviditeľniť ich pre dotknutého zamestnanca v aplikácii (napríklad písomnú informáciu o podstatných pracovných podmienkach, výplatné pásky a potvrdenia); zamestnanec môže sám nahrávať dokumenty (napríklad potvrdenie o práceneschopnosti alebo požadované doklady) a firma môže dokument vyžiadať. K dokumentom možno uložiť dátum skončenia platnosti (napríklad pri povolení na pobyt), na ktorý NymTime včas upozorní. Potvrdenie o práceneschopnosti je údajom týkajúcim sa zdravia v zmysle čl. 9 GDPR; smie sa uložiť len vtedy, ak ho zamestnávateľ smie požadovať podľa práva štátu, v ktorom je zamestnanec zamestnaný (predpisy uvádza časť B) — právnym základom je čl. 9 ods. 2 písm. b) GDPR v spojení s týmito predpismi. Ak sa pracovná neschopnosť hlási elektronicky prostredníctvom inštitúcie sociálneho poistenia, uloží sa len údaj, ktorý zamestnávateľovi prináleží, bez diagnózy; ak potvrdenie obsahuje kód diagnózy, pred nahraním sa urobí nečitateľným. Personálne dokumenty môžu obsahovať vnútroštátne identifikačné čísla (napríklad číslo sociálneho poistenia); zamestnávateľ ich ukladá len v rámci práva svojho štátu. Diagnózy a príčiny choroby sa nesmú zaznamenávať. Potvrdenia o práceneschopnosti a mzdové dokumenty vidí len Vedenie, osoby, ktoré na to zákazník výslovne oprávnil, a dotknutý zamestnanec; každý prístup sa zaznamenáva do protokolu. Dokumenty aplikácia pred uložením šifruje pomocou AES-256-GCM; kľúče sú uložené len na aplikačných serveroch. Uchovávanie sa riadi druhmi údajov v nastaveniach zákazníka: mzdové dokumenty druhom údajov „mzdové dokumenty“ (lehota a jej začiatok podľa časti B), ostatné dokumenty druhom údajov „dokumenty zamestnancov“.

Fotoaparát a fotografie: Fotoaparát aplikácie pre zamestnancov číta len QR kód na tabuľke prevádzky, aby sa aplikácia nainštalovala, resp. otvorila; pritom sa neukladá žiadny obrázok. Fotografia sa urobí alebo vyberie z galérie len vtedy, keď zamestnanec sám nahráva dokument (napríklad potvrdenie o práceneschopnosti). Pri zázname príchodu a odchodu sa nerobia žiadne fotografie.

Notifikácie do telefónu (push): Aplikácia pre zamestnancov môže dostávať notifikácie, napríklad o novej zmene alebo o rozhodnutej neprítomnosti. Na to ukladáme push token zariadenia. Notifikácie sa odosielajú prostredníctvom push služby Expo (650 Industries, Inc., USA) a odtiaľ prostredníctvom Apple Push Notification service (Apple), resp. Firebase Cloud Messaging (Google). Odovzdáva sa len push token, identifikátor a druh notifikácie, ako aj všeobecný text bez osobného obsahu; podrobnosti aplikácia zobrazí až po otvorení. Právny základ: čl. 6 ods. 1 písm. b) GDPR. Notifikácie možno kedykoľvek vypnúť v nastaveniach telefónu. Technické údaje o používaní push služby (napríklad IP adresu telefónu pri získaní push tokenu) spracúva Expo navyše na vlastnú zodpovednosť na prevádzku a bezpečnosť svojej služby (expo.dev/privacy). Na prenos do spoločnosti Expo v USA sa uplatňuje rámec EU-US Data Privacy Framework (čl. 45 GDPR), podľa ktorého je Expo certifikované; základom je Data Processing Addendum z 28. 9. 2026.

Vymazanie účtu: V nastaveniach aplikácie môže zamestnanec požiadať o vymazanie svojho účtu. Žiadosť dostane zamestnávateľ, ktorý o nej ako prevádzkovateľ rozhodne. Evidencia pracovného času zostáva aj po vymazaní uchovaná počas zákonnej doby podľa práva štátu prevádzky (doba uchovávania nižšie).

Údaje o tržbách: Pre ukazovatele, ako je podiel mzdových nákladov, môže firma zadávať denné tržby za prevádzku alebo ich importovať ako súbor. Tieto údaje sa týkajú prevádzky, a nie osôb; samy osebe nie sú osobnými údajmi. Vzťah k osobám vzniká až ich porovnaním s mzdovými nákladmi, ktoré je prístupné výlučne Vedeniu zákazníka.

Žiadne súradnice polohy: NymTime neukladá žiadne súradnice GPS, trasy ani profily pohybu. Pri zázname s overením pracoviska bez NFC odošle zariadenie zamestnanca v okamihu záznamu jednorazovo svoju aktuálnu polohu spolu s presnosťou na náš server; server ňou len overí, či je zariadenie v zóne prevádzky určenej zamestnávateľom, a súradnice okamžite zahodí — uloží sa len výsledok „v zóne“, „mimo zóny“ alebo „poloha nie je k dispozícii“ s časom a presnosťou v metroch. Pri zázname cez NFC na NFC tagu sa poloha odošle a rovnakým spôsobom overí len vtedy, ak je overenie pracoviska v prevádzke k dispozícii a zamestnávateľ ho nevypol; inak vôbec nie. Poloha sa zisťuje len raz v okamihu záznamu; zisťovanie polohy na pozadí sa nevykonáva. Mimo zmeny sa overenie nevykonáva.

Overenie pracoviska podľa práva príslušnej krajiny: Overenie polohy pri zázname je kontrolným opatrením. Je k dispozícii v prevádzkach, v ktorých ho právo krajiny prevádzky pripúšťa, a zamestnávateľ ho môže pre každú prevádzku vypnúť. Skôr ako ho začne používať, splní zamestnávateľ kroky vyžadované právom svojej krajiny; o aké kroky ide, uvádza časť B. Back Office mu ich zobrazuje ako kontrolný zoznam, funkciu však neblokuje; kým kroky chýbajú, zamestnávateľ overenie pracoviska pre prevádzku vypne. V niektorých krajinách sa overenie pracoviska pre pevné pracoviská neponúka. Zisťovanie polohy na pozadí sa nevykonáva; overuje sa len v okamihu záznamu a NymTime neukladá súradnice, ale len „v zóne“, „mimo zóny“ alebo „poloha nie je k dispozícii“.

Oboznámenia a súhlasy v aplikácii: Ak právo krajiny vyžaduje, aby bol zamestnanec o funkcii informovaný alebo s ňou súhlasil, potvrdí to v aplikácii po nahliadnutí do dokumentu. Ukladá sa čas, dokument a jeho verzia, ako aj odpoveď. Súhlas môže zamestnanec kedykoľvek v aplikácii odvolať s účinkom do budúcnosti (čl. 7 ods. 3 GDPR); zákonnosť spracúvania vykonaného do odvolania tým zostáva nedotknutá. Ak sa overenie pracoviska zakladá na súhlase, NymTime po odvolaní už neoveruje polohu tohto zamestnanca pri zázname; odvolanie vidí zamestnávateľ v Back Office — záznam na NFC tagu a iné spôsoby, ktoré zamestnávateľ určil, zostávajú možné.

Právne základy zamestnávateľa: čl. 6 ods. 1 písm. c) GDPR v spojení s povinnosťou evidovať pracovný čas podľa práva štátu prevádzky, čl. 6 ods. 1 písm. b) GDPR (pracovná zmluva, plánovanie zmien), čl. 6 ods. 1 písm. f) GDPR (bezpečnosť systému, jedno zariadenie na osobu), ako aj pre overenie pracoviska pri zázname právne základy vyžadované právom príslušnej krajiny; predpisy štátu uvádza časť B.

Doba uchovávania: Zamestnávateľ určuje lehoty uchovávania pre každý druh údajov v Back Office; NymTime vynucuje zákonné minimálne hodnoty. Štandardné hodnoty pre evidenciu pracovného času, protokol zmien a dokumenty uvádza časť B podľa práva štátu prevádzky; nespracované udalosti dochádzky 3 mesiace, kratšie, kde to vyžaduje právo štátu (časť B), notifikácie 6 mesiacov. Denný beh vymaže alebo anonymizuje údaje, ktorých lehota uplynula, a zaznamená to do protokolu.

Práva zamestnancov: Právo na prístup, opravu, vymazanie, obmedzenie spracúvania, prenosnosť údajov a právo namietať uplatňujú zamestnanci voči svojmu zamestnávateľovi. V aplikácii pre zamestnancov môžu kedykoľvek nahliadnuť do svojej evidencie času a mesačne ju exportovať. Žiadosti, ktoré dostaneme my, bezodkladne postúpime zamestnávateľovi a pomáhame mu pri ich vybavení.

9. Príjemcovia a prenos do tretích krajín

Osobné údaje poskytujeme len týmto príjemcom: poskytovateľovi hostingu služby (Hetzner Online GmbH, dátové centrum Falkenstein v EÚ, sprostredkovateľ), Cloudflare (hosting webovej stránky a presmerovanie celej dátovej prevádzky k službe, sprostredkovateľ — oddiel 3), Resend, Inc. (odosielanie e-mailov prostredníctvom Amazon Simple Email Service v Írsku, sprostredkovateľ — oddiel 7), Expo (650 Industries, Inc.) s Apple Push Notification service a Firebase Cloud Messaging (notifikácie do aplikácie pre zamestnancov bez osobného obsahu — oddiel 8), Stripe Payments Europe, Ltd. (samostatný prevádzkovateľ pre spracovanie platieb), Österreichische Post AG alebo kuriérskej službe (doručenie NFC tagov, len zasielacie údaje), Európskej komisii (overenie IČ DPH v systéme VIES, len kód krajiny a IČ DPH — oddiel 6), spoločnosti Komoot GmbH (vyhľadávanie adries Photon, len zadaný text adresy — oddiel 7), ako aj orgánom verejnej moci a súdom, ak existuje zákonná povinnosť. Aktuálny zoznam sprostredkovateľov tvorí prílohu 2 zmluvy o spracúvaní osobných údajov (nymtime.com/avv).

Údaje služby NymTime — zákaznícke účty, údaje zamestnancov, dokumenty, záložné kópie — sa ukladajú výlučne v EÚ (Hetzner, Falkenstein). K prenosu do tretích krajín mimo Európskeho hospodárskeho priestoru dochádza v týchto prípadoch: pri presmerovaní dátovej prevádzky cez Cloudflare (oddiel 3), pri odosielaní e-mailov cez Resend (oddiel 7), pri odosielaní push notifikácií cez Expo, Apple a Google (oddiel 8) a v rámci spracovania platieb cez Stripe (oddiel 6). Základom je vždy rozhodnutie Európskej komisie o primeranosti týkajúce sa rámca EU-US Data Privacy Framework (čl. 45 GDPR) pre podniky certifikované podľa neho a doplnkovo štandardné zmluvné doložky Európskej komisie (čl. 46 ods. 2 písm. c) GDPR).

10. Prehľad dôb uchovávania

Ak nie je vyššie uvedené inak, platia tieto lehoty:

• Protokoly servera s IP adresami: rotované podľa veľkosti, spravidla niekoľko dní, najneskôr 30 dní.
• Kontaktné žiadosti: do vybavenia, najdlhšie 6 mesiacov po poslednej správe.
• Jednorazové odkazy a kódy: nastavenie hesla 24 hodín, obnovenie hesla 1 hodina, potvrdenie novej e-mailovej adresy a aktivácia aplikácie pre zamestnancov po 15 minút — vždy uložené len ako hašovacia hodnota a potom vymazané.
• Žiadosti zákazníkov o podporu: 12 mesiacov po uzavretí žiadosti.
• Zmluvné údaje a údaje zákazníckeho účtu: trvanie zmluvy; potom 30 dní na export údajov zákazníkom, následne vymazanie, ak neexistuje povinnosť uchovávania.
• Faktúry, platobné doklady, doklady o súhlase (obchodné podmienky, AVV): 7 rokov podľa § 132 BAO, resp. počas premlčacej doby nárokov.
• Údaje zamestnancov našich zákazníkov: podľa lehôt uchovávania určených zákazníkom v rámci zákonných minimálnych hodnôt (oddiel 8).
• Záložné kópie: prepíšu sa najneskôr 35 dní po vymazaní primárnych údajov.

11. Vaše práva

Voči nám máte právo na prístup (čl. 15 GDPR), opravu (čl. 16), vymazanie (čl. 17), obmedzenie spracúvania (čl. 18), prenosnosť údajov (čl. 20) a právo namietať proti spracúvaniu založenému na čl. 6 ods. 1 písm. f) GDPR (čl. 21), ako aj právo kedykoľvek odvolať udelený súhlas s účinkom do budúcnosti (čl. 7 ods. 3). Obráťte sa na office@nymtime.com alebo — ako zákazník — na support@nymtime.com; odpovieme bez zbytočného odkladu, najneskôr do jedného mesiaca (čl. 12 ods. 3 GDPR).

Okrem toho máte právo podať sťažnosť dozornému orgánu (čl. 77 GDPR, § 24 DSG): rakúsky Úrad na ochranu údajov (Österreichische Datenschutzbehörde, DSB), Barichgasse 40–42, 1030 Viedeň, telefón +43 1 52 152-0, e-mail dsb@dsb.gv.at, www.dsb.gv.at. Proti rozhodnutiam Úradu na ochranu údajov sa možno brániť na rakúskom Spolkovom správnom súde (Bundesverwaltungsgericht) (§ 27 DSG). Pre nás ako prevádzkovateľa usadeného v Rakúsku je príslušný rakúsky Úrad na ochranu údajov. Dotknuté osoby však môžu podať sťažnosť podľa čl. 77 ods. 1 GDPR aj dozornému orgánu v mieste svojho obvyklého pobytu, v mieste výkonu práce alebo v mieste údajného porušenia; dozorný orgán štátu, pre ktorý platí toto znenie, uvádza časť B. Kontaktné údaje všetkých dozorných orgánov pre ochranu údajov v Európskej únii zverejňuje Európsky výbor pre ochranu údajov na edpb.europa.eu/about-edpb/about-edpb/members_de.

Zamestnanci našich zákazníkov adresujú svoje žiadosti svojmu zamestnávateľovi (oddiel 8); žiadosti, ktoré dostaneme my, postúpime.

12. Žiadne automatizované rozhodovanie

Nevykonávame žiadne automatizované individuálne rozhodovanie vrátane profilovania v zmysle čl. 22 GDPR. Polia automaticky navrhnuté z dokumentov sú v NymTime ako také označené a vždy ich preverí človek; schválenia neprítomností a opravy pracovného času vždy vykonáva človek vo firme zákazníka.

13. Bezpečnosť údajov (čl. 32 GDPR)

Všetky spojenia sú šifrované pomocou TLS. Heslá do Back Office sa ukladajú výlučne ako hašovacia hodnota s náhodnou soľou (scrypt), rovnako jednorazové odkazy a kódy; po 10 neúspešných pokusoch sa prístup na 15 minút zablokuje, pri každej zmene hesla sa ukončia všetky existujúce relácie a firma môže vyžadovať dvojfázové prihlásenie (aplikácia TOTP s kódmi na obnovenie) pre všetky účty. Prístup v Back Office je viazaný na rolu a prevádzku; každé zariadenie zamestnanca je kryptograficky viazané (jedno aktívne zariadenie na osobu); NFC tagy sú dynamicky podpísanými správami navrhnuté proti kopírovaniu; protokol zmien je nemenný; databáza je uložená na zväzku šifrovanom pomocou LUKS u poskytovateľa hostingu; dokumenty aplikácia pred uložením do objektového úložiska šifruje pomocou AES-256-GCM (kľúče len na aplikačných serveroch), záložné kópie databázy šifruje pgBackRest pomocou AES-256; prenos prebieha výlučne cez TLS; denné záložné kópie v dátovom centre v EÚ. Úplné technické a organizačné opatrenia tvoria prílohu 3 zmluvy o spracúvaní osobných údajov.

14. Zmeny tohto vyhlásenia

Toto vyhlásenie upravujeme, ak sa zmení služba, využívaní poskytovatelia služieb alebo právna úprava. Platí znenie zverejnené na nymtime.com/datenschutz; dátum aktuálneho znenia je uvedený na začiatku stránky. Zákazníkov o podstatných zmenách navyše informujeme e-mailom.

B1. Kontext zamestnania

Na spracúvanie v kontexte zamestnania sa popri čl. 88 GDPR vzťahujú zákon č. 18/2018 Z. z. o ochrane osobných údajov a § 13 ods. 4 zákona č. 311/2001 Z. z., Zákonník práce (ZP). Záznam pri NFC tagu je zákonnou evidenciou pracovného času (§ 99 ZP), nie kontrolným mechanizmom. Používanie vášho súkromného telefónu je dobrovoľné; zamestnávateľ vám ponúkne inú možnosť záznamu.

Overenie pracoviska: na Slovensku je kontrolným mechanizmom a je prípustné len vtedy, ak má zamestnávateľ vážne dôvody spočívajúce v osobitnej povahe svojich činností a vopred vás na to upozornil (§ 13 ods. 4 ZP), napr. prácu mimo prevádzky alebo mobilnú prácu; na stálych prevádzkach s funkčným NFC tagom sa neponúka. Predtým ho zamestnávateľ prerokuje so zástupcami zamestnancov, ak pôsobia, informuje vás o rozsahu, spôsobe a dobe trvania a vykoná posúdenie vplyvu na ochranu údajov. Právnym základom je čl. 6 ods. 1 písm. f) GDPR; proti overeniu pracoviska môžete namietať podľa čl. 21 GDPR. Tieto základy sú základmi požadovanými pre overenie pracoviska podľa oddielu 8 časti A.

B2. Evidencia pracovného času a dokumenty

Záznamy pracovného času slúžia na vedenie evidencie podľa § 99 ZP; právnym základom je čl. 6 ods. 1 písm. c) GDPR v spojení s týmto ustanovením. Prestávky sa zaznamenávajú podľa § 91 ZP.

K dokumentom patria na Slovensku napr. pracovná zmluva a mzdové podklady. Dočasná pracovná neschopnosť sa potvrdzuje elektronicky (ePN); váš zamestnávateľ dostáva údaje od Sociálnej poisťovne bez diagnózy a doklad ukladá len bez diagnózy; právnym základom je čl. 9 ods. 2 písm. b) GDPR v spojení so zákonom č. 462/2003 Z. z. o náhrade príjmu pri dočasnej pracovnej neschopnosti zamestnanca.

B3. Doba uchovávania

Predvolené hodnoty pre Slovensko: záznamy pracovného času 7 rokov (minimálna hodnota 2 roky), surové udalosti prítomnosti 3 mesiace, výsledok overenia pracoviska — odporúča sa najviac 3 mesiace po uzávierke mesiaca, auditný protokol 7 rokov, dokumenty 7 rokov, mzdové dokumenty 10 rokov (§ 35 zákona č. 431/2002 Z. z. o účtovníctve), oznámenia 6 mesiacov. Lehota mzdových dokumentov začína koncom kalendárneho roka, na ktorý sa zúčtovanie vzťahuje.

B4. Dozorný orgán

Pre zákazníkov so sídlom na Slovensku a pre zamestnancov na prevádzkach na Slovensku je príslušný Úrad na ochranu osobných údajov Slovenskej republiky, Galvaniho Business Centrum II, Galvaniho 7/B, 821 04 Bratislava, www.dataprotection.gov.sk; návrh na začatie konania možno podať tam (oddiel 11 časti A).